Файл: Технология «Клиент-сервер» (Теоретические аспекты защиты информации на предприятии).pdf

11. Подсистема электронного документооборота (контроль исполнения поручений; реестр служебных записок; управление нормативно-технической документацией; договора на поставку продукции, на снабжение).

12. Служебное администрирование и управление политикой безопасности (управление доступом: настройка полномочий пользователей, организация пользовательских групп, ограничение доступа к данным; поддержание логической и физической целостности данных системы; операционный мониторинг действий пользователей; статистический контроль активности пользователей; мониторинг системных ошибок; контроль возникновения, анализ причины и сохранение контекста ошибок разработчика; конфигурация параметров системы: настройка на «владельца системы», настройка на специфику учета и организации хозяйственной деятельности, настройка системных параметров системы, настройка размещения данных).

2.3 Угрозы и каналы утечки информации

Все причины утечки можно разделить на умышленные и неумышленные (случайные). Достаточно распространены кражи компьютерной техники; в таком случае утечка считается случайной, если есть достаточные основания полагать, что целью вора была материальная часть похищенной техники, а не информация на ней, рис. 2.4., таблица 2.2. Данные показатели мы провели путем интернет – опроса руководителей предприятия ОАО «Олимп».

Таблица 2.2 - Причины утечки информации

Рисунок 2.3. Структура причин утечки информации на предприятиях, %[21]

Таким образом, количество случайных утечек существенно больше. Но их процент несколько снизился. Можно уверенно утверждать, что приоритетной задачей является борьба с ненамеренными утечками информации. Поскольку противодействовать таким утечкам проще, дешевле, а в результате покрывается большая часть инцидентов. Борьба с намеренными утечками – задача более сложная. Эффективность такой борьбы будет заведомо ниже, поскольку предстоит столкнуться с противодействием злонамеренных инсайдеров. А доля соответствующих утечек сильно меньше половины.

Источники утечек, разделены на три категории: государственные, коммерческие и прочие. В последнюю категорию включены все учебные заведения. Хотя формально школы и вузы могут числиться «коммерческими» или государственными. Традиционно учебные заведения довольно сильно отличаются по принятым в них порядкам, как от производственных предприятий, так и от государственных органов.

Таблица 2.3 - Распределение утечек по типу организации

Таблица 2.4 - Распределение по типу организации для умышленных утечек

Таблица 2.5 - Распределение по типу организации для случайных утечек

Меры по предотвращению утечек конфиденциальной информации предпринимаются как в государственных, так и в коммерческих информационных системах. В вузах эти меры также вводятся, правда, за неимением денег там упор делается не на технические средства, а на организационные. Как видим доля образовательных учреждений растёт, но медленно. Это означает, что с утечками можно бороться при различном уровне финансирования.

Ниже представлено распределение утечек по типу разглашённой информации. Наверное, следует ещё раз подчеркнуть, что все факты собираются из сообщений прессы, которая пишет в основном о персональных данных. Поэтому существенной статистики по иным видам конфиденциальной информации ожидать не приходится.

Таблица 2.6 - Распределение инцидентов по типу конфиденциальной информации

Факт утечки государственной тайны сам вполне может являться государственной тайной. Аналогично и с тайной коммерческой. Зато утечка персональных данных обычно оглашается при первой возможности. Для СМИ это удачная тема, поскольку каждый читатель/зритель без малейшего труда ассоциирует себя с жертвой такой утечки. Следовательно, читает/смотрит материал заинтересованно.

В таблице 2.7 показано распределение утечек по носителю. То есть, при помощи какого носителя (канала) конфиденциальная информация пересекла охраняемый периметр.

Таблица 2.7 - Распределение утечек по носителям

Рисунок 2.4. Структура распределения утечек по носителям, %

Больше всего данных утекло через сеть (чего и следовало ожидать), а на втором месте – переносные компьютеры. Их теряют и крадут. Крадут и теряют. Постоянно возрастающими темпами. В этот раз мы решили, что логично будет объединить переносные компьютеры с отчуждаемыми носителями (CD, DVD, флэшки) и назвать это «мобильные носители информации». Данная категория почти сравнялась с утечками через сеть (25 против 29%). Для случайных утечек «мобильные носители» не только догоняют, но и уверенно опережают утечки через сеть (15 против 12%).

О чём это говорит? Трафик в частности и услуги связи в целом за последнее время подешевели, но не сильно. Зато мобильные носители информации – очень сильно. Гигабайтные флэшки продаются в газетных киосках как карандаши. В метро читающих книги стало меньше, чем читающих наладонники. Именно удешевление портативных компьютеров и иных носителей информации привело к росту доли «мобильных» утечек.

Таблица 2.8 - Распределение по носителям для умышленных утечек

Рисунок 2.5 Структура распределения утечек по носителям для умышленных утечек, %

Таблица 2.9 - Распределение по носителям для случайных утечек

Рисунок 2.6 Структура распределения утечек по носителям для случайных утечек, %

Таким образом, наибольшая разница между умышленными и случайными утечками наблюдается (помимо мобильных носителей, что обсуждалось выше) для электронной почты и бумажных документов. Умышленных краж конфиденциальной информации с использованием электронной почты не зафиксировано вообще.

Респонденты предпочитали иные каналы: HTTP, флэшки, переносные диски, даже бумагу. Но только не электронную почту. Нетрудно догадаться. Легче переслать – легче и проконтролировать. Когда служба безопасности замышляет учинить перлюстрацию трафика предприятия, начинают, как правило, именно с электронной почты. Зачастую ей и заканчивают.

Вывод, который напрашивается из показанной статистики. Время утечек через e-mail прошло. Если система защиты предприятия от утечек проверяет только электронную почту, она почти бесполезна (эффективность 3,5%). Настоящая DLP-система должна контролировать HTTP, ICQ, запись на флэшки, на CD/DVD, распечатку на принтере. Но и этого недостаточно. Чтобы закрыть самые распространённые бреши, надо ещё зашифровать данные на дисках мобильных компьютеров. В первую очередь следует бороться с ненамеренными утечками конфиденциальной информации. Вследствие падения цен на мобильные компьютеры и мобильные носители информации медленно растёт доля утечек, связанных с ними.

Глава 3.Технлогия «клиент-сервер» на предприятии ОАО «Олимп»

Технология клиент-сервер предусматривает наличие двух самостоятельных взаимодействующих процессов – сервера и клиента, связь между которыми осуществляется по сети.

Серверами называются процессы, отвечающие за поддержку базы данных и файловой системы, а клиентами - процессы, которые посылают запрос и ожидают ответ от сервера.

Модель клиент-сервер используется при построении системы обработки информации на основе СУБД, а также почтовые системы. Существует еще так называемая файл-серверная архитектура, которая существенно отличается от клиент-серверной.

Данные в файл-серверной системе сохраняются на файловом сервере (Novell NetWare или WindowsNT Server), а обрабатываются они на рабочих станциях посредством функционирования СУБД, таких как Access, Paradox, FoxPro и т.п. СУБД располагается на рабочей станции, а манипулирование данными производится несколькими независимыми и несогласованными между собой процессами. В

се данные при этом передаются с сервера по сети на рабочую станцию, что замедляет скорость обработки информации. Технология клиент-сервер реализована функционированием двух (как минимум) приложений - клиентов и сервера, которые делят функции между собой.

За хранение и непосредственное манипулирование данных отвечает сервер, примером которого может быть SQLServer, Oracle, Sybase и другие. Пользовательский интерфейс формирует клиент, в основе построения которого используются специальные инструменты или настольные СУБД.

Логическая обработка данных выполняется частично на клиенте, и частично на сервере. Посылка запросов на сервер выполняется клиентом, обычно на языке SQL.

Полученные запросы обрабатываются сервером, и клиенту (клиентам) возвращается результат. При этом данные обрабатываются там же, где они хранятся - на сервере, поэтому большой объем их не передается по сети.

Технология клиент-сервер привносит в информационную систему такие качества:

Надежность Модификация данных осуществляется сервером баз данных при помощи механизма транзакций, придающего совокупности операций такие свойства, как:

1) атомарность, которая обеспечивает целостность данных при любом завершении транзакции;

2) независимость транзакций разных пользователей;

3) устойчивость к сбоям – сохранение результатов завершения транзакции.

Масштабируемость, т.е. способность системы не зависеть от количества пользователей и объемов информации без замены используемого программного обеспечения. Технология клиент-сервер поддерживает тысячи пользователей и гигабайты информации при соответствующей аппаратной платформе.