Рассылка закрыта
Вы можете найти рассылки сходной тематики в Каталоге рассылок.
Безопасность в Интернет
| Безопасность в Интернет #30 | декабрь 2000 |
Окончание статьи "Грани информационной безопасности" (начало и продолжение -- #28 и #29)
Инфраструктура открытых ключей (PKI)
Целостная система информационной безопасности невозможна без реальной интеграции коммуникационной, информационной систем и систем безопасности путем построения инфраструктуры открытых ключей (PKI).
Основными функциями PKI являются: поддержка жизненного цикла цифровых ключей и сертификатов (т.е., их генерация, распределение, отзыв и пр.), поддержка процесса идентификации и аутентификации пользователей, и реализация механизма интеграции существующих приложений и всех компонент подсистемы безопасности.
К сожалению, не каждое средство информационной защиты, даже если производитель декларирует его соответствие существующим стандартам (X.509, LDAP, PKCS №11, PKCS №7), определяющим функционирование системы PKI и способствующим ее взаимодействию с различными средствами защиты, может работать с любой системой PKI. В каждом конкретном случае необходимо проведение совместных тестовых испытаний различных средств и систем.
Методически процесс создания инфраструктуры открытых ключей (PKI) состоит из последовательного ряда этапов, каждый из которых должен сопровождаться соответствующим документированием и проверками критериев успешности. Каждый из этапов создания PKI дает результат в виде явно оформленного «продукта», позволяющего убедиться в законченности и общем продвижении процесса.
Этап 1. Анализ требований -- внедрение любого решения на основе PKI состоит в осознании требований:
- в чем состоят цели бизнеса;
- каков должен быть уровень безопасности;
- в чем состоят уязвимости системы;
- в чем состоят юридические и административные ограничения, и пр.
Необходимо ясно выделить и проанализировать возможные решения. Анализ затрат на построение инфраструктуры открытых ключей и возможных преимуществ, сопровождаемых приемлемым и реализуемым планом проекта являются результатами первого этапа работ.
Этап 2. Проектирование -- разработка регламентов работы и выбора архитектуры PKI. На этом этапе рассматриваются вопросы взаимодействия PKI с пользовательскими приложениями и возможности параллельной разработки.
Результатом работ должен быть набор документов определяющих:
- режимы работы PKI;
- способы передачи доверительной информации между пользователями;
- архитектура PKI и ее составные части;
- способы доступности PKI для приложений пользователей;
- способы тестирования и сопровождения законченной системы PKI;
- подробный план проекта.
Этап 3. Функционирование -- определение процедур функционирования и управления, необходимых для проверки того, что система безопасности, основанная на PKI, является эффективной. В частности, определяется политика сертификации. На этом же шаге определяется методика и методы сопровождения и поддержки готовой системы.
Этап 4. Аудит безопасности -- производится анализ уязвимостей системы, а также независимый аудит и анализ рисков, для принятия соответствующих действий.
Этап 5. Пилотный проект -- соединение всех компонент PKI, и, таким образом, создание пилотного проекта системы, на которой возможно произвести тестирование всех функциональных требований, производительности и операционных регламентов. Кроме того, выполняется тестирование всех наиболее важных приложений защиты. Наконец, этот этап завершается разработкой подробного плана внедрения системы.
Этап 6. Внедрение -- установка и проверка работоспособности системы PKI с последующими приемочными испытаниями. Отчет о соответствии всем требованиям по безопасности с описаниями тестов атак на систему является одним из главных результатов этапа.
Выполняется план внедрения системы, разработанный на предыдущем этапе.
Этап 7. Поддержка, сопровождение и модификация. Все системы изменяются с течением времени. Установка новых версий, внедрение новых пользовательских приложений, увеличение производительности, мощности и новых требований, обновление аппаратной платформы, и пр. -- все это требует соответствующего управления.
Результатом процесса является функционирующая инфраструктура открытых ключей (в целях интеграции системы безопасности и защиты информации корпорации, и/или в целях создания систем электронной коммерции компании) на основе продуктов одного из мировых лидеров-производителей в этой области, и соответствующая всем требованиям, ограничениям и пожеланиям, сформированным в процессе анализа и проектирования системы.
Комплексный пакет услугНа наш взгляд, достаточно полный пакет услуг по созданию систем информационной безопасности включает:
- экспертизу информационных систем на предмет соответствия требованиям безопасности;
- подготовку автоматизированных систем и объектов информатизации к аттестации на соответствие требованиям безопасности;
- анализ защищенности информационных систем и разработка политики и концепции информационной безопасности организаций;
- проектирование корпоративных систем в защищенном исполнении;
- обучение и консультирование специалистов Заказчика;
- поставка (как необходимое и согласованное программное, так и техническое обеспечение!) и ввод в эксплуатацию средств защиты;
- сопровождение и техническая поддержка систем информационной безопасности;
- модернизация и развитие систем информационной безопасности;
- консалтинг в области информационной безопасности.
Для организации защиты от угроз и обеспечения экономически выгодного и безопасного использования коммуникационных ресурсов организации, необходимо на наш взгляд решить следующие задачи:
- разработать политику информационной безопасности организации;
- защитить внешние каналы передачи информации, обеспечив конфиденциальность, целостность и подлинность подлинности передаваемой по ним информации;
- обеспечить возможность безопасного доступа к открытым ресурсам внешних сетей и Internet, а также общения с пользователями этих сетей;
- обеспечить защиту отдельных наиболее коммерчески значимых информационных систем независимо от используемых ими каналов передачи данных;
- обеспечить защищенный удаленный доступ персонала к информационным ресурсам корпоративной сети;
- обеспечить надежное централизованное управление средствами сетевой защиты.
Напомню, что авторами этой статьи являются Игорь Кадощук, Татьяна Савельева и Елена Турская из компании Элвис+.
Очередной выпуск -- 5 декабря. В нем о конкретном средстве защиты ваших информационных ресурсов, имеющем стойкую и заслуженную популярность на рынке -- Cisco PIX Firewall
Искренне ваш, А.Бочаров
| Ваши отклики - andboc@mail.ru |
 |
 |
|
http://subscribe.ru/
E-mail: ask@subscribe.ru |
|
| В избранное | ||
