Майкл Суркан (PC Week Labs)
Резюме
По заключению PC Week Labs, правительственные рекомендации в области безопасности могут пригодиться и в корпоративных ЛВС
Искушение отбросить предварительный доклад президентской комиссии по защите критически важных инфраструктур (Presidential Commission on Critical Infrastucture Protection - PCCIP), даже не читая его, может оказаться сильным. Кому нужен еще один продукт жизнедеятельности государственного организма, порожденный далекими от реальной жизни вашингтонскими чиновниками?
Однако не торопитесь поддаться такому желанию. Тестовый центр PC Week Labs изучил этот документ под названием “Critical Foundations” (“Основополагающие принципы”, его можно получить с Web-узла по адресу: www. pccip.gov/report_index.html), и счел его достойным внимания. В нем рассмотрены те вопросы сетевой безопасности, которые уже десятки лет тревожат и менеджеров по информационным технологиям, обеспокоенных защитой своих корпоративных систем.
Основная идея документа - защита нации от электронного вторжения. Возможно, это выходит за рамки интересов большинства сетевых менеджеров, но принципы киберзащиты в национальном масштабе могут найти применение даже в малых сетях.
С ростом нашей зависимости от компьютеров, а значит, и от сетевой связи между ними, возрастает экономическая уязвимость компаний, причем с совершенно неожиданной стороны. Однако это еще не все. Как это ни странно, но из доклада президентской комиссии следует, что сети делают нас более беззащитными и перед традиционными стихийными бедствиями.
Современные системы связи создают непреодолимое искушение организовать единую компьютерную сеть и централизовать управление ею. Ведь это так упрощает администрирование и снижает экономические затраты!
Но по мере того как серверы и вычислительные ресурсы филиалов перемещаются в информационные центры, благополучие компании становится все более зыбким. Любой сбой в работе главного нервного центра может застопорить деятельность всей компании. Поэтому есть смысл распределить имеющиеся вычислительные ресурсы по корпоративной сети. Если одно из подразделений компании подвергнется бедствию (будь то наводнение, землетрясение или электронное нападение), остальные все же смогут продолжать работу.
Многие старые постулаты безопасности данных, в том числе избыточность систем, актуальны сегодня так же, как и 40 лет назад. Никогда не забывайте: самая надежная линия обороны - регулярное и полное резервное копирование.
Доклад напоминает нам, что старые проблемы, ошибки, промахи и недовольные служащие не исчезли и по сей день. Многие из крупнейших сетевых аварий, отмеченных за последние годы, были вызваны такими тривиальными причинами, как порванные волоконно-оптические кабели и программные ошибки на сетевых серверах.
В нашем взаимосвязанном мире эти неизбывные проблемы приводят к гораздо более серьезным последствиям. Но нет худа без добра. Решая их, вы одновременно защищаете свою сеть от новых угроз, от кого бы они ни исходили: от развлекающегося хакера или от конкурента, пытающегося выудить вашу внутреннюю информацию.
Конечно, некоторые рекомендации комиссии, требующие более жесткого правительственного контроля, носят параноидальный характер (чего стоит одно только утверждение, что сети данных чрезмерно растянуты и, следовательно, уязвимы). И все же нельзя не признать: вопросы национальной безопасности имеют много общего с теми проблемами, которые стоят перед корпоративным миром.
Недостаток внимания
Через весь доклад президентской комиссии красной нитью проходит главная тема - недостаток внимания к вопросам безопасности в национальном масштабе. То же самое мы наблюдаем и в корпоративной среде, где большинство пользователей не осознает всей глубины риска. Всякая попытка отдела информационных технологий обеспечить безопасность корпоративных данных неизбежно наталкивается на негативную реакцию конечных пользователей.
В наши дни ответственность за управление данными настолько децентрализована, что создателем и администратором критичных системных данных может оказаться любой служащий. Все секреты корпорации порой содержатся в обыкновенной электронной таблице, хранящейся на жестком диске.
Первым шагом к организации режима безопасности непременно должно стать просвещение конечных пользователей. Каждому из них необходимо осознать, что все мы в той или иной степени являемся администраторами данных и несем за них ответственность.
Важные файлы нельзя хранить в открытом виде, их обязательно нужно шифровать и к тому же копировать в удаленном месте (особенно это касается данных на портативных компьютерах, которые очень легко похитить). Необходимо также, чтобы служащие, войдя в систему, никогда не оставляли ее без присмотра.
Обучать нужно и информатизаторов
Просвещение в вопросах безопасности необходимо не только конечным пользователям. Потенциально уязвимые места своих сетей должны хорошо знать и менеджеры информационных систем. Перед тем как разработать комплексную стратегию защиты, сетевой администратор сам должен разобраться в слабостях корпоративной сети.
Имеется множество инструментальных программ, упрощающих контроль за функционированием сети и ее серверов. С их помощью администратору нетрудно провести общий анализ сети и получить представление о степени ее защиты.
Затраты на аналитическую программу безопасности, например Internet Scanner фирмы Internet Security Systems или SecurIT Audit фирмы Milky Way, могут оказаться лучшим вложением денег, которое когда-либо делала корпорация.
Практические шаги к сетевой безопасности
Как обезопасить свои данные от различных угроз
Стихийные бедствия децентрализуйте свои сетевые ресурсы
Ошибки персонала проводите обучение служащих распределяйте ответственность так, чтобы никто не мог потерять или исказить важные данные
Недовольные служащие и шпионаж разработайте внутренние правила и процедуры обеспечения безопасности шифруйте данные наладьте автоматизированный контроль за безопасностью сети
