В этой части статьи рассмотрены защищенные носители, предназначенные для работы с данными, конфиденциальность которых критична, и которые, вместе с тем, должны храниться на носителе информации и переноситься сотрудником в рамках его должностных обязанностей на различные рабочие станции, в том числе и не входящие в состав корпоративной сети.
1
Статья посвящена сопоставлению между собой набора функций, характеризующих так называемые «защищенные носители» информации (ЗН), и совокупности таковых устройств, существующих и доступных на данный момент. Полезность полученного результата, оформленного в виде каталога-справочника, проиллюстрирована в виде примеров выбора оптимального решения для информационных систем различных типов – как несетевой структуры, так и выстроенной в виде корпоративной сети (части 2 и 3 данной публикации).
Из представленного ранее материала становится понятным, что эксплуатация СКЗИ с точки зрения государственного регулятора не может происходить неким хаотичным образом. Многие требования достаточно четко определены и обязательны к исполнению. В части 4 настоящей статьи уже было упомянуто, что обладатель информации принимает решение о необходимости использования криптографической защиты или отсутствии таковой.
Небезызвестная компания Microsoft выпускает и предоставляет для скачивания с собственного сайта большое количество программ и утилит, ориентированных на повышение удобства работы и уровня безопасности информационных систем. Как показывает практика, далеко не все специалисты по информационной безопасности знают о существовании подобных программ и ещё меньше ими пользуется, лишая себя достаточно качественных инструментов.
Классификацию по уровням доверия («уровням гарантий», «уровням надежности») лучше всего вести на основе простой шкалы по аналогии с установленными №63-ФЗ видами электронной подписи: простая, усиленная и строгая. Принцип классификации аутентификации по уровням доверия также должен базироваться на анализе рисков от атак на взаимодействующие стороны и сам процесс взаимодействия.
Каждый специалист по защите информации рано или поздно задумывается о границах своих возможностей. В данной статье мне хотелось бы по-рассуждать о том, что является неосуществимым на данный момент, спустя пару лет мы с вами будем наблюдать совсем другую картину и причин тому масса: глобализация, изменение потребностей бизнеса, увеличение мощности информационных систем и многое другое.
Развитие удаленного электронного взаимодействия и переход к облакам повышают роль идентификации и аутентификации, которые особо важны в сервисах предоставления защищенного доступа, установлении отношений доверия при электронном взаимодействии, электронной подписи. Во всех этих случаях требуется классификация процессов аутентификации по целям, задачам и используемым технологиям.
В развитии систем защиты информации происходит, по мнению некоторых специалистов, смена парадигмы. Ресурсы разработчиков и внимание владельцев информации всё больше концентрируются на вопросах проактивной защиты от внутренних угроз и инсайда, выявления и прогнозирования рисков, связанных с персоналом.
Нет смысла выяснять, какое из средств защиты «лучше», пока не произведено правильное позиционирование сравниваемых средств защиты по отношению друг к другу. Так, бессмысленно выяснять, что лучше для обеспечения защищенной работы с флешками – использование защищенных служебных носителей или USB-фильтров.
Защищенная разработка – это комплекс мер, добавляющихся к обычному процессу создания программного обеспечения, направленных на обеспечения высокого уровня безопасности информации, обрабатываемой разрабатываемым программным обеспечением.
В современном обществе, которое принято считать постиндустриальным [1,2] или, что более актуально, информационным [3,4], быстро растет значимость и ценность таких ресурсов как информация, знания [5], компетенции [6].*
Цель исследования: математическое моделирование информационных потоков для автоматизации процесса оценки уровня знаний и компетенций сотрудников организации.
Начать данную статью хотелось бы с простого и понятного всем постулата – управление доступом - это краеугольный камень любой системы информационной безопасности. Думаю, с этим мало кто станет спорить.
2
28 мая на сайте ФСТЭК был выложен уже утвержденный Приказ № 21 от 18 февраля 2013 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» (далее – Приказ №21).
2
Нарушение доступности информации обеспечивается путем формирования (модификации) исходных данных, которые при обработке вызывают неправильное функционирование, отказы аппаратуры или захват (загрузку) вычислительных ресурсов системы, которые необходимы для выполнения программ и работы аппаратуры.
Совокупность условий и факторов (явлений, действий или процессов), создающих потенциальную или реально существующую опасность целостности и доступности информации называют угрозами целостности и доступности информации.
В статье описаны варианты использования алгоритмов, широко применяемых в современной криптографии, для сжатия данных. Прежде чем перейти к обсуждению целесообразности такого использования алгоритмов, опишем модель, с которой будем работать.
3
Тема защиты персональных данных в свете принятого закона «О персональных данных» от 27.07.2006 № 152 периодически «бурно» обсуждается специалистами по информационной безопасности. За прошедшее время было «сломано не мало копий», «наломано не мало дров». В частности, разработаны, прошли сертификационные испытания средства защиты, операторы проводили различные мероприятия по защите персональных данных, а регуляторы их контролировали и оповещали заинтересованное сообщество о проделанной работе.
Поиск утечек информации является достаточно затратным по времени и ресурсам (сотрудники, специализированные программно-аппаратные средства) делом. Но мониторинг необходимо проводить постоянно, так как нарушение можно произойти в любой момент. В последнее время общение сотрудников, клиентов и поставщиков в основном происходит через электронную почту, а значит, e-mail является источником серьезной угрозы информационной безопасности.
Умение «из ничего сделать кое-что» давно является отличительной чертой славян. Использование смекалки демонстрировалось ещё в русских народных сказках («Каша из топора»). Примечательно, что чаще всего главных героев этих шуточных историй на «подвиги» больше толкали обстоятельства, чем собственное желание. Времена изменились, а вот мотивы остались те же. В контексте информационной безопасности это вылилось в противостояние бюджетов. Выстраивать защиты офицеры вынуждены своими силами не потому, что им самим так хочется, и не потому, что нет хороших средств. Чаще всего у руководителей нет желания вкладывать деньги в ИБ.
При разработке облачных систем обычно не проводится грань между разработкой прикладного облака и композиции сервисных облаков, которые уже считаются конвергентной инфраструктурой. Мы хотим дать свою версию перехода от разработки облака к разработке облачной или конвергентной инфраструктуры, которая ориентирована на свой круг задач, например, на облачную телефонию или облачная система видеокамер, которые просто не могут быть реализованы в рамках одного облака.
Неотъемлемой частью разработки любой технологии является гармонизация предложенного подхода с существующими технологическими нормативами и стандартами. Это обеспечивает универсальность применения и совместимость программно-аппаратных решений. В облачной системе мониторинга должны соблюдаться существующие облачные стандарты, выдержан вектор развития Smart Grid и M2M, которые описывают правила подключения требуемых устройств, потребуется гармонизация с соответствующими стандартами видеопротокола OnVif.
Любая технология и стандартизация начинается с разработки эталонной модели, в данном случае эталонной модели облака, ориентированного на задачи мониторинга. В то же время эталонная модель представляет собой некоторую нейтральную архитектуру – скелет, которая может наращиваться по функционалу и сервисам. Неотъемлемой частью эталонной модели является таксономия облака, которую мы постарались описать в этой части.
Любая технология и стандартизация начинается с разработки эталонной модели, в данном случае эталонной модели облака, ориентированного на задачи мониторинга. В то же время эталонная модель представляет собой некоторую нейтральную архитектуру – скелет, которая может наращиваться по функционалу и сервисам. Неотъемлемой частью эталонной модели является таксономия облака, которую мы постарались описать в этой части.
В настоящий момент все чаще появляются сообщения о разработке облачной технологии «Безопасный город», облачной телефонии и пр. Причем разработчики обычно не публикуют анонсы, где можно проследить хоть какие-то особенности архитектурного дизайна заявленных облачных систем. С одной стороны, можно предположить, что девелоперы сохраняют коммерческую тайну, с другой стороны, что также вполне объективно, понятие «облачная технология» разработчиками может быть использовано только как трендовая метафора для более быстрого получения финансовых средств от инвесторов, а речь идет об обычном дистанционном сервисе с классической клиент-серверной архитектурой.
В статье предпринята попытка систематизировать ряд категорий, терминов и определений в области информационной безопасности и защиты информации, приведена классификация угроз безопасности информации и задач по защите информации.
В статье предпринята попытка систематизировать ряд категорий, терминов и определений в области информационной безопасности и защиты информации, приведена классификация угроз безопасности информации и задач по защите информации.
В статье предпринята попытка систематизировать ряд категорий, терминов и определений в области информационной безопасности и защиты информации, приведена классификация угроз безопасности информации и задач по защите информации.
Вышло в свет едва ли не самое ожидаемое Постановление Правительства № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных». Данное Постановление отменяет постановление Правительства Российской Федерации от 17 ноября 2007 г. N 781 "Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных", согласно которому разрабатывали свои документы операторы.
Мы продолжаем тему облаков, но в этой части больше уделим внимания сервисным облакам, которые могут разрабатываться независимо от поставщиков конвергентной инфраструктуры.
В предыдущей части мы рассмотрели в качестве составляющей конвергентной инфраструктуры технологию вычислительной ткани (fabric computing), которая предназначена для получения высокопроизводительных систем на базе слабо-связных систем хранения. В этой части рассмотрим, по мнению многих, «провокационные» облачные системы. Если вычислительные ткани предназначены для виртуализации аппаратных ресурсов, то облака в качестве составляющей конвергентной инфраструктуры - для виртуализации логических ресурсов.
К настоящему моменту мы определились с регулятором и необходимостью защиты информации ограниченного доступа (часть 1), разобрались с участниками обмена (часть 2) и необходимостью использования сертифицированных средств (часть 3), при использовании рассматриваемых требований Регулятора.
1
Активное предложение софтверными компаниями облачных систем формирует диаметрально противоположные мнения по отношению к эффективности и, самое главное, безопасности «облаков». При этом практически все продавцы забывают упомянуть, что облачные системы – это более узкий класс, входящий в конвергентную инфраструктуру, и часто оперируют модными терминами, не задумываясь над их смыслом.
В указанных нами документах регулятора говорится о применении СКЗИ, причем в обоих случаях дается трактовка этого термина (хотя собственно оба документа имеют общий источник).
Рассмотрим более подробно угрозы конфиденциальности информации, и начнем ? с разглашения сведений.
Под разглашением сведений ограниченного доступа обычно понимается противоправное предание огласке таких сведений, при котором они стали достоянием посторонних лиц. Причем, как правило, посторонним признается любое лицо, которое по характеру выполняемой работы или служебных обязанностей не имеет доступа к данным сведениям.
Суть метода. Речь идет не о простом дублировании функциональных элементов, а о создании резервных каналов [3]. Простое дублирование элементов, а в нашем случае увеличение количества сенсоров, увеличивает вероятность отказов на нескольких ветках решений и может привести к отказу всей системы [4].
Важной задачей в развитии безопасности критически важных компьютерных систем является достижение высокого уровня надежности и безопасности. Для целей повышения уровня безопасности систем, включая системы безопасности, часто используется метод, подразумевающий программно-аппаратную и/или функциональную избыточность, который еще известен как многоверсионный подход.
Метаданные предполагают как дополнительные возможности для систем безопасности, так и создают ряд проблем для существующих и перспективных систем безопасности. Выделим некоторые проблемы, а также дадим оценку о возможных методах борьбы с ними.
Часто юный выпускник считает, что справится со всем в одиночку, но это далеко от реальности, хотя бы потому, что у специалиста нет достаточной квалификации в таких предметных областях, как бухгалтерия, экономика, производство. Последнее наиболее важно, изучить специфику производства необходимо обязательно, защита информации сама по себе никому не нужна, как и бухгалтерия – все это лишь инструменты развития бизнеса.
В этой части обоснуем применение вегетативных компонент или бионических принципов для обработки метаданных и вообще определим преимущества моделей бионических метаданных. На сегодняшний день биологические системы обладают наиболее развитой и сложной сенсорной системой, которая является основой познавательных способностей биологических организмов.
Производители, которые игнорируют тенденции развития архитектуры ИВП, вызывают, по крайней мере, серьезное удивление. Причем таких производителей на российском рынке систем безопасности подавляющее большинство, а за подобные разработки ведутся факультативно и за собственные средства разработчиков. Футурология и разработки на перспективу в русско-говорящем сегменте – это убытки, которые производители «согласны нести только в рамках внедрения без авторского гонорара», что выглядит бесперспективно в плане технологического развития российского технологического сегмента.
17
В настоящий момент архитектуру пятого поколения связывают с embedded-устройствами (встроенными) или non-PC, то есть мобильными устройствами, цифровыми телевизорами, мобильными ларьками, видеокамерами с встроенными операционными системами и т.д. Абсолютно очевидно, современная аппаратная эволюция склонна к миниатюризации и персонификации устройств с одной стороны, что было очевидно во время старта IBM/PC. В то же время миниатюризация и расширенная функциональность устройств предполагает вычислительную полноту «на борту» (можно по Тьюрингу) не только персональных устройств, но и устройств non-PC или, как еще принято называть, embedded-устройств (имеющих встроенную операционную систему).
На сегодняшний день круг задач специалиста по защите информации достаточно широк: от настройки антивируса до проведения служебных проверок. При этом в каждой организации набор обязанностей такого сотрудника уникальный. Если ранее на предприятии ставки специалиста по ЗИ не было, то при появлении необходимости в собственном защитнике информации, возникает множество споров.
Технологии виртуализации подразумевают различные формы вычислительного представления физических и логических устройств и их программных абстракций. В настоящий момент разработчиков не ограничивают типы ресурсов, которые должны поддаваться виртуализации, главное, чтобы виртуализация подразумевала более эффективное использование виртуализированных ресурсов, чем исходных.
1
При обеспечениии безопасности информации основными направлениями защиты являются обеспечение конфиденциальности, целостности и доступности информации. Причем требование обеспечения конфиденциальности распространяется только на информацию ограниченного доступа.
Рассмотрим более подробно содержание этих понятий.
Разработка методологии, а в последствии ИТ-технологии требует рассмотрение принципов успешного трансфера инновации, начиная с процесса проектирования, заканчивая внедрением и эксплуатацией программно-аппаратной платформы. Эти вопросы должны рассматриваться на этапе анализа, причем этот этап должен быть значительно расширен за счет дополнительных практик и процессов, в будущем призванных обеспечить не только успешный трансфер разработки в технологию, но и нужный уровень безопасности системы, так как априори речь идет о разработке систем безопасности.
1
Информация может являться объектом публичных, гражданских и иных правовых отношений и, в зависимости от категории доступа к ней, подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа).
К общедоступной информации относятся общеизвестные сведения и иная информация, доступ к которой не ограничен. Такая информация может использоваться любыми лицами по их усмотрению при соблюдении установленных федеральными законами ограничений в отношении распространения такой информации.
Системы мониторинга востребованы как в системах специального, так и общего назначения. Как было показано в предыдущих публикациях, эти системы изначально разрабатывались для военных целей и радиотехнической разведки. В настоящее время функциональность этих систем значительно расширилась, их активно применяют в рамках задач общего назначения. Наиболее востребована интеграция систем мониторинга в системы безопасности различного назначения.
Об актуальности и своевременности разработки языка метаданных было рассказано в предыдущих публикациях. Существует несколько точек зрения на этот вопрос. Если ориентироваться на исследования компании IDC, то, прежде всего, при мониторинге и защите информации на базе метаданных нужно уделить внимание специальным классам – цифровому следу и цифровой тени.
Вначале своей истории компьютерные технологии применялись сугубо для военных целей и, прежде всего, направлены на снижение влияния человеческого фактора на процессы принятия решений. В настоящий момент сохранилась актуальность развития компьютерных технологий для систем специального назначения. Еще в самом начале военное применение компьютеров подразумевало, прежде всего, регистрацию внешних событий, их обработку и дальнейшую передачу данных для принятия решений.
В 2010 году был преодолен барьер общемирового объема данных в 1 зеттабайт (1 млрд. терабайт), в течение текущего десятилетия объем данных, по оценкам компании IDC, возрастет до 35 зеттабайт [1, 2]. Современный этап развития уже назван специалистами эрой мегаданных (Big Data Era). Однако на текущий момент имеются признаки еще одного фазового перехода (не будем их анализировать в этой статье), связанного со стремительным увеличением количества non-PC устройств.
1
В 2006 году аналитическая компания IDC выпустила свой первый отчет об объеме информационно-вычислительного пространства и ввела понятие цифрового универсума (англ. Digital Univerce). По оценке IDC с 2006 по 2011 год выросла с 180 млрд. Гб (180 экзабайт) до 1800 млрд. Гб (1,8 зеттабайт) [1]. В среднем вычислительный объем универсума увеличивается вдвое за 18 месяцев и к 2020 году достигнет 35 зеттабайт [2]. Это огромный объем информации, который на 75% формируется частными лицами и растет неконтролируемо.
В предыдущей части статьи был дан обзор принципов защиты информации, передаваемой через общедоступные сети передачи данных. В рамках данной части статьи рассмотрим пример построения защищенного канала на базе продукта Microsoft Forefront TMG
1. Более подробно о нём можно прочитать в материалах компании Microsoft
2.
При построении виртуальных частных сетей широкое распространение получило использование криптографических технологий.
К сожалению, многие термины, как было указано в первой части настоящей статьи, не всегда трактуются и понимаются одинаково всеми участниками информационного взаимодействия.
Разработка систем безопасности широкого круга функциональности предполагает единую процедуру безопасного доступа к данным, которая реализовывается на разных уровнях виртуализации. В настоящий момент структура информации, накопленной разнообразными системами безопасности, отражает общемировую тенденцию, связанную с «мега-данными» — во-первых, в 90% случаев является неструктурированной, во-вторых, незащищенной должным образом.
18
Подготовка специалиста по компьютерной безопасности включает в себя теоретическую подготовку и практические занятия. Учебные программы университетов или специализированные курсы, чаще всего, не дают необходимых навыков — быстро принимать решения на основе полученных знаний в условиях стрессовой, быстро изменяющейся ситуации, координировать действия в команды, комплексно подходить к анализу обстановки.
11
Статья предназначена, прежде всего, для системных администраторов и специалистов по информационной безопасности, имеет практическую направленность. Предполагается, что читатель знаком с основами программирования, а также обладает навыками работы в табличном редакторе Excel/Calc.
Федеральный закон от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации» произвел разделение информации на общедоступную информацию, и на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа). К общедоступной информации относятся общеизвестные сведения и иная информация, доступ к которой не ограничен законодательством.
3
Всё, изложенное в настоящем разделе, относится к взаимному размещении элементов измерительного комплекса и измеряемой конструкции для метода измерения тест-сигнала в каждой контрольной точке.
Следует отметить, что приведённый в методике метод учёта поправки, требуемой при малом превышении измеряемой смеси сигнала и фонового шума над шумом нарушает требования ряда стандартов в области акустических и вибрационных измерениях. Например ГОСТ 27296-87 Звукоизоляция ограждающих конструкций Методы измерения (действует по настоящее время).
Начиная с сентября 2001 года введён в действие основной нормативно - методический документ в области защиты информации от утечки по акустическим и вибрационным каналам - НМД АРР. Начиная, примерно, с того же времени, в эксплуатацию пришли современные цифровые интегрирующие шумомеры и автоматизированные системы оценки по вибрационным и акустическим каналам утечки на их основе. Срок более чем достаточный, чтобы сформулировать некоторые особенности подходов к объектовым измерений, весьма важные для единообразия получаемых результатов.
Телефон – пожалуй, самый распространенный инструмент производственной деятельности, использующийся практически всеми сотрудниками любого предприятия. Работает ли сотрудник с компьютером или со станком, находится ли он в офисном помещении или следит за порядком на проходной – под его рукой должен быть телефон.
