Глава 1 АКТУАЛЬНОСТЬ ПОЛИТИК БЕЗОПАСНОСТИ КОМПАНИИ
Как правило, руководители отечественных предприятий рассматривают проблему защиты конфиденциальной информации преимущественно с технической точки зрения. При этом решение данной проблемы связывается с приобретением и настройкой соответствующих аппаратно-программных средств защиты информации. Однако для эффективной организации режима информационной безопасности компании этого недостаточно. Для того чтобы убедиться в этом, давайте сначала проведем анализ современного рынка средств защиты конфиденциальной информации, покажем "подводные" камни существующих технологий безопасности, а затем обоснуем необходимость разработки политик безопасности в отечественных компаниях. И наконец, рассмотрим возможные постановки задач по разработке и реализации корпоративных политик безопасности, а также способы решения названных задач.
1.1. Анализ отечественного рынка средств защиты информации
Современный рынок средств защиты информации можно условно разделить на две группы:
• средства защиты для госструктур, позволяющие выполнить требования нормативно-правовых документов (федеральных законов, указов Президента РФ, постановлений Правительства РФ), а также требования нормативно-технических документов (государственных стандартов, руководящих документов Гостехкомиссии (ФСТЭК) России, силовых ведомств РФ;
• средства защиты для коммерческих компаний и структур, позволяющие выполнить требования и рекомендации федеральных законов, указов Президента РФ, постановлений Правительства РФ, а также документа СТР-К Гостехкомиссии России, ГОСТ Р ИСО/МЭК 15408 и некоторых международных стандартов, главным образом ISO 17799: 2005.
Например, к защите конфиденциальной информации в органах исполнительной власти могут предъявляться следующие требования:
1. Выбор конкретного способа подключения к сети Интернет, в совокупности обеспечивающего межсетевое экранирование с целью управления доступом, фильтрации сетевых пакетов и трансляции сетевых адресов для сокрытия структуры внутренней сети, а также проведение анализа защищенности интернет-узла, использование средств антивирусной защиты и централизованное управление, должен производиться на основании рекомендаций документа Гостехкомиссии РФ СТР-К.
2. Автоматизированные системы (АС) организации должны обеспечивать защиту информации от несанкционированного доступа (НСД) по классу "1Г" в соответствии с Руководящим документом Гостехкомиссии РФ "РД. Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по защите информации".
3. Средства вычислительной техники и программные средства АС должны удовлетворять требованиям четвертого класса РД Гостехкомиссии России "РД. Средства вычислительной техники. Защита от НСД к информации. Показатели защищенности от НСД к информации".
4. Программно-аппаратные средства межсетевого экранирования, применяемые для изоляции корпоративной сети от сетей общего пользования, должны удовлетворять требованиям "РД. Средства вычислительной техники. Межсетевые экраны. Защита от НСД к информации. Показатели защищенности от НСД к информации" по третьему классу защиты.
5. Информационные системы должны удовлетворять требованиям ГОСТ ИСО/МЭК 15408 по защищенности информационых систем в рамках заданных профилей защиты.
6. Программно-аппаратные средства криптографической защиты конфиденциальной информации, в том числе используемые для создания виртуальных защищенных сетей (Virtual Privat Network, VPN), должны быть легитимны.
7. Обязательным является использование средств электронно-цифровой подписи (ЭЦП) для подтверждения подлинности документов.
8. Для использования персональных цифровых сертификатов и поддержки инфраструктуры открытых ключей, средств ЭЦП и шифрования необходимо создать легитимный удостоверяющий центр (систему удостоверяющих центров).
9. Политика информационной безопасности должна предусматривать обязательное включение в технические задания на создание коммуникационных и информационных систем требований информационной безопасности.
10. Должен быть регламентирован порядок ввода в эксплуатацию новых информационных систем, их аттестации по требованиям информационной безопасности.
Для выполнения перечисленных требований и надлежащей защиты конфиденциальной информации в госструктурах принято использовать сертифицированные средства, например средства защиты от несанкционированного доступа, межсетевые экраны и средства построения VPN, средства защиты информации от утечки за счет ПЭМИН и пр. В частности, для защиты информации от несанкционированного доступа рекомендуется использовать аппаратно-программные средства семейства Secret Net ("Информзащита"), семейства Dallas Lock ("Конфидент"), семейства "Аккорд" (ОКБ САПР), электронные замки "Соболь" ("Информзащита"), USB-токены (Aladdin) и пр. Для защиты информации, передаваемой по открытым каналам связи, рекомендованы аппаратно-программные межсетевые экраны с функциями организации VPN, например Firewall-1 (Check Point), "Застава" ("Элвис+"), VipNet ("Инфотекс"), "Континент" ("Информзащита"), ФПСУ-IP (АМИКОН) и др. Средства защиты информации для коммерческих структур более многообразны и включают в себя средства:
• управления обновлениями программных компонент,
• межсетевого экранирования,
• построения VPN,
• контроля доступа,
• обнаружения вторжений и аномалий,
• резервного копирования и архивирования,
• централизованного управления безопасностью,
• предотвращения вторжений на уровне серверов,
• аудита и мониторинга средств безопасности,
• контроля деятельности сотрудников в сети Интернет,
• анализа содержимого почтовых сообщений,
• анализа защищенности информационных систем,
• защиты от спама,
• защиты от атак класса "отказ в обслуживании",
• контроля целостности,
• инфраструктуры открытых ключей,
• усиленной аутентификации и пр.
Дадим краткую характеристику перечисленным средствам защиты.
1.1.1. Средства управления обновлениями
Внедрение средств управления обновлениями программных компонент АС, например Microsoft Software Update Services, позволяет уменьшить объем интернет-трафика компании в целом, так как становится возможным организовать и контролировать необходимые обновления программных компонент АС компании с одной точки – выделенного внутреннего сервера. При этом предприятие получает следующие преимущества:
• уменьшаются расходы по оплате трафика;
• увеличивается надежность функционирования программных компонент АС;
• уменьшается время на техническую поддержку и сопровождение программных компонент АС;
• повышается защищенность АС в целом, в частности уменьшается количество инцидентов, связанных в вирусами и враждебными апплетами.
1.1.2. Средства межсетевого экранирования
Межсетевые экраны (МЭ) используются как средства защиты от несанкционированного доступа периметра сети и основных критичных компонент АС. Межсетевые экраны (МЭ) позволяют обеспечивать защиту на уровне доступа к компонентам и сети в целом (МАС-адреса), на сетевом уровне (контроль IP-адресов), на транспортном уровне ("машины состояний" основных протоколов), на прикладном уровне (proxy-системы).
Характеристика рынка МЭ представлена на рис. 1.1.
...
Рис. 1.1. Магический квадрант для Firewall
Источник: Gartner Group, 2004
1.1.3. Средства построенияVPN
Средства построения виртуальных частных сетей (VPN) используются для организации защиты трафика данных, передаваемых по открытым каналам связи. При этом защита организуется на физическом уровне (защита кабелей, экранизация наводок), на сетевом уровне (например, шифрование трафика от компьютера до компьютера на основе протокола IPsec), на транспортном уровне (например, шифрование данных, передаваемых одним приложением другому приложению на другом компьютере, на основе протокола SSL), на прикладном уровне (например, шифрование данных самостоятельно приложением). На рис. 1.2 представлена оценка рынка SSL VPNs.
...
Рис. 1.2. Магический квадрант для SSL VPNs
Источник: Gartner Group, 2004
1.1.4. Средства контроля доступа
Появление средств контроля доступа обусловлено необходимостью регламентировать доступ множества пользователей к приложениям и информационным ресурсам компании. Данные средства осуществляют аутентификацию (точное опознание) подключающихся к АС пользователей и процессов, авторизацию (наделение определенными полномочиями) пользователей и процессов. Состояние рынка средств контроля доступа представлено на рис. 1.3.
