ВВЕДЕНИЕ

Любая компания, ведущая успешный бизнес, не может не использовать в своей деятельности информационные технологии. Информация, доверяемая технике, зачастую во много раз дороже самой техники, поэтому в современном деловом мире большое внимание уделяется защите информации.

Специалистам по информационным технологиям, занимающимся внедрением комплексных систем защиты информации, наверняка хотелось бы создать или получить в свое пользование некую универсальную систему, решающую все задачи обеспечения сетевой безопасности. Система подобного типа должна вести учет использования системных ресурсов, производить аутентификацию пользователей, управлять доступом к ресурсам на системном и сетевом уровне, обеспечивать криптографическую защиту данных при хранении и передаче, поддерживать все операции с ключевой информацией, обеспечивать антивирусную защиту. При этом система должна быть полностью управляемой, иметь прозрачный интерфейс подключения криптобиблиотек, обладать программно-технической совместимостью с продуктами и оборудованием других производителей и абсолютной надежностью при работе, как в глобальных, так и локальных сетях. И кроме этого должна превышать все известные аналоги по производительности.

РЕЖИМ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРЕДПРИЯТИЯ

Формирование режима информационной безопасности - проблема комплексная. Меры по ее решению можно разделить на четыре уровня:

1) законодательный (законы, нормативные акты, стандарты и т.п.);

2) административный (действия общего характера, предпринимаемые руководством организации);

3) процедурный (меры безопасности, имеющие дело с людьми);

4) программно-технический (технические меры).

Законодательный уровень

В настоящее время наиболее подробным законодательным документом в области информационной безопасности является новая редакция Уголовного кодекса РФ, вступившая в силу в мае 1996 г. Уголовный кодекс стоит на страже всех аспектов информационной безопасности - доступности, целостности, конфиденциальности, предусматривая наказания за "уничтожение, блокирование, модификацию и копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети".

Кроме этого, в рамках серии документов Гостехкомиссии при Президенте РФ подготовлен руководящий документ, устанавливающий классификацию межсетевых экранов (firewalls, или брандмауэров) по уровню обеспечения защищенности от несанкционированного доступа (НСД). Это принципиально важный документ, позволяющий упорядочить использование защитных средств.

Согласно нормативным актам средства обеспечения информационной безопасности, используемые на территории РФ, подлежат сертификации в Гостехкомиссии при Президенте РФ, а те же средства для защиты автоматизированных систем, классифицированных по классам защищенности 1А, 1Б и 2А, обязательно включают в свой состав средства шифрования, предварительно сертифицированные в ФАПСИ. Риск, связанный с использованием не сертифицированных средств обеспечения безопасности, лежит на владельце этих средств:

• государственным предприятиям запрещено использовать шифровальные средства, не имеющие сертификата ФАПСИ;

• юридическим и физическим лицам запрещено заниматься разработкой или эксплуатацией шифровальных средств, не имея соответствующей лицензии на подобную деятельность, выданную ФАПСИ;

• запрещено размещение государственных заказов на предприятиях, использующих не сертифицированные ФАПСИ шифровальные средства.

Административный и процедурный уровень.

Разработка сетевых аспектов политики безопасности

Политика безопасности определяется как совокупность документированных управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов. При разработке и проведении ее в жизнь целесообразно руководствоваться следующими принципами:

• невозможность миновать защитные средства;

• усиление самого слабого звена;

• невозможность перехода в небезопасное состояние;

• минимизация привилегий;

• разделение обязанностей;

• эшелонированность обороны;

• разнообразие защитных средств;

•простота и управляемость информационной системы;

•обеспечение всеобщей поддержки мер безопасности.

Принцип невозможности перехода в небезопасное состояние означает, что при любых обстоятельствах, в том числе нештатных, защитное средство либо полностью выполняет свои функции, либо полностью блокирует доступ. Принцип минимизации привилегий предписывает выделять пользователям и администраторам только те права доступа, которые необходимы им для выполнения служебных обязанностей.

Принцип разделения обязанностей предпола­гает такое распределение ролей и ответственности, при котором один человек не может нарушить критически важный для организации процесс. Это особенно важно, чтобы предотвратить злонамеренные или неквалифицированные действия системного администратора. Принцип эшелонированности обороны предписывает не полагаться на один защитный рубеж, каким бы надежным он ни казался. За средствами физической защиты должны следовать программно-технические средства, за идентификацией и аутентификацией - управление доступом и как последний рубеж - протоколирование и аудит. Эшелонированная оборона способна, по крайней мере, задержать злоумышленника, а наличие такого рубежа, как протоколирование и аудит, существенно затрудняет незаметное выполнение злоумышленных действий. Принцип разнообразия защитных средств рекомендует организовывать различные по своему характеру оборонительные рубежи, чтобы от потенциального злоумышленника требовалось овладение разнообразными и, по возможности, несовместимыми между собой навыками (например, умением преодолевать высокую ограду и знанием слабостей нескольких операционных систем). Очень важен принцип простоты и управляемости информационной системой в целом и защитных средств в особенности. Только для простого защитного средства можно формально или неформально доказать его корректность. В этой связи важно отметить интегрирующую роль Web-сервиса, скрывающего разнообразие обслуживаемых объектов и предоставляющего единый, наглядный интерфейс. Соответственно, если объекты некоторого вида (скажем, таблицы базы данных) доступны через Web, необходимо заблокировать прямой доступ к ним, поскольку в противном случае система будет сложной и трудноуправляемой.

Всеобщая поддержка мер безопасности

Последний принцип - всеобщая поддержка мер безопасности - носит нетехнический характер Анализ рисков - важнейший этап выработки политики безопасности. При оценке рисков, нужно учитывать следующие обстоятельства:

· новые угрозы по отношению к старым сервисам, вытекающие из возможности пассивного или активного прослушивания сети. Пассивное прослушивание означает чтение сетевого трафика, а активное - его изменение (кражу, дублирование или модификацию передаваемых данных). Например, аутентификация удаленного клиента с помощью пароля многократного использования не может считаться надежной в сетевой среде, независимо от длины пароля;