Можливість несанкціонованого одержання інформації під дією дестабілізуючих факторів, незважаючи на застосування засобів ЗІ Рij. 3 page

3) рівень організації й контролю виконання рішень. Системні й мережні адміністратори, адміністратори серверів, додатків, баз даних і т.п. відповідають за ефективне застосування штатних засобів захисту й розмежування доступу всіх використовуваних ОС і СУБД. Адміністратори додаткових засобів захисту, контролю і управління безпекою відповідають за ефективне застосування спеціалізованих засобів захисту (впливають на безпеку й персонал через засоби захисту);

4) рівень підтримки виконання політики ІБ. Відповідальні за забезпечення безпеки ІТ у підрозділах (на технологічних ділянках) – це посередники між нечисленним підрозділом безпеки й численними користувачами (це «представники ІБ» на місцях). Основні функції відповідальних за забезпечення безпеки ІТ – ефективна підтримка реалізації розроблених підрозділом безпеки й затверджених керівництвом регламентів;

5) рівень виконання політики ІБ (співробітники структурних підрозділів: кінцеві користувачі системи й обслуговуючий персонал, що працюють із засобами автоматизованої обробки інформації), які вирішують свої функціональні завдання із застосуванням засобів автоматизації тощо).

Подана на рис. 7.5 модель системи БІТ відображує сукупність об’єктивних зовнішніх і внутрішніх чинників та їх вплив на стан інформаційної безпеки на об’єкті і на збереження матеріальних або інформаційних ресурсів. Вона дає змогу повністю проаналізувати і документально оформити вимоги щодо гарантування послуг, що надаються, і гарантій безпеки майнових прав та інтересів клієнтів. Цього можна досягти при вирішенні таких основних завдань:

віднесення інформації до категорії обмеженого доступу;

прогнозування і своєчасного виявлення загроз БІТ, а також причин і умов, що сприяють фінансовим, матеріальним і моральним збиткам, порушенню нормального функціонування і розвитку об’єкта;

створення умов функціонування з найменшою ймовірністю реалізації загроз безпеці інформаційних ресурсів і зумовлення різних видів збитку;

створення механізму і умов оперативного реагування на загрози БІТ та прояви негативних тенденцій у функціонуванні, ефективне припинення посягань на ресурси на основі правових, організаційних і технічних заходів, засобів гарантування безпеки;

створення умов для максимально можливого відшкодування і локалізації збитку, завданого неправомірними діями фізичних і юридичних осіб, ослаблення негативного впливу наслідків порушення інформаційної безпеки на досягнення стратегічних цілей.

уникнути витрат на зайві заходи безпеки, що можливі у разі суб’єктивної оцінки ризиків;

надати допомогу в плануванні і здійсненні захисту на всіх стадіях життєвого циклу інформаційних систем;

забезпечити проведення робіт в короткі терміни;

подати обґрунтування вибору заходів протидії;

оцінити ефективність контрзаходів, порівняти їх різні варіанти тощо.

Об’єктивними чинниками моделі є:

загрози БІТ, що характеризуються вірогідністю реалізації;

вразливі місця ІС або системи контрзаходів (системи БІТ);

ризик – чинник, що відображує можливий збиток організації в результаті реалізації БІТ: просочування інформації та її неправомірного використання.

Концепції і бізнесові цілі організації формують плани, стратегії і методики

для забезпечення безпеки інформаційних технологій організації. Змінювання цілей має гарантувати, що організація буде здатна до ділової активності з допустимими рівнями ризику. Щоб визначити і реалізувати загальну й чітку стратегію та методи забезпечення БІТ, організація повинна врахувати усі можливі аспекти (рис. 7.6).

Рис. 7.6. Залежності елементів безпеки

(Р – ризик, ЗР – залишковий ризик, ЗС – засіб захисту, З – загроза, В – вразливість)

З рис. 7.6 видно, що деякі засоби безпеки можуть бути ефективними для зменшення ризиків, пов’язаних із множинними загрозами і (або) множинними вразливостями. Іноді потрібні декілька засобів безпеки, щоб звести залишковий ризик до допустимого рівня. У деяких випадках, коли ризик допустимий, немає потреби застосовувати засоби безпеки, навіть якщо є загрози. В інших випадках уразливість може існувати, але не обов’язкова наявність відомих загроз щодо неї. Засоби безпеки можуть забезпечувати контролювання наявності загроз в оточенні, щоб запобігти ураженню у разі прояву загрози.

На рис. 7.7 подано залежність між елементами безпеки, тісно пов’язаними з управлінням ризиком. Для ясності відображені тільки основні залежності.

Рис. 7.7. Залежність в управлінні ризиком

Ризик – це небезпека, якій може піддаватися система і організація, що використовує її. Він залежить від: показників цінності ресурсів; вірогідності завдання збитку ресурсам (що виражається через вірогідність реалізації загроз для ресурсів); ступеня легкості, від якого системи захисту вразливості можуть бути використані при виникненні загроз; існуючих або планованих засобів забезпечення інформаційної безпеки. Обчислюють ці показники математичними методами, що мають такі характеристики, як обґрунтування і параметри точності.

Процес оцінювання ризиків складається з ряду послідовних етапів:

опис об’єкта і заходів захисту;

ідентифікація ресурсу та оцінювання його кількісних показників;

аналіз загроз безпеці інформаційних технологій;

оцінювання слабких місць;

оцінювання існуючих і перспективних засобів гарантування БІТ;

оцінювання ризиків.

На рис. 7.8, 7.9 та 7.10 подано залежності між необхідними умовами безпеки і загрозами, уразливостями і вартістю активів відповідно.

Рис. 7.10.Залежності в управлінні ризиком у аспекті ураження

На цих рисунках проілюстровано перспективи деяких підходів до управління безпекою інформаційних технологій. Однак такі підходи можуть не враховувати деякі важливі аспекти.

7.4. Міжнародний стандарт ISO/IEC 17799:2005. Призначення та особливості

Міжнародний стандарт ISO/IEC 17799:2005 (BS 7799-1:2002) «Управління інформаційною безпекою – Інформаційні технології» («Information Technology – Information Security Management») є найбільш відомим стандартом в області захисту інформації. Він призначений для використання будь-якою організацією, котра планує встановити систему ефективного інформаційного захисту або покращувати існуючі методи інформаційного захисту. Однак, це не свідчить, що всі рекомендації стандарту повинні бути обов’язково прийняті. Все залежить від конкретних місцевих інформаційних ризиків та вимог. Враховуючи таке узагальнений алгоритм застосування стандарту може бути поданий схемою, наведеною на рис. 7.11.

Рис. 7.11. Алгоритм застосування стандарту ISO/IEC 17799:2005

Стандарт відноситься до нового покоління стандартів ІБ. Його розроблено на основі першої частини британського стандарту BS 7799-1:1995 «Практичні рекомендації по управлінню інформаційною безпекою» («Information Security Management – Part 1: Code of Practice for Information Security Management»). Стандарт складається з 13 розділів (рис. 7.12):

1. Загальна частина

2. Терміни та визначення

3. Політика безпеки

4. Організовані методи забезпечення інформаційної безпеки

5. Управління ресурсами

6. Користувачі інформаційної системи

7. Фізична безпека

8. Управління комунікаціями та процесами

9. Контроль доступу

10. Придбання та розробка інформаційних систем

11. Управління інцидентами інформаційної безпеки

12. Управління безперервністю ведення бізнесу

13. Відповідність вимогам.

Рис. 7.12. Основні області застосування стандарту ISO/IEC 17799:2005

Кожен з розділів стандарту має таку структуру:

мета – вказує, яка мета повинна бути досягнута;

управління – вказує, як визначені цілі можуть бути досягнуті;

керівництво – вказує, як управління може бути реалізовано та Додатки.

Зокрема в термінах і визначеннях позиціонуються такі поняття, як інформаційна безпека (збереження конфіденційності, цілісності й доступності інформації), конфіденційність (забезпечення доступу до інформації тільки для авторизованих користувачів, що мають право на доступ до неї), цілісність (захист точності й повноти інформації й методів її обробки), доступність (забезпечення доступності інформації й пов’язаних з нею ресурсів авторизованим користувачам за необхідності) тощо. Також визначається політика безпеки.

Документ, що містить опис політики інформаційної безпеки повинен бути схвалений керівництвом, опублікований й відповідно розповсюджений серед всіх співробітників. Цей документ повинен виражати підтримку керівництва компанії й визначати підхід до УІБ, що буде застосовуватися в організації як мінімум даний документ повинен включати такі відомості:

визначення ІБ, її загальні цілі й галузь дії, а також відомості про важливість безпеки як механізм, що робить можливим спільне використання інформації;

заява про наміри керівництва, яка висвітлює цілі й принципи УІБ;

короткий опис політики безпеки, принципів, стандартів і нормативних вимог, що мають певне значення для організації, наприклад: відповідність вимогам законодавства й умовам контрактів; вимоги до освітньої підготовки в галузі безпеки; захист від вірусів й інших зловмисних програм; підтримка безперервності бізнесу; наслідки порушення політики безпеки;

визначення загальних і приватних обов’язків з управління інформаційною безпекою, у тому числі надання відомостей про інциденти;

посилання на документацію, що може доповнювати опис політики, наприклад, більш докладні описи політик й інструкцій для Конкретних інформаційних систем або правила безпеки, які повинні дотримуватися користувачами. Цей опис політики необхідно поширити серед користувачів у всій організації в придатному для них вигляді.

За для цього необхідно призначити співробітника, відповідального за підтримку політику ІБ та її оновлення відповідно до прийнятої процедури. Ця процедура повинна гарантувати перегляд політики у відповідь на будь-які зміни, що впливають на основу вихідної оцінки ризиків – наприклад, великі інциденти, пов’язані з безпекою, нові вразливості або зміни в організаційній або технічній інфраструктурі. Крім того, необхідно створити графік періодичної переоцінки таких критеріїв:

ефективність політики, яка демонструється на основі типів, кількості й збитку від зареєстрованих інцидентів;

вартість і вплив заходів безпеки на ефективність діяльності організації;

вплив технологічних змін.

Відповідно до положень стандарту регламентується процедура аудиту безпеки інформаційних систем (рис. 7.13).

Рис. 7.13. Рекомендовані етапи перевірки режиму інформаційної безпеки

Правила по управлінню ІБ розбиті у стандарті на десять розділів:

політика безпеки;

організація безпеки;

класифікація ресурсів і їх контроль;

безпека персоналу;

фізична безпека;

адміністрування інформаційних систем і мереж;

управління доступом;

розробка і супровід інформаційних систем;

планування безперервної роботи організації;

контроль виконання вимог політики безпеки.

Ключові засоби контролю представляють або обов’язкові вимоги (наприклад, вимоги діючого законодавства), або рахуються основними структурними елементами інформаційної безпеки (наприклад, навчання правилам безпеки). Ці засоби актуальні для всіх організацій і складають основу системи УІБ. Вони служать в якості основи для організації, що приступає до реалізації засобів управління інформаційною безпекою. До ключових відносяться наступні засоби контролю:

документ про політику інформаційної безпеки;

розподіл обов’язків по забезпеченню інформаційної безпеки;

навчання і підготовка працівників до підтримування режиму ІБ;

повідомлення про випадки порушення безпеки;

засоби безпеки від вірусів;

планування безперервної роботи організації;

контроль над копіюванням програмного забезпечення, захищеного законом про авторські права;

захист документації і даних організації;

контроль відповідності політики безпеки.

Стандарт ISO 17799 (BS 7799) дозволяє задати правила безпеки і визначити політику безпеки. Так, наприклад, в табл. 7.2 представлені контрольні запитання згідно стандарту BS 7799-2, які дозволяють оцінити систему управління інформаційною безпекою та задати правила безпеки.

Додаткові рекомендації по вибору політики безпеки мають керівництва Британського інституту стандартів (www.bsi-glbal.com) у вигляді серій:

«Можливості сертифікації на відповідність вимог стандарту BS 7799-2»;

«Керівництво з вибору засобів забезпечення інформаційної безпеки у відповідності із BS 7799-2» тощо.

Таблиця 7.2

Приклади контрольних питань згідно стандарту BS 7799-2 для за дання правил безпеки

Продовження таблиці 7.2

Продовження таблиці 7.2