Усі лекції ОІБ в одному файлі. Усі лекції оіб в одному файлі Найпоширеніші загрози. Основні визначення і класифікація загроз Загроза

• Название: Усі лекції оіб в одному файлі Найпоширеніші загрози. Основні визначення і класифікація загроз Загроза
• Дата: 29.03.2022
• Размер: 273.05 Kb.
• Имя файла: Усі лекції ОІБ в одному файлі.docx
• Тип: Документы; #426234
• страница: 8 из 15

Процедурний рівень інформаційної безпеки

Основні класи заходів процедурного рівня

Розглядаються заходи безпеки, що орієнтуються на людей, а не на технічні засоби. Саме люди формують режим інформаційної безпеки, і вони ж виявляються головною загрозою, тому “людський фактор” заслуговує на особливу увагу.На цей час нагромад-жено багатий досвід регламентування і реалізації процедурних (організаційних) заходів, проте справа полягає в тому, що вони прийшли з “доком’ютерного ” минулого, тому вимагають переоцінки. Слід усвідомити той ступінь залежності від комп’ютерної обро-бки даних, в яку попало сучасне суспільство. Необхідно роз’яснювати суспільству не тільки переваги, але й небезпеки, пов’язані з використанням інформаційних технологій. Акцент слід робити не на військовому чи кримінальному боці справи, а на цивільних аспектах, пов’язаних з підтриманням нормального функціонування апаратного і програм-ного забезпечення, тобто концентруватись на питаннях доступності, конфіденційності і цілісності

На процедурному рівні можна виділити такі класи заходів: • управління персоналом; • фізичний захист; • підтримання працездатності; • реагування на порушення режиму безпеки; • планування відновлювальних робіт.

Управління персоналом

Управління персоналом починається з приймання на роботу нового співробітника на роботу і навіть раніше – з опису посади. Вже на цьому етапі бажано підключити до роботи фахівця з інформаційної безпеки для визначення комп’ютерних привілеїв, що асоціюються з посадою.

Є два загальних принципи управління персоналом: • розділення обов’язків; • мінімізація привілеїв. Принцип розділення обов’язків передбачає такий розподіл ролей і відповідаль-ності, щоб ні одна людина не могла порушити критично важливого для організації процесу. Наприклад, небажаною є ситуація, коли великі платежі від імені організації здійснює одна людина. Надійніше доручити одному співробітнику оформлення заявок на такі платежі, іншому – засвідчення цих заявок. Другим прикладом є процедурні обмеження дій суперкористувача. Можна штучно “розщепити” пароль суперкористувача, повідомивши першу його частину одному співробітнику, а другу – іншому. Тоді критично важливі дії з адміністрування інформаційної системи вони зможуть виконати тільки вдвох, що знижує ймовірність помилок та зловживань. Принцип мінімізації привілеїв передбачає виділяти користувачам тільки ті права доступу, які є необхідними для виконання службових обов’язків. Призначення цього принципу є очевидним – зменшити збитки від випадкових або навмисних некоректних дій. Попереднє складення опису посади дозволяє оцінити її критичність і спланувати процедуру перевірки та відбору кандидатів. Чим відповідальнішою є посада, тим ретельніше необхідно перевіряти кандидатів (навести про них довідки, можливо поговорити з колишніми співробітниками, тощо. Така процедура може бути тривалою і дорогою, тому немає сенсу надмірно її ускладнювати. З іншого боку, нерозумно і цілком відмовлятися від попередньої перевірки, щоб не випадково не прийняти на роботу людини з кримінальним минулим або психічним захворюванням. Коли кандидата визначено, він, ймовірно, повинен пройти навчання; його слід хоча би детально ознайомити з службовими обов’язками, а також з нормами і процедурами інформаційної безпеки. Бажано, щоб заходи безпеки були ним засвоєні до вступу на посаду і до запровадження його системного рахунку з вхідним іменем, паролем і привілеями. З моменту запровадження системного рахунку починається його адміністрування, а також протоколювання та аналіз дій користувача. Постійно змінюється оточення, в якому працює користувач, його службові обов’язки, тощо. Все це вимагає відповідної зміни привілеїв. Технічну складність становлять тимчасові переміщення користувача, виконання ним обов’язків за співробітника, що пішов у відпустку, та інші обставини, коли повноваження спочатку треба надати, а через деякий час відібрати назад. В такі періоди профіль активності користувача різко змінюється, що створює труднощі при виявленні підозріливих ситуацій. Певної акуратності слід дотримуватись і при видачі нових постійних повноважень, не забуваючи про ліквідацію старих прав доступу. Ліквідація системного рахунку користувача, особливо за конфлікту між співробітником і організацією, повинна здійснюватись максимально оперативно (ідеально – одночасно з повідомленням про покарання або звільнення). Можливим є і фізичне обмеження доступу до робочого місця. Зрозуміло, якщо співробітник звільняється, у нього треба прийняти все його комп’ютерне господарство і, зокрема, криптографічні ключі, якщо застосовувались засоби шифрування.

До управління співробітниками прилягає адміністрування осіб, що працюють за контрактом (наприклад, фахівці фірми-постачальника, які допомагають запустити нову систему). Згідно принципу мінімізації привілеїв їм треба виділити саме стільки прав, скільки необхідно, і вилучити ці права відразу після закінчення контракту. Проблема полягає в тому, що на початковому етапі впровадження “зовнішні” співробітники будуть адмініструвати “місцевих”, а не навпаки. Тут на перший план виходить кваліфікація персоналу організації, його здатність швидко навчатись, а також оперативне проведення навчальних курсів. Важливими є і принципи вибору ділових партнерів.

Іноді зовнішні організації приймають на обслуговування і адміністрування відповідальні компоненти комп’ютерної системи, наприклад, мережне обладнання. Часто адміністрування здійснюється в віддаленому режимі. Це створює в системі додаткові вразливі місця, які необхідно компенсувати посиленим контролем засобів віддаленого доступу або навчанням власних співробітників.

Бачимо, що проблема навчання є однією з основних з точки зору інформаційної безпеки. Якщо співробітник не знайомий з політикою безпеки своєї організації, він не може прагнути до досягнення сформульованих в ній цілей. Не знаючи заходів безпеки, він не зможе їх дотримуватись. Навпаки, якщо співробітник знає, що його дії протоколюються, він, можливо, утримається від порушень. Фізичний захист

Безпека інформаційної системи залежить від оточення, в якому вона функціонує. Необхідно вжити заходів для захисту будівель і прилеглої території, підтримуючої інфраструктури, обчислювальної техніки, носіїв даних. Основний принцип фізичного захисту, дотримання якого потрібно постійно контролювати, формулюється як “неперервність захист у в просторі і часі”. Основні напрями фізичного захисту є такі: • фізичне управління доступом; • протипожежні заходи; • захист підтримуючої інфраструктури; • захист від перехоплювання даних; • захист мобільних систем. Заходи фізичного управління доступом дозволяють контролювати і за необхідності обмежувати вхід і вихід співробітників і відвідувачів. Контролюватись може вся будівля організації, а також окремі приміщення, наприклад, ті, де розміщено сервери, комунікаційна апаратура, тощо.

При проектуванні і реалізації заходів фізичного управління доступом доцільно застосовувати об’єктний підхід.

По-перше, визначається периметр безпеки, який обмежує контрольовану територію. На цьому рівні деталізації важливо продумати зовнішній інтерфейс організації – порядок входу/виходу штатних співробітників і відвідувачів, внесення/винесення техніки. Все, що не входить до зовнішнього інтерфейсу, повинно бути інкапсульовано, тобто захищено від нелегального проникнення. По-друге, здійснюється декомпозиція контрольованої території, виділяються під(об’єкти) і зв’язки (проходи) між ними. При такій, глибшій деталізації слід виділити серед підоб’єктів найкритичніші з точки зору безпеки та забезпечити їм підвищену увагу. Декомпозиція повинна бути такою, що забезпечує розмежування суттєвостей різного роду, таких як обладнання різних власників або персонал, що працює з даними різного ступеня критичності. Важливо, зокрема, щоб відвідувачі, якщо це можливо не мали безпосереднього доступу до комп’ютерів або, в гіршому випадку, подбати, щоб від вікон і дверей не проглядались екрани моніторів і принтери. Необхідно, щоб відвідувачів за зовнішнім виглядом можна було відрізнити від співробітників. Наприклад, якщо відмінність полягає в видаванні відвідувачам ідентифікаційних карточок і відсутності «розпізнавальних знаків» у співробітників, то зловмиснику достатньо зняти карточку, щоб його вважали «своїм». Очевидно, відповідні карточки слід видавати всім або тільки співробітникам.

Засоби фізичного управління доступом є відомими давно. Це охорона, двері з замками, перегородки, телекамери, сенсори руху та багато іншого. Для вибору оптимального за критерієм вартість/ефективність засобу доцільно здійснити аналіз ризиків. Також є сенс періодично відслідковувати появу технічних новинок в цій галузі, прагнучи максимально автоматизувати фізичний захист.

Великих збитків можуть завдавати пожежі, які час від часу стаються. Тому необхідними є встановлення протипожежної сигналізації та автоматичних засобів гасіння. Зазначимо, що заходи захисту можуть створювати нові слабкі місця. Якщо на роботу прийнято нового охоронця, то, очевидно, це покращує фізичне управління доступом. Якщо ж ночами він курить та випиває, то через підвищену пожежну небезпеку такий захід захисту може тільки зашкодити.

До підтримуючої інфраструктури можна віднести системи електро-, водо-, та теплопостачання, кондиціонери і засоби комунікацій. До них можуть бути застосовані ті ж самі вимоги цілісності і доступності, що і до інформаційних систем. Для забезпечення цілісності необхідно захищати обладнання від крадіжок і ушкоджень. Для підтримання доступності слід вибирати обладнання з максимальним часом напрацювання на відмову, дублювати відповідальні вузли та завжди мати під рукою необхідні запчастини. Окремою проблемою є аварії водопроводів. Вони стаються рідко, але можуть завдавати величезних збитків. При розташуванні комп’ютерів треба враховувати розміщення водопровідних і каналізаційних труб і старатись триматись від них подалі. Співробітники повинні знати, куди слід звертатись при виявленні протікань.

Перехоплення даних може здійснюватись різними способами. Зловмисник може підглядати за екранами моніторів, читати пакети, які передаються мережею, аналізувати побічні електромагнітні випромінювання і наведення, тощо. Тому слід повсюдно застосовувати засоби криптографічного захисту, прагнути максимально розширити контрольовану територію, розмістившись в окремому особнячку подалі від інших будівель, намагатись тримати під контролем лінії зв’язку (наприклад, поміщати їх в надувну оболонку з виявленням проколювання). Мобільні і портативні комп’ютери є привабливим об’єктом викрадення. Їх часто залишають без нагляду, в автомобілі або на роботі, і викрасти такий комп’ютер можна достатньо легко. Тому інформацію на жорстких дисках таких комп’ютерів слід зашифровувати.