БАЗОВИЙ ПІДХІД: ВИБІР ЗАСОБІВ ЗАХИСТУ ВІДПОВІДНО ДО ТИПУ СИСТЕМИ
Як описано в розділі 8, є два різні набори засобів захисту, механізмів та (або) процедур, які можна застосовувати для захисту інформаційних систем. З одного боку, є доволі багато організаційних категорій засобів захисту, які є загальноприйнятними для кожної інформаційної системи за конкретних обставин (як описано в 8.1), незалежно від окремих компонентів. Вибір цих засобів захисту описано в 9.1. Внаслідок їх загальної застосовності, засоби, які належать до цих категорій треба завжди розглядати. До того ж, багато з них є недорогими для впровадження, оскільки вони стосуються організаційних структур та процедур.
З іншого боку, є специфічні засоби захисту інформаційної системи (як описано в 8.2) — вибір цих засобів захисту залежить від типу та характеристик інформаційної системи, що розглядається. Вибір цих засобів описано в 9.2.
Звичайно, можливо, що одна чи більше з цих категорій або специфічних засобів захисту не є застосовними до інформаційної системи. Наприклад, шифрування може не бути необхідним, якщо відправлена чи отримана інформація не потребує конфіденційності, а цілісність може бути перевірена іншим чином. Знову ж таки, детальніший вибір можна зробити, тільки враховуючи наступну інформацію (див. розділи 10 та 11).
Після того, як визначені всі типи засобів захисту, застосовні до обговорюваної інформаційної системи, подальша інформація щодо цих типів засобів захисту та специфічних засобів може бути отримана з розділу 8 та одного чи більше документів, наведених у додатках А—Н (посилання на розділ 8 наведено в таблиці в кінці розділу 9). Перед реалізуванням вибраних засобів захисту треба ретельно перевірити, чи їх немає серед наявних та (або) запланованих (див. 7.3).
Використання детальнішого аналізування для вибору додаткових засобів розглянуто нижче (див. розділи 10 та (або) 11). Якщо засоби захисту вибрані відповідно до інших критеріїв (наприклад базові та додаткові засоби), остаточний набір засобів для впровадження треба робити обережно. Після перегляду декількох інформаційних систем, потрібно розглянути, чи можна запровадити базову безпеку для всієї організації (розділ 12).
Інша можливість вибору засобів захисту без детального розгляду — це застосування баз, пов’язаних з конкретним використанням. Наприклад, доступні базові довідники для телекомунікацій, охорони здоров'я, банківської справи (див. додатки В, Е та F) і багато інших. У разі використання цих довідників, наприклад, можливо перевірити наявні чи заплановані засоби на відповідність рекомендованим. Але перед вибором того, які засоби захисту треба впроваджувати, корисно розглянути потреби та проблеми безпеки.
Засоби захисту загального застосування
Категоріями загального застосування засобів захисту є:
керування інформаційною безпекою та політики безпеки (8.1.1),
перевіряння узгодженості безпеки (8.1.2),
реагування на порушення (8.1.3),
персонал (8.1.4),
питання експлуатації (8.1.5),
планування неперервності бізнесу (8.1.6) та
фізична безпека (8.1.7).
Засоби захисту, які належать до цих категорій формують основу успішного керування інформаційною безпекою, їх не треба недооцінювати. Також важливо забезпечити взаємодію цих засобів з більш технічними засобами, що розглядаються нижче. Організація визначає обсяги робіт у цих сферах, залежно від її потреб, проблем (див. розділ 10) та доступних ресурсів.
Звичайно, багато інших категорій засобів захисту застосовні в більшості випадків, але спосіб реалізації зазвичай є відповідним конкретним обставинам (наприклад, засоби, які забезпечують контроль доступу для мережі відрізняються від тих засобів, що забезпечують контроль доступу для автономного комп’ютера).
Коли засоби захисту вибирають з категорій загально застосовних засобів, корисно розглядати розмір організації так само, як потреби безпеки, оскільки він впливає на межі, в яких реалізуються ці засоби захисту. Наприклад, маленька організація не буде мати ні потреби, ні персоналу для створення комітету інформаційної безпеки, проте має бути хтось, хто виконує ці функції. Тому всі засоби захисту, наведені в 8.1, мають бути відповідно зважені, коли б це не знадобилося.
Специфічні засоби захисту інформаційної системи
На додаток до засобів захисту загального застосування, для кожного відповідного типу системного компонента треба вибирати специфічні засоби захисту системи. Нижченаведена таблиця дає приклад того, як починати процес вибору специфічних засобів системи. В цьому прикладі 'X' означує засоби, що мають реалізовуватись за нормальних обставинах, та ‘(X)' означує засоби, що можуть бути необхідними за деяких обставин. Процес вибору засобів захисту буде продовжено під час розгляду описів засобів захисту, наведено у 8.2, та, за потреби, з документів базових засобів захисту, наведених у додатках А—Н.
|
|
Автономна робоча станція |
Робоча станція (клієнт без спільних ресурсів), під’єднана до мережі |
Сервер чи робоча станція зі спільними ресурсами, під’єднана до мережі |
|
І&А |
|
|
|
|
І&А на основі інформації, якою володіє користувач |
X |
X |
X |
|
І&А на основі дечого, чим володіє користувач |
X |
X |
X |
|
І&А на основі того, ким є користувач |
(X) |
(X) |
(X) |
|
Контроль логічного доступу та аудит |
|
|
|
|
Політика контролю доступу |
|
|
X |
|
Доступ користувачів до комп’ютерів |
X |
X |
X |
|
Доступ користувачів до даних, служб та програм |
X |
X |
X |
|
Перегляд і оновлення прав доступу |
|
|
X |
|
Журнали аудиту |
X |
X |
X |
|
Зловмисний код |
|
|
|
|
Сканери |
X |
X |
X |
|
Програми перевіряння цілісності |
X |
X |
X |
|
Контроль за обігом переносних носіїв інформації |
X |
X |
X |
|
Процедурні засоби захисту |
X |
X |
X |
|
Керування мережею |
|
|
|
|
Методика експлуатації |
|
|
X |
|
Планування системи |
|
|
X |
|
Конфігурація мережі |
|
|
X |
|
Відокремлення мережі |
|
|
X |
|
Моніторинг мережі |
|
|
X |
|
Виявлення вторгнень |
|
|
X |
|
Криптографія |
|
|
|
|
Захист конфіденційності даних |
(X) |
(X) |
(X) |
|
Захист цілісності даних |
(X) |
(X) |
(X) |
Кінець таблиці
|
|
Автономна робоча станція |
Робоча станція (клієнт без спільних ресурсів), під'єднана до мережі |
Сервер чи робоча станція зі спільними ресурсами, під'єднана до мережі |
|
Неспростовність |
|
(X) |
(X) |
|
Автентичність даних |
(X) |
(X) |
(X) |
|
Керування ключами |
(X) |
(X) |
(X) |
ВИБІР ЗАСОБІВ ЗАХИСТУ ВІДПОВІДНО ДО ПРОБЛЕМ ТА ЗАГРОЗ БЕЗПЕЦІ
Вибір засобів захисту відповідно до проблем та загроз безпеці, описаний в цьому розділі, можна використовувати таким чином.
Перший крок — визначити та оцінити проблеми безпеки. Треба розглянути вимоги до конфіденційності, цілісності, доступності, спостережності, автентичності та надійності. Міцність та кількість вибраних засобів захисту має відповідати оціненим проблемам безпеки.
Другий — для кожної проблеми безпеки визначають типові загрози і для кожної загрози пропонують засоби захисту інформаційної системи, що розглядається. Різні типи інформаційних систем описано в підрозділі 7.1, можливі засоби захисту наведено в підрозділах розділу 8. У такий спосіб можливо задовольнити специфічні потреби безпеки та досягнути захисту там, де він дійсно необхідний.
Оцінювання проблем безпеки
Для ефективного вибору прийнятих засобів захисту, необхідно розуміти проблеми безпеки підтримуваних ділових операцій інформаційною системою, що розглядається. За допомогою визначення проблем безпеки, беручи до уваги відповідні загрози, що можуть призвести до цих проблем, засоби захисту треба вибирати, як описано в 10.2—10.5.
Якщо оцінювання, проведено згідно з положеннями цього підрозділу виявляє дуже великі проблеми безпеки, рекомендується деталізованіший підхід для визначання прийнятного захисту. Допомогу з цього питання можна знайти в розділі 11.
Проблеми безпеки мають містити:
втрату конфіденційності,
втрату цілісності,
втрату доступності,
втрату спостережності,
втрату автентичності та
втрату надійності.
Оцінювання має охоплювати саму інформаційну систему, інформацію, що зберігається чи обробляється на ній, та ділові операції, які вона виконує. Це оцінювання визначає цілі вибраних засобів захисту. Різні частини інформаційної системи або інформація, що зберігається чи обробляється, можуть мати різні проблеми безпеки. Важливо пов’язувати проблеми безпеки безпосередньо з цінностями, оскільки це впливає на загрози, які можуть з’являтися, і, таким чином, на вибір засобів захисту.
Значимість проблем безпеки може бути оцінена залежно від того, чи порушення безпеки спричинює серйозні ушкодження ділової діяльності, або ж тільки завдає легкої шкоди, чи не впливає зовсім. Наприклад, якщо конфіденційна інформація компанії обробляється інформаційною системою, несанкціоноване розкриття цієї інформації конкуренту може дозволити йому зробити дешевші пропозиції і, таким чином, заподіяти серйозні збитки бізнесу організації. З іншого боку, якщо інформація, яка доступна широкому загалу, обробляється інформаційною системою, несанкціоноване розкриття не заподіє ніяких збитків. Розгляд можливих загроз (див. 10.2—10.5) може допомогти з’ясувати проблеми безпеки. Оцінювання, описане нижче, треба проводити окремо для кожної цінності, оскільки проблеми безпеки для різних цінностей можуть бути різними. Однак, якщо є достатніми знання з проблем безпеки, цінності з однаковими чи схожими діловими потребами та проблемами безпеки можуть бути об’єднані в групи.Якщо інформація, оброблювана системою, є різнотипною, різні її типи можуть вимагати окремого розгляду. Захист, що надається інформаційній системі, має бути достатнім для всіх типів оброблюваної інформації. Таким чином, якщо певна інформація потребує високого рівня безпеки, всю систему треба захищати належним чином. У випадку, якщо кількість інформації з великими потребами безпеки незначна, є сенс розглянути перенесення цієї інформації в іншу систему, якщо це не заважає діловим процесам.
Коли всі можливі втрати конфіденційності, цілісності, доступності, спостережності, автентичності та надійності визначені як можлива причина тільки незначної втрати, достатню безпеку системи, що розглядається, може забезпечувати підхід, описаний в підрозділі 10.2. Коли будь-яка з цих втрат визначена як можлива причина серйозних збитків, треба оцінити, чи потрібно підбирати засоби захисту, додаткові до зазначених у підрозділах 10.2—10.5. Пропозиції детальнішого оцінювання та вибору засобів захисту відповідно до результатів цих оцінювань наведено в ISO/IEC TR 13335-3 та в розділі 11. Проте пропоновані засоби, починаючи із зазначених у 10.2, можуть бути використані як основа для удосконалювання вибору.
Утрата конфіденційності
Розглянемо, які збитки можуть виникнути внаслідок втрати конфіденційності цінностей, що розглядаються (зловмисної чи незловмисної). Наприклад, втрата конфіденційності може призвести до:
втрати суспільної довіри чи погіршення репутації,
судової відповідальності, включаючи відповідальність за порушення законодавства про захист даних,
несприятливі наслідки організаційної політики,
загрози власній безпеці та
фінансових втрат.
Відповідно до відповідей на поставлені вище питання, має бути вирішено, чи будуть загальні збитки, що можуть виникнути внаслідок втрати конфіденційності, значними, незначними чи нульовими. Це рішення має бути задокументовано.
Утрата цілісності
Розглянемо, які збитки можуть виникнути внаслідок втрати цілісності згаданих цінностей (зловмисної чи незловмисної). Наприклад, втрата цілісності може призвести до:
прийняття невірних рішень,
обману,
порушення ділових функцій,
втрати суспільної довіри чи погіршення репутації,
фінансових втрат та
судової відповідальності, включаючи відповідальність за порушення законодавства про захист даних.
