Георги Павлов, унсс, катедра „Национална и регионална сигурност”



Дата26.10.2018
Размер154 Kb.
#100289
Проблеми на сигурността и защитата на класифицираната информация в автоматизираните информационни системи и мрежи

Георги Павлов,
УНСС, катедра „Национална и регионална сигурност”,
Email: gpavlov@unwe.acad.bg
Резюме: Изискванията и ограниченията за автоматизираните информационни системи(АИС) и/или мрежи за работа с класифицирана информация са описани в Закона за защита на класифицираната информация1 и свързаните наредби. Най-общо в рамката на специализираната подсистема за защита се включват: проектните работи, закупуване и настройка на програмно-технически средства, вкл. междумрежови екрани, криптографски средства, антивирусни системи, средства за автентификация, авторизация и администриране, разходи за обезпечаване нa физическата сигурност, обучение на персонала, управление, поддръжка и периодично обновяване на системата, одит на сигурността.

В статията се анализират някои възможни алтернативи за реализация на мерките в АИС и/или мрежите, работещи с класифицирана информация, като следствие от оценката на ценността на информационните ресурси.



Ключови думи: информационна сигурност; класифицирана информация; криптография; защитена система; режим за сигурност.

JEL: H19, Z00.

Увод

Проблемът за защитата на класифицираната информация в компютърни системи и мрежи е нов. Въпреки широкото му обсъждане в пресата, все още е трудно да се намери отговор на следните въпроси:



  • Как да се създаде организация за защита на информацията в конкретно учреждение или предприятие?

  • Как да се изгради надеждна и сигурна система?

  • Как да се подържа режим на сигурност?

Законът не дава отговор на тези въпроси. Цел на информационната сигурност2 е постигането на: поверителност, цялостност, достъпност и проверка за автентичност.

Защитата на класифицираната информация се изразява в комплекс от мерки в областта на физическата, документалната, персоналната и компютърната сигурност. Не всички мерки са технически. В тези области е възможно да се прилагат различни мерки, които са описани в настоящата работа.

Практическите подходи предлагани в статията се базират на личния опит на автора и експертни заключения публикувани в специализираните издания3.


  1. Управленски мерки

Те означават да се разработи политика, програми за сигурност и анализ и управление на риска.

Под политика за сигурност може да се разбира съвкупност от управленски решения по отношение защитата на класифицираната информация и присъединените към нея ресурси. От практическа гледна точка политиката за сигурност може да се раздели на три нива.

Към първото ниво са решенията, които имат отношение към цялата организация. Те се вземат от ръководството на организацията и са с по-общ характер, като например: решение да се проектира или преразгледа комплексна програма за защита на информацията; формулиране на целите, които преследва организацията в областта на защитата на класифицираната информация; осигуряване на база за спазване на законите и наредбите; систематизиране на управленските решения по въпросите за реализация на програмите за защита, които са валидни за цялата организация. Към това ниво на управление се отнасят защитата на ресурсите и координацията при използването на тези ресурси, обособяването на специален персонал за защита на критично важни системи, поддържането на контакти с други организации и пр. Политиката за сигурност от това ниво има връзка с три аспекта: първо, организационната единица4 е длъжна да спазва съществуващите закони; второ, трябва да контролира действията на лицата, които отговарят за изработване на програмите за сигурност; и трето, да се осигури определена степен на отговорност на персонала.

Към средното ниво се включват отделни аспекти на защитата на информацията. Като пример за това е достъпът до интернет (как да се съчетае правото да получаваш информация със защитата от външни заплахи), използването от потребителите на нелицензирани програми и т.н. Политиката за сигурност на това ниво има отношение към следните теми:



  • Описание на аспекта, т.е. описанието на заданието и конкретните изисквания към мрежата - с каква информация ще се работи, с какви ресурси се разполага, на какви изисквания за защита трябва да отговори системата и т.н.

  • Обхват и ниво на сигурността. Например за АИС и/или мрежи на важно държавно учреждение (МВР, МО и т.н.) може би трябва по-висока степен на защита, отколкото на една малка фирма.

  • Сфера на използване, т.е. къде, кога, как, по отношение на кого и какво се приема дадената политика за сигурност.

  • Позиция на организацията по дадения аспект, т.е. целите на организацията по отношение на защитата на класифицираната информация. Най-добрите политики за сигурност на данните използват превантивния подход. Чрез предотвратяване на възможността за неоторизиран достъп данните ще останат защитени.

  • Права и задължения на лицата, отговарящи за провеждането на политиката за сигурност. Тези права и задължения се определят със Закона за защита на класифицирана информация (ЗЗКИ) и Наредбата5, както и с вътрешни нормативни правила. Политиките определят насоките и правилата, които могат да бъдат от полза на администраторите и потребителите при възникване на непредвидени ситуации в мрежата. Например, ако трябва да се проверяват дискети от друг компютър, е необходимо да се опишат процедурите за проверка. Ако не трябва да се използват нелицензирани програми, трябва да се знае кой отговаря за изпълнението на това правило и т.н. Най-общо, групите хора, които имат отношение към сигурността на информацията в една система или мрежа са: ръководителите, системните инженери, системните администратори, системните организатори и потребителите.

  • Законосъобразност. Политиката за сигурност трябва да съдържа общо описание на забранените действия и наказанията за тях. Случаите на нарушения от страна на персонала трябва да се разглеждат от ръководството и да се предприемат наказателни мерки, включително и уволнение.

  • При определяне на политиката за сигурност трябва да се знае всеки служител от кого може да получи разяснение, помощ и допълнителна информация.

Политиката за сигурност на най-ниското ниво се отнася до конкретното програмно осигуряване. За разлика от предишните две нива тя трябва да бъде доста по-детайлна. Въпросите, на които трябва да се отговори при определяне на политиката за сигурност за това ниво, са например:

  • При какви условия могат да се четат и модифицират данните в АИС?

  • Кой има право на достъп до обектите, поддържащи програмното осигуряване?

Формулирането на целите на политиката на най-ниското ниво също се основава на съображенията за поверителност, достъпност и цялостност, но тези цели трябва да бъдат по-конкретни.

От целите произтичат правила за защита на информацията, описващи кой, какво и при какви условия може да върши. Колкото са по-детайлни правилата, толкова по-лесно е да се изпълняват програмно-техническите изисквания. От друга страна, много строгите правила може да пречат на работата на потребителите. Затова ръководството ще трябва да намери разумен компромис, при който за приемлива цена може да се осигури приемливо ниво на защита, без да се ограничават служителите.

След като се определи политиката за сигурност на една система, може да се пристъпи към изготвяне на програма за сигурност6 и към нейното реализиране. Програмата може да се структурира също на отделни нива, съответстващи на структурата на самата организация. В най-честите случаи са достатъчни две нива: централно и изпълнителско.

Програмата на централно ниво се отнася за цялата организация и може да се ръководи от лицето, отговарящо за сигурността на информацията в АИС и/или мрежите, като главните й цели са: оценка на рисковете и заплахите; избор на ефективни средства за защита; координация на дейностите на различни отдели и служители при защитата на информацията; стратегическо планиране; контрол на дейностите в областта на защитата на класифицираната информация.

Целта на програмата на изпълнителско ниво е да осигури надеждна и икономична защита. На това ниво се решава какви механизми на защита могат да се използват, закупуването и установяването на технически средства и т.н. За изпълнението на действията по програмата трябва да отговаря администраторът на мрежата.

Програмата за сигурност не бива да се превръща в набор от технически средства, построени в система, защото така ще загуби своята независимост и авторитет и като следствие висшето ръководство ще забрави за нея.



Анализ и управление на риска. Дейностите на една организация, работеща с класифицирана информация, са изложени на много рискове, още повече когато тази информация се разпространява по АИС и/или мрежи.

Започва се с избор на анализируемия обект. За неголеми организации може да се разглежда цялата информационна инфраструктура, но за крупни организации това може да се окаже необосновано скъпо и бавно. В тези случаи ще трябва да се анализират най-важните възли от мрежата. При анализа на риска са уязвими всички елементи от информационната система - от мрежовия кабел, който може да се прекъсне, до базата от данни, която може да бъде разрушена от неумелите действия на администратора. Много е важно да се избере разумна методология за оценка на риска. Целта на оценката е да получи отговор на два въпроса: Приемливи ли са съществуващите рискове и ако не, какви защитни средства е икономически изгодно да използваме? Това означава, че оценката е количествена. Управлението на риска е типична оптимизационна задача и съществуват достатъчно програмни средства, с които да се реши. Анализируеми обекти са: класифицираната информация, компонентите на информационната система, програмните ресурси, поддържащата инфраструктура, персоналът. Следва да се класифицират данните по нивото на сигурност7, да се определят местата за съхранение и обработка, начините за достъп до тях. Важно е да се систематизират обектите, за да може да се направи оценка за последствията от нарушаване на защитата на информацията.

Рискът се появява там, където има заплаха. Като правило наличието на една или друга заплаха е следствие на слабости в защитата на АИС и/или мрежите, което се обяснява с отсъствието на някои програмно-технически средства за сигурност или в недостатъци в реализиращите ги защитни механизми. При определянето на заплахите за класифицираната информация в АИС и/или мрежите също се прави идентификация. Анализируемите видове заплахи следва да се избират на базата на здравия разум (като оставим настрана например заплахата от земетресение и други природни бедствия), но в рамките на избраните видове трябва да се направи пълно разглеждане. Важно е да се определят не само заплахите, но и източниците на тяхното възникване - това може да помогне при избора на допълнителни средства за защита. След идентификацията на заплахите е необходимо да се оцени вероятността за осъществяването им. Може да се използва тристепенна скала: ниска, средна и висока вероятност8. Освен вероятността за осъществяване, важен е и потенциалният размер на щетите (също висок, среден и нисък). Например пожари се случват рядко, но размера на щетите от тях е голям и т.н. Оценявайки заплахите, трябва да се изхожда не толкова от средностатистическите данни, а от специфичните особености на конкретната АИС, организационна единица и персонал.

След това се прави оценка на риска. Най-простият метод е умножение на вероятността от осъществяване на заплаха и предполагаемите щети. За премахването и изглаждането на слабости, създаващи реална опасност, съществуват механизми, отличаващи се с голяма степен на ефективност. Например, ако има голяма опасност от нерегламентирано проникване в системата, може да се задължат потребителите да избират дълги пароли, да задействат програма за генериране на пароли или да се закупи интегрирана система за автентификация. За да се оценят като стойност защитните мерки, е нужно да се отчитат не само средствата, които ще са необходими за закупуване на оборудване и програми, но и разходите за внедряване, поддръжка, обучение и преквалификация на персонала. Ако по този показател новото средство се окаже икономически изгодно, може да бъде допуснато за по­-нататъшно разглеждане.

Когато необходимите мерки са приети, трябва да се провери тяхната действеност, т.е. да се установи, че остатъчният риск е станал приемлив9. След това се реализира процедурата по сертификация, според нашето законодателство. Ако не, ще се наложи да анализираме допуснатите грешки и да проведем повторен сеанс на управление на риска.


  1. Организационни мерки за защита на класифицираната информация в АИС и/или мрежи

Тези мерки са ориентирани към хората. Именно хората формират режима на защита и те се оказват главната заплаха, затова човешкият фактор заслужава първостепенно внимание. Заедно с това към тези мерки се отнася и организацията на физическата защита и документалната сигурност10.



Контролът на доверието към персонала започва с приемането на служителя на работа и дори преди това - при съставянето на длъжностната характеристика. Още на този етап е необходимо да се привлече специалист по защита на информацията, който да определи компютърните привилегии за тази длъжност. Съществуват два принципа, които трябва да се вземат под внимание:

Принцип на разделение на отговорностите. Този принцип е задължителен от гледна точка на ЗЗКИ, т.е. за една информационна ценност11 отговаря един потребител. Ролите и отговорностите се разпределят така, че един човек да не може да наруши критически важен за организационната единица процес.

Принцип на минимизация на привилегиите. Той предписва как да се дават на потребителите само тези права на достъп, които са им необходими за изпълнение на служебните задължения.

В нашата нормативна база подробно и категорично са определени критериите за издаване на разрешение на лице за работа с класифицирана информация, като кандидатите се проверяват щателно от съответните служби за сигурност, извършват се проверки и/или беседи, за да не се допусне назначаване на лица, извършили престъпления, душевно болни или ненадеждни от гледна точка на опазване на тайната. Процедурата е дълга и зависи от нивото на класификация на информацията за достъп, до която кандидатства лицето.

Когато кандидатът е одобрен, той трябва да премине обучение12, да бъде запознат с нормативната база и да му бъде проведен изпит по защита на класифицираната информация. Законът изисква тези процедури да са извършени преди встъпването в длъжност и преди да бъде включен в списъка с входящи имена, пароли и допуски. След този момент започва неговото администриране, протоколиране и анализ на действията му като потребител. Когато един потребител напусне организацията, особено в случаите на конфликт между сътрудника и организацията, е необходимо да се действа максимално оперативно. Възможно е и физическо ограничаване на достъпа до работното място.

Понякога обслужването и администрирането на компоненти от АИС и/или мрежи се поема от външни организации. Това може да създаде допълнителни слабости в защитата, които е необходимо да се компенсират със засилен контрол на достъпа или с обучение на собствени служители. Проблемът за обучението на персонала е един от основните, що се отнася до защитата на информацията. Ако служителят не е запознат с политиката за сигурност, тойне може да се стреми към постигането на формираните цели. Ако не знае мерките за сигурност, не може да ги съблюдава. Напротив, ако знае, че неговите действия се контролират, е възможно да се въздържи от нарушение. Обучението трябва да се провежда регулярно и всеки път по различен начин, иначе ще се превърне във формалност и ще загуби своята ефективност.



Организационни мерки за физическа защита. Сигурността на АИС и/или мрежите зависи от обкръжението, в което работят, следователно необходимо е да се предприемат мерки за защитата на сградите и прилежащите територии, поддържащи инфраструктурата и самите компютри.

В нашето законодателство съществува много добра нормативна база по отношение на физическата защита на класифицираната информация13.

Мерките за физическото управление на достъпа позволяват да се контролира и при необходимост да се ограничава влизането и излизането на служители и посетители. Може да се контролира цялата сграда на организацията, както и отделни помещения, например тези, в които са разположени комуникационната апаратура и сървърите (в закона са определени като зони за сигурност). По принцип средствата за физическа защита са известни отдавна. Това са: охрана, прегради, видео наблюдение, обемни детектори и др. Важно е да се разграничат компютрите и потока от посетители, или в краен случай да се направи така, че от прозорците и вратите да не се наблюдават екраните на мониторите и принтерите. При голяма централизирана система, в която много от данните са поверителни, сървърите трябва да са физически обезопасени от случайно или умишлено повреждане. Винаги се намират хора, желаещи да демонстрират своите технически способности, когато има проблеми със сървъра. Поради това най-добре е физически да се елиминира възможността случайни лица да имат достъп до сървъра. Най-простото решение е той да се заключи в отделна стая, в която влизането да е ограничено. Това е стъпка в правилна посока при гарантиране на сигурността на сървъра.

Опасността от пожари е твърде голяма и щетите, които нанасят, също така че противопожарната защита е много съществена част от физическата защита. Необходимо е помещенията, където се намират компютърните системи, да имат противопожарна сигнализация и автоматични средства за пожарогасене.

Към поддържащата инфраструктура могат да се отнесат системите за електро- водо- и топлоснабдяване и средствата за комуникация. Към тях трябва да има същите изисквания за достъпност и цялостност, както и към АИС и/или мрежата. За осигуряване на цялостност е необходимо да се защити оборудването от кражби и повреди.

Нерегламентираният достъп до данните може да се осъществи чрез14: наблюдаване на екрана на монитора, четене на пакети, предавани по локалната мрежа, анализ на излъчваните електромагнитни вълни и др. За съжаление някои от способите за прихващане на данни са леснодостъпни, борбата с тях е трудна и скъпа. Мобилните и преносими компютри, също са обект за нерегламентиран достъп, но според нашето законодателство за тях се изготвят специфични изисквания за физическа сигурност. Такива могат да бъдат например криптиране на данни на дисковете на лаптопите.



Организиране поддържането на работоспособност. През време на експлоатацията на АИС и/или мрежите се крият най-големите опасности за нейната сигурност. Неволните грешки на системния администратор и на потребителите могат да доведат до повреди на апаратурата, разрушаване на програмите и данните, в най- добрият случай се допускат слабости, които повишават рисковете от заплахи. Скъпите мерки за сигурност губят своя смисъл, ако са недобре документирани, в конфликт с други програмни продукти, а паролите на системния администратор не се сменят от момента на инсталация, т.е. за осигуряване на по-добра защита на информацията в АИС и мрежите е необходима ежедневна дейност по поддръжката.

Поддръжката на потребителите например се състои в консултиране и оказване на помощ при разрешаването на различни проблеми. Важно е в потока от въпроси на потребителите да се доловят проблеми, свързани с информационната сигурност. Практически полезно е администраторите да записват въпросите на потребителите, за да могат да извлекат най-често възникващите проблеми и да направят бележки със съвети за най-разпространените.

Поддръжката на програмното осигуряване е съществен елемент от осигуряването на цялостност на информацията. Ако потребителите имат право сами да си инсталират програмни средства, това крие опасност от заразяване с вируси. Големи опасности крие и включването към интернет. В ЗЗКИ категорично се забранява свързването с глобални мрежи на АИС и/или мрежи, в които се създава, съхранява, обработва и пренася класифицирана информация. Въпреки това трябва да се контролират самоволните действия на потребителите по програмните ресурси и да се осъществява контрол и за нерегламентирани промени в програмите и правата за достъп до тях. От практиката е доказано, че колкото е по-автоматизиран е един процес, толкова по-малко вероятни са грешките, така че може да се твърди, че автоматизацията е стълб на сигурността.

За възстановяване на програмите и данните след аварии е задължително да се архивира. И тук е добре процесът да се автоматизира, а копията да се съхраняват на безопасно място, защитено от пожари и други заплахи.

В поддържането на работоспособността и по време на работния процес се налага да се осигури физическа защита и отчет на дискети, ленти, разпечатани на хартия продукти и др. Те трябва да се защитят от нерегламентиран достъп, както и от вредни влияния на околната среда. Управлението на носителите на класифицирана информация обхваща целия им жизнен цикъл. В нормативната ни уредба тези въпроси са строго фиксирани. Магнитните носители на класифицирана информация се завеждат в секретното деловодство по специален ред, а при необходимост се унищожават физически. Колкото до отпечатването на материали, съдържащи класифицирана информация, най-практично и законосъобразно е с помощта на програмни средства да се определи принтер, на който да става това.

Планиране организацията на възстановителните работи. Нито една организация не е застрахована от сериозни аварии, предизвикани от природни бедствия, от нечии злонамерени замисли или от небрежност и некомпетентност. В същото време във всяка организация има информация и функции, които тя смята за особено важни15. Част от организацията по защитата на информацията е планиране на възстановителни работи, което дава възможност да се подготвим за авариите, като намалим загубите от тях и съхраним способността на функциониране на системата, макар и в минимален обем. Процесът на планиране може да се раздели на следните етапи:


  • Определяне на критически важните функции, установяване на приоритетите.

  • Идентификация на ресурсите, необходими за изпълнение на критически важни функции.

  • Определяне на списък на възможните аварии.

  • Разработка на стратегия на възстановителни работи.

  • Подготовка за реализация на изработената стратегия.

  • Проверка на стратегията.

При планирането на възстановителните работи, трябва да се има предвид, че пълно съхраняване на информацията невинаги е възможно. Необходимо е да се определят критично важните функции, да се изведат приоритетите, за да може по-бързо и с минимални загуби да се възобнови дейността след аварията. Критичните ресурси се отнасят обикновено до една от следните категории:

  • Персонал

  • Информационна структура

  • Физическа инфраструктура.

Стратегията трябва да предписва не толкова работа по временна схема, но и възвръщане към нормално функциониране. Подготовката за реализацията на дадена стратегия се състои в изработване на подробен план на действие в екстремни ситуации и осигуряване на резервни ресурси. Последното може да се постигне без голям разход на средства, ако се сключат споразумения с една или няколко организации за взаимна поддръжка в случай на авария. Важна част от подготовката за реализация на стратегията по възстановяване е обучението на персонала.

Това са основните организационни мерки за защита на класифицираната информация в автоматизирани информационни системи и мрежи.




  1. Програмно-технически мерки за защита на класифицираната информация в АИС и/или мрежи

Основната част от загубите се нанасят от действията на легалните потребители, по отношение на които управленските и организационните мерки не дават решаващ ефект. Главните врагове са некомпетентността и неточността на персонала при изпълнение на служебните задължения, опитите за нерегламентиран достъп до системите и само програмно-техническите мерки са в състояние да им противостоят.

Биват програмни и програмно-технически. Към програмните методи могат се отнесат: идентификация и автентификация; управление на достъпа; протоколиране и одит; защита от вируси;



Идентификация и автентификация. Идентификацията позволява на субекта да назове себе си (да съобщи името си). Посредством автентификацията втората страна се убеждава, че субектът е действително онзи, за когото се представя. В качеството на синоним на термина автентификация понякога се използва термина "проверка на идентичност". Субектът може да потвърди своята идентичност, като демонстрира едно от следните качества: нещо, което той знае (парола, личен идентификационен номер, криптографски ключ и пр.); нещо, което притежава (лична карта или друго устройство с аналогично предназначение); нещо, което е част от самия него (глас, отпечатъци от пръсти, роговица и др.).

Надеждната идентификация и автентификация е затруднена по ред причини. Първо, компютърната система се основава на информация във вида, в който е била получена. Второ, почти всички автентификационни същности могат да се узнаят, откраднат или подправят. Трето, има противоречие между надеждната автентификация и удобството на потребителя. И четвърто, колкото по-надеждно е едно средство за защита, толкова е по-скъпо. Най-често разпространеното средство за автентификация са паролите. Системата сравнява въведените и по-рано зададени от потребителя пароли и в случай на съвпадение идентичността на потребителя се счита за доказана. Друго средство, което постепенно набира популярност, са секретните криптографски ключове. Главното достойнство на паролната автентификация е простотата и привичността. При правилно използване паролите могат да осигурят приемливо за много организации ниво на защита. Надеждността на паролата се основава на способността да се помни и пази в тайна. За да се запомня лесно, паролата често се прави елементарна (името на близък, название на коли и отбори и т.н.), което, разбира се, е грешно, защото не е трудно да се отгатне. Паролите могат да бъдат разбрани по много начини: могат да бъдат видени, чрез използване на специални прибори, често се съобщават на колеги, да бъдат разшифровани чрез програмни средства, да бъдат прихванати по електронен път и др.

На практика единственият изход е използването на криптографията за криптиране на паролите. Приложими са следните мерки за повишаване на надеждността: налагане на технически ограничения - паролите да не са кратки, да съдържат букви, цифри и други знаци; управление на сроковете на действие на паролите, тяхната периодична смяна; ограничаване на достъпа до файла с паролите; ограничаване броя на несполучливите опити за вход в системата; обучение на потребителите; използване на програмни генератори на пароли.

Както е известно, едно от най-мощните средства в ръцете на злонамерени лица е изменението на програмата за автентификация, при което паролата не само се проверява, но и се запомня за последващ нерегламентиран достъп.

Устройствата за контрол, базирани на биометрични характеристики, са скъпи и сложни, затова се използват само в специфични организации с високи изисквания за сигурност. Администрирането на идентификацията и автентификацията е много важна и трудна задача. Необходимо е постоянно да се поддържа конфиденциалност, цялостност и достъпност. Най-лесният начин за това е като се централизира процесът на администриране, което позволява да се реализира концепцията за единен вход. Веднъж преминал проверката за идентичност, потребителят има достъп до всички ресурси на мрежата (в пределите на неговите правомощия).

Управление на достъпа. Средствата за управление на достъпа позволяват да се характеризират и контролират действия, които субектите (потребители и процеси) могат да изпълняват над обектите (информации и други ресурси). Тук става дума за логическо управление на достъпа, което се реализира с програмни средства.

Пример: Нека имаме съвкупност от субекти и набор от обекти. Задачата на логическото управление на достъпа се състои в това за всеки субект и обект да се определи списък от допустими операции и да се контролира установеният ред. Контролът за правата на достъп се създава от различни компоненти на програмната среда: операционна система, допълнителни средства за сигурност, управление на база от данни, посредническо-програмно осигуряване и т.н. При вземане на решение за предоставяне на достъп обикновено се анализира следната информация: идентификатор на субекта (потребителя), мрежови адрес на компютър и др.; атрибути на субекта - белега за сигурност, групата на потребителя; място на действието; време на действието; вътрешни ограничения на програмата.

Голяма част от операционните системи и системите за управление на бази от данни реализират произволно управление на достъпа. Основното му достойнство е гъвкавостта. Всеки субект може независимо да задава права за достъп, което е особено лесно, ако се използва списък за управление на достъп. Този подход има редица недостатъци. Децентрализацията на управлението на достъпа води до това, че надеждни трябва да бъдат много потребители, а не само системните оператори и администратори. Разсеяността и некомпетентността на притежателя на класифицирана информация може да доведе до откриването й от всички потребители.

Следва да се подчертае важността на управлението на достъпа, което трябва да бъде заложено в съществуващата политика за сигурност, а също и квалифицираното системно администриране.

Протоколиране и одит. Под протоколиране се разбира информация за събития, които се случват в информационната система на организацията. Във всеки програмен продукт има набор от възможни събития, но в най-честия случай могат да се подразделят на вътрешни (предизвикани от действията на самия продукт), външни (предизвикани от действия на други продукти) и клиентски (предизвикани от действията на потребителите и администраторите).

Одит - това е анализ на събраната информация, провеждан оперативно, в реално време или периодично. Целите на протоколирането и одита са:


  • осигуряване на отчетността на потребителите и администраторите;

  • възможност за реконструкция на последователността на събитията;

  • регистриране на опитите за нарушение на информационната сигурност;

  • предоставяне на информация за проявленията и анализа на проблемите.

Протоколирането трябва да се ръководи от здрав разум: какви събития да се регистрират и с каква степен на детайлизация? Необходимо е да се обърне внимание на постигането на целите, от една страна, а от друга разходите за ресурси да не са над разумните граници. Твърде детайлното протоколиране не само снижава производителността, но и затруднява одита.

Друга особеност на протоколирането и одита е зависимостта от други средства за сигурност. Идентификацията и автентификацията са отправна точка за отчетността за потребителите. Осигуряването на отчетност е важно като средство за предупреждение. Ако потребителите знаят, че техните действия са фиксирани, те ще се въздържат от незаконни операции. Очевидно е, че ако се подозира един потребител в опити за нерегламентиран достъп, могат да се регистрират неговите действия особено детайлно, стигайки до всяко натискане на клавиш. Това само по себе си защитава цялостта на информацията.

Реконструкцията на последователността на събитията позволява да се открият слабостите на защитата на системата, да се намери виновникът, да се оцени мащабът на причинената вреда и да се върне към нормална работа. Анализът на проблемите може да помогне да се подобри такъв параметър на защитата като достъпност. Протоколирането и одитът могат да се превърнат в безсмислена формалност, но могат да бъдат и ефективен инструмент за поддържане режима на информационна сигурност.

Защита от вируси. За защита от вируси се използват специални антивирусни програми. По принцип е невъзможно да се създаде програма, защитаваща от всички възможни вируси. Антивирусните програми правят следното: предотвратяват активирането на вирусите, премахват ги; възстановяват до известна степен причинените от вирусите щети; държат вирусите под контрол след тяхното активиране.


Един от най-добрите начини за предпазване от вируси е предотвратяването на нерегламентиран достъп. За целта администраторът трябва да вземе всички предпазни мерки. Политиката за въвеждане на антивирусна защита на клиентските компютри и мрежовите сървъри е част от политиката за сигурност.

Програмно-техническите мерки включват: криптографиране на данните; екраниране; използване на терминали; използване на непрекъсваемо електрозахранване.

Програмно-технически способи на защита. Едно от най-мощните средства за защита на поверителността и цялостността на информацията е криптографията. В много отношения тя заема централно място сред програмно-техническите мерки за сигурност. Например при преносимите компютри, където физическата защита е много трудна, само криптографията позволява да се гарантира конфиденциалност на информацията, даже в случай на кражба. Има три подхода за криптиране на данните – програмен, технически и програмно-технически. При първия начин криптирането на данните се извършва от специална помощна програма. Данните, изпратени по мрежата, са "разбъркани" по някакъв алгоритъм. Така, дори и някой да се закачи към кабела и да открадне данни, тяхното разчитане е изключително сложно и практически трудно осъществимо. Когато данните стигнат до получателя, помощна програма декодира криптираните данни и ги превръща отново в разбираема информация. Модерните методи за криптиране автоматизират и двата процеса - криптиране и декриптиране.

При техническите (хардуерни) системи за криптиране се използва специална електронна апаратура. Много важна част от една компютърна мрежа са кабелите. Всеки кабел действа като антена и излъчва в ефира сигнал, макар и с много малко ниво. Това обаче е напълно достатъчно сигналът да бъде уловен с подходящо електронно подслушвателно устройство. Информацията може да бъде открадната и директно от самия кабел с помощта на съответно оборудване. Затова до кабелите, по които се предава поверителна информация, достъп трябва да имат само оторизирани лица. Това може да се осъществи при подходящо планиране, като кабелите се прокарат по добре защитени трасета.

За подобряване на сигурността на компютърната мрежа е важно какви кабели се използват. Най-сигурни са кабелите с оптични нишки, тъй като в тях информацията се пренася под формата на модулирани светлинни импулси. Това е относително сигурен начин за пренасяне на данни, защото по кабела не се пренасят електрически импулси, т.е. те не могат да бъдат подслушвани, за да се откраднат данни, което е възможно при всички видове медни кабели.

При програмно-техническия подход се обхващат съществените предимства на единия и другия начини, описани по-горе.



Екраниране. В известен смисъл всеки ресурс се пази от защитна стена. В тази стена има врати, през които потребителите могат да преминат, за да ползват ресурса. Някои врати позволяват на потребителя да прави повече неща с ресурса, отколкото други. Администраторът определя кои потребители през кои врати могат да минават. Някои врати позволяват пълен достъп или пълен контрол над ресурса, докато други предоставят достъп например само за четене. Всеки отделен ресурс или файл съдържа в себе си списък с потребителите или групите и асоциираните с тях позволения (врати).

Използване на терминали. Терминалите (или компютри без дискове) нямат флопи- и хард дискове. От гледна точка на сигурността тези компютри са идеални, защото потребителят не може да свали файлове и да ги вземе със себе си. Те не се нуждаят от диск за първоначално зареждане, могат да комуникират със сървъра и да влизат в системата благодарение на специален чип за първоначално зареждане, инсталиран на мрежовата адаптерна карта. При включването на такъв компютър, чипът изпраща съобщение на сървъра, че желае да зареди. Сървърът отговаря, сваляйки зареждащ софтуер в RАМ паметта на този компютър, и автоматично показва на екрана прозореца за влизане в системата като част от процеса на зареждане. След като потребителят влезе, компютърът е свързан към мрежата.

Използване на непрекъсваемо електрозахранване. В случай на бедствие, предизвикано от проблеми в електрозахранването, необходимото време за възстановяване на данните от архива може да доведе до сериозно намаляване на продуктивността. Има начин за подсигуряване срещу загуба на данни чрез използване на непрекъсваемо електрозахранване (UPS). Стандартните UPS устройства осигуряват два критично важни компонента за мрежата: източник за захранване на сървъра за определено време; безопасно изключване на системата.

При прекъсване на електрозахранването UPS системата предупреждава потребителите да прекратят работата по текущите задачи. След това изчакваопределено време, зададено предварително, и изключва системата.


Заключение


Могат да се изброят и много други управленски, организационни, програмни и програмно-технически мерки за защита на класифицираната информация в АИС и/или мрежи, още повече че практиката по този проблем е все още минимална. Малко са сертифицираните системи и мрежи у нас, все още няма утвърдени процедури по прилагането на ЗЗКИ и съпътстващите го наредби. В хода на работата в организационните единици възникват въпроси и предложения, които предстои да бъдат прилагани и решавани. От практическа гледна точка могат да се дадат следните препоръки:

  • Необходима е по-добра координация (особено в големи организационни единици) между отделите „Човешки ресурси” и администраторите на АИС и/или мрежи. Така те ще бъдат уведомявани своевременно за новоназначени, преместени и напуснали служители, за даване и респективно отнемане на права за достъп до класифицирана информация в съответните организации.

  • Администраторите на мрежата следва да следят за новостите в организационно и техническо отношение за защита на класифицираната информация и да информират за тях ръководството и потребителите. Потребителите, освен обучение във връзка с прилагането на ЗЗКИ и поднормативните актове, биха могли да преминат и обучение по отношение защитата на сигурността на персоналните си компютри и данните, които създават, обработват и съхраняват в тях. Това обучение може да се замени с ръководство на потребителя, където да бъдат описани най-честите проблеми при работата с програмните продукти в съответната организационна единица, да бъдат посочени разрешения на тези проблеми, както и методи за защита на персоналната информация на всеки потребител с достъп до класифицирана информация.

  • По-добро отчитане на особеностите в жизнения цикъл на системата, който включва:

    • Задание, т.е оформя се разбирането за това, че е необходимо да се придобие нов или значително да се модернизира съществуващият продукт; изпълняват се задания какви характеристики и какви функции трябва да притежава; оценяват се финансовите и други ограничения, като задължително се отчита, че ще се обработва класифицирана информация. Прави се оценка на критичността на самата система, от която зависи степента на внимание, което службата за сигурност на организационната единица трябва да отдели на системата през следващите етапи от жизнения й цикъл.

    • Закупуване - най-трудният етап, защото е необходимо да се формулират изискванията към средствата за защита на новата система, към фирмата, която ще разработва и инсталира системата, към квалификацията на персонала и пр. Всички тези сведения се оформят в спецификацията, където влизат документацията, сервизното обслужване, обучението на персонала и др. Особено внимание трябва да се обърне на въпроса за съвместимостта на новата система с наличните конфигурации, нерядко средствата за защита са незадължителни компоненти на търговските продукти и е необходимо да се проследят внимателно дали съответните пунктове не са отпаднали.

    • Инсталиране - период от време за установяване, конфигуриране, тестване и въвеждане в експлоатация.

    • Експлоатация - това е най-дългият и сложен процес. Най-голяма заплаха за информацията има през този етап. Ако сигурността на една система не се поддържа, тя отслабва. Потребителите не държат ревностно да изпълняват инструкциите, администраторите с по-малка бдителност анализират регистрационната информация. Ту един, ту друг потребител получава допълнителни привилегии. На пръв поглед нищо не се изменя, но на практика се нарушава защитата на информацията. За борба с ефекта на бавните изменения трябва да се прибегне до периодични проверки на сигурността на системата за защита.

    • Извеждане от експлоатация - за АИС и/или мрежи, в които се обработва класифицирана информация, при извеждане на системата от експлоатация трябва да се унищожават физически апаратните компоненти, носители на такава информация (подробно този въпрос се анализира в цикъла от лекции на автора)

И накрая, следва да се има предвид, че интернет е постоянно променяща се среда, така че и към момента на публикуването, някои факти вече може да са се променили.
Нормативни актове

  1. Закон за защита на класифицираната информация, ДВ, бр. 45/2002.

  2. Закон за защита на личните данни, ДВ, бр. 1/2002.

  3. Наредба за задължителните общи условия за сигурност на автоматизираните информационни системи/мрежи, в които се създава, обработва, съхранява и пренася класифицирана информация, ПМС № 99/10.05.2003, ДВ, бр. 46/2003.

  4. Наредба за криптографска сигурност на класифицираната информация, ДВ, бр. 102/21.11.2003.

  5. Правилник за прилагане на Закона за защита на класифицираната информация, ПМС № 276/02.12.2002, ДВ, бр.115/10.12.2002.

  6. Доктрина за комуникационните и информационни системи на БА, 2001, приета от Съвета по отбрана, Протокол № 4/04.03.1999.

  7. Концепция за информационна стратегия на МО, приета от Съвета по отбрана, Протокол № 6/20.04.1999.

  8. Концепция за информационна дейност на МВР, ДВ, бр. 38/30.04.2001.

1 Закон за защита на класифицираната информация, ДВ, бр. 45/2002.

2 По подробно определението е дадено в Петров, Р., Защита на информацията в компютрите и мрежите, Издателство „Корени", С., 2002.

3 http://www.idg.bg (май 2005)

4 Така се определят в закона организациите и фирмите, работещи с класифицирана информация.

5 Наредба за задължителните общи условия за сигурност на автоматизираните информационни системи/мрежи, в които се създава, обработва, съхранява и пренася класифицирана информация, ПМС № 99/10.05.2003, ДВ, бр. 46/2003.

6 По подробно този елемент е развит в учебника на Павлов, П., Актуални информационни технологии в отбраната и сигурността, УИ „Стопанство”, 2001.

7 По подробно този въпрос е развит в гл. 4 на учебника: Павлов, Г., Информационни технологии в отбраната и сигурността, УИ „Стопанство”, 2003. В ЗЗКИ се определят три нива: „строго секретно”, „секретно”, „поверително” и „за служебно ползване”.

8 Пак там.

9 Тези елементи са подробно описани в издадените от ДКСИ методика за физическа сигурност.

10 „Документалната сигурност” е най-добре развитият елемент в законодателството и затова не се разглежда в статията.

11 Понятията „информационна ценност” и „критична информация” са развити подробно в учебника на автора: Павлов, Г., Информационни технологии в отбраната и сигурността, УИ „Стопанство”, 2003, и накратко включват: тип, място на използване, отговорник, начин за съхранение и отчетен номер.

12 УНСС е една от трите организации, които могат да провеждат това обучение.

13 Закон за защита на класифицираната информация, ДВ, бр. 45/2002, и съпътстващите го наредби.

14 По-подробно въпросът е разгледан в гл. 6 на авторския учебник.

15 Виж гл. 6 от авторския учебник.

Каталог: alternativi -> br5
alternativi -> Корпоративното управление: от правна норма към управленска практика относно етапите в еволюцията
alternativi -> Кръгла маса по проблемите на компютърните престъпления срещу интелектуална собственост
alternativi -> Основни информационни източници за социалната статистика доц д-р Никола Чолаков, унсс, катедра „Труд и социална защита”
br5 -> Гл ас д-р Мая Ламбовска
alternativi -> Балансираните карти за оценка доц д-р Огнян Симеонов
br5 -> Иконометрична характеристика на динамични редове
br5 -> Икономически растеж и финансово (банково) посредничество гл ас д-р Екатерина Сотирова, унсс, катедра „Икономикс”
br5 -> Резюме: в статията се анализира един от ключовите проблеми на фамилния бизнес: унаследяването и осигуряването на приемственост в бизнеса
br5 -> Предизвикателства и възможности за изграждане на нови производствени енергийни мощности ст ас. Николай Щерев, Димитър Благоев унсс, катедра „Индустриален бизнес и предприемачество”


Сподели с приятели:




©obuch.info 2024
отнасят до администрацията

    Начална страница