Кроме того, возросла уязвимость КИС за счет повышения сложности их элементов, увеличения объемов программного обеспечения, появления новых технологий передачи и хранения данных.

Спектр угроз расширился. Это обусловлено следующими причинами:

передача информации по сетям общего пользования;

«информационные войны» конкурирующих организаций;

высокая текучесть кадров с низким уровнем порядочности.

По данным некоторых западных аналитических агентств до 95% попыток несанкционированного доступа к конфиденциальной информации происходит по инициативе бывших сотрудников организации.

Аудит ИБ в информационной системе это процесс сбора сведений, позволяющих установить:

обеспечивается ли безопасность ресурсов организации (включая данные);

обеспечиваются ли необходимые параметры целостности и доступности данных;

достигаются ли цели организации в части эффективности информационных технологий.

Проведение аудита позволит оценить текущую безопасность функционирования КИС, оценить риски, прогнозировать и управлять их влиянием на бизнес процессы организации, корректно и обоснованно подойти к вопросу обеспечения безопасности информационных активов организации, основные из которых:

идеи;

знания;

проекты;

результаты внутренних обследований.

В настоящее время многие системные интеграторы на телекоммуникационном рынке декларируют поставку полного, законченного решения. К сожалению, в лучшем случае все сводится к проектированию и поставке оборудования и программного обеспечения. Построение информационной инфраструктуры «остается за кадром» и к решению не прилагается. Оговоримся, что в данном случае под информационной инфраструктурой понимается отлаженная система, выполняющая функции обслуживания, контроля, учета, анализа, документирования всех процессов, происходящих в информационной системе.

Все чаще и чаще у клиентов возникают к системным интеграторам, проектным организациям, поставщикам оборудования вопросы следующего содержания:

Что дальше? (Наличие стратегического плана развития организации, место и роль КИС в этом плане, прогнозирование проблемных ситуаций).

Соответствует ли наша КИС целям и задачам бизнеса? Не превратился ли бизнес в придаток информационной системы?

Как оптимизировать инвестиции в КИС?

Что происходит внутри этого «черного ящика» - КИС организации? Сбои в работе КИС, как выявить и локализовать проблемы?

Как решаются вопросы безопасности и контроля доступа?

Подрядные организации провели поставку, монтаж, пусконаладку. Как оценить их работу? Есть ли недостатки, если есть, то какие?

Когда необходимо провести модернизацию оборудования и ПО? Как обосновать необходимость модернизации?

Как установить единую систему управления и мониторинга КИС? Какие выгоды она предоставит?

Руководитель организации, руководитель IT подразделения должны иметь возможность получать достоверную информацию о текущем состоянии КИС в кратчайшие сроки. Возможно ли это?

Почему все время производится закупка дополнительного оборудования?

Сотрудники IT подразделения постоянно чему-либо учатся, есть ли в этом необходимость?

Какие действия предпринимать в случае возникновения внештатной ситуации?

Какие возникают риски при размещении конфиденциальной информации в КИС организации? Как минимизировать эти риски?

Как снизить стоимость владения КИС?

Как оптимально использовать сложившуюся КИС при развитии бизнеса?

На эти и другие подобные вопросы нельзя мгновенно дать однозначный ответ. Только рассматривая все проблемы в целом, взаимосвязи между ними, учитывая нюансы и недостатки, можно получить достоверную, обоснованную информацию. Для этого в консалтинговых компаниях во всем мире существует определенная специфическая услуга - аудит компьютерной информационной системы (КИС).

Подход к проведению аудита КИС, как отдельной самостоятельной услуги, с течением времени упорядочился и стандартизировался. Крупные и средние аудиторские компании образовали ассоциации -союзы профессионалов в области аудита КИС, которые занимаются созданием и сопровождением стандартов аудиторской деятельности в сфере ИТ. Как правило, это закрытые стандарты, тщательно охраняемое ноу-хау.

Однако существует ассоциация - The Information Systems Audit and Control Association & Foundation (ISACA), занимающаяся открытой стандартизацией аудита КИС.

3.2.2 ISACA

Она основана в 1969 году и по состоянию на 2002 год объединяла более 23000 членов из более чем 100 стран. Ассоциация ISACA координирует деятельность более чем 26000 аудиторов информационных систем (CISA - Certified Information System Auditor и CISM - Certified Information Security Manager), имеет свою систему стандартов в этой области, ведет исследовательские работы, занимается подготовкой кадров, проводит конференции.

Основная декларируемая цель ассоциации - это исследование, разработка, публикация и продвижение стандартизованного набора документов по управлению информационной технологией для ежедневного использования администраторами и аудиторами информационных систем.

В помощь профессиональным аудиторам, руководителям IT подразделений, администраторам и заинтересованным пользователям ассоциацией ISACA и привлеченными специалистами из ведущих мировых консалтинговых компаний был разработан стандарт CoBiT (Control Objectives for Information and Related Technology).

3.2.3 CoBiT

CoBiT - открытый стандарт, первое издание которого в 1996 году было продано в 98 странах по всему миру и облегчило работу профессиональных аудиторов в сфере информационных технологий. Стандарт связывает информационные технологии и действия аудиторов, объединяет и согласовывает многие другие стандарты в единый ресурс, позволяющий авторитетно, на современном уровне получить представление и управлять целями и задачами, решаемыми КИС. CoBiT учитывает все особенности информационных систем любого масштаба и сложности.

Главное правило, положенное в основу CoBiT, следующее: ресурсы КИС должны управляться набором естественно сгруппированных процессов для обеспечения организации необходимой и надежной информацией (рис. 3.1).

Рис. 3.1. Структура стандарта CoBIT

Теперь немного разъяснений по поводу того, какие ресурсы и критерии их оценки используются в стандарте CoBiT:

Трудовые ресурсы-- под трудовыми ресурсами понимаются не только сотрудники организации, но также руководство организации и контрактный персонал. Рассматриваются навыки штата, понимание задач и производительность работы.

Приложения - прикладное программное обеспечение, используемое в работе организации. Технологии - операционные системы, базы данных, системы управления и т.д. Оборудование - все аппаратные средства КИС организации, с учетом их обслуживания.

Данные - данные в самом широком смысле - внешние и внутренние, структурированные и неструктурированные, графические, звуковые, мультимедиа и т.д.

Все эти ресурсы оцениваются CoBiT на каждом из этапов построения или аудита КИС по следующим критериям:

Эффективность - критерий, определяющий уместность и соответствие информации задачам бизнеса.

Технический уровень - критерий соответствия стандартам и инструкциям.

Безопасность - защита информации.

Целостность - точность и законченность информации.

Пригодность - доступность информации требуемым бизнес-процессам в настоящем и будущем. А также защита необходимых и сопутствующих ресурсов.

Согласованность - исполнение законов, инструкций и договоренностей, влияющих на бизнес-процесс, то есть внешние требования к бизнесу.

Надежность - соответствие информации, предоставляемой руководству организации, осуществление соответствующего управления финансированием и согласованность должностных обязанностей.

CoBiT базируется на стандартах аудита ISA и ISACF, но включает и другие международные стандарты, в том числе принимает во внимание утвержденные ранее стандарты и нормативные документы:

технические стандарты;

кодексы;

критерии КИС и описание процессов;

профессиональные стандарты;

требования и рекомендации;

требования к банковским услугам, системам электронной торговли и производству.

Применение стандарта CoBiT возможно как для проведения аудита КИС организации, так и для изначального проектирования КИС. Обычный вариант прямой и обратной задач. Если в первом случае -это соответствие текущего состояния КИС лучшей практике аналогичных организаций и предприятий, то в другом - изначально верный проект и, как следствие, по окончании проектирования - КИС, стремящаяся к идеалу. В дальнейшем мы будем рассматривать аудит КИС.

Несмотря на размер разработчики старались, чтобы стандарт был прагматичным и отвечал потребностям бизнеса, при этом сохраняя независимость от конкретных производителей, технологий и платформ.

На базовой блок-схеме CoBiT отражена последовательность, состав и взаимосвязь базовых групп. Бизнес-процессы (в верхней части схемы) предъявляют свои требования к ресурсам КИС, которые анализируются с использованием критериев оценки CoBiT на всех этапах построения и проведения аудита.

Четыре базовые группы (домена) содержат в себе тридцать четыре подгруппы, которые, в свою очередь состоят из трехсот двух объектов контроля. Объекты контроля предоставляют аудитору всю достоверную и актуальную информацию о текущем состоянии КИС.

Отличительные черты CoBiT:

Большая зона охвата (все задачи от стратегического планирования и основополагающих документов до анализа работы отдельных элементов КИС).

Перекрестный аудит (перекрывающиеся зоны проверки критически важных элементов).

Адаптируемый, наращиваемый стандарт.

Рассмотрим преимущества CoBiT перед многочисленными западными разработками. Прежде всего, это его достаточность - наряду с возможностью относительно легкой адаптации к особенностям КИС. И, конечно же, то, что стандарт легко масштабируется и наращивается. CoBiT позволяет использовать любые разработки производителей аппаратно-программного обеспечения и анализировать полученные данные не изменяя общие подходы и собственную структуру.

3.2.4 Практика проведения аудита КИС

Представленная на рис. 3.2. блок-схема отражает, хотя и не в деталях, ключевые точки проведения аудита КИС. Рассмотрим их подробнее.

На этапе подготовки и подписания исходно-разрешительной документации определяются границы проведения аудита. Границы аудита определяются критическими точками КИС (элементами КИС), в которых наиболее часто возникают проблемные ситуации.

На основании результатов предварительного аудита всей КИС (в первом приближении) проводится углубленный аудит выявленных проблем.

В это же время создается команда проведения аудита, определяются ответственные лица со стороны заказчика. Создается и согласовывается необходимая документация.

Далее проводится сбор информации о текущем состоянии КИС с применением стандарта CoBiT, объекты контроля которого получают информацию обо всех нюансах функционирования КИС как в двоичной форме (Да/Нет), так и форме развернутых отчетов. Детальность информации определяется на этапе разработки исходно-разрешительной документации. Существует определенный оптимум между затратами (временными, стоимостными и т.д.) на получение информации и ее важностью и актуальностью.

Рис. 3.2. Общая последовательность проведения аудита КИС

Проведение анализа - наиболее ответственная часть проведения аудита КИС. Использование при анализе недостоверных, устаревших данных недопустимо, поэтому необходимо уточнение данных, углубленный сбор информации. Требования к проведению анализа определяются на этапе сбора информации. Методики анализа информации существуют в стандарте CoBiT, но если их не хватает не возбраняется использовать разрешенные ISACA разработки других компаний.

Результаты проведенного анализа являются базой для выработки рекомендаций, которые после предварительного согласования с заказчиком должны быть проверены на выполнимость и актуальность с учётом рисков внедрения.

Контроль выполнения рекомендаций - немаловажный этап, требующий непрерывного отслеживания представителями консалтинговой компании хода выполнения рекомендаций.

На этапе разработки дополнительной документации проводится работа, направленная на создание документов, отсутствие или недочеты в которых могут вызвать сбои в работе КИС. Например, отдельное углубленное рассмотрение вопросов обеспечения безопасности КИС.

Постоянное проведение аудита гарантирует стабильность функционирования КИС, поэтому создание плана-графика проведения последующих проверок является одним из результатов профессионального аудита.

3.2.5 Результаты проведения аудита КИС

Результаты аудита КИС организации можно разделить на три основные группы:

Организационные - планирование, управление, документооборот функционирования КИС.

Технические - сбои, неисправности, оптимизация работы элементов КИС, непрерывное обслуживание, создание инфраструктуры и т.д.

Методологические - подходы к решению проблемных ситуаций, управлению и контролю, общая упорядоченность и структуризация.

Проведенный аудит позволит обоснованно создать следующие документы:

Долгосрочный план развития КИС.

Политика безопасности КИС организации.

Методология работы и доводки КИС организации.

План восстановления КИС в чрезвычайной ситуации.

3.3 Управление паролями

Доступ сотрудников к данным или иным источникам в системе обычно контролируется комбинацией идентификаторов пользователей системы и паролей. Для того чтобы такой подход был эффективным, необходимо поддерживать целостность пароля в течение всего периода его действия. Если идентификатор пользователя не предназначен для использования более, чем одним лицом (нежелательная ситуация, которая снимает ответственность), пароль должен быть известен только владельцу идентификатора пользователя, к которому он относится.

Система или сеть будет подвергаться опасности, если пароль и, следовательно, идентификатор пользователя компрометируются. Серьезность такой опасности зависит от:

функций, доступных данному идентификатору пользователя - чем привилегированнее идентификатор, тем больше угроза;

степени уязвимости данных, к которым может быть получен доступ.

Возможность использования компьютера или терминала может быть ограничена паролем включения питания, который не позволяет пользоваться компьютером, пока не будет введен правильный пароль. Screen savers (первоначально предназначавшиеся для предохранения экранов от пережога во время неактивного использования) обычно имеют парольные средства для предотвращения несанкционированного доступа к машине в отсутствие оператора. Эти средства могут быть полезными для предотвращения случайного несанкционированного доступа, но зачастую их можно обойти, имея достаточные технические знания.

Пароли наиболее часто компрометируются из-за отсутствия должной осторожности. Они также могут компрометироваться посредством некоторой формы изощренной атаки с использованием программного обеспечения для сборки паролей.

3.3.1 Потенциальные угрозы Потеря конфиденциальности вследствие:

несанкционированного доступа к данным из-за потери защиты пароля.

Потеря целостности вследствие:

несанкционированного изменения системы и/или ее данных из-за потери защиты пароля.Потеря доступности вследствие:

незапоминания пароля;

неправильного или несанкционированного изменения пароля.

3.3.2 Пути снижения рисков

избегать использования общих идентификаторов пользователей вместе с общими паролями;

выбирать пароли длиной не менее шести знаков;

соблюдать следующие правила в отношении паролей:

никому не раскрывать свой пароль;

убедиться, что никто не наблюдает за вами во время ввода пароля;

не записывать пароль там, где его может кто-либо может обнаружить;

выбирать свои собственные пароли;

изменять устанавливаемые по умолчанию пароли при использовании нового идентификатора пользователя в первый раз;

перед заменой пароля проверить установки клавиш, таких как Caps Lock и Shift Lock, для того что бы обеспечить правильность знаков;

использовать простые (т.е. легко запоминаемые) пароли, такие как слова с произвольными орфографическими ошибками;

включить в состав пароля не менее одного знака, который не является буквой;

использовать некоторую форму триггера памяти для облегчения вызова пароля;

периодически менять свой пароль, предпочтительно не реже одного раза в месяц;

заменить пароль, если есть подозрения в его компрометации.

Не выбирать пароль, который:

вероятно может быть найден в словаре (особенно слова, ассоциирующиеся с безопасностью, такие как «система», «секрет», «пароль» и т.п.);

является обычным именем;

имеет ассоциацию с предыдущим паролем (например, имеет в своем составе наименование или обозначение месяца, если пароль меняется ежемесячно);

имеет явную ассоциацию с его владельцем (например, номер автомобиля, имя ребенка, название дома, инициалы и т.п.);

состоит из одной повторяющейся буквы;

Запрещается:

использовать пароль в скрипте входа в систему или макросе;

пересылать пароли по электронной почте;

устанавливать идентификатор пользователя без пароля или с паролем, состоящим из символов пробела;

Администраторы сетей и системные администраторы должны:

идентифицировать и менять устанавливаемые по умолчанию пароли, когда система запускается в эксплуатацию;

менять или удалять соответствующие идентификаторы пользователей и/или пароли при перемещении персонала;

блокировать соответствующие идентификаторы пользователей в случае отсутствия сотрудника в течение длительного времени;

обеспечить подходящую конфигурацию программного обеспечения управления паролями;

При выборе системного программного обеспечения отдавать предпочтение тем, чей механизм контроля паролей:

позволяет использовать в паролях как буквы, так и числа;

требует подтверждения новых паролей (например двойного ввода), чтобы избежать риска неправильного набора;

вынуждает менять пароль спустя определенное время;

не позволяет повторного использования паролей (для одного и того же идентификатора пользователя);

отключает идентификатор пользователя, если пароль неправильно вводится несколько раз (обычно три раза) подряд;

не выводит на дисплей пароли при их вводе;

требует, чтобы пароли имели не менее шести знаков;

хранит пароли в зашифрованном виде;

защищает таблицу или файл паролей системы от несанкционированного доступа;

предоставляет средство сброса паролей в случае, когда их забывают, и обеспечивает наблюдение за этим процессом;

Там, где проблемы безопасности особенно важны, рассмотреть возможность:

использования устройства для генерации нового пароля при каждой необходимости доступа в систему или сеть;

совместного использования пароля с интеллектуальной карточкой;

ограничения доступа к идентификаторам пользователей обычными часами работы соответствую щих сотрудников.

3.3.3 Обязательные правила

Пароли должны включать в себя не менее шести знаков; их необходимо держать в секрете (посредством таких мер, как регулярная замена, исключение общих слов и т.п.). Никому не сообщайте свой пароль без явного разрешения руководителя подразделения.

По окончании времени использования информационной системы или при оставлении своего терминала или ПК без присмотра соблюдайте формальные процедуры выхода из работы.

3.4 Управление идентификаторами привилегированных пользователей

Компьютерные системы, от PC LAN до мейнфреймов, обычно различают пользователей посредством User-ID (идентификаторов пользователей). Данный раздел посвящен особым «идентификаторам привилегированных пользователей», дающих привилегированным пользователям право как устанавливать систему, так и впоследствии сопровождать ее. Например, такой ID используется для предоставления или аннулирования доступа в систему или к ее данным, прогонять резервные копии и осуществлять восстановление. Идентификатор привилегированного пользователя по своей природе должен предоставлять возможность доступа последнего ко всем программам и данным в системе, несмотря на их принадлежность и обычные ограничения в области безопасности.

Как следствие, этот очень нужный ID несет риск безопасности в своем праве, если его использование тщательно не контролируется и не отслеживается. Компьютер не может сказать, кто в самом деле пользуется в настоящий момент идентификатором - любой, кто говорит, что он привилегированный пользователь, и знает нужный пароль, и есть привилегированный пользователь. Несанкционированный доступ под идентификатором привилегированного пользователя может быть использован для модификации любых журналов мониторинга, таким образом уничтожая любые улики.

Дополнительная угроза заключается в том, что в аварийной ситуации может понадобиться использование идентификатора привилегированного пользователя для корректировки некоторых ошибок глубоко в системе. Такое использование может осуществить кто-либо другой, а не сам системный администратор, тем самым расширяются возможности несанкционированного использования прав привилегированного пользователя.

3.4.1 Потенциальные угрозы

Потеря конфиденциальности вследствие:

несанкционированного использования идентификатора привилегированного пользователя для получения доступа к уязвимым данным;

несанкционированного использования идентификатора привилегированного пользователя для изменения или снятия ограничений в отношении защиты и безопасности.

Потеря целостности вследствие:

санкционированного, но некомпетентного использования идентификатора привилегированного пользователя для внесения изменений в программное обеспечение и/или данные;

несанкционированного использования идентификатора привилегированного пользователя для внесения изменений в программное обеспечение и/или данные.

Потеря доступности вследствие:

*несанкционированного или некомпетентного использования идентификатора привилегированного пользователя, что привело к порче или удалению ключевого программного обеспечения и данных.

3.4.2 Пути снижения рисков

соблюдать особые меры предосторожности в отношении защиты идентификаторов привилегированных пользователей (см. параграф - управление паролями);

обязательно отключиться от идентификатора привилегированного пользователя по завершении выполнения задания, требующего его использования, а также при оставлении терминала или ПК без присмотра;

предоставлять доступ к идентификаторам привилегированных пользователей только специально подготовленным сотрудникам и только для определенного набора заданий;

регистрировать и отслеживать случаи фактического использования идентификаторов привилегированных пользователей и попытки их использования;

использовать все имеющиеся в системе средства, такие как контрольные журналы, для регистрации действий с применением идентификаторов привилегированных пользователей;

поддерживать тщательный контроль, преимущественно на уровне руководства, за всеми паролями привилегированных пользователей, предназначенными для использования в аварийной ситуации. Немедленно заменить их после использования; использовать идентификаторы привилегированных пользователей для выполнения только тех задач, которые специально требуют их применения (т.е. не использовать их, если задание может быть выполнено с применением идентификаторов обычных пользователей и обычных процедур); присваивать идентификаторам привилегированных пользователей непритязательные имена (без указания на привилегии);

там, где возможно (например, с операционной системой UNIX), идентификаторы привилегированных пользователей самого высокого уровня должны быть доступны только при первоначальном подключении к идентификатору обычного пользователя, тем самым обеспечивая некоторую степень ответственности. Для некоторых заданий, требующих высокого уровня привилегий, может оказаться возможным ограничить их до «консольного» терминала, который может быть защищен физически.

3.4.3 Обязательные правила

Обязательные правила, в основном, касаются использования паролей и аналогичны изложенным в пункте 3.3.3.

3.5 Планирование мероприятий по обеспечению логической безопасности

Логическая безопасность - это нефизические(как правило, программные) средства контроля доступа в систему. Используются для защиты уязвимой информации и программных средств.

Большинство компьютерных систем, используемых в организации, имеют механизм обеспечения безопасности, который может использоваться для создания соответствующей структуры контроля с целью защиты системы. Для ПК стандартная операционная система которых не обеспечивает такого механизма, имеются пакеты, которые могут выполнять эту функцию.

Хорошо спланированные мероприятия по обеспечению логической безопасности наряду с физической безопасностью повышают защиту компьютерных систем и содержащихся в них данных от несанкционированного доступа и/или вмешательства.

3.5.1 Потенциальные угрозы

Потеря конфиденциальности вследствие:

*несанкционированного доступа к уязвимой информации.

Потеря целостности вследствие:

несанкционированного или неконтролируемого внесения изменений в программное обеспечение и/или данные, содержащиеся в системе;

отсутствия разграничения в отношении кто и что может изменять в системе.

Потеря доступности вследствие:

*искажения или удаления (случайного или намеренного) программного обеспечения и/или данных в системе не имеющими прав пользователями.

3.5.2 Пути снижения рисков

Планировать логическую безопасность системы в целом, принимая во внимание степень уязвимости подлежащей защите системы и данных и объем защиты, которая может быть обеспечена физическими средствами.

Разделить обязанности для минимизации риска злоупотреблений в системе, будь то по небрежности или преднамеренно. В частности, рассмотреть возможность разделения следующих функций:

ввод данных;

управление сетью;

администрирование системы;

развитие и сопровождение системы;

управление изменениями;

администрирование безопасности.

Предоставить каждому уполномоченному пользователю системы уникальный идентификатор пользователя и пароль, с тем чтобы они могли быть идентифицированы, и им могли быть даны соответствующие права доступа.

Защитить систему от доступа паролями или аналогичными средствами.

Предпринять меры (т.е. использовать формальные процедуры, автоматический выход из системы) для обеспечения отключения пользователей от системы по окончании работы или при оставлении своего терминала или ПК без присмотра (за консультацией обращаться к специалистам соответствующих служб).

Обеспечить защиту всех системных и прикладных программ с тем, чтобы они могли обновляться только теми, кто имеет на это право.

Внедрить процедуры проверки для обнаружения изменений в программных файлах (контрольное суммирование).

Обеспечить защиту всех уязвимых данных с тем, чтобы они могли быть доступны только тем, кто имеет на это разрешение.

Держать очень уязвимую информацию (особенно это касается информации, которую не должны видеть лица, имеющие доступ к привилегированным идентификаторам пользователя) на съемных носителях, таких как дискеты. Такие данные должны быть обеспечены защитой и храниться отдельно от системы (см. параграф «Планирование мероприятий по обеспечению физической безопасности»). Шифровать уязвимые данные во время хранения и/или передаче по линиям связи.

3.5.3 Обязательные правила

Все системы (включая переносные и «домашние» компьютеры), в которых используются уязвимые данные, должны настраиваться и эксплуатироваться таким образом, чтобы доступ к таким данным могли иметь только имеющие соответствующие полномочия сотрудники (за консультацией обращайтесь к администратору безопасности).

3.6 Планирование мероприятий по обеспечению физической безопасности

Физическая безопасность - это физические (не программные - охрана, замки, двери, решетки и. т.п.) средства контроля доступа к ресурсам системы.

Любое физическое имущество должно предохраняться от потери, повреждения или кражи, компьютерное оборудование не составляет исключения. Однако физическая защита компьютерного оборудования представляет собой первую оборонительную линию для любой компьютерной системы, которую оно поддерживает. В некоторых системах, например, операционных системах UNIX, физический доступ к серверу позволяет обойти все меры защиты системы. Физическая безопасность обеспечивает защиту компьютерной системы в целом, т.е. программное обеспечение и данные, а также аппаратные средства.

Следовательно, меры, принимаемые для сохранения физической безопасности компьютерного оборудования, должны отражать не только стоимость замены оборудования, но и возможный ущерб от потери системы, программного обеспечения и данных. В некоторых случаях организация могла бы оказаться в затруднительном положении, если бы содержащее уязвимые данные и/или системы оборудование было вынесено из организации.

В общем, риск случайного повреждения может быть снижен, если руководствоваться общим здравым смыслом (и соблюдать инструкции по технике безопасности). Однако, для защиты систем от воздействия окружающей среды, неосторожности, намеренного вмешательства и кражи необходимы другие меры. С уменьшением размеров аппаратных средств увеличивается возможность их кражи, особенно это касается таких компонентов как диски и ПК. Существует риск кражи и таких компонентов, как платы памяти и процессорные чипы, которые малы, легко снимаются и довольно дорого стоят.

3.6.1 Потенциальные угрозы

Потеря конфиденциальности вследствие:

*несанкционированного доступа к уязвимой информации в результате утери или кражи компьютерного оборудования.

Потеря доступности вследствие:

утери, повреждения или кражи компьютерного оборудования;

пропадания питания или бросков напряжения.

3.6.2. Пути снижения рисков

обеспечить защиту оставляемых без присмотра аппаратных средств, которые поддерживают дорогостоящие, критичные и/или уязвимые компьютерные системы - устанавливать их в закрываемом на ключ шкафу, в отдельной закрываемой на ключ комнате, или установить замки на клавиатурах;

надежно хранить все портативные носители данных (дискеты, ленты) в соответствии с их уязвимостью, критичностью или ценностью хранящихся на них данных - держать в сейфе, если они не используются в данный момент. Заметим, что стандартные, даже огнестойкие, сейфы не обеспечивают надлежащей защиты магнитных носителей;

обеспечить защиту источников питания критичных систем.

3.7 Слежение за состоянием безопасности

Основанием для защиты информационной системы с использованием мер безопасности является повышение уверенности в конфиденциальности, целостности и доступности, как самой системы, так и ее данных.

Однако установление необходимых мер безопасности само по себе не является гарантией того, что они будут продолжать свою работу так, как от них ожидается, в течение всего срока функционирования системы. Например, безопасность может быть скомпрометирована по невнимательности в процессе внесения обычных изменений в систему; плохое администрирование системы может допустить возникновение ошибок, которые постепенно подрывают целостность системы; изменения могут быть сделаны с деструктивным намерением. Если не существует процедур слежения за состоянием безопасности, то вполне вероятно, что случаи компрометации останутся незамеченными до тех пор, пока не произойдет функциональный сбой, раскрытие конфиденциальной информации или финансовые потери.

Поэтому важно, чтобы менеджеры систем и администраторы сетей имели средства выявления слабых мест в безопасности систем и обнаружения фактических брешей в безопасности при их появлении. Однако наличие таких возможностей требует накладных расходов. Затраты при этом должны соразмеряться с потенциальными рисками. Хорошо обдуманная и спроектированная функция слежения за состоянием безопасности КИС должна помочь добиться правильного соотношения между затратами и риском.

3.7.1 Потенциальные угрозы

Потеря конфиденциальности, доступности и целостности вследствие:

остающихся незамеченными случаев нарушения безопасности (например, несанкционированного доступа к привилегированным или иным идентификаторам пользователя, программному обеспечению, уязвимым данным);

санкционированных изменений в системе, приводящих к неожиданной и незамеченной потере эффективности действующих мер обеспечения безопасности;

несанкционированных изменений, снижающих степень безопасности, но остающихся незамеченными (например, приводящих к неадекватному или неправильному контролю доступа к уязвимым данным в течение долгого периода времени).

3.7.2 Пути снижения рисков

Проектировать такую систему или процедуру слежения за состоянием безопасности, которая бы:

учитывала все аспекты безопасности системы;

отслеживала те области, где бреши в безопасности будут наиболее уязвимыми;

отслеживала те области, где изменения (будь то технологические, организационные или структурные) могут снизить эффективность существующих в настоящий момент мер безопасности;

уделяла основное внимание областям риска и отчетности (например, сообщениям об исключительных ситуациях);

отслеживала свою собственную эффективность (т.е. регистрировала свои собственные удачи и сбои).

Распределить персональную ответственность за слежение за состоянием безопасности и определить конкретное время для этого.

Документировать процедуры и сферы ответственности.

Установить наблюдение за работой системы слежения и регулярно пересматривать процедуры при накоплении опыта.

3.8 Планирование мероприятий на случай выхода системы из строя

Компьютерная система включает в себя целый ряд компонентов (обычно это данные, программное обеспечение, аппаратные средства и сеть), и все они должны работать на систему, чтобы сделать ее полностью доступной. Надежность системы определяется надежностью ее самого слабого звена; ни одна система не может считаться гарантированной от сбоя. Например, данные могут быть потеряны случайно или умышленно; аппаратные и программные средства могут выйти из строя; внешние факторы, такие, как сбой питания или пожар, могут вывести систему из строя временно или навсегда.

Потеря любой системы будет иметь неблагоприятные последствия. Ключевыми вопросами здесь являются: насколько серьезны эти последствия и как скоро они сказываются на производственном процессе. Планирование мероприятий на случай выхода системы из строя ставит своей целью контроль, ограничение и, по возможности, избежание подобных последствий. Любые принимаемые меры предосторожности должны, конечно, соответствовать рискам, например, было бы простой тратой денег обеспечение дорогостоящего восстановления системы в течение часа, если она могла бы бездействовать в продолжение дня без нанесения серьезного ущерба. Важно также, чтобы планирование обеспечивало согласованность средств защиты разных компонентов и их эффективность при совместном внедрении в систему в целом.

Вообще говоря, сбой является результатом:

проблемы в самой системе;

проблемы, являющейся внешней по отношению к системе, но локализованной (например, сбой питания или пожар в компьютерном зале);

проблемы, являющейся внешней по отношению к системе, но имеющей намного более широкие последствия, даже за пределами самого организации (например, крупный пожар или общественные беспорядки).

Отдельные подразделения несут ответственность за свои системы и, следовательно, за свои собственные процедуры резервирования и восстановления. Вместе с тем планирование в отношении сбоя по пункту 3 должно проводиться в более широком контексте, поскольку восстановление одной системы может происходить за счет восстановления другой.

Страницы: 1, 2, 3, 4, 5, 6