Материал: Определение требований к системе защиты корпоративной информационной системы

отказы и сбои в работе компьютерного оборудования.

К внешним нарушителям относятся лица, пребывание которых в помещениях с оборудованием без контроля со стороны сотрудников предприятия невозможно.

Внешний нарушитель осуществляет перехват и анализ электромагнитных излучений от оборудования информационной системы.

К внешним источникам угроз относятся:

·        Организации и отдельные лица;

·        Стихийные бедствия;

·        Техногенные аварии;

·        Совершения террористических актов.

Формами проявления внешних угроз являются: перехват; анализ и модификацию информации; несанкционированный доступ к корпоративной информации; информационный мониторинг со стороны конкурирующих структур, разведывательных и специальных служб; аварии, пожары, техногенные катастрофы.

Все перечисленные нами виды угроз (формы проявления) можно разделить на умышленные и неумышленные, заинтересованные и незаинтересованные в возникновении угрозы лица.

Умышленные воздействия - это целенаправленные действия злоумышленника, вызванные любопытством; хакерская атака; уязвленным самолюбием работника, попытка совершения террористических актов. В качестве злоумышленника могут выступать служащий, посетитель, конкурент, наемник, технический персонал (рабочие подсобных помещений, уборщицы и тому подобное).

Причинами неумышленных случайных воздействий при эксплуатации могут быть: аварийные ситуации из-за стихийных бедствий и отключений электропитания (природные и техногенные воздействия); отказы и сбои аппаратуры; ошибки в программном обеспечении; ошибки в работе персонала; помехи в линиях связи из-за воздействий внешней среды.

По способам воздействия на объекты информационной безопасности угрозы подлежат следующей классификации: информационные, программные, физические, радиоэлектронные и организационно-правовые.

К информационным угрозам относятся:

-   несанкционированный доступ к информационным ресурсам;

-   незаконное копирование данных в информационных системах;

-   хищение информации из библиотек, архивов, банков и баз данных;

-   нарушение технологии обработки информации;

-   противозаконный сбор и использование информации.

К программным угрозам относятся:

-   использование ошибок и "дыр" в программном обеспечении;

-   компьютерные вирусы и вредоносные программы;

-   установка "закладных" устройств.

К физическим угрозам относятся:

-   уничтожение или разрушение средств обработки информации и связи;

-   хищение носителей информации;

-   хищение программных или аппаратных ключей и средств криптографической защиты данных;

-   воздействие на персонал.

К радиоэлектронным угрозам относятся:

-   внедрение электронных устройств перехвата информации в технические средства и помещения;

-   перехват, расшифровка, подмена и уничтожение информации в каналах связи.

К организационно-правовым угрозам относятся:

-   закупки несовершенных или устаревших информационных технологий и средств информатизации;

-   нарушение требований законодательства и задержка в принятии необходимых нормативно-правовых решений в информационной сфере.

После выявления информации, составляющей коммерческую тайну, и определения источников, обладающих, владеющих или содержащих эту информацию, осуществляется выявление способов несанкционированного доступа к этой информации путем выбора из приведенной совокупности основных способов несанкционированного доступа к источникам конфиденциальной информации.

Можно выделить следующие возможные каналы утечки конфиденциальной информации (рисунок 3):

несанкционированное копирование конфиденциальной информации на внешние носители и вынос её за пределы контролируемой территории предприятия. Примерами таких носителей являются флоппи-диски, компакт-диски CD-ROM, Flash-диски и др.;

вывод на печать конфиденциальной информации и вынос распечатанных документов за пределы контролируемой территории.

Необходимо отметить, что в данном случае могут использоваться как локальные принтеры, которые непосредственно подключены к компьютеру злоумышленника, так и удалённые, взаимодействие с которыми осуществляется по сети;

несанкционированная передача конфиденциальной информации по сети на внешние серверы, расположенные вне контролируемой территории предприятия. Так, например, злоумышленник может передать конфиденциальную информацию на внешние почтовые или файловые серверы интрасети. При этом с целью маскирования своих действий нарушитель может предварительно зашифровать отправляемую информацию или передать её под видом стандартных графических файлов.

хищение носителей, содержащих конфиденциальную информацию - жёстких дисков, компакт-дисков CD-ROM и другие.

Рисунок 3. Каналы утечки конфиденциальной информации

Необходимо отметить, что независимости от назначения средства обработки и передачи информации и решаемых этим средством задач, несанкционированный доступ к информации возможен в результате осуществления злоумышленником следующих действий:

подслушивания информации, передаваемой по проводным телефонным линиям связи, с помощью предварительно установленных телефонных закладок;

дистанционного съема конфиденциальной информации с технических средств обработки и передачи информации (как правило, с ПЭВМ) с помощью предварительно установленных аппаратных закладок;

пассивного приема сигналов, передаваемых в вычислительных сетях, паразитных электромагнитных излучений и наводок, формируемых различными средствами обработки и передачи информации;

копирования (хищения) конфиденциальной информации, хранящейся в памяти персональной электронно-вычислительной машине.

Информационные риски

Информационные риски самое узкое определение - это риски утраты, несанкционированного изменения информации из-за сбоев в функционировании информационных систем или их выхода из строя, приводящие к потерям. Информационная безопасность - это состояние защищённости информационной среды. Защита информации представляет собой деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию, то есть процесс, направленный на достижение этого состояния.

Информационная безопасность предприятия дистанции электроснабжения будет обеспечена, если будут обеспечены минимальные информационные риски. Информацию, для использования в повседневной деятельности, отсутствия у руководства предприятия объективной информации (в том числе конфиденциальной), необходимой для принятия правильного решения, а также распространения кем-либо во внешней среде невыгодной или опасной для деятельности предприятия информации.

Для решения этой задачи с точки зрения системного подхода целесообразно разработать и внедрить на предприятии систему минимизации информационных рисков, представляющую собой взаимосвязанную совокупность органов, средств, методов и мероприятий, обеспечивающих минимизацию рисков утечки и разрушения необходимой для функционирования предприятия информации. Основными информационными рисками любого предприятия являются:

риск утечки и разрушения необходимой для функционирования предприятия информации;

риск использования в деятельности предприятия необъективной информации;

риск отсутствия у руководства предприятия необходимой (в том числе конфиденциальной) информации для принятия правильного решения;

риск распространения кем-либо во внешней среде невыгодной или опасной для предприятия информации.

Основными задачами, решаемыми системой минимизации информационных рисков являются:

выявление информации, подлежащей защите;

определение источников, обладающих, владеющих или содержащих эту информацию;

выявление способов несанкционированного доступа к этой информации;

разработка и внедрение организационных и технических мер защиты конфиденциальной информации.

Информация предприятия дистанции электроснабжения может быть следующих четырех уровней важности:

жизненно важная, то есть информация, утечка или разрушение которой ставят под угрозу само существование предприятия;

важная, то есть информация, утечка или разрушение которой приводит к большим затратам;

полезная, то есть информация, утечка или разрушение которой наносит некоторый ущерб, однако предприятие может достаточно эффективно функционировать и после этого;

несущественная, то есть информация, утечка или разрушение которой не наносят ущерба предприятию и не оказывают влияния на процесс его функционирования.

Риск утечки и разрушения необходимой для функционирования предприятия информации влечет следующие последствия:

·        конфиденциальная информация, передача или утечка которой к посторонним лицам повлечет за собой ущерб предприятию, его персоналу;

·        критическая информация, отсутствие или порча которой сделает невозможной повседневную работу персонала и всего предприятия в целом.

Очевидно, что информация первых трех уровней важности должна быть защищена, при этом степень защиты должна, в общем случае, определяться уровнем важности информации. Это обусловлено, главным образом тем, что степень защиты напрямую связана со стоимостью ее реализации, поэтому экономически нецелесообразно, в общем случае, защищать информацию дорогостоящими средствами защиты, если ее утечка или разрушение приводит к несущественному ущербу.

Информация первых трех уровней, как правило, относится к коммерческой тайне и определяется руководителем предприятия в соответствии с Постановлением Правительства Российской Федерации от 05.12.1991 года №35 "О перечне сведений, которые не могут составлять коммерческую тайну".

Порядок выявления информации, составляющей коммерческую тайну, определения источников, обладающих, владеющих или содержащих эту информацию должен быть следующим.

Приказом по предприятию руководителям отделов вменяется в обязанности производить работу по определению конкретных сведений, составляющих коммерческую тайну по их направлениям работы, лиц допущенных к этим сведениям, а также носителей этой информации.

Результатом этой работы должен быть утвержденный руководителем предприятия "Перечень сведений, составляющих коммерческую тайну предприятия" с указанием таких сведений по каждому из структурных подразделений; лиц являющихся носителями этих сведений; документов в которых содержатся эти сведения, а также других (технических) носителей этих сведений, если таковые имеются.

1.3 Основные положения системы защиты информации

Анализ состояния дел в сфере информации показывает, что уже сложилась вполне сформировавшаяся концепция и структура защиты, основу которой составляет:

весьма развитый арсенал технических средств защиты информации, производимых на промышленной основе;

значительное число фирм, специализирующихся на решении вопросов защиты информации;

достаточно четко очерченная система взглядов на эту проблему;

наличие значительного практического опыта.

И, тем не менее, как свидетельствует отечественная и зарубежная печать, злоумышленные действия над информацией не только не уменьшается, но и имеет достаточно устойчивую тенденцию к росту. Опыт показывает, что для борьбы с этой тенденции необходима:

. Стройная и целенаправленная организация процесса защиты информационных ресурсов. Причем в этом должны активно участвовать профессиональные специалисты, администрация, сотрудники и пользователи, что и определяет повышенную значимость организационной стороны вопроса. Кроме того, обеспечение безопасности информации не может быть одноразовым актом. Это непрерывный процесс, заключающийся в обосновании и реализации наиболее рациональных методов, способов и путей совершенствования и развития системы защиты, непрерывном контроле ее состояния, выявлении ее узких и слабых мест и противоправных действий;

. Безопасность информации может быть обеспеченна лишь при комплексном использовании всего арсенала имеющихся средств защиты во всех структурных элементах производственной системы и на всех этапах технологического цикла обработки информации. Наибольший эффект достигается тогда, когда все используемые средства, методы и меры объединяются в единый целостный механизм систему защиты информации (СЗИ). При этом функционирование системы должно контролироваться, обновляться и дополняться в зависимости от изменения внешних и внутренних условий.

Следовательно можно представить систему защиты информации как организационную совокупность специальных органов, средств, методов и мероприятий, обеспечивающих защиту информации от внутренних и внешних угроз.

Рисунок 4. Модель построения корпоративной системы защиты информации

С позиций системного подхода к защите информации предъявляются определенные требования. Защита информации должна быть:

. Непрерывной. Это требование проистекает из того, что злоумышленники только и ищут возможность, как бы обойти защиту интересующей их информации.

. Плановой. Планирование осуществляется путем разработки каждой службы детальных планов защиты информации в сфере ее компетенции с учетом общей цели предприятия (организации).

. Целенаправленной. Защищается то, что должно защищаться в интересах конкретной цели, не все подряд.

. Конкретной. Защите подлежат конкретные данные, объективно подлежащие охране, утрата которых может причинить организации определенный ущерб.

. Активной. Защищать информацию необходимо с достаточной степенью настойчивости.

. Надежной. Методы и формы защиты должны надежно перекрывать возможные пути непрерывного доступа к охраняемым секретам, независимо от формы их представления, языка выражения и вида физического носителя, на котором они закреплены.

. Универсальной. Считается, что в зависимости от вида канала утечки или способа несанкционированного доступа его необходимо перекрывать, где бы он ни проявлялся, разумными и достаточными средствами, независимо от характера, формы и вида информации.

. Комплексной. Для защиты информации во всем многообразии структурных элементов должны применяться все виды и формы защиты в полном объеме. Недопустимо применять лишь отдельные формы или технические средства.

Комплексный характер защиты проистекает из того, что защита - это специфическое явление, представляющее собой сложную систему неразрывно взаимосвязанных процессов, каждый из которых в свою очередь имеет множество различных взаимно обусловливающих друг друга сторон, свойств, тенденций.

Таким образом, для обеспечения выполнения столь многогранных требований безопасности система защиты информации должна удовлетворять определенным условиям:

охватывать весь технологический комплекс информационной деятельности; быть разнообразной по используемым средствам,

многоуровневой с иерархической последовательностью доступа; быть открытой для изменения и дополнения мер обеспечения безопасности информации;

быть нестандартной, разнообразной, при выборе средств защиты нельзя рассчитывать на неосведомленность злоумышленников относительно ее возможностей;

быть простой для технического обслуживания и удобной для эксплуатации пользователям;

быть надежной, любые поломки технических средств являются причиной появления неконтролируемых каналов утечки информации;