Маккарти Л. It-безопасность: стоит ли рисковать корпорацией? Пер с англ
| Вид материала | Книга |
- «хм «Триада», 9393.37kb.
- Анастази А. А 64 Дифференциальная психология. Индивидуальные и групповые разли- чия, 11288.93kb.
- Роджер Л. М2Э вирус ответственности.: Пер с англ, 2943.44kb.
- Новые поступления литературы (июль сентябрь 2002) математика инв. 62350 в 161., 125.41kb.
- Указатель произведений литературы зарубежных стран (библиотека кф ат и со), 250.17kb.
- Литература для клинических интернов по специальности «терапия» Кафедра факультетской, 55.33kb.
- Куртц П. К93 Искушение потусторонним: пер с англ, 7904.74kb.
- The guilford press, 6075kb.
- The guilford press, 6075.4kb.
- Жизнь счастливого человека (А. Маслоу), 76.37kb.
Резюме: Тщательнее планируйте выполнение подрядных работ
Перенос систем с одной платформы на другую - задача не из легких. Перед оптимизацией вычислительной среды или переносом систем на новую платформу нужно проводить оценку риска. Кроме того, необходимо разрабатывать новые политики и процедуры применительно к новой среде.
==================
3. Highly sensitive information - буквально: «высокочувствительную информацию». Это конфиденциальная информация, раскрытие которой может нанести персональный вред, в данном случае - пациентам. - Примеч. пер.
Одновременно нужно обучить системных администраторов тому, как обеспечивать безопасность в новой системе.
Прежние игроки в данной истории разыграли свои карты по всем правилам. Получив большой кусок пирога, Джо и Марлен построили систему, сорвали аплодисменты и удалились. К сожалению, спроектированная ими новая сеть содержала несколько довольно больших проблем безопасности.
В реальной жизни карты, разыгранные Джо и Марлен, не являются чем-то необычным. При создании сетей вопросы безопасности часто тормозят ход работ и раздувают бюджет. Хуже того, эти вопросы не получают и доли того внимания, которое привлекают к себе большие проекты. И наконец, руководители просто не желают знать, что может случиться, если будет отсутствовать защита.
Мы пойдем другой дорогой...
Генеральная перетряска большой компьютерной системы является ситуацией, полной неожиданных проблем с безопасностью. По меньшей мере, вы будете иметь дело с кривой нарастания опыта системных администраторов, стремящихся освоить систему с новой технологией.
В данном случае эта кривая медленного накопления опыта могла бы оказаться роковой для некоторых пациентов Rockland General. Но счастье оказалось на их стороне.
Не полагаясь на удачу в судьбе, в Rockland General должны были бы сделать следующее.
Оценить риски
Перед тем как перенести информацию с одной платформы на другую, всегда проводите оценку риска. По своей природе одной информации присущ больший риск, чем другой. В нашем случае более рискованной информацией оказались истории болезни.
После оценки риска руководство должно было определить риск для каждого вида информации и предпринять шаги по сохранению ее в тайне. Они могли бы усилить меры по контролю доступа, ввести контроль над действиями пользователей, обнаружение вторжения и шифрование в системах с историями болезней.
Классифицировать системы
Системы нужно было классифицировать по степени важности и построить их защиту, исходя из уровня риска для информации. Основными уровнями риска при такой классификации являются некритичный, критичный и особо критичный. После проведения классификации безопасность систем должна быть настроена в соответствии с политикой компании по защите информации.
Так как каждая компания имеет свой уровень развития и несет ответственность за свою информацию, то классификация и определение уровней безопасности должны проводиться исходя из конкретных условий (меняющихся от компании к компании).
В данном случае единственным человеком, кто хотя бы смутно представлял себе идею классификации систем, была Джилл. Да и то после того, как ей открыли на это глаза. Так относиться к технической поддержке компьютеров нельзя. Вы должны ясно представлять, что нужно защищать. Иначе вы не сможете убедиться в достаточности имеющегося у вас уровня безопасности.
Запретить стандартные установки систем
Мы уже обсуждали это ранее (во второй главе), но нужно еще раз повторить. Стандартная установка систем порождает высокую степень риска для любой компании, в которой нет хороших политик и процедур безопасности. Установленные стандартно системы могут создать зияющие дыры в вашей сети.
Зачем оставлять приглашение хакерам, если вы можете этого не делать? Лучше внедрите правильные политики и процедуры по установке систем в вашей сети.
Не быть слишком доверчивым
Доверие - это страшная вещь в сетях с неправильной настройкой. Как только вы войдете в одну машину, другие машины доверят вам войти в них. Если вам необходима доверительная конфигурация (а абсолютная необходимость возникает лишь в редких случаях), то вы должны обеспечить должную безопасность доверяемой машине. Это очень трудно сделать. По возможности поищите менее рискованную альтернативу.
Извлекать уроки из прошлого
Часто говорят, что тот, кто забывает историю, обречен ее повторить. Только что назначенные менеджеры и системные администраторы не должны считать безопасность принимаемых ими систем достаточной без проверки, проведенной собственноручно, - не зависимо от репутации предшественников. Если бы в данном аудите не были вскрыты оставшиеся от предшественников проблемы, то Мэтт мог бы испытать на себе, как доверие к Джо и Марлен разрушит его собственную репутацию.
Выбирать цели при сокращении бюджета
Бездонных бюджетов не бывает, и в наступившей эре бережливости трудно выжить. Но и в этой ситуации рискованно искать обходные пути.
Здесь пользу может принести классификация систем. Вы не должны тратить средства на обеспечение безопасности наугад, то есть начинать с первой системы и двигаться справа налево, а затем остановиться, когда деньги закончатся. Если вы проведете оценку риска и классификацию систем, то сможете применить более практичный подход. Вы сможете использовать полученную информацию и сокращать средства, прежде всего для участков, где это причинит меньший вред.
В идеале, конечно, вы должны обеспечивать безопасность каждой системы. Но если бюджет не позволяет сделать этого прямо сейчас, то вы должны в первую очередь позаботиться о защите особо критичных систем.
Проводить тестирование безопасности
Используйте аудиты безопасности для оценки уровня риска в вашей среде. Rockland General должна была провести аудит безопасности до переноса систем на новую платформу. Аудит выявил бы существующие риски безопасности, что помогло бы персоналу компьютерного зала получить финансирование, необходимое для обеспечения безопасности при таком переходе.
Разумеется, им следовало бы многое сделать. Я догадываюсь, что технический персонал противился проведению первоначального аудита, так как им действительно не хотелось, чтобы начальство узнало о существующих рисках. Зачем забираться в такие дебри только для того, чтобы показать начальству свое неумение устранить обнаруженные проблемы.
Сделать руководителей подотчетными
Другой очевидной проблемой в Rockland General была краткосрочность мышления менеджеров: «Получай свою премию и управляй своими людьми». При наличии корпоративной культуры, допускающей быстрое передвижение по служебной лестнице, обязанности по обеспечению безопасности должны отражаться в должностной инструкции! Нет безопасности - нет премии. Более того, сотрудники должны проявлять больше усилий, чтобы остаться в числе лучших профессионалов. По меньшей мере, нужно назначать на должности менеджеров только тех, кто показывает стабильные результаты в технической поддержке особо критичных машин.
Несомненно, конечная ответственность за риски безопасности лежит на руководстве. Но нечестно во всем обвинять людей, которых уже нет рядом с вами.
Не расплачиваться за других
На системных администраторов часто обрушивается гнев за проблемы с безопасностью, даже если это не их вина. Не удивляйтесь, если менеджер, отказавшийся обеспечить необходимое финансирование поддержки безопасности, будет первым, кто набросится на вас, когда что-то пойдет не так.
В любом случае, когда что-либо происходит с обслуживаемыми вами машинами, люди будут обвинять в этом вас. Если компания, в которой вы работаете, не финансирует поддержку или обучение безопасности, то, может быть, стоит задуматься над обновлением вашего резюме.
Включать обучение в бюджет
Смена платформ и радикальное изменение конфигурации означают, что вы также потеряете знания ваших людей. Перед тем как осуществить такой переход, обеспечьте обучение персонала новым вещам. Системные администраторы не смогут однажды проснуться утром и обнаружить, что они таинственным образом во сне освоили операции по новой технологии. Им нужен кто-то, кто бы объяснил, какие добавить патчи, какие службы выключить и т, д.
В Rockland General технический персонал перенес всю особо критичную информацию больницы из большого старого компьютера, который они знали, как обслуживать, в незнакомую распределенную среду. И в процессе этого руководство не обеспечило им ни одного занятия по безопасности. Неудивительно, что с безопасностью возникли такие большие проблемы!
Подсчитывать очки
Мы уже обсудили виды рисков, сопровождающих краткосрочное мышление. Теперь поговорим об одном из способов эти риски избежать: о подсчете очков!
Высшее руководство должно подсчитывать очки по безопасности сотрудников всех уровней. Ни один из менеджеров, отвечающих за техническую поддержку компьютеров, не должен получать премию, пока он не добьется поставленных перед ним целей по обеспечению безопасности. Таким же образом системные администраторы должны набирать очки за то, как они защищают информацию, а не только за то, как они обеспечивают исправность сети и ее работу.
Контрольный список
Используйте этот список, чтобы определить, подвергается ли ваша компания риску по причине незнания того, каким этот риск является. Можете ли вы поставить «Да» напротив каждого пункта?
_ Проводилась ли недавно оценка риска?
_ Классифицированы ли системы по уровню риска (некритичные, критичные, особо критичные и т. д.)?
_ Привязаны ли цели руководства к вопросам безопасности?
_ Проводятся ли плановые аудиты для проверки ранее сделанной оценки риска?
_ Привлекаются ли, при необходимости, внешние аудиторы для оценки и уменьшения риска? (Некоторые владельцы информации еще не знают, какие ценности они имеют!)
_ Все ли сотрудники (как менеджеры, так и системные администраторы) назначаются на должности и оцениваются, основываясь на выполнении ими задач по обеспечению безопасности?