Сергей Терехов – Защита персональных данных курс лекций (страница 6)
На следующем рисунке, взятом из «Основных критериев» (Руководящий документ. Безопасность информационных технологий. Критерии безопасности информационных технологий. Приказ Гостехкомиссии России от 19.0.6.02 № 187), показана взаимосвязь рассмотренных понятий информационной безопасности.
оценивают
Jрооророрлорлорл
Хотят минимизировать
которые используют
для
ведущие к
порождают
Хотят злоупотребить и/или могут нанести ущерб
для
УГРОЗЫ
АКТИВЫ
РИСК
УЯЗВИМОСТИ
КОНТРМЕРЫ
ОБЛАДАТЕЛИ
Чтобы уменьшить
предпринимают
Которые направлены на
которые могут
быть уменьшены
Могут знать
ИСТОЧНИКИ УГРОЗ
(НАРУШИТЕЛИ)
которые повышают
1.10.7.
Исходная безопасность информационных систем
Понятие исходной безопасности информационной системы определяется больше ее структурными особенностями, а не наличием специальных средств защиты.
Очевидно, что локальная однопользовательская информационная система наиболее безопасная, чем остальные. Получить доступ к информации в такой системе можно только одновременно с получением физического доступа к компьютеру этой системы. Однако функциональные свойства подобных систем очень ограничены и широкого применения они в обычных предприятиях не находят.
Также очевидно, что многопользовательская распределенная информационная система, компоненты которой территориально находятся на значительном расстоянии друг от друга и частично расположены в неконтролируемых зонах (Интернет) исходно наименее безопасна. Но ее функциональные возможности наиболее привлекательны для современных предприятий.
Другие системы по безопасности занимают промежуточное место между позициями, занимаемыми этими крайними информационными системами. Напрашивается банальный вывод, чем функциональнее (и сложнее) система, тем сложнее обеспечить ее безопасность.
Задача специалистов по информационной безопасности состоит в том, чтобы, не уменьшая функциональности информационных систем, обеспечить приемлемый уровень их безопасности, определяемый или информационным активом, или законодательными требованиями.
1.11.
Иллюстрация введенных понятий на простом примере
В качестве примера выбрана типичная информационная система, используемая в малых предприятиях, в которой обрабатываются персональные данные сотрудников этого предприятия. Данный пример – не вымысел, автор этих строк взял его из практики создания проекта по защите персональных данных одного из предприятий. Глубокого понимания, что такое персональные данные в данном примере не требуется. Пусть это будет информационная система для начисления заработной платы сотрудникам предприятия.
Для обеспечения коллективной работы главного бухгалтера и бухгалтера расчетчика выбраны основные технические средства, состоящие из двух персональных компьютеров, объединенных в локальную сеть передачи с помощью 4-х портового ADSL маршрутизатора. Компьютеры управляются операционными системами Windows XP. Информационная технология реализуется прикладной программой «1С: Предприятие v.x.x. Зарплата». Один из компьютеров используется как рабочая станция и сервер и на нем (на жестком диске) создана папка, содержащая необходимые данные программы «1С». Эта папка сделана общим ресурсом, чтобы другая рабочая станция (клиент) информационной системы имела доступ к общим данным. Для простоты управления на компьютере-сервере разблокирована учетная запись «Гость», чтобы любой пользователь клиента имел полный доступ к общей папке.
Кроме компьютеров информационной системы к локальной сети по проводному сегменту подключен компьютер юрисконсульта, который некоторую часть рабочего времени проводит за поиском нужной информации в Интернете. Используя беспроводной доступ к маршрутизатору (точке доступа), сотрудник отдела сбыта ищет потенциальных клиентов, отправляя им электронную почту с предложениями продукции предприятия. Для подключения компьютера отдела сбыта к точке доступа аутентификация не требуется.
Предприятия использует аутсорсинг, в рамках которого сотрудник фирмы, специализирующийся на сопровождение продуктов фирмы 1С, периодически удаленно через Интернет подключается к рабочему столу сервера по протоколу RDP. Во время сеансов удаленного доступа устанавливаются обновления форм программы «1С» и выполняются другие работы. Для поддержки этого удаленного доступа на ADSL маршрутизаторе настроена функция трансляции сетевых адресов по «переброске» всех входящих сетевых пакетов на сервер.
Сотрудники бухгалтерии, искренне веря в высочайшую надежность технических средств, никогда не архивируют данные, обрабатываемые программой «1С Зарплата».
Для наглядности на рисунке схематично представлены все участники информационных взаимодействий.
1.11.1.
Анализ уязвимостей
Из описания примера можно выделить несколько уязвимостей информационной системы (на самом деле, практика проведения анализа показывает, что количество подобных уязвимостей достигает нескольких десятков):
Отсутствует разграничение доступа к общему ресурсу, папке на файловом сервере, для пользователей информационной системы и, соответственно, для потенциальных нарушителей;
Подключение компьютера по беспроводной сети к точке доступа не требует аутентификации (в данном примере, компьютер отдела сбыта не должен доказывать точке доступа, что он именно и есть тем, за кого себя выдает);
Запросы из Интернет, направленные на публичный адрес сети предприятия 84.53.200.101, перенаправляются на файловый сервер с IP адресом 192.168.1.3 без фильтрации протоколов транспортного и прикладного уровней.
Не проводится регулярное создание копий (архивов) информационной базы.
1.11.2.
Определение угроз
Угрозами в данном примере будут:
опасность несанкционированного доступа к общему ресурсу – папке, в которой находится информация;
Опасность выхода из строя жесткого диска, на котором размещен общий ресурс.
1.11.3.
Определение источников угроз
Источниками угроз будут (для простоты перечислены не все, но типичные):
Внутренний нарушитель № 1 – юрисконсульт.
Внутренний нарушитель № 2 – сотрудник отдела сбыта
Внутренний нарушитель № 3 – расчетный бухгалтер
Внешний нарушитель №1 – мошенник, получающий кредиты по подложным документам в банке с помощью своего подельника, сотрудника кредитного отдела.
Внешний нарушитель № 2 – студент 3-го курса, углубленно изучающий компьютерные сети.
1.11.4.
Определение рисков
Также для простоты будут проанализированы не все риски, а только типовые. Еще раз необходимо подчеркнуть, и это будет продемонстрировано на примере, трудность определения и даже оценки рисков.
Юрисконсульт, обиженный на низкую заработную плату по сравнению с зарплатой руководителя и многократный отказ повысить ее, решил уволиться и заодно прихватить с собой базу с персональной информацией. Используя уязвимость № 1, копирует ее с сервера на извлекаемое устройство типа «флешки», нарушая конфиденциальность информации.
Внутренний нарушитель № 3, формируя данные о зарплате для передачи их по системе дистанционного банковского обслуживания на счета сотрудников, намеренно (или по ошибке) указывает в справочнике счетов ошибочный, что приводит к нарушению целостности информации.