Создание комплексной системы информационной безопасности выделенного объекта

Существует много различных  интерпретаций слова "открытый". В международном стандарте открытая система определяется как прикладное окружение, основанное на интерфейсных стандартах, обеспечивающих переносимость  приложений, "переносимость " пользователей  и возможность совместной работы.

В случае системы информационной безопасности как информационной системы "открытость" означает следующее:

– наличие в компании стандартов и процедур, касающихся технологии выполнения всех без исключения значимых операций по управлению ресурсами  компании (финансы, кадры, клиентура, материальные ценности и т.д.), включающих в себя требования безопасности, как неотъемлемую часть стандартов и процедур;

– возможность перенесения  этих стандартов и процедур на новые  продукты, технологии и подразделения  компании;

– обучение персонала правилам безопасности и "прозрачность" для  него специфических мер по реализации мероприятий безопасности;

– знание сотрудниками, отвечающими  за информационную безопасность, технологий бизнеса, применяемых в компании;

– совместная работа сотрудников, отвечающих за информационную безопасность, с сотрудниками других подразделений  компании по выполнению производственных проектов, использование ресурсов системы  безопасности для содействия в их реализации, наличие обратной связи  от сотрудников компании;

– способность получения, анализа обработки информации от любых источников;

– способность взаимодействия с аналогичными структурами безопасности коммерческих структур и правоохранительными  органами;

– возможность выдачи информации, в том числе прогностической, непосредственно топ-менеджменту  компании и лицу, принимающему решение, без промежуточных инстанций, интерпретирующих данные.

Такая структура системы  информационной безопасности полностью  соответствует основным свойствам  открытых систем, таким как расширяемость/масштабируемость (extensibility/ scalability), переносимость (portability), способность к взаимодействию с другими системами (interoperability) и дружественность к пользователю (driveability).

Построение системы информационной безопасности предприятия по этим принципам  позволяет сэкономить значительные средства и эффективно использовать ресурсы компании. В этом случае выполнение мероприятий по повышению  уровня безопасности производится всеми  элементами управляемой подсистемы, каждым сотрудником компании. Роль сотрудников системы безопасности в данном случае возрастает. Они  становятся менеджерами, управляющими безопасностью на выделенных им в  производство участках ответственности. Сотрудники системы безопасности становятся аналитиками, собирающими и анализирующими информацию о состоянии управляемой  подсистемы, наличии и серьезности  источников угроз, разрабатывающими мероприятия  по локализации угроз и выдающими  управляющие воздействия на связанные  с ними части управляемой подсистемы для реализации запланированных  мероприятий.

Естественно, несоизмеримо повышается роль образования сотрудников  системы безопасности, как специального оперативного, так и экономического, финансового и технологического.

 

 

2. Общие характеристики  защищаемого объекта 

 

2.1. Выявление каналов  утечки информации 

 

При разработке сложных автоматизированных систем увеличивается количество схемных, системотехнических, структурных, алгоритмических  программных ошибок. На их увеличение в процессе проектирования влияет   много других факторов: квалификация разработчиков, условия их работы, наличие опыта и др. К ошибкам человека как звена системы нужно относить ошибки человека как источника информации, человека-оператора, ошибочные действия обслуживающего персонала и ошибки человека, как звена, которое принимает решение. Ошибки человека могут делиться на логические (неправильно принятое решение), сенсорные (неправильное восприятие оператором информации) или моторные (неправильная реализация решения). Интенсивность ошибок человека может колебаться в широких границах: от 1-2% до 15-40% и выше от общего количества операций, которые выполняются при решении задачи. Хотя человек как элемент системы имеет, в сравнении с техническими средствами, ряд преимуществ, ему, в то же время, присущ ряд недостатков, основными из которых являются: утомляемость,  чувствительность к изменениям окружающей среды, зависимость качества работы от физического состояния, эмоциональность.

Умышленные угрозы связаны  с действиями человека, причинами  которых могут быть определенное недовольство своей жизненной ситуацией, сугубо материальный интерес или  простое развлечение с самоутверждением своих способностей, как у хакеров, и т.п. Следует отметить, что изучение мотивов поведения нарушителя не является целью работы. Потенциальные  угрозы с этой стороны рассматриваются  только в техническом аспекте.

Для постановки более конкретной задачи следует проанализировать объект защиты информации на предмет ввода-вывода, сохранения и обработки информации и возможностей нарушителя по доступу  к информации при отсутствии средств  защиты в данной автоматизированной системе. 
           Для таких систем в этом случае характерные следующие штатные каналы доступа к информации:

·        терминалы пользователей;

·        терминал администратора системы;

·        терминал оператора функционального контроля;

·        средства отображения информации;

·        средства документирования информации;

·        средства загрузки программного обеспечения в вычислительный комплекс;

·        носители информации (ОЗУ,  бумажные носители);

·        внешние каналы связи.

Очевидно, что при отсутствии законного пользователя, контроля и  разграничения доступа к терминалу  квалифицированный нарушитель легко  воспользуется его функциональными  возможностями для НСД к информации путем ввода соответствующих  запросов или команд. При наличии  свободного доступа в помещение  можно визуально наблюдать информацию на средствах отображения и документирования, а на последних – похитить бумажный носитель, снять лишнюю копию, а также  похитить другие носители с информацией.

Особую опасность представляет собой бесконтрольная загрузка программного обеспечения компьютера, в котором  могут быть измененные данные, алгоритмы  или "троянский конь", программа, которая выполняет дополнительные незаконные функции: запись информации на посторонний носитель, ее передачу в каналы связи другого абонента вычислительной сети, занесение в  систему компьютерного вируса и  т.п. При отсутствии разграничения  и контроля доступа к технологической  и оперативной информации доступ к последней возможен с терминала  функционального контроля. Опасна ситуация, когда нарушителем является пользователь  системы, который по своим функциональным обязанностям имеет законный доступ к одной части информации, а обращается к другой за пределами своих полномочий. Со стороны законного пользователя существует много способов нарушить работу вычислительной системы, злоупотреблять ею, извлекать, модифицировать или уничтожать информацию. С этой целью могут использоваться привилегированные команды ввода-вывода, отсутствие контроля законности запроса и обращений к адресам памяти запоминающих устройств и т.п. При этом нарушитель может подавить системную библиотеку своей библиотекой, а модуль, который загружается из его библиотеки, может быть введен в супервизорном режиме. Это разрешит ему обращаться к чужим файлам данных и при необходимости изменить их или скопировать. При техническом обслуживании (профилактике и ремонте) аппаратуры может быть выявлена остаточная информация на магнитных и других носителях. Стирание информации обычными методами при этом не всегда эффективно. Создание системы контроля и разграничения доступа к информации на программном уровне не имеет смысла, если не контролируется доступ к средствам управления компьютера, внутреннему монтажу аппаратуры, кабельным соединениям.

Нарушитель может стать  незаконным пользователем системы  в режиме разделения времени, определив  порядок работы законного пользователя или работая вслед за ним по одним и тем же линиям связи. Он может также использовать метод  проб и ошибок и реализовать "дыры" в операционной системе, прочитать  пароли. Без знания паролей он может  осуществить "селективное" включение  в линию связи между терминалом и процессором компьютера и без  прерывания работы законного пользователя продолжить ее от его имени.

Процессы обработки, передачи и сохранения информации аппаратными  средствами автоматизированной системы  обеспечиваются срабатыванием логических элементов, построенных на базе полупроводниковых  приборов, выполненных наиболее часто  в виде интегральных схем. Срабатывание логических элементов, обусловленное  высокочастотным изменением уровней  напряжений и токов, приводит к возникновению  в эфире, цепях питания и заземления, а также в параллельно расположенных  цепях и индуктивностях посторонней  аппаратуры, электромагнитных полей  и наводок, которые несут в  амплитуде, фазе и частоте своих  колебаний признаки обрабатываемой информации.

Использование нарушителем  различных приемников может привести к утечке информации. С уменьшением  расстояния между приемником нарушителя и аппаратными средствами вероятность  приема сигналов такого рода увеличивается. Непосредственное подключение нарушителем  приемной аппаратуры или специальных  датчиков к цепям электропитания и заземления и к каналам связи  также позволяет осуществить  несанкционированное ознакомление с информацией, а несанкционированное  подключение к каналам связи  указанной аппаратуры может привести и к модификации информации. 

 

2.2. Анализ защищенности  выделенного объекта 

 

Необходимо составить  перечень объектов, которые подлежат защите, и субъектов, которые задействованы  в данном информационном пространстве и будут влиять на информационную защиту системы. При этом необходимо не просто составить перечень, а  указать ряд особенностей того или  иного объекта, т.е. кратко описать  его с точки зрения информационной безопасности. Чем подробнее описание на начальном этапе, тем легче  в дальнейшем производить уточнения  и строить окончательную модель защиты.

Данная работа обычно инициируется службой информационной безопасности, но выполняется обычно с привлечением специалистов других служб. Это происходит потому, что специалисты по безопасности скорее всего не обладают полным видением модели и способов функционирования конкретного объекта или информационной системы, которым обладает администратор  системы или ее активные пользователи.

На первом этапе уполномоченный специалист службы информационной безопасности составляет, при необходимости консультируясь с подразделением информационных технологий, общий список объектов/систем и связанных  с ними субъектов. Затем в этот список вносятся первичные характеристики объектов с целью описать их именно с точки зрения информационной безопасности. На следующем этапе начинается работа с администраторами (если таковые  есть), пользователями и/или бизнес-менеджерами  объектов и систем. В рамках заданных специалистом по безопасности характеристик  они производят уточнения и дополнения описаний объектов, с тем чтобы  описать де-факто сложившиеся  процедуры и способы работы с  системой для выявления в дальнейшем возможных уязвимостей   и  угроз. Получение данных о субъектах специалист по безопасности может производить самостоятельно, опираясь на данные, полученные  из описаний работы с объектами/системами,  либо он может выделить его в отдельный раздел, ориентированный только на субъектов.

Проведение  такого рода обследования обычно осуществляется по следующей схеме:

-         общее знакомство с системой, визуальный осмотр физического размещения, отдельных компонент или составляющих;

-         предварительная беседа с администратором/менеджером об общем направлении функционирования системы;

-         ознакомление с документацией по информационной системе;

-         составление описания системы с точки зрения информационной безопасности;

-         уточнение описания на основе работы с документацией и с привлеченными специалистами.

Необходимо отметить, что  для качественной дальнейшей работы данные характеристики следует хорошо структурировать, например, по следующим  параметрам:

1.     Аппаратное обеспечение информационной системы  (компьютеры, модемы, маршрутизаторы, мосты, повторители, принтеры и прочие периферийные устройства).

2.     Отдельно можно выделить сетевое обеспечение (сетевые кабели, разъемы, розетки, коннекторы и т. п.).

3.     Системное программное обеспечение (операционная система, другие средства создания среды работы, например, программы резервного копирования или СУБД).

4.     Прикладное программное обеспечение, т. е. программы, выполняющие собственно производственные, вспомогательные и сопутствующие производству функции.

5.     Организационное обеспечение, т. е. пользователи или субъекты системы и их функциональные обязанности в системе.

6.     Нормативное обеспечение – правила и инструкции работы с системой, возможно, отдельные выдержки из них.

7.     Данные – информация, которая используется в работе системы в ее производственном значении.

В зависимости от конкретной организации, описание может быть дополнено  другими разделами. например, можно  включать функциональное назначение отдельных  объектов системы.

Кроме того, необходимо определиться с тем, что считать отдельным  объектом системы, подлежащим защите. Если взять в качестве примера  систему с трехзвенной архитектурой (клиент – сервер приложений – сервер данных), то в зависимости от особенностей, классификация может быть различной. Можно посчитать всю систему  единым объектом, а можно каждое звено рассматривать отдельно (получив  три объекта). 

 

2.3. Разработка  модели угроз 

 

Для обеспечения защиты информации необходимо знать, какие убытки можно  понести в случае потери информации. Очевидно, что затраты на защиту не должны превышать возможных убытков  при потере информации. Таким образом, необходимо ввести меру ценности информации, то есть определить, в каком смысле следует понимать ее ценность.