Современные информационные технологии/4.Информационная безопастность

Студент Лимар І.Д., доцент кафедри КСЗІ Пархоменко І.І.

Національний авиаціонний університет,Україна

Розробка та реалізація комплексу заходів по забезпеченню безпеки компанії від внутрішніх загроз

Останнього часу в галузі інформаційної безпеки все більше стають нагальними теми о внутрішніх загрозах. Такі загрози можуть бути реалізовані співробітниками компанії і принести різного роду шкоду їх роботодавцю за умови успішного виконання. Таких внутрішніх порушників зазвичай іменують інсайдерами, а їх протиправні дії (а саме потенціальні) модуть розміщуватися як в інформаційнії, так і в економічній, фізичній, психологічній та кадровій діяльності компанії.

Крім застосування класичних, технічних та організаційних заходів захисту інформації, експертами відзначається також важливість використання таких методів запобігання внутрішніх загроз, як контроль психологічного стану співробітників, їх економічного становища, рівня їх відданості, сфери хїх інтересів, а також створення сприятливого для лояльних і несприятливого для нелояльних співробітників мікроклімату в компанії.

Таким чином, для зменшення кількості ймовірних атак, здійснюваних інсайдерами ( які також іменуються як внутрішні користувачв або співробітники), необхідне стровення повного захищеного інформаційного середовища, в якому присутні елементи інформаційної, фізичної та інших типів безпеки. У даному середовищі слід створити такі умови, пи яких інсайдеру буде проблематично зробити які-небудь дії, які схильні до хоча б передумови створення і ралізації загрози. Метою даної роботи є опис реалізованих заходів щодо створення подібного захищеного середовища в компанії. Для досягнення даної мети були поставлені наступні завдання:

1. Розробка та реалізація комплексу заходів інформаційної безпеки.

2. Розробка та реалізація комплексу заходів економічної безпеки.

Обєктом в даній роботі має місце компанія під назвою «Альма-старт». Численність якої становить приблизно 300 чоловік, такоє цілями організації є продаж різних матеріалів дрібного призначення та аксесуарів одягу. Філія компанії розташовується по всьому СНД. Предметом роботи виступають методи створення довіреного захищеного інформаційного середовища в компанії, застосовані для мінімізації ризиків інформаційної, економічної та фізичної безпеки.

У першій частині даної роботи описуються пройдені попередні кроки для досягнення проставлених цілей:

1. Розробка внутрішньої нормативної та організаційної документації.

2. Опис моделі і типу передбачуваного порушника, моделі загроз.

Метою створення КСЗІ є виявлення та протидія загрозам безпеці інформації з обмеженим доступом (ІзОД), що обробляється та зберігається в АС в усіх режимах її функціонування, з метою попередження порушення конфіденційності, цілісності та доступності ІЗоД. КСЗІ повинна створюватися відповідно до вимог із захисту інформації від НСД та технічного захисту інформації і є комплексом програмних і технічних засобів та організаційних заходів.

Комплексна система захисту інформації (КСЗІ) – сукупність організаційних і інженерних заходів, програмно-апаратних засобів, які забезпечують захист інформації в АС; Отже основною метою створення КСЗІ є об’єднання в єдину систему всіх необхідних заходів і засобів захисту від різноманітних загроз безпеці інформації на всіх етапах життєвого циклу АС.

КСЗІ повинна забезпечувати виконання наступних завдань:

· розмежування та контроль доступу користувачів установи згідно їх повноважень до ІзОД установи та ресурсів;

· реєстрацію даних про події, що відбуваються в системі і мають відношення до безпеки інформації;

· захист від проникнення і поширення комп'ютерних вірусів;

· виявлення вразливостей в операційних системах;

· захист від атак порушників безпеки;

· захист інформації під час передачі телекомунікаційним середовищем;

· розмежування та контроль доступу;

· реєстрацію даних про події, що відбуваються в системі і мають відношення до безпеки інформації;

· контроль за функціонуванням КСЗІ.

· підтримку цілісності середовища виконання прикладних програм та ІзОД;

· виявлення уразливостей в операційних системах;

· захист від атак порушників безпеки;

· контроль за функціонуванням та наданням послуг АС згідно зі встановленою політикою безпеки і функціональними можливостями всієї системи.

· відкат до попереднього стану системи, при порушені в роботі, чи порушенні цілісності даних.

У другій частині роботи описується методологія вибору деяких рішень для реалізації заходів щодо забезпечення безпеки компанії «Альма-старт» від внутрішніх згроз, вказуються плюси та мінуси рішень, виявлені за результатами їх використання:

1. Вибір комплексних засобів захисту, такі як Лоза, страж NT, і т. д.

2. Вибір антивірусного і фаервольного рішень для складання частини безпеки в загільній політиці безпеки на рівні працівників.

3. Налаштування політики безпеки на комп’ютерах працівників відповідно до створеної схеми КСЗІ.

4. Вибір проксі-сервера.

5. Вибір ПЗ для повного моніторингу всієї мережі та користувачів зокрема.

6. Вибір ПЗ для програмної підтримки діяльності в галузі забезпечення економічної безпеки.

Вибір комплексного засобу захисту для побудови комплексної системи захисту інформації на підприємстві в першу чергу залежить від рівня гарантії якиї підбирається при побудові КСЗІ. Наприклад, для авторизованої системи класу 1 використовується програмне забезпечення, яке має назву Лоза -1. Дане програмне забезпечення працює під операційними системами сімейства Windows іч застосовується для зберігання інформації, яка містить державну таємницю. Лоза – 1 є сертифікованим програм забезпеченням відповідно ДСТЗІ. Для АС класу 2 використовується вже програмне забезпечення Страж NT, котре також працює у Windows та є сертифікованим відповідно до ДСТЗІ.

Вибір антивірусного захисту також йде відносно встановленого рівня гарантії. На даний час лідерство в цьому сегменті займають такі антивіруси як Kaspersky та Eset nod32.

Антивірус касперського – це антивірусне програмне забезпечення, що розробляється лабораторією касперського. Забезпечує захист від вірусів, троянських, шпигунських програм, руткітів, єдвейр, а такоє невідомих загроз безпеці за допомогою проактивного захисту, що включає компонент HIPS.

Для цього антивірусу можно віділити такі основні функції:

- Базовий захист;

- Запобігання загроз;

- Відновлення системи і даних;

- Захист конфіденційної інформації

Антивірус Eset nod32 – антивірусний пакет, що випускається словацькою фірмою Eset. Даний антивірус також забезпечує захист у реальному часі від вірусів та інших загроз, включаючи троянськіх програм, червяків, спайвере, едвере та фітинг атак.

Функції:

- Модуль захисту від вірусів та шпигунських програм

- Персональний брандмауер

- Модуль захисту від небажаної пошти

- Eset SysRescue – інструмент що допомагає створити завантажувальний носій для запуску ПО Eset окремо від операційної системи.

- Захист документів.

Також у другій частині роботи проводится оцінка економічної ефективності реалізованих заходів на основі відомостей про проведені внутрішніх перевірок по інцидентам інформаційної безпеки, зафіксованим системою КЗЗ.

У третій частині роботи детально описані пакети реалізованих заходів щодо забезпечення інформаційної та економоічої безпеки компанії «Альма-старт» від внутрішніх загроз, із зазначенням назви заходу, мети, вихідного стану, результату на примітки. Наприкінці частини вказані консолідовані результати застосування розроблених та реалізованих заходів.

Основні результати даної роботи такі:

1. Піднята тема взаємопвязаності багатьох видів безпеки (інформаційної та економічної) і порушена тема створення довіреного захищеного інформаційного середовища в компанії «Альма-старт».

2. Описано набір кроків для створеня такого інформаційного середовища з методологією вибору продуктів і приведенням реалізованих заходів захисту.

3. Проведено розрахунок економічної ефективності реалізованих заходів.

Література:

1. "Загальні положення щодо захисту інформації в комп’ютерних системах від несанкціонованого доступу" (НД ТЗІ 1.1 – 002 – 99);

2. "Типове положення про службу захисту інформації в автоматизованій системі" (НД ТЗІ 1.4 – 001 – 2000);

3. "Класифікація автоматизованих систем і стандартні функціональні профілі захищеності оброблюваної інформації від несанкціонованого доступу" (НД ТЗІ 2.5 – 005 – 99);

4. "Критерії оцінки захищеності інформації в комп’ютерних системах від несанкціонованого доступу" (НД ТЗІ 2.5 – 004 – 99);