1.8 Разработка политики информационной безопасности

Политика информационной безопасности - это совокупность основных положений, принципов, корпоративных правил и процедур обеспечения ИБ. Политика ИБ разрабатывается с учетом требований безопасности к функциям, архитектуре, составу и регламенту эксплуатации защищаемых информационных ресурсов и систем.

Политика информационной безопасности формируется на основе обследования информационной системы, анализа информационных рисков и состояния ИБ организации в соответствии с требованиями Российских нормативно-руководящих документов, а также рекомендаций международных стандартов в области защиты информации (например, ISO/IEC 27001-2005, ISO/IEC 17799-2005, ISO/IEC TR 13335, ГОСТ Р ИСО/МЭК 15408 и т.п.), что особенно важно для организаций, предприятий и фирм осуществляющих взаимодействие с отечественными и иностранными партнерами.

Разработка политики ИБ организации включает следующие этапы:

-       обследование защищенности информационных ресурсов и систем;

-       анализ рисков;

-       определение требований к средствам защиты;

-       выбор основных решений по обеспечению режима ИБ;

-       разработка планов обеспечения бесперебойной работы организации;

-       документальное оформление политики ИБ.

Основные положения политики информационной безопасности

Стандарты ISO/IEC 27001-2005, ISO/IEC 17799-2005, ISO/IEC 13335, ГОСТ Р ИСО/МЭК 15408 и другие обобщают опыт зарубежных компаний, предприятий, организаций по стандартизации.  В них описан общий подход к реализации наиболее часто используемых организационных и технических средств и методов защиты информации, которые позволяют сформировать адекватную политику информационной безопасности компании. Реализация рекомендаций по организационным вопросам защиты информации позволяет сделать политику информационной безопасности комплексной, что в сочетании с решением технических вопросов защиты информации обеспечивает достаточно высокий уровень безопасности.

В стандарте ISO/IEC 17799-2005 приведены рекомендации по классификации объектов защиты и указаны аспекты информационной безопасности, которые должны быть проработаны в политике безопасности конкретной организации, в том числе: определение информационной безопасности и перечень составляющих ее элементов; разъяснение основных положений политики информационной безопасности, принципов ее построения и стандартов в области ИБ:

-       концепция создания инфраструктуры обеспечения ИБ в организации;

-       классификация и управление информационными ресурсами;

-       порядок подготовки персонала по вопросам информационной безопасности и порядок допуска персонала к работе;

-       обеспечение физической безопасности информационных ресурсов и безопасности инженерных обеспечивающих систем;

-       администрирование информационных систем;

-       управление доступом к средствам вычислительной техники, программному обеспечению и корпоративным данным;

-       порядок разработки и сопровождения информационных систем;

-       организация защиты от компьютерных вирусов и других разрушающих программных средств;

-       обеспечение непрерывности функционирования информационных систем;

-       управление инцидентами в области ИБ.

2 ТЕОРЕТИЧЕСКАЯ ЧАСТЬ

В ходе анализа информационных потоков, на ОАО «ЧГМК», расчета возможных рисков, можно с уверенностью говорить, о том, что наибольшую потерю информации конфиденциального характера может нанести ряд обстоятельств, которые напрямую связаны с сервером корпоративной сети.

Так как на сервере храниться, и обрабатывается, почти вся конфиденциальная информация, разумно сделать вывод, что конкретные угрозы информационной безопасности необходимо рассматривать в совокупности: как источник дестабилизирующего воздействия (люди, средства переработки, передачи и хранения информации); виды и способы дестабилизирующего воздействия на информацию (НСД, вывод из строя СВТ и т.д.) и виды и формы уязвимости информации (уничтожение,  хищение, блокирование, искажение, утрата, разглашение).

Рассмотрим первую угрозу, физический доступ нарушителя к серверу. При осмотре помещения, где находиться сервер корпоративной сети, основными недостатками можно выделить следующие:

-       Отсутствие автоматизированной пропускной системы на предприятии. Данная уязвимость присутствует на всей территории предприятия. Так как после прохождения  постовой службы и предъявления пропуска, действия любого человека ни чем не ограниченны.   Чтобы нейтрализовать данную угрозу необходимо установить на предприятии систему контроля доступа, которая еще называют автономными системами, обычно состоят из электрически управляемого замка, установленного на двери, и считывателя, установленного перед дверью. К считывателю подносят ключ и замок разблокируется. Ключом могут служить магнитные карты, таблетки "Touch memory", дистанционные радиокарты, а также более экзотические предметы, например, отпечаток пальца или рисунок радужной оболочки глаза. В зависимости от того какие средства выделяют на нейтрализацию данной уязвимости. Регистрируя свой ключ в считывателе, сотрудник разблокирует дверь. Автономными считывателями может быть оборудовано целое здание, при этом считыватели могут быть запрограммированы так, чтобы каждому сотруднику разрешать доступ только в определенные помещения, тем самым можно разграничить права сотрудников на данное помещение. На входе в здание может быть установлен электрически управляемый турникет с двумя считывателями - на вход и на выход, для того чтобы вести учет рабочего времени, что значительно сократит время и ошибки сотрудников постовой службы, которые отмечают всех сотрудников в журнале регистрации. [1]

-       Еще можно выделить уязвимость, связанную с отсутствием видеонаблюдения  в самом здании.  Система видеонаблюдения – это один из самых современных и эффективных способов обеспечения безопасности. Преимущество видеонаблюдения перед остальными средствами защиты заключается в возможности непрерывного контроля за охраняемыми территориями – в любое время суток, детекцией движения в контролируемых зонах, накоплением информации по событию, автоматическим распознанием и сравнением информации (которая регистрируется) с архивом. [2].

-       Самой мало затратной уязвимостью можно считать, отсутствие металлической двери в помещении сервера. Данная уязвимость, скорее всего, просто упущение со стороны руководства предприятия.

Следующей угрозой можно выделить разглашение конфиденциальной информации, хранящейся на сервере. Она реализуется на предприятии двумя уязвимостями.

Отсутствие соглашения о нераспространении конфиденциальной информации. Это форма защиты интересов работодателей — соглашение с работниками о неразглашении конфиденциальной информации, ставшей доступной во время трудовых отношений. Данное соглашение можно заключить как в виде отдельного документа, так и в форме одного из условий трудового договора.

Важно, что работник не имеет права распространять конфиденциальную информацию как во время действия трудовых отношений, так и после их окончания, до момента утраты конфиденциальности этих сведений.

Соглашение о нераспространении конфиденциальной информации не вступает в конфликт с вышеприведенной нормой трудового законодательства, так как не ухудшает положения работников. Подобные соглашения рекомендуется заключать со всеми работниками. Однако уровень ответственности будет зависеть от того, насколько серьезной является доступная работнику информация.

Чтобы правильно оформить соглашение о нераспространении конфиденциальной информации, необходимо определить, какая именно информация является конфиденциальной. Потребуется решение руководителя фирмы с четким перечнем. В первую очередь туда сведения, составляющие секреты производства (коммерческая тайна).

Затем нужно определить, какие работники имеют доступ к этой информации (еще один список с перечнем должностей). Далее нужно ознакомить перечисленных работников (под подпись) с тем, какую именно информацию они не имеют права разглашать. И последнее — составить отдельное соглашение или включить в трудовой договор пункт о неразглашении этой информации и об ответственности за нарушение. Существенное положение — обязанность соблюдать конфиденциальность информации отпадает сама по себе в случае, когда указанная информация больше не является конфиденциальной и стала широко доступна.

Самый трудно решаемый вопрос — ответственность работника (бывшего или настоящего) за нарушение конфиденциальности. Убытки от разглашения секретной информации могут исчисляться миллионами.

Понятно, что ни у какого работника не хватит средств, чтобы компенсировать это компании-работодателю.

Единственное, что можно рекомендовать, это внимательнее выбирать себе работников и ограничить доступ к секретной информации внутри компании. [3]

Нечеткое распределение ответственности между сотрудниками организации. Основная проблема этой уязвимости заключается в определении объема официальных, или формальных, полномочий, делегируемых каждому работнику компании. Реализация полномочий происходит в форме некоторой деятельности. Следовательно, если работы детально описаны и распределены между работниками, делегирование полномочий просто означает право их выполнения. Однако работы не бывают определены так точно, их укрупненная группировка является лишь ориентиром в определении объема делегированных полномочий. Работник может возглавлять группу работ в соответствии с организационной схемой, но не иметь полномочий изменить сложившуюся практику. Чем больше работник контролируется в ходе выполнения работ или по их результатам, тем меньше делегирование полномочий.

Еще одной угрозой в данном помещении можно выделить разрушение КИ при помощи специальных программ и вирусов. В данной угрозе можно выделить такие уязвимости, как некорректная работа антивирусного ПО. Например, произошел сбой в работе антивируса — так тоже случается, иногда из-за ошибок в антивирусе, иногда — по причине конфликтов с программным обеспечением третьих производителей, которое было неосмотрительно установлено на компьютере (например, тем же пользователем с правами локального администратора). Антивирусные базы устарели — даже при нормально работающем антивирусе могут возникать ситуации, когда антивирусные базы в течение какого-то времени будут в значительной мере устаревшими. Например, если пользователь компьютера заболел или ушел в отпуск, компьютер будет выключен на протяжении одной — двух недель и после включения антивирусные базы на нем будут устаревшими и значит неэффективными в борьбе с относительно свежими угрозами. Поскольку обновление происходит, обычно, в соответствии с определенным расписанием, между в включением компьютера и обновлением антивирусных баз может пройти от нескольких часов до нескольких дней, и в этот период защита компьютера будет неэффективной

Можно сказать, что каждый из приведенных сценариев маловероятен. Но если рассматривать достаточно большую сеть, то вероятность того, что хотя бы один из компьютеров в какой-то из моментов времени окажется незащищенным существенно возрастает и с ней уже приходится считаться. И если ничто не будет мешать проникновению вредоносных программ из Интернет, это будет означать, что существует немалая вероятность заражения одного из компьютеров сети.

Поэтому кроме обеспечения защиты самих компьютеров, крайне важно максимально ограничить количество проникающих в сеть вредоносных программ, чтобы временная неэффективность защиты на отдельных узлах не превращалась в серьезную угрозу безопасности.

Проблема защиты серверных помещений и самих серверов остро стоит не только в России, но и в любых других странах всего мира. Рассмотрим как данная проблема решается в крупнейшей экономически развитой стране - США. Возьмем для анализа изречения из статьи Дика Льюиса «Защита серверной комнаты». В ее начале он описывает риски, а потом предлагает конкретные меры защиты:

«…Оценка риска: определить вероятность проникновения в центр данных не так-то легко. Для этого рассмотрим несколько показателей. Случаи несанкционированного доступа у вас или у ваших конкурентов. Если у вас или у конкурентов имели место серьезные инциденты, надеюсь, что ваше руководство выделит необходимые ресурсы для защиты от возможных атак. Одним из направлений деятельности, направленной на предотвращение нападений, может быть изменение корпоративной политики безопасности. Если компания ранее не подвергалась физической атаке, не стоит думать, что удача всегда будет на вашей стороне. Даже если оборудование находится в безопасном месте и у вас хорошая защита по периметру, кто-нибудь из недовольных служащих может в любое время нанести удар изнутри. Конфиденциальные данные. Большинство крупных компаний имеют такие данные. Информация о кредитных карточках, корпоративные финансовые записи, сведения о счетах клиентов и личные дела персонала относятся к данным закрытого типа. С этими наиболее ценными для компании данными связан наибольший риск с точки зрения несанкционированного доступа. Возможности защиты и риск обнаружения. Информации о том, что центр данных хорошо защищен и что риск обнаружения высок, может быть достаточно, чтобы злоумышленник отказался от мысли предпринимать атаку. Компетентность персонала службы безопасности. От уровня подготовки персонала службы безопасности напрямую зависит степень риска для компании. Понимание мер безопасности служащими. Несколько лет тому назад я работал по контракту в компании, где для идентификации доступа требовался бейдж. По ряду причин я не мог получить соответствующий идентификатор в течение нескольких дней. За это время ко мне то и дело подходили служащие компании и спрашивали о том, куда я иду, где работаю и так далее. Эти люди не были сотрудниками службы безопасности, они просто поддерживали общую корпоративную безопасность. Моральное состояние служащего. Массовые корпоративные увольнения нередко бывают причиной ситуаций, подобных описанной в начале статьи. Когда служащие думают, что компания предала их, они зачастую не видят оснований сохранять корпоративную верность. Они могут попытаться нанести “ответный удар”, уничтожив или продав конкурентам конфиденциальные данные. Географическое положение и местные экономические условия. Проверьте локальную статистику преступности в соответствии со спецификой вашей области. Не будьте самоуверенными. Высокая плата за нарушение системы безопасности должна заставить вас принять меры предосторожности, даже если на ваш взгляд уровень риска достаточно низок.

Внутренний неприятель:

      Наилучший метод обеспечения безопасности - представить себе противника и соответственно выстроить защиту. Служащие могут располагать сведениями о положении центра данных, расположении комнат и принятых мерах безопасности. Они знают, какие корпоративные данные представляют особую ценность и могут найти способ уничтожить их. Вы должны иметь в виду, что поставщики, уборщики, персонал, обеспечивающий поддержку, и сотрудники, работающие по контракту, также могут получить доступ к информации “для служебного пользования”. Если вы выстроите защиту против внутреннего неприятеля, потребуются лишь незначительные дополнения, чтобы защититься от внешних нападений. Защита внешней границы по периметру и меры безопасности центра данных, которые я описываю, разрабатываются во избежание как внутренних, так и внешних атак.

Защита по периметру:

      Представьте себе периметр защиты компании, чтобы проанализировать окружающую обстановку вокруг центра данных, и произведите оценку рисков. Бесчисленные устройства защиты доступа, включающие блокировку дверей, камеры, датчики движения и давления могут сбить с толку, и объединить их в общую систему защиты периметра не так-то легко. Следующее – это список уязвимых мест и консультации со специалистом по безопасности на предмет их устранения. Замки и двери. Надежный замок в двери центра данных - первая строка физического обеспечения безопасности. Приобретите кодовый замок, который поддерживает безопасность на уровне пользователя. Установите различные комбинации для каждого пользователя и периодически меняйте их. Определите процедуру блокировки доступа пользователя, который покидает компанию. Эксперты по безопасности не рекомендуют стандартные замки с ключами или кодовые замки с единственной комбинацией, поскольку они не имеют достаточно возможностей регистрации, а потерять ключ или подобрать одну комбинацию достаточно легко. Используйте замок, имеющий защитный экран, такой, что только пользователь, вводящий комбинацию, может видеть вспомогательную клавиатуру.

      Сконфигурируйте замок для записи в журнал событий регистрации пользователей, входящих в закрытую область. Компании предоставляют блокирующие системы, которые поддерживают регистрацию. Эти замки имеют встроенный инфракрасный порт (IR), который вы можете задействовать для печати журнала событий и списка пользователей. Кроме того, можно использовать замки с магнитными картами и идентификационные бейджи (proximity badges), которые поддерживают регистрацию событий. Основной риск для любой системы, которая требует от пользователей ввода кода, наличия идентификационной карточки или ключа связан с тем, что не имеющие на самом деле прав доступа пользователи все равно могут его получить. Дверь лучше выбрать металлическую или же из цельной, твердой древесины: она должна быть достаточно надежна, чтобы выдержать удар плечом. Укрепите дверную раму и обшивку, петли расположите так, чтобы злоумышленники не могли снять дверь снаружи, или установите несъемные петли. Используйте для крепления петель и несущей конструкции длинные винты, уходящие в стену. Приварите гайки любых болтов, которые выходят на поверхность стальных дверей.

      Пожарные двери или запасные выходы. Если планировка комнаты требует наличия дополнительной выходной двери, поставьте на дверь аварийное устройство и сверхмощный замок. Стандартные механизмы выходной двери уязвимы.

      Внешние указатели. Указатели и настенные карты могут провести злоумышленника прямо к двери центра данных. Если вам нужны указатели направления движения для посетителей при проведении каких-либо мероприятий, установите их на нужное время и впоследствии обязательно удалите.

      Расположите центр данных вдали от основного потока посетителей, так, чтобы присутствие посторонних было наиболее заметно. Когда сотрудники, обслуживающие аппаратные средства, посещают центр данных, администратор должен их сопровождать.

      Унесите защитные и упаковочные материалы в контейнер для мусора подальше от центра данных. Склад пустых коробок компьютерного оборудования снаружи двери – явный признак наличия ценных аппаратных средств и данных внутри.

      Стены. Убедитесь, что любые внешние стены здания, которые являются также и стенами компьютерной комнаты, изготовлены из материалов, которые могут противостоять внешнему нападению. Во время нападения взломщики часто подгоняют к зданию украденный пикап, заполняют его товаром и уезжают. Наилучшая защита против такого типа атаки - укрепленные в земле швеллеры или трубы, диаметром от 10 до 15 см, расположенные на расстоянии до 1,5 метров, вкопанные в землю и залитые бетоном.

      Эксперты по безопасности не рекомендуют проделывать окна на внутренних стенах или дверях центра данных. Внешние окна должны быть недоступны с земли, либо их желательно защитить прутьями или решетками.

      Потолки и полы. Чтобы продвигаться незаметно на несколько десятков метров при кражах со взломом в магазине, грабитель, как известно, использует пространство фальшпотолков и фальшполов. Продлите стены серверного помещения выше фальшпотолка и ниже фальшпола, чтобы соединить реальные потолок и пол. Кроме того, чтобы перекрыть возможность доступа для злоумышленников, на стенах, которые наращиваются до реального потолочного покрытия и пола, устанавливают датчики состояния окружающей среды (то есть уровня загазованности и температуры).

      Крыша. Если центр данных находится в верхнем этаже здания, злоумышленники могут проникнуть в комнату через вентиляционное отверстие с крыши или через воздуховоды кондиционирования. Обеспечьте внешние отдушины крыши и оборудование кондиционирования соответствующими решетками или дополнительными запорами. Закройте двери на крышу решетками с незаметными печатями; регулярно проверяйте печати, чтобы убедиться, что никто не сломал их, готовясь к нападению.

      Электроэнергия. Если основные панели выключателей находятся возле центра данных (например, снаружи за дверью), перенесите их, либо заприте, если разрешит руководство. Один из возможных способов проникновения в систему – отключение энергии в надежде заблокировать сигнал тревоги и другое оборудование защиты периметра. Если у вас есть UPS для серверов, вы сможете расположить оборудование контроля доступа так, чтобы иметь некоторую защиту на время отключения энергии.

Внутри центра данных:

      Если злоумышленники все же пробили защиту по периметру центра данных, вы все еще можете обнаружить их присутствие и задержать. Могу рекомендовать следующие методы.

      Электронный надзор. Профессионал в области безопасности сможет помочь вам объединить многие электронные системы обнаружения, такие как камеры (как видимые, так и скрытые), видеомагнитофоны, дверные переключатели, детекторы движения, звуковые датчики, лучи фотоэлемента, контактные переключатели, инфракрасные сенсоры и беспроводные технологии, в целостную систему обнаружения. Тщательно следите за информацией о состоянии и местоположении всех устройств, которые вы установили.

      Безопасность консоли. На некоторых клавиатурах имеется защита с ограничением доступа пользователей к конкретным системам. Ограничения доступа позволяет пользователям управлять только разрешенными машинами. Злоумышленники могут подключить к серверу собственный монитор, клавиатуру и мышь, чтобы обойти эту функцию, но на это уйдет дополнительное время, особенно если серверный шкаф правильно заблокирован.

      Безопасность шкафа. Большинство промышленных шкафов для сервера имеют блокировку передней и задней двери. Двери и замки могут быть усилены, но они одновременно мешают доступу при выключении серверов и дисководов.

      Зафиксируйте или снимите колеса шкафа, чтобы затруднить его перемещение. Уберите отвертки, ключи и другие инструменты, чтобы ими не смогли воспользоваться злоумышленники.

      Внешний контроль (мониторинг). Вы, вероятно, уже используете сценарии или приложения, обеспечивающее управление сервером. Установите второй контрольный узел за пределами серверной комнаты. Этот узел подаст сигнал тревоги, если злоумышленник выведет из строя сетевое соединение или отключит первичное устройство, чтобы избежать сообщения из серверной. Установите и обслуживайте второй контрольный пост, стараясь обойтись минимальным количеством сотрудников.

      Удаленный доступ к серверам. Инструментальные средства дистанционного администрирования, и терминальные службы Windows 2000 Server в административном режиме помогут сэкономить время, обеспечив легкий доступ к серверам. К сожалению, эти инструментальные средства могут обеспечить и несанкционированный доступ для злоумышленника. Поставщики часто используют RAS, чтобы иметь доступ к серверам для модернизации программ и диагностики проблем. Некоторые инструменты удаленного доступа используют один пароль на сервере для всех пользователей. Если вы применяете эти инструментальные средства, измените их обычные пароли и дайте доступ только небольшой группе санкционированных пользователей. Защита удаленного доступа к инструментальным средствам и RAS – вероятно, наилучший путь, гарантирующий, что злоумышленник не использует их как виртуальный вход в серверную комнату.

      Инвентарные и идентификационные (ID) метки. Ведите инвентарный список всего компьютерного оборудования, которое кто-нибудь может похитить, проникнув в систему (например, серверов, дисков, мониторов) и наклейте на эти устройства инвентарные номера корпорации или другие соответствующие идентификационные отметки. Ежегодно проверяйте наличие оборудования по записям в реестре. В случае несанкционированного проникновения в систему эти методы помогут определить, что пропало, и идентифицировать утраченную собственность.

      Контроль входа в систему в нерабочее время. Придерживайтесь правил, которые требуют отключения от системы администраторов центра данных и пользователей в конце рабочего дня. Можете воспользоваться утилитой Winexit из Microsoft Windows NT Server 4.0 Resource Kit или the Microsoft Windows 2000 Server Resource Kit, предназначенной для автоматического отключения пользователей после окончания работы.

      Используйте сценарии или приложения для проверки подключений по окончании рабочего дня, протоколируйте события и задайте отправку сообщений, если были использованы учетные записи администратора. Подключения в нерабочее время могут быть законными, но могут и использоваться злоумышленниками, укравшими учетные данные для получения доступа.

      Защита резервной ленты. Обеспечьте первичный внутренний комплект резервных лент и сохраняйте вторичный комплект, оставленный снаружи. Если злоумышленники уничтожат ваши первичные резервные ленты и серверы, вторичный внешний комплект лент пригодится для восстановления рабочих операций компании. Если ваша компания имеет другие офисы, разработайте совместно с IT-администраторами офисов, где есть хорошо защищенное помещение, общую стратегию хранения лент. Если трудно найти надежное место внутри своей компании, вам могут помочь фирмы, которые специализируются на хранении архивов.

  Оцените уровень риска, обсудите возможные решения с руководством и примите необходимые меры.

Как IT-менеджер или администратор систем, вы уже защитили ценные корпоративные данные с помощью соответствующих прав доступа, аудита и контроля. Имеет смысл только добавить физическую защиту центра данных. Вы ведь не хотите однажды ночью получить сообщение о том, что доверенный вам центр данных взломан…»[]