Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 5)

Рисунок 2.5 – Недостаток отсутствия аналитической составляющей процессов развития и обеспечения системы защиты информации, при реализации типового подхода к её построению

В рамках изучения были проанализированы функционирующие международные и Российские нормативно-правовые документы, в целях выявления и систематизации требований, предъявляемых к системам защиты информации, по итогам которого были обнаружены ключевые сопутствующие минусы типового подхода реализации системы защиты информации, которые заключаются в:

1. отсутствии единой подсистемы управления, влекущей за собой:

1. проблему отсутствия общего подхода к управлению информационной безопасностью в компании;

2. проблему уменьшения производительности системы защиты информации за счет повышения времени реакции персонала по информационной безопасности из-за отсутствия общих правил и механизмов управления;

3. проблему повышения нагрузки на персонал компании, отвечающий за обеспечение информационной безопасности, в связи с потребностью использования разных механизмов управления большим количеством сложных компонентов системы защиты информации;

1. отсутствии обратной связи от системы защиты информации, влекущей за собой:

1. проблему отсутствия способности оптимального планирования работ по информационной безопасности в компании;

2. проблему формирования документов, несоответствующих настоящим потребностям и требованиям по информационной безопасности для реализации организационных мер защиты;

3. проблему невозможности принятия оперативных и результативных управленческих решений по информационной безопасности для обеспечения непрерывной деятельности системы защиты информации;

1. отсутствие использования средств автоматизации при реализации организационных мер защиты, влекущей за собой:

1. проблему невысокой производительности деятельности персонала, отвечающего за обеспечение информационной безопасности, при реализации организационных мер защиты;

2. проблему отсутствия замкнутости жизненного цикла организационно–распорядительных документов по информационной безопасности в компании;

3. проблему наличия значительных временных разрывов между процедурами внедрения технических средств защиты и сопровождающих их организационными мерами;

1. отсутствие аналитической составляющей процессов развития и обеспечения системы защиты информации, влекущей за собой:

1. проблему отсутствия способности противодействия новейшим, необычным воздействиям вероятных нарушителей, при использовании ими нетиповых способов обхода средств защиты информации;

2. проблему нерационального планирования и расходованию бюджета, выделяемого на обеспечение информационной безопасности из–за отсутствия анализа текущего состояния защищенности объектов защиты, а также отсутствия анализа производительности используемых методов и способов защиты в определённых условиях функционирования объектов защиты.

2.4 Роль метода управления информационной безопасностью на основе динамических экспертных систем поддержки принятия решений в рамках системы защиты информации

Опираясь на итоги исследования функционирующих международных и Российских нормативно-правовых документов, были обнаружены ключевые процессы обеспечения и управления информационной безопасностью [23,24,25], сформулированы и описаны основные минусы, а кроме того сопутствующие им трудности при построении системы защиты информации в рамках типового подхода. При этом, разработанный метод будет занимать ключевое место в рамках реализации единой системы управления информационной безопасностью в составе системы защиты информации организации, направленной на централизацию\децентрализацию (в зависимости от основного назначения системы защиты информации и характера обрабатываемых данных) и упрощение процессов управления и обеспечения информационной безопасности [26]. Данные положения схематично представлены на рисунке 2.6.

Рисунок 2.6 – Место метода управления информационной безопасностью на основе динамических экспертных систем поддержки принятия решений, в рамках системы защиты информации

Отталкиваясь от систематизированных взглядов и сформулированных концептуальных принципов формирования метода управления информационной безопасностью на основе динамических экспертных систем поддержки принятия решений, роль разработанного метода в рамках системы защиты информации состоит в:

• формализации требований и систематизации процессов обеспечения информационной безопасности;

• обеспечении обратной связи реализованных организационных мер и технических средств защиты с системой защиты информации;

• автоматизации организационных мер защиты и их соотнесение с применяемыми в организации техническими средствами защиты;

• аналитическом обеспечении деятельности персонала по информационной безопасности.

При этом, исходя из типовой информационно-телекоммуникационной структуры организации, реализация прилагаемого метода управления информационной безопасностью позволит связать разрозненные сервисы информационной безопасности в организации с организационными мерами и техническими средствами защиты, а также установить связь между специализированными инструментами управления техническими средствами и управлением персоналом организации, отвечающего за обеспечение информационной безопасности. Создание единого центра управления информационной безопасностью организации на основе предлагаемого метода управления информационной безопасностью будет являться конечной, наиболее полной реализацией основных положений метода управления информационной безопасностью на основе динамических экспертных систем поддержки принятия решений. При этом центр управления информационной безопасностью будет иметь выделенное положение в составе организации, в котором уже сама система защиты информации будет являться составной частью единого центра управления информационной безопасностью. На рисунке 2.7 представлена схема функциональной структуры центра управления информационной безопасностью на основе настоящего метода.

Рисунок 2.7 – Центр управления информационной безопасностью организации

Таким образом, реализация метода управления информационной безопасностью на основе динамических экспертных систем поддержки принятия решений может привести к:

• систематизации требований по управлению информационной безопасностью, отталкиваясь от состава процессов обеспечения информационной безопасности в компании;

• связанному применению организационных мер и технических средств защиты информации, функционирующих в рамках системы защиты информации компании;

• формированию аналитической основы выполнения исследований и анализа состояния информационной безопасности;

• осуществлению правильно обоснованного стратегического, тактического и своевременного управления процессами обеспечения информационной безопасности;

• возможности оперативного использования исправляющих и предостерегающих действий на базе комплексного анализа состояния информационной безопасности в целом, и объектов защиты в частности;

• обеспечению планирования развития и поддержания системы защиты информации;

• формализации ключевых и второстепенных процессных составляющих управления и обеспечения информационной безопасности в компании;

• повышению единого уровня информационной безопасности компании за счет формализации и систематизации ключевых процессов информационной безопасности;

• снижению операционных рисков за счет уменьшения вероятности реализации угроз информационной безопасности, по причине увеличения единого уровня информационной безопасности в компании;

• повышению прозрачности процессов информационной безопасности в рамках системы защиты информации в компании;

• повышению оперативности при решении задач обеспечения информационной безопасности;

• снижению трудоемкости операций по обеспечению информационной безопасности;

• повышению уровня компетенции персонала компании и экспертов по защите информации в вопросах информационной безопасности;

• повышению своевременности реагирования на инциденты информационной безопасности;

• минимизации расходов на использование системы защиты информации компании.

2.5 Выводы по главе

Сформулированы и конкретизированы ключевые процессы обеспечения информационной безопасности, управление которыми даст возможность осуществлять руководство информационной безопасностью в целом. По результатам анализа международных и российских нормативно-правовых документов сформулированы основные концептуальные принципы, в соответствии с которыми необходимо реализовывать метод управления информационной безопасностью. Дана классификация процессных составляющих управления информационной безопасностью по определенным классификационным признакам. Определены ключевые недостатки типового подхода к построению систем защиты информации, а также определены роль и место метода управления информационной безопасностью в рамках стандартной системы защиты информации.

Разработка нового метода управления информационной безопасностью, способного значительно уменьшить временные затраты на принятие управленческих решений считается актуальной проблемой и способна повысить общую результативность системы защиты информации, функционирующую в компании.

3 Метод управления информационной безопасностью на основе динамических экспертных систем поддержки принятия решений

3.1 Основные мероприятия по обеспечению информационной безопасности

Обеспечение информационной безопасности и защита информации считаются весьма схожими понятиями, подразумевающих под собой особую деятельность, нацеленную на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных действий на защищаемую информацию, а также деятельность, направленную на предотвращение внутренних и внешних угроз информационной безопасности компании или на минимизацию вреда от вероятной реализации таких опасностей. Исходя из данного понимая, а также основываясь на анализе нормативно-правовой документации Российской Федерации в области защиты информации, к основным мероприятиям [40,41] по обеспечению информационной безопасности следует относить:

1. обеспечение процесса идентификации и аутентификации субъектов доступа к соответствующим объектам доступа, в том числе:

1. обслуживающий персонал и работников организации;

2. представителей сторонних учреждений;

3. используемые стационарные, мобильные и портативные устройства;

4. применяемые идентификаторы;

5. системы управления средствами аутентификации;

6. защиту обратной связи при использовании аутентификационной информации;

1. обеспечение процесса управления доступа субъектов доступа к соответствующим объектам доступа, в том числе:

1. управление учетными данными внутренних пользователей и обслуживающего персонала компании;

2. управление учетными данными представителей сторонних компаний;

3. определение, документирование и реализацию способов, типов и правил разграничения доступа к защищаемой информации;

4. управление информационными потоками между стационарными, мобильными и портативными устройствами, различными автоматизированными и информационными системами организациями, а также информационным обменом со сторонними организациями;

5. определение, учет и разделение полномочий администраторов, обслуживающего персонала, пользователей и санкционированных гостей организации к защищаемой информации;

6. минимизацию прав и привилегий доступа администраторов, обслуживающего персонала, пользователей и санкционированных гостей компании к защищаемой информации, в соответствии с основной целью их присутствия в системах компании;

7. определение и дальнейшее лимитирование числа попыток входа в информационные системы компании, с предоставлением неверных идентификационных данных;

8. формирование информационных и предупреждающих уведомлений о реализации в используемой пользователем системе средств защиты информации и необходимости соблюдения установленных в компании правил работы с защищаемой информацией;

9. определение и лимитирование количества вероятных параллельных сеансов доступа в защищаемые информационные системы компании из-под одной учетной записи;

10. формирование, поддержка, сохранение и актуализация атрибутов безопасности, связанных с защищаемой информацией в ходе её обрабатывания;

11. определение правил установления и реализации удаленного доступа к защищаемой информации;

12. регламентацию, учет и контроль использования беспроводных и мобильных технических средств на территории компании, включая возможный доступ с таких устройств к защищаемой информации;

1. использование средств ограничения программной среды, в том числе:

1. обеспечение доверенной загрузки операционных систем и средств вычислительной техники компании;

2. формирование, учет и реализация перечней разрешенного к установке в компании программного обеспечения, с учетом разной специфики в деятельности сотрудников компании представляющим определенные структурные подразделения компании и исполняющих разнообразные функциональные роли;

3. обеспечение управления запуском и установкой определенных компонентов программного обеспечения;

4. обеспечение управления временными программными файлами;

1. обеспечение систематизации и защиты машинных носителей информации, в том числе:

1. учет машинных носителей информации;

2. управление доступом к машинным носителям информации;

3. контроль использования и перемещения машинных носителей информации в рамках контролируемой зоны компании;

4. исключение несанкционированного доступа к защищаемой информации, обрабатываемой на машинных носителях информации, а также возможности использования в сторонних информационных системах;

5. контроль использования интерфейсов ввода\вывода информации на машинных носителях информации;

6. контроль подключения машинных носителей информации;

7. контроль за уничтожением и стиранием информации на машинных носителях, в случаях их передачи в сторонние компании для ремонтных работ или утилизации;

1. обеспечение систематизации, классификации и регистрации происшествий информационной безопасности, в том числе:

1. определение состава, содержания и общего перечня событий информационной безопасности, подлежащих регистрации, а также сроков их архивного или иного хранения;

2. обеспечение сбора, систематизации, записи, хранения и последующего предоставления сведений о событиях информационной безопасности в течении установленного периода сохранения;

3. определение порядка и непосредственного реагирования на сбои при регистрации событий информационной безопасности, включая программно-аппаратные ошибки и отказы оборудования;

4. мониторинг результатов регистрации событий информационной безопасности и реагирование на них;

5. защиту информации о событиях информационной безопасности в компании;

1. обеспечение антивирусной защиты, в том числе:

1. реализацию системы антивирусной защиты в информационных и автоматизированных системах компании;

2. обеспечение оперативного обновления базы данных;

1. реализация и использование систем выявления вторжений, в том числе:

1. определение, использование и контроль за использованием способов, механизмов и средств выявления вторжений;

2. определение и обновление базы решающих правил, применяемых в качестве критериев при определении и обнаружении факта проникновения в защищаемую среду компании;

1. реализация процедур по определению, анализу и контролю за состоянием безопасности информации, в том числе:

1. выявление, исследование и оперативное предотвращение уязвимостей информационных систем компании;

2. регламентацию и контроль за проведением оперативного обновления версий программного обеспечения;

3. контроль и мониторинг работоспособности, параметров настройки и корректности функционирования программного обеспечения и средств защиты информации;

4. контроль состава технических, аппаратных, программных, программно-аппаратных и других средств защиты информации;

5. регламентация и контролирование правил генерации и замены паролей, ведения учетных записей и реализации правил и полномочий доступа пользователей компании к защищаемой информации и информационным системам;

9. обеспечение целостности автоматизированных и информационных систем компании, а также обрабатываемой в ней информации, в том числе:

1. регламентацию, наблюдение и контролирование целостности программного обеспечения и защищаемой информации, в том числе средства используемые для защиты информации;

2. регламентацию и обеспечение возможности восстановления программного обеспечения и защищаемой информации;

3. обеспечение возможности выявления и реагирования на поступление в информационные системы компании информации, не относящуюся к функционированию систем;

4. контроль состава, содержания и окончательных пунктов назначения защищаемой информации, при её передаче;

5. регламентацию, наблюдение и контролирование правильности, полноты и корректности сведений, вводимых в информационные системы компании;

6. контроль случайных и преднамеренных неправильных операций работников компании по вводу и передаче информации;

1. обеспечение доступности автоматизированных и информационных систем компании, а также обрабатываемых в них данных, в том числе:

1. регламентацию и использование отказоустойчивых технических средств обработки защищаемой информации;

2. мониторинг и контролирование стабильного функционирования используемых технических средств обработки и защиты информации;

3. регламентацию, наблюдение и контроль за обеспечением выявления и локализации отказов функционирования технических средств защиты и обработки информации;

4. контроль за своевременным принятием мер по возобновлению штатного порядка функционирования технических средств обработки и защиты информации в компании;

5. обеспечение возможности возобновления защищаемой информации из резервных машинных носителей информации в течении минимально установленного временного промежутка;

11. применение средств защиты, направленных на обеспечение защиты технических средств, выполняющих непосредственную обработку защищаемой информации, в том числе:

1. регламентацию, обеспечение и контролирование защиты информации, обрабатываемой с применением средств автоматизации, от утечки по техническим каналам;

2. организацию контролируемой зоны компании;

3. контроль и управление физическим доступом к техническим средствам обработки и защиты информации;

4. регламентацию и контролирование за размещением девайсов вывода информации, исключающим её несанкционированный просмотр;

5. обеспечение защиты от внешних окружающих воздействий;

1. обеспечение защиты каналов связи организации, в том числе:

1. разделение функций по управлению информационными системами и системами защиты информации в компании;

2. регламентацию и обеспечение предотвращения приостановок и прерывания исполнения процессов значительного приоритета, процессами наиболее невысокого приоритета;

3. обеспечение защиты информации от её раскрытия, изменения, навязывания при осуществлении передачи по функционирующим в компании каналам связи, а также беспроводным;

4. обеспечение доверенного канала связи среди администраторов, пользователей и средствами защиты информации;

5. регламентацию и контролирование запрета несанкционированного управления средствами вычислительной техники компании, которые могут быть активированы удаленно, а кроме того обеспечение информирования работников компании об активации подобных средств;

6. обеспечение передачи и контролирования целостности атрибутов безопасности, объединённых с защищаемой информацией при исполнении информационного обмена, как внутри компании, так и при передаче в сторонние;

7. обеспечение возможности подтверждения возникновения источника данных, определяемых в процессе определения сетевых адресов по сетевым именам, и определения сетевых имен по сетевым адресам;

8. обеспечение подлинности сетевых соединений и сеансов связи;

9. обеспечение протоколирования операций пользователя в информационных системах компании;

10. регламентацию и контролирование применения устройств терминального доступа к обработке защищаемой информации;

11. регламентацию, наблюдение и контролирование защиты архивных файлов и параметров настроек средств обрабатывания и защиты информации, неподлежащих изменению в ходе штатного функционирования;

12. выявление, исследование и дальнейшая блокировка тайных каналов передачи информации;

13. использование сегментирования информационных систем и каналов передачи информации компании;

14. регламентацию, наблюдение и контролирования прав доступа к защищаемой информации при исполнении файлов и программного обеспечения с машинных носителей информации, в том числе съёмные;

15. обеспечение изоляции выполнения файлов и программ в рамках выделенной области памяти средства вычислительной техники;

16. защита беспроводных соединений, используемых в компании;

13. обеспечение выявления, учета и реагирования на инциденты информационной безопасности, в том числе:

1. определение персон, отвечающих за обнаружение, учет и реагирование на инциденты информационной безопасности в компании;

2. обнаружение, идентификацию и регистрацию инцидентов информационной безопасности в компании;

3. проведение разбора инцидентов информационной безопасности, с установлением источника, причин и последствий инцидента;

4. регламентирование порядка использования и разработки мер по устранению результатов обнаруженных инцидентов информационной безопасности;

5. осуществление планирования и контролирования применения мер по предупреждению вторичного возникновения инцидентов информационной безопасности.

Вышеприведенные ключевые мероприятия по обеспечению информационной безопасности в компании могут быть целиком (или по отдельным частям) реализованы, в рамках ранее определенных основных процессах обеспечения и соответствующим им процессам управления информационной безопасностью, что доказывает безошибочность установления ключевых процессных составляющих управления информационной безопасностью в рамках разрабатываемого метода управления информационной безопасностью на основе динамических экспертных систем поддержки принятия решений. Для определения состава и основных функций управления информационной безопасностью следует рассмотреть и детализировать основные процессные составляющие управления информационной безопасностью, исходя из результатов проведенного анализа международной и Российской нормативно правовой документации в области обеспечения информационной безопасности.

3.2 Определение состава процессов управления информационной безопасностью

Опираясь на итогах исследования международной и российской нормативно-правовой документации в сфере информационной безопасности была установлена структура процессов управления информационной безопасностью, к которым станем относить:

• управление активами организации;

• управление ресурсами системы защиты информации, реализованной в организации;

• управление рисками и угрозами информационной безопасности;

• управление документацией и информационной справочной системой в организации;

• управление аудитом системы защиты информации;

• управление анализом эффективности системы защиты информации;

• управление задачами и деятельностью сотрудников, осуществляющих процессы обеспечения информационной безопасности в организации;

• управление процессами обеспечения непрерывности работы информационных систем и информационно-телекоммуникационных сервисов;

• управление процессами обеспечения мониторинга, выявления и реагирования на события информационной безопасности;

• управление процессами обеспечения информационной безопасности на различных этапах развития информационных систем, а также поддержания и продления жизненных циклов информационных систем организации;

• управление процессами обеспечения информационной безопасности при осуществлении работы с сотрудниками организации, повышении их квалификации и общей компетенции по вопросам информационной безопасности;

• управление процессами обеспечения информационной безопасности при осуществлении информационного обмена и взаимодействии с третьими сторонами;

• управление процессами обеспечения разграничения прав доступа к информации и информационным системам пользователей организации, а также последующего контроля за данным процессом.

3.3 Процесс управления рисками и угрозами информационной безопасности

3.3.1 Общее описание процесса

Процесс управления рисками и угрозами информационной безопасности, считается одним из основных аспектов при обеспечении информационной безопасности в организациях разного вида деятельности. В настоящий момент существует огромное количество методик [2,3], позволяющих определять, выявлять и оценивать риски информационной безопасности, в основе каждой методики неизменно лежит понятие «угроз информационной безопасности». Зачастую под угрозами информационной безопасности понимают совокупность условий и факторов, которые могут создавать (или создают) опасность нарушения одного из свойств безопасности информации. Таким образом понятия «риск информационной безопасности» и «угроза информационной безопасности» являются взаимодополняющими понятиями, и непрерывно связаны при формировании требований к обеспечению информационной безопасности. Такой подход к управлению информационной безопасности принято называть рисковым подходом. Следует понимать, что различные методологии зачастую основываются на специфике конкретных направлений деятельности организации, что дает более полное представление о типах защищаемых активов, степени критичности свойств безопасности информации для конкретного типа актива, и самым основным – стоимостью потери актива или нарушения свойств безопасности информации. Таким образом, риск информационной безопасности становится инструментом для определения последствий реализации угрозы и имеет ярко выраженный коммерческий характер. Такой подход является применимым для организаций, занимающихся коммерческой деятельностью, основная цель которых это получение прибыли. Однако в сложившихся современных тенденциях развития информационных технологий в Российской Федерации, информация, относящаяся к коммерческой тайне, является лишь одним из видов конфиденциальной информации. В связи с данными обстоятельствами риск-ориентированный подход получает весьма существенные противоречия. Дело в том, что в случае невозможности определения стоимости актива, оценить потери данного актива в количественном эквиваленте просто невозможно. Примером такой информации могут являться:

Характеристики

Список файлов ВКР