05 декабря 2013
Химеры информационной безопасности
Каждый специалист по защите информации рано или поздно задумывается о границах своих возможностей. В данной статье мне хотелось бы по-рассуждать о том, что является неосуществимым на данный момент, спустя пару лет мы с вами будем наблюдать совсем другую картину и причин тому масса: глобализация, изменение потребностей бизнеса, увеличение мощности информационных систем и многое другое.
Химера № 1 «Каждая организация занимается вопросами защиты информации».
Безусловно, это то к чему нужно стремиться и я верю, что когда-нибудь защита информации будет такой же повседневной задачей, как охрана труда и пожарная безопасность. Однако на сегодняшний день позволить себе иметь в штате специалиста по информационной безопасности могут далеко не все, это скорее исключение, чем норма. Современная экономическая ситуация не позволяет делать оптимистических прогнозов о значительном увеличении рабочих мест в отрасли, поэтому будет сохраняться тенденция совмещения обязанностей специалиста по информационной безопасности существующим штатным специалистом (из ИТ-отдела, либо Службы безопасности). Часто можно видеть вакансии системного администратора-безопасника, специалиста по собственной и информационной безопасности, специалиста по экономической и информационной безопасности и многие другие варианты.
Все организации условно можно разделить на три категории:
- Организация, в штате которой находится специалист по защите информации (отдел, служба, управление по ИБ) и/или организация пользуется услугами аутсорсинговых компаний в этой области – крупные промышленные предприятия, банки, университеты;
- Организация, в которой функции защиты информации возложены на сотрудника, занимающегося иными задачами (чаще всего ИТ, СБ, однако мне приходилось видеть кадровиков, в обязанности которых входит защита персональных данных) – школы, небольшие конструкторские бюро, рекламные агентства, сети магазинов;
- Организации, не занимающиеся защитой информации – небольшие организации, оказывающие услуги населению, некоторые больницы, маленькие магазины, управляющие компании.
Организация может свободно перемещаться из одной категории в другую, в зависимости от своего текущего финансового положения. Можно отметить, что защите информации уделяется все больше внимания, однако стопроцентный охват всех существующих юридических лиц в России – это пока химера.
Химера № 2 «Нормативно-правовые акты в области информационной безопасности не вступают в противоречия друг с другом, а также в них содержатся точные рекомендации для каждого конкретного случая».
Достаточно вспомнить ФЗ «О персональных данных», это как раз тот случай, когда «два юриста – три мнения». Можно отметить, что последние уточняющие документы внесли определенную гармонию в этот вопрос, однако, точно ответить на вопрос – «Что делать оператору?» не берется никто. Кроме этого можно привести в качестве примера понятие «конфиденциальная информация», данный термин никак не определен в нормативно-правовых актах, однако, при желании вы можете получить лицензию на техническую защиту конфиденциальной информации. Можно сказать, что ситуация постепенно улучшается, но споры по поводу различного понимания одних и тех же статей законов, будут идти еще очень долго.
Химера № 3 «Современные средства защиты информации позволяют обнаружить все каналы утечки информации».
Данное утверждение можно встретить в рекламных буклетах, особенно это касается DLP-систем. Красочные картинки, которыми пестрят их презентации, упорно доказывают нам, что сотрудники для осуществления своих коварных планов используют лишь разрешенные каналы передачи информации. До тех пор, пока мы не научимся стирать память на выходе из территории предприятия, риск утечки информации будет актуальным. Но нужны ли нам сотрудники, которые каждый день будут начинать с чистой страницы, забыв все, что делали вчера?
Химера № 4 «Использование комплекса сертифицированных средств защиты информации обеспечивает абсолютную безопасность информационной системы».
Этот пункт можно считать аналогичным предыдущему. Но мне хотелось бы выделить его отдельно. До сих пор среди специалистов, особенно недавних выпускников, распространено поклонение сертифицированным средствам защиты. Безусловно, существуют такие направления, как защита государственной тайны, здесь мы не можем экономить, и обязаны установить проверенные средства определенного класса защиты, однако, для защиты коммерческой тайны таких требований нет. Мы можем видеть на сайте производителя две цены – за сертифицированную и обычную версии, они различаются весьма значительно. Сертификат – это по большей части формальность (да простят меня интеграторы) и как уже было указано выше, существует человеческий фактор – важная информация может быть переписана, запомнена, сфотографирована на мобильный телефон.
Химера № 5 «Пользователи соблюдают требования информационной безопасности».
Как бы мы не хотели, сколько бы инструктажей не проводили – сотрудники и клиенты будут нарушать требования информационной безопасности. Причин тому множество: лень, занятость, непонимание сути правил, а иногда и невозможность их выполнить. Можно сколько угодно ругать руководителя структурного подразделения за то, что важные документы выбрасываются в мусорные корзины, а не уничтожаются, но для начала неплохо было бы выделить деньги на закупку шредеров. Пишут правила и выполняют их – разные люди. Контролировать клиентов очень тяжело, как с технической, так и с организационной точки зрения. С сотрудниками дело обстоит проще – по крайней мере, существует множество средств контроля, которые можно установить на служебные компьютеры. Не всегда при разработке требований учитывается специфика работы сотрудников, выбирая между тем, чтобы соблюсти рекомендации специалиста по ИБ и поручения своего непосредственного руководства, как вы думаете, что они выберут?
Целью данной статьи было размышление о неразрешимых пока проблемах информационной безопасности, безусловно, это неполный список. Можно еще упомянуть о ключах шифрования и стойкости паролей, а также о безуспешном противодействии методам социальной инженерии. У каждого специалиста есть свой список «химер», какие-то из них глобальные, другие не разрешимы только в пределах одной организации. Понимание уязвимых мест защиты позволит создать принципиально новые технологии, лишенные недостатков их предшественников и завтра мы еще чуть-чуть приблизимся к идеалу абсолютной безопасности.
Мнения экспертов
Статья вызвала печальные мысли, ведь действительно, только в весьма крупных организациях, да еще в банках, существуют более-менее профессиональные подразделения, выполняющие функции защиты информации. Может быть это как раз и происходит из-за того, что никто на 100% не может сказать, что и как делать. Единого решения, подходящего для всех, просто не существует. Еще хочется полюбопытствовать, работает (или работал) автор в какой-либо организации по направлению защиты информации. Писано все просто по моему опыту работы. И самое печальное в этом – это не наличие химер, а то, что необходимость в защите информационных ресурсов организации понимает крайне малое число руководителей.
-
 Левицкий О.И.
ОАО НПО «Наука»
Ведущий специалист по информационной безопасности
Автор задаётся вполне резонными вопросами, сопутствующими деятельности специалистов по информационной безопасности. Многообразие подходов к распределению ответственности в данной области заслуживает отдельного обсуждения. Действительно, задачи по ИБ зачастую делятся между разными ответственными лицами, начиная от кладовщика и заканчивая первыми лицами организации. В каких-то ситуациях это целесообразно, а в каких-то недопустимо. Отсутствие профессионального подхода и необходимых технических средств маловероятно компенсировать высоким IQ или трудозатратами, поскольку необходимы специфические подготовка и знания, а также опыт и склад ума, присущие безопаснику. В большинстве случаев на эти условности предпочитают смотреть сквозь пальцы, ибо без особой нужды никому не хочется заморачиваться. Не растекаясь «мыслью по древу» о расплате, которая рано или поздно за наплевательское отношение таки наступает, обратим внимание на главное (надеюсь, автор со мной согласится): необходимо обеспечить баланс между требованиями законодательства, интересами/возможностями владельца информации и рисками, сопровождающими процессы обработки информационных активов. А с учётом «совершенства» нашего законодательства, пофигизма персонала и финансирования ИБ по т.н. «остаточному принципу» – обеспечение упомянутого баланса превращается в весьма нетривиальную задачу. Резюмируя, должен отметить, что Ксения осветила достаточно злободневную задачу, правильно расставив акценты на несовершенстве процессов управления ИБ в силу существующих предрассудков или, как удачно выразился автор, химер информационной безопасности.
Данная статья показалась мне достаточно интересной; она выглядит попыткой кратко осветить несколько глобальных вопросов на тему информационной безопасности. Однако, я не готов согласиться с некоторыми выводами автора. Во-первых, стоит согласиться с тем, что абсолютной безопасности действительно нет. И каждое средство защиты помогает только против определенных угроз – независимо от того, сертифицировано оно или нет. Сертифицированное средство, по крайней мере, должно давать ИБ-специалисту четкое понимание, от каких угроз и в каких условиях оно защищает. Поскольку сфера (и ограничения) применения сертифицированного СЗИ должна быть четко прописана в документах, наличие которых требуется при сертификации. И такое средство уже не получится «толкать» на рынок как абсолютную панацею типа средства защиты «всех каналов утечки информации». Во-вторых, на мой взгляд, автор несправедливо пренебрежительно относится к сертификации, которая, на мой взгляд, является не только и не столько формальной процедурой, а реальной проверкой наличия и качества реализации защитных механизмов, а также полноты и того же качества документации (см. выше). Ну и, наконец, хорошее сертифицированное средство защиты, на мой взгляд, должно быть разработано, исходя из следующего принципа: соблюдать все требования ИБ должен администратор по безопасности; средство защиты должно предоставить ему такие средства настройки, правильно применив которые администратор просто не оставит пользователю выбора: пользователь будет вынужден соблюдать требования ИБ в части работы с данным СЗИ, а любые попытки несоблюдения требований должны блокироваться системой защиты с автоматическим уведомлением администратора и последующим «разбором полетов».
В своей статье автор решил высказаться по некоторым вопросам, относящимся к информационной безопасности (ИБ). Полагаю, что с какими-то положениями можно согласиться с автором, а что-то вызывает неоднозначную оценку. Например, в отношении пожарной безопасности не каждая организация сможет сказать, что всё в порядке. Да и трудовой кодекс не везде чтут. Ситуация типа «я и лошадь, я и бык, я и баба и мужик» - это состояние кадровой политики многих организаций в отношении различных профессий (не только в области ИБ). Что касается понятия «конфиденциальная информация», то Руководящий Документ ФСТЭК (точнее - Гостехкомиссии) России, дает ему однозначную трактовку. А вот в отношении Законодательства по ИБ, на мой взгляд, оно не лучше и не хуже чем в других сферах нашей жизнедеятельности – одинаково проблематично. Третье утверждение о всемогуществе средств защиты в части обеспечения абсолютной защищенности, по крайне мере, специалистами по ИБ всерьёз не рассматривается. Что касается остальной значительной части общества – то она, как правило, задумывается о безопасности, когда лично «натыкается» на серьёзную проблему. В отношении процедуры сертификации автор несколько заблуждается. Сертификат соответствия, выдаваемый на продукцию, согласно федерального законодательства удостоверяет соответствие данной продукции требованиям «…технических регламентов, положениям стандартов, сводов правил или условиям договоров» (184-ФЗ). Cертифицированные средства должны применяться не только для защиты информации, содержащей сведения, отнесённые к государственной тайне, но и в ряде других случаев для подтверждения их соответствия определенным требованиям. Например, требования по 17-му Приказу ФСТЭК не имеют отношения к «секретности», но сертифицированные средства применять нужно. На мой взгляд проблема в том, что производители средств защиты широко «рекламируя» сертификаты, не спешат показать ТУ, на соответствие которым она проводилась, а покупатели – не всегда ТУ спрашивают. Порождаемая в результате этого проблема гораздо серьёзнее. Считаю – сертифицировать средства защиты нужно, но вот порядок их применения, так скажем – «широту охвата» законодатель / регулятор в ряде случаев явно завышает. В отношении соблюдения требований по информационной безопасности проблема одинакова и для «клиентов» и для «сотрудников» - не всё решишь средствами контроля. Часто, да простят меня читатели, проблема «в головах» и тех, кто пишет требования, и тех, кто их выполняет (замечу, что общие требования по ИБ должны выполняться и теми и другими, ситуация «не читаю, т.к. я не читатель, а писатель» в области ИБ не должна иметь место, но на деле … увы). Радует, что автора не покинуло чувство оптимизма – пусть оно сохраняется в течении всей карьеры.
Ваши комментарии:
Для того, чтобы оставлять коментарии, Вам нужно авторизоваться на Sec.Ru. Если У Вас еще нет аккаунта, пройдите процедуру регистрации.
|
|
