Информационная безопасность систем автоматизированного проектирования

    Еще одним видом угроз информационной безопасности является угроза раскрытия  параметров компьютерной системы. В результате ее реализации не причиняется какой-либо ущерб обрабатываемой в системе информации, но при этом существенно усиливаются возможности проявления первичных угроз.

    Не  зависимо от специфики конкретных видов  угроз, информационная безопасность должна сохранять целостность, конфиденциальность, доступность. Угрозы нарушения целостности, конфиденциальности и доступности  являются первичными. Нарушение целостности  включает в себя любое умышленное изменение информации, хранящейся в  компьютерной системе или передаваемой из одной системы в другую. Нарушение конфиденциальности может привести к ситуации, когда информация становится известной тому, кто не располагает полномочия доступа к ней. Угроза недоступности информации возникает всякий раз, когда в результате преднамеренных действий других пользователей или злоумышленников блокируется доступ к некоторому ресурсу компьютерной системы.

    К основным угрозам при работе в частности с PLM-продуктами можно отнести утечку конфиденциальной информации и нарушение работоспособности системы. Причем последняя угроза может быть реализована как с помощью атак, рассчитанных на отказ в обслуживании и выводящих из строя отдельные элементы CAD-систем, так и с помощью вирусов и червей, заражающих САПР. Так, еще в 2000 году был обнаружен первый вирус ACAD.Star для AutoCAD. Следствием таких неприятностей может служить уголовная или административная ответственность, финансовые претензии за упущенную выгоду или срыв договорных обязательств и, конечно же, недополучение собственной прибыли.

Основные меры по обеспечению информационной безопасности САПР. 

    Как мы уже убедились, любые системы  автоматизированного производства и хранящаяся в них информация должны быть защищены от любых посягательств. Однако если попробовать в системе поиска Google ввести, например, ключевую фразу “информационная безопасность CAD-систем”, то, кроме 3D-элементов для САПР, вы ничего не увидите. Даже на сайтах самих производителей PLM-систем найти упоминания о мерах защиты непросто. Если такие меры и упоминаются, то, как правило, внимание уделяется таким вопросам, как аутентификация пользователей, обновление компонентов системы и регулярное резервирование информации. Ни о каком комплексном подходе к обеспечению защиты информации не идет и речи. Более того, складывается впечатление, что производители даже не думали о возможности несанкционированного доступа к электронным чертежам и другой аналогичной (конфиденциальной) информации.

    Отношение разработчиков к вопросам безопасности своих продуктов в своей статье «Безопасность CAD/CAM/PLM-систем» в информационно-аналитическом журнале «Rational Enterprise Management/Рациональное Управление Предприятием» проиллюстрировал А. В. Лукацкий, бизнес-консультант по безопасности компании «Cisco Systems», рассмотрев в качестве примера работу компании SDRC. «Эксперты обнаружили “дыру”

в архитектуре ее решения, через которую любой пользователь из любого места мог получить доступ к ядру системы с правами администратора, – пишет он. – SDRC проигнорировала это сообщение и не предприняла никаких мер для устранения обнаруженной уязвимости. По счастью, злоумышленники не воспользовались этой возможностью, но привести она могла к весьма печальным последствиям. Гораздо меньше повезло в этом отношении американской аэрокосмической корпорации Lockheed Martin, у которой в 1997 году была совершена кража электронных чертежей и информации о конструкции самолета-невидимки Stealth. Обвинен в этом был российский хакер».

    Как мы видим, производители PLM-продуктов не уделяют должного

внимания  вопросам безопасности их использования, что не позволяет задействовать встроенные возможности самих систем. Однако при правильном применении “внешних” защитных механизмов и мер, описанных выше, можно построить действительно защищенную систему управления жизненным циклом продукта и не беспокоиться ни об утечке информации, ни о нарушении работоспособности компонентов САПР. Какие же меры позволяют обеспечить информационную  безопасность САПР? Можно выделить восемь таких необходимых мероприятий:

1. Анализ рисков.
2. Идентификация каналов реализации потенциальных угроз.
3. Отключение неиспользуемых функций.
4. Обучение персонала.
5. Определение ответственности.
6. Разработка политики безопасности.
7. Использование встроенных механизмов защиты программного обеспечения и процедур расширенной безопасности.
8. Регулярный аудит.

Рассмотрим  подробнее каждую из перечисленных  мер. 
 

Анализ  рисков информационной безопасности 

Прежде  всего, необходимо определить, что является наиболее ценной информацией для организации, где она хранится и каков может быть ущерб от ее утери или утечки. Без ответа на эти вопросы невозможно определить целесообразность и эффективность всех остальных шагов. Анализ рисков информационной безопасности позволяет идентифицировать имеющиеся угрозы, оценить вероятность их успешного осуществления, возможные последствия для организации и правильно расставить приоритеты при реализации контрольных мер.

    Процесс анализа рисков включает в себя выполнение следующих групп задач:

• анализ ресурсов ИТ-инфраструктуры, включая информационные ресурсы, программные и технические средства, людские ресурсы, и построение модели ресурсов, учитывающей их взаимозависимости;
• анализ бизнес-процессов и групп задач, решаемых информационной системой, позволяющий оценить критичность ИТ-ресурсов, с учетом их взаимозависимостей;
• идентификация угроз безопасности в отношении ресурсов информационной системы и уязвимостей защиты, делающих возможным осуществление этих угроз;
• оценка вероятности осуществления угроз, величины уязвимостей и ущерба, наносимого организации;
• определение величины рисков для каждой тройки: угроза – группа ресурсов – уязвимость;
• ранжирование существующих рисков.

    На  основе проводимого анализа рисков разрабатывается система первоочередных мероприятий по уменьшению величины рисков до приемлемого уровня.

    Анализ рисков в области ИБ может быть качественным и количественным. Количественный анализ точнее, он позволяет получить конкретные значения рисков, но он отнимает заметно больше времени, что не всегда оправданно. Чаще всего бывает достаточно быстрого качественного анализа. Рассмотрим подробнее каждый из видов анализа. 

1.   Качественный анализ

    Существует  несколько моделей качественного  анализа. Все они достаточно просты. Варианты различаются лишь количеством  градаций риска. Одна из самых распространенных моделей — трехступенчатая. Каждый фактор оценивается по шкале “низкий  — средний — высокий”. Противники данного способа считают, что трех ступеней для точного разделения рисков недостаточно, и предлагают пятиуровневую модель. Однако это не принципиально, ведь в целом любая модель анализа сводится к простейшему разделению угроз на критические и второстепенные. Трех-, пятиуровневые и прочие модели используются для наглядности. При работе с моделями с большим числом градаций, например с пятью, у аналитиков могут возникнуть затруднения — отнести риск к пятой или к четвертой группе. Качественный анализ допускает подобные “ошибки”, поскольку является саморегулирующимся. Не критично, если первоначально риск необоснованно отнесли к четвертой категории вместо пятой. Качественный метод позволяет проводить анализ за считанные минуты. Предполагается, что такая оценка рисков будет осуществляться регулярно. И уже на следующем шаге категории будут переназначены, фактор перейдет в пятую группу. Поэтому качественный анализ также называется итерационным методом. \ 

2. Количественный  анализ

    Количественный  метод требует значительно больше времени, так как каждому фактору  риска присваивается конкретное значение. Результаты количественного  анализа могут быть более полезны  для бизнес-планирования. Однако в большинстве случаев дополнительная точность не требуется или просто не стоит лишних усилий. Например, если для оценки фактора риска надо потратить четыре месяца, а решение проблемы займет только два, ресурсы используются неэффективно. Также следует учитывать, что многие организации постоянно развиваются, изменяются. И за то время, что выполняется анализ, фактические значения рисков окажутся другими.  

    Очевидно, что приведенные выше рассуждения  говорят в пользу качественного анализа. Кроме того, эксперты считают, что, несмотря на всю свою простоту, качественный метод является весьма эффективным инструментом анализа.

    Говоря  о практических аспектах анализа, нельзя не упомянуть расчет рисков. В его  состав входят две величины — единичный  и приведенный ущерб инцидента. Единичный ущерб определяют как  произведение вероятности события  и номинального убытка. Единичный ущерб дает представление о величине потерь, однако спрогнозировать убытки на некоторое время вперед трудно. Поэтому с практической точки зрения полезнее знать приведенную величину ущерба. Приведенный ущерб — это произведение единичный ущерба и числа инцидентов за определенный период, который обычно принимают равным году. Исходя из годового прогноза, можно экстраполировать или интерполировать результат на другие промежутки времени.  

    Идентификация каналов реализации потенциальных угроз. 

    Очевидно, что для построения системы защиты, обеспечивающей информационную безопасность любой автоматизированной системы, должен соблюдаться принцип компетентности, который предполагает построение системы из разнородных средств, перекрывающих все существующие каналы реализации угрозы безопасности и не содержащих слабых мест на стыке отдельных компонентов.

    Таким образом, одной из важнейших составляющих политики безопасности является поиск потенциально опасных мест в системе защиты. Обнаружение угрозы уже процентов на семьдесят предопределяет ее ликвидацию. Зная достоверно, как в организации хранится, обрабатывается и передается информация, можно поставить надежную защиту на все потенциальные каналы реализации угрозы ее безопасности. 

Отключение  неиспользуемых функций. 

    Современные технологии разрабатываются и совершенствуются в соответствии с постоянно растущими  требованиями пользователей, и поэтому  содержат большое количество функций, которые зачастую не востребованы многими заказчиками в полном объеме. Будучи активизированными, они могут служить точкой проникновения в используемую систему (например, открывать какой-либо канал утечки информации). Поэтому любые функции САПР, не требующиеся для корректного выполнения работы, должны быть отключены. 

Обучение  персонала и определение  ответственности. 

    Согласно  данным управления по борьбе с преступлениями в сфере высоких технологий МВД за 2000 год в России было зарегистрировано 1375 компьютерных преступлений, из которых 44 были вызваны нарушением правил эксплуатации ЭВМ и их сетей. Очевидно, что за прошедшие девять лет число подобных преступлений возросло в разы. Поскольку сотрудники, работающие, скажем, с CAD-системой, не являются специалистами по обеспечению информационной безопасности, их, так же как и всех сотрудников, имеющих отношение к работе с вычислительной техникой, необходимо обучить основам защиты информации. Затраты на проведение обучающих курсов для персонала компании в любом случае не превосходят величину ущерба от инцидента, наступившего в результате осуществления непреднамеренной угрозы безопасности, возникшей по вине сотрудника компании.

    Также очевидно, что, если за соблюдение сотрудниками правил безопасности никто персонально не отвечает, то и в нанесении ущерба винить тоже некого, а следовательно, наличие должного уровня информационной безопасности в такой организации находится под большим вопросом. 

    Разработка  политики безопасности. 

    Защиту  большой информационной системы  невозможно решить без грамотно разработанной  документации по информационной безопасности — политики безопасности. Именно она помогает, во-первых, убедиться в том, что ничто важное не упущено из виду, и, во-вторых, установить четкие правила обеспечения безопасности. Только всесторонняя и экономически целесообразная система защиты будет эффективной, а сама информационная система в этом случае — защищенной.

    По  мере роста компании увеличивается  ее информационная система. Естественно, что, чем обширнее она становится, чем больше интегрирована с другими  системам, тем важнее и труднее  становится обеспечение ее информационной безопасности. Компонентов становится много, проследить их взаимосвязь —  сложно, следовательно, увеличивается  и количество средств защиты. В  такой ситуации основной задачей  становится не столько само по себе обеспечение безопасности, сколько  его целесообразность и эффективность.