Файл: Вадим Алджанов итархитектура от а до Я Теоретические основы. Первое.pdf

Уровень достоверности данных – данные внесены из установленных источников или являются предположениями и умозаключениями.
Для контроля информации можно ввести «Маркер безопасности» – буквенно-цифровой идентификатор, определяющий уровень конфиденциальности документа.
Определение потоков данных
Потоки данных должны быть описаны для каждой категории информации с указанием дополнительных атрибутов.
Идентификация пользователя
Все пользователи ИТ сервисов уникально идентифицированы в системах (учетная запись пользователя домена, почтовой системы, пользователь бизнес приложения и т п). Доступы к ИТ активам должны предоставляться на уровне групп. При проведении расследований инцидентов или нарушения информационной безопасности опираются на учетную запись пользователя. Все действия, связанные со сменой прав доступа или атрибутов учетной записи (пароля и т п) должны фиксироваться. Пользователь несет ответственность за любые действия, связанные с активностью его учетной записи.
Классификация по группам доступа и ролям
Все пользователи ИТ сервисов должны быть сгруппированы по группам и ролям. Доступы к информационным системам и сервисам предоставляется на уровне групп. Доступы сотрудников ИТ департамента также должны быть разграничены по группам, в зависимости от выполняемых действий и привилегий. Процесс предоставления прав доступа и членства в группах должен быть соответственно организован и документирован.
Принцип Минимальных Привилегий
При предоставлении права и доступов всем пользователям ИТ систем и сотрудникам ИТ необходимо руководствоваться правилами «минимальных привилегий».
Использование лицензионного программного обеспечения
Использование лицензионных программных продуктов в «рабочей» среде является обязательным требованием для всех без исключения функций и подразделений организации.
Организация процесса Информационной Безопасности
Ключевые компоненты
В процессе управления Информационной Безопасности учитываются следующие ключевые показатели и определения:
•Должны участвовать как минимум Бизнес департаменты компании, департамент Внутренний
Аудит, департамент Безопасности, Финансовый департамент, департамент Управления Рисками, департамент Отдел Кадров и ИТ департамент или подразделения исполняющие их функции.
•Организационная структура компании должна должным образом управлять «конфликтом интересов» департаментов

•Бизнес департаменты определяют классификацию информации в соответствии с бизнес процессами
•Департамент Рисков проводит оценку рисков
•Департамент Безопасности предоставляет рекомендации по вопросам Информационной
Безопасности
•Департамент Управления Кадрами обеспечить обучение и ознакомление работников с информацией касательно Информационной Безопасности
•Департамент Внутреннего Аудита проводит анализ на соответствие нормам и процедурам, а также необходимый мониторинг
•Департамент Безопасности обеспечивает физическую защиту ИТ активов
•Департамент Безопасности ведет мониторинг активности, связанной с ИБ
•ИТ департамент обеспечивает защиту и управление ИТ активами
•ИТ департамент разрабатывает необходимую документацию
Разделения Обязанностей в рамках организации
Различают различные принципы и подходу к разделению обязанностей между департаментом
Безопасности и ИТ, например, департамент Безопасности выполняет непосредственное управление, внедрение и сопровождение сервисов информационной безопасности ИТ инфраструктуры. Можно выделить следующие модели разделения обязанностей:
•Департамент Безопасности непосредственно управляет системами информационной
безопасности. К ним может относится системы защиты периметра, предоставления доступа в интернет, защиты почты и т п. ИТ департамент непосредственно управляет ИТ системами.
•Департамент Безопасности непосредственно управляет частью функций в системах,
связанных с информационной безопасностью. К ним можно отнести настройка правил и политик на фаервола, активация и деактивация пользователей и т п. ИТ департамент непосредственно управляет ИТ системами и системами ИБ.
•Департамент Безопасности и департамент ИТ совместно непосредственно управляют
системами информационной безопасностью и ключевыми ИТ сервисами. Реализация возможна как административными действиями: одна учетная запись – две части пароля у разных департаментов, или же с помощью специализированных средств.
Для большинства организаций может подойти следующий подход:
•Департамент Безопасности – является «владельцем» ИБ. Обеспечивает физическую безопасность ИТ активов, определяет требования к системам безопасности в целом и информационной безопасности, политики ИБ и т п. Выполняет контрольные функции в отношении надлежащего и своевременного исполнения ИТ департаментом требований ИБ.
Непосредственно управляет такими системами безопасности, как система контроля доступа
(физическая), система видеонаблюдения, системы оповещения о пожаре и проникновении.
По отношению к ИТ департаменту в вопросах безопасности является «головой».
ИТ департамент – в рамках информационной безопасности, является «управляющим» информационных систем, комплекса информационной безопасности. Сотрудники ИТ департамента выполняют непосредственное конфигурирование, внедрение и сопровождение компонентов инфраструктуры информационной безопасности. Предоставляют доступ «только для чтения» для сотрудников подразделения ИБ и передачу логов активности компонентов ИТ инфраструктуры. Оказывают техническое содействие департаменту безопасности по внедрению и сопровождению систем безопасности. В зависимости от количества и сложности решений, в составе ИТ департамента может существовать подразделение ИТ Безопасности, отвечающее за сервисы обеспечивающие информационную безопасность. По отношению к департаменту
Безопасности является «руками».
Департамент Внутреннего Аудита – в составе комитета, формирует требования по организации взаимодействия департаментов, проводит контроль соответствия деятельности департаментов безопасности и ИТ требованиям руководящих документов. По отношению к департаментам Безопасности и ИТ по вопросам информационной безопасности является
«глазами».
Преимущества данного подхода:

•Нет необходимости держать значительный штат в департаменте Безопасности, который по сути дублирует действия ИТ. При внедрении и сопровождении любого ИТ сервиса или информационной системы, вопрос по обеспечению информационной безопасности – обязательный.
•Простота разграничения прав и ответственности. «Безопасность» говорит, «ИТ» выполняет,
«Безопасность» контролирует исполнение. Особенности большинства Информационных систем – ролевой доступ и наличие «Административного» доступа с максимальными привилегиями. Наличие двух администраторов в одной системе может приводить к конфликтам интересов, разбирательствам таким как кто-то что-то изменил, в логах не отражается и т п.
•Наличие цепочки контролей и взаимный мониторинг. ИТ имеет максимальные возможности к информационным системам. За обладателями таких возможностей необходим надлежащий контроль. Фактически эта роль возлагается на департамент Безопасности, по принципу «Вы следите за всеми – мы следим за вами». Все действия ИТ отслеживаются и передаются за пределы ИТ департамента. В тоже время, ИТ отслеживает действия департамента
Безопасности в рамках «обычных пользователей» систем.
Каждая модель имеет свои преимущества и недостатки. Выбор модели зависит от требований бизнеса, возможностей систем, политики компании и ее возможностей.
Модели Информационной Безопасности и защиты данных
Для обеспечение Информационной Безопасности в целом, и ИТ безопасности в частности применяются различные модели защиты конфиденциальности, целостности и доступности.
Обычно применяются смешанные модели Информационной Безопасности.
В качестве основных моделей можно выделить следующие:
Bell La Padula – модель защиты конфиденциальности
Bell La Padula – модель (многоуровневой) защиты конфиденциальности. Построенная на модели «информационных потоков». Модель конечных автоматов, которая реализует аспекты защиты конфиденциальности на основе матрицы «Субъект-объект» с применением трех основных правил:
Simple Security Rule: Субъект НЕ МОЖЕТ ЧИТАТЬ данные на более высоком уровне.
Star Property Rule: Субъект НЕ МОЖЕТ ЗАПИСАТЬ данные на более низком уровне.
Strong Property Rule: Субъект МОЖЕТ ЧИТАТЬ и ЗАПИСАТЬ данные только на своем уровне.
Biba – модель защиты целостности
Biba – модель защиты целостности. Построенная на модели «информационных потоков».
Модель использует сетку целостности. Основные принципы модели:
Integrity Axiom: Субъект НЕ МОЖЕТ ЗАПИСЫВАТЬ на верх
Simple Integrity Axiom: Субъект НЕ МОЖЕТ ЧИТАТЬ данные находящиеся на нижнем уровне
Invocation property: Субъект НЕ МОЖЕТ ЗАПРАШИВАТЬ обслуживание (call) у другого субъекта, находящегося на более высоком уровне.
State Machine Model
State Machine Model – модель защиты безопасности, основанной на состояниях (state).
Information Flow Model – модель защиты данных
Clark Wilson – модель защиты целостностью
Clark Wilson – модель защиты целостностью. Выполняет три основные цели:
•Предотвращает изменения не авторизованного пользователя
•Предотвращает выполнение не корректных изменений
•Обеспечивает согласованность «правильные транзакции»

Вводит понятия:
«Пользователь», «Transformation Procedure TP», «Constrained Data Item CDI», UDI, IVP и т п.
Access Triple: «Субъект – программа TIP – объект CDI»
Внесение изменений только через TIP. IVP поддерживает внутреннюю и внешнюю согласованность и разделение обязанностей.
Модель «не влияния» – управление целостностью
Модель «не влияния» – модель управления целостностью. Действия, происходящие на верхнем уровне, не влияют на сущность внизу. Обеспечивает защиту от «Interference Attack» атак.

Атрибутное Управление Доступом (Attribute based Access Control ABAC) – Представляет из себя предоставление доступов, на основе статических или динамических правил, связанных с атрибутами (времени суток, расположения, членства в группе и т п) объекта и субъекта доступа. Основной недостаток – сложность реализации и контроль за состоянием доступа.
Наиболее передовая с точки зрения обеспечения информационной безопасности. Также может называется Динамическим Управлением Доступом (Dynamic Access Control DAC).
Уровни доступа
Для управления ИТ активами используется преимущественно модель на основе предоставления контроля по Ролям (Role Based Access Control (RBAC). Такой подход реализован практически во всех ИТ системах.
Уровни доступа к Информации
Используется комбинированная модель на основе предоставления контроля по Ролям (Role
Based Access Control (RBAC)) с Дискретным Распределением прав (Discrete Access Control
(DAC)) к файловым ресурсам. Такие возможности реализованы практически во всех современных ИТ системах.
Уровни доступа к Информации (дополнительный)
Для обеспечения более избирательного и доступа к информации и контроля может понадобится дополнительный специфические ИТ решения с использованием модели (MAC), метки уровня доступа и категорий, а также правил ABAC.
Матрица Контроля Доступов (Access Control Matrix)
Матрица контроля доступов, а также классификация и категоризация объектов (информации) является ключевыми элементами обеспечения Информационной Безопасности.
Требование к процессу управления данных
Различают три основных состояния данных:
•Данные в покое (Data at rest) – должны хранится в дата центре компании. Данные должны быть зашифрованы и готовы к использованию в соответствие с матрицей доступов. Должно обеспечиваться надежное хранение, резервирование и архивирование данных.
•Данные в перемещении (Data in motion) – должны быть должным образом зашифрованы при передаче на конечные системы
•Данные в использование (Data in use) – должны использоваться только на соответственно подготовленных устройствах и авторизированными пользователями или системами.
Потоки движения информации
Движение информации можно разделить по следующим типам:
Вертикальная (North-South) — Данные перемещаются между уровнями, к примеру, от компании в портфель, из портфеля в компания.
Горизонтальная (West-East) – Данные перемещаются в пределах одного уровня, к примеру, между одной компанией в другую в одном портфеле.
С низу в верх (Button-Up) – Направление движения данных с низу в верх, к примеру, от компании в портфель, от портфеля в компания.
С верху в низ (Top-Down) – Направление движения данных с верха в низ, к примеру, от портфеля в компанию, от компании в портфель.
Зоны доверия (Trust Zone) – формируются как логические зоны в пределах одной компании
(доверительная зона компании), в пределах одного портфеля (доверительная зона портфеля) или компании (доверительная зона компании) или же внешняя (за пределы компании) зона. Зоны доверия могут быть как «горизонтальные» (несколько филиалов одной компании), так и «вертикальные» (несколько компаний одного портфеля).
В зависимости от уровня конфиденциальности (публичные, секретные и т п) определены основные критерии и ограничения: