Основы ИТ-безопасности
Компьютерная безопасность (пересмотрено)
Термин компьютерная безопасность, который эквивалентен термину ИТ-безопасность, является огранкой всей компьютерной науки, чья первоочередная задача – обеспечение сохранности информации и предложение мер по защите от вторжения, воровства или разглашения, чтобы:
- Информация была своевременна, точна, полна и последовательна; при передаче ее по компьютерной сети она не должна изменяться во время передачи (целостность).
- Информация не была доступна кому бы то ни было, кроме тех людей, для которых она предназначена. При передаче по компьютерной сети она должна быть доступна только отправителю и получателю (приватность).
- Получатель, получающий информацию, мог иметь надлежащие гарантии того, что она была создана и отправлена ее действительным создателем (подлинность).
- Отправитель мог быть уверен в том, что люди, получающие доступ к информации, реально существуют. Когда информация передается по компьютерной сети, получатель должен быть истинным (неподдельность и идентификация).
- Автор не мог отрицать того, что информация была создана им. При передаче информации по компьютерной сети отправитель не может скрыть того факта, что это именно он или она отправил информацию (невозможность отказа от авторства).
Наряду с этими концепциями также важно понимать саму природу информации, которой обладаете вы или ваша компания, концепцию информационной классификации и то, что представляет собой важная информация.
1.2.5 Классификация информации
Ключ к хорошей безопасности – умение отделять то, что нужно защищать, от того, что в защите не нуждается.
Информацию, которую требуется обезопасить, обычно называют важной или чувствительной информацией (sensitive information). Она важна именно потому, что мы должным образом определили, что же вообще представляет собой важная информация.
Уместная ссылка на тему безопасности – Закон о компьютерной безопасности от 1987 г., общественное право 100-235 (статья 145), 8 января 1988 г. (Computer Security Act of 1987, Public Law 100-235 (H.R. 145), January 8, 1988). Онлайновая электронная копия этого документа находится в Центре электронной защиты информации (EPIC, Electronic Privacy Information Center) по адресу:
http://www.epic.org/crypto/csa/csa.html
В этом документе можно найти следующее определение важной информации, находящееся в разделе 3, "Создание программы компьютерных стандартов":
Критичная информация: (4) под термином "важная информация" подразумевается любая информация, потеря, неправильное использование, несанкционированный доступ или модификация которой могли бы неблагоприятно повлиять на национальные интересы, или на проведение федеральных программ, или же на частную жизнь граждан, охраняемую параграфом 552а пятого раздела Свода законов США (Закон об охране прав личности), но которая (информация) не определена приказом президента или актом конгресса как секретная в интересах национальной безопасности или внешней политики.
Хотя закон о компьютерной безопасности и принят в Соединенных Штатах, а его целью является защита интересов именно этой страны, вышеприведенное определение является общеприменимым, пригодным для любой страны и любой компании в мире. Другими словами, важная информация – это такая информация, которую необходимо сохранять конфиденциальной и которая должна быть защищена от несанкционированного доступа и раскрытия. Более того, это также означает, что для защиты этой информации от уничтожения или изменения должны быть приняты соответствующие меры.
К примеру, в банке отдельные виды бумаг (например, банкноты, бумажные векселя, валюта) защищаются с особой тщательностью. Другие виды, такие, как бланки занесения на счет и снятия со счета, заполняемые клиентами, не защищаются вообще. Фактически они просто лежат на маленьких столиках с тем, чтобы взять их мог любой.
С информацией то же самое. Есть информация, которую не надо защищать вследствие ее общего (или публичного) содержания. С другой стороны, есть также информация, которую следует защищать очень даже хорошо, поскольку ее разглашение может оказаться небезопасным: например, привести к потере важного преимущества в конкурентной борьбе, подпортить репутацию, раскрыть конфиденциальность клиента или, в зависимости от типа бизнеса, к ранениям (или смерти) людей.
Классификация данных играет еще одну важную роль. Помимо определения того, как информацию следует закрывать, она также определяет и то, как информацию следует открывать. Публичным данным на Web-сайте может требоваться только самая базовая безопасность, дабы воспрепятствовать их порче, но при этом доступ к ним должен быть достаточно свободным, чтобы кто угодно мог получить их без каких бы то ни было проблем.
В зависимости от типа бизнеса (государственный сектор и правительственные учреждения имеют дело в определенных случаях с очень важной персональной информацией, в то время как организации частного сектора обычно имеют дело с важной информацией коммерческого характера) имеют место различные категории и методы классификаций. Изложенные ниже классификации данных применимы как к государственным организациям, так и к бизнесу частного сектора.
Публичная, или неклассифицированная
Информация рассматривается как публичная, или неклассифицированная, если ее раскрытие никоим образом не повлияет на бизнес. Достоверность данных не имеет критического характера. Отказ службы из-за атак злоумышленников является вполне приемлемым риском. В качестве примера такого рода информации можно привести публичную часть Web-сайта какого-нибудь бизнеса или любую другую информацию об этом бизнесе, доступную из других источников или посредством других средств.
Внутренняя
Чтобы защитить информацию, принадлежащую к категории внутренней по отношению к организации, уже требуются некоторые усилия, но, если эта информация станет общедоступной, последствия не будут критическими (они могли бы привести к потере лица или стать некоторой помехой для бизнеса, но несущественной). Достоверность данных важна, но не носит критического характера. Внутренний доступ разделен между различными группами людей согласно их различному уровню доступа. Примерами такого рода информации могут служить определенные, более закрытые части Web-сайта, справочник компании и значительная часть данных, проходящих по внутренней сети компании.
Конфиденциальная информация
Для того чтобы оставить конфиденциальную информацию только для внутреннего пользования и гарантировать, что она не попадет в руки посторонних людей, требуются значительные усилия. Достоверность данных имеет первостепенную важность.
Разглашение этой информации могло бы дать конкуренту важное преимущество в конкурентной борьбе, привести к крупным финансовым потерям у компании или серьезно подорвать доверие клиентов по отношению к бизнесу. Примеры такого вида информации – зарплаты служащих, конфиденциальная информация клиентов (такая, как личные адреса и информация о кредитных карточках) вместе с паролями и любой другой информацией, позволяющей вход во внутренние системы бизнеса.
Секретная информация
Для того чтобы держать в секрете эту категорию информации, причем не только от посторонних, но даже и от "своих" людей по отношению к бизнесу, требуются очень значительные усилия. Секретная информация обычно определяется по принципу "только необходимого знания"1Принцип необходимого знания – стратегия защиты информации, при которой пользователь получает доступ только к тем данным, которые непосредственно необходимы ему для выполнения конкретно данной работы.. Достоверность данных имеет первостепенную важность. По факту разглашения такой информации должны применяться особые правила и процедуры. Примеры такого рода информации – история болезни, заверенные юридические документы, дипломатическая и военная информация.
Сверхсекретная информация
Требуются очень значительные усилия, чтобы любой ценой держать в секрете этот тип информации ото всех, кроме нескольких избранных людей. Сверхсекретная информация обычно определяется по принципу "сверхнадежный доступ". Достоверность данных имеет первостепенную важность. Разглашение подобное информации может нанести серьезный физический или моральный ущерб людям и даже привести к смерти. Примеры – военные данные, дипломатические секреты и медицинская информация о патологиях.
1.2.6 Разъяснения по информационной классификации
Относительно классификации данных следует разъяснить, что существуют отдельные моменты, когда общедоступные или неклассифицированные данные могут быть изменены таким образом, что это заденет конфиденциальность клиентов или репутацию организации.
Например, корпоративный Web-сайт мог бы быть испорчен таким образом, что в публичной информации оказались нецензурные слова или сама эта неклассифицированная информация на нем могла быть изменена настолько, что вводила бы в заблуждение или искажала представление об оригинале. Примером последней ситуации было бы изменение предложения 30-day interest-free loan (30-дневная беспроцентная ссуда) на interest-fee loan (ссуда под проценты, обратите внимание на отсутствие ограничения по времени). В мире бизнеса, когда все больше и больше предполагается идентичность данных Web-сайта печатным данным (газеты или торговая периодика), от компании может потребоваться предоставление такой услуги или столкнуться с серьезными последствиями.
1.3 Службы компьютерной безопасности
Теперь, после того как был дан обзор информационной классификации и определено понятие важной информации, можно определить те службы, которые позволяют эту информацию защитить.
Нижеследующие определения, используемые по всему курсу, можно лучше всего объяснить при помощи архитектуры безопасности IBM (IBM Security Architecture), которая основана на стандартах безопасности ISO2ISO – International Standardisation Organisation, Международная организация по стандартизации. (ISO Security Framework, 7498-2).
Архитектура безопасности IBM – это модель, объединяющая службы, механизмы, объекты и функции управления безопасностью по всему многообразию сетей и платформ оборудования и программного обеспечения. Эта архитектура поддерживает стратегию обеспечения тотальной защиты приложений и информации в пределах организации.
Описания этих служб безопасности взяты из книги "Руководство по архитектуре систем безопасности предприятия и представлению решений" (Enterprise-Wide Security Architecture and Solutions Presentation Guide, SG24-4579), онлайновую ссылку на которую можно найти на сайте IBM Redbooks. PDF-версию можно взять по следующему адресу:
http://publib-b.boulder.ibm.com/Redbooks.nsf/RedbookAbstracts/sg244579.html
Службы компьютерной безопасности можно разделить по их способности обеспечить:
- целостность данных (предотвращающие порчу информации);
- конфиденциальность (обеспечивающие секретность);
- идентификацию и аутентификацию (распознающие, с кем вы имеете дело).
- контроль доступа (контролирующие, кто может получить доступ к информации и работать с ней);
- невозможность отказа (предотвращающие возможность снятия с себя ответственности за сказанное или написанное).
Имейте в виду, что эти категории невзаимоисключающие; например, вы не можете осуществить контроль доступа без постановки вопросов аутентификации и целостности данных.