Особенности защиты информации в корпоративных информационно-коммуникационных системах

Комплекс организационно-технических мер и средств контроля защиты информации в автоматизированных информационно-коммуникационных системах (ИКС) включает в себя средства и меры выявления попыток несанкционированного физического доступа в помещения и к техническим средствам ИКС, нарушения работоспособности или режима функционирования средств защиты информации, а также получения несанкционированного доступа к защищаемой информации и средствам управления техническими и программными средствами с целью своевременного закрытия возможных каналов утечки информации.

Средства зашиты информации от несанкционированного доступа используются во всех узлах автоматизированных ИКС. независимо от наличия (отсутствия) конфиденциальной информации в данном узле. В связи с большим количеством разнородных систем в каждой из них необходимо применение автоматизированных средств контроля и анализа защищенности информации.

Технические средства (серверное, коммуникационное и другое оборудование ИКС), с которыми администраторы и обслуживающий персонал постоянно не работают, выполняя только периодическое техническое обслуживание (проверка работоспособности, изменение настроек программного обеспечения и т. д.), должны располагаться в помещениях, в отношении которых реализован оперативный контроль доступа.

Защита входящих в состав автоматизированных ИКС локальных подсетей, функционально выделенных в отдельные АИС, может осуществляться с использованием механизмов безопасности, реализующих виртуальные локальные сети. При этом соответствующие средства разграничения доступа должны быть сертифицированы по требованиям информационной безопасности.

При использовании в ЛИС системы электронной почты (e-mail) должны быть предусмотрены средства проверки электронных сообщений. входящих в систему и исходящих из нее. на предмет наличия в ней вредоносного программного обеспечения.

В целях уменьшения нагрузки на оборудование и избегания отказов в обслуживании целесообразно использовать средства фильтрации нежелательных электронных сообщений.

Для управления, контроля защищенности и распределения системных ресурсов в автоматизированных ИКС. включая управление средствами защиты конфиденциальной информации, обрабатывавмой, хранимой и передаваемой в системе, используются соответствующие сродства защиты информации от несанкционированного доступа, сертифицированные по требованиям информационной безопасности.

При взаимодействии ИКС с другими вычислительными сетями ведется постоянный контроль за возможными попытками вторжения с использованием средств автоматизированного контроля (средств мониторинга сети, обнаружения вторжений и т. д.).

Для обнаружения неправомерных действий внутренних пользователей и аномальной активности сетевых узлов, инфицированных вредоносным программным обеспечением, должны применяться средства обнаружения нетипичной сетевой активности и активного аудита.

Для выявления возможных уязвимостей в используемом программном обеспечении (с учетом текущих настроек механизмов безопасности) следует применять программно-технические средства мониторинга и анализа защищенности (сетевые и системные сканеры безопасности).

Для информационного обмена территориально разнесенных структур организации, т. е. удаленных абонентов, могут использоваться незащищенные каналы связи, в частности информационные сети общего пользования, различные виды выделенных и коммутируемых линий связи. При этом все потоки информации, поступающие в систему и (или) выходящие из нее поданным каналам, должны фильтроваться на специализированных сертифицированных межсетевых экранах. Используемые межсетевые экраны должны соответствовать общим требованиям к ним.

При подключении внешних ЛВС к центральному узлу ИКС через сеть общего пользования необходимо использовать сертифицированные средства защиты информации, обеспечивающие защищенную передачу данных (электронная почта, доступ к базам данных и т. д.).

Сетевые ресурсы (почтовые серверы, веб-серверы и т. д.), к которым разрешен доступ из сетей общего пользования, подключаются к отдельному «открытому» сетевому сегменту, организуемому с использованием сертифицированного межсетевого экрана. Хранение, обработка или передача конфиденциальной информации в данном сетевом сегменте недопустимы.

Установление соединения «открытого» сегмента с другими сетевыми сегментами ИКС, в которых возможна обработка конфиденциальной информации, должно быть исключено. В системе реализуется разграничение доступа пользователей к сервисам и информационным ресурсам. Выбор сервисов и протоколов для использования в ИКС производится из соображения обеспечения полноты и эффективности реализации соответствующих функций и минимизации уровня уязвимости информации в системе.

Для контроля целостности и достоверности циркулирующей в АИС информации при необходимости используются сертифицированные средства ЭЦП.

Для использования в АИС средств, обеспечивающих юридическую силу электронных конфиденциальных документов и юридически значимый конфиденциальный электронный документооборот, в соответствии с Федеральным законом «Об электронно-цифровой подписи» [37] необходимо наличие Удостоверяющего центра. Для обеспечения юридически значимого электронного конфиденциального документооборота целесообразно использовать защищенную электронную почту:

Администрирование в автоматизированной ИКС планируется и проводится централизованно, на основе принципа минимизации полномочий пользователей при обеспечении требуемого уровня функциональности. За всеми программно-аппаратными составляющими должен быть закреплен администратор, отвечающий за их функционирование, а также администратор безопасности, отвечающий за безопасность обрабатываемой информации.

Па технических средствах АИС устанавливается программное обеспечение только той конфигурации, которая необходима для выполнения штатных работ. Установка, настройка и эксплуатация программного обеспечения проводятся в соответствии с утвержденной документацией. Установка произвольных программных средств не допускается. Из программного обеспечения необходимо удалить ненужные для работы и не включенные в обоснование прикладные сервисы (протоколы). Модификация конфигурации программного обеспечения должна быть доступна только администратору, ответственному за его эксплуатацию.

Во все фрагменты, входящие в состав ИКС, устанавливаются и должны исправно функционировать антивирусное программное обеспечение, а также средство контроля сетевой активности, средство контроля приложений, персональный межсетевой экран, средство криптографической защиты конфиденциальной информации для обеспечения возможности ее передачи по открытым каналам связи.

Для доступа к информации ЛИС пользователей, рабочие места которых размещены в пределах контролируемой территории организации. используются сертифицированные средства защиты информации от несанкционированного доступа. В случае, если пользователи размешены за пределами контролируемой территории организации и их доступ к ресурсам АИС осуществляется по незащищенным каналам связи, должны использоваться сертифицированные средства криптографической защиты информации, обеспечивающие возможность обмена конфиденциальной информацией в этих условиях.

Защита речевой информации при ее передаче по открытым каналам связи должна осуществляться с помощью средств защиты, сертифицированных по требованиям безопасности информации [188].