Ж у р н а л   о   к о м п ь ю т е р н ы х   с е т я х   и   т е л е к о м м у н и к а ц и о н н ы х   т е х н о л о г и я х
СЕТИ И СИСТЕМЫ СВЯЗИ on-line
  ПОИСК: ПОДПИСКА НА НОВОСТИ: НОМЕР:
    ДОМОЙ • Архив: Новостей | Конференций | НомеровПодписка
 
   
 
   
    
РЕДАКЦИЯ
 
Все о журнале
Подписка
Как проехать
Где купить
Отдел рекламы
График выхода журнала
Адреса в Интернет

РУБРИКАТОР
   
• Инфраструктура
• Информационные
   системы

• Сети связи
• Защита данных
• Кабельные системы
• Бизнес
• Колонка редактора
• Электронная
   коммерция

• Только на сервере
• Системы
   учрежденческой
   связи

• Новые продукты


Rambler's Top100

  

Интегрированная система информационной безопасности

В. В. Демин, Е. В. Судов

Информационная безопасность в компьютерных и коммуникационных системах не случайно стала одной из самых “горячих” тем в современной информатике. Многие организации, не уделявшие должного внимания вопросу корпоративной политики информационной безопасности, уже столкнулись с потерями жизненно важной информации от сбоев компьютерных систем и испытали на себе негативные последствия проникновения злоумышленников в их корпоративные сети. В связи с этим фирмы, долгое время специализировавшиеся на охране людей и объектов, начали выделять в качестве отдельного направления своей деятельности “компьютерную” безопасность, а в структуру практически всех крупных компаний, занимающихся системной интеграцией, были введены специальные подразделения, разрабатывающие собственные комплексные меры по информационной безопасности. При этом некоторые предприятия и организации начали использовать интегрированные системы информационной безопасности (ИСИБ). Рассмотрим, что же они собой представляют.

На сегодняшний день сформулировано три основных принципа информационной безопасности:

· целостность данных, т. е. их надежное хранение в неискаженном виде. (Для этого требуется защитить данные от сбоев и неавторизованного уничтожения, а также исключить возможность создания данных лицами, не имеющими соответствующих прав.);

· конфиденциальность информации (ее недоступность для тех пользователей, которые не имеют соответствующих прав);

· доступность информации для всех авторизованных пользователей.

Именно эти задачи призваны решать ИСИБ, включающие в себя следующие процессы:

· выработку политики информационной безопасности;

· анализ рисков (т. е. ситуаций, в которых может произойти нарушение нормальной работы информационной системы, а также утрата или рассекречивание данных);

· планирование обеспечения информационной безопасности;

· планирование действий в чрезвычайных ситуациях;

· подбор средств обеспечения информационной безопасности.

Все необходимые действия по сбору и анализу информации, а также планированию мероприятий в рамках ИСИБ, как правило, выполняются специальными подразделениями информационной безопасности (в крупных организациях) или системными администраторами (в небольших организациях).

Политика информационной безопасности

Политика информационной безопасности организации определяет:

· какую информацию и от кого (чего) следует защищать;

· кому и какая информация требуется для выполнения служебных обязанностей;

· какая степень защиты требуется для каждого вида информации;

· чем грозит потеря того или иного вида информации;

· как организовать работу по защите информации.

Решения по этим вопросам принимают руководители организации, имеющие право решать, какой риск должен быть исключен, а на какой можно пойти, а также определять объем и порядок финансирования работ по обеспечению выбранного уровня информационной безопасности.

Для выработки политики информационной безопасности необходимо провести исследования. Сначала осуществляется сбор информации, состоящей из описания структуры организации; перечня и краткой характеристики функций, выполняемых каждым ее подразделением и работником; иерархии должностных лиц; описания функциональных связей между подразделениями и отдельными рабочими местами; перечня информационных объектов, циркулирующих в системе; перечня применяемых системных и прикладных программ (комплексов) с указанием используемых и порождаемых ими информационных объектов; описания топологии комплекса технических средств компьютерной системы.

Потом производится обработка и систематизация полученных данных. Информационные объекты могут быть классифицированы по тематике, по иерархическому признаку, по предполагаемому размеру ущерба от потери данной информации (или по выгоде для конкурента при ее получении), по трудоемкости ее восстановления.

Наконец, планируется организационное обеспечение информационной безопасности. Идеальная схема предполагает наличие независимого подразделения информационной безопасности, которое подчинено одному из первых лиц организации. Основными функциями этого подразделения являются предоставление пользователям доступа к информации в соответствии с принятой в организации политикой безопасности, а также контроль за соблюдением принятой политики безопасности и ее проведение на различных уровнях.

Анализ рисков

Он заключается в определении, изучении и систематизации рисков. Также определяются требования к средствам обеспечения информационной безопасности и осуществляется выбор соответствующих программных и технических решений.

По результатам анализа составляется отчет, содержащий перечень рисков, упорядоченных по степени их “опасности”, и рекомендации по снижению вероятности возникновения опасных ситуаций. Проведенный анализ должен предоставить руководству предприятия всю информацию, которая необходима для принятия решений, по-возможности, альтернативных (например, принять меры, снижающие вероятность возникновения опасной ситуации и/или уменьшающие возможный ущерб в случае отказа информационной системы, а также несанкционированного доступа к данным, воздержаться от принятия определенных защитных мер и пойти на “рассчитанный” риск).

Планирование обеспечения безопасности

Следующим шагом является разработка плана обеспечения информационной безопасности — документа, содержащего описание мер, средств и способов обеспечения информационной безопасности. Этот документ определяет и последовательность действий, направленных на реализацию комплекса мер по обеспечению информационной безопасности, которая должна быть утверждена руководством организации.

Планирование действий в чрезвычайной ситуации

На этом этапе осуществляется разработка документа, определяющего, за счет каких резервных средств будет обеспечено функционирование организации в условиях выхода из строя ее информационной системы, а также намечающего меры по восстановлению работоспособности этой системы. План действий в чрезвычайной ситуации разрабатывается на основе результатов анализа рисков.

Средства обеспечения информационной безопасности

Эти средства можно условно разделить на следующие группы.

· Системы контроля доступа (управляют правами доступа пользователей, регистрируют обращения к защищаемым данным, осуществляют аутентификацию пользователей и сетевых систем).

· Системы шифрования информации (кодируют данные, хранящиеся на локальных дисках пользователей и передаваемые по телекоммуникационным каналам).

· Системы электронно-цифровой подписи (обеспечивают аутентификацию получаемой информации и контроль ее целостности).

· Системы антивирусной защиты (контролируют состояние памяти вычислительных систем, предотвращают заражение файлов на локальных и сетевых дисках, а также распространение вирусов по сети).

· Системы защиты firewall (осуществляют авторизацию входящего и исходящего трафика между локальной компьютерной сетью и Internet).

· Системы резервного хранения и восстановления информации (обеспечивают запись информации на резервные носители и, в случае необходимости, ее восстановление на жестких дисках компьютеров предприятия).

В заключение необходимо отметить, что само по себе наличие даже самых совершенных планов обеспечения информационной безопасности не может служить гарантией безопасности данных и надежности работы корпоративной информационной инфраструктуры. Залогом эффективной работы информационной инфраструктуры и системы безопасности являются постоянный контроль за выполнением всех требований политики информационной безопасности, взаимодействие всех ответственных лиц, обучение специалистов и пользователей тому, как нужно действовать в чрезвычайной ситуации.


распечатать статью




  
9 '1996
СОДЕРЖАНИЕ

колонка редактора

• Огонь, вода и медные провода

локальные сети

• Системы RAID: решение проблемы хранения данных

• Стандарт IEEE 802.11 готов к принятию

• ПО управления серверами

• Создание правильной кабельной системы

• Преимущества и реализация единого “рабочего стола”

корпоративные сети

• Серверы удаленного доступа масштаба предприятия

• Windows NT 4.0: новые средства и возможности

• Управление коммутируемыми сетями

услуги сетей связи

• Транкинговые системы связи

• СОТЕЛ: интеграция сетей NMT-450

• Перспективы и проблемы кабельного телевидения

• ERMES — общеевропейская система передачи радиосообщений

• Ростки успеха беспроводной передачи данных

интернет и интрасети

• Проблема перенумерации адресов IP

• Internet-телефония: сопротивление бесполезно

• СУБД и WWW: драгоценный сплав

• “Телевидение” по каналам Internet

приложения клиент-сервер

• Intranet — это бизнес

• Все выше, и выше, и выше...

защита данных

• Безопасность: Windows NT и новые технологии Microsoft

• Интегрированная система информационной безопасности

новые продукты

• Новые серверы фирмы ALR, Compaq Proliant 5000, Новый сервер компании Hewlett-Packard



 Copyright © 1997-2007 ООО "Сети и Системы Связи". Тел. (495) 234-53-21. Факс (495) 974-7110. вверх