МЕТОДИКИ ПОБУДОВИ СИСТЕМ ЗАХИСТУ ІНФОРМАЦІЇ

Модель Lifecycle Security

Роль аналізу ризиків для створення корпоративної системи захисту інформації в комп'ютерній мережі підприємства можна наочно показати на прикладі моделі Lifecycle Security [19] (назву можна перекласти як «життєвий цикл безпеки»), розробленої компанією Axent, згодом придбаної Symantec.

Lifecycle Security - це узагальнена схема побудови комплексного захисту комп'ютерної мережі підприємства. Виконання описуваного в ній набору процедур дозволяє системно вирішувати завдання, пов'язані із захистом інформації, і дає можливість оцінити ефект від витрачених коштів і ресурсів. З цієї точки зору, ідеологія Lifecycle Security може бути протиставлена тактиці «точкових рішень», що полягає в тому, що всі зусилля зосереджуються на впровадженні окремих приватних рішень (наприклад, міжмережевих екранів або систем аутентифікації користувачів по смарт картками). Без попереднього аналізу і планування подібна тактика може привести до появи в комп'ютерній системі набору розрізнених продуктів, які не стикуються між собою і не дозволяють вирішити проблеми підприємства в сфері інформаційної безпеки.

Lifecycle Security включає в себе 7 основних компонентів, які можна розглядати як етапи побудови системи захисту (рис. 4.5).

Компоненти моделі Lifecycle Security

Мал. 4.5. Компоненти моделі Lifecycle Security

Політики безпеки , стандарти, процедури та метрики. Цей компонент визначає рамки, в яких здійснюються заходи щодо забезпечення безпеки інформації, і задає критерії оцінки отриманих результатів. Варто відзначити, що під стандартами тут розуміються нс тільки державні та міжнародні стандарти в сфері інформаційної безпеки, але і корпоративні стандарти, які в ряді випадків можуть надати дуже істотний вплив на створювану систему захисту інформації. Також хочеться зупинитися на обов'язкове введення метрики, що дозволяє оцінити стан системи до і після проведення робіт із захисту інформації. Метрика визначає, в чому і як вимірюється захищеність системи, і дозволяє співвіднести зроблені витрати і отриманий ефект.

Аналіз ризиків. Цей етап є відправною точкою для встановлення і підтримки ефективного управління системою захисту. Проведення аналізу ризиків дозволяє детально описати склад і структуру інформаційної системи (якщо з якихось причин це не було зроблено раніше), розташувати наявні ресурси за пріоритетами, грунтуючись на ступені їхньої важливості для нормальної роботи підприємства, оцінити загрози та ідентифікувати уразливості системи.

Стратегічний тан побудови системи захисту. Результати аналізу ризиків використовуються як основа для розробки стратегічного плану побудови системи захисту. Наявність подібного плану допомагає розподілити по пріоритетам бюджети і ресурси і в подальшому здійснити вибір продуктів і розробити стратегію їх впровадження.

Вибір і впровадження рішень. Добре структуровані критерії вибору рішень в сфері захисту інформації та наявність програми впровадження зменшують ймовірність придбання продуктів, що стають «мертвим вантажем», що заважає розвитку інформаційної системи підприємства. Крім безпосередньо вибору рішень, також має враховуватися якість надаваних постачальниками сервісних та навчальних послуг. Крім того, необхідно чітко визначити роль впроваджуваного рішення у виконанні розроблених планів і досягнення поставлених цілей в сфері безпеки.

Навчання персоналу. Знання в області комп'ютерної безпеки і технічні тренінги необхідні для побудови і обслуговування безпечної обчислювальної середовища. Зусилля, витрачені на навчання персоналу, значно підвищують шанси на успіх заходів щодо захисту мережі.

Моніторинг захисту. Він допомагає виявляти аномалії або вторгнення в ваші комп'ютери і мережі і є засобом контролю над системою захисту, щоб гарантувати ефективність програм захисту інформації.

Розробка методів реагування в разі інцидентів і відновлення. Без наявності заздалегідь розроблених і «відрепетирувати» процедур реагування на інциденти в сфері безпеки неможливо гарантувати, що в разі виявлення атаки їй будуть протиставлені ефективні заходи захисту, і працездатність системи буде швидко відновлена.

Всі компоненти програми взаємопов'язані і передбачається, що процес вдосконалення системи захисту йде безперервно.

Зупинимося детальніше на етапі аналізу ризиків. На думку розробників моделі Lifecycle Security, він повинен проводитися в наступних випадках:

  • - до і після оновлення або істотних змін в структурі системи;
  • - до і після переходу на нові технології;
  • - до і після підключення до нових мереж (наприклад, підключення локальної мережі філії до мережі головного офісу);
  • - до і після підключення до глобальних мереж (в першу чергу, Інтернет);
  • - до і після змін в порядку ведення бізнесу (наприклад, при відкритті електронного магазину);
  • - періодично, для перевірки ефективності системи захисту.

Ключові моменти етапу аналізу ризиків:

  • 1. Детальний документування комп'ютерної системи підприємства. При цьому особливу увагу необхідно приділяти критично важливих додатків.
  • 2. Визначення ступеня залежності організації від нормального функціонування фрагментів комп'ютерної мережі, конкретних вузлів, від безпеки збережених і оброблюваних даних.
  • 3. Визначення вразливих місць комп'ютерної системи.
  • 4. Визначення загроз, які можуть бути реалізовані в відношенні виявлених вразливих місць.
  • 5. Визначення та оцінка всіх ризиків, пов'язаних з експлуатацією комп'ютерної системи.

Особливо хочеться звернути увагу на зв'язок аналізу ризиків з іншими компонентами моделі. З одного боку, наявність метрики захищеності і визначення значень, що характеризують стан системи до і після заходів щодо захисту інформації, накладають певні вимоги на процедуру аналізу ризиків. Адже на базі отриманих результатів і оцінюється стан системи. З іншого боку, вони дають ті початкові умови, виходячи з яких розробляється план побудови системи захисту мережі. І результати аналізу ризиків повинні бути сформульовані у вигляді, придатному для виконання як першої, так і другої функції.

 
Переглянути оригінал
< Попер   ЗМІСТ   ОРИГІНАЛ   Наст >