Регулирование режима безопасности

Рассмотрим подробнее меры безопасности, которые ориен­тированы на людей, а не на технические средства. Именно люди формируют режим информационной безопасности и они же оказываются главной угрозой, поэтому «человеческий фактор» заслуживает первостепенного внимания. Сюда входят следую­щие вопросы:

• управление персоналом;

• физическая защита;

• поддержание работоспособности;

• реакция на нарушения режима безопасности;

• планирование восстановительных работ.

Управление персоналом начинается с приема нового сотру ника на работу и даже раньше — с составления описания дол ности. Уже на этом этапе желательно привлечение специали по информационной безопасности для определения компьют ных привилегий, ассоциируемых с должностью. Существует общих принципа, которые следует иметь в виду:

• разделение обязанностей;

• минимизация привилегий.

Принцип разделения обязанностей предписывает оаспределять роли и ответственность, чтобы один человек не мог нарушить критически важный для организации процесс. Например, нежелательна ситуация, когда платежи от имени организации выполняет один человек. Надежнее поручить одному сотруднику оформлять заявки на платежи, а другому — заверять эти заявки.

Принцип минимизации привилегий предписыва-выделять пользователям только те права доступа, которые не­обходимы им для выполнения служебных обязанностей. Назна­чение этого принципа очевидно — уменьшить ущерб от случай­ных или умышленных некорректных действий пользователей.

Проблема обучения — одна из центральных с точки зрения информационной безопасности. Если сотрудник не знаком с по­литикой безопасности своей организации, он не может стре­миться к достижению сформулированных в ней целей. Если он не знает мер безопасности, он не сможет их соблюдать. Напро­тив, если сотрудник знает, что его действия протоколируются, он, возможно, воздержится от нарушений.

Физическая защита. Безопасность компьютерной системы зависит от окружения, в котором она работает. Следовательно, необходимо принять меры для защиты зданий и прилегающей территории, поддерживающей инфраструктуры и самих компь­ютеров.

Известны следующие направления физической защиты:

• физическое управление доступом;

• противопожарные меры;

• защита поддерживающей инфраструктуры;

• защита от перехвата данных;

• защита мобильных систем.

Меры физического управления доступом позво­ляют контролировать и при необходимости ограничивать вход и выход сотрудников и посетителей. Контролироваться может все здание организации и, кроме того, отдельные помещения, на­пример, те, где расположены серверы, коммуникационная аппа-тура и т. п. Средства физического управления доступом известны давно — это охрана, двери с замками, перегородки, телекамеры датчики движения и многое другое.

Противопожарные меры. Отметим лишь крайнюю желательност установки противопожарной сигнализации и автоматических средств пожаротушения. Обратим также внимание на то, как защитные меры могут создавать новые слабости. Если на работу взят новый охранник, это, вероятно, улучшает физическое управление доступом. Если же он по ночам курит и пьет, то повышенная пожарная опасность делает его скорее врагом, чем другом организации.

К поддерживающей инфраструктуре можно нести системы электро-, водо- и теплоснабжения, кондицион ры, средства коммуникаций. В принципе к ним применимы т же требования целостности и доступности, что и к информационным системам. Для обеспечения целостности нужно защи­щать оборудование от краж и повреждений. Для поддержания доступности целесообразно выбирать оборудование с макси­мальным временем наработки на отказ, дублировать ответствен­ные узлы, всегда иметь под рукой запчасти.

Перехват данных может осуществляться самыми раз­ными способами: подсматриванием за экраном монитора, чте­нием пакетов, передаваемых по локальной сети, улавливанием стука иголок матричного принтера или кнопок на клавиатуре, анализом побочных электромагнитных излучений и наводок (ПЭМИН). К сожалению, некоторые способы перехвата данных, такие как анализ ПЭМИН, относительно доступны и дешевы, а бороться с ними трудно и дорого. Остается уповать на то, что для коммерческих систем обеспечение конфиденциальности не является главной задачей, пытаться держать под контролем ли­нии связи (например, заключать их в надувную оболочку с обна­ружением прокалывания) и разместиться в тихом особняке, по­одаль от других домов.

Мобильные и портативные компьютеры — за­манчивый объект кражи. Их довольно часто оставляют без при­смотра, в автомобиле или на работе, и унести и спрятать такой компьютер весьма несложно. Следует настоятельно рекомендо­вать шифрование данных на жестких дисках ноутбуков и лэпто­пов.

Поддержание работоспособности включает в себя рутинны действия, направленные на поддержание компьютерных систеь и имеющие отношение к информационной безопасности. Как ни странно, именно здесь таится наибольшая опасность. Нечаянные ошибки системных администраторов и пользовате грозят повреждением аппаратуры, разрушением программ и да ных; «в лучшем случае» создаются слабости, облегчающие реализацию угроз.

Недооценка факторов безопасности в повседневной работе – ахиллесова пята многих организаций. Дорогие средства безопасности теряют смысл, если они плохо документированы, нфликтуют с другим программным обеспечением, а пароль стемного администратора не менялся с момента установки.

Можно выделить следующие направления повседневной дея­тельности:

• поддержка пользователей;

• поддержка программного обеспечения;

• конфигурационное управление;

• резервное копирование;.

• управление носителями;

• документирование;

• регламентные работы.

Поддержка пользователей состоит прежде всего в консультировании и в оказании помощи при решении разного рода проблем. Иногда в организациях создают для этой цели специальный «стол справок», чаще от пользователей отбивается системный администратор. Очень важно в потоке вопросов, ум­ных и не очень, уметь выявлять проблемы, связанные с инфор­мационной безопасностью.

Поддержка программного обеспечения — одно из важней­ших средств обеспечения целостности информации. Прежде все­го, необходимо контролировать, какое программное обеспечение выполняется на компьютерах. Если пользователи могут устанав­ливать программы по своему усмотрению, это чревато заражени­ем вирусами, а также появлением утилит, действующих в обход защитных средств. Например, на любой персональный компью­тер, подключенный к сети Ethernet, можно установить програм­му — сетевой анализатор, позволяющую отслеживать весь сете­вой трафик. Обладатель такой программы может довольно быстро «выловить» пароли других пользователей и системных администраторов, получив тем самым по существу неограничен­ный доступ к сетевым ресурсам.

Конфигурационное управление позволяет контро­лировать и фиксировать изменения, вносимые в программную Фигурацию. Прежде всего, необходимо застраховаться от учайных или непродуманных модификаций, уметь как минимум возвращаться к прошлой, работающей версии. Далее, фиксация изменений позволит легко восстановить текущую версию после аварии. Лучший способ уменьшить количество ошибок в рутинной работе — в максимальной степени автоматизирок ее. Хорошим примером являются развитые средства конфигурационного управления, когда одним нажатием можно вызв внесение или откат сотен согласованных изменений.

Резервное копирование необходимо для восстано ления программ и данных после аварий. Здесь также целесообразно автоматизировать работу, как минимум сформировав кои пьютерное расписание выполнения полных и инкрементальных копий, а как максимум воспользовавшись безлюдной технологи ей фирмы Hewlett-Packard. Нужно также наладить размещение копий в безопасном месте, защищенном от пожаров и иных уг­роз. К резервному копированию следует относиться как к осоз­нанной необходимости — стоит хоть на день отступить от распи­сания и неприятности не заставят себя ждать.

Управление носителями служит для обеспечения физической защиты и учета дискет, CD, лент, печатных выдач и т. п. Управление носителями должно обеспечить конфиденци­альность, целостность и доступность информации, хранящейся вне компьютерных систем. Под физической защитой здесь по­нимается не только отражение попыток несанкционированного доступа, но и предохранение от вредных влияний окружающей среды (жары, холода, влаги, магнетизма). Управление носителя­ми должно охватывать весь жизненный цикл дискет и лент — от закупки до выведения из эксплуатации.

К управлению носителями можно отнести и контроль пото­ков данных, выдаваемых на печать. Здесь поучительно отметить необходимость сочетания различных механизмов информацион­ной безопасности. Программные средства позволяют направить конфиденциальные данные на определенный принтер, но толь­ко меры физической защиты способны гарантировать отсутствие посторонних у этого принтера.

Документирование — неотъемлемая часть информаци­онной безопасности. В виде документов оформляется почти все — от политики безопасности до журнала учета дискет. Важ­но, чтобы документация была актуальной, отражала текущее, а не прошлое состояние дел, причем отражала в непротиворечи вом виде. Здесь необходим правильный технологический подход когда документы печатаются и сшиваются способом, облегчающим внесение изменений.

К хранению некоторых документов (содержащих, например, анализ системных слабостей и угроз) применимы требования обеспечения конфиденциальности, к другим, таким как план постановления после аварий — требования целостности и дотупности (план необходимо найти и прочитать).

Регламентные работы — очень серьезная угроза без­опасности. Лицо, осуществляющее регламентные работы, получает исключительный доступ к системе, и на практике очень трудно проконтролировать, какие именно действия совершают­ся. Здесь на первый план выходит степень доверия к тем, кто вы­полняет работы. Лет двадцать назад, очевидно, предвидя волну публикаций по сертификации, Кен Томсон, один из создателей ОС UNIX, написал, что нужно верить или не верить не програм­мам, а людям, которые пишут эти программы. Если в общем виде данное утверждение можно оспорить, то применительно к регла­ментным работам оно абсолютно справедливо.