Выбор средств контроля в соответствии с проблемами и угрозами безопасности

Первый шаг заключается в идентификации и оценке проблем безопасности. Должны учитываться требования конфиденциальности, целостности, доступности, учетности, подлинности и надежности. Мощность и количество выбранных средств контроля должны соответствовать оцененным проблемам безопасности. Во-вторых, для каждой проблемы безопасности составляется список типичных угроз и для каждой угрозы предлагаются средства контроля в соответствии с рассматриваемой системой ИКТ. Таким образом, можно удовлетворить конкретные потребности безопасности и направить защиту туда, где она действительно нужна.

Оценка проблем безопасности

Для эффективного осуществления выбора соответствующих средств контроля необходимо понимание проблем безопасности деловых операций, поддерживаемых рассматриваемой системой ИКТ. Если оценка подтверждает очень серьезные проблемы безопасности, рекомендуется более детальный подход, чтобы достичь соответствующей защиты.

Проблемы безопасности могут включать:

- потерю конфиденциальности;

- потерю целостности;

- потерю доступности;

- потерю учетности;

- потерю подлинности;

- потерю надежности.

Оценка должна включать саму систему ИКТ, хранящуюся или обрабатываемую в ней информацию и бизнес - операции, которые она выполняет. Это идентифицирует цели выбираемых средств контроля. Различные части системы ИКТ или хранящейся и обрабатываемой информации могут иметь разные проблемы безопасности. Поэтому важно связывать проблемы безопасности непосредственно с активами, поскольку это влияет на угрозы, которые могут быть применимыми и, следовательно, на выбор средств контроля.

Проблемы безопасности могут оцениваться путем рассмотрения того, причинят ли последствия сбоя или нарушения безопасности серьезный ущерб, незначительный ущерб или нулевой ущерб бизнес - операциям. Рассмотрение возможных угроз может помочь прояснить проблемы безопасности. Оценка должна проводиться отдельно для каждого актива, так как проблемы безопасности для различных активов могут быть разными. Однако при наличии достаточных знаний о проблемах безопасности активы с одинаковыми или сходными деловыми требованиями и проблемами безопасности могут быть объединены в группы.

Если более чем один вид информации обрабатывается системой ИКТ, то может потребоваться отдельное рассмотрение различных видов. Защита, предоставляемая системе ИКТ, должна быть достаточной для всех видов обрабатываемой информации.

В случае, если все возможные потери конфиденциальности, целостности, доступности, учетности, подлинности и надежности идентифицированы как, вероятно, причиняющие лишь незначительный ущерб, то достаточную безопасность рассматриваемой системы ИКТ должен обеспечить высокоуровневыйили базовый подход. В случае, если любая из этих потерь идентифицирована как, вероятно, причиняющая серьезный ущерб, то нужно оценить, следует ли выбирать средства контроля дополнительно к тем, которые предлагаются ниже.

Потеря конфиденциальности

Рассмотреть последствия, проистекающие из потери конфиденциальности (намеренной или ненамеренной) проверяемого актива (активов). Например, потеря конфиденциальности может приводить к:

- утрате общественного доверия или ухудшению общественного имиджа;

- правовой ответственности, включая ту, которая может проистекать из нарушения законодательства о защите данных;

- неблагоприятному влиянию на политику организации;

- созданию угрозы личной безопасности;

- финансовым потерям.

В соответствии с ответами на приведенные выше вопросы должно быть принято решение, будут ли последствия, которые могут вытекать из потери конфиденциальности, серьезными, незначительными или нулевыми. Это решение должно быть задокументировано.

Потеря целостности

Рассмотреть последствия, проистекающие из потери целостности (намеренной или ненамеренной) проверяемого актива (активов). Например, потеря целостности может приводить к:

- неверным принимаемым решениям;

- мошенничеству;

- нарушению деловых функций;

- утрате общественного доверия или ухудшению общественного имиджа;

- финансовым потерям;

- правовой ответственности, включая ту, которая может проистекать из нарушения законодательства о защите данных.

В соответствии с ответами на приведенные выше вопросы должно быть принято решение, будут ли неблагоприятные последствия, которые могут вытекать из потери целостности, серьезными, незначительными или нулевыми. Это решение должно быть задокументировано.

Потеря доступности

Рассмотреть последствия, проистекающие из отличающейся от кратковременной потери доступности приложений или информации, т.е. какие деловые функции в случае их прерывания приведут к невыполнению времени реагирования или времени выполнения. Должна быть также рассмотрена крайняя форма потери доступности, необратимая потеря данных и/или физическое разрушение аппаратных или программных средств. Например, потеря доступности критических приложений или информации может приводить к:

- неверным принимаемым решениям;

- неспособности выполнения критических задач;

- утрате общественного доверия или ухудшению общественного имиджа;

- финансовым потерям;

- правовой ответственности, включая ту, которая может проистекать из нарушения
законодательства о защите данных и из невыполнения договорных предельных сроков;

- значительным расходам на восстановление.

Следует отметить, что неблагоприятные последствия, вытекающие из потери доступности, могут значительно различаться для разных временных периодов такой потери. Если это так, то целесообразно рассмотреть последствия, которые могут проистекать в различные временные периоды, и оценить последствия для каждого временного периода как серьезные, незначительные или нулевые (эта информация должна использоваться при выборе средств контроля).

В соответствии с ответами на приведенные выше вопросы должно быть принято решение, будут ли неблагоприятные последствия, которые могут вытекать из потери доступности, серьезными, незначительными или нулевыми. Это решение должно быть задокументировано.

Потеря учетности

Рассмотреть последствия, проистекающие из потери учетности пользователей системы или объектов (например, программных средств), действующих от имени пользователя. Кроме того, это рассмотрение должно включать автоматически генерируемые сообщения, которые могут приводить к действию. Например, потеря учетности может приводить к:

- манипулированию системой пользователями;

- мошенничеству;

- промышленному шпионажу;

- неотслеживаемым действиям;

- ложным обвинениям;

В соответствии с ответами на приведенные выше вопросы должно быть принято решение, будут ли неблагоприятные последствия, которые могут вытекать из потери учетности, серьезными, незначительными или нулевыми. Это решение должно быть задокументировано.

Потеря подлинности

Рассмотреть последствия, проистекающие из потери подлинности данных и сообщений, независимо от того, используются ли они людьми или системами. Это особенно важно в распределенных системах, где принятые решения распространяются среди большого сообщества или где используется справочная информация. Например, потеря подлинности может приводить к:

- мошенничеству;

- использованию правомерного процесса с недействительными данными, приводящими к вводящему в заблуждение результату;

- манипулированию организацией посторонними лицами;

- промышленному шпионажу;

- ложным обвинениям;

В соответствии с ответами на приведенные выше вопросы должно быть принято решение, будут ли неблагоприятные последствия, которые могут вытекать из потери подлинности, серьезными, незначительными или нулевыми. Это решение должно быть задокументировано.

Потеря надежности

Рассмотреть последствия, проистекающие из потери надежности систем. Кроме того, важно рассмотреть функциональные возможности, являющиеся подхарактеристикой надежности (смотри ИСО 9126:дата). Например, потеря надежности может приводить к:

- мошенничеству;

- потерянной доле на рынке;

- отсутствию мотивации у персонала;

- ненадежным поставщикам;

- потери доверия клиентов;

В соответствии с ответами на приведенные выше вопросы должно быть принято решение, будут ли неблагоприятные последствия, которые могут вытекать из потери надежности, серьезными, незначительными или нулевыми. Это решение должно быть задокументировано.

Средства контроля конфиденциальности

Ниже перечислены виды угроз, которые могут ставить в опасность конфиденциальность, вместе с предлагаемыми средствами контроля для защиты от этих угроз. Если это уместно для выбора средств контроля, то должны приниматься в расчет вид и характеристики системы ИКТ.

Угрозы приводятся в алфавитном порядке.

Подслушивание

Одним из способов получения доступа к значимой информации является подслушивание, например путем подключения к линии или прослушивания телефонных разговоров. Средства контроля против этой угрозы перечисляются ниже.

- Физические средства контроля: Это могут быть помещения, стены, строения и т.д. делающие подслушивание невозможным или трудновыполнимым. Еще одним способом достижения этого является добавление помех. В случае телефонов соответствующая прокладка кабеля может обеспечить определенную защиту от подслушивания.

- Политика информационной безопасности: Другой способ избежать прослушивания заключается в наличии строгих правил, касающихся того, когда, где и каким способом должен происходить обмен значимой информацией.

- Защита конфиденциальности данных: Еще одним способом защиты от подслушивания является шифрование сообщения перед обменом сообщениями.

Электромагнитное излучение

Электромагнитное излучение может использоваться нарушителем для приобретения знаний об информации, обрабатываемой системой ИКТ. Средства контроля против электромагнитного излучения перечисляются ниже.

- Физические средства контроля: Это может быть облицовка комнат, стен и т.д.; эти средства контроля не позволяют электромагнитному излучению проходить через облицовку.

- Защита конфиденциальности данных: Следует отметить, что эта защита применима, только пока информация зашифрована, а не для обрабатываемой, выводимой на экран или распечатываемой информации.

- Использование оборудования информационно-коммуникационных технологий с низким излучением: Может быть применено оборудование со встроенной защитой.

Вредоносное программное обеспечение

Вредоносное программное обеспечение может приводить к потере конфиденциальности, например, посредством перехвата и раскрытия паролей. Средства контроля против этого перечисляются ниже.

- Защита от вредоносного программного обеспечения.

- Менеджмент инцидентов информационной безопасности: Своевременное сообщение о необычном инциденте может ограничивать ущерб в случае атак со стороны вредоносного программного обеспечения. Обнаружение вторжения может использоваться для обнаружения попыток проникновения в систему или сеть.

Имитация личности пользователя

Имитация личности пользователя может быть использована, чтобы обойти аутентификацию и все сервисы и функции безопасности, связанные с этим. В итоге это может приводить к проблемам конфиденциальности, когда эта имитация дает возможность доступа к значимой информации. Средства контроля в этой сфере перечисляются ниже.

- Идентификация и аутентификация. Имитация значительно затрудняется, если используются средства контроля идентификации и аутентификации, основанные комбинации чего-то известного пользователю, чего-то имеющегося у пользователя, а также неотъемлемых характеристик пользователя.

- Логический контроль доступа и аудит: Средства логического контроля доступа не могут отличить уполномоченного пользователя от лица, выдающего себя за уполномоченного пользователя, но использование механизмов контроля доступа может уменьшить сферу влияния. Проверка и анализ контрольных журналов могут обнаруживать несанкционированную деятельность.

- Защита от вредоносного программного обеспечения: Поскольку одним из способов получения паролей является введение вредоносного программного обеспечения для перехвата паролей, должна присутствовать защита против такого программного обеспечения.

- Сетевой менеджмент: Еще один способ захвата значимого материала состоит в том, чтобы выдать себя за пользователя в трафике, например в электронной почте. ИСО/МЭК работают сейчас над несколькими документами, содержащими дальнейшую информацию о детальных средствах контроля для обеспечения сетевой безопасности.

- Защита конфиденциальности данных: Если по некоторым причинам приведенный выше вид защиты невозможен или недостаточен, может быть обеспечена дополнительная защита, использующая шифрование хранимых значимых данных.

Неправильная маршрутизации/изменение маршрутизации сообщений

Неправильная маршрутизация - это умышленное или случайное неверное направление сообщений, тогда как изменение маршрутизации может происходить как с хорошими, так и с плохими целями. Изменение маршрутизации может, например, осуществляться для поддержки сохранности доступности. Неправильная маршрутизация и изменение маршрутизации сообщений могут приводить к потере конфиденциальности, если они делают возможным несанкционированный доступ к этим сообщениям. Средства контроля против этого перечисляются ниже.

- Сетевой менеджмент: Средства контроля для защиты от неправильной маршрутизации или изменения маршрутизации можно найти в других документах, над которыми сейчас работают ИСО/МЭК и которые содержат дальнейшую информацию о детальных средствах контроля для обеспечения сетевой безопасности.

- Защита конфиденциальности данных: Чтобы избежать несанкционированного доступа в случае неправильной маршрутизации или измерения маршрутизации, сообщения могут шифроваться.

Сбой программы

Сбой программы может подвергать опасности конфиденциальность, если это программное средство обеспечивает защиту конфиденциальности, например, программные средства управления доступом или шифрования, или если сбой программы создает дыру, например, в операционной системе. Средства контроля для защиты конфиденциальности в этом случае перечисляются ниже.

- Менеджмент инцидентов: Каждый, кто замечает неправильное срабатывание программы, должен сообщить об этом ответственному лицу, чтобы как можно скорее могли быть приняты меры.

- Операционные вопросы: Некоторых сбоев программ можно избежать путем тщательного тестирования программного средства перед его использованием и посредством контроля изменений программных средств.

Хищение

Хищение может подвергать опасности конфиденциальность, если похищенный компонент информационно-коммуникационных технологий содержит значимую информацию, к которой может получить доступ похититель. Средства контроля против хищения перечисляются ниже.

- Физические средства контроля: Это может быть физическая защита, затрудняющая доступ к строению, сфере или помещению, содержащим оборудование информационно- коммуникационных технологий, или специальные средства контроля против хищения.

- Кадровые: Должны существовать средства контроля для персонала (контроль внешнего персонала, соглашения об обеспечении конфиденциальности и т.д.), затрудняющие хищение.

- Защита конфиденциальности данных: Это средство контроля должно быть реализовано, если кажется вероятным хищение оборудования информационно-коммуникационных технологий, содержащего значимую информацию, например, лэптопов.

- Средства контроля носителей данных: Любой носитель данных, содержащий значимую информацию, должен быть защищен от хищения.

Несанкционированный доступ к компьютерам, данным, сервисам и приложениям

Несанкционированный доступ к компьютерам, данным, сервисам и приложениям может быть угрозой, если возможен доступ к любому значимому материалу. Средства контроля для защиты от несанкционированного доступа включают соответствующую идентификацию и аутентификацию, логический контроль доступа, аудит на уровне системы ИКТ и сетевое разделение на сетевом уровне.

- Идентификация и аутентификация: Соответствующие средства контроля идентификации и аутентификации должны применяться в сочетании с логическим контролем доступа для предотвращения несанкционированного доступа.

- Логический контроль доступа и аудит: Должны использоваться механизмы управления доступом для обеспечения логического контроля доступа. Проверка и анализ контрольных журналов могут обнаруживать несанкционированную деятельность лиц, имеющих права доступа к системе.

- Сетевое разделение: Чтобы затруднить несанкционированный доступ, должно существовать сетевое разделение.

- Физический контроль доступа: Помимо логического контроля доступа защита может обеспечиваться физическим контролем доступа.

- Средства контроля носителей данных: Если значимые данные хранятся на другом носителе (например, дискете), должны присутствовать средства контроля носителей данных для защиты носителей от несанкционированного доступа.

Несанкционированный доступ к носителям данных

Несанкционированный доступ к носителям данных и их использование могут подвергать опасности конфиденциальность, если на этих носителях хранится любой конфиденциальный материал. Средства контроля для защиты конфиденциальности перечисляются ниже.

- Операционные вопросы: Могут быть применены средства контроля носителей данных для обеспечения, например, физической защиты и учетности носителей данных, а гарантированное удаление хранимой информации обеспечивает, чтобы никто не мог получить конфиденциальный материал с ранее стертого носителя данных. Особую заботу следует проявлять для обеспечения защиты сменных носителей, таких как дискеты, резервные магнитные ленты и бумажные носители.

- Физическая безопасность: Соответствующая защита комнат (прочные стены и окна, а также физический контроль доступа) и принадлежности защиты могут обеспечить защиту от несанкционированного доступа.

- Защита конфиденциальности данных: Дополнительная защита хранящегося значимого материала может быть достигнута путем шифрования материала. Необходима хорошая система менеджмента ключей, позволяющая надежное применение шифрования.

Средства контроля целостности

Ниже перечислены виды угроз, которые могут подвергать опасности целостность, вместе с предлагаемыми средствами контроля для защиты от этих угроз. Если это уместно для выбора средств контроля, то должны приниматься в расчет вид и характеристики системы ИКТ.

Ухудшение состояния носителей данных

Ухудшение состояния носителей данных угрожает целостности всего, что хранится на этих носителях. Если целостность важна, должны применяться следующие средства контроля.

- Средства контроля носителей данных: Достаточные средства контроля носителей данных включают верификацию целостности, которая обнаруживает искажение хранящихся файлов.

- Резервные копии: Должны быть сделаны резервные копии всех важных файлов, деловых данных и т.д. Если обнаружена потеря целостности, например с помощью средств контроля носителей данных или во время тестирования резервных копий, то для восстановления целостности файлов должна использоваться резервная копия или предыдущая генерация резервной копии.

- Защита целостности данных: Для защиты целостности хранящихся данных могут использоваться криптографические средства.

Ошибка технического обслуэюивания

- Если техническое обслуживание проводится нерегулярно или во время процесса технического обслуживания делаются ошибки, целостность всей связанной с этим информации подвергается опасности. Средства контроля для защиты целостности в данном случае перечисляются ниже.

- Техническое обслуживание: Правильное техническое обслуживание - это наилучший способ избежать ошибок технического обслуживания. Это включает задокументированные и проверенные процедуры технического обслуживания и соответствующий надзор за работой.

- Резервные копии: Если произошли ошибки технического обслуживания, то для восстановления целостности поврежденной информации могут использоваться резервные копии.

- Защита целостности данных: Для защиты целостности информации могут использоваться криптографические средства.

Вредоносное программное обеспечение

Вредоносное программное обеспечение может приводить к потере целостности, например, если данные или файлы изменяются человеком, получающим несанкционированный доступ с помощью вредоносного программного обеспечения, или сам вредоносным программным обеспечением. Средства контроля против этого перечисляются ниже.

- Защита от вредоносного программного обеспечения.

- Менеджмент инцидентов: Своевременное сообщение о необычном инциденте может ограничивать ущерб в случае атак со стороны вредоносного программного обеспечения. Обнаружение вторжения может использоваться для обнаружения попыток проникновения в систему или сеть.

Имитация личности пользователя

Имитация личности пользователя может быть использована, чтобы обойти аутентификацию и все сервисы и функции безопасности, связанные с этим. В итоге это может приводить к проблемам целостности, когда эта имитация дает возможность доступа к информации и ее модификации. Средства контроля в этой сфере перечисляются ниже.

- Сетевой менеджмент: Еще один способ несанкционированного доступа состоит в том, чтобы выдать себя за пользователя в трафике, например в электронной почте. ИСО/МЭК работают сейчас над несколькими документами, содержащими дальнейшую информацию о детальных средствах контроля для обеспечения сетевой безопасности.

- Защита целостности данных: Если по некоторым причинам приведенный выше вид защиты невозможен или недостаточен, может быть обеспечена дополнительная защита, использующая криптографические средства, подобные цифровым подписям.

Неправильная маршрутизация/изменение маршрутизации сообщений

Неправильная маршрутизация — это умышленное или случайное неверное направление сообщений, тогда как изменение маршрутизации может происходить как с хорошими, так и с плохими целями. Изменение маршрутизации может, например, осуществляться для поддержки сохранности доступности. Неправильная маршрутизация и изменение маршрутизации сообщений могут приводить к потере целостности, например, если сообщения изменяются, а затем посылаются исходным получателям. Средства контроля против этого перечисляются ниже.

Сетевой менеджмент: Средства контроля для защиты от неправильной маршрутизации или изменения маршрутизации можно найти в других документах, над которыми сейчас работают ИСО/МЭК и которые содержат дальнейшую информацию о детальных средствах контроля для обеспечения сетевой безопасности.

Защита целостности данных: Чтобы избежать несанкционированного изменения в случае неправильной маршрутизации или измерения маршрутизации, могут быть использованы хэш-функции и цифровые подписи.

Неотказуемостъ

Должны быть применены средства контроля неотказуемости, когда важно иметь подтверждение того, что сообщение было послано и/или получено и что сеть передала сообщение. В качестве основы неотказуемости (целостности данных и неотказуемости) существуют специальные криптографические средства контроля.

Сбой программы

Сбой программы может разрушить целостность данных и информации, которые обрабатываются с помощью этого программного средства. Средства контроля для защиты целостности перечисляются ниже.

- Сообщение о неправильном срабатывании программы: Скорейшее возможное сообщение о неправильном срабатывании программы помогает ограничить ущерб в случае сбоев программ.

- Операционные вопросы: Тестирование безопасности может использоваться для обеспечения правильного функционирования программного обеспечения, а контроль изменений программных средств может помочь избежать проблем, вызванных модернизацией или другими изменениями программного обеспечения.

- Резервные копии: Резервные копии, например предыдущая генерация, могут быть использованы для восстановления целостности данных, которые обрабатывались программным обеспечением, функционирующим неверно.

Нарушения подачи (электроэнергии, кондиционирования воздуха)

Нарушения подачи могут вызывать проблемы целостности, если из-за них происходят другие сбои. Например, нарушение подачи может приводить к аппаратным сбоям, техническим повреждениям или проблемам с носителями данных. Средства контроля для защиты против этих конкретных проблем можно найти в соответствующих подразделах; средства контроля против нарушения подачи перечислены ниже.

- Энергоснабжение и кондиционирование воздуха: Соответствующие средства контроля энергоснабжения и кондиционирования воздуха, например защита от скачков напряжения, должны использоваться, где это необходимо, чтобы избежать любых проблем, происходящих в результате нарушения подачи.

- Резервные копии: Для восстановления любой поврежденной информации должны использоваться резервные копии.

Техническое повреждение

Технические повреждения, например в сети, могут разрушать целостность информации, хранящейся или обрабатываемой в этой сети. Средства контроля для защиты против этого перечисляются ниже.

- Операционные вопросы: Менеджмент изменений и конфигурации, а также менеджмент возможностей должны использоваться, чтобы избежать повреждений любой системы ИКТ или сети. Для обеспечения безотказной работы системы или сети используется документирование и техническое обслуживание.

- Сетевой менеджмент: Операционные процедуры, планирование системы и надлежащая сетевая конфигурация должны использоваться для сведения к минимуму рисков технических повреждений.

- Резервные копии: Для восстановления любой поврежденной информации должны использоваться резервные копии.

Ошибки передачи

Ошибки передачи могут разрушать целостность передаваемой информации. Средства контроля для защиты целостности перечисляются ниже.

- Прокладка кабелей: Тщательное планирование при прокладке кабелей может помочь избежать ошибок передачи, например, если ошибка вызвана перегрузкой.

- Сетевой менеджмент: Сетевое оборудование должно надлежащим образом управляться и поддерживаться, чтобы избегать ошибок передачи. ИСО/МЭК работают сейчас над несколькими документами, содержащими дальнейшую информацию о детальных средствах контроля для обеспечения сетевой безопасности, которые могут использоваться для защиты от ошибок передачи.

- Защита целостности данных: Для защиты от случайных ошибок передачи могут использоваться контрольные суммы или циклические избыточные коды в протоколах связи.

Криптографические средства могут использоваться для защиты целостности передаваемых данных в случае умышленных атак.

Несанкционированный доступ к компьютерам, данным, сервисам и приложениям

Несанкционированный доступ к компьютерам, данным, сервисам и приложениям может быть угрозой для целостности информации, если возможно несанкционированное изменение. Средства контроля для защиты от несанкционированного доступа включают соответствующую идентификацию и аутентификацию, логический контроль доступа, аудит на уровне системы ИКТ и сетевое разделение на сетевом уровне.

- Логический контроль доступа и аудит: Должны применяться средства контроля /для обеспечения логического контроля доступа посредством использования механизмов контроля доступа. Проверка и анализ контрольных журналов могут обнаруживать несанкционированную деятельность лиц, имеющих права доступа к системе.

- Сетевое разделение: Чтобы затруднить несанкционированный доступ, должно существовать сетевое разделение.

- Целостность данных: Для защиты целостности хранящейся или передаваемой информации могут использоваться криптографические средства.

Использование несанкционированных программ и данных

Использование несанкционированных программ и данных подвергает опасности целостность информации, хранящейся и обрабатываемой в системе, где это происходит, если программы и данные используются для изменения информации несанкционированным образом или если используемые программы и данные содержат вредоносное программное обеспечение (например, игры). Средства контроля для защиты от этого перечисляются ниже.

- Обучение и повышение осознания безопасности: Все служащие должны сознавать тот факт, что они не должны устанавливать и использовать никакое программное обеспечение без разрешения руководителя безопасности системы ИКТ или лица, отвечающего за безопасность системы.

- Резервные копии: Для восстановления любой поврежденной информации должны использоваться резервные копии.

- Логический контроль доступа и аудит: Логический контроль доступа должен обеспечивать, чтобы применение программных средств для обработки и изменения информации осуществлялось только уполномоченными лицами. Проверка и анализ контрольных журналов могут обнаруживать несанкционированную деятельность.

- Защита от вредоносного программного обеспечения: Все программы и данные должны проверяться на предмет вредоносного программного обеспечения перед их использованием.

Несанкционированный доступ к носителям данных

Несанкционированный доступ к носителям данных и их использование может подвергать опасности целостность, поскольку это делает возможным несанкционированные изменение информации, хранящейся на этих носителях данных. Средства контроля для защиты целостности перечисляются ниже.

- Операционные вопросы: Средства контроля носителей данных могут применяться, например, для обеспечения физической защиты и учетности носителей данных, чтобы избежать несанкционированного доступа, а верификация целостности- чтобы обнаруживать любую компрометацию целостности информации, хранящейся на носителях данных. Особую заботу следует проявлять для обеспечения защиты сменных носителей, таких как дискеты, резервные магнитные ленты и бумажные носители.

- Физическая безопасность: Соответствующая защита помещений (прочные стены и окна, а также физический контроль доступа) и принадлежности защиты могут обеспечить защиту от несанкционированного доступа.

- Целостность данных: Для защиты целостности информации, хранящейся на носителях данных, могут использоваться криптографические средства.

Ошибки пользователей

Ошибки пользователей могут разрушать целостность информации. Средства контроля для защиты от этого перечисляются ниже.

- Обучение и повышение осознания безопасности: Все пользователи должны быть соответствующим образом обученными, чтобы избегать ошибок пользователей при обработке информации. Это должно включать обучение определенным процедурам для конкретных действий, таким как операционные процедуры или процедуры безопасности.

- Резервные копии: Резервные копии, например предыдущая генерация, могут использоваться для восстановления целостности информации, которая была разрушена из-за ошибок пользователей.

Средства контроля доступности

Ниже перечислены виды угроз, которые могут подвергать опасности доступность, вместе с предлагаемыми средствами контроля для защиты от этих угроз. Если это уместно для выбора средств контроля, то должны приниматься в расчет вид и характеристики системы ИКТ.

Следует отметить, что большинство из обсуждающихся средств контроля обеспечивает более «общую» защиту, т.е. они не направлены на конкретные угрозы, а обеспечивают защиту путем поддержки общего эффективного менеджмента информационной безопасности. Поэтому они не перечисляются здесь в деталях, но их эффект не следует недооценивать и они должны реализовываться для обеспечения общей эффективной защиты.

Требования доступности могут колебаться от некритичных в отношении времени данных или систем ИКТ (однако потеря таких данных и недоступность таких систем все же считается критичной) до крайне критичных в отношении времени данных или систем ИКТ. Защита первых может быть обеспечена с помощью резервных копий, тогда как последние могут требовать наличия какой-либо устойчивой системы. Угрозы приводятся в алфавитном порядке.

Разрушительная атака

Информация может быть разрушена путем разрушительных атак. Средства контроля для защиты от этого перечисляются ниже.

- Дисциплинарный процесс: Все служащие должны сознавать последствия в случае разрушения ими информации (намеренно или ненамеренно).

- Средства контроля носителей данных: Все носители данных должны быть соответствующим образом защищены от несанкционированного доступа, используя физическую защиту и учетность всех носителей данных.

- Резервные копии: Должны быть сделаны резервные копии всех важных файлов, деловых данных и т.д. Если файл или какая-либо иная информация недоступны (по каким-либо причинам), то для восстановления информации должна использоваться резервная копия или предыдущая генерация резервной копии.

- Физическая защита: Чтобы избежать любого несанкционированного доступа, который будет способствовать несанкционированному разрушению оборудования информационно- коммуникационных технологий или информации, должны использоваться физические средства контроля доступа.

- Логический контроль доступа и аудит: Логический контроль доступа должен обеспечивать, чтобы не мог произойти никакой несанкционированный доступ к информации, который делает возможным разрушение этой информации. Проверка и анализ контрольных журналов могут обнаруживать несанкционированную деятельность.

Ухудшение состояния носителей данных

Ухудшение состояния носителей данных угрожает доступности всего, что хранится на этих носителях. Если доступность важна, должны применяться следующие средства контроля.

- Средства контроля носителей данных: Регулярное тестирование носителей данных должно обнаруживать любое ухудшение состояния, надо надеяться, до того как информация будет реально недоступна. Носители данных должны храниться таким образом, чтобы любое внешнее влияние, которые может вызвать ухудшение состояния, не могло иметь места.

Отказ оборудования и услуг связи

Отказ оборудования и услуг связи угрожает доступности информации, передаваемой с помощью этих услуг. Средства контроля для защиты доступности перечисляются ниже.

- Избыточность и резервные копии: Избыточная реализация компонентов услуг связи может быть использована для снижения вероятности отказа услуг связи. В зависимости от максимального приемлемого времени простоя резервное оборудование тоже может быть использовано для удовлетворения требований. В любом случае должна быть сделана резервная копия данных конфигурации и топологии, чтобы обеспечить доступность в случае чрезвычайной ситуации.

- Сетевой менеджмент: ИСО/МЭК работают сейчас над несколькими документами, содержащими дальнейшую информацию о детальных средствах контроля для обеспечения сетевой безопасности, которые могут применяться для защиты от отказа оборудования или услуг связи.

- Прокладка кабелей: Тщательное планирование при прокладке кабелей может помочь избежать повреждения; если есть подозрение, что линия может быть повреждена, она должна быть внимательно проверена.

- Неотказуемость: Если нужно подтверждение сетевой доставки, отправки или получения сообщения, должна применяться неотказуемость; тогда сбой связи или пропавшая информация могут быть легко обнаружены.

Пожар, затопление

Информация и оборудование информационно-коммуникационных технологий могут быть разрушены пожаром и/или затоплением. Средства контроля для защиты против пожара и затопления перечисляются ниже.

- Физическая защита: Все строения и помещения, содержащие оборудование информационно-коммуникационных технологий или носители, на которых хранится важная информация, должны быть защищены соответствующим образом от пожара и затопления.

- План обеспечения непрерывности бизнеса: Для обеспечения защиты бизнеса от пагубных эффектов пожара и затопления должен существовать план обеспечения непрерывности бизнеса и должны быть доступны резервные копии всей важной информации.

Ошибка технического обслуживания

Если техническое обслуживание проводится нерегулярно или во время процесса технического обслуживания делаются ошибки, доступность всей связанной с этим информации подвергается опасности. Средства контроля для защиты доступности в данном случае перечисляются ниже.

- Техническое обслуживание: Правильное техническое обслуживание - это наилучший способ избежать ошибок технического обслуживания.

- Резервные копии: Если произошли ошибки технического обслуживания, то для восстановления доступности потерянной информации могут использоваться резервные копии.

Вредоносное программное обеспечение

Вредоносное программное обеспечение может быть использовано, чтобы обойти аутентификацию и все сервисы и функции безопасности, связанные с этим. В итоге это может приводить к потере доступности, например, если данные или файлы разрушаются человеком, получившим несанкционированный доступ с помощью вредоносного программного обеспечения, или самим вредоносным программным обеспечением. Средства контроля против этого перечисляются ниже.

- Защита от вредоносного программного обеспечения.

- Менеджмент инцидентов: Своевременное сообщение о необычном инциденте может ограничивать ущерб в случае атак со стороны вредоносного программного обеспечения. Обнаружение вторжения может использоваться для обнаружения попыток вхождения в систему или сеть.

Имитация личности пользователя

Имитация личности пользователя может быть использована, чтобы обойти аутентификацию и все сервисы и функции безопасности, связанные с этим. В итоге это может приводить к проблемам доступности, когда эта имитация ведет к возможности удаления или разрушения информации. Средства контроля в этой сфере перечисляются ниже.

- Резервное копирование данных: Резервное копирование данных не может защитить от имитации личности пользователя, но уменьшает последствия наносящих ущерб инцидентов, вытекающих из этого.

Неправильная маршрутизация/изменение маршрутизации сообщений

Неправильная маршрутизация - это умышленное или случайное неверное направление сообщений, тогда как изменение маршрутизации может происходить как с хорошими, так и с плохими целями. Изменение маршрутизации может, например, осуществляться для поддержки сохранности доступности. Неправильная маршрутизация сообщений приводит к потере доступности сообщений. Средства контроля против этого перечисляются ниже.

- Неотказуемость: Если нужно подтверждение сетевой доставки, отправки или получения сообщения, должна применяться неотказуемость.

Злоупотребление ресурсами

Злоупотребление ресурсами может приводить к недоступности информации или услуг. Средства контроля для защиты от этого перечисляются ниже.

- Кадровые: Весь персонал должен сознавать последствия злоупотребления ресурсами; в случае необходимости должны применяться дисциплинарные процессы.

- Операционные вопросы: Использование системы должно подвергаться мониторингу для обнаружения несанкционированной деятельности, а для сведения к минимуму возможностей злоупотребления привилегиями должно применяться разделение обязанностей.

- Логический контроль доступа и аудит: Средства контроля должны использоваться для обеспечения логического контроля доступа к ресурсам посредством применения механизмов контроля доступа. Проверка и анализ контрольных журналов могут обнаруживать несанкционированную деятельность.

- Сетевой менеджмент: Соответствующая сетевая конфигурация и разделение должны применяться для сведения к минимуму возможности злоупотребления сетевыми ресурсами.

Природные бедствия

Для обеспечения защиты от потери информации и услуг из-за природных бедствий должны существовать следующие средства контроля.

- Защита от природных бедствий: Должна быть обеспечена максимальная возможная защита всех зданий от природных бедствий.

- План обеспечения деловой непрерывности: Для каждого здания должен существовать полностью протестированный план обеспечения деловой непрерывности и должны быть доступны резервные копии всей важной информации, резервы услуг и ресурсов.

Сбой программы

Сбой программы может разрушить доступность данных и информации, которые обрабатываются соответствующим программным обеспечением. Средства контроля для защиты доступности перечисляются ниже.

- Операционные вопросы: Тестирование безопасности может использоваться для обеспечения правильного функционирования программного обеспечения, а контроль изменений программных средств может помочь избежать связанных с программными средствами проблем, которые вызваны модернизацией или другими изменениями программного обеспечения.

- Резервные копии: Резервные копии, например предыдущая генерация, могут быть использованы для восстановления данных, которые обрабатывались программным обеспечением, функционирующим неверно.

Нарушения подачи (электроэнергии, кондиционирования воздуха)

Нарушения подачи могут вызывать проблемы доступности, если из-за них происходят другие сбои. Например, нарушение подачи может приводить к аппаратным сбоям, техническим повреждениям или проблемам с носителями данных. Средства контроля для защиты против этих конкретных проблем можно найти в соответствующих подразделах; средства контроля против нарушения подачи перечислены ниже.

- Резервные копии: Должны быть сделаны резервные копии всех важных файлов, деловых данных и т.д. Если файл или какая-либо иная информация теряются из-за нарушения подачи, то для восстановления информации должны использоваться резервные копии.

Техническое повреждение

Технические повреждения, например в сети, могут разрушать доступность любой информации, хранящейся или обрабатываемой в этой сети. Средства контроля для защиты против этого перечисляются ниже.

- Операционные вопросы: Менеджмент изменений и конфигурации, а также менеджмент возможностей должны использоваться, чтобы избежать повреждений любой системы ИКТ. Документирование и техническое обслуживание используются для обеспечения безотказного функционирования системы.

- План обеспечения непрерывности бизнеса: Для обеспечения защиты бизнеса от пагубных эффектов технических повреждений должен существовать план обеспечения деловой непрерывности и должны быть доступны резервные копии всей важной информации, резервы услуг и ресурсов.

Хищение

Очевидно, что хищение подвергает опасности доступность информации и оборудования информационно-коммуникационных технологий. Средства контроля для защиты против хищения перечисляются ниже.

- Физические средства контроля: Это может быть физическая защита, затрудняющая доступ к строению, сфере или помещению, содержащим оборудование информационно- коммуникационных технологий и информацию, или специальные средства контроля против хищения.

- Средства контроля носителей данных: Любые носители данных, содержащие важный материал, должны быть защищены от хищения.

Перегрузка трафика

Перегрузка трафика угрожает доступности информации, передаваемой с помощью этих служб. Средства контроля для защиты доступности перечисляются ниже.

- Избыточность и резервные копии: Избыточная реализация компонентов служб связи может быть использована для снижения вероятности перегрузки трафика. В зависимости от максимального приемлемого времени простоя резервное оборудование тоже может быть использовано для удовлетворения требований. В любом случае должна быть сделана резервная копия данных конфигурации и топологии, чтобы обеспечить доступность в случае чрезвычайной ситуации.

- Сетевой менеджмент: Надлежащая конфигурация, менеджмент и администрирование сетей и служб связи должны использоваться, чтобы избежать перегрузки трафика.

- Сетевой менеджмент: ИСО/МЭК разрабатывают сейчас документы, содержащие дальнейшую информацию о детальных средствах контроля для обеспечения сетевой безопасности, которые могут применяться для защиты от перегрузки трафика.

Ошибки передачи

Ошибки передачи могут разрушать доступность передаваемой информации. Средства контроля для защиты доступности перечисляются ниже.

- Сетевой менеджмент: Сетевой менеджмент не может защитить от ошибок передачи, но может использоваться для распознания проблем, происходящих из-за ошибок передачи и для поднятия тревоги в таких случаях. Это позволяет осуществить своевременное реагирование на эти проблемы. ИСО/МЭК разрабатывают сейчас документы, содержащие дальнейшую информацию о детальных средствах контроля для обеспечения сетевой безопасности, которые могут применяться для защиты от ошибок передачи.

Несанкционированный доступ к компьютерам, данным, сервисам и приложениям

Несанкционированный доступ к компьютерам, данным, сервисам и приложениям может быть угрозой для доступности информации, если возможно несанкционированное разрушение. Средства контроля для защиты от несанкционированного доступа включают соответствующую идентификацию и аутентификацию, логический контроль доступа, аудит на уровне системы ИКТ и сетевое разделение на сетевом уровне.

- Логический контроль доступа и аудит: Должны применяться средства контроля для обеспечения логического контроля доступа посредством использования механизмов контроля доступа. Проверка и анализ контрольных журналов могут обнаруживать несанкционированную деятельность лиц, имеющих права доступа к системе.

- Сетевое разделение: Чтобы затруднить несанкционированный доступ, должно существовать сетевое разделение.

- Средства контроля носителей данных: Если значимые данные хранятся на других носителях (например, дискете), должны присутствовать средства контроля носителей данных для защиты носителей от несанкционированного доступа.

Использование несанкционированных программ и данных

Использование несанкционированных программ и данных подвергает опасности доступность информации, хранящейся и обрабатываемой в системе, где это происходит, если программы и данные используются для удаления информации или если используемые программы и данные содержат вредоносное программное обеспечение (например, игры). Средства контроля для защиты от этого перечисляются ниже.

- Обучение и повышение осознания безопасности: Все служащие должны сознавать тот факт, что они не должны внедрять никакое программное обеспечение без разрешения руководителя безопасности системы ИКТ или лица, отвечающего за безопасность системы.

- Резервные копии: Для восстановления любой поврежденной или потерянной информации, сервисов или ресурсов должны использоваться резервные копии.

- Логический контроль доступа и аудит: Логический контроль доступа должен обеспечивать, чтобы применение программных средств для обработки и удаления информации осуществлялось только уполномоченными лицами. Проверка и анализ контрольных журналов могут обнаруживать несанкционированную деятельность.

Несанкционированный доступ к носителям данных

Несанкционированный доступ к носителям данных и их использование могут подвергать опасности доступность, поскольку это может приводить к несанкционированному разрушению информации, хранящейся на этих носителях данных. Средства контроля для защиты доступности перечисляются ниже.

- Операционные вопросы: Средства контроля носителей данных могут применяться, например, для обеспечения физической защиты и учетности носителей данных, чтобы избежать несанкционированного доступа к информации, хранящейся на носителях данных. Особую заботу следует проявлять для обеспечения защиты сменных носителей, таких как дискеты, резервные магнитные ленты и бумажные носители.

Ошибки пользователей

Ошибки пользователей могут разрушать доступность информации. Средства контроля для защиты от этого перечисляются ниже.

- Резервные копии: Резервные копии, например предыдущая генерация, могут использоваться для восстановления информации, которая была разрушена из-за ошибок пользователей.

Средства контроля учетности, подлинности и надежности

Рамки учетности, подлинности и доступности широко различаются в разных сферах. Эти различия означают, что может применяться множество различных средств контроля. Поэтому ниже может быть дано лишь общее руководство.

Средства контроля, обсуждавшиеся выше, обеспечивает более «общую» защиту, т.е. они направлены на целый диапазон угроз и обеспечивают защиту путем поддержки общего эффективного менеджмента информационной безопасности. Поэтому они не перечисляются здесь, но их эффект не следует недооценивать и они должны реализовываться для обеспечения общей эффективной защиты.

Учетностъ

Для обеспечения защиты учетности должны рассматриваться любые угрозы, которые могут приводить к предпринимаемым действиям, которые не могут быть приписаны конкретной сущности или субъекту. Примерами таких угроз являются коллективное использование учетной записи, отсутствие прослеживаемости действий, имитация личности пользователя, сбой программы, несанкционированный доступ к компьютерам, данным, сервисам и приложениям и слабая аутентификация.

Существует два вида учетности, которые следует рассматривать. Один из них имеет дело с идентификацией пользователя, ответственного за определенные действия по отношению к информации и системам ИКТ. Это могут обеспечивать контрольные журналы. Другой вид связан с учетностью между пользователями в системе. Услуги неотказуемости, разделенное знание или двойной контроль могут достигать этого.

Многие средства контроля могут использоваться для осуществления учетности или могут способствовать ее осуществлению. Могут быть применимы средства контроля, простирающиеся от таких вещей, как политики безопасности, повышение осознания безопасности, логический контроль доступа и аудит до одноразовых паролей и средств контроля носителей данных. Реализация политики в отношения владения информацией является необходимым условием учетности. Выбор определенных средств контроля будет зависеть от конкретного использования учетности в рамках данной сферы.

Подлинность

Уверенность в подлинности может быть снижена любой угрозой, которая может приводить к неуверенности человека, системы или процесса в том, что объект является таким, как подразумевается. Некоторые примеры, которые могут приводить к возникновению такой ситуации, включают не контролируемые изменения данных, не проверяемый источник данных, не поддерживаемый источник данных.

Многие средства контроля могут использоваться для обеспечения подлинности или могут способствовать ее обеспечению. Могут быть применимы средства контроля, простирающиеся от использования данных с помеченной ссылкой, логического контроля доступа и аудита до использования цифровых подписей. Выбор определенных средств контроля будет зависеть от конкретного использования подлинности в рамках данной сферы.

Надежность

Любая угроза, которая может приводить к несоответствующему поведению систем или процессов, будет давать в результате снижение надежности. Некоторыми примерами таких угроз являются несоответствующее функционирование системы и ненадежные поставщики. Потеря надежности может приводить к плохому обслуживанию клиентов или утрате доверия клиентов.

Многие средства контроля могут использоваться для обеспечения надежности или могут способствовать ее обеспечению. Могут быть применимы средства контроля, простирающиеся от таких вещей, как планы обеспечения деловой непрерывности, введение избыточности в физическую архитектуру и техническое обслуживание системы до идентификации и аутентификации и логического контроля доступа и аудита. Выбор определенных средств контроля будет зависеть от конкретного использования надежности в рамках данной сферы.

<60 61 62 63 646566 >

Дата добавления: 2015-02-03; просмотров: 1118;