Введение в защиту информации
Методическое пособие - Компьютеры, программирование
Другие методички по предмету Компьютеры, программирование
сть средств защиты больше, чем риск, связанный с угрозой.
Этап 6. Внедрение и тестирование средств защиты
Цель процесса внедрения и тестирования средств защиты состоит в том, чтобы гарантировать правильность реализации средств защиты, обеспечить совместимость с другими функциональными возможностями ИС и средствами защиты и получить ожидаемую степень защиты.
Этот процесс начинается разработкой плана внедрения средств защиты, который должен учитывать такие факторы, как доступный объем финансирования, уровень подготовки пользователей и т.д. График испытаний для каждого средства защиты также включается в этот план. План должен показывать, как каждое средство защиты взаимодействует с другими средствами защиты или влияет на них (или функциональные возможности ИС). Важно не только то, что средство защиты исполняет свои функции, как ожидается и обеспечивает требуемую защиту, но и то, что средство защиты не увеличивает риск неправильного функционирования ИС из-за конфликта с другим средством защиты.
Каждое средство должно быть проверено независимо от других средств, чтобы гарантировать обеспечение ожидаемой защиты. Однако это может оказаться неуместным, если средство предназначено для совместной работы с другими средствами.
Этап 7. Одобрение остаточного риска
После того как все средства защиты реализованы, проверены и найдены приемлемыми, результаты проверки приемлемости риска должны быть повторно изучены. Риск, связанный с отношениями угроза/уязвимое место, должен теперь быть сокращен до приемлемого уровня или устранен. Если эти условия не соблюдены, то решения, принятые на предыдущих шагах, должны быть пересмотрены, чтобы определить надлежащие меры защиты.
Посещая семинары и презентации различных систем и продуктов по информационной безопасности, порой можно увидеть следующую картину. Представитель компании, представляющий продукт, расписывает в ярких красках достоинства и особенности своей системы, из которых можно сделать вывод, что данная система это все что необходимо для обеспечения безопасности организации (пусть даже отдельного направления деятельности или отдельной подсистемы). При этом можно увидеть, как разгораются глаза у участников посетителей семинара, специалистов, так или иначе обеспечивающих или отвечающих за безопасность конкретных предприятий. Можно с высокой степенью вероятности предположить, что некоторые из них по окончании семинара-презентации направятся к своему руководству с предложениями о приобретении рекламируемой системы, особенно если предприятие государственное или такое, где специалисты напрямую не заинтересованы в рациональном расходовании средств.
Отвлекаясь от достоинств или недостатков любой из систем или продуктов, необходимо осознать то, что защита информационных ресурсов должна быть продумана и эффективна, поскольку она в определенной степени предназначена и для сохранения финансовых ресурсов организации. В этом смысле приобретение дорогого, разрекламированного средства информационной безопасности может идти вразрез с самими целями мероприятий по информационной безопасности.
Часто можно услышать подобную логику рассуждений: на данном компьютере лежит конфиденциальная информация, следовательно, поместить его за межсетевой экран (или установить на нем персональный межсетевой экран), антивирусное (в данном случае анти-троянское) программное обеспечение, сканнер атак на хост, программу контроля целостности системных файлов и вдобавок ко всему оснастить его системой биометрического контроля доступа, скажем, по отпечатку пальца. Суммарные расходы на защиту компьютера начинают превышать стоимость самого компьютера с операционной системой и приложениями. (При этом, правда, иногда упускается из виду, что оператор, работающий на данной станции с указанными секретными данными, готов поделиться этими секретными данными за сумму, сравнимую с его месячной заработной платой, возможно, это несколько десятков, пусть даже сотен долларов.) Если же, как это обычно бывает, информация распределена между станциями сети, стоимость защиты вырастает в существенные суммы. Однако какой конкретный ущерб принесет разглашение этой информации? Очевидно, что это неприятно, особенно если такой инцидент стал достоянием публики. Но каково материальное выражение этого ущерба?
Некоторые руководящие документы по информационной безопасности косвенно или явно формально указывают на основной принцип определения требуемого уровня защиты. Обычно он формулируется так: "Сумма затрат на обеспечение защиты не должна превосходить суммы ущерба от атаки, которую данная защита должна предотвратить". Реже принимается другой принцип: "Суммарные расходы, понесенные злоумышленником на преодоление защиты должны превышать выгоду от результатов атаки". Первый подход обычно характерен для коммерческих организаций, ориентированных на получение прибыли, второй подход для организаций работающих, например, с государственными секретами, когда построение защиты подразумевает более существенные расходы.
Однако, если измерить произведенные расходы на приобретение и установку систем защиты информации достаточно легко, то оценить, сколько необходимо потратить на обеспечение безопасности, сложнее. В главе 14 будут представлены некоторые методики такой оценки, но следует учитывать, что увязывание числовых метрик с информационными активами вообще специфично для каждой конкретной орг?/p>