ЗАЩИТА ДАННЫХ
Сложившийся устойчивый спрос на услуги в области разработки подсистем безопасности в информационных системах (ИС) для бизнеса самого разного уровня говорит о качественных изменениях, происшедших за последний год на этом рынке. Рост объема финансовых и статистических данных и необходимость повышения эффективности информационного обеспечения бизнес-процессов привели к распространению ИС и сетей в сферах деятельности, напрямую не связанных с информационными технологиями. Использование открытых сетей, в частности Интернета, для передачи данных, голоса, организации видеоконференций и иных видов информационного обмена становится стандартом де-факто, удовлетворяя требованиям современного бизнеса.
Автоматизация документооборота, постепенный переход к безбумажной технологии работы также предъявляют свои требования к безопасности электронных документов на всех этапах их обработки, передачи и хранения. Своевременная и адекватная оценка руководством ряда передовых российских компаний стоимости компьютерной информации, ее значения и роли в технологических процессах ужесточила требования к системам защиты информации. Комплексность и функциональная полнота подсистем защиты являются сегодня определяющим требованием. В такой ситуации штатные средства обеспечения безопасности аппаратных платформ и операционных систем узлов сети, а также активного сетевого оборудования становятся базой для построения комплексной системы защиты информации.
В настоящее время на российском рынке имеются средства защиты информации (СЗИ) различных классов и различных производителей. Однако комплексных решений из одних рук на данном этапе не существует да и не может существовать. Каждый производитель придерживается своей линии продуктов, ориентированной на решение более или менее специфических задач. Было бы не совсем правильно ожидать от производителя СЗИ универсальных решений. Здесь может идти речь об универсальности в смысле использования стандартизованных протоколов и алгоритмов, встраиваемости СЗИ в самые разные информационные системы, использования универсальных программных библиотек. Функциональность же обычно специфична. Поэтому, несмотря на обилие “комплексных защит”, последнее слово в построении системы должно оставаться за интегратором.
Основные преимущества комплексной системы информационной безопасности - это всесторонний охват слабых мест, защита как снаружи, так и изнутри, гибкое сочетание необходимых программно-технических и организационных мер.
Построение такой системы подразумевает не просто ее сборку из специализированных средств от различных производителей, как из конструктора, а реализацию единой концепции информационной безопасности. Именно всесторонний концептуальный анализ ИС позволяет затем выработать оптимальную политику обеспечения этой безопасности.
Некоторые руководители компаний представляют себе систему защиты информации как некое устройство или программу, которая, будучи единожды установлена, решит все их проблемы на много лет вперед. Хотелось бы предостеречь от подобного заблуждения, так как, следуя такому принципу и устанавливая “комплекс защиты” из коробки, компания, несомненно, получает ряд защитных функций, но далеко не всегда адекватных, необходимых и достаточных в конкретной ситуации. Тем более опасно получаемое на фоне порой значительных затрат ложное ощущение безопасности.
Ни один из “коробочных” продуктов не способен в полной мере удовлетворять требованиям к подсистеме защиты информации, а зачастую даже создает узкие места в ИС (такие, как ограничения на число пользователей, пропускную способность, количество одновременных соединений и др.). Их расширение требует новых затрат. Системный подход к защите информации основывается на комплексном анализе всей информационно-вычислительной системы, системы документооборота, целей и задач компании, ее организационной структуры и бизнес-процессов. Это позволяет еще на этапе формирования технического задания проработать все вопросы масштабируемости, совместимости и преемственности внедряемых решений.
При выработке архитектуры системы защиты информации следует понимать, что речь не может идти о безусловной оптимальности полученного решения. Это обусловлено невозможностью формальной оценки системы по универсальным критериям. Поэтому на практике говорят об оптимальности в каком-либо узком смысле. Чаще всего минимизируют стоимость системы при заданной функциональности. Однако даже оптимальное в заданном смысле решение существует не всегда и должно рассматриваться применительно к конкретному случаю. Большую роль при определении оптимальных затрат и функциональности играют требования к подсистеме обеспечения безопасности и критерии, определяющие защищенность данных. Однозначно сказать, защищена информация или нет, невозможно, как невозможно дать стопроцентную гарантию надежности защиты и отсутствия уязвимых мест.
Нужно также учитывать, что функции подсистемы защиты информации являются вспомогательными по отношению к основным функциям ИС. Нормальная работа всех компонентов системы защиты не должна отрицательно сказываться ни на производительности самой системы, ни на удобстве работы в ней. Чтобы система защиты соответствовала таким условиям, требования к ней должны формироваться на основе анализа задач, возлагаемых на корпоративную информационно-вычислительную систему в целом.
Потребности большинства компаний предусматривают:
- защиту ресурсов корпоративных информационно-вычислительных систем и сетей от несанкционированного доступа из открытых сетей (Интернета);
- защиту информационного обмена по открытым каналам с удаленными подразделениями, сотрудниками и клиентами;
- аутентифицируемый защищенный доступ персонала, работающего вне офиса, к ресурсам корпоративной сети;
- защиту ресурсов корпоративной сети от несанкционированного доступа изнутри (разграничение доступа для сотрудников компании и ограничение доступа в систему для третьих лиц) и обеспечение их целостности;
- возможность протоколирования событий в системе и анализа действий корпоративных пользователей;
- антивирусную защиту.
В соответствии с перечисленными требованиями на рынке сложилось несколько больших классов средств защиты информации, а именно: межсетевые экраны, продукты для построения виртуальных частных сетей (VPN), средства разграничения доступа и протоколирования внутри корпоративной сети, антивирусные продукты. Пока еще особняком стоят средства активного аудита. Каждый из этих классов представляет собой достаточно крупное и неоднозначное объединение. Логическая близость функций, их взаимосвязь (например, межсетевого экрана и VPN-шлюза), а также попытки производителей расширить функциональность своих продуктов делают границы между этими классами еще более размытыми. Например, среди средств идентификации пользователей внутри сети в отдельную большую группу выделяются биометрические средства.
Ввиду большого количества различных зарубежных и отечественных производителей СЗИ ситуация напоминает ту, что существовала до общего принятия стандартных сетевых протоколов - “стадо” машин, не понимающих друг друга. Нельзя не отметить имеющееся моральное и техническое устаревание средств защиты информации. Те из них, что были сертифицированы Гостехкомиссией и ФАПСИ в последние три года, перестают удовлетворять современным требованиям в связи с появлением новых программных и аппаратных средств, операционных систем, стандартов.
Некоторые средства защиты информации плохо интегрируются друг с другом, что выявляют испытания. Такие проблемы возникают в основном из-за того, что процесс инсталляции этих средств в конкретной операционной системе обычно документируется лишь на пользовательском уровне. Однако подробное описание последовательности действий при установке того или иного продукта не дает полного понимания вносимых в операционную систему изменений.
В этом можно убедиться на следующем наглядном примере. Многие средства криптографической защиты информации на диске компьютера и средства строгой идентификации работают с аппаратными носителями парольно-ключевой информации (идентификаторами) и имеют функцию блокировки рабочей станции при извлечении идентификатора либо при нажатии заданной комбинации клавиш. Такая функциональность достигается путем подмены штатного модуля аутентификации пользователя в системе другим, доработанным. При попытке установить на одну рабочую станцию, например, систему криптографической защиты и систему строгой идентификации возникает конфликт, разрешить который можно, лишь пожертвовав частью функциональности одной из них. Однако для подсистемы строгой идентификации функциональность, заложенная в заменяемый модуль, является основной. В нашем синтетическом случае существует возможность заменить теряемые функции блокировки рабочей станции системой криптозащиты почти аналогичными функциями, предоставляемыми системой строгой идентификации. Следует заметить, что подобный компромисс не только не всегда приемлем, а зачастую технически невозможен. Разработчик каждой из систем никак не документировал вносимые изменения, и поэтому пользователь, покупая коробочные продукты и пытаясь достичь необходимой комплексности, наталкивается иногда на непреодолимые трудности.
Комплексный подход к решению проблемы защиты информации основан не только на сочетании законодательных, организационных и программно-технических мер. Система защиты информации является сложным программно-аппаратным комплексом, состоящим из ряда подсистем. Работа каждой из них или любого ее компонента в отдельности, а также всех подсистем и их компонентов вместе требует предварительного изучения и тестирования в условиях, максимально приближенных к реальным. Ряд интеграционных проектов по созданию комплексных систем защиты информации показал, что в настоящее время только испытания на макете или стенде позволяют выявить все особенности поведения и взаимного влияния различных СЗИ.
Необходимым условием создания гибкой и хорошо управляемой системы защиты является масштабируемость применяемых в ней решений. Это позволяет системе сохранять свою функциональность и производительность при увеличении числа обслуживаемых пользователей и дает возможность наращивания без коренной перестройки и значительных финансовых затрат. Обеспечение масштабируемости системы защиты информации также требует комплексного подхода к анализу информационной системы, возможностей аппаратных платформ и программных средств.
Основные преимущества комплексного подхода к разработке систем защиты информации заключаются именно во всесторонней проработке решений с использованием экспертных оценок и технического анализа, в тесном сотрудничестве системного интегратора с заказчиком на всех стадиях жизненного цикла, приводящем к построению адекватной, оптимизированной в требуемом смысле, гибкой системы защиты информации.
