Комплексні системи захисту інформації. Проектування, впровадження, супровід

Комплекснi системи захисту iнформацii. Проектування, впровадження, супровiд
Вадим Гребеннiков

Книга мiстить опис етапiв створення КСЗІ в ІТС: формування вимог до КСЗІ, складання полiтики безпеки та плану захисту iнформацii, вибiр апаратно-програмного забезпечення, розроблення технiчного завдання, проектування, введення в дiю, випробування, дослiдна експлуатацiя, державна експертиза та супровiд КСЗІ, а також проведення державного контролю за станом ТЗІ та вiдповiдальнiсть за невиконання вимог захисту iнформацii

Комплекснi системи захисту iнформацii

Проектування, впровадження, супровiд

Вадим Гребеннiков

Редактор Вадим Гребеннiков

Оформление обложки Вадим Гребеннiков

© Вадим Гребеннiков, 2019

ISBN 978-5-4493-1505-2

Создано в интеллектуальной издательской системе Ridero

1. Головнi принципи та етапи захисту вiд загроз. Номативно-правове забезпечення захисту iнформацii

Загальний аналiз проблем органiзовування захисту вiд будь-яких загроз дае можливiсть визначити 4 головнi принципи та етапи заходiв:

1) органiзацiя зовнiшнiх рубежiв безпеки з метою своечасного виявлення загроз;

2) органiзацiя протидii загрозам та iх блокування, тобто зупинення та локалiзацii загроз пiд час iх реалiзацii;

3) забезпечення нейтралiзацii та лiквiдацii загроз, а також подолання наслiдкiв загроз, якi не вдалося блокувати;

4) попередження загроз, тобто аналiз вiдомих загроз та впровадження вiдповiдних запобiжних заходiв.

Стосовно автоматизованих (комп’ютерних) систем (далi – АС) цi принципи та етапи дають можливiсть також визначити 4 етапи та види захисту вiд загроз для електронних iнформацiйних ресурсiв АС, якi циклiчно повторюються з метою постiйного оновлення та пiдвищення ефективностi заходiв i засобiв захисту.

Виявлення ? Зупинення ? Нейтралiзацiя ? Попередження

1. Етап виявлення

На органiзацiйному рiвнi – це забезпечення пропускного режиму, цiлодобовоi охорони та контролю периметра безпеки, а також контррозвiдувальних заходiв служби безпеки установи.

На iнженерно-технiчному рiвнi – це використання iнженерних споруд i технiчних засобiв пропускного режиму, охоронноi сигналiзацii та вiдеоспостереження.

2. Етап зупинення

Цi заходи забезпечують апаратно-програмне блокування спроб несанкцiонованого доступу (далi – НСД) порушника (хакера) до iнформацii в АС або ураження системи вiрусами за допомогою спецiальних апаратних комплексiв та програмних засобiв захисту iнформацii. Для цього в АС встановлюються мiжмережовi екрани, файерволи (брандмауери), антивiруснi програмнi засоби та спецiальнi комплекси засобiв захисту iнформацii вiд НСД.

Зазначимо, що цi заходи можуть бути спрямованi на документування методiв НСД до АС для наступного дослiдження iх; збереження слiдiв правопорушення; взаемодiю (у разi необхiдностi) з державними правоохоронними органами щодо виявлення та розкриття правопорушення (в тому числi за готування до злочину i за замах на злочин); сприяння притягненню винних до вiдповiдноi вiдповiдальностi (кримiнальноi, адмiнiстративноi, цивiльно-правовоi, дисциплiнарноi).

3. Етап нейтралiзацii

На органiзацiйно-правовому рiвнi – це дисциплiнарне або адмiнiстративне (кримiнальне) розслiдування правопорушення (злочину) та притягнення винних до вiдповiдальностi.

На апаратно-програмномурiвнi – це подолання наслiдкiв реалiзацii загроз у разi порушень:

– технологiчих процесiв – iх вiдновлення за допомогою плану аварiйного вiдновлення та проведення ремонтних заходiв;

– операцiйноi системи та програмних засобiв – iх вiдновлення за допомогою iнсталяцiйних файлiв (дискiв);

– iнформаiйних ресурсiв – iх вiдновлення за допомогою резервних i архiвних копiй, якi зберiгаються на зовнiшнiх носiях.

4. Етап попередження

На органiзацiйному рiвнi – це проведення аналiзу вiдомих загроз, прогнозування нових загроз i пошук вiдповiдних запобiжних заходiв, дезiнформацiйне легендування об’ектiв захисту, розширення периметру безпеки, перiодичне оновлення полiтики безпеки та плану захисту, постiйне навчання та тренування персоналу.

На iнженерно-технiчному рiвнi – це застосування пасивних засобiв захисту: закриття вiкон та встановлення на них грат i штор (жалюзi), закриття та опечатування дверей, пломбування системних блокiв, роз’емiв технiчних засобiв АС тощо, використання систем екранування, заземлення та зашумлення, а також модернiзацiя наявноi системи захисту та впровадження нових засобiв ТЗІ.

Номативно-правовi акти Украiни, якi визначають необхiднiсть створення КСЗІ в ІТС

Історiя захисту iнформацii в Украiнi розпочалася з Закону Украiни «Про захист iнформацii в автоматизованих системах», прийнятого постановою Верховноi Ради Украiни №81/94-ВР вiд 5 липня 1994 року.

У тому же роцi постановою Кабiнету Мiнiстрiв Украiни (далi – ПКМУ) вiд 9 вересня 1994 року №632 було затверджене «Положення про технiчний захист iнформацii в Украiнi» (далi – ТЗІ), згiдно якого була створена Державна служба Украiни з питань ТЗІ.

Через 3 роки постановою КМУ вiд 8 жовтня 1997 року №1126 була затверджена «Концепцiя ТЗІ в Украiнi». Вона визначае поняття ТЗІ таким чином: це дiяльнiсть, спрямована на забезпечення iнженерно-технiчними заходами порядку доступу, цiлiсностi та доступностi iнформацii з обмеженим доступом, а також цiлiсностi та доступностi вiдкритоi iнформацii, важливоi для особи, суспiльства i держави.

А вже через 2 роки з’явилося нове «Положення про ТЗІ в Украiнi», затверджене Указом Президента Украiни вiд 27 вересня 1999 року №1229. Пов’язане це було з тим, що питання ТЗІ були покладенi на Департамент спецiальних телекомунiкацiйних систем та захисту iнформацii Служби безпеки Украiни (скорочено – ДСТСЗІ СБУ), до складу якого i увiйшла Державна служба з питань ТЗІ. Старе положення втратило чиннiсть згiдно постанови КМУ вiд 13 березня 2002 року №281.

«Положення про ТЗІ в Украiнi» визначае поняття ТЗІ таким чином: це дiяльнiсть, спрямована на забезпечення iнженерно-технiчними заходами конфiденцiйностi, цiлiсностi та доступностi важливоi для держави, суспiльства i особи iнформацii.

Воно визначае також такi термiни:

– конфiденцiйнiсть – властивiсть iнформацii бути захищеною вiд несанкцiонованого ознайомлення;

– цiлiснiсть – властивiсть iнформацii бути захищеною вiд несанкцiонованого руйнування або знищення;

– доступнiсть – властивiсть iнформацii бути захищеною вiд несанкцiонованого блокування;

– iнформацiйна система – автоматизована система, комп'ютерна мережа або система зв'язку.

Тепер з'ясуемо, яку iнформацiю треба захищати:

Закон Украiни «Про iнформацiю» (1992)

Стаття 20. Доступ до iнформацii

1. За порядком доступу iнформацiя подiляеться на вiдкриту iнформацiю та iнформацiю з обмеженим доступом.

2. Будь-яка iнформацiя е вiдкритою, крiм тiеi, що вiднесена законом до iнформацii з обмеженим доступом.

Стаття 21. Інформацiя з обмеженим доступом