Этапы разработки систем зашиты

При первоначальной разработке и реализации системы защиты ИС обычно выделяют три стадии.

Первая стадия — выработка требований включает:

1) выявление и анализ уязвимых в ИС и ИТ элементов, которые могут подвергнуться угрозам;

2) выявление или прогнозирование угроз, которым могут подвергнуться уязвимые элементы ИС;

3) анализ риска.

Стоимостное выражение вероятного события, ведущего к потерям, называют риском. Оценки степени риска в случае осуществления того или иного варианта угроз, выполняемые по специальным методикам, называют анализом риска.

На второй стадии — определение способов защиты — принимаются решения о том:

1) какие угрозы должны быть устранены, и в какой мере;

2) какие ресурсы ИС должны быть защищаемы, и в какой степени;

3) с помощью, каких средств должна быть реализована защита;

4) каковы должны быть стоимость реализации защиты и затраты на эксплуатацию ИС с учетом защиты от потенциальных угроз.

Вторая стадия предусматривает разработку плана защиты и формирование политики безопасности, которая должна охватывать все особенности процесса обработки информации, определяя поведение системы в различных ситуациях.

План защиты содержит следующие разделы (группы сведений):

1. Текущее состояние системы (как результат работы первой стадии).

2. Рекомендации по реализации системы защиты.

3. Ответственность персонала.

4. Порядок ввода в действие средств защиты.

5. Порядок пересмотра плана и состава защиты.

Политика безопасности представляет собой некоторый набор требований, прошедших соответствующую проверку, реализуемых при помощи организационных мер и программно-технических средств и определяющих архитектуру системы защиты. Для конкретных организаций политика безопасности должна быть индивидуальной, зависимой от конкретной технологии обработки информации, используемых программных и технических средств, расположения организации и т.д.

Третья стадия — построение системы информационной безопасности, т.е. реализация механизмов защиты как комплекса процедур и средств обеспечения безопасности информации. В заключение производится оценка надежности системы защиты, т.е. уровня обеспечиваемой ею безопасности.

Функционирование системы информационной безопасности направлено на реализацию принципа непрерывного развития. Необходимо с определенной периодичностью анализировать текущее состояние системы и вводить в действие новые средства защиты. В этом отношении интересна практика защиты информации в США.

Американский специалист в области безопасности информации А. Патток предлагает концепцию системного подхода к обеспечению защиты конфиденциальной информации, получившую название «метод Opsec» (Operation Security).

Суть метода в том, чтобы пресечь, предотвратить или ограничить утечку той части информации, которая позволит конкуренту определить, что осуществляет или планирует предприятие.

Идентификационные системы

Проблема разграничения доступа к информации в корпоративных системах существовала с самого начала их функционирования.

Самым простым и привычным средством идентификации пользователей на сегодняшний день пока остается парольный доступ к системе. Однако нельзя гарантированно утверждать, что пароль является абсолютно надежной защитой от проникновения злоумышленников в хранилище информации - будь то жесткий диск локального компьютера или сетевые устройства хранения информации. Даже если в организации существует строгая политика по длине пароля и частоте его обновления, подобные организационно-административные меры не исключают случаев компрометации паролей. Причина тому весьма проста - некоторые сотрудники никак не могут запомнить свои пароли. Для выхода из этой ситуации сотрудники организаций, чтобы упростить запоминание паролей, часто задают в качестве пароля какое-нибудь простое слово, набор повторяющихся цифр или символов, собственное имя или что-либо подобное. Такие пароли могут быть "взломаны" за минимальный срок. Существующая статистика показывает, что в стандартном домене операционной системы применение простейшей программы подбора пароля так называемым методом "грубой силы" способно в течение суток предоставить злоумышленнику до 90% всех паролей пользователей. Иногда, чтобы особенно "не напрягаться", пользователи применяют одинаковый пароль ко всем информационным системам, доступ к которым им разрешен. В этом случае, узнав всего один пароль, злоумышленник получит доступ ко всему информационному пространству, в принципе доступному данному пользователю: и в корпоративную сеть, и в систему электронной почты, и в финансовую систему организации.

Таким образом, все попытки защитить важную для организации информацию будут преодолены, а нарушитель получит "зеленый свет" для всех своих неблаговидных начинаний. С этого времени организация может начать "терять" информацию, возможно, неожиданно для себя и, наверное, такую, которой делиться-то и не следовало.

 

Биометрические системы

Более сложные системы идентификации, использующие технические средства, как правило, включают три основных функциональных элемента:

• носители кода или данных;

• считывающие головки или головки записи/считывания, обеспечивающие передачу информации между носителями кода или носителями данных и устройствами управления;

• устройства управления, предварительно обрабатывающие информацию и передающие ее на верхний уровень системы (персональный компьютер или программируемый контроллер).

Новые технологии, которые в будущем смогут полноценно (а то и более надежно) заменить пароли, основываются на биометрик - науке, изучающей возможности использования различных характеристик человеческого тела (например, отпечатки пальцев, свойства человеческого зрачка или голоса) для идентификации каждого конкретного человека. Основываются эти технологии на том, что биометрические параметры каждого человека уникальны.

Биометрические технологии и соответствующее оборудование обеспечивают идентификацию людей по уникальным физическим признакам и в ближайшее время станут частью стандартного набора средств безопасности при осуществлении электронных транзакций. Методы идентификации помимо сканирования отпечатков пальцев уже сейчас включают элементы распознавания лица.

Биометрическая идентификация позволяет эффективно решить целый ряд проблем:

• предотвратить проникновение злоумышленников на охраняемые территории и в помещения за счет подделки, кражи документов, карт, паролей;

• ограничить доступ к информации и обеспечить персональную ответственность за ее сохранность;

• обеспечить допуск к ответственным объектам только сертифицированных специалистов;

• избежать накладных расходов, связанных с эксплуатацией систем контроля доступа (карты, ключи);

• исключить неудобства, связанные с утерей, порчей или элементарным забыванием ключей, карт, паролей.

Биометрический контроль доступа - автоматизированный метод, с помощью которого идентификация личности осуществляется путем проверки уникальных физиологических особенностей или поведенческих характеристик человека. Физиологические особенности, например такие, как папиллярный узор пальца, геометрия ладони или рисунок (модель) радужной оболочки глаза, являются постоянными физическими характеристиками человека. Данный тип измерений (проверки) практически неизменен, как и сами физиологические характеристики. Поведенческие же характеристики, такие, как подпись, голос или клавиатурный почерк, находятся под влиянием как управляемых действий, так и менее управляемых психологических факторов. Поскольку поведенческие характеристики могут изменяться с течением времени, зарегистрированный биометрический образец должен обновляться при каждом его использовании. Хотя биометрия, основанная на поведенческих характеристиках, менее дорога, использование физиологических черт обеспечивает большую точность идентификации личности. В любом случае оба метода представляют собой значительно более высокий уровень идентификации, чем пароли.

В отличие от пароля или персонального идентификационного номера (общеизвестный по мобильным телефонам PIN) биометрическая характеристика не может быть забыта, потеряна или украдена.

Биометрические системы идентификации, доступные или находящиеся в стадии разработки, включают в себя системы доступа по отпечатку пальца, аромату, ДНК, форме уха, геометрии лица, температуре кожи лица, клавиатурному почерку, отпечатку ладони, сетчатке глаза, рисунку радужной оболочки глаза, подписи и голосу.

Биометрические системы, логически объединяющие в своем составе модули регистрации и идентификации, устанавливают аутентичность определенных характеристик пользователя информационной системы на основе распознавания предъявляемого шаблона. Шаблоны пользователей хранятся, как правило, в специализированной базе данных биометрической системы, которая может быть централизованной или распределенной. На этапе идентификации биометрический датчик регистрирует характеристику пользователя (например, отпечаток пальца), переводит информацию в цифровой формат и сравнивает с хранимым шаблоном.