46
В момент обращения к удаленным файлам АС на ПК включается сетевое
ПО, переопределяющее функции взаимодействия с файловой системой ОС и тем
самым для самого ПК, создает единое файловое пространство между ним и файл-
сервером. Т.к. работа с файлами реализуется через функции ОС, находящейся на
ПК, сетевое ПО дополняет эти функции так, что взаимодействия с ними со стороны
прикладного уровня АС реализуется так же, как и в обычном режиме. Это помогает
поддерживать нормальную работу пользовательского и прикладного уровня ПО
рабочей станции АС.
Выделим список реализуемых крипто модулем функций в процессе работы с
файлами:
• Создание нового файла;
• Открытие уже созданных файлов;
• Закрытие использованных файлов;
• Чтение данные из открытого файла;
• Запись данных в открытый файл.
Выделим пару основных потенциальных действий злоумышленника:
• Отправка запроса к файлу на файл-сервере с рабочего ПК, у которого
нет ключа дешифрования;
• Перехват данных в схеме «ПК-сервер».
Первое действие отклоняется, т.к. шифрование данных реализуется только в
ОЗУ рабочего ПК АС и запись - считывание данных с диска файл-сервера или
рабочего ПК происходит только в шифрованном виде. Аналогично отклоняется и
второе действие – обмен по схеме «ПК-сервер» реализуется на уровнях 3 - 5, когда
шифрование уже реализовано, а процесс дешифрования еще не начался.
Отсюда следует то, что метод динамического шифрования при условии
инвариантности к прикладному ПО рабочего ПК становится наилучшим выбором
(поддерживает минимальную вероятность доступа к незашифрованным данным) по
сравнению с остальными методами использования средств криптографии.
Отдельной модификацией описанного метода становится также принцип
прикладного крипто сервера. При его работе выделяется активный аппаратный
компонент АС (обычно это выделенный рабочий ПК), которому открыт групповой
ресурс со всеми субъектами, требующими криптографической реализации. В
47
момент создания файла, принадлежащего общему ресурсу, и записи в него данных,
происходит автоматическое шифрование всей информации или фиксация ее
целостности. Также на прикладном крипто сервере можно внедрить функцию
изоляции защищенного объекта - файла, которая заключается в его перемещении в
отдельный групповой массив (директорию). Процесс обратного изменения (или
проверки целостности) реализуется аналогичным образом в других массивах
данных.
Для субъекта рабочего ПК такой процесс представляется как автоматическое
шифрование (или внедрение цифрового ключа в файл) при записи в заранее
выбранную директорию на файловом сервере и образование зашифрованного
файла в совершенно другой директории.
Реализация прикладного крипто сервера часто используется для
криптозащиты электронных документов в гетерогенной АС или для соединения с
телекоммуникационными системами.
Криптографические методы сейчас становятся базовыми для поддержания
надежной аутентификации сторон обмена данными, ЗИ в транспортной подсистеме
АС, гарантии целостности объектов АС и т.д.
К современным СКЗИ можно отнести аппаратные, программно-аппаратные
и программные средства, которые поддерживают криптографические алгоритмы
шифрования данных с целью:
• ЗИ при ее получении, анализе и пересылке по транспортной среде АС;
• Гарантии достоверности и целостности данных (в том числе с
применением алгоритмов цифровой подписи) при их получении, хранении и
пересылке по транспортной среде АС;
• Подготовка данных, используемых для выявления и определения
субъектов, пользователей и устройств;
• Подготовка данных, используемых для сохранения определяющих
элементов защищенной АС при их разработке, сохранении, анализе и пересылке.
Также допустимо, что СКЗИ могут применяться в некоторой АС совместно с
механизмами реализации и гарантирования политики ИБ.
1.4 Выбор защитных мер
1.4.1 Выбор организационных мер
48
В качестве стратегии обеспечения информационной безопасности выбираем
упреждающую стратегию, как так только в этом случае обеспечивается защита от
всех возможных угроз и рисков. В этом случае для соблюдения требований по
обеспечению информационной безопасности в ООО «Стройснаб» необходимо
разработать внедрить политику безопасности, так как именно этот документ
является организационно-административной основой информационной
безопасности предприятия.
Сама политика ИБ становится одним из важных элементов управления
защитой данных и подразумевает наличие разных аспектов обеспечения ИБ.
Возможные требования, правила и принципы так или иначе связываются с
обеспечением ИБ компании, и затем уже находят свое отражение в созданной
политике. Также под политикой ИБ часто понимают и ее конкретную реализацию,
которая представляется в виде конфигурации с программно-аппаратными
компонентами защиты данных. Именно поэтому политика ИБ обязана определять
точные правила того, кто, каким образом и в каком объеме будет реализовывать
защищенность данных, будь то межсетевой экран или персонал, который
обслуживает сервисные помещения.
И так понятно, что политика ИБ состоит не из одного документа, а имеет
целый набор документации по разным формам реализации ИБ. Подобные
документы так или иначе связаны между собой и преследуют одну и тужу цель –
защиту данный и активов компании. Ясно и то, что правила политики ИБ, которые
задаются в средствах защиты данных, должны быть созданы именно на основе этих
документированных политик. А вот главной проблемой при разработке и
реализации политики ИБ является невозможность четкой формализации того,
каким образом должны выглядеть готовые документы и сколько их должно быть
вообще. Также, сама задача разработки правил политики ИБ на основании средств
защиты усложнена еще и тем, что разные производители используют разные
способы задания таких политик. Это придает дополнительные трудности переноса
положений задокументированной политики на конкретное рабочее место. И
конечно, это приводит к снижению результативности процесса создания и
внедрения политики ИБ.
49
Руководящий состав подразделений ООО «Сервис Групп Плюс» должен
обеспечивать постоянный контроль соблюдения всех политик ИБ. Также важно
организовать периодическую проверку соблюдения норм ИБ с дальнейшим
предоставлением отчета относительно результатов указанной проверки
руководству.
Пункты политики затрагивают всю информацию и ресурсы обработки
данных ООО «Сервис Групп Плюс». Выполнение политики обязательно для всех
сотрудников – как новых, так и постоянных. Договора, которые заключаются с
третьими лицами, получающими доступ к данным компании ООО «Сервис Групп
Плюс» также должны быть оговорены правила и обязанности третьего лица по
соблюдению всех требования политики ИБ.
К частному виду политики Ию можно отнести сетевую политику. Сетевая
политика (network security police) предполагает набор функций, правил и
инструкций, которые помогают понять подход компании к работе с сетевыми
ресурсами и устанавливают те меры, с помощью которых может защищаться и
сетевая инфраструктура, и сетевые сервисы компании. По своей сути, сетевая
политика уделяет особое внимание контролю сетевого траффика и его
использования, показывает сетевые ресурсы и угрозы, возможности сети и ее
реальное использование, а также разные детальные планы действий при угрозах
нарушения политики.
Обычно такой тип политики включает в себя высокоуровневые требования к
организации и защите сети, расположению и назначению ССЗ. Под ССЗ
понимается программное, программно-аппаратное средство или его отдельный
компонент, которое прямо или косвенно используется в защите данных,
передаваемых по ЛВС.
Более развернутое требование обычно имеется в политике относительно
низкого уровня по управлению и отладке ССЗ: межсетевого экрана, систем
обнаружения и предотвращения вторжений, утечек данных, криптографических
шлюзов, коммутаторов и маршрутизаторов. Для примера можно рассмотреть
политику ИБ для МЭ.
Сама политика МЭ значительно отличается от ИБ более высоких уровней,
т.к. является обычным описанием того, как будет осуществляться и связанными с
50
ней механизмами безопасности. Данная политика описывает то, как сам МЭ будет
обращаться с сетевым трафиком, а также как МЭ будет обновляться и управляться.
Почти все МЭ используют правила в качестве механизма управления
безопасностью. Смысл этих правил определяет фактическую функциональность
МЭ, и в зависимости от используемой архитектуры МЭ все правила могут иметь
разное количество данных.
Чтобы управлять такой конфигурацией МЭ обычно применяется один из
двух механизмов. Первый – интерфейс командной строки, который дает
возможность самому администратору настраивать МЭ путем добавления команд в
командной строке. Подобная система может иметь ошибки, связанные с неверным
набором команды. Однако плюсом является то, что достаточно опытный
администратор может настроить МЭ и отреагировать на нештатную ситуацию
намного быстрее, чем при использовании графического интерфейса.
Второй механизм подразумевает настройку МЭ через графический
интерфейс. Такой способ довольно простой и дает возможность администратору
отлаживать сложные системы за малый промежуток времени. Основная проблема
графического интерфейса – малая детализация. Многие современные МЭ имеют
настройки, которые недоступны в графическом интерфейсе. При таком случае
нужно настраивать конфигурацию при использовании командной строки.
В итоге правила сетевой политики ИБ создаются в качестве конфигурации
для того или иного ССЗ. В дальнейшем под конфигурацией понимаем
совокупность параметров ССЗ, которые задают ее функционирование.
Основываясь на приведенных выше требованиях и особенностях политик
для ССЗ, можно сделать вывод, что почти все типы политик, а также другие
правила, задаваемые в самой ССЗ, связаны между собой. Сетевая политика ИБ
выражается из политики ИБ компании и полностью с ней согласована. В свою
очередь, политика конкретного ССЗ служит дополнением для сетевой политики ИБ
и выражает ее положения для отдельной системы безопасности. Все правила,
задаваемые в ССЗ, по сути – это воплощение крайней политики на практике.
Поэтому, чтобы система управления ИЮ стала эффективной, она обязана включать
политики всех уровней.
Также любая политика должна удовлетворять некоторым требованиям:
51
• Обоснованность. Как для каждого правила, так и для всей политики
должно быть обоснование применения. Т.е. в политике должно быть сказано, по
каким причинам вводится конкретное правило (политика). На этапе
непосредственной реализации правил также важно указывать комментарии к ним.
• Простота и однозначность. Все правила политики должны быть
построены таким образом, чтобы они не могли трактоваться двусмысленно. Также
правила должны быть максимально простыми для понимания всеми. Этот подход
применим и при написании документированных политик, так и при задании правил
в ССЗ методом набора нужных команд или при использовании графического
интерфейса. Реализация всех требования сможет сделать политику более
эффективной и значительно уменьшит шанс того, что правило просто
проигнорируется. Также правила, соответствующие данным требованиям, удобно
обновлять, редактировать и проверять.
• Частота тестирования и обновления. Правила нужно регулярно
проверять и дополнять в соответствии с возможными угрозами ИБ. Выполнение
периодического тестирования и обновления политик даст возможность более
эффективно управлять ИБ. А чтобы это процесс был максимально простым,
политика должна соответствовать указанным выше требованиям. Тестирование и
обновления проходят политики всех уровней: конфигурация ССЗ должна
соответствовать требованиям политики для данного ССЗ, которая также
согласовывается с политикой сетевой безопасности.
Основными направлениями мер по обеспечению политики ИБ предприятия
являются:
• работа с персоналом;
• обеспечение физической безопасности оборудования;
• обеспечение безопасности при разработке и сопровождении
информационных подсистем;
• обеспечение безопасности при взаимодействии с внешними системами
и сторонними организациями;
• защита информации от утечки по техническим каналам;
• организация контроля эффективности принимаемых мер защиты.
52
Для придачи законности применяемой стратегии и определении мер
противодействия угрозам и защиты информации применяются внутренние
документы по обеспечению политики безопасности, должностные обязанности,
регламент работы с информационными ресурсами.
Для обеспечения правовой поддержки при появлении различных угроз
используются нормативные акты РФ, такие как гражданский кодекс, уголовный
кодекс, закон о персональных данных, закон о коммерческой тайне.
Для обеспечения безопасности[3] компании необходимо использовать
комплекс мер.
Комплексная система защиты информации должна удовлетворять
следующим требованиям:
• обеспечивать безопасность информации, средств информатизации,
защиту интересов участников информационных отношений;
• быть, по возможности, прозрачной для участников информационного
обмена, не создавать им излишних неудобств, связанных с дополнительными
процедурами проверки, надзора, контроля за доступом и т.д;
• реализовывать различные методы управления: жесткие
(административные) и мягкие (рекомендательного характера).
Защита корпоративного информационного ресурса осуществляется с
применением административно методов, реализуемых в форме заказа, системы
стандартов качества, а также ответственности производителя перед потребителем.
Директивные формы управления реализуются в виде:
• обязательных для выполнения норм, требований и инструкции;
• независимой системы контроля;
• системы ответственности за допущенные нарушения;
• анализа результатов функционирования подсистем и их корректуры.
Сбор, обработка и передача информации в компании «Стройснаб»
происходит с помощью специальных технических средств. К ним относятся:
электронно-вычислительная техника, автоматические телефонные станции,
телефоны, факсимильные аппараты и тому подобное.
Наряду с ТСПИ в помещениях устанавливаются технические средства и
системы, непосредственно не участвующие в обработке конфиденциальной
53
информации, но использующиеся совместно с ТСПИ и находящиеся в зоне
электромагнитного поля, создаваемого ими. Такие технические средства и системы
называются вспомогательными техническими средствами и системами (ВТСС). К
ним относятся системы пожарной и охранной сигнализации, электрификации,
радиофикации, часофикации, электробытовые приборы и т.д.
Наиболее вероятна утечка информации по ВТСС, имеющих выход за
пределы контролируемой зоны - зоны, в которой гарантировано пресекается
появление лиц и транспортных средств, неимеющих правадоступа на территорию
ТСПИ. К таким ВТС относятся провода заземления, трубы водопроводных,
канализационных, отопительных сооружений, другие токопроводящие
конструкции.
Для добывания информации, обрабатываемой техническими средствами,
лицо, заинтересованное в получении этой информации, может использовать
широкий арсенал портативных технических средств разведки (ТСР).
Ответственность за состояние защиты информации возлагается на
соответствующее подразделение и лиц службы безопасности. Применительно к
рассматриваемому предприятию предполагается обеспечивать инженерно-
техническую защиту информационных ресурсов предприятия группой инженерно-
технической защиты, которая, как вариант, может состоять из старшего инженера
(инженера) - руководителя группы и инженера (техника) по специальным
измерениям.
Основные задачи группы:
обследование выделенных помещений с целью установления
потенциально возможных каналов утечки конфиденциальной информации через
технические средства, конструкции зданий и оборудования;
выявление и оценка степени опасности технических каналов утечки
информации;
разработка мероприятий по ликвидации (предотвращению утечки)
потенциальных каналов утечки информации;
организация контроля (в том числе и инструментального) за
эффективностью принятых защитных мероприятий, анализ результатов контроля и
разработка предложений по повышению надежности и эффективности мер защиты;
54
подготовка заявок на приобретение технических средств защиты
информации, участие в их установке, эксплуатации и контроле состояния.
Кроме того, на группу инженерно-технической защиты информации
целесообразно возложить также технические вопросы охраны носителей
информации.
Интернет должен использоваться только для работы.
Административная безопасность предполагает безопасные способы ведения
документации, использование неких методов разработки и принятия программ, а
также наличие процедур обработки инцидентов при возможных нарушениях
систем безопасности.
Подобный способ обеспечения защиты данных предполагает, что для
каждый системы будет разработан механизм ведения деловой деятельности
компании, предусматривающий также возможность появления непредвиденных
обстоятельств (ликвидацию последствий наращения системы безопасности) и
включающий в себя определенную стратегию и некоторый план.
Оборонительная стратегия означает, что при исключении вмешательства в
процесс функционирования системы есть возможность нейтрализовать лишь
наиболее опасные угрозы. Обычно это возможно благодаря построению защитной
оболочки, которая подразумевает разработку дополнительных организационных
мер, внедрение новых программных средств допуска к ресурсам в целом,
применение технических средств контроля за помещениями, в которых находятся
сервера и терминалы.
Наступательная стратегия характеризуется активным противодействием
неизвестных угрозам, которые так или иначе влияют на безопасность ИС. Такая
стратегия может состоять из установки дополнительных программно-аппаратных
средств определения пользователей, использование более совершенных технологий
разгрузки и восстановления данных, увеличение доступности системы при
использовании горячего и холодного резервирования. Для устранения угроз была
выбрана оборонительная стратегия, из-за того, что наиболее уязвимым является
недостаточная защищенность помещений от несанкционированного
проникновения.
55
План по обеспечению информационной безопасности в помещениях
включает в себя:
Размещение камер в помещениях, в которых хранятся базы данных,
документы и другие ценные ресурсы предприятия.
Обеспечение безопасности от угроз считывания побочных
электромагнитных излучений.
Для того, чтобы защититься от несанкционированного доступа (НСД) к
данным в электронном виде ставится задача реализации системы ИБ в
существующих или еще только проектируемых корпоративных ИВС разного рода.
Законодательство РФ дает возможность собственнику данных защищать их
конфиденциальность от НСД при установки режима коммерческой тайны. Сам
режим коммерческой тайны подразумевает применение правовых,
организационных, технических и других мер для защиты конфиденциальности и
борьбе с НСД.
Правовые меры охраны конфиденциальности обычно включают в себя:
• Соблюдение нормативно-правовых актов и регламентирующих
документов;
• Регулирование отношений относительно использования
конфиденциальных данных сотрудниками на основании трудовых договоров и
партнерами на основании гражданско-правовых договоров;
• Требование возмещения ущерба от юридических и физических лиц.
Организационные мероприятия охраны конфиденциальности включают в
себя:
• Проведение анализа фактического состояния системы защиты от НСД;
• Определение списка информации, которая относится к коммерческой
тайне;
• Назначение ответственных лиц, которые будут соблюдать режим
конфиденциальности;
• Уменьшение свободного доступа к конфиденциальным данным
методами установки порядка работы с этими данными и контролем за
соблюдением этого порядка;
• Разработка памятки по обеспечению режима конфиденциальности;