04.02.2004

Программные средства проверки и создания политики безопасности

Какой вопрос наиболее часто задают руководители высшего звена компании ИТ менеджерам и специалистам по информационной безопасности? Думаю, что это очевидно: «Насколько защищена наша информационная система?». Этот вопрос действительно является краеугольным камнем информационной безопасности и тем самым «тонким» местом, которое обычно стараются избегать секьюрити специалисты. Количественные методы оценки на практике не нашли своего применения. Применение качественных методов оценки является на сегодняшний день единственным способом получить представление о реальном уровне защищенности информационных ресурсов компании.

Автор:
Илья Медведовский, к.т.н.
Эксперт по информационной безопасности
Директор компании Digital Security (http://www.dsec.ru) idm@dsec.ru

1. Международный стандарт управления информационной безопасностью ISO 17799

1.1 Критерии оценки защищенности информационных систем.

Какой вопрос наиболее часто задают руководители высшего звена компании ИТ менеджерам и специалистам по информационной безопасности? Думаю, что это очевидно: <Насколько защищена наша информационная система?>. Этот вопрос действительно является краеугольным камнем информационной безопасности и тем самым <тонким> местом, которое обычно стараются избегать секьюрити специалисты. И действительно оценить защищенность информационной системы достаточно сложно : но, как известно, можно. Для этого существуют, в основном, качественные методы оценки уровня защищенности, которые на выходе позволяют получить не количественную оценку (<система защищена на 4.2 балла или на 58%>), а качественную - система соответствует определенному классу или уровню защищенности; тому или иному стандарту безопасности. Количественные методы оценки на практике не нашли своего применения. Применение качественных методов оценки является на сегодняшний день единственным способом получить представление о реальном уровне защищенности информационных ресурсов компании.

1.2 Критерии проведения аудита безопасности информационных систем

Перейдем к следующей части и вспомним, какой вопрос обычно является ключевым при проведении аудита безопасности. Обычно, это вопрос о стандарте безопасности, проверку на соответствие которому будет выполнять аудитор. В России обычной практикой при проведении аудита является выполнение данных работ без привязки к какому либо критерию или стандарту - аудитор ограничивается оценкой текущего уровня защищенности и выработке рекомендаций по его повышению в соответствии со своей экспертной оценкой и своим пониманием об уровнях и критериях защиты. И, в общем, это нормальная практика, когда компания доверяет выбранному эксперту или группе экспертов, но проводить аудит, основываясь только на собственной экспертной оценке, не учитывая мировой опыт и существующие стандарты безопасности, на сегодняшний день практически недопустимо.

1.3 Международный стандарт безопасности информационных систем ISO 17799

Несколько лет назад Британский институт стандартов ( BSI ) при участии коммерческих организаций, таких как Shell , National Westminster Bank , Midland Bank , Unilever , British Telecommunications , Marks & Spencer , Logica и др., занялся разработкой стандарта информационной безопасности. И в 1995 г. был принят национальный стандарт BS 7799 управления информационной безопасностью организации вне зависимости от сферы деятельности компании. Служба безопасности, IT -отдел, руководство компании начинают работать согласно общему регламенту. Неважно, идет речь о защите бумажного документооборота или электронных данных. Британский стандарт BS 7799 поддерживается в 27 странах мира, в числе которых страны Британского Содружества, а также, например, Швеция и Нидерланды. В 2000 г. международный институт стандартов ISO на базе британского BS 7799 разработал и выпустил международный стандарт менеджмента безопасности ISO / IEC 17799. Поэтому сегодня можно утверждать, что BS 7799 и ISO 17799 это один и тот же стандарт, имеющий на сегодняшний день мировое признание и статус международного стандарта ISO .

Ниже приведены основные разделы стандарта ISO 17799:

  1. Политика безопасности
  2. Организационные меры по обеспечению безопасности
    • Управление форумами по информационной безопасности
    • Координация вопросов, связанных с информационной безопасностью
    • Распределение ответственности за обеспечение безопасности
  3. Классификация и управление ресурсами
    • Инвентаризация ресурсов
    • Классификация ресурсов
  4. Безопасность персонала
    • Безопасность при выборе и работе с персоналом
    • Тренинги персонала по вопросам безопасности
    • Реагирование на секьюрити инциденты и неисправности
  5. Физическая безопасность
  6. Управление коммуникациями и процессами
    • Рабочие процедуры и ответственность
    • Системное планирование
    • Защита от злонамеренного программного обеспечения (вирусов, троянских коней)
    • Управление внутренними ресурсами
    • Управление сетями
    • Безопасность носителей данных
    • Передача информации и программного обеспечения
  7. Контроль доступа
    • Бизнес требования для контроля доступа
    • Управление доступом пользователя
    • Ответственность пользователей
    • Контроль и управление удаленного (сетевого) доступа
    • Контроль доступа в операционную систему
    • Контроль и управление доступом к приложениям
    • Мониторинг доступа и использования систем
    • Мобильные пользователи
  8. Разработка и техническая поддержка вычислительных систем
    • Требования по безопасности систем
    • Безопасность приложений
    • Криптография
    • Безопасность системных файлов
    • Безопасность процессов разработки и поддержки
  9. Управление непрерывностью бизнеса
    • Процесс управления непрерывного ведения бизнеса
    • Непрерывность бизнеса и анализ воздействий
    • Создание и внедрение плана непрерывного ведения бизнеса
    • Тестирование, обеспечение и переоценка плана непрерывного ведения бизнеса
  10. Соответствие системы основным требованиям
    • Соответствие требованиям законодательства
    • Анализ соответствия политики безопасности
    • Анализ соответствия техническим требованиям
    • Анализ соответствия требованиям системного аудита

1.4 ISO 17799 в России и странах СНГ

В последние несколько лет ISO 17799 начал уверенно продвигаться по странам СНГ. В Молдове благодаря позиции Национального Банка все банки уже более года проходят регулярную проверку на соответствие ISO 17799. В ближайшее время в Молдове ISO 17799 получит статус государственного стандарта.

В Украине также существуют планы принятия данного стандарта в качестве государственного - эту позицию озвучил выступавший в 2002 году в Киеве на одном из семинаров Digital Security представитель Службы Безопасности Украины.

В России стандарт ISO 17799 пока не имеет статус государственного стандарта. Однако в последнее время ситуация меняется: Государственная Техническая Комиссия при Президенте РФ уже отказалась от использования собственных стандартов защищенности автоматизированных систем и принимает ГОСТ 15408 ( ISO 15408). Ожидается, что подобная ситуация в ближайшие годы в России произойдет и с ISO 17799 и нам следует ожидать появления ГОСТ 17799.

1.5 Преимущества, получаемые компанией после прохождения сертификации по ISO 17799

Какие преимущества получает компания, которая провела аудит безопасности своих информационных ресурсов и получила сертификат соответствия системы управления информационной безопасности по стандарту ISO 17799?

Прежде всего, это <неформальные> преимущества: после проведения аудита информационная система компании становится <прозрачнее> для менеджмента, выявляются основные угрозы безопасности для бизнес - процессов, вырабатываются рекомендации по повышению текущего уровня защищенности для защиты от обнаруженных угроз и недостатков в системе безопасности и управления. В результате компании предлагается комплексный план внесения изменений в систему управления информационной безопасностью, как для повышения реального уровня защищенности, так и для непосредственного соответствия стандарту.

Сертификация на соответствие стандарту ISO 17799 ( BS 7799) позволяет наглядно показать деловым партнерам, инвесторам и клиентам, что в компании налажено эффективное управление информационной безопасностью. В свою очередь это обеспечивает компании конкурентное преимущество, демонстрируя способность управлять информационными рисками.

Кроме того, говоря о сертификации по ISO 17799, стоит принять во внимание согласованную с ВТО процедуру принятия России в данную организацию. Эта процедура потребует адекватной реакции от наиболее значимых в экономике России структур и адаптации стратегии развития в области информационных технологий с учетом международных стандартов безопасности, таких как ISO 17799.

1.6 Практика прохождения аудита и получения сертификата ISO 17799

Для получения сертификата соответствия ISO 17799 компания должна пройти аудит информационной безопасности, провести подготовку информационной системы на соответствие стандарту, внедрить изменения и провести окончательную проверку соответствия стандарту. Данную работу целесообразно разбить на несколько этапов.

Предварительный этап заключается в проведении аудита и, на его основании, подготовки необходимых изменений системы управления информационной безопасностью. Его может выполнить специализированная секьюрити компания, имеющая опыт в проведение подобных работ. Затем, после подготовки комплекта необходимых документов и внесения изменений в систему, необходимо провести итоговую проверку соответствия ISO 17799, для чего требуется участие специалистов одной из консалтинговых компаний, которые владеют эксклюзивным правом выдачи данного сертификата и имеют аккредитацию при UKAS (United Kingdom Accreditation Service, http://www.ukas.com ) - уполномоченном государственном органе Великобритании. Также, отметим, что в настоящее время официальная сертификация возможно только по BS 7799 (до выхода 2-ой части ISO 17799 - требования к аудиторам, которая намечена на 2004 год). Однако между ISO и UKAS существует соглашение, согласно которому после принятия второй часто ISO 17799 все сертификаты BS 7799 автоматически получают статус ISO 17799.

1.7 Программные средства создания и проверки политики безопасности на соответствие требованиям ISO 17799

Для решения задачи создания и проверки политики информационной безопасности компании применяются следующие программные комплексы: британская Cobra http://www.riskworld.net (компания C & A Systems Security Ltd) и российский КОНДОР http://www.dsec.ru/soft/kondor.php (компания Digital Security, http://www.dsec.ru )

скриншот Cobra
скриншот КОНДОР

или введите имя

CAPTCHA