Следует считаться с аспектами безопасности систем, начиная с первых шагов процесса разработки – при установке потребностей пользователя, концепции системы и системных требований. Эффективнее и экономически выгоднее необходимые меры безопасности проектировать и реализовывать в системе во время создания, а не рассматривать безопасность как что-то обременительное и сразу доход не приносящее и добавлять меры безопасности после внедрения продукта и первого серьезного инцидента безопасности. Безопасность – не «надстройка», безопасность – свойство продукта.
Важно понимать, что безопасность не достижима исключительно техническими средствами, или еще более узко, при написании безопасного кода. Безопасность значительно поднимается на необходимый уровень при помощи организационных, процедурных мер, образовательной подготовки пользователей, мотивации и физическими мерами безопасности и пр.
Повышение безопасности состоит в отражении потенциальных уязвимостей и внутренних и внешних угроз системы. По сочетанию уязвимостей и угроз определяют вероятность появления и серьезность последствий. При помощи их умножения устанавливаются важнейшие риски и планируются необходимые превентивные или смягчающие меры.
Далее следуют несколько примеров возможных мер, которые должны помочь защитить корпоративные данные от несанкционированного доступа:
Физический уровень – безопасность офисных помещений, ноутбуков и домашних компьютеров. В домашний компьютер могут попасть конфиденциальные данные, если разрешается работу дома делать. Ноутбуки могут быть украдены как на улице, так и дома, за границей их могут конфисковать. Для защиты от этого компания (фирма) может запретить передвижение с ноутбуками и работу на дому. И на рабочем месте компьютеры должны находиться «за замком и засовом». Также могут запретить перемещения в контору и из конторы с различными носителями (CD- и DVD-диски, флешки, внешние жесткие диски), Работа на дому в любом случае приносит риски даже тогда, когда работник честен. Поскольку домашняя компьютерная сеть (особенно беспроводная локальная сеть) не может быть в достаточной степени защищена.
Процедурный уровень используется при обработке данных по фиксированным «правилам игры», при обеспечении физического и логического доступа для разных работников, при резервном копировании данных и при прочей деятельности. Трудно провести довольно четкую грань с предыдущим уровнем. Пример о том, что работа с ноутбуком не разрешается в домашних условиях, может также быть определен и на этот уровень.
Программный уровень – ограничивают доступ пользователям и делают данные-системы доступными только дна это уполномоченным лицам. Для доступа к данным и всему компьютеру пользователь должен себя аутентифицировать. Для этого имеются пароли, но более безопасными являются считыватели отпечатков пальцев и сетчатки глаза. Все же это не гарантирует достаточно сильную защиту, поскольку ошибки в программном обеспечении можно использовать в качестве обходных путей для взлома системы (back door). Разрабатывая чувствительные системы, следует обращать внимание на вопросы безопасности системы уже при разработке системы и тщательно контролировать программное обеспечение относительно конкретной возможности атак. Всевозможное рассмотрение вариантов атак не входит в текущий материал.
Наиболее традиционными методами, используемые для понижения риска потери данных (например, в случае неисправности находящихся в системе аппаратных или программных средств), является систематическое резервное копирование, сохранение данных дублированием, использование RAID-дисков и т.д.
Соответствующим специалистам не нужно хвататься изобретать все действия по защите с самого начала. Имеются разработанные инфраструктуры, которые планируют процессы, процедуры, поведение и пр. для обеспечения безопасности программных систем и данных.
В Эстонии широко распространена система мер по обеспечению безопасности ISKE.
ISKE – это сложный комплекс мер по обеспечению безопасности, цель которого – помочь защитить и сохранить:
- данные и базы данных
- ИТ-оборудование
- среду по обмену данными
- программное обеспечение.
ISKE состоит из общего распорядка требований по безопасности и описания мер безопасности. В дополнение к техническим мерам ISKE содержит также рекомендации по организации, инфраструктуре и кадровому обеспечению. Система ISKE в первую очередь предназначена для достижения и поддержки безопасности информационных систем, используемых при ведении баз данных, которые регулируются законом о базах данных, и связанного с ними информационного имущества, но также применима и в других государственных учреждениях и самоуправлениях, коммерческих предприятиях и некоммерческих организациях.
Для достижения необходимой защиты конкретных данных сначала подразделяют данные на классы безопасности с учетом информационной конфиденциальности, целостности, доступности. Затем устанавливают нужный уровень безопасности для защиты данных по классу безопасности.
Уровни безопасности ISKE – низкий, средний и высокий.
Каждому уровню безопасности отвечает надежный комплект мер безопасности ISKE, с помощью которого защищают данные. Задачей пользователя остается их осуществление.
Ежедневными работами по обеспечению безопасности являются следующие:
Следует регулярно делать резервное копирование всех важных данных. Разработаны, например, схемы для проведения малого резервного копирования один раз в день и полного – один раз в неделю. Какая именно схема точно подходит, можно определить уже на основе существенности данных (лишнее резервное копирование становится слишком дорогим и ресурсоемким). Даже тогда, когда резервное копирование выполняется совершенно автоматически, следует все же периодически проверять систему, чтобы система продолжала бы работать. И важно также то, где хранить резервные копии. Если они находятся, например, рядом с сервером на столе, то в случае пожара не будет от копий большой пользы.
Человеческий фактор: от политик безопасности есть польза только тогда, когда им следуют и используют ежедневно. Работников следует обучать соблюдать требования безопасности каждодневно до тех, пока это не станет привычкой. Вместе с тем следует учитывать то, что даже самая продуманная политика безопасности не может предвидеть все угрозы и их предотвращать. Следует соблюдать осторожность там, где есть конфиденциальная информация, и при необходимости уничтожать внешние носители данных. При ежедневном использовании данных целесообразно их шифровать. Возможность корректного шифрования должна быть встроена в информационную систему.
Контроль доступа следует использовать тщательно выбранные безопасные пароли. Плохие пароли с постоянством занимают в рейтинге дыр безопасности высокие места. Также временно покидая рабочее место, следует затруднить доступ к своему компьютеру – либо защитить экран паролем, либо выйти из системы.Ежедневно следует заботиться о том, чтобы можно было добавлять в систему различные обновления программного обеспечения. Если они не затрагивают само программное обеспечение, то обновления операционной системы, антивирусное программное обеспечение и т.п. жизненно важны.