КОНЦЕПЦИЯ БЕЗОПАСНОСТИ ПРЕДПРИЯТИЯ И ЕЁ СОДЕРЖАНИЕ

Стр 1 из 2Следующая ⇒

ГЛАВА 5. ОРГАНИЗАЦИОННЫЕ МЕРЫПО ЗАЩИТЕ ИНФОРМАЦИИ

ОБЩАЯ ХАРАКТЕРИСТИКА

Под безопасностью предприятия (учреждения, организации) можно понимать состояние защищённости интересов его владельцев (акционеров), руководства, персонала, клиентов (если предприятие является коммерческим), а также материальных ценностей и информационных ресурсов от внутренних и внешних угроз. При этом под состоянием защищённости можно понимать умение и способность предприятия надёжно противостоять любым попыткам криминальных структур или недобросовестных конкурентов нанести ущерб его законным интересам.

Обеспечение безопасности предприятия является неотъемлемой составной частью его деятельности.

Комплекс организационных мер по защите информации на предприятии, как правило, связывается с деятельностью его службы безопасности (СБ или иной специально выделенной группы). В большинстве случаев СБ является самостоятельной единицей, подчиняющейся непосредственно руководителю предприятию. Мировой и российский опыт показывает, что только собственная СБ является надёжной защитой по обеспечению экономической безопасности предприятия и противодействию промышленному шпионажу.

К настоящему времени накоплен значительный теоретический и практический материал, позволяющий более обоснованно (с точки зрения оптимальности и стоимости) создавать службы безопасности.

Однако, прежде чем разрабатывать окончательную структуру СБ и определять функции её структурных подразделений, целесообразно сформироватьконцепцию безопасностипредприятия.

В качестве разработчиков концепции могут выступать лица, отвечающие в руководстве предприятия за это направление. Также могут привлекаться соответствующие специалисты и эксперты из организаций, имеющие опыт разработки подобных документов.

При разработке концепции необходимо определить, кто и что будут являться объектами безопасности.

Например, применительно к предприятиям, на территории которых часты клиенты (посетители), к их числу можно отнести:

1) посетителей (клиентов);

2) персонал (руководство, ответственные исполнители, сотрудники);

3) финансовые средства, материальные активы;

4) информационные ресурсы (информация, составляющая коммерческую тайну, интеллектуальную собственность, и другая информация, имеющая конфиденциальный характер, представленная в виде документов и их массивов независимо от формы и вида их представления).

Субъектами правоотношений при рассмотрении вопросов безопасности предприятия являются:

1) государство как собственник ресурсов, создаваемых, приобретаемых и накапливаемых за счёт средств государственного бюджета, а также информационных ресурсов, отнесённых к категории государственной тайны;

2) ЦБ РФ, осуществляющий денежно-кредитную политику страны;

3) коммерческий банк как юридическое лицо, являющееся собственником финансовых, а также информационных ресурсов, составляющих служебную, коммерческую и банковскую тайну;

4) все иные юридические и физические лица, в том числе партнёры и клиенты по финансовым и другим отношения, задействованные в процессе функционирования предприятия как внутри страны, так и во внешнефинансовых связях;

5) службы безопасности коммерческих банков, других предприятий и частные охранно-детективные структуры, с которыми осуществляется взаимодействие;

6) органы исполнительной власти, уполномоченные заниматься вопросами лицензирования и сертификации в области безопасности.

КОНЦЕПЦИЯ БЕЗОПАСНОСТИ ПРЕДПРИЯТИЯ И ЕЁ СОДЕРЖАНИЕ

Концепция безопасности предприятия (учреждения, организации) – система научно обоснованных взглядов на определение основных направлений, условий и порядка практического решения задач защиты предприятия и его законных интересов от противоправных действий и недобросовестной конкуренции.

Разработка концепции безопасности преследует ТРИосновные цели:

1. Выработка общей точки зрения по вопросу обеспечения безопасности предприятия между руководством предприятия, его сотрудниками и фирмами, привлекаемыми для организации безопасности, производства работ по техническому основанию объекта и др.

2. Создание основы для организации режимов, обеспечивающих безопасность и принятие управляющих решений по финансированию соответствующих программ и мероприятий защиты.

3. Улучшение имиджа предприятия и роста прибыли за счёт обеспечения высокого качества предоставляемых услуг и гарантий безопасности имущественных прав и интересов клиентов.

В ходе разработки концепции безопасности обычно выделяют ТРИ основных этапа.

На первом этапе осуществляется подготовка исходных данных.

С этой целью необходимо собрать следующие документы и материалы:

1) подробные планы территории и поэтажные планы помещений объекта защиты с указанием их функционального назначения и строительных особенностей;

2) схемы коммуникаций (энергоснабжение, телефонная связь, теплоснабжение, внутренние компьютерные сети и прочие) с указанием способа их прокладки;

3) чертежи, рисунки или фотографии мест, представляющих опасность с точки зрения несанкционированного проникновения на объект (туннели тепловых и водопроводных коммуникаций, тонкие стены, граничащие с чужой территорией, переходы с крыши на крышу, подвальные помещения, холодильные установки, бойлерные, электрощитовые и др.);

4) перечень особенностей эксплуатации зданий и сооружений объекта, влияющих на режим безопасности (права арендодателей помещений, необходимость посещения различными инспекциями и т п.);

5) схема режима освещенности территории в ночное время;

6) схема организации движения транспорта по территории объекта и территории, прилегающей к нему;

7) нормативный документ, определяющий режим работы сотрудников, и правила посещения объекта клиентами.

На втором этапеспециальной экспертной группой, формирующей концепцию безопасности, совместно с руководством предприятия принимаются основополагающе решения по вопросам безопасности:

1.Формулируются возможные угрозы, представляющие опасность интересам предприятия на данном этапе его работы и развития.

2. Решается вопрос о том, чьими силами будет осуществляться охрана объекта (собственными силами, силами правоохранительных органов или охранным агентством).

3. Определяются допустимые пределы режимных ограничений, которые не нанесут ущерба технологии основной деятельности предприятия.

4. Оцениваются допустимые пределы возможного финансирования программ,связанных с обеспечением безопасности.

5. Определяются приоритеты и ориентировочные желательные сроки реализацииэтих программ.

На третьем этапепроизводится разработка документов, составляющих основу концепции.

1. Составление таблиц помещений здания и участков территории с указанием зон режимности (рекомендуется градация степени режимности из 6 категорий).

см. параграф 4.5.

2. Составление схемы (плана) охраны объекта с указанием маршрутов движения сотрудников и клиентов, расположения постов охраны, распределения функций между постами охраны и техническими средствами усиления безопасности.

3. Разработка рекомендаций по организации контрольно-пропускного режима с иерархией доступа различных категорий клиентов и сотрудников в помещения с разной степенью режимности.

4. Оценка необходимости защиты и принципов защиты коммуникаций.

5. Определение необходимости усиления защищенности объекта техническими средствами (укрепление стройконструкций, системы охранной сигнализации, телевизионное наблюдение, устройство контроля и регистрации и т д.) и составление скелетной схемы технического оснащения.

6. Оценка необходимости разработки системы предотвращения утечки информации с объекта.

7. Определение принципа локализации возможного ущерба от происшествий в чрезвычайных ситуациях.

8. Выработка рекомендаций по порядку взаимодействия с правоохранительными организациями в угрожающих ситуациях и при расследовании происшествий.

9. Составление ориентировочной сметы расходов на выполнение необходимых проектных, монтажных и других работ с указанием ориентировочной стоимости потребного оборудования и расходов на эксплуатацию или просто определение максимально допустимых пределов расхода средств на эти цели.

10. Определение организаций, которые могут быть привлечены для осуществления мероприятий по организации защиты объекта.

В зависимости от характера работы предприятия и его структурной организации в концепцию могут включаться и другие разделы.

Среди них можно отметить следующие:

1) система мер противодействия попыткам преступных элементов и организованных групп осуществлять угрозы в отношении персонала, клиентов, имущества материальных и интеллектуальных ценностей (защита от налетов, проникновения взломом и прочих угроз криминального характера);

2) информационное и правовое обеспечение интересов предприятия (деловая разведка, помощь в возврате кредитов, ускоренная подготовка и проведение арбитражных процессов и т п.);

3) проверочные мероприятия в отношении клиентов, персонала и кандидатов работу и расследование происшествий.

Концепция оформляется в виде пакета документов, подписанных разработчиком, руководителем службы безопасности(при необходимости и представителями других служб) и утверждается руководителем предприятия.

После разработки концепции безопасности целесообразно разработать политики безопасности для его отдельных функциональных подсистем.

В первую очередь такую политику безопасности следует разработать для информационной инфраструктуры, функционирующей на предприятии, — его автоматизированной информационной системы (ИС).

5.3. ПОЛИТИКА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРЕДПРИЯТИЯ

5.3.1. Назначение политики безопасности

В целом задача построения системы защиты информации, способной противостоять трем основным группам угроз, является достаточно сложной, решается каждого конкретного случая и не всегда считается разрешимой. При этом отдельным вопросом остается оптимальность и адекватность созданной системы защиты информации, поставленным целям.

Одновременно система защиты должна, по возможности, удовлетворять следующим противоречащим друг другу принципам:

1) система защиты носит вспомогательный характер, по сравнению с основным направлением деятельности ИС;

2) система защиты не должна ограничивать обмен информацией для выполнения основных функций ИС;

3) система защиты должна надежно защищать всю имеющуюся в ИС ценную информацию от всех возможных угроз.

При принятии решений по созданию политики безопасности ИС руководство организации сталкивается с проблемой выбора вариантов решений по организации защиты информации на основе учета принципов деятельности организации, соотношения важности целей и наличия ресурсов. Эти решения включают определение того, как будут защищаться технические и информационные ресурсы, а также как должны вести себя служащие в тех или иных ситуациях.

Таким образом, реальная система защиты должна быть компромиссом между эффективностью основного функционирования ИС и защитой информации в ней, а также между материальными затратами на защиту и стоимостью самих защищаемых технологических и информационных ресурсов. Для реализации такого компромисса и вводят понятие политики безопасности.

Политика безопасности — это набор норм, правил и практических приемов, которые регулируют управление, защиту и распределение ценной информации в данной ИС (организации, подразделении и т п.).

На практике политика безопасности трактуется как совокупность документированных административных решений, направленных на обеспечение безопасности информационных ресурсов ИС.

В данном контексте любая система защиты является реализацией политики безопасности. Говорят, что система является гарантированно защищенной, если ее система защиты при заданных условиях реализует все правила политики безопасности. При этом следует учитывать, что реализация опасностей для ценной информации в ИС может быть следствием не только неадекватной системы защиты, но и неправильно сформулированной политики безопасности.

Для конкретной ИС политика безопасности зависит от технологии обработки информации, используемых программных и технических средств, структуры организации и т. д.

Создание политики должно учитывать следующие направления защиты:

• защита объектов информационной системы;

• защита процессов, процедур и программ обработки информации;

• защита каналов связи;

• подавление побочных электромагнитных излучений и наводок;

• управление системой защиты.

Очевидно, что каждое из указанных направлений должно быть детализировано в зависимости от особенностей структуры ИС.

Кроме этого, политика информационной безопасности (ПИБ) должна описывать следующие этапы создания СЗИ:

1. определение информационных и технических ресурсов, подлежащих защите;

2. выявление полного множества потенциально возможных угроз и каналов утечки информации;

3. проведение оценки уязвимости и рисков информации при имеющемся множестве угроз и каналов утечки;

4. определение требований к системе защиты;

5. осуществление выбора средств защиты информации и их характеристик;

6. внедрение и организация использования выбранных мер, способов и средств защиты;

7. осуществление контроля целостности и управление системой защиты.

При разработке и проведении в жизнь ПИБ целесообразно руководствоваться

следующими принципами:

1) невозможность миновать защитные средства

(означает, что все информационные потоки в защищаемую сеть и из нее должны проходить через средства защита информации (СЗИ), не должно быть «тайных» модемных входов или тестовых ланий, идущих в обход);

2) усиление самого слабого звена

(надежность любых СЗИ определяется самым слабым звеном, часто таким звеном оказывается не компьютер или программа, а человек, и тогда проблема обеспечения информационной безопасности приобретает нетехнический характер);

3) недопустимость перехода в открытое состояние

(означает, что при любых обстоятельствах (в том числе нештатных) СЗИ либо полностью выполняют свои функции, либо должны полностью блокировать доступ);

4) минимизация привилегий

(предписывает выделять пользователям и администраторам только те права доступа, которые необходимы им для выполнения служебных обязанностей);

5) разделение обязанностей

(предполагает такое распределение ролей и ответственности, при котором один человек не может нарушить критически важный для организации процесс, это особенно важно для предотвращения злонамеренных или неквалифицированных действий системного администратора);

6) многоуровневая защита

(предписывает не полагаться на один защитный рубеж, каким бы надежным он ни казался; за средствами физической защиты должны следовать программно-технические средства, за идентификацией и аутентификацией управление доступом и, как последний рубеж, протоколирование и аудит; эшелонированная оборона способна, по крайней мере, задержать злоумышленника, а наличие такого рубежа, как протоколирование и аудит, существенно затрудняет незаметное выполнение злоумышленных действий);

7) разнообразие защитных средств

(рекомендуется организовывать различные по своему характеру оборонительные рубежи, чтобы от потенциального злоумышленника требовалось овладение разнообразными и, по возможности, несовместимыми между собой навыками преодоления СЗИ);

8) простота и управляемость информационной системы

(определяет возможность формального или неформального доказательства корректности реализации механизмов защиты, только в простой и управляемой системе можно проверить согласованность конфигурации разных компонентов и осуществить централизованное администрирование);

9) обеспечение всеобщей поддержки мер безопасности

(носит нетехнический актер, рекомендуется с самого начала предусмотреть комплекс мер, направленна обеспечение лояльности персонала мерам защиты, на постоянное обучение, теоретическое и, главное, практическое).

5.3.2. Содержание политики безопасности

Результатом выработки политики безопасности является высокоуровневый документ, в котором излагаются цели, задачи, принципы и способы достижения информационной безопасности.

Данный документ составляет методологическую основу практических мер (процедур) по реализации ИБ и содержит следующие группы сведений:

• основные положения информационной безопасности;

• область применения;

• цели и задачи обеспечения ИБ;

• распределение ролей и ответственности;

• общие обязанности.

Основные положения определяют важность обеспечения ИБ, общие проблемы безопасности, направления их решения, роль сотрудников, нормативно-правовые основы.

Областью применения политики безопасности являются основные активы и подсистемы ИС, подлежащие защите. Типовые активы: персонал, информационное и программно-аппаратное обеспечение ИС, в отдельных случаях информационная инфраструктура.

Цели и задачи обеспечения ИБ вытекают из функционального назначения ИС.

Например, в некоторых ИС на первое место ставится соблюдение конфиденциальности информации.

Для сервисных информационных служб реального времени важным является обеспечение доступности (оперативной готовности) подсистем.

Для информационных хранилищ актуальным может быть обеспечение целостности данных и т. д.

Типовыми целями могут быть:

- обеспечение уровня безопасности, соответствующего нормативным документам;

- достижение экономической целесообразности в выборе защитных мер;

- обеспечение соответствующего уровня безопасности в конкретных функциональных областях ИС;

- реализация подотчетности всех действий пользователей с информационными ресурсами и анализа регистрационной информации;

- выработка планов восстановления после критических ситуаций и обеспечения непрерывности работы ИС и др.

Если ИС не является изолированной, цели и задачи рассматриваются в более широком контексте: должны быть оговорены вопросы безопасного взаимного влияния локальных и удаленных подсистем.

В указанном документе могут быть конкретизированы некоторые стратегические принципы безопасности, вытекающие из целей и задач.

Таковыми являются стратегии действий в случае нарушения политики безопасности, взаимодействия с внешними организациями, прессой и др.

В качестве примера можно привести две стратегия ответных действийна нарушение безопасности:

• «защититься и продолжить», когда оказывается максимальное противодействие нарушению;

• «выследить и осудить», когда злоумышленнику позволяют продолжить действия с целью его компрометации и наказания.

Политика безопасности затрагивает всех пользователей ИС (обслуживающий персонал и собственно пользователей). Поэтому важно решить вопросы наделения всех категорий пользователей соответствующими правами, привилегиями и обязанностями. Для этого определяется круг лиц, имеющих доступ к подсистемам и сервисам ИС. Для каждой категории пользователей описываются правильные и неправильные способы использования ресурсов — что запрещено и разрешено. Здесь специфицируются уровни и регламентация доступа различных групп пользователей.

Следует указать, какое из правил умолчания на использование ресурсов принято, а именно:

• что явно не запрещено, то разрешено

• что явно не разрешено, то запрещено.

Одним из самых уязвимых мест в обеспечении ИБ являетсяраспределение прав доступа.

В политике безопасности должна быть утверждена схема управления распределением прав доступа к сервисам — централизованная, децентрализованная илииная. Должно быть четко определено, кто распоряжается правами доступа к сервисам и какими именно правами. Целесообразно детально описать практические процедуры наделения пользователей правами. Здесь следует указать должностных лиц,имеющих административные привилегии и пароли для определенных сервисов. Права и обязанности пользователей определяются применительно к безопасному применению подсистем и сервисов ИС. При определении прав и обязанностей администраторов следует стремиться к некоторому балансу между правом пользователей на тайну и обязанностью администратора контролировать нарушения безопасности.

В настоящее время лучше всего изучены два вида политики безопасности:избирательная и полномочная, основанные соответственно на избирательном и полномочном способах управления доступом. Кроме того, существует набор требований, усиливающий действие этих политик и предназначенный для управления информационными потоками в системе.

Следует отметить, что средства защиты, предназначенные для реализации какого-либо из названных способов управления доступом, только предоставляют возможности надежного управления доступом или информационными потоками. Определение прав доступа субъектов к объектам и/или информационным потокам (полномочий субъектов и атрибутов объектов, присвоение меток критичности и т. д.) входит в компетенцию администрации системы.

Основой избирательной (дискреционной) политики безопасности является избирательное управление доступом, которое подразумевает, что:

• все субъекты и объекты системы должны быть идентифицированы;

• права доступа субъекта к объекту системы определяются на основании некоторого правила (свойство избирательности).

Для описания свойств избирательного управления доступом применяется модель системы на основе матрицы доступа (МД), иногда ее называют матрицей контроля доступа. Такаямодельполучила название матричной.

Матрица доступа (МД) представляет собой прямоугольную матрицу, в которой объекту системы соответствует строка, а субъекту — столбец.

На пересечении столбца и строки матрицы указывается тип разрешенного доступа субъекта к объекту. Обычно выделяют такие типы доступа субъекта к объекту, как «доступ на чтение», «доступ на запись», «доступ на исполнение» и др.

Множество объектов и типов доступа к ним субъекта может изменяться в соответствии с некоторыми правилами, существующими в данной системе. Определение и изменение этих правил также являются задачей МД.

Решение на доступ субъекта к объекту принимается в соответствии с типом доступа, указанным в соответствующей ячейке матрицы доступа. Обычно избирательное управление доступом реализует принцип «что не разрешено, то запрещено», предполагающий явное разрешение доступа субъекта к объекту. Матрица доступа — наиболее простой подход к моделированию систем доступа.

Избирательная политика безопасности наиболее широко применяется в коммерческом секторе, так как ее реализация на практике отвечает требованиям коммерческих организаций по разграничению доступа и подотчетности, а также имеет приемлемую стоимость и небольшие накладные расходы.

Основу полномочной политики безопасности составляет полномочное управление доступом, которое подразумевает, что:

• все субъекты и объекты системы должны быть однозначно идентифицированы;

• каждому объекту системы присвоена метка критичности, определяющая ценность содержащейся в нем информации;

• каждому субъекту системы присвоен уровень прозрачности, определяющий максимальное значение метки критичности объектов, к которым субъект имеет доступ.

Когда совокупность меток имеет одинаковые значения, говорят, что они принадлежат к одному уровню безопасности.

Организация меток имеет иерархическую структуру, и, таким образом, в системе можно реализовать иерархически восходящий поток информации (например, от рядовых исполнителей к руководству).

Чем важнее объект или субъект, тем выше его метка критичности. Поэтому наиболее защищенными оказываются объекты с наиболее высокими значениями метки критичности.

Каждый субъект, кроме уровня прозрачности, имеет текущее значение уровня безопасности, которое может изменяться от некоторого минимального значения до значения его уровня прозрачности.

Основное назначение полномочнойполитики безопасности — регулирование доступа субъектов системы к объектам с различным уровнем критичности и предотвращение утечки информации с верхних уровней должностной иерархии внижние.

Важным элементом политики является также распределение ответственности.

Политика не может предусмотреть всего, однако она должна для каждого вида проблем найти ответственного. Обычно выделяется несколько уровней ответственности

На первом уровне каждый пользователь обязан:

* работать в соответствии с политикой безопасности;

* подчиняться распоряжениям лиц, отвечающих за отдельные аспекты безопасности;

* ставить в известность руководство обо всех подозрительных ситуациях.

Системные администраторы отвечают за защиту соответствующих информационно-вычислительных подсистем.

Администраторы ИС должны обеспечивать реализацию организационно-технических мер, необходимых для проведения в жизнь сетевой политики безопасности ИС.

Более высокий уровень — руководители подразделений отвечают за доведение и контроль положений политики безопасности.

Раздел политики, посвященный общим обязанностям, должен описывать процедуру получения полномочий, регистрации, отключения и непосредственно работы с информационными ресурсами ИС со стороны всех сотрудников предприятия (получение и смена паролей, информирование администрации о командировках и отпусках для блокирования учетных записей на данный период, необходимость использования электронной почты и доступа к внешним Web-ресурсам, требование пользоваться антивирусами, процедура установки нового ПО и т п.) и предписывать им строго соблюдать, изложенные в политике безопасности, защитные меры.

5.3.3. Структура политики безопасности

С практической точки зрения, политику безопасности целесообразно разделить на несколько уровней. Как правило, выделяют два-три уровня.

Верхний уровень носит общий характер и определяет политику ИС в целом.

Здесь основное внимание уделяется:

• порядку создания и пересмотра политики безопасности;

• целям, преследуемым ИС в области информационной безопасности;

• вопросам выделения и распределения ресурсов;

• принципам технической политики в области выбора методов и средств защиты информации;

• координированию мер безопасности;

• стратегическому планированию и контролю;

• внешним взаимодействиям и другим вопросам, имеющим общеорганизационный характер.

На указанном уровне формулируются главные цели в области ИБ (определяемые сферой деятельности): обеспечение конфиденциальности, целостности и (или) доступности.

Средний уровень политики безопасности выделяют в случае структурной сложности ИС (наличие филиалов и т п.) или при необходимости обозначить специфичные подсистемы организации. Это касается отношения к перспективным, еще не достаточно апробированным технологиям.

Например, использование новых сервисов Internet, организация связи и обработка информации на домашних и портативных компьютерах, степень соблюдения положений компьютерного права и др.

Кроме того, на среднем уровне политики безопасности могут быть выделены особо значимые контуры ИС, например обрабатывающие конфиденциальную или критически важную информацию.

За разработку и реализацию политики безопасностиверхнего и среднего уровней отвечают руководитель СБ, администраторы безопасности ИС, администраторы ИВС.

Нижний уровеньполитики безопасности относится к конкретным службам или подразделениям ИС и детализирует верхние уровни политики безопасности.

Этот уровень необходим, когда вопросы безопасности конкретных подсистем требуют решения на управленческом, а не только на техническом уровне.

На данном уровне определяются:

* конкретные цели,

* частные критерии и показатели информационной безопасности,

* задаются права конкретных групп пользователей,

* формулируются соответствующие условия доступа к информации и т п.

Здесь из конкретных целей выводятся (обычно формальные) правила безопасности, описывающие, кто, что и при каких условиях может или не может делать. Более детальные и формальные правила упростят внедрение системы и настройку СЗИ.

На нижнем уровне описываются механизмы защиты информации и используемые программно-технические средства для их реализации.

За политику безопасности нижнего уровня отвечают системные администраторы.

В ходе разработки политики безопасности с целью минимизации затрат на обеспечение ИБ проводится анализ рисков.

Основной принцип безопасности: затраты на средства защиты не должны превышать стоимости защищаемых объектов.

При этом если политика безопасности оформляется в виде высокоуровневого документа, описывающего общую стратегию, то анализ рисков (как приложение) оформляется ввиде списка активов, нуждающихся в защите.

12 Следующая ⇒

Последнее изменение этой страницы: 2018-04-12; просмотров: 416.

stydopedya.ru не претендует на авторское право материалов, которые вылажены, но предоставляет бесплатный доступ к ним. В случае нарушения авторского права или персональных данных напишите сюда...