опоиб. Информация как объект правоотношений

• Название: Информация как объект правоотношений
• Дата: 22.01.2020
• Размер: 0.51 Mb.
• Имя файла: опоиб.docx
• Тип: Документы; #105341
• страница: 8 из 14

17. Политика информационной безопасности

Под политикой безопасности организации понимают совокупность документиро­ванных управленческих решений, направленных на защиту информации и ассоции­рованных с ней ресурсов. Политика безопасности является тем средством, с помо­щью которой реализуется деятельность в компьютерной информационной системе организации. Вообще политики безопасности определяются используемой компь­ютерной средой и отражают специфические потребности организации.

Обычно корпоративная информационная система представляет собой сложный комплекс разнородного, иногда плохо согласующегося между собой аппаратного и программного обеспечения: компьютеров, операционных систем, сетевых средств, СУБД, разнообразных приложений. Все эти компоненты обычно обладают соб­ственными средствами защиты, которые нужно согласовать между собой. Поэтому очень важна эффективная политика безопасности в качестве согласованной плат­формы по обеспечению безопасности корпоративной системы. По мере роста ком­пьютерной системы и интеграции ее в глобальную сеть необходимо обеспечить отсутствие в системе слабых мест, поскольку все усилия по защите информации могут быть обесценены лишь одной оплошностью.

Можно построить такую политику безопасности, которая будет устанавливать, кто имеет доступ к конкретным активам и приложениям, какие роли и обязанности будут иметь конкретные лица, а также предусмотреть процедуры безопасности, ко­торые четко предписывают, как должны выполняться конкретные задачи безопас­ности. Индивидуальные особенности работы сотрудника могут потребовать доступа к информации, которая не должна быть доступна другим работникам. Например, ме­неджер по персоналу может иметь доступ к частной информации любого сотруд­ника, в то время как специалист по отчетности может иметь доступ только к фи­нансовым данным этих сотрудников. А рядовой сотрудник будет иметь доступ только к своей собственной персональной информации.

Политика безопасности определяет позицию организации по рациональному ис­пользованию компьютеров и сети, а также процедуры по предотвращению и реаги­рованию на инциденты безопасности. В большой корпоративной системе может применяться широкий диапазон разных политик от бизнес-политик до специфич­ных правил доступа к наборам данных. Эти политики полностью определяются конкретными потребностями организации.

Основные понятия политики безопасности

Политика безопасности определяет стратегию управления в области информаци­онной безопасности, а также ту меру внимания и количество ресурсов, которые считает целесообразным выделить руководство.

Политика безопасности строится на основе анализа рисков, которые признают­ся реальными для информационной системы организации. Когда проведен анализ рисков и определена стратегия защиты, составляется программа, реализация кото­рой должна обеспечить информационную безопасность. Под эту программу выде­ляются ресурсы, назначаются ответственные, определяется порядок контроля вы­полнения программы и т.п.

Для того чтобы ознакомиться с основными понятиями политик безопасности рассмотрим в качестве конкретного примера гипотетическую локальную сеть, при­надлежащую некоей организации, и связанную с ней политику безопасности [6, 63].

Политика безопасности организации должна иметь структуру краткого, легко понимаемого документа высокоуровневой политики, поддерживаемого рядом бо­лее конкретных документов специализированных политик и процедур безопасности.

Высокоуровневая политика безопасности должна периодически пересматри­ваться, чтобы гарантировать, что она учитывает текущие потребности организации. Этот документ составляют таким образом, чтобы политика была относительно не­зависимой от конкретных технологий. В таком случае этот документ политики не потребуется изменять слишком часто.

Политика безопасности обычно оформляется в виде документа, включающего такие разделы, как описание проблемы, область применения, позиция организации, распределение ролей и обязанностей, санкции и др.

Описание проблемы. Информация, циркулирующая в рамках локальной сети, является критически важной. Локальная сеть позволяет пользователям совместно использовать программы и данные, что увеличивает угрозу безопасности. Поэтому каждый из компьютеров, входящих в сеть, нуждается в более сильной защите. Эти повышенные меры безопасности и являются темой данного документа. Документ преследует следующие цели: продемонстрировать сотрудникам организации важ­ность защиты сетевой среды, описать их роль в обеспечении безопасности, а так­же распределить конкретные обязанности по защите информации, циркулирую­щей в сети.

Область применения. В сферу действия данной политики попадают все аппарат­ные, программные и информационные ресурсы, входящие в локальную сеть предприя­тия. Политика ориентирована также на людей, работающих с сетью, в том числе на пользователей, субподрядчиков и поставщиков.

Позиция организации. Целью организации является обеспечение целостности, доступности и конфиденциальности данных, а также их полноты и актуальности. Более частными целями являются:

• 
  обеспечение уровня безопасности, соответствующего нормативным докумен­там;
  
• 
  следование экономической целесообразности в выборе защитных мер (рас­ходы на защиту не должны превосходить предполагаемый ущерб от наруше­ния информационной безопасности);
  
• 
  обеспечение безопасности в каждой функциональной области локальной сети;
  
• 
  обеспечение подотчетности всех действий пользователей с информацией и ресурсами;
  
• 
  обеспечение анализа регистрационной информации;
  
• 
  предоставление пользователям достаточной информации для сознательного поддержания режима безопасности;
  
• 
  выработка планов восстановления после аварий и иных критических ситуа­ций для всех функциональных областей с целью обеспечения непрерывности работы сети;
  
• 
  обеспечение соответствия с имеющимися законами и общеорганизационной политикой безопасности.
  

Распределение ролей и обязанностей. За реализацию сформулированных выше целей отвечают соответствующие должностные лица и пользователи сети.

Руководители подразделенийотвечают за доведение положений политики безо­пасности до пользователей и за контакты с ними.

Администраторы локальной сетиобеспечивают непрерывное функционирова­ние сети и отвечают за реализацию технических мер, необходимых для проведе­ния в жизнь политики безопасности.

Администраторы сервисовотвечают за конкретные сервисы и, в частности, за то, чтобы защита была построена в соответствии с общей политикой безопасности.

Пользователиобязаны работать с локальной сетью в соответствии с политикой безопасности, подчиняться распоряжениям лиц, отвечающих за отдельные аспекты бе­зопасности, ставить в известность руководство обо всех подозрительных ситуациях.

Более подробные сведения о ролях и обязанностях должностных лиц и пользо­вателей сети приведены ниже.

Санкции. Нарушение политики безопасности может подвергнуть локальную сеть и циркулирующую в ней информацию недопустимому риску. Случаи нарушения безопасности со стороны персонала должны оперативно рассматриваться руковод­ством для принятия дисциплинарных мер вплоть до увольнения.

Дополнительная информация. Конкретным группам исполнителей могут по­требоваться для ознакомления какие-то дополнительные документы, в частности документы специализированных политик и процедур безопасности, а также другие руководящие указания. Необходимость в дополнительных документах политик бе­зопасности в значительной степени зависит от размеров и сложности организации. Для достаточно большой организации могут потребоваться в дополнение к базо­вой политике специализированные политики безопасности. Организации меньше­го размера нуждаются только в некотором подмножестве специализированных по­литик. Многие из этих документов поддержки могут быть довольно краткими - объемом в одну - две страницы.

С практической точки зрения политики безопасности можно разделить на три уровня: верхний, средний и нижний [6, 9].

Верхний уровень политики безопасности определяет решения, затрагивающие организацию в целом. Эти решения носят весьма общий характер и исходят, как правило, от руководства организации.

Такие решения могут включать в себя следующие элементы:

• 
  формулировка целей, которые преследует организация в области информа­ционной безопасности, определение общих направлений в достижении этих целей;
  
• 
  формирование или пересмотр комплексной программы обеспечения инфор­мационной безопасности, определение ответственных лиц за продвижение программы;
  
• 
  обеспечение материальной базы для соблюдения законов и правил;
  
• 
  формулировка управленческих решений по вопросам реализации программы безопасности, которые должны рассматриваться на уровне организации в целом.
  

Политика безопасности верхнего уровня формулирует цели организации в об­ласти информационной безопасности в терминах целостности, доступности и конфиденциальности. Если организация отвечает за поддержание критически важ­ных баз данных, на первом плане должна стоять целостностьданных. Для организа­ции, занимающейся продажами, важна актуальность информации о предоставляе­мых услугах и ценах, а также ее доступностьмаксимальному числу потенциальных покупателей. Режимная организация в первую очередь будет заботиться о конфиденциальности информации, то есть о ее защите от несанкционированного доступа.

На верхний уровень выносится управление ресурсами безопасности и коорди­нация использования этих ресурсов, выделение специального персонала для защи­ты критически важных систем, поддержание контактов с другими организациями, обеспечивающими или контролирующими режим безопасности.

Политика верхнего уровня должна четко определять сферу своего влияния. Это могут быть все компьютерные системы организации или даже больше, если поли­тика регламентирует некоторые аспекты использования сотрудниками своих до­машних компьютеров. Возможна и такая ситуация, когда в сферу влияния вклю­чаются лишь наиболее важные системы.

В политике должны быть определены обязанности должностных лиц по выра­ботке программы безопасности и по проведению ее в жизнь, то есть политика мо­жет служить основой подотчетности персонала.

Политика верхнего уровня имеет дело с тремя аспектами законопослушности и исполнительской дисциплины. Во-первых, организация должна соблюдать суще­ствующие законы. Во-вторых, следует контролировать действия лиц, ответственных за выработку программы безопасности. В-третьих, необходимо обеспечить исполни­тельскую дисциплину персонала с помощью системы поощрений и наказаний.

Средний уровень политики безопасности определяет решение вопросов, касаю­щихся отдельных аспектов информационной безопасности, но важных для различ­ных систем, эксплуатируемых организацией.

Примеры таких вопросов - отношение к доступу в Интернет (проблема сочета­ния свободы получения информации с защитой от внешних угроз), использование домашних компьютеров и т.д.

Политика безопасности среднего уровня должна определять для каждого аспек­та информационной безопасности следующие моменты:

• 
  описание аспекта - позиция организации может быть сформулирована в до­статочно общем виде как набор целей, которые преследует организация в данном аспекте;
  
• 
  область применения - следует специфицировать, где, когда, как, по отноше­нию к кому и чему применяется данная политика безопасности;
  
• 
  роли и обязанности - документ должен содержать информацию о должностных лицах, отвечающих за проведение политики безопасности в жизнь;
  
• 
  санкции - политика должна содержать общее описание запрещенных дей­ствий и наказаний за них;
  
• 
  точки контакта - должно быть известно, куда следует обращаться за разъяс­нениями, помощью и дополнительной информацией. Обычно «точкой кон­такта» служит должностное лицо.
  

Нижний уровень политики безопасности относится к конкретным сервисам. Эта политика включает в себя два аспекта: цели и правила их достижения, — поэтому ее порой трудно отделить от вопросов реализации. В отличие от двух верхних уровней, рассматриваемая политика должна быть более детальной.

Приведем несколько примеров вопросов, на которые следует дать ответ при сле­довании политике безопасности нижнего уровня:

• 
  кто имеет право доступа к объектам, поддерживаемым сервисом;
  
• 
  при каких условиях можно читать и модифицировать данные;
  
• 
  как организован удаленный доступ к сервису.
  

Политика безопасности нижнего уровня может исходить из соображений цело­стности, доступности и конфиденциальности, но она не должна на них останавли­ваться. В общем случае цели должны связывать между собой объекты сервиса и осмысленные действия с ними.

Из целей выводятся правила безопасности, описывающие, кто, что и при каких условиях может делать. Чем детальнее правила, чем более четко и формально они изложены, тем проще поддержать их выполнение программно-техническими мера­ми. Обычно наиболее формально задаются права доступа к объектам.

Приведем более детальное описание обязанностей каждой категории персонала.

Руководители подразделенийотвечают за доведение положений политики безо­пасности до пользователей. Они обязаны:

• 
  постоянно держать в поле зрения вопросы безопасности. Следить за тем, что­бы то же самое делали их подчиненные;
  
• 
  проводить анализ рисков, выявляя активы, требующие защиты, и уязвимые места систем, оценивая размер возможного ущерба от нарушения режима бе­зопасности и выбирая эффективные средства защиты;
  
• 
  организовать обучение персонала мерам безопасности. Обратить особое вни­мание на вопросы, связанные с антивирусным контролем;
  
• 
  информировать администраторов локальной сети и администраторов серви­сов об изменении статуса каждого из подчиненных (переход на другую рабо­ту, увольнение и т.п.);
  
• 
  обеспечить, чтобы каждый компьютер в их подразделениях имел хозяина или системного администратора, отвечающего за безопасность и обладающе­го достаточной квалификацией для выполнения этой роли.
  

Администраторы локальной сетиобеспечивают непрерывное функционирова­ние сети и отвечают за реализацию технических мер, необходимых для проведе­ния в жизнь политики безопасности. Они обязаны:

• 
  обеспечить защиту оборудования локальной сети, в том числе интерфейсов с другими сетями;
  
• 
  оперативно и эффективно реагировать на события, таящие угрозу. Инфор­мировать администраторов сервисов о попытках нарушения защиты;
  
• 
  использовать проверенные средства аудита и обнаружения подозрительных ситуаций. Ежедневно анализировать регистрационную информацию, относя­щуюся к сети в целом и к файловым серверам в особенности;
  
• 
  не злоупотреблять своими большими полномочиями. Пользователи имеют право на тайну;
  
• 
  разработать процедуры и подготовить инструкции для защиты локальной сети от вредоносного программного обеспечения. Оказывать помощь в обна­ружении и ликвидации вредоносного кода;
  
• 
  регулярно выполнять резервное копирование информации, хранящейся на файловых серверах;
  
• 
  выполнять все изменения сетевой аппаратно-программной конфигурации;
  
• 
  гарантировать обязательность процедуры идентификации и аутентификации для доступа к сетевым ресурсам. Выделять пользователям входные имена и начальные пароли только после заполнения регистрационных форм;
  
• 
  периодически производить проверку надежности защиты локальной сети. Не допускать получения привилегий неавторизованными пользователями.
  

Администраторы сервисовотвечают за конкретные сервисы и, в частности, за то, чтобы защита была построена в соответствии с общей политикой безопа­сности. Они обязаны:

• 
  управлять правами доступа пользователей к обслуживаемым объектам;
  
• 
  оперативно и эффективно реагировать на события, таящие угрозу. Оказывать помощь в отражении угрозы, выявлении нарушителей и предоставлении ин­формации для их наказания;
  
• 
  регулярно выполнять резервное копирование информации, обрабатываемой сервисом;
  
• 
  выделять пользователям входные имена и начальные пароли только после заполнения регистрационных форм;
  
• 
  ежедневно анализировать регистрационную информацию, относящуюся к сер­вису. Регулярно контролировать сервис на предмет вредоносного программ­ного обеспечения;
  
• 
  периодически производить проверку надежности защиты сервиса. Не допус­кать получения привилегий неавторизованными пользователями.
  

Пользователиобязаны работать с локальной сетью в соответствии с политикой безопасности, подчиняться распоряжениям лиц, отвечающих за отдельные аспекты безопасности, ставить в известность руководство обо всех подозрительных ситуа­циях. Они обязаны:

• 
  знать и соблюдать законы, правила, принятые в данной организации, полити­ку безопасности, процедуры безопасности. Использовать доступные защит­ные механизмы для обеспечения конфиденциальности и целостности своей информации;
  
• 
  использовать механизм защиты файлов и должным образом задавать права доступа;
  
• 
  выбирать качественные пароли, регулярно менять их. Не записывать пароли на бумаге, не сообщать их другим лицам;
  
• 
  информировать администраторов или руководство о нарушениях безопасно­сти и иных подозрительных ситуациях;
  
• 
  не использовать слабости в защите сервисов и локальной сети в целом. Не совершать неавторизованной работы с данными, не создавать помех другим пользователям;
  
• 
  всегда сообщать корректную идентификационную и аутентификационную информацию, не пытаться работать от имени других пользователей;
  
• 
  обеспечивать резервное копирование информации с жесткого диска своего компьютера;
  
• 
  знать принципы работы вредоносного программного обеспечения, пути его проникновения и распространения. Знать и соблюдать процедуры для предуп­реждения проникновения вредоносного кода, его обнаружения и уничтоже­ния;
  
• 
  знать и соблюдать правила поведения в экстренных ситуациях, последова­тельность действий при ликвидации последствий аварий.
  

Управленческие меры обеспечения информационной безопасности. Главной целью мер, предпринимаемых на управленческом уровне, является формирование программы работ в области информационной безопасности и обеспечение ее вы­полнения путем выделения необходимых ресурсов и осуществления регулярного контроля состояния дел. Основой этой программы является многоуровневая по­литика безопасности, отражающая комплексный подход организации к защите сво­их ресурсов и информационных активов