Рассылка закрыта
Вы можете найти рассылки сходной тематики в Каталоге рассылок.
Безопасность в Интернет
| Безопасность в Интернет #43 | февраль 2001 |
Друзья!
В сегодняшнем выпуске -- аналитическая статья Игоря Ляпунова, начальника отдела систем информационной безопасности компании Ланит.
Проблемы системной интеграции в области защиты информации
Игорь ЛяпуновХотим мы этого или нет, но современные корпоративные информационные системы имеют сложную структуру -- используется несколько системно-технических платформ и множество различных сетевых сервисов. Это определяет соответственно большое количество уязвимостей системы. Постоянно появляются новые типы атак и противостоящие им технологии защиты. Использования стандартных средств, таких как межсетевые экраны, виртуальные частные сети, средства защиты от несанкционированного доступа, уже недостаточно для построения надежной и эффективной системы информационной безопасности. Многочисленные требования к системе защиты информации обуславливают ее сложность, необходимость комплексного подхода к ее построению.
Проблема № 1. Продукты или решения?
Одной из основных проблем компании-интегратора в области защиты информации является несформированность рынка комплексных решений, т.е. непонимание потенциальных заказчиков необходимости комплексного подхода к решению проблемы информационной безопасности. Потенциальный заказчик пока не готов платить за высококвалифицированные услуги по созданию такой системы. Руководство компании зачастую предпочитает готовый дорогостоящий продукт, пусть и не обладающий всей необходимой функциональностью, проекту, включающему в себя обследование, выбор и установку оптимальных программных и аппаратных средств. Проще выдать деньги начальнику ИТ-отдела, чем работать с консультантом, изучать проблему.
Часто, рассматривая предложение системного интегратора, заказчик хочет видеть окончательную спецификацию на программно-аппаратные средства защиты уже на преддоговорном этапе. Это свидетельствует лишь о непонимании всей сложности системы безопасности -- спецификация может следовать только из анализа рисков, полного множества угроз, выбора мер и средств защиты.
Проблема №2. Бывает ли 100 %?
В некоторых рекламных материалах компаний, занимающихся защитой информации, можно встретить фразу: «Мы обеспечим 100-процентную защиту». Это не совсем соответствует действительности. Все системы строятся с учетом определенного уровня защиты, который определяется требованиями к системе и затратами на нее. Построение идеально защищенной системы потребует огромных затрат, к тому же, скорей всего, она не будет работать вовсе -- самая защищенная вычислительная система -- выключенный компьютер, запертый в сейф. Всегда существует вероятность уязвимости, в частности, из-за появления новых видов угроз.
Однако приблизить надежность системы к 100% можно. В настоящее время активно развивается направление страхования информационных рисков клиентов -- комплексная система информационной безопасности и договор страхования обеспечивают максимальный уровень защиты данных и минимизируют возможные риски.
Проблему качества системы защиты информации можно решить таким образом: заказчик выбирает генерального подрядчика по созданию системы информационной безопасности. Одновременно компания-эксперт, которую также выбирает заказчик, проводит аудит всех действий генерального подрядчика и готовящихся материалов. Т.е. заказчик «не складывает все яйца в одну корзину», а распределяет ответственность между несколькими квалифицированными командами специалистов.
Проблема № 3. Что такое техническая поддержка?
Перед каждой организацией рано или поздно встает вопрос о необходимости создания подразделения информационной безопасности. Положительный ответ на этот вопрос влечет за собой новые проблемы: потребность в разносторонних и высококвалифицированных специалистах, которые, естественно, стоят дорого. Их очень мало на рынке, и даже если удастся найти таких людей, то ровно через полгода им станет смертельно скучно, и они либо уйдут из компании, либо начнут терять квалификацию.
Что делать? Вариантов решения этой проблемы немного и один из них -- аутсорсинг -- вынос службы информационной безопасности из организации в специализированную компанию. В этом случае в ЛВС заказчика партнер устанавливает специальные средства удаленного мониторинга и управления системой, разрабатывает систему оперативного реагирования, контролирует всю активность вокруг объектов защиты. Также производится ежемесячный аудит системы, участие во всех разработках проектных решений по созданию информационных подсистем, требующих защиты информации.
Проблема № 4. Обследование вычислительной системы организации заказчика и непосредственно самой организации заказчика по вопросам информационной безопасности -- это одно и то же или нет?
В западных компаниях, работающих по строгим законам и регламентам, вычислительная система это практически точная копия самой организации, это ее суть, это формализованные алгоритмы ее работы. 100 % всех данных проходят через компьютерную систему. Все без исключения бизнес-процессы западных компаний находят своё отражение в их информационных системах.
В России компьютер часто выступает в качестве дублирующего звена бумажного документооборота, работает пишущей машинкой, иногда компактным хранилищем документов, средством быстрой передачи данных с одного этажа компании на другой.
Обследование вычислительной системы организации и самой организации -- это совершенно разные вещи. Недобросовестный подрядчик старается об этом забыть, неквалифицированный умудряется и не вспоминать об этом. То есть не думать о том, что коммерческое приложение важного договора может попасть в нежелательные руки, когда секретарь пойдет его визировать или сдавать в бухгалтерию, а по дороге заглянет к подруге на чашечку чая.
Опытный интегратор в данном случае проводит обследование и аудит, а потом и защиту компании-заказчика на трех уровнях: организационном, инфраструктурном и уровне программных приложений.
Организационный уровень
Производится анализ бизнес-процессов организации. Цель анализа -- выделить сопутствующие этим бизнес-процессам документальные потоки информации. По результатам анализа составляется схема документооборота как внутри организации, так и с внешними контрагентами. Определяется уровень конфиденциальности каждого документального потока.
Инфраструктурный уровень
Производится анализ "железа": серверов, рабочих станций, коммуникационного оборудования, каналов связи. В результате вырисовывается схема информационных потоков в вычислительной системе Кроме этого, для всех объектов обследования выявляются потенциальные уязвимости.
Уровень программных приложений
Рассматриваются операционные системы и программные приложения, с помощью которых происходит обработка, передача и хранение конфиденциальной информации.
Детальный анализ этого «слоёного пирога» дает реальную картину информационной жизни организации. В результате можно выбирать оптимальные средства защиты, обеспечивающие в совокупности максимально возможную при данном уровне затрат надежность.
Важно понимать всю сложность процесса защиты информации предприятия. Это позволит отнестись к проблеме со всей ответственностью, избежать ошибок и напрасной траты средств, воспользоваться опытом компаний-интеграторов.
Друзья!
В следующем выпуске рассылки -- статья о конкретном продукте компании Agilent Technology, предназначенном для мониторинга и контроля состояния системы защиты информации предприятия -- SFProtect.
Искренне ваш, Андрей Бочаров
АРХИВ РАССЫЛКИ -- здесь вы всегда можете найти все старые выпуски рассылки
| Ваши отклики - abocharov@newmail.ru |
 |
 |
|
http://subscribe.ru/
E-mail: ask@subscribe.ru |
|
| В избранное | ||
