Безопасность информационных систем

Определение защищенной информационной системы.

В «Оранжевой книге» надежная информационная система определяется как система, использующая достаточные аппаратные и программные средства, чтобы обеспечить одновременную достоверную обработку информации разной степени секретности различными пользователями или группами пользователей без нарушения прав доступа, целостности и конфиденциальности данных и информации, и поддерживающая свою работоспособность в условиях воздействия на нее совокупности внешних и внутренних угроз [24].

Это качественное определение содержит необходимое и достаточное условие безопасности. В общем случае можно говорить о степени доверия, или надежности, систем, оцениваемых по двум основным критериям.

• 1. Наличие и полнота политики безопасности — набор внешних и корпоративных стандартов, правил и норм поведения, отвечающих законодательным актам страны и регламентирующих сбор, обработку, распространение и защиту информации. В частности, стандарты и правила определяют, в каких случаях и каким образом пользователь имеет право оперировать с конкретными наборами данных. В политике безопасности сформулированы права и ответственности пользователей и персонала. В зависимости от сформулированной политики можно выбирать конкретные механизмы, обеспечивающие безопасность системы. Чем больше ИС и чем больше она имеет «входов» и «выходов» (распределенная система), тем «строже», детализированнее и многообразнее должна быть политика безопасности.
• 2. Гарантированность безопасности — мера доверия, которая может быть оказана архитектуре, инфраструктуре, программно-аппаратной реализации системы и методам управления ее конфигурацией и целостностью. Гарантированность может проистекать как из тестирования и верификации, так и из проверки (системной или эксплуатационной) общего замысла и исполнения системы в целом и ее компонентов. Гарантированность показывает, насколько корректны механизмы, отвечающие за проведение в жизнь политики безопасности. Гарантированность является пассивным, но очень важным компонентом защиты, реализованным качеством разработки, внедрения, эксплуатации и сопровождения ИС и заложенных принципов безопасности.

Оценка уровня защищенности ИТ/ИС обычно производится по трем базовым группам критериев: цели, средства и исполнение.

Общая цель состоит в создании защищенных ИС, а также обеспечении безопасности, безотказности, надежности и делового взаимодействия.

Средства включают в себя:

• ? обеспечение — защищенность, конфиденциальность, целостность, готовность к работе, точность, управляемость, безотказность, прозрачность, удобство пользования;
• ? подтверждение доверия — внутренняя оценка, аккредитация, внешний аудит.

Исполнение предусматривает:

• ? установки — законы, нормы; характер ведения бизнеса; контракты, обязательства; внутренние принципы; международные, отраслевые и внутренние стандарты;
• ? реализацию — методы взаимодействия с внешней и внутренней средой; методы работ; анализ рисков; методы разработки, внедрения, эксплуатации и сопровождения; обучение персонала.

Эти общие положения являются основой для проектирования и реализации безопасности открытых ИС [7].

Требования к архитектуре информационных систем для обеспечения безопасности ее функционирования. Идеология открытых систем (см. гл. 6—8) существенно отразилась на методологических аспектах и направлении развития сложных распределенных ИС.

Она базируется на строгом соблюдении совокупности профилей, протоколов и стандартов «де-факто» и «де-юре» [26].

При создании сложных, распределенных ИС, проектировании их архитектуры, инфраструктуры, выборе компонент и связей между ними следует учитывать помимо общих (открытость, масштабируемость, переносимость, мобильность, защита инвестиций и т. п.) ряд специфических концептуальных требований, направленных на обеспечение безопасности функционирования самой системы и данных:

• ? архитектура системы должна быть достаточно гибкой, т. е. допускать относительно простое, без коренных структурных изменений, развитие инфраструктуры и изменение конфигурации используемых средств, наращивание функций и ресурсов ИС в соответствии с расширением сфер и задач ее применения;
• ? должны быть обеспечены безопасность функционирования системы при различных видах угроз и надежная защита данных от ошибок проектирования, разрушения или потери информации, а также авторизация пользователей, управление рабочей загрузкой, резервированием данных и вычислительных ресурсов, максимально быстрым восстановлением функционирования ИС;
• ? следует обеспечить комфортный, максимально упрощенный доступ пользователей к сервисам и результатам функционирования ИС на основе современных графических средств, мнемосхем и наглядных пользовательских интерфейсов;
• ? систему должна сопровождать актуализированная, комплектная документация, обеспечивающая квалифицированную эксплуатацию и возможность развития ИС.

Только сфокусированная на безопасности архитектура ИС способна сделать эффективным объединение сервисов, обеспечить управляемость ИС, ее способность развиваться и противостоять новым угрозам при сохранении таких свойств, как высокая производительность, простота и удобство использования. Для того чтобы выполнить эти требования архитектура ИС должна строиться на принципах:

• ? проектирования ИС с учетом требований открытых систем, следования признанным стандартам, использования апробированных решений, иерархической организации ИС с небольшим числом сущностей на каждом уровне — все это способствует прозрачности и хорошей управляемости ИС;
• ? непрерывности защиты в пространстве и времени, невозможности преодолеть защитные средства, исключения спонтанного или вызванного перехода в небезопасное состояние — при любых обстоятельствах, в том числе нештатных, защитное средство либо полностью выполняет свои функции, либо полностью блокирует доступ в систему или ее часть;
• ? усиления самого слабого звена, минимизации привилегий доступа, разделения функций обслуживающих сервисов и обязанностей персонала. Предполагается такое распределение ролей и ответственности, чтобы один человек не мог нарушить критически важный для организации процесс или создать брешь в защите по неведению или заказу злоумышленников. Применительно к программно-техническому уровню принцип минимизации привилегий предписывает выделять пользователям и администраторам только те права доступа, которые необходимы им для выполнения служебных обязанностей. Это позволяет уменьшить ущерб от случайных или умышленных некорректных действий пользователей и администраторов;
• ? эшелонирования обороны, разнообразия защитных средств, простоты и управляемости ИС и системой ее безопасности. Принцип эшелонирования обороны предписывает не полагаться на один защитный рубеж, каким бы надежным он ни казался. За средствами физической защиты должны следовать программно-технические средства, за идентификацией и аутентификацией — управление доступом, протоколирование и аудит;
• ? простоты и управляемости ИС в целом и защитных средств в особенности. Только в простой и управляемой системе можно проверить согласованность конфигурации различных компонентов и осуществлять централизованное администрирование.

В этой связи важно отметить интегрирующую роль Web-cepвиса, скрывающего разнообразие обслуживаемых объектов и предоставляющего единый, наглядный интерфейс. Соответственно, если объекты некоторого вида (например, таблицы базы данных) доступны через Internet, необходимо заблокировать прямой доступ к ним, поскольку в противном случае система будет уязвимой, сложной и плохо управляемой;

? продуманной и упорядоченной структуры программных средств и баз данных. Топология внутренних и внешних сетей непосредственно отражается на достигаемом качестве и безопасности ИС, а также на трудоемкости их разработки. При строгом соблюдении правил структурного построения значительно облегчается достижение высоких показателей качества и безопасности, так как сокращается число возможных ошибок в реализующих программах, отказов и сбоев оборудования, упрощается их диагностика и локализация.

Анализ безопасности ИС при отсутствии злоумышленных факторов базируется на модели взаимодействия основных компонент ИС [13]. В качестве объектов уязвимости рассматриваются:

• ? динамический вычислительный процесс обработки данных, автоматизированной подготовки решений и выработки управляющих воздействий;
• ? объектный код программ, исполняемых вычислительными средствами в процессе функционирования ИС;
• ? данные и информация, накопленные в базах данных;
• ? информация, выдаваемая потребителям и на исполнительные механизмы.

Полное устранение перечисленных угроз принципиально невозможно. Задача состоит в выявлении факторов, от которых они зависят, в создании методов и средств уменьшения их влияния на безопасность ИС, а также в эффективном распределении ресурсов для обеспечения защиты, равнопрочной по отношению ко всем негативным воздействиям.

Стандартизация подходов к обеспечению информационной безопасности. Специалистам в области информационной безопасности сегодня практически невозможно обойтись без знаний соответствующих профилей защиты, стандартов и спецификаций. Формальная причина состоит в том, что необходимость следования некоторым стандартам (например, криптографическим и руководящим документам Гостехкомиссии России) закреплена законодательно.

На верхнем уровне можно выделить две существенно отличающиеся друг от друга группы стандартов и спецификаций: оценочные стандарты, предназначенные для оценки и классификации ИС и средств защиты по требованиям безопасности; спецификации,

регламентирующие различные аспекты реализации и использования средств и методов защиты. Эти группы дополняют друг друга. Оценочные стандарты описывают важнейшие с точки зрения информационной безопасности понятия и аспекты ИС, играя роль организационных и архитектурных спецификаций. Специализированные стандарты и спецификации определяют, как именно строить ИС предписанной архитектуры и выполнять организационные требования.

Из числа оценочных необходимо выделить стандарт «Критерии оценки доверенных компьютерных систем» и его интерпретацию для сетевых конфигураций (Министерство обороны США) «Гармонизированные критерии Европейских стран», международный стандарт «Критерии оценки безопасности информационных технологий» и, конечно, руководящие документы Гостехкомиссии России. К этой же группе относится и федеральный стандарт США «Требования безопасности для криптографических модулей», регламентирующий конкретный, но очень важный и сложный аспект информационной безопасности.

Технические спецификации, применимые к современным распределенным ИС, создаются главным образом тематической группой по технологии Internet (Internet Engineering Task Force — IETF) и ее подразделением — рабочей группой по безопасности. Ядром технических спецификаций служат документы по безопасности на IP-уровне (IPSec). Кроме этого, анализируется защита на транспортном уровне (Transport Layer Security—TLS), а также на уровне приложений (спецификации GSS-API, Kerberos). Internet-сообщество уделяет должное внимание административному и процедурному уровням безопасности, создав серию руководств и рекомендаций: «Руководство по информационной безопасности предприятия», «Как выбирать поставщика Интернет-услуг», «Как реагировать на нарушения информационной безопасности» и др.

В вопросах сетевой безопасности невозможно обойтись без спецификаций Х.800 «Архитектура безопасности для взаимодействия открытых систем», Х.500 «Служба директорий: обзор концепций, моделей и сервисов» и Х.509 «Служба директорий: каркасы сертификатов открытых ключей и атрибутов».

Критерии оценки механизмов безопасности программно-технического уровня представлены в международном стандарте ISO 15 408— 1999 «Общие критерии оценки безопасности информационных технологий» («The Common Criteria for Information Technology Security Evaluation»), принятом в 1999 г. «Общие критерии» («ОК») определяют функциональные требования безопасности (Security Functional Requirements) и требования к адекватности реализации функций безопасности (Security Assurance Requirements). «Общие критерии» содержат два основных вида требований безопасности:

• 1) функциональные, соответствующие активному аспекту защиты, предъявляемые к функциям (сервисам) безопасности и реализующим их механизмам;
• 2) доверия, соответствующие пассивному аспекту; они предъявляются к технологии и процессу разработки и эксплуатации.

Требования безопасности формулируются, и их выполнение проверяется для определенного объекта оценки — аппаратно-программного продукта или ИС. «Общие критерии» целесообразно использовать для оценки уровня защищенности ИС с точки зрения полноты реализованных в ней функций безопасности и надежности реализации этих функций.

Британский стандарт BS 7799 «Управление информационной безопасностью. Практические правила» практически без изменений отражен в международном стандарте ISO/IEC 17 799:2000 «Практические правила управления информационной безопасностью» («Code of practice for Information security management»). В этом стандарте обобщены правила по управлению информационной безопасностью, они могут использоваться в качестве критериев оценки механизмов безопасности организационного уровня, включая административные, процедурные и физические меры защиты.

Ключевые средства контроля (механизмы управления информационной безопасностью), предлагаемые в ISO 17 799, считаются особенно важными. При использовании некоторых из средств контроля, например шифрования, могут потребоваться советы специалистов по безопасности и оценка рисков. Для обеспечения защиты особенно ценных ресурсов или оказания противодействия особенно серьезным угрозам безопасности в ряде случаев могут потребоваться более сильные средства контроля, которые выходят за рамки ISO 17 799. Процедура аудита безопасности ИС по стандарту ISO 17 799 включает в себя проверку наличия перечисленных ключевых средств контроля, оценку полноты и правильности их реализации, а также анализ их адекватности рискам, существующим в данной среде функционирования. Составной частью работ по аудиту также является анализ и управление рисками.

На нижнем уровне разработаны в разных странах сотни отраслевых стандартов, нормативных документов и спецификаций по обеспечению информационной безопасности, которые применяются национальными компаниями при разработке программных средств, ИС и обеспечении качества и безопасности их функционирования.