Категорирование информации и информационных систем. Обеспечение базового уровня информационной безопасности

Категорирование информации по важности существует объективно и не зависит от желаний руководства, поскольку определяется механизмом деятельности банка и характеризует опасность уничтожения либо модификации информации. Можно указать много вариантов такого категорирования. Здесь приводится наиболее простой :

1. Важная информация - незаменимая и необходимая для деятельности банка информация, процесс восстановления которой после уничтожения невозможен либо очень трудоемок и связан с большими затратами, а ее ошибочное изменение или подделка приносит большой ущерб.

2. Полезная информация - необходимая информация, которая может быть восстановлена без больших затрат, причем ее модификация или уничтожение приносит относительно небольшие материальные потери.

Категорирование информации по конфиденциальности выполняется субъективно руководством или персоналом в соответствии с выделенными ему полномочиями в зависимости от риска ее разглашения. Для деятельности коммерческого банка достаточно двух степеней градации.

1. Конфиденциальная информация - информация, доступ к которой для части персонала или посторонних лиц нежелателен, так как может вызвать материальные и моральные потери.

2. Открытая информация - информация, доступ к которой посторонних не связан ни с какими потерями.

Руководство должно принять решение о том, кто и каким образом будет определять степень важности и конфиденциальности информации. Без такого решения невозможна никакая целесообразная работа по созданию банковской электронной системы.

План защиты

Анализ риска завершается принятием политики безопасности и составлением плана защиты со следующими разделами:

1. Текущее состояние. Описание статуса системы защиты в момент подготовки плана.

3. Ответственность. Список ответственных сотрудников и зон ответственности.

4. Расписание. Определение порядка работы механизмов защиты, в том числе и средств контроля.

5. Пересмотр положений плана, которые должны периодически пересматриваться.

Ключевым вопросом начального этапа создания системы безопасности является назначение ответственных за безопасность системы и разграничение сфер их деятельности. Как правило, при начальной постановке таких вопросов выясняется, что за этот аспект безопасности организации никто отвечать не хочет. Системные программисты и администраторы систем склонны относить эту задачу к компетенции общей службы безопасности, тогда как последняя, в свою очередь, считает, что подобная проблема должна находиться в компетенции специалистов по компьютерам.

Положения о безопасности

При решении вопросов распределения ответственности за безопасность компьютерной системы необходимо учитывать следующие положения :

1. никто, кроме руководства, не может принять основополагающих решений в области политики компьютерной безопасности;

2. никто, кроме специалистов, не сможет обеспечить правильное функционирование системы безопасности;

3. никакая внешняя организация или группа специалистов жизненно не заинтересованы в экономической эффективности мер безопасности.

К области стратегических решений при создании системы компьютерной безопасности должна быть отнесена разработка общих требований к классификации данных, хранимых и обрабатываемых компьютерной системой. Во многих случаях существует путаница между понятиями конфиденциальности (секретности) и важности информации.

Сегодня вряд ли удастся найти организацию, в которой никто и никогда не задумывался бы о защите информации. Вместе с тем не всегда можно встретить правильное понимание информационной безопасности как комплекса организационных и технических мероприятий. Важнейшим элементом ее обеспечения является человек, и он же - основной фактор ее нарушения.

Информационная безопасность должна восприниматься как комплекс организационно-технических мер, поскольку обеспечить конфиденциальность, целостность и доступность нельзя ни отдельно взятыми техническими мерами, ни только организационными.

Скажем, вы решили обеспечивать защиту только техническими мерами, при этом организационные документы у вас полностью отсутствуют. Так часто бывает, если защитой занимается отдел ИТ или начальник отдела информационной безопасности (ИБ) - бывший представитель ИТ-структур. Что в этом случае произойдет? Предположим, что один из сотрудников компании систематически передает конфиденциальную информацию по электронной почте конкурентам. Вы обнаружили утечку, но документов у вас нет, следовательно, наказать сотрудника (например, уволить его) вы просто не имеете права. А если вы это сделаете, умный злоумышленник подаст на вас в суд за нарушение его конституционных прав на личную переписку. Самое печальное в том, что юридически он будет абсолютно прав: внутри вашей организации не документировано, что вся информация, передаваемая средствами электронной почты с адресов, принадлежащих вашей организации, является собственностью фирмы.

Рассмотрим вторую крайность. Она, как правило, характерна для бывших военнослужащих и сотрудников спецслужб. У вас подготовлены великолепные документы, но абсолютно отсутствует их техническая поддержка. Что произойдет в таком случае? Ваши сотрудники рано или поздно нарушат положения организационных документов и, увидев, что их никто не контролирует, будут делать это систематически.

Таким образом, информационная безопасность - гибкая система, включающая в себя как организационные, так и технические меры. При этом нужно понимать, что здесь нельзя выделить более значимые меры или менее значимые. Важно всё. Нужно соблюдать меры защиты во всех точках сети, при работе любых субъектов с вашей информацией. (Под субъектом в данном случае понимается пользователь системы, процесс, компьютер или программное обеспечение для обработки информации). Каждый информационный ресурс, будь то компьютер пользователя или сервер организации, должен быть полностью защищен. Защищены должны быть файловые системы, сеть и т. д. Способы реализации мы здесь обсуждать не будем.

Существует огромное количество программного обеспечения, направленного на решение задачи защиты информации. Это и антивирусные программы, и сетевые экраны, и встроенные средства операционных систем. Однако самым уязвимым фактором всегда остается человек. Работоспособность любого программного обеспечения зависит от качества его написания, от грамотности администратора, который его настроил.

Многие организации в связи с этим создают отделы защиты информации или ставят задачи по обеспечению безопасности информации перед своими ИТ-отделами. Но не раз уже говорилось, что нельзя взваливать на ИТ-службу не свойственные ей функции. Предположим, что в вашей организации создан отдел ИТ-безопасности. Что делать дальше? С чего начинать его деятельность?

Первые шаги отдела ИБ

На мой взгляд, начинать нужно с обучения сотрудников! И в дальнейшем делать это не реже двух раз в год. Обучение обычного персонала основам защиты информации должно стать постоянным делом сотрудников отдела защиты информации!

Многие руководители пытаются сразу же получить от отдела защиты информации документ под названием «Политика безопасности». Это ошибка. Перед тем как вы сядете за написание этого серьезнейшего документа, который будет определять в дальнейшем все ваши усилия по обеспечению информационной безопасности вашей организации, нужно задать себе следующие вопросы:

Какую информацию вы обрабатываете?

Как ее классифицировать?

Какими ресурсами вы обладаете?

Как распределена обработка информации по ресурсам?

Как классифицировать ресурсы?

Постараемся ответить на эти вопросы.

Классификация информации

В нашей стране исторически сложился подход к классификации информации (в первую очередь государственной) по уровням требований к ее защищенности исходя из одного ее свойства - конфиденциальности (секретности).

Требования к обеспечению целостности и доступности информации, как правило, лишь косвенно упоминаются среди общих требований к системам обработки данных.

Если такой подход в какой-то степени оправдан для обеспечения безопасности информации, составляющей государственную тайну, то это не означает, что перенос его в другую предметную область (с другими субъектами и их интересами) будет правильным.

Во многих областях доля конфиденциальной информации сравнительно мала. Для открытой информации, ущерб от разглашения которой несущественен, важнейшими являются совершенно другие свойства, скажем такие, как доступность, целостность или защищенность от неправомерного тиражирования. К примеру, для платежных (финансовых) документов самым важным является их целостность (достоверность). Затем следует свойство доступности (потеря платежного документа или задержка платежей может обходиться очень дорого). Требования к обеспечению конфиденциальности платежных документов, как правило, находятся на третьем месте.

Для сайта Internet-газеты на первом месте будет стоять доступность и целостность информации, а не ее конфиденциальность. Попытки подойти к решению вопросов защиты такой информации с позиций традиционного обеспечения только конфиденциальности, терпят провал. Основными причинами этого являются узость традиционного подхода к защите информации, отсутствие у отечественных специалистов опыта и соответствующих проработок в плане обеспечения целостности и доступности информации, не являющейся конфиденциальной.

Для усовершенствования классификации информации в зависимости от требований к ее защищенности следует ввести несколько степеней (градаций, категорий) требований по обеспечению каждого из свойств безопасности информации: доступности, целостности, конфиденциальности.

Количество градаций и вкладываемый в них смысл могут различаться.

Исходя из необходимости обеспечить различные уровни защиты разных видов информации (не содержащей сведений, составляющих государственную тайну), хранимой и обрабатываемой в организации, введем несколько категорий конфиденциальности и целостности защищаемой информации.

«Строго конфиденциальная» - информация, являющаяся конфиденциальной в соответствии с требованиями действующего законодательства (банковская тайна, персональные данные), а также информация, ограничения на распространение которой введены решениями руководства организации (коммерческая тайна), разглашение которой может привести к тяжким финансово-экономическим последствиям для организации, вплоть до банкротства (нанесению тяжкого ущерба жизненно важным интересам клиентов, корреспондентов, партнеров или сотрудников).

«Конфиденциальная» - информация, не отнесенная к категории «строго конфиденциальная», ограничения на распространение которой вводятся решением руководства организации в соответствии с предоставленными ему как собственнику (уполномоченному собственником лицу) информации действующим законодательством правами, разглашение которой может привести к значительным убыткам и потере конкурентоспособности организации (нанесению ощутимого ущерба интересам клиентов, корреспондентов, партнеров или сотрудников).

«Открытая» - информация, обеспечения конфиденциальности (введения ограничений на распространение) которой не требуется.

«Высокая» - к данной категории относится информация, несанкционированная модификация (искажение, подмена, уничтожение) или фальсификация (подделка) которой может привести к нанесению значительного прямого ущерба организации, целостность и аутентичность (подтверждение подлинности источника) которой должна обеспечиваться гарантированными методами (средствами электронной цифровой подписи, ЭЦП) в соответствии с обязательными требованиями действующего законодательства, приказов, директив и других нормативных актов.

«Низкая» - к данной категории относится информация, несанкционированная модификация, подмена или удаление которой может привести к нанесению незначительного косвенного ущерба организации, ее клиентам, партнерам или сотрудникам, целостность которой должна обеспечиваться в соответствии с решением руководства (методами подсчета контрольных сумм, хеш-функций).

«Нет требований» - к данной категории относится информация, к обеспечению целостности (и аутентичности) которой требований не предъявляется.

В зависимости от периодичности решения функциональных задач и максимально допустимой задержки получения результатов вводится четыре требуемых степени (категории) доступности информации.

«Беспрепятственная доступность» - доступ к задаче должен обеспечиваться в любое время (задача решается постоянно, задержка получения результата не должна превышать нескольких секунд или минут).

«Высокая доступность» - доступ должен осуществляться без существенных задержек по времени (задача решается ежедневно, задержка получения результата не должна превышать нескольких часов).

«Средняя доступность» - доступ может обеспечиваться с существенными задержками по времени (задача решается раз в несколько дней, задержка получения результата не должна превышать нескольких дней).

«Низкая доступность» - задержки по времени при доступе к задаче практически не лимитированы (задача решается с периодом в несколько недель или месяцев, допустимая задержка получения результата - несколько недель).

На первом этапе работ производится категорирование всех видов информации, используемой при решении задач на конкретном компьютере (установление категорий конфиденциальности и целостности конкретных видов информации). Составляется «Перечень информационных ресурсов, подлежащих защите».

На втором этапе происходит категорирование всех функциональных задач, решаемых на данном компьютере. В ходе третьего этапа устанавливается категория компьютера, исходя из максимальных категорий обрабатываемой информации и задач, решаемых на нем.

После того как вы распределили обрабатываемую у вас информацию по соответствующим категориям, следует провести инвентаризацию ресурсов.

Категорирование ресурсов подразумевает выявление (инвентаризацию) и анализ всех ресурсов информационной системы организации, подлежащих защите. Вот примерная последовательность и основное содержание этих работ.

Прежде всего для анализа всех подсистем информационной системы организации, инвентаризации и категорирования ресурсов, подлежащих защите, формируется специальная рабочая группа. В ее состав включаются специалисты (осведомленные в вопросах технологии автоматизированной обработки информации) подразделения компьютерной безопасности и других подразделений организации.

Издается распоряжение руководства организации, в котором, в частности, даются указания всем руководителям структурных подразделений оказывать содействие и помощь рабочей группе в проведении анализа ресурсов всех компьютеров.

Для оказания помощи должны выделяться сотрудники, владеющие детальной информацией по вопросам автоматизированной обработки информации в подразделениях.

В ходе обследования конкретных подразделений организации и подсистем информационной системы предприятия выявляются и описываются все функциональные задачи, решаемые с использованием компьютеров, а также все виды сведений, используемые при решении этих задач в подразделениях.

После этого составляется общий перечень функциональных задач и для каждой задачи оформляется формуляр. Следует учитывать, что одна и та же задача в разных подразделениях может называться по-разному, и наоборот, различные задачи могут иметь одно и то же название. Одновременно ведется учет программных средств, используемых при решении функциональных задач подразделения.

При обследовании подсистем и анализе задач выявляются все виды входящей, исходящей, хранимой, обрабатываемой и т. п. информации. Необходимо выявлять не только информацию, которая может быть отнесена к конфиденциальной (к банковской и коммерческой тайне, персональным данным), но и информацию, подлежащую защите в силу того, что нарушение ее целостности или доступности может нанести ощутимый ущерб организации.

Выявляя все виды информации, циркулирующей и обрабатываемой в подсистемах, необходимо оценивать последствия, к которым могут привести нарушения ее свойств. Для получения первоначальных оценок целесообразно проводить опрос (например, в форме анкетирования) специалистов, работающих с данной информацией. При этом надо выяснять, кого может интересовать данная информация, как можно на нее воздействовать или незаконно использовать, к каким последствиям это может привести.

Если невозможно количественно оценить вероятный ущерб, то дается его качественная оценка (например: очень низкая, низкая, средняя, высокая, очень высокая).

При составлении перечня и формуляров функциональных задач, решаемых в организации, необходимо выяснять периодичность их решения, максимально допустимое время задержки получения результатов и степень серьезности последствий, к которым могут привести нарушения их доступности (блокирование возможности решения задач).

Все выявленные в ходе обследования виды информации заносятся в соответствующий документ.

Далее необходимо определить, к какому типу тайны (банковская, коммерческая, персональные данные, не составляющая тайны) относится каждый из выявленных видов информации (на основании требований действующего законодательства и предоставленных организации прав).

Первоначальные предложения по оценке категорий обеспечения конфиденциальности и целостности конкретных видов информации выясняются у руководителей (ведущих специалистов) структурного подразделения (на основе их личных оценок вероятного ущерба вследствие нарушения свойств конфиденциальности и целостности информации). Затем перечень согласовывается с руководителями отделов подразделений автоматизации и компьютерной безопасности и выносится на рассмотрение руководства организации.

На следующем этапе происходит категорирование функциональных задач. На основе требований по доступности, предъявляемых руководителями подразделений организации и согласованных со службой ИТ, категорируются все прикладные функциональные задачи, решаемые в подразделениях с использованием компьютерной техники. Информация заносится в формуляры задач. Не следует проводить категорирование системных задач и программных средств вне привязки к конкретным компьютерам и прикладным задачам.

В дальнейшем с участием ИТ-специалистов и подразделения ИБ необходимо уточнить состав информационных и программных ресурсов каждой задачи и внести в ее формуляр сведения по группам пользователей задачи и указания по настройке применяемых при ее решении средств защиты. Эти данные будут использоваться в качестве эталона настроек средств защиты соответствующих компьютеров, а также для контроля правильности их установки.

На последнем этапе устанавливается категорирование компьютеров, исходя из максимальной категории специальных задач, решаемых на нем, и максимальных категорий конфиденциальности и целостности информации, используемой при решении этих задач. Информация о категории компьютера заносится в его формуляр.

В понятие инвентаризации ресурсов входит не только сверка активных и пассивных сетевых ресурсов, которыми вы обладаете, со списком оборудования (и его комплектности), закупленного организацией. Для сверки оборудования и его комплектности можно воспользоваться соответствующим программным обеспечением (например, Microsoft SMS Server) и т. п.

Сюда же можно отнести создание карты сети с описанием всех возможных точек подключения, составление списка используемого программного обеспечения, формирование фонда эталонов лицензионного программного обеспечения, используемого в организации, а также фонда алгоритмов и программ собственной разработки.

Следует учесть, что программное обеспечение может быть допущено к работе лишь после его проверки отделом защиты информации на соответствие поставленным задачам, отсутствие всевозможных закладок и «логических бомб».

Хотелось бы сказать о появившейся у нас тенденции к использованию приложений с открытыми кодами. Бесспорно, они приносят существенную экономию ресурсов. Однако, думается, в этом случае безопасность определяется доверием уже не только к разработчику системы, но и к вашему администратору. А если принять во внимание зарплату администратора, то нетрудно сделать вывод, что купить ваши секреты намного проще и дешевле, чем осуществлять прямую внешнюю атаку. Стоит упомянуть и о том, что большую часть успешных атак осуществили инсайдеры (служащие самой компании).

Думается, что применять свободно распространяемое ПО, если существует риск нанесения серьезного ущерба, можно лишь при условии, что оно будет поставляться вам в откомпилированном виде и с цифровой подписью организации, гарантирующей отсутствие логических бомб, всяческого рода закладок и «черных ходов». Причем организация-гарант должна нести материальную ответственность. Однако на сегодня такое предложение стоит отнести к разряду нереальных.

После проверки эталонное программное обеспечение заносится в фонд алгоритмов и программ (эталонная копия должна сопровождаться файлом контрольной суммы, а лучше - электронной подписью разработчика). В дальнейшем, при смене версий, появлении обновлений, проверка программного обеспечения производится установленным порядком.

В формуляр каждого компьютера заносятся сведения об установленном программном обеспечении, указывается дата установки, цели, решаемые с помощью данного ПО, задачи, ставится фамилия и подпись лица, производившего установку и настройку ПО. После создания подобных формуляров служба информационной безопасности должна обеспечивать регулярную проверку соответствия реального положения формуляру.

Следующим этапом в построении службы защиты информации должен стать анализ рисков организации, на основе которого будет создаваться политика безопасности.

Категорирование защищаемых ресурсов –установление градаций важности обеспечения защиты (категорий) ресурсов и отнесение конкретных ресурсов к соответствующим категориям.

Упрощенный алгоритм оценки защищенности объекта информатизации:

Инвентаризация информационных ресурсов и выявление защищаемой информации

Выявлениеисточников потенциально возможных угроз

Выявлениеуязвимыхзвеньев объекта информатизации

Составлениеперечня потенциально возможных угроз

Оценка возм-тиреализации и опасности угроз , составление перечня актуальных угроз

1. Если в файле имеется защищаемая информация , то весь файл подлежит защите и файлу присваивается соответствующий уровень важности;

2. с позиций обеспечения ее конфиденциальности полностью определяетсяприсвоенным ей грифом секретности или конфиденциальности. Для конфиденциальной информации гриф конфиденциальности определяется в зависимости от того, какой круг лиц имеет право ознакомления с ней, и определяется преимущественно пользователем;

3. Градация критичности информации с позиции обеспечения ее целостности или доступности определяется пользователем и зависит от уровня и приемлемости затрат (времени, трудовых ресурсов, финансовых средств) на восстановление целостности или доступности информации;

4. Исполняемые файлы прикладных программ, запуск которых обусловливает доступ к файлам с данными пользователя, имеют не меньшую важность с позиции обеспечения как целостности, так и их доступности, чем сами файлы с данными пользователя;

5. Файлы информации, нарушение целостности или доступности которых приводит к срыву работы ОС, имеют большую важность с позиции обеспечения их целостности или доступности, чем остальные хранящиеся в системе файлы;

6. Если в помещении хранится конфиденциальная информация или помещение выделено для конфиденциальных переговоров, то считается, что распространяемая в ходе разговоров должностных лиц или при передаче по линиям связи информация имеет высший уровень конфиденциальности, предусмотренный для данного помещения, то есть, возможна утечка информации с наибольшим уровнем критичности для данного помещения.

создание нормативно-методической основы для дифференц-го подхода к защ. ресурсов автоматиз. системы на основе их классификации по степени риска в случае нарушения их доступности, целостности или конфиденциальности;

типизацию принимаемых организационных мер и распределения аппаратно-программных средств защиты ресурсов по АРМ АС организации и унификацию их настроек.

«высокая » - к данной категории относится несекретная информация, являющаяся конфиденциальной в соответствии с требованиями действующего законодательства РФ (банковская тайна, персональные данные);

«низкая » - к данной категории относится конфиденциальная информация, не отнесенная к категории «высокая», ограничения на распространение которой вводятся решением руководства организации в соответствии с предоставленными ей как собственнику информации действующим законодательством правами;

«нет требований » - к данной категории относится информация, обеспечения конфиденциальности (введения ограничений на распространение) которой не требуется.

«высокая » - к данной категории относится информация, несанкционированная модификация или фальсификация которой может привести к нанесению значительного прямого ущерба организации, ее клиентам и корреспондентам, целостность и аутентичность кот.должна обеспечиваться гарантированными методами в соответствии с обязательными требованиями действующего законодательства;

«низкая » - к данной категории относится инфа, несанкционированная модификация, удаление или фальсификация которой может привести к нанесению незначительного косвенного ущерба организации, ее клиентам и корреспондентам, целостность (а при необходимости и аутентичность) которой должна обеспечиваться в соответствии с решением руководства организации (методами подсчета контрольных сумм, ЭЦП и т.п.);

«нет требований » - к данной категории относится информация, к обеспечению целостности (и аутентичности) которой требований не предъявляется.

Требуемые степени доступности функциональных задач:

«беспрепятственная доступность » – к задаче должен обеспечиваться доступ в любое время (задача решается постоянно, задержка получения результата не должна превышать нескольких секунд или минут);

«высокая доступность » – доступ к задаче должен осуществляться без существенных временных задержек (задача решается ежедневно, задержка получения результата не должна превышать нескольких часов);

«средняя доступность » – доступ к задаче может обеспечиваться с существенными временными задержками (задача решается раз в несколько дней, задержка получения результата не должна превышать нескольких дней);

«низкая доступность » – временные задержки при доступе к задаче практически не лимитированы (задача решается с периодом в несколько недель или месяцев, допустимая задержка получения результата – несколько недель).

Категории АРМ. В зависимости от категорий решаемых на АРМ задач устан-ся 4 категории АРМ: «A », «B », «C » и «D ». К группе АРМ категории «A» относятся АРМ, на кот.решается хотя бы одна функц. задача первой категории. Категории остальных задач, решаемых на данном АРМ, не должны быть ниже второй. К группе АРМ категории «B» относятся АРМ, на которых решается хотя бы одна функциональная задача второй категории. Категории остальных задач, решаемых на данном АРМ, должны быть не ниже третьей и не выше второй. К группе АРМ категории «C» относятся АРМ, на которых решается хотя бы одна функциональная задача третьей категории. Категории остальных задач, решаемых на данном АРМ, должны быть не выше третьей. К группе АРМ категории «D» относятся АРМ, на которых решаются функциональные задачи только четвертой категории.

Проблему защиты информации сложно назвать надуманной. Со всех сторон мы слышим о взломах, вирусах, вредоносном программном обеспечении, атаках, угрозах, уязвимостях…

Информационная безопасность как система

Информационная безопасность - комплекс мер, среди которых нельзя выделить более важные. Информационную безопасность нельзя воспринимать иначе как комплекс. Здесь важно все! Нужно соблюдать меры защиты во всех точках сети, при любой работе любых субъектов с вашей информацией (под субъектом в данном случае понимается пользователь системы, процесс, компьютер или программное обеспечение для обработки информации). Каждый информационный ресурс, будь то компьютер пользователя, сервер организации или сетевое оборудование, должен быть защищен от всевозможных угроз. Защищены должны быть файловые системы, сеть и т.д. Способы реализации защиты мы в этой статье рассматривать не будем ввиду их огромного разнообразия.

Однако следует понимать, что обеспечить стопроцентную защиту невозможно. Вместе с тем нужно помнить: чем выше уровень защищенности, тем дороже система, тем более неудобной в использовании она получается для пользователя, что соответственно ведет к ухудшению защиты от человеческого фактора. Как пример вспомним, что чрезмерное усложнение пароля ведет к тому, что пользователь вынужден записывать его на бумажку, которую приклеивает к монитору, клавиатуре и пр.

Существует широкий спектр программного обеспечения, направленного на решение задач защиты информации. Это антивирусные программы, брандмауэры, встроенные средства операционных систем и многое другое. Однако стоит помнить, что самым уязвимым звеном в защите всегда остается человек ! Ведь работоспособность любого программного обеспечения зависит от качества его написания и грамотности администратора, который настраивает то или иное средство защиты.

Многие организации в связи с этим создают службы (отделы) защиты информации или ставят соответствующие задачи перед своими ИТ-отделами. Вместе с тем нужно понимать, что нельзя взваливать на службу ИТ несвойственные ей функции. Об этом не раз уже говорилось и писалось. Итак, предположим, в вашей организации создан отдел информационной безопасности. Что делать дальше? С чего начать?

Начинать нужно с обучения сотрудников! И в дальнейшем сделать этот процесс регулярным. Обучение персонала основам защиты информации должно стать постоянной задачей отдела защиты информации. И делать это нужно не реже двух раз в год.

Многие руководители пытаются сразу же получить от отдела защиты информации документ под названием «Политика безопасности организации». Правильно ли это? На мой взгляд - нет. Перед тем как вы сядете писать этот огромный труд, вам нужно определиться со следующими вопросами:

• какую информацию вы обрабатываете?
• как ее классифицировать по свойствам?
• какими ресурсами вы обладаете?
• как распределена обработка информации по ресурсам?
• как классифицировать ресурсы?

Классификация информации

Исторически сложилось так, что как только поднимается вопрос о классификации информации (в первую очередь это относится к информации, принадлежащей государству), ее сразу же начинают классифицировать по уровню секретности (конфиденциальности). О требованиях по обеспечению доступности, целостности, наблюдаемости если и вспоминают, то вскользь, в ряду общих требований к системам обработки информации.

Если такой взгляд еще можно как-то оправдать необходимостью обеспечения государственной тайны, то перенос его в другую предметную область выглядит просто нелепо. Например, согласно требованиям украинского законодательства, собственник информации сам определяет уровень ее конфиденциальности (в случае, если эта информация не принадлежит государству).

Во многих областях доля конфиденциальной информации сравнительно мала. Для открытой информации, ущерб от разглашения которой невелик, важнейшими могут быть такие свойства, как доступность, целостность или защищенность от неправомерного копирования. Рассмотрим в качестве примера веб-сайт интернет-издания. На первом месте будет стоять, на мой взгляд, доступность и целостность информации, а не ее конфиденциальность. Оценивать и классифицировать информацию только с позиции и секретности по меньшей мере непродуктивно.

И объяснить это можно только узостью традиционного подхода к защите информации, отсутствием опыта в плане обеспечения доступности, целостности и наблюдаемости информации, которая не является секретной (конфиденциальной).

Категории защищаемой информации

Исходя из необходимости обеспечения различных уровней защиты информации (не содержащих сведений, составляющих государственную тайну), хранимой и обрабатываемой в организации, назовем несколько категорий конфиденциальности и целостности защищаемой информации.

• совершенно конфиденциально - информация, признанная конфиденциальной в соответствии с требованиями закона, или информация, ограничение на распространение которой введено решением руководства вследствие того, что ее разглашение может привести к тяжелым финансово-экономическим последствиям для организации вплоть до банкротства;
• конфиденциально - в данную категорию входит информация, не отнесенная к категории «совершенно конфиденциально», ограничения на распространение которой введены решением руководства в соответствии с предоставленными ему как собственнику информации действующим законодательством правами вследствие того, что ее разглашение может привести к значительным убыткам и утрате конкурентоспособности организации (нанесению существенного ущерба интересам его клиентов, партнеров или сотрудников);
• открытая - к данной категории относится информация, обеспечение конфиденциальности которой не требуется.

• высокая - информация, несанкционированная модификация или подделка которой может привести к нанесению значительного ущерба организации;
• низкая - к данной категории относится информация, несанкционированная модификация которой может привести к нанесению незначительного ущерба организации, ее клиентам, партнерам или сотрудникам;
• нет требований - к данной категории относится информация, к обеспечению целостности и аутентичности которой требований не предъявляется.

По степени доступности введем четыре категории в зависимости от периодичности решения функциональных задач и максимально допустимой задержки получения результатов их решения:

• реальное время - доступ к задаче должен обеспечиваться в любое время;
• час - доступ к задаче должен осуществляться без существенных временны х задержек (задача решается каждый день, задержка не превышает несколько часов);
• день - доступ к задаче может обеспечиваться с существенными временны ми задержками (задача решается раз в несколько дней);
• неделя - временны е задержки при доступе к задаче не установлены (период решения задачи составляет несколько недель или месяцев, допустимая задержка получения результата - несколько недель).

Категорирование информации

1. Категорирование всех видов информации, используемой при решении задач на конкретных компьютерах (установка категорий конфиденциальности, целостности и доступности конкретных видов информации).
2. Категорирование всех задач, которые решаются на данном компьютере.
3. Исходя из максимальных категорий обрабатываемой информации устанавливается категория компьютера, на котором она обрабатывается.

Инвентаризация ресурсов

Прежде чем говорить о защите информации в организации, нужно понять, что вы собираетесь защищать и какими ресурсами обладаете. Для этого необходимо провести работы по инвентаризации и анализу всех ресурсов автоматизированной системы организации, подлежащих защите:

1. Для проведения инвентаризации и категорирования ресурсов, подлежащих защите, формируется специальная рабочая группа. В ее состав включаются специалисты подразделения компьютерной безопасности и других подразделений организации, которые могут оказать помощь при рассмотрении вопросов технологии автоматизированной обработки информации в организации.
2. Для того чтобы созданная группа обладала необходимым организационно-правовым статусом, издается соответствующее распоряжение руководства организации, в котором указывается, что все руководители соответствующих подразделений организации должны оказывать содействие и необходимую помощь рабочей группе в анализе ресурсов всех компьютеров.
3. Для оказания помощи на время работы группы в подразделениях их руководителями должны выделяться сотрудники, владеющие детальной информацией по вопросам автоматизированной обработки информации в данных подразделениях.
4. Данное распоряжение доводится под роспись всем руководителям соответствующих подразделений.
5. В ходе обследования (анализа) организации и автоматизированных подсистем выявляются и описываются все функциональные задачи, решаемые с применением компьютеров, а также все виды информации, используемые для решения этих задач в подразделениях.
6. По окончании обследования составляется формуляр задач, решаемых в организации. Следует понимать, что одна и та же задача в разных подразделениях может называться по-разному и, наоборот, различные задачи могут иметь одно и то же название. Одновременно с этим ведется учет программных средств, применяемых при решении функциональных задач подразделения.

Следует учесть, что в ходе обследования выявляются все виды информации (входящая, исходящая, хранимая, обрабатываемая и т.д.). Необходимо учитывать, что выявлять необходимо не только конфиденциальную информацию, но и ту, нарушение целостности или доступности которой может нанести ощутимый ущерб организации.

При анализе информации, обрабатываемой в организации, необходимо оценивать серьезность последствий, которые могут быть вызваны нарушением ее свойств. Для этого нужно проводить опросы (тестирование, анкетирование) работающих с ней специалистов. При этом в первую очередь стоит выяснить, кому выгодно незаконно использовать или воздействовать на эту информацию. Если не получается провести количественную оценку возможного ущерба, следует дать ему качественную оценку (низкий, высокий, очень высокий).

Для понимания категорий доступности при анализе задач, решаемых в организации, необходимо выявлять максимально допустимое время задержки результатов, периодичность их решения и серьезность последствий при нарушении их доступности (блокировании задач).

В ходе анализа каждый из видов информации должен быть отнесен к определенной степени (грифу) конфиденциальности (на основании требований действующего законодательства и предоставленных организации прав).

При этом для оценки категории конфиденциальности конкретных видов информации у руководителей (ведущих специалистов) структурного подразделения выясняются личные оценки вероятного ущерба от нарушения свойств конфиденциальности и целостности информации.

По окончании анализа составляется «Список информационных ресурсов, подлежащих защите».

Затем данный список согласовывается с руководителями отделов подразделений ИТ и компьютерной безопасности и выдвигается на рассмотрение руководства организации.

По окончании данного этапа необходимо провести категорирование функциональных задач. На основе требований по доступности, предъявляемых руководителями подразделений организации и согласованных со службой ИТ, категорируются (в плане доступности) все прикладные задачи, решаемые в подразделениях.

В дальнейшем с помощью специалистов службы ИТ и подразделения защиты информации необходимо уточнить состав ресурсов (информационных, программных) каждой задачи и внести в формуляр (конкретной задачи) сведения по группам пользователей данной задачи и указания по настройке применяемых при ее решении средств защиты (например, полномочия доступа групп пользователей к перечисленным ресурсам задачи). В дальнейшем на основании этих сведений будет производиться настройка средств защиты компьютеров, на которых будет решаться данная задача.

На следующем этапе происходит категорирование компьютеров. Категория компьютера устанавливается исходя из максимальной категории задач, решаемых на нем, и максимальных категорий конфиденциальности и целостности информации, используемой при решении этих задач. Информация о категории компьютера заносится в его формуляр.

В понятие инвентаризации ресурсов входит не только сверка имеющихся активных и пассивных сетевых ресурсов со списком оборудования (и его комплектности), закупленного организацией. Эта процедура реализуется с помощью соответствующего программного обеспечения, например Microsoft Sysytems Management Server. Сюда же можно отнести создание карты сети с описанием всех возможных точек подключения, составление списка используемого программного обеспечения, формирование фонда эталонов лицензионного программного обеспечения, используемого в организации, создание фонда алгоритмов и программ собственной разработки.

Следует учесть, что программное обеспечение может быть допущено к работе лишь после его проверки отделом защиты информации на соответствие поставленным задачам и отсутствие всевозможных закладок и «логических бомб».

В связи с этим хотелось бы отдельно упомянуть о тенденции к использованию в нашей стране программного кода Open Source. Не спорю, это обеспечивает существенную экономию ресурсов. Однако, на мой взгляд, в таком случае проблема безопасности становится вопросом доверия уже не только к разработчику системы, но и к вашему администратору. А если вспомнить, сколько он получает, то нетрудно сделать вывод, что купить ваши секреты в данном случае намного проще и дешевле, чем осуществлять прямую внешнюю атаку. Стоит напомнить и о том, что большую часть успешных атак осуществили инсайдеры, то есть свои же сотрудники компании.

На мой взгляд, применять свободно распространяемое программное обеспечение при наличии потенциальной возможности нанесения серьезного ущерба можно лишь в случае, если оно будет поставляться вам в откомпилированном виде и с цифровой подписью организации, гарантирующей отсутствие в нем логических бомб, всяческого рода закладок и «черных ходов». Причем организация-гарант должна нести материальную ответственность за свою гарантию, что, по-моему, невозможно. Однако выбор за вами.

После проверки эталонное программное обеспечение заносится в фонд алгоритмов и программ (эталонная копия должна сопровождаться файлом контрольной суммы, а лучше всего - электронной подписью разработчика). В дальнейшем при смене версий и появлении обновлений проверка программного обеспечения производится в обычном порядке.

В дальнейшем в формуляр каждого компьютера заносятся сведения об установленном программном обеспечении, дате установки, цели, решаемых с помощью данного обеспечения задачах, фамилии и подписи лица, производившего установку и настройку программ. После создания подобных формуляров служба информационной безопасности должна обеспечивать регулярную проверку соответствия реального положения формуляру.

Следующим этапом в построении службы защиты информации является анализ рисков организации, который должен стать основой для создания политики безопасности.

Михаил Коптенков | © М. Коптенков

Информационная безопасность – это состояние защищенности информационной среды. Информационная безопасность должна рассматриваться как комплекс мер, среди которых нельзя выделить более или менее важные . Понятие информационной безопасности тесно связано с понятием защиты информации, которое представляет собой деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на нее, т. е. процесс, направленный на достижение состояния информационной безопасности. Однако, прежде чем защищать информацию, необходимо определить, какую именно информацию следует защищать и в какой степени. Для этого применяется категорирование (классификация) информации, т. е. установление градаций важности обеспечения безопасности информации и отнесение конкретных информационных ресурсов к соответствующим категориям. Таким образом, категорирование информации можно назвать первым шагом на пути к обеспечению информационной безопасности организации.

Исторически сложилось, что при классификации информации ее сразу же начинают классифицировать по уровню секретности (конфиденциальности). При этом требования по обеспечению доступности и целостности часто не учитываются или учитываются наравне с общими требованиями к системам обработки информации. Это неверный подход. Во многих областях доля конфиденциальной информации сравнительно мала. Для открытой информации, ущерб от разглашения которой отсутствует, важнейшими свойствами являются: доступность, целостность и защищенность от неправомерного копирования . В качестве примера можно привести интернет-магазин, где важно постоянно поддерживать доступность к веб-сайту компании. Исходя из необходимости обеспечения различных уровней защиты информации можно ввести различные категории конфиденциальности, целостности и доступности.

1. Категории конфиденциальности защищаемой информации

Конфиденциальность информации – свойство информации, указывающее на необходимость введения ограничений на круг лиц, имеющих доступ к данной информации.
Вводятся следующие категории конфиденциальности информации:
– – информация, являющаяся конфиденциальной в соответствии с требованиями законодательства, а также информация, ограничения на распространение которой введены решениями руководства организации, разглашение которой может привести к нанесению значительного ущерба деятельности организации.
– Конфиденциальная информация – информация, не являющаяся строго конфиденциальной, ограничения на распространение которой вводятся только решением руководства организации, разглашение которой может привести к нанесению ущерба деятельности организации.
– Открытая информация – к данной категории относится информация, обеспечения конфиденциальности которой не требуется.

2. Категории целостности информации

Целостность информации – свойство, при выполнении которого данные сохраняют заранее определенный вид и качество (остаются неизменными по отношению к некоторому фиксированному состоянию).
Вводятся следующие категории целостности информации:
– Высокая – к данной категории относится информация, несанкционированная модификация или подделка которой может привести к нанесению значительного ущерба деятельности организации.
– Низкая – к данной категории относится информация, несанкционированная модификация которой может привести к нанесению умеренного или незначительного ущерба деятельности организации.
– Нет требований – к данной категории относится информация, к обеспечению целостности которой требований не предъявляется.

3. Категории доступности информации

Доступность – состояние информации, при котором субъекты, имеющие право доступа, могут реализовывать его беспрепятственно.
Вводятся следующие категории доступности информации:
– – доступ к информации должен обеспечиваться в любое время (задержка получения доступа к информации не должна превышать нескольких секунд или минут).
– Высокая доступность – доступ к информации должен осуществляться без существенных временных задержек (задержка получения доступа к информации не должна превышать нескольких часов).
– Средняя доступность – доступ к информации может обеспечиваться с существенными временными задержками (задержка получения информации не должна превышать нескольких дней).
– Низкая доступность – временные задержки при доступе к информации практически не лимитированы (допустимая задержка получения доступа к информации – несколько недель).

Из вышеперечисленного видно, что категории конфиденциальности и целостности информации напрямую зависят от величины ущерба деятельности организации при нарушении этих свойств информации. Категории доступности в меньшей степени, но также зависят от величины ущерба деятельности организации. Для определения величины ущерба используется его субъективная оценка и вводится трехуровневая шкала: значительный ущерб, умеренный ущерб и низкий ущерб (или отсутствие ущерба).
низкий , если потеря доступности, конфиденциальности и/или целостности информации оказывает незначительное негативное воздействие на деятельность организации, ее активы и персонал.
Незначительность негативного воздействия означает, что:
- организация остается способной выполнять свою деятельность, но эффективность основных функций оказывается сниженной;
- активам организации наносится незначительный ущерб;
- организация несет незначительные финансовые потери.
Ущерб деятельности организации оценивается как умеренный , если потеря доступности, конфиденциальности и/или целостности оказывает серьезное негативное воздействие на деятельность организации, ее активы и персонал.
Серьезность негативного воздействия означает, что:
- организация остается способной выполнять свою деятельность, но эффективность основных функций оказывается существенно сниженной;
- активам организации причиняется значительный ущерб;
- компания несет значительные финансовые потери.
Потенциальный ущерб для организации оценивается как значительный , если потеря доступности, конфиденциальности и/или целостности оказывает тяжелое (катастрофическое) негативное воздействие на деятельность организации, ее активы и персонал, т. е.:
- организация теряет способность выполнять все или некоторые из своих основных функций;
- активам организации причиняется крупный ущерб;
- организация несет крупные финансовые потери.
Таким образом, оценивая ущерб деятельности организации при нарушении конфиденциальности, целостности и доступности информации и на основании этого определяя категории информации, можно выделить три ее типа: наиболее критичная, критичная и некритичная.

Определение типа информации осуществляется путем сопоставления категорий этой информации.
В таблице 1 приведено определение типа информации.

Таблица 1: Определение типа информации

Таким образом, категорирование информации является первым шагом к обеспечению информационной безопасности организации, так как, прежде чем что-то защищать, в первую очередь, стоит определить, что именно требуется защищать и в какой степени. Категорировать следует и пользовательскую, и системную информацию, представленную как в электронной форме, так и на материальном носителе. Для определения типа защищаемой информации необходимо определить, какой ущерб организации будет причинен при потере конфиденциальности, целостности и доступности такой информации.
В дальнейшем, определив, к какому типу какая информация относится, можно применять различные меры по защите каждого типа информации. Это позволит не только структурировать обрабатываемые в организации данные, но и наиболее эффективно внедрить и использовать подсистему управления доступом к защищаемой информации, а также оптимизировать затраты на обеспечение информационной безопасности.

Список литературы:
1. Безмалый В., Служба защиты информации: первые шаги, 2008 г., http://www.compress.ru/Article.aspx?id=20512
2. Гладких А. А., Дементьев В. Е., Базовые принципы информационной безопасности вычислительных сетей. Ульяновск: УлГТУ, 2009. – 156 с.