Безопасность в распределенных системах представляет собой сложную и многостороннюю проблему
| Вид материала | Документы |
- Правила дорожного движения соблюдаешь безопасный путь выбираешь! Евлампиева М. В. учитель, 103.34kb.
- «Физиология нервной системы», 172.86kb.
- Проблемы формирования и функционирования дилерской службы апк содержание, 168.78kb.
- Работа классного руководителя по развитию одаренности детей, 129.5kb.
- Общество представляет собой сложную социальностратификационную структуру, 70.03kb.
- Добрый день, уважаемые участники и гости форума. Всовременных условиях модернизации, 29.58kb.
- Межкультурной Коммуникации «Проявление этноцентризма в межгрупповых отношениях», 194.04kb.
- Основные определения статистики заболеваемости Заболеваемость, 69.04kb.
- Аудит и контроллинг, 180.04kb.
- Миллиардов действий, 663.25kb.
С целью выявления реальных методов защиты данных фирмами, пользующимися вычислительной техникой, руководителям служб защиты данных или служб управления информационной системой (УИС) 500 крупнейших фирм США, приводимых в журнале Fortune, была разослана анкета, вопросы которой касались различных аспектов защиты данных вычислительных систем. Ответы, полученные от 17,2 % опрошенных фирм, показали, что годовой бюджет служб УИС составляет ~ 20 млн долл., при этом более половины фирм, ответивших на анкету, затрачивают менее 0,5 % этого бюджета на средства защиты данных, 1/3 фирм - от 0,5 до 1,0 % и остальные - более 1,0 %. Отмечается, что почти на всех фирмах имеются обширные руководства по вопросам защиты данных, более чем 3/4 фирм располагают планами действий в экстренных ситуациях, предусматривают дублирование и восстановление данных. Однако на ~1/3 фирм эти планы никогда не просматриваются или имеющиеся планы защиты данных никогда не корректируются.
Политика в области обеспечения сохранности данных и предотвращения преступлений, совершаемых с помощью ЭВМ, определяется на основе результатов консультаций руководителей служб УИС с руководителями фирмы, причем последние должны утвердить окончательные меры по защите данных. Такое двойное участие руководства фирмы в подготовке и утверждении средств защиты данных обеспечивает поддержку программ на высшем уровне. Как показал опрос, программы проверки кадров не обеспечивают правильного отбора персонала, работающего с вычислительными системами.
Как правило, на фирмах:
не выявляются позиции сотрудников и степень понимания ими проблем защиты данных, а также потенциальные нарушители правил защиты данных;
не проводится ротация сотрудников, позволяющая оценить их поведение с точки зрения обеспечения безопасности;
не проверяется работа, выполняемая ведущими специалистами в период их отсутствия (например, в отпуске).
Это свидетельствует о том, что кадровая политика фирм проводится только на этапе приема и увольнения, но не на протяжении работы данного лица в фирме.
Другим недостатком кадровой политики является тот факт, что слабое внимание уделяется вопросам обучения персонала правилам защиты и обеспечения сохранности данных. Так, 52 % ответивших на анкету фирм отметили, что не предусматривалось проведение каких-либо программ обучения служащих правилам обеспечения сохранности данных. Более чем на 50 % фирм имеется опись имущества, представляющего наибольшую ценность. Такие описи указывают сотрудникам службы охраны и обеспечения безопасности, что необходимо охранять в первую очередь. При этом наиболее часто используемыми мерами, определяющими ценность и степень охраны проводимого в описи имущества, являются ожидаемые потери, частота попыток доступа к ним, длительность его хранения и затраты на ликвидацию последствий хищения. Остальные фирмы не проводят и такой оценки угроз и не определяют "имущество" своих вычислительных систем.
При использовании последних и оценки возможной опасности наиболее широко применяются субъективные подходы, а не такие количественные меры, как метод Дельфи или модель опасности (аналитический инструмент для идентификации угроз на основе причинно-следственных связей).
При проведении проверки средств защиты данных на ведущих фирмах США использовалось Руководство по обеспечению сохранности вычислительных средств, выпущенное в Лондоне в 1983 г. В нем проблемы, касающиеся средств защиты данных на фирме, разделены на два типа: управленческие и технические.
К первым относится ответственность руководства фирмы за внедрение средств защиты данных, тогда как технические вопросы входят в круг деятельности подразделений УИС.
К этим вопросам относятся и рассмотренные выше методы обеспечения физической охраны, контроль доступа, и собственно защита данных.
Вопросы управления можно разделить на пять категорий.
1. Выработка четко выраженной и документированной политики обеспечения защиты данных ЭВМ, которая должна определить рамки и направление работ в этой области.
2. Составление стандартов и описание процедур, т.е. подготовка подробных ежедневных руководств, которым сотрудники УИС должны следовать в своей деятельности.
3. Определение меры ответственности за решение задач защиты данных, т.е. распределение ответственности между подразделениями УИС, отделом кадров и руководством фирмой.
4. Развертывание кадровой программы, позволяющей контролировать поведение служащего на протяжении всего периода его работы в фирме. Программа должна также рассматривать такие вопросы, как отбор принимаемых на работу, уел <вия договора о приеме на работу, обучение персонала и т.п.
5. Составление полной описи ценной информации, содержащей определение и оценку этой информации, а такке возможных угроз и защиты, описание выбранных средств защиты и т.п.
Все приведенные меры обеспечения сохранности данных проводятся на фирмах или крупных вычислительных центрах, тогда как наибольшая опасность потери данных характерна для пользователей ПК, которые достаточно небрежно обращаются со своими машинами и ПО. Однако в настоящее время уже появились фирмы, предоставляющие услуги по обеспечению защиты и восстановлению данных ПК. Так, фирма Fast Track Systems объявила о создании автоматизированного дистанционного "сейфа" для пользователей ПК. Система автоматически каждый вечер полностью копирует диски клиентов фирмы и предлагает их главной ЭВМ, где содержание дисков переводится на магнитную ленту, хранящуюся в сейфе.
Фирма Ontrack Data Recovery предлагает помощь по ликвидации последствий самого распространенного случая - необратимого сбоя дискового накопителя, в результате которого данные процессов, выполнявшихся в момент сбоя, могут находиться в неопределенном состоянии, и их согласованность может быть нарушена. Специалисты фирмы получают неисправные накопители, оценивают средства, обеспечивающие способность системы восстановить целостность хранимой информации после сбоя и затем восстанавливают ее насколько это возможно. Стоимость этого процесса зависит от объема работ. Начальная стоимость равна 200 долл. за 1 ч проведения проверки накопителя. В среднем стоимость работ по восстановлению целостности данных равна 500-900 долл., максимальная - 2,5 тыс.долл. В настоящее время специалисты фирмы восстанавливают целостность данных нарушенную вследствие электромеханического сбоя или вследствие искажений структур данных и файла [43].
Идя навстречу запросам потребителей, изготовители вычислительной техники работают над повышением безопасности создаваемых ими систем и устройств. Однако для решения проблемы необходима выработка критериев объективной и точной оценки уровня защищенности вновь создаваемых средств обработки секретной информации С этой целью Управлением национальной безопасности США (NSA) был создан Национальный центр по обеспечению защищенности компьютеров (NCSC), который проводит сертификацию уровня секретности новых изделий, в частности операционных систем и вычислительных сетей. Согласно классификации, принятой этим центром, все системы возможно делить на несколько классов в зависимости от степени защищенности. Наивысшая степень защищенности соответствует классу А1. Системы категорий В и А считаются хорошо защищенными. К классу С относятся системы, о которых можно сказать, что их защищенность усилена. Наименьший уровень защищенности оценивается классом С1. Если система не удовлетворяет минимальным требованиям по защите, то ей присваивается класс D . Для каждой системы, проходящей сертификацию, заполняется паспорт, в котором отражено 27 параметров, характеризующих возможности обеспечения ее секретности. В таблице 7.6.1 [44] приведены результаты сертификации уровня защиты данных, обеспечиваемых операционными системами, разработанными фирмами США.
| Таблица 7.6.1 Операционные системы, прошедшие сертификацию на обеспечение защиты данных | ||||
| N п/п | Фирма | Марка ОС | Катег. защиты | Назначенца ОС |
| \ | IBM | RACF-1,5 | C1 | |
| 2 | Computer Associates | CA-ACF2/MVS-3.1.3 | C2 | . . . |
| 3 | Honeywell Information Systems | STOP - 2.1 | A1 | Связная миниЭВМ SCOMP оборудованная модулем обеспечения защиты данных |
| 4 | Honeywell Information Systems | Multics MR11.0 | B1 | Вычислительные системы Honeywell Level 68, DPS-8M |
| 5 | Computer Associates | CA-Top Secret -3.0-3.0/MVS | C2 | . . . |
| 6 | Control Data | NOS Security Evaluation Package | C2 | Вычислительные сети |
| 7 | Digital Equipment | VAX/VMS-4.3 | C2 | • • • |
| 8 | Gould | UTX/386 | C2 | Персональные компьютеры |
| 9 | Gould | UTX/32S | C2 | . . . |
| 10 | Unisys | MCP/AS серии А | C2 | |
| 11 | Computer Associates | Acf2/VM-3.1 | C2 | • • • |
| 12 | Prime Computer | . . . | C2 | i |
| 13 | Hewlett-Packard | . . . | C2 | |
| 14 | Data General | . . . | C2 | . . . |
| 15 | AT&T | Unix System V/MLS | B1 | . . . |
| 16 | Trusted Information Systems | Trusted XENIX | B2 | Персональные компьютеры |