Политика безопасности. Краткий обзор защитных политик. (часть первая)

Вступление

Эта статья - первая из цикла, посвященного обсуждению того, как информационная политика безопасности может использоваться для защиты ценных информационных активов организации. В нашем мире, где, по существу, происходит информационная и технологическая гонка, где эксплоиты к самому последнему IIS соревнуются в скорости появления с соответствующими заплатами, где постоянно растущее число различных операционных систем и приложений к ним вскорости превысит все уменьшающееся из-за этого количество волос на голове системного администратора (которые, надеюсь, еще не стали седыми), политика дает нам возможность изменить темп этой гонки, заставить игру идти по нашим собственным правилам. Политика безопасности позволяет организациям установить методы и процедуры для своего конкретного случая, что уменьшает вероятность нападения или другого инцидента и минимизирует ущерб, который такой инцидент, если он все же произойдет, мог бы причинять.

Много людей рассматривают политику, как вкусный, но необязательный десерт, который может быть по желанию добавлен к основным блюдам – межсетевым защитам, вирусным сканерам и VPN, слегка сдобренным IDS. Это неправильно. В этой статье я попытаюсь объяснить, почему, на мой взгляд, именно политика должна служить основой всесторонней стратегии информационной безопасности, и как политика может быть эффективной, практической частью ваших цифровых защитных систем.

Что такое - политика?

Самое близкое по смыслу определение слова 'политика', которое можно найти в словаре - это: "план или курс действий, как для правительств, политических партий, или структур бизнеса, предназначенный, чтобы определить или повлиять на решения, действия и другие вопросы" (American Heritage Dictionary of the English language)

В терминах же компьютерной безопасности политику можно определить как изданный документ (или свод документов), в котором рассмотрены вопросы философии, организации, стратегии, методов в отношении конфиденциальности, целостности и пригодности информации и информационных систем.

Таким образом, политика - набор механизмов, посредством которых ваши цели информационной безопасности могут быть определены и достигнуты. Давайте, кратко исследуем каждую из этих концепций. Для начала, рассмотрим цели информационной безопасности:

Конфиденциальность – обеспечение информацией только тех людей, которые уполномочены для получения такого доступа. Хранение и просмотр ценной информации только теми людьми, кто по своим служебным обязанностям и полномочиям предназначен для этого.

Целостность - поддержание целостности ценной и секретной информации означает, что она защищена от неправомочной модификации. Существуют множество типов информации, которые имеют ценность только тогда, когда мы можем гарантировать, что они правильные. Главная цель информационной политики безопасности должна гарантировать, что информация не была повреждена, разрушена или изменена любым способом.

Пригодность – обеспечение того, чтобы информация и информационные системы были доступны и готовы к эксплуатации всегда, как только они потребовались. В этом случае, основная цель информационной политики безопасности должна быть гарантия, что информация всегда доступна и поддерживается в пригодном состоянии.

Эти цели характерны для любой системы безопасности.

 Теперь обсудим механизмы, через которые эти цели могут быть достигнуты, а именно:

Философия

Это - подход к организации информационной безопасности, структура, руководящие принципы информационной стратегии безопасности. Философии безопасности можно представить, как большой купол, под которым находятся все другие механизмы безопасности.  Философия должна объяснять во всех будущих ситуациях, почему вы делали именно то, что вы делали.

Стратегия

Стратегия – это план или проект в философии безопасности. Детализация этого плана показывает, как организация намеревается достигнуть целей, поставленных (явно или неявно)  в пределах структуры философии.

Правила

Правила – они и в Африке правила. Они объясняют, что нам следует делать, а чего не следует делать никогда в нашей политике информационной безопасности.

Методы

Методы определяют, как организована наша политика. Они - практический гид того, что и как делать в каждом конкретном случае.

 Преимущества политики: какую выгоду предлагает политика?

В предыдущем разделе мы кратко рассмотрели, что такое политика, и более подробно, что такое политика информационной безопасности. Но даже из этого краткого описания уже должно быть ясно, что, когда мы имеем в виду политику, мы подразумеваем серьезный бизнес. В сфере информационных технологий это обычно означает необходимость серьезных инвестиции – денежных, временных, человеческих ресурсов. В этой области невозможно скупиться на затраты, если мы планируем их возместить, эффективная политика никогда не бывает быстрой для установки. Здесь возникает вопрос, который  для себя решают все, кто решил создать качественную политику информационной защиты: "Что она даст такого, чего бы не было у меня, ну скажем для примера, в Snort 1.7 для Bastion Linux?"

Вот - некоторые примеры того, что может быть достигнуто политикой защиты

Босс может сам контролировать это

Традиционно, если в организации нет четкой политики информационной безопасности, вся ответственность, как за принятие решений по безопасности, так и за все сбои и инциденты лежит на системных администраторах. Во многих организациях они не могут нормально уйти в отпуск или на больничный, потому, что оставшиеся сотрудники будут просто не в состоянии решить множество постоянно возникающих вопросов и проблем. С другой стороны, в большинстве стран принято, что всю ответственность за защиту активов компании несет руководство, а не какой-то никому не известный системный администратор. Директор или руководитель отдела, как правило, не является специалистом в области компьютерной безопасности и его попытки вмешиваться в техническую сторону вопроса будут всегда приводить к неприятным последствиям. Если же в организации разработана политика информационной безопасности, в которой четко прописаны обязанности и уровень доступа самых разных сотрудников, то руководство может легко, и что главное, с пользой для общего дела, контролировать выполнение этих правил. Вовлечение руководства компании в дело информационной безопасности приносит огромную вспомогательную выгоду - оно значительно увеличивает приоритет безопасности, что положительно сказывается на общем уровне безопасности компании.

Обеспечение подтверждения должного усердия в вопросе безопасности

В некоторых отраслях промышленности ваша компания может иметь юридические обязательства относительно целостности и конфиденциальности некоторой информации. В большинстве случаев единственный путь, по которому вы можете доказать должное усердие в этом отношении - издание политики безопасности. Поскольку политика отражает философию и стратегию управления, это – четкое и бесспорное доказательство намерений компании относительно качества информационной безопасности. Что интересно, ваших партнеров, как правило, интересуют именно эти «намерения», а не технические средства, которыми они могут быть достигнуты.

Иллюстрация обязательств по организации безопасности

Поскольку политика, как правило, публикуется, она может служить дополнительным доводом для потенциальных клиентов / инвесторов, специалисты другой компании могут  сами оценить уровень компетентности ваших специалистов. Все большее число крупных российских, а тем более, иностранных, компаний требуют доказательства обеспечения достаточного уровня надежности и безопасности, в том числе и информационной, своих инвестиций и ресурсов. Без наличия в вашей организации профессиональной политики безопасности с вами в большинстве случаев просто не будут иметь никаких контактов.

Практические выгоды от политики безопасности

Кто-то может возразить, что приведенные выше параметры обеспечивают скорее маркетинговые и организационные преимущества. Хорошо, специально для них ниже рассмотрим практические выгоды.

Она формируют эталонный тест измерения прогресса в вопросах безопасности

Политика отражает философию и стратегию управления в отношении информационной безопасности. Также это - совершенный стандарт, которым может быть измерена целесообразность и окупаемость затрат на компьютерную защиту. Например, если вы хотите узнать, окупится ли установка, скажем, суперсовременной интеллектуальной межсетевой защиты марки «Ответь хакеру тем же», проверенное космонавтами на МКС, и стоимостью с небольшой Карибский островок, достаточно проверить, какой ущерб и затраты  предусмотрены в политике.

Точно так же, для того чтобы определить, эффективно ли расходует бюджет организации новый менеджер IT безопасности, руководителю организации достаточно сравнить предлагаемые выгоды с данными, прописанными в политике безопасности. И еще, если политика правильно сформулирована и связана с трудовыми контрактами служащих, то любые нарушения, типа установки игрушек на рабочем месте или порно-серфинга в сети, могут быть наказаны согласно ранее оговоренным пунктам, подписанным служащими. Даже просто наличие подобного документа в компании значительно улучшает информационную безопасность и улучшает производительность труда сотрудников.

Она помогает гарантировать усердие и последовательность во всех филиалах

Самая большая проблема, с которой сталкиваются руководители службы информационной безопасности крупных корпораций – не новые типы вирусов, не неизвестные эксплоиты и даже не программы взлома и перехвата паролей. Нет, со всем этим можно бороться. Труднее всего гарантировать, что системный администратор в отдаленном филиале фирмы где-нибудь в Крыжополе вовремя появится на своем рабочем месте и установит свежие заплаты, допустим к IIS, а не пойдет на пляж или не засидится дома за телевизором во время матча чемпионата мира по футболу. А ведь от этого может зависеть не только безопасность офиса в Крыжополе, но и безопасность всей корпорации в целом. Хорошо осуществленная политика помогает гарантировать выполнение инструкций, путем создания единой директивы и ясного назначения обязанностей и, что одинаково важно, описания ответственности за последствия неудачи и неисполнение обязанностей.

Она служит гидом для информационной безопасности

Хорошо разработанная политика может стать Библией администратора. Печально, но далеко не каждый сотрудник, чей компьютер  подключен в вашу корпоративную сеть, понимает угрозу TCP sequence number guessing атаки на OpenBSD. К счастью, ваша политика безопасности IP сети будет гарантировать, что машины всегда установлены в той части сети, которая предлагает уровень безопасности, соответствующей роли машины и предоставляемой информации.

(продолжение следует …)