Освіта та самоосвіта

Реферати, дослідження, наукові статті онлайн

Розробка політики інформаційної безпеки

Вступ

Актуальність теми. Інформація, процеси, що її підтримують, інформаційні системи та сітьова інфраструктура, які є істотними активами сучасних фірм, підприємств та організацій, все частіше зштовхуються із різними загрозами безпеки, такими як комп’ютерне шахрайство, шпіонаж, шкідництво, вандалізм. Тому актуальною є задача інформаційного захисту підприємств. Наявність політики інформаційної безпеки свідчить про зрілість та компетентність підприємства у питаннях забезпечення інформаційної безпеки.

В роботі розглядається вирішення задачі розробки політики інформаційної безпеки фірми, яка б регламентувала та регулювала процеси доступу, зберігання та обробки інформації на підприємстві.

Політика інформаційної безпеки виступає як документ або багаторівнева система документів, які визначають вимоги безпеки, систему заходів або порядок дій, відповідальність співробітників та механізми контролю задля забезпечення інформаційної безпеки підприємства. У документ політики безпеки рекомендовано вносити наступні розділи:

Вступний розділ, що підтверджує стурбованість керівництва проблемами інформаційної безпеки.

Організаційний розділ, що описує підрозділи, комісії, групи осіб, відповідальні за роботи в області інформаційної безпеки.

Класифікаційний розділ, що описує матеріальні та інформаційні ресурси підприємства та необхідний рівень їх захисту.

Штатний розділ, що характеризує заходи безпеки щодо персоналу.

Розділ, що висвітлює питання фізичного захисту інформації.

Розділ управління, що описує підхід до управління комп’ютерами та комп’ютерними мережами пересилання даних.

Розділ, що зазначає правила розмежування доступу до інформації.

Розділ, що описує заходи, спрямовані на забезпечення безперервної роботи підприємства (доступності інформації).

В даний час для захисту інформації потрібна не просто розробка приватних механізмів захисту, а реалізація системного підходу, що включає комплекс взаємопов’язаних заходів (використання спеціальних технічних і програмних засобів, організаційних заходів, нормативно-правових актів і т.д. ). Головною метою будь-якої системи забезпечення інформаційної безпеки є створення умов функціонування підприємства, запобігання загроз його безпеки, захист законних інтересів підприємства від протиправних посягань, недопущення розкрадання фінансових засобів, розголошення, втрати, витоку, спотворення і знищення службової інформації, забезпечення в рамках виробничої діяльності всіх підрозділів підприємства.

Ефективна політика інформаційної безпеки визначає необхідний та достатній набір вимог безпеки. Вона мінімально впливає на продуктивність праці, враховує особливості бізнес-процесів підприємства, підтримується керівництвом, позитивно сприймається й виконується співробітниками підприємства.

Тому мета нашої роботи – дослідити основні складові при розробці політики інформаційної безпеки.

Об’єктом дослідження при цьому виступають суспільні відносини, що виникають з приводу формування та функціонування системи інформаційної безпеки на сучасному етапі розвитку української державності, в умовах прояву світових інформатизаційних та глобалізаційних тенденцій.

Предметом дослідження є розробка політики інформаційної безпеки як системне поняття, що включає інституціональні форми, організаційні методи, правові норми та принципи регулювання правовідносин щодо захисту інформаційної безпеки держави, суспільства, людини.

Розділ 1. Політика інформаційної безпеки (організаційно-технічні і режимні заходи)

1.1. Визначення політики інформаційної безпеки

При прийнятті рішень адміністратори ІС зіштовхуються з проблемою вибору варіантів рішень по організації ЗИ на основі обліку принципів діяльності організації, співвідношення важливості цілей і наявності ресурсів. Ці рішення включають визначення того, як будуть захищатися технічні й інформаційні ресурси, а також як повинні поводитися службовці в тих чи інших ситуаціях.

Політика інформаційної безпеки — набір законів, правил і практичних рекомендацій і практичного досвіду, що визначають управлінські і проектні рішення в області З. На основі ПІБ будується керування, захист і розподіл критичної інформації в системі. Вона повинна охоплювати всі особливості процесу обробки інформації, визначаючи поводження ІС у різних ситуаціях.

Відповідно до запропонованого в книзі підходом політика (заходи) інформаційної безпеки реалізується відповідною структурою органів (002) на основі нормативно-методичної бази з використанням програмно-технічних методів і засобів (004), що визначають архітектуру системи захисту.

Для конкретної ІС політика безпеки повинна бути індивідуальної. Вона залежить від технології обробки інформації, використовуваних програмних і технічних засобів, структури організації т.д.

Для того щоб описати ПІБ для конкретної ІС, адміністратори спочатку повинні визначити саму область обмежень і умов у зрозумілих усьому термінах. Корисно вказати чи мета причини розробки ПІБ – це допоможе домогтися дотримання політики.

Інформація, що циркулює в рамках ІС, є критично важливої. ІС дозволяє користувачам розділяти програми і дані, що збільшує ризик. Отже, кожний з комп’ютерів, що входять у мережу, має потребу в більш сильному захисті.

ПІБ переслідує двох головні цілі — продемонструвати співробітникам важливість захисту мережного середовища, описати їхня роль у забезпеченні безпеки, а також розподілити конкретні обов’язки по захисту інформації, що циркулює в мережі, так само як і самої мережі.

У відношенні політики безпеки в Internet організації може знадобитися уточнення, чи охоплює ця політика всі з’єднання, через які ведеться робота з Internet( чи прямо опосредованно) чи власне з’єднання Internet. Ця політика також може визначати, чи враховуються інші аспекти роботи в Internet, що не мають відносини до безпеки, такі як персональне використання з’єднань з Internet [5].

1.2. Принципи політики безпеки

Політика безпеки визначається як сукупність документованих управлінських рішень, спрямованих на захист інформації й асоційованих з нею ресурсів.

При розробці і проведенні її в життя доцільно керуватися наступними засадами:

  • неможливість минати захисні засоби;
  • посилення самої слабкої ланки;
  • неприпустимість переходу у відкритий стан;
  • мінімізація привілеїв;
  • поділ обов’язків;
  • багаторівневий захист;
  • розмаїтість захисних засобів;
  • простота і керованість інформаційної системи;
  • забезпечення загальної підтримки заходів безпеки.

Пояснимо зміст перерахованих принципів.

Стосовно до межмережевих екранів принцип неможливості минати захисні засоби означає, що всі інформаційні потоки в мережу, що захищається, і з її повинні проходити через екран. Не повинно бути «таємних» модемних чи входів тестових ліній, що йдуть в обхід екрана.

Надійність будь-якої оборони визначається самою слабкою ланкою. Часто самою слабкою ланкою виявляється не чи комп’ютер програма, а людина, і тоді проблема забезпечення інформаційної безпеки здобуває нетехнічний характер.

Принцип неприпустимості переходу у відкритий стан означає, що при будь-яких обставинах (у тому числі позаштатних), СЗІ або цілком виконує свої функції, або повинна цілком блокувати доступ.

Принцип мінімізації привілеїв наказує виділяти користувачам і адміністраторам тільки ті права доступу, що необхідні їм для виконання службових обов’язків.

Принцип поділу обов’язків припускає такий розподіл ролей і відповідальності, при якому одна людина не може порушити критично важливий для організації процес. Це особливо важливо, щоб запобігти зловмисні чи некваліфіковані дії системного адміністратора.

Принцип багаторівневого захисту наказує не покладатися на один захисний рубіж, яким би надійним він ні здавався. За засобами фізичного захисту повинні випливати програмно-технічні засоби, за ідентифікацією й аутентификацией — керування доступом і, як останній рубіж, — протоколювання й аудит. Ешелонована оборона здатна принаймні затримати зловмисника, а наявність такого рубежу, як протоколювання й аудит, істотно утрудняє непомітне виконання злочинних дій.

Принцип розмаїтості захисних засобів рекомендує організовувати різні за своїм характером оборонні рубежі, щоб від потенційного зловмисника було потрібно оволодіння різноманітними і, по можливості, несумісними між собою навичками подолання СЗІ.

Принцип простоти і керованості інформаційної системи в цілому і СЗІ особливо визначає можливість формального чи неформально доказу коректності реалізації механізмів захисту. Тільки в простій і керованій системі можна перевірити погодженість конфігурації різних компонентів і здійснити централізоване адміністрування.

Принцип загальної підтримки заходів безпеки — носить нетехнічний характер. Рекомендується із самого початку передбачити комплекс заходів, спрямований на забезпечення лояльності персоналу, на постійне навчання, теоретичне і, головне, практичне [8].

1.3. Види політики безпеки

Основу політики безпеки складає спосіб керування доступом, що визначає порядок доступу суб’єктів системи до об’єктів системи. Назва цього способу, як правило, визначає назва політики безпеки.

Для вивчення властивостей способу керування доступом створюється його формальний опис — математична модель. При цьому модель повинна відбивати стану всієї системи, її переходи з одного стану в інше, а також враховувати, які стани і переходи можна вважати безпечними в змісті даного керування. Без цього говорити про яких-небудь властивості системи, і тим більше гарантувати їх, щонайменше некоректно.

В даний час найкраще вивчені два види політики безпеки: виборча і повноважна, засновані, відповідно на виборчому і повноважному способах керування доступом.  Крім того, існує набір вимог, що підсилює дію цих політик і призначений для керування інформаційними потоками в системі.

Слід зазначити, що засобу захисту, призначені для реалізації якого-небудь з названих способу керування доступом, тільки надають можливості надійного керування чи доступом інформаційними потоками. Визначення прав доступу суб’єктів до об’єктів і/чи інформаційним потокам (повноважень суб’єктів і атрибутів об’єктів, присвоєння міток критичності і т.д.) входить у компетенцію адміністрації системи.

Основою виборчої політики безпеки є виборче керування доступом, що має на увазі, що:

— усі суб’єкти й об’єкти системи повинні бути ідентифіковані;

— права доступу суб’єкта до об’єкта системи визначаються на підставі деякого правила (властивість вибірковості) [9].

Для опису властивостей виборчого керування доступом застосовується модель системи на основі матриці доступу (МД), іноді неї називають матрицею контролю доступу. Така модель одержала назву матричної.

Матриця доступу являє собою прямокутну матрицю, у якій об’єкту системи відповідає рядок, а суб’єкту стовпець. На перетинанні стовпця і рядка матриці вказується тип дозволеного доступу суб’єкта до об’єкта. Звичайно виділяють такі типи доступу суб’єкта до об’єкта, як “доступ на читання”, “доступ на запис”, “доступ на виконання” і ін.

Безліч об’єктів і типів доступу до них суб’єкта може змінюватися відповідно до деяких правил, що існують у даній системі. Визначення і зміна цих правил також є задачею МД.

Рішення на доступ суб’єкта до об’єкта приймається відповідно до типу доступу, зазначеним у відповідній осередку матриці доступу. Звичайно виборче керування доступом реалізує принцип “що не дозволено, те заборонено”, що припускає явний дозвіл доступу суб’єкта до об’єкта. Матриця доступу — найбільш простий підхід до моделювання систем доступу.

Виборча політика безпеки найбільше широко застосовується в комерційному секторі, тому що її реалізація на практиці відповідає вимогам комерційних організацій по розмежуванню доступу і підзвітності, а також має прийнятну вартість і невеликі накладні витрати.

Основу повноважної політики безпеки складає повноважне керування доступом, що має на увазі, що:

— усі суб’єкти й об’єкти системи повинні бути однозначно ідентифіковані;

— кожному об’єкту системи привласнена влучна критичності, що визначає цінність інформації, що міститься в ньому;

— кожному суб’єкту системи привласнений рівень прозорості, що визначає максимальне значення мітки критичності об’єктів, до яких суб’єкт має доступ.

У тому випадку, коли сукупність міток має однакові значення, говорять, що вони належать до одного рівня безпеки. Організація міток має ієрархічну структуру і, таким чином, у системі можна реалізувати ієрархічно спадний потік інформації (наприклад, від рядових виконавців до керівництва). Ніж важливіше чи об’єкт суб’єкт, тим вище його мітка критичності. Тому найбільш захищеними виявляються об’єкти з найбільш високими значеннями мітки критичності.

Кожен суб’єкт, крім рівня прозорості, має поточне значення рівня безпеки, що може змінюватися від деякого мінімального значення до значення його рівня прозорості.

Основне призначення повноважної політики безпеки — регулювання доступу суб’єктів системи до об’єктів з різним рівнем критичності і запобігання витоку інформації з верхніх рівнів посадової ієрархії на нижні, а також блокування можливого проникнення з нижніх рівнів на верхні. При цьому вона функціонує на тлі виборчої політики, додаючи її вимогам ієрархічно упорядкований характер (відповідно до рівнів безпеки) [14].

Розділ 2. Склад та зміст основних заходів щодо розробки політики інформаційної безпеки

2.1. Організація заходів щодо захисту інформації

Не можна приступати до впровадження захисту інформації, поки користувачі не придбають навичок, необхідних для їхнього дотримання. Безпека вимагає не тільки знань, але і дій. Усі користувачі повинні знати, що потрібно почати і чого робити не коштує, коли вони зіштовхуються з чи порушенням можливістю його виникнення; до кого потрібно звертатися при виникненні підозр. Користувачі повинні бути упевнені в тім, що заходу для забезпечення безпеки приймаються в їхніх же інтересах, а не по інших розуміннях.

Подумайте про запрошення кваліфікованого консультанта по безпеці, що міг би дати вашим користувачам знання по інформаційній безпеці. Якщо консультант досить кваліфікований і ваша організація може собі це дозволити, запросите його на наступні збори групи як наставника при розробці правил. Незважаючи на те, що залучення консультанта для самостійної розробки правил може знизити витрати, ви втратите інтерес і увагу рядового користувача.

Працюючи таким способом, ви створите правила безпеки, до яких буде мати відношення кожен співробітник. Незважаючи на те, що в результаті може з’явитися і не самий зроблений документ, ефективність правил підвищиться відчутно.

Забезпечте користувачів керівництвом, у якому викладений матеріал прийнятного обсягу. Навіть якщо користувачі засвоїли правила, то в них може виникнути питання, як ці правила впровадити. Надавайте разом із усіма правилами модельні процедури впровадження і приклади. Записуйте питання співробітників (разом з вашими відповідями і поясненнями) у супровідній документації до правил. Повідомляйте користувачам про ці доповнення.

Доповнюйте правила модельними процедурами і прикладами реалізації. Переконаєтеся, що ваші правила присвячені захисту від щирих небезпек — від тих, імовірність виникнення яких досить реальна і дійсно представляють для вас погрозу.

У загальному виді сукупність заходів, спрямованих на запобігання погроз, визначається в такий спосіб:

— уведення надзаходівності технічних засобів, ПО і масивів даних;

— резервування технічних засобів;

— регулювання доступу до технічних засобів, ПО, масивам інформації;

— регулювання використання програмно-апаратних засобів і масивів інформації;

— криптографічний захист інформації;

— контроль елементів ІС;

— реєстрація зведень;

— своєчасне знищення непотрібної інформації;

— сигналізація;

— своєчасне реагування [4].

У системному плані безліч і розмаїтість можливих видів захисту інформації визначається способами впливу на дестабілізуючі чи фактори їхні причини, що породжують, на елементи ІС, що захищається інформацію і навколишнє середовище, причому в напрямку, що сприяє підвищенню значень показників захищеності інформації. Ці способи можуть бути класифіковані в такий спосіб:

Фізичні засоби — механічні, електричні, електромеханічні, електронні, електронно-механічні й інші пристрої і системи, що функціонують автономно, створюючи різного роду перешкоди дестабілізуючим факторам.

Апаратні засоби — різні електронні, електронно-механічні і подібні пристрої, що вбудовуються в апаратуру ІС чи, що сполучаються з нею спеціально для рішення задач захисту інформації.

Програмні засоби — спеціальні пакети чи програм окремі програми, використовувані для рішення задач захисту.

Організаційні заходи — організаційно-технічні заходи, передбачаються спеціально в ІС з метою рішення задач захисту.

Правові заходи — законодавчо-правові акти, що існують у державі, спеціально видавані закони, зв’язані з забезпеченням захисту інформації. Вони регламентують права й обов’язки всіх облич і підрозділів, що мають відношення до функціонування ІС, і установлюють відповідальність за дії, наслідком яких може бути порушення захищеності інформації.

Морально-етичні норми — це сформовані в чи суспільстві колективі моральні норми й етичні правила, дотримання яких сприяє захисту інформації, а порушення їх прирівнюється до недотримання правил поводження в суспільстві [2].

Для забезпечення ефективності захисту інформації усі використовувані засоби і заходи доцільно об’єднати в систему захисту інформації, що повинна бути функціонально самостійною підсистемою ІС. Головною властивістю побудови системи захисту повинна бути здатність до її пристосування при зміні структури технологічних чи схем умов функціонування ІС.

Іншими принципами можуть бути:

— мінімізація витрат, максимальне використання серійних засобів;

— забезпечення рішення необхідної сукупності задач захисту;

— комплексне використання засобів захисту, оптимізація архітектури;

— зручність для персоналу;

— простота експлуатації.

СЗІ доцільно будувати у виді взаємозалежних підсистем, а саме:

— підсистема криптографічного захисту;

— підсистема забезпечення юридичної значимості електронних документів;

— підсистема захисту від НСД;

— підсистема організаційно-правового захисту;

— підсистема керування СЗІ.

Побудова системи захисту інформації в такому виді дозволить забезпечити комплексність процесу захисту інформації в ІС, керованість процесу і можливість адаптації при зміні умов функціонування ІС.

Підсистема криптографічного захисту поєднує засобу такого захисту інформації і по ряду функцій кооперується з підсистемою захисту від НСД.

Підсистема забезпечення юридичної значимості електронних документів служить для додання юридичного статусу документам в електронному представленні і є визначальним моментом при переході до без паперової технології документообігу. Дану підсистему зручно і доцільно розглядати як частина підсистеми криптографічного захисту.

Підсистема захисту від НСД запобігає доступу несанкціонованих користувачів до ресурсів ІС.

Підсистема керування СЗІ призначена для керування ключовими структурами підсистеми криптографічного захисту, а також контролю і діагностування програмно-апаратних засобів і забезпечення взаємодії всіх підсистем СЗІ.

Підсистема організаційно-правового захисту призначена для регламентації діяльності користувачів ІС і являє собою упорядковану сукупність організаційних рішень, нормативів, законів і правил, що визначають загальну організацію робіт із захисту інформації в ІС.

Система захисту інформації являє собою сукупність автоматизованих робочих місць (АРМ), що входять до складу ІС, і програмно-апаратних засобів, інтегрованих в АРМ користувачів ІС [13].

2.2. Політики безпеки для Internet

Організації повинні відповісти на наступні питання, щоб правильно врахувати можливі наслідки підключення до Іntеrnеtу в області безпеки:

Чи можуть хакери зруйнувати внутрішні системи?

Чи може бути скомпрометована( змінена чи прочитана) важлива інформація організації при її передачі по Internet?

Чи можна перешкодити роботі організації?

Ціль політики безпеки для Internet – прийняти рішення про те, як організація збирається захищатися. ПІБ звичайно складається з двох частин – загальних принципів і конкретних правил роботи( які еквівалентні специфічній політиці, описаної нижче). Загальні принципи визначають підхід до безпеки в Internet. Правила ж визначають що дозволено, а що – заборонено. Правила можуть доповнюватися конкретними процедурами і різними посібниками.

Internet при проектуванні і не задумувалася як захищена мережа, тому його проблемами в поточній версії TCP/IP є:

Легкість перехоплення даних і фальсифікації адрес машин у мережі – основна частина трафіка Internet – це нешифровані дані. E-mail, паролі і файли можуть бути перехоплені, використовуючи легко доступні програми.

Уразливість засобів TCP/IP – ряд засобів TCP/IP не був спроектований бути захищеними і може бути скомпрометований кваліфікованими зловмисниками; засобу, використовувані для тестування особливо уразливі.

Відсутність політики – багато хто сайти через незнання сконфигуровані таким чином, що надають широкий доступ до себе з боку Internet, не з огляду на можливість зловживання цим доступом; багато хто сайти дозволяють роботу більшого числа сервісів TCP/IP, чим їм потрібно для роботи і не намагаються обмежити доступ до інформації про свої комп’ютери, що може допомогти зловмисникам.

Складність конфігуровання – засобу керування доступом хоста складні; найчастіше складно правильно зконфігурувати і перевірити ефективність установок. Засоби, що помилково неправильно сконфигуровані, можуть привести до неавторизованого доступу [11].

2.3. Рівні політики безпеки

З практичної точки зору політику безпеки можна умовно розділити на три рівні: верхній, середній і нижній.

До верхнього рівня відносяться рішення, що торкаються організацію в цілому. Вони носять дуже загальний характер і, як правило, виходять від керівництва організації.

Зразковий список подібних рішень може містити в собі наступні елементи:

  • чи формування перегляд комплексної програми забезпечення інформаційної безпеки, визначення відповідальних за просування програми;
  • формулювання цілей, що переслідує організація в області інформаційної безпеки, визначення загальних напрямків у досягненні цих цілей;
  • забезпечення бази для дотримання законів і правил;
  • формулювання управлінських рішень по тим питанням реалізації програми безпеки, що повинні розглядатися на рівні організації в цілому.

Мети політики верхнього рівня організації в області інформаційної безпеки формулюються в термінах цілісності, приступності і конфіденційності.

Якщо організація відповідає за підтримку критично важливих баз даних, на першому плані може стояти зменшення випадків утрат, чи ушкоджень перекручувань даних. Для організації, що займається продажами, імовірно, важлива актуальність інформації про надані послуги і ціни, а також її приступність максимальному числу потенційних покупців.

Режимна організація в першу чергу піклується про захист від несанкціонованого доступу — конфіденційності.

На верхній рівень виноситься керування захисними ресурсами і координація використання цих ресурсів, виділення спеціального персоналу для захисту критично важливих систем, підтримка контактів з іншими організаціями, що забезпечують чи контролюють режим безпеки.

ПІБ верхнього рівня повинна чітко окреслювати сферу свого впливу. Можливо, це будуть усі комп’ютерні системи чи організації навіть більше, якщо ПІБ регламентує деякі аспекти використання співробітниками своїх домашніх комп’ютерів. Можлива, однак, і така ситуація, коли в сферу впливу включаються лише найбільш важливі системи.

У політику повинні бути визначені обов’язки посадових осіб по виробленню програми безпеки і по проведенню її в життя. У цьому змісті ПІБ є основою підзвітності персоналу.

На верхній рівень варто виносити мінімум питань, що визначають значну економію чи засобів коли інакше надійти просто неможливо.

До середнього рівня варто віднести питання, що стосуються окремих аспектів інформаційної безпеки, але важливі для різних систем, експлуатованих організацією. Приклади таких питань — відношення до передового, але ще недостатньо перевіреним технологіям: доступ до Internet (як сполучити волю одержання інформації з захистом від зовнішніх погроз?), використання домашніх комп’ютерів, застосування користувачами неофіційного програмного забезпечення і т.д. [8]

Політика безпеки нижнього рівня відноситься до конкретних сервісам. Вона містить у собі два аспекти — мети і правила їхнього досягнення, тому її часом важко відокремити від питань реалізації. На відміну від двох верхніх рівнів, розглянута ПІБ повинна бути набагато детальніше.

Є багато речей, специфічних для окремих сервісів, які не можна єдиним образом регламентувати в рамках всієї організації. У той же час ці речі настільки важливі для забезпечення режиму безпеки, що рішення, що відносяться до них, повинні прийматися на управлінському, а не технічному рівні.

Приведемо кілька прикладів питань, на які варто дати відповідь при проходженні політиці безпеки нижнього рівня:

  • хто має право доступу до об’єктів, підтримуваним сервісом?
  • при яких умовах можна читати і модифікувати дані?
  • як організований вилучений доступ до сервісу?

При формулюванні цілей ПІБ нижнього рівня може виходити з заходів цілісності, приступності і конфіденційності, але вона не повинна на них зупинятися. Її мети повинні бути конкретніше

З цілей виводяться правила безпеки, що описують, хто, що і при яких умовах може робити. Ніж детальніше правила, чим більш формально вони викладені, тим простіше підтримати їхнє виконання програмно-технічними заходами. З іншого боку, занадто тверді правила можуть заважати роботі користувачів, імовірно, їх прийдеться часто переглядати.

Керівництву треба знайти розумний компроміс, коли за прийнятну ціну буде забезпечений прийнятний рівень безпеки, а працівники не виявляться занадто сковані [10].

2.4. Основні принципи політики забезпечення інформаційної безпеки підприємства

Основними принципами інформаційної безпеки є:

─ забезпечення цілісності і збереження даних, тобто надійне їх зберігання в неспотвореному вигляді;

─ дотримання конфіденційності інформації (її недоступність для тих користувачів, які не мають відповідних прав);

─ доступність інформації для всіх авторизованих користувачів за умови контролю за всіма процесами використання ними отриманої інформації;

─ безперешкодний доступ до інформації в будь-який момент, коли вона може знадобитися підприємству.

Ці принципи неможливо реалізувати без особливої інтегрованої системи інформаційної безпеки, що виконує наступні функції:

─ вироблення політики інформаційної безпеки;

─ аналіз ризиків (тобто ситуацій, в яких може бути порушена нормальна робота інформаційної системи, а також втрачені або розсекречені дані);

─ планування заходів щодо забезпечення інформаційної безпеки;

─ планування дій в надзвичайних ситуаціях;

─ вибір технічних засобів забезпечення інформаційної безпеки.

Отже, етапи проведення робіт із забезпечення інформаційної безпеки підприємства виглядають таким чином:

  1. Проведення обстеження підприємства на предмет виявлення реальних загроз несанкціонованого доступу до конфіденційної інформації;
  2. Розробка політики безпеки, організаційно-розпорядчих документів і заходів щодо забезпечення інформаційної безпеки системи відповідно до вимог по захищеності технічних і програмних засобів від витоку конфіденційної інформації;
  3. Проектування системи інформаційної безпеки;
  4. Створення прототипу системи інформаційної безпеки;
  5. Розробка зразка системи інформаційної безпеки;
  6. Впровадження системи інформаційної безпеки в діючу структуру підприємства;
  7. Навчання персоналу;
  8. Атестація системи інформаційної безпеки підприємства.

Метою комплексної інформаційної безпеки є збереження інформаційної системи підприємства, захист і гарантування повноти і точності виданої нею інформації, мінімізація руйнувань і модифікація інформації, якщо такі трапляються [1].

Розділ 3. Види моделей розробки політики інформаційної безпеки

Серед моделей ПБ найвідомішими є дискреційна,  мандатна та рольова. Перші дві досить давно відомі й детально досліджені, а рольова політика є недавнім досягненням теорії та практики захисту інформації.

3.1  Дискреційна політика безпеки

Основою дискреційної політики безпеки (ДПБ) є дискреційне управління  доступом (Discretionary Access Control — DAC), яке визначається двома властивостями:

─ усі суб’єкти й об’єкти мають бути однозначно ідентифіковані;

─ права доступу суб’єкта до об’єкта системи визначаються на основі певних зовнішніх відносно системи правил.

Назва пункту є дослівним перекладом з англійської терміна Discretionary policy, ще один варіант перекладу — розмежувальна політика. Ця політика одна з найпоширеніших в світі, в системах по замовчуванню мається на увазі саме

ця політика. ДПБ реалізується за допомогою матриці доступу, яка фіксує множину об’єктів та суб’єктів, доступних кожному суб’єкту.

Наведемо приклади варіантів задания матриці доступу:

  1. Листи можливостей: для кожного суб’єкта створюється лист (файл) усіх об’єктів, до яких має доступ даний суб’єкт;
  2. Листи контролю доступу: для кожного об’єкта створюється список усіх суб’єктів, що мають доступи до цього об’єкта;

До переваг ДПБ можна віднести відносно просту реалізацію відповідних механізмів захисту. Саме цим зумовлено той факт, що більшість поширених нині захищених автоматизованих систем забезпечують виконання положень саме ДПБ. Однак багатьох проблем захисту ця політика розв’язати не може.

Наведемо найбільш суттєві вади ДПБ:

  1. Один з найбільших недоліків цього классу політик ─ вони не витримують атак за допомогою «Троянського коня». Це, зокрема, означає, що система захисту, яка реалізує ДПБ, погано захищає від проникнення вірусів у систему та інших способів прихованої руйнівної дії.
  2. Автоматичне визначення прав. Оскільки об’єктів багато і їх кількість безперервно змінюється, то задати заздалегідь вручну перелік прав кожного суб’єкта на доступ до об’єктів неможливо. Тому матриця доступу різними способами агрегується, наприклад, суб’єктами залишаються тільки користувачі, а у відповідну клітину матриці вставляються формули функцій, обчислення яких визначає права доступу суб’єкта, породженого користувачем, до об’єкта.

Звичайно, ці функції можуть змінюватися з часом. Зокрема, можливе вилучення прав після виконання певної події, також можливі модифікації, що залежать від інших параметрів.

  1. Контроль поширення прав доступу. Найчастіше буває так, що власник файла передає вміст файла іншому користувачеві і той відповідно набуває права власника на цю інформацію. Отже, права можуть поширюватись, і навіть якщо перший власник не хотів передати доступ іншому суб’єкту до своєї інформації, то після кількох кроків передача прав може відбутися незалежно від його волі. Виникає задача про умови, за якими в такій системі певний суб’єкт рано чи пізно отримає необхідний йому доступ.
  2. При використанні ДПБ виникає питання визначення правил поширення прав доступу й аналізу їх впливу на безпеку АС. У загальному випадку при використанні ДПБ органом, який її реалізує і який при санкціонуванні доступу

суб’єкта до об’єкта керується певним набором правил, стоїть задача, яку алгоритмічно неможливо розв’язати: перевірити, призведуть його дії до порушень безпеки чи ні. Отже, матриця доступів не є тим механізмом, який дозволив би реалізувати ясну і чітку СЗІ в АС. Більш досконалою ПБ виявилася мандатна ПБ.

3.2 Мандатна політика

Основу мандатної (повноважної) політики безпеки (МПБ) становить мандатне управління доступом (Mandatory Access Control — МАС), яке передбачає, що:

─  всі суб’єкти й об’єкти повинні бути однозначно ідентифіковані;

─ у системі визначено лінійно упорядкований набір міток секретності;

─ кожному об’єкту системи надано мітку секретності, яка визначає цінність інформації, що міститься в ньому, ─ його рівень секретності в АС;

─ кожному суб’єкту системи надано мітку секретності, яка визначає рівень довіри до нього в АС,- максимальне значення мітки секретності об’єктів, до яких суб’єкт має доступ; мітка секретності суб’єкта називається його рівнем доступу.

Основна мета МПБ ─ запобігання витоку інформації від об’єктів з високим рівнем доступу до об’єктів з низьким рівнем доступу, тобто протидія виникненню в КС інформаційних каналів згори вниз. Вона оперує, таким чином, поняттями інформаційного потоку і цінності інформаційних об’єктів.  Цінність інформаційних об’єктів (або їх мітки рівня секретності) часто дуже важко визначити. Однак досвід показує, що в будь-якій КС майже завжди для будь-якої пари об’єктів Х та Υ можна сказати, який з них більш цінний.

Тобто, можна вважати, що таким чином фактично визначається деяка однозначна функція с(Х), яка дозволяє для будь-яких об’єктів X і Υ сказати, що коли Υ більш цінний об’єкт, ніж X, то c(Y) > с(Х). І навпаки, якщо c(Y) > с(Х), то Υ — більш цінний об’єкт, ніж X. Тоді потік інформації від X до Υ дозволяється, якщо с(Х) < c(Y), і не дозволяється, якщо с(Х) > c(Y).

 Отже, МПБ має справу з множиною інформаційних потоків, яка ділиться на дозволені і недозволені за дуже простою умовою ─ значенням наведеної функції. МПБ у сучасних системах захисту на практиці реалізується мандатним контролем на найнижчому апаратно-програмному рівні, що дає змогу досить ефективно будувати захищене середовище для механізму мандатного контролю.

Пристрій мандатного контролю називають монітором звернень. Мандатний контроль, який ще називають обов’язковим, оскільки його має проходити кожне звернення суб’єкта до об’єкта, організується так: монітор звернень порівнює мітки рівня секретності кожного об’єкта з мітками рівня доступу суб’єкта. За результатом порівняння міток приймається рішення про допуск. Найчастіше МПБ описують у термінах, поняттях і визначеннях властивостей моделі Бел- ла-Лападула. У рамках цієї моделі доводиться важливе твердження, яке вказує на принципову відмінність систем, що реалізують мандатний захист, від систем з дискреційним захистом: «якщо початковий стан системи безпечний і всі переходи системи зі стану до стану не порушують обмежень, сформульованих ПБ, то будь-який стан системи безпечний».

Наведемо ряд переваг МПБ порівняно з ДПБ:

  1. Для систем, де реалізовано МПБ, є характерним вищий ступінь надійності. Це пов’язано з тим, що за правилами МПБ відстежуються не тільки правила доступу суб’єктів системи до об’єктів, а й стан самої КС. Таким чином, канали витоку в системах такого типу не закладені первісно (що є в положеннях ДПБ), а можуть виникнути тільки при практичній реалізації систем внаслідок помилок розробника;
  2. Правила МПБ ясніші і простіші для розуміння розробниками і користувачами АС, що також є фактором, який позитивно впливає на рівень безпеки системи;
  3. МПБ стійка до атак типу «Троянський кінь»;
  4. МПБ допускає можливість точного математичного доведення, що система в заданих умовах підтримує ПБ.

Однак МПБ має дуже серйозні вади – вона дуже складна для практичної  реалізації і вимагає значних ресурсів КС. Це пов’язано з тим, що інформаційних потоків у системі величезна кількість і їх не завжди можна ідентифікувати. Сааме ці вади часто заважають її практичному використанню.

МПБ прийнята всіма розвинутими державами світу. Вона розроблялася, головним чином, для збереження секретності (тобто конфіденційності) інформації у військових організаціях. Питання ж цілісності за її допомогою не розв’язуються або розв’язуються частково, як побічний результат захисту секретності.

3.3 Рольова політика безпеки

Рольову політику безпеки (РПБ) (Role Base Access Control — RBAC) не можна віднести ані до дискреційної, ані до мандатної, тому що керування доступом у ній здійснюється як на основі  матриці прав доступу для ролей, так і за допомогою правил, які регламентують призначення ролей користувачам та їх активацію під час сеансів. Отже, рольова модель є цілком новим типом політики, яка базується на компромісі між гнучкістю керування доступом, характерною для ДПБ, і жорсткістю правил контролю доступу, що притаманна МПБ.

У РПБ класичне поняття «суб’єкт» заміщується поняттями «користувач» і «роль».

Користувач ─ це людина, яка працює з системою і виконує певні службові обов’язки.

Роль ─ це активно діюча в системі абстрактна сутність, з якою пов’язаний обмежений, логічно зв’язаний набір повноважень, необхідних для здійснення певної діяльності.

РПБ застосовується досить широко, тому що вона, на відміну від інших більш строгих і формальних політик, є дуже близькою до реального життя.

Справді, по суті, користувачі, що працюють у системі, діють не від свого власного імені ─ вони завжди виконують певні службові обов’язки, тобто виконують деякі ролі, які аж ніяк не пов’язані з їх особистістю. Тому цілком логічно здійснювати керування доступом і призначати повноваження не реальним користувачам, а абстрактним (не персоніфікованим) ролям, які представляють учасників певного процесу обробки інформації. Такий підхід до ПБ дозволяє врахувати розподіл обов’ язків і повноважень між учасниками прикладного  інформаційного процесу, оскільки з точки зору РПБ має значення не особистість користувача, користувача, що здійснює доступ до інформації, а те, які повноваження йому необхідні для виконання його службових обов’язків.

Наприклад, у реальній системі обробки інформації  можуть працювати системний адміністратор, менеджер баз даних і прості користувачі. У такій ситуації РПБ дає змогу розподілити повноваження між цими ролями відповідно до їх службових обов’язків: ролі адміністратора призначаються спеціальні повноваження, які дозволять йому контролювати роботу системи і керувати її конфігурацією, роль менеджера баз даних дозволяє здійснювати керування сервером БД, а права простих користувачів  обмежуються мінімумом, необхідним для запуску прикладних програм. Крім того, кількість ролей у системі може не відповідати кількості реальних користувачів ─ один користувач, якщо він має різні повноваження, може виконувати (водночас або послідовно) кілька ролей, а кілька користувачів можуть користуватися однією й тією ж роллю, якщо вони виконують однакову роботу. При використанні РПБ керування доступом здійснюється в дві стадії: по-перше, для кожної ролі вказується набір повноважень, що представляють набір прав доступу до об’єктів, і, по-друге, кожному користувачеві  призначається список доступних йому ролей. Повноваження призначаються ролям відповідно до принципу найменших привілеїв, з якого випливає, що кожний користувач повинен мати тільки мінімально необхідні для виконання своєї роботи повноваження. У моделі РПБ визначаються множини: множина користувачів, множина ролей, множина повноважень на доступ до об’єктів, наприклад, у вигляді матриці прав доступу, множина сеансів роботи користувачів з системою. Для перелічених множин визначаються відношення, які встановлюють для кожної ролі набір наданих їй повноважень, а також для кожного користувача- набір доступних йому ролей.

Правила керування доступом РПБ визначаються певними функціями, які для кожного сеансу визначають користувачів, набір ролей, що можуть бути одночасно доступні користувачеві в цьому сеансі, а також набір доступних у ньому повноважень, що визначається як сукупність повноважень усіх ролей, що беруть участь у цьому сеансі. Як критерій безпеки рольової моделі  використовується правило: «система вважається безпечною, якщо будь-який користувач системи, що працює в певному сеансі, може здійснити дії, які вимагають певних повноважень тільки в тому випадку, коли ці повноваження належать сукупності повноважень усіх ролей, що беруть участь у цьому сеансі».

З формулювання критерію безпеки рольової моделі випливає, що управління доступом здійснюється, головним чином, не за допомогою призначення повноважень ролям, а шляхом встановлення відношення, яке призначає ролі користувачам, і функції, що визначає доступний у сеансі набір ролей. Тому численні інтерпретації рольової моделі відрізняються видом функцій, що визначають правила керування доступом, а також обмеженнями, що накладаються на відношення між множинами. Завдяки гнучкості та широким можливостям РПБ суттєво перевершує інші політики, хоча іноді її певні властивості можуть виявитися негативними. Так, вона практично не гарантує безпеку за допомогою формального доведення, а тільки визначає характер обмежень, виконання яких і є критерієм безпеки системи. Хоча такий підхід дозволяє отримати прості й зрозумілі правила контролю доступу (перевага), які легко застосовувати на практиці, проте позбавляє систему теоретичної доказової бази (вада). У деяких ситуаціях ця обставина утруднює використання РПБ, однак у кожному разі оперувати ролями набагато зручніше, ніж суб’єктами (знову перевага), оскільки це більше відповідає поширеним технологіям обробки інформації, які передбачають розподіл обов’язків і сфер відповідальності між користувачами. Крім того, РПБ може використовуватися одночасно з іншими ПБ, коли повноваження ролей, що призначаються користувачам, контролюється контролюється ДПБ або МПБ, що дозволяє будувати багаторівневі схеми контролю доступу.

Наведений огляд сучасних ПБ визначає основні принципи їх функціонування, а також підкреслює їх роль і виключну важливість при побудові та експлуатації захищених АС. Додамо, що в багатьох сучасних програмних засобах захисту інформації розглянуті ПБ уже реалізовані. Однак слід зазначити, що це зовсім не означає їх механічного застосування. Зрозуміло, що спочатку в конкретній організації має бути проведений ретельний аналіз процесів обробки інформації, на основі якого потім створюється і застосовується конкретна ПБ. Необхідно також зазначити, що, крім загального опису поняття ПБ, в Українському стандарті з технічного захисту інформації [1, 2] більш конкретних нормативних та методичних матеріалів з розробки ПБ для АС поки що немає. Зауважимо, що, в більшості організацій (як державних, так і недержавних) про поняття ПБ навіть не мають уявлення. Але парадокс якраз полягає в тому, що фактично в будь-якій організації завжди існують конкретні правила, що регламентують процес її функціонування, зокрема і процес захисту інформації, а саме ці правила і є політикою. Отже, фактично в будь-яких АС окремі елементи ПБ завжди наявні.

Висновки

Українська держава включена в процес загальної інформатизації суспільства і формування єдиного світового інформаційного ринку. Значною мірою міжнародно-правове визнання нашої держави стало інформаційним проривом або інформаційною експансією у загальносвітові інформаційні потоки. Бо саме доведення до відома, в першу чергу, державних діячів, а потім і населення інших країн відомостей про існування України; створення певного іміджу нашої держави, з одного боку, та проведення інформаційної політики всередині держави, з іншого, обумовило визнання України як геополітичної реальності і підтримку громадянами ідей незалежності, їх активну участь у створенні державних інститутів.

Тобто, інформаційний фактор виступив як надзвичайно важливий чинник у загальному державотворчому процесі і, передусім, у представленні та відстоюванні інтересів держави.

Інформаційного забезпечення потребують сьогодні всі сфери суспільної діяльності, і при цьому сама інформаційна діяльність потребує чіткої правової регламентації, передусім, з позицій безпеки. Таким чином, широкий спектр проблем організаційно-правового забезпечення функціонування інформаційного поля набуває важливого теоретичного і практичного значення.

Особливе місце займають в цьому спектрі проблеми правового забезпечення інформаційної безпеки. Адже інформація, що відбирається, тиражується, аналізується, перетворюється на знання, формалізується у вигляді нормативно-правових актів і впливає на процес прийняття управлінських рішень. Та й самі управлінські рішення передаються у формі інформації. В такий спосіб інформація конструює реальність, задає змістовні та смислові координати конкретної управлінської діяльності, моделює і прогнозує перспективний розвиток, потребуючи при цьому безпечних умов існування та функціонування.

Таким чином, інформаційна безпека представляє собою стан захищеності встановлених законодавством норм та параметрів інформаційних процесів та відносин, що забезпечує необхідні умови існування держави, людини та суспільства як суб’єктів цих процесів та відносин. Конституція України (ч. 1. ст. 17) надає питанням захисту інформаційної безпеки статусу окремої функції держави, що говорить, насамперед, про офіційне визнання пріоритету цього напрямку державної діяльності на сучасному етапі.

Список використаної літератури

  1. Глушков В. Інформаційна безпека (соціально-правові аспекти) // Право України. — 2010. — № 9.- С.311-313
  2. Громико І. Державна домінантність визначення інформаційної безпеки України в умовах протидії загрозам // Право України. — 2008. — № 8.- С.130-134
  3. Живко М.О. Основні чинники інформаційної безпеки підприємства // Актуальні проблеми економіки. — 2009. — № 8. — С. 67-74
  4. Кормич Б.А. Інформаційна безпека: організаційно-правові основи: навчальний посібник. Рекомендовано МОН України для вищих юридичних навчальних закладів. – К.: Кондор, 2004. – 384 с.
  5. Кормич Б.А. Організаційно-правові засади політики інформаційної безпеки України: Монографія. – Одеса: Юрид. література, 2003. – 472 с.
  6. Лапо А. Гуманітарні та технічні чинники підвищення інформаційної безпеки / А. Лапо // Вісник Київського інституту бізнесу і технологій. — 2007. — № 2. — С. 130-132
  7. Линник Г. Принципи адміністративно-правового регулювання інформаційної безпеки в Україні // Підприємництво, господарство і право. — 2010. — № 5 . — С. 93-97
  8. Медвідь Ф. Інформаційна безпека України в контексті становлення стратегії національної безпеки держави // Юридичний Вісник України. — 2008. — № 43. — С. 11
  9. Морозов О.Л. Інформаційна безпека в умовах сучасного стану і перспектив розвитку державності // Віче. — 2007. — № 12. — С. 23-25
  10. Соснін, Олександр. Про поточні питання розбудови інформаційного суспільства в Україні // Віче. — 2010. — № 4. — С. 24-28
  11. Стоєцький О. Суб’єкти забезпечення інформаційної безпеки України: адміністративно-правові засади // Підприємництво, господарство і право. — 2009. — № 11. — С. 161-164
  12. Стоєцький О. Характеристика інформаційної безпеки як складової інформаційної сфери України // Підприємництво, господарство і право. — 2009. — № 12. — С. 72-75
  13. Стрельбицька Л. Інформаційнв безпека у сфері державного управління // Юридичний Вісник України. — 2010. — № 37. — С. 6-7
  14. Толкачов, Олексій. Проблема інформаційної безпеки України // Сучасність. — 2009. — № 6. — С. 183-194
  15. Чубарук Т. Проблеми законодавчого забезпечення інформаційної безпеки в Україні // Право України. — 2007 . — № 9 .- С. 67 — 69
  16. Яковлева И. На страже информационной безопасности / Ирина Яковлева // Генеральный директор. — 2008. — № 12. — С. 78-80