Выработка политики безопасности

Политика безопасности – это комплекс превентивных мер по защите конфиденциальных данных и информационных процессов на объекте информатизации. Основные направления выработки политики безопасности:

-определение какие данные и насколько серьезно необходимо защищать;

-определение кто и какой ущерб может нанести фирме в информационном аспекте;

-расчет рисков ИБ;

-выработка системы мер по уменьшению рисков до приемлемой величины.

Существуют ряд методов анализа информационной безопасности на объекте информатизации. Среди них наиболее часто применяются " исследование снизу вверх" и " исследование сверху вниз". Первый метод прост, требует намного меньших вложений, но и обладает меньшими возможностями. Он основан на схеме: " Вы – злоумышленник. Ваши действия? ". То есть, служба ИБ, основываясь на данных о всех известных видах атак, пытается применить их на практике с целью проверки, а возможно ли такая атака со стороны реального злоумышленника.

Метод " сверху вниз" представляет собой, наоборот, детальный анализ всей существующей схемы обработки информации на объекте информатизации:

- определение, какие информационные объекты и потоки необходимо защищать;

-изучение текущего состояния системы информационной безопасности с целью определения, что из методик защиты информации уже реализовано, в каком объеме и на каком уровне.

-классификация всех информационных объектов в соответствии с требованиями к конфиденциальности, доступности и целостности.

-выяснение, какой ущерб может принести определенная угроза и какова вероятность ее реализации (расчет рисков).

Невозможно стопроцентно защитить КС от всех угроз безопасности. Поэтому основной задачей политики безопасности для КС является минимизация уровней риска.

Уровень риска - величина, получаемая в результате комплексной оценки значимости КС, требований к ее защищенности, степени опасности и вероятности реализации определенных угроз. Уровень риска, при котором допускается эксплуатация КС, называется приемлемым риском.

Анализ рисков - процесс выбора вариантов оптимального соотношения между стоимостью защитных мероприятий, а также размерами и вероятностью негативных последствий, которые могут возникнуть при их отсутствии. Он включает постановку вопросов и формирование ответов об угрозах, уязвимых местах и о том, какие контрмеры можно применить для устранения выявленных угроз и уязвимых мест. Анализ рисков всегда носит превентивный характер - до реального воздействия какой-либо угрозы. Анализ рисков специалистами ЗИ включает также оценку того, насколько хорошо проводится планирование на худший случай, которое иногда называют планированием действий в чрезвычайной ситуации или управление в кризисной обстановке. После реальной атаки на КС производится анализ способов ее совершения и случившихся последствий.

Наиболее предпочтительно проводить первичный анализ рисков до начала проектирования КС и ее СЗИ на основе технического задания, функциональных обязанностей и сложившихся информационных взаимодействий. Анализ рисков должен осуществляться периодически, поскольку уязвимые места КС и угрозы могут носить как статический, так и динамический характер. Статические угрозы и уязвимые местаотносительно постоянны во времени (физическое размещение КС, окружающие здания и т.п.). Динамические угрозы и уязвимые места могут измениться в любой момент времени или изменяются периодически. Изменения могут происходить на объекте информатизации, в технологии, в регионе или в мире в целом. Все это требует достаточно динамичных контрмер, так как применение статичных планов действий в чрезвычайных ситуациях (в условиях динамических угроз) неминуемо приведет к нарушению защиты КС.

В ходе проведения анализа рисков:

-определяется принадлежность конкретной КС к одному из классов, рассмотренных в лекции 3;

-с учетом этого, а также используемых программно-технических и технологических решений, определяются уязвимые места КС, реально возможные угрозы и каналы их воздействия;

-просчитываются уровни риска по каждой угрозе - вероятность и опасность (размер и характер возможных негативных последствий);

-определяются приемлемые уровни риска и примерный объем затрат (труда, денег и т.п.) для снижения реальных уровней до приемлемых;

-процесс анализа и его результаты документируются.

Существует множество схем расчета рисков. В качестве примера приведем одну из самых простых, в которой риск является произведением " возможного ущерба от атаки" на " вероятность такой атаки":

Ущерб от атаки может быть представлен неотрицательным числом в приблизительном соответствии с табл. 1.

Таблица 1

Пример оценки возможного ущерба

Вероятность атаки представляется неотрицательным числом в приблизительном соответствии с табл. 2.

Таблица 2.

Пример оценки вероятностей атак

Классификацию ущерба, наносимого атакой, должен оценивать владелец информации, или работающий с нею персонал. Оценку же вероятности появления атаки следует производить техническим сотрудникам или независимым экспертам. Следующим этапом составляется таблица рисков объекта информатизации (табл. 3).

Таблица 3.

Пример расчета рисков для КС

На этапе анализа таблицы рисков задаются некоторым максимально допустимым риском (порогом). Сначала проверяется каждая строка таблицы на превышение порога. Если такое превышение имеет место, значит, данная строка – это одна из первоочередных целей применения СЗИ.

На следующем этапе производится собственно разработка политики безопасности объекта информатизации, которая обеспечит надлежащие уровни как отдельных рисков, так и интегрального риска.

После описания всех технических и административных мер, планируемых к реализации, производится расчет экономической стоимости данной программы. В том случае, когда финансовые вложения в программу безопасности являются неприемлимыми или просто экономически невыгодными по сравнению с потенциальным ущербом от атак, производится возврат на этап определения максимально допустимого риска и увеличение его на один или два пункта.

Завершается разработка политики безопасности ее утверждением у руководства и детальным документированием. За этим должна следовать активная реализация всех указанных в плане компонентов. Перерасчет таблицы рисков и, как следствие, модификация политики безопасности объекта информатизации должны производится с периодичностью, соответствующей динамике развития предметной области КС и используемых технологий.