Захисту податкової інформації в автоматизованій інформаційній системі дпс україни як єдиний комплекс



Сторінка5/9
Дата конвертації15.11.2016
Розмір0.97 Mb.
1   2   3   4   5   6   7   8   9

5. Політика безпеки інформації в АІС.


Як було сказано раніше (слайд № 7) Політика безпеки інформації – сукупність законів, правил, обмежень, рекомендацій, інструкцій тощо, які регламентують порядок накопичення, обробки, зберігання інформації. Термін "політика безпеки" може бути застосовано щодо АІС в цілому, окремого її компонента, послуги захисту, що реалізується системою і т. ін. Політика безпеки інформації в АІС є частиною загальної політики безпеки ДПС України і повинна успадковувати основні її принципи.

Під час розробки політики безпеки повинні бути враховані технологія обробки інформації, моделі порушників і загроз, особливості ОС, фізичного середовища та інші чинники. В АІС може бути реалізовано декілька різних політик безпеки, які істотно відрізняються.

Як складові частини загальної політики безпеки в АІС мають існувати політики забезпечення конфіденційності, цілісності, доступності оброблюваної інформації.

Політика безпеки повинна стосуватись: інформації (рівня критичності ресурсів АІС), взаємодії об’єктів (правил, відповідальності за захист інформації, гарантій захисту), області застосування (яких складових компонентів АІС політика безпеки стосується, а яких – ні).

Політика безпеки повинна передбачати використання всіх можливих заходів захисту інформації, як-то: правові та морально-етичні норми, організаційні (адміністративні), фізичні, технічні (апаратні і програмні) заходи і визначати правила та порядок застосування в АІС кожного з цих видів.

Політика безпеки повинна базуватися на наступних основних принципах:



  • системності;

  • комплексності;

  • неперервності захисту;

  • достатності механізмів і заходів захисту та їхньої адекватності загрозам;

  • гнучкості керування системою захисту, простоти і зручності її використання;

  • відкритості алгоритмів і механізмів захисту.

Політика безпеки повинна доказово давати гарантії того, що:

  • в АІС (в кожній окремій складовій частині, в кожному функціональному завданні і т. ін.) забезпечується адекватність рівня захисту інформації рівню її критичності;

  • реалізація заходів захисту інформації є рентабельною;

  • в будь-якому середовищі функціонування АІС забезпечується оцінюваність і перевіряємість захищеності інформації;

  • забезпечується персоніфікація положень політики безпеки (стосовно суб’єктів АІС), звітність (реєстрація, аудит) для всіх критичних з точки зору безпеки ресурсів, до яких здійснюється доступ в процесі функціонування АІС;

  • персонал і користувачі забезпечені достатньо повним комплектом документації стосовно порядку забезпечення захисту інформації;

  • всі критичні з точки зору безпеки інформації технології (функції) АІС мають відповідні плани забезпечення неперервної роботи та її поновлення у разі виникнення непередбачених ситуацій;

  • враховані вимоги всіх документів, які регламентують порядок захисту інформації в АІС, та забезпечується їхнє суворе дотримання.

Політика безпеки розробляється на підготовчому етапі створення КСЗІ. Методологія розроблення політики безпеки включає в себе наступні роботи:

  • розробка концепції захисту інформації в державній податковій службі України;

  • аналіз ризиків;

  • визначення вимог до заходів, методів та засобів захисту;

  • вибір основних рішень з забезпечення безпеки інформації;

  • організація виконання відновлювальних робіт і забезпечення неперервного функціонування АІС;

  • документальне оформлення політики безпеки.


Концепція захисту інформації а державній податковій службі України (далі – Концепція) повинна визначати основи політики державної податкової служби України в сфери захисту інформації, забезпечувати єдність принципів побудови КСЗІ, що збирається, накопичується, обробляється, використовується та збирається в підрозділах ДПС України при виконанні покладених на них функцій.

Концепція повинна формулювати основні загрози безпеці інформації і цілі впровадження КСЗІ, визначати пріоритетні напрями її впровадження в ДПС України.

Концепція повинна забезпечувати єдність принципів формування і проведення політики захисту інформації в усіх сферах діяльності ДПС України і служить підставою для створення короткострокових та довгострокових програм розвитку сфери захисту інформації в ДПС України.

Концепція захисту інформації а державній податковій службі України розроблена відділом інформаційної безпеки Департаменту розвитку та модернізації ДПС та затверджена наказом ДПА України від 28.10.02 № 512.



Аналіз ризиків передбачає вивчення моделі загроз для податкової інформації та моделі порушників, можливих наслідків від реалізації потенційних загроз (рівня можливої заподіяної ними шкоди) і формування на його підставі моделі захисту податкової інформації в АІС. Під час проведення аналізу ризиків необхідним є виконання наступних робіт.

Визначення компонентів і ресурсів АІС, які необхідно враховувати при аналізі: повинні бути визначені критичні з точки зору безпеки компоненти і ресурси АІС, які можуть бути об'єктами атаки або самі є потенційним джерелом порушення безпеки податкової інформації (об’єкти захисту).

Ідентифікація загроз з об’єктами захисту: встановлюється відповідність моделі загроз і об’єктів захисту, тобто складається матриця загрози/компоненти (ресурси) АІС. Кожному елементу матриці повинен бути зіставлений опис можливого впливу загрози на відповідний компонент або ресурс АІС. У процесі упорядкування матриці може уточнюватися список загроз і об’єктів захисту, внаслідок чого коригуватись модель загроз.

Оцінка ризиків: повинні бути отримані оцінки гранично припустимого й існуючого (реального) ризику здійснення кожної загрози впродовж певного проміжку часу, тобто ймовірності її здійснення впродовж цього інтервалу. Для оцінки ймовірності реалізації загрози необхідно вводити декілька дискретних ступенів (градацій). Оцінку слід робити за припущення, що кожна подія має найгірший, з точки зору власника інформації, що потребує захисту, закон розподілу, а також за умови відсутності заходів захисту податкової інформації. На практиці для більшості загроз неможливо одержати достатньо об’єктивні дані про ймовірність їхньої реалізації і доводиться обмежуватися якісними оцінками. У цьому випадку значення ймовірності реалізації загрози визначається в кожному конкретному випадку експертним методом або емпіричним шляхом, на підставі досвіду експлуатації подібних систем, шляхом реєстрації певних подій і визначення частоти їхнього повторення тощо.

Оцінка може мати числове або смислове значення (наприклад, ймовірність реалізації загрози – незначна, низька, висока, неприпустимо висока).

У будь-якому випадку існуючий ризик не повинен перевищувати гранично допустимий для кожної загрози. Перевищення свідчить про необхідність впровадження додаткових заходів захисту. Мають бути розроблені рекомендації щодо зниження ймовірності виникнення або реалізації загроз та величини ризиків.

Оцінювання величини можливих збитків, пов'язаних з реалізацією загроз: виконується кількісна або якісна оцінка збитків, що можуть бути нанесені АІС ДПС України внаслідок реалізації загроз. Доцільно, щоб ця оцінка складалась з величин очікуваних збитків від втрати інформацією кожної з властивостей (конфіденційності, цілісності або доступності) або від втрати керованості АІС внаслідок реалізації загрози. Для одержання оцінки можуть бути використані такі ж методи, як і при аналізі ризиків. Величина можливих збитків, на наш погляд, повинна за якісною шкалою (наприклад, величина збитків - відсутня, низька, середня, висока, неприпустимо висока).

Вибір варіанту побудови КСЗІ: в залежності від конфіденційності інформації, яка обробляється в АІС ДПС України, рівня її критичності, величини можливих збитків від реалізації загроз, матеріальних, фінансових та інших ресурсів, які є у розпорядженні АІС ДПС, а також інших чинників обґрунтовується пропозиція щодо доцільності застосування варіантів побудови КСЗІ. Можливі наступні варіанти:

- досягнення необхідного рівня захищеності інформації за мінімальних затрат і допустимого рівня обмежень на технологію її обробки в АІС;

- досягнення необхідного рівня захищеності інформації за допустимих затрат і заданого рівня обмежень на технологію її обробки в АІС;

- досягнення максимального рівня захищеності інформації за необхідних затрат і мінімального рівня обмежень на технологію її обробки в АІС.

Якщо інформація становить державну таємницю, то необхідно застосовувати третій варіант.

Оцінювання витрат на КСЗІ: повинне здійснюватися первинне (попереднє) оцінювання допустимих витрат на блокування загроз, виходячи з вибраного варіанту побудови КСЗІ і виділених на це коштів. На етапі проектування КСЗІ, після формування пропозицій щодо складу заходів і засобів захисту, повинне здійснюватися оцінка залишкового ризику для кожної пропозиції (наприклад, за критерієм “ефективність/вартість”), вибирається найбільш оптимальна серед них і первинна оцінка уточнюється. Якщо залишковий ризик перевищує гранично допустимий, вносяться відповідні зміни до складу заходів і засобів захисту, після чого всі процедури виконуються повторно до одержання прийнятного результату.

Кінцевим результатом цього розділу повинна бути модель захисту інформації в АІС ДПС України.



6. Визначення вимог до заходів, методів та засобів захисту.

На підставі отриманих даних:



  • завдання і функції АІС;

  • результати аналізу середовищ функціонування АІС;

  • модель загроз, модель порушників;

  • результати аналізу ризиків

повинні визначатися компоненти АІС (наприклад, окрема ЛВС, спеціалізований АРМ, Internet-вузол тощо), для яких необхідно або доцільно розробляти свої власні політики безпеки, відмінні від загальної політики безпеки в АІС.

Для АІС в цілому та (або) для кожного компонента АІС формується перелік необхідних функціональних послуг захисту від НСД та вимог до рівнів реалізації кожної з них, визначається рівень гарантій реалізації послуг (згідно з НД ТЗІ 2.5-004-99, НД ТЗІ 2.5-005-99). Визначені вимоги складають профіль захищеності інформації в АІС в цілому та (або) для кожного компонента АІС.

Для кожного компонента та (або) АІС в цілому визначаються загальні підходи та вимоги з захисту інформації від витоку технічними каналами.

На наступному кроці визначаються механізми безпеки, що реалізують функціональні послуги безпеки, здійснюється вибір технічних засобів захисту інформації від витоку технічними каналами.



Вибір основних рішень з забезпечення безпеки інформації

Комплекс заходів з забезпечення безпеки інформації повинен розглядатися на трьох рівнях:



  • правовому;

  • організаційному;

  • технічному.

На правовому рівні забезпечення безпеки інформації повинні бути вироблені підходи щодо:

  • системи нормативно-правового забезпечення робіт з захисту інформації в АІС ДПС України;

  • підтримки керівництвом заходів з забезпечення безпеки інформації в АІС ДПС України, виконання правових вимог з захисту інформації, визначення відповідальності посадових осіб, організаційної структури, комплектування і розподілу обов'язків співробітників СЗІ;

  • процедур доведення до персоналу і користувачів АІС основних положень політики безпеки інформації, їхнього навчання і підвищення кваліфікації з питань безпеки інформації;

  • системи контролю за своєчасністю, ефективністю і повнотою реалізації в АІС рішень з захисту податкової інформації, дотриманням персоналом і користувачами положень політики безпеки.

На організаційному рівні забезпечення безпеки інформації повинні бути вироблені підходи щодо:

  • застосування режимних заходів на об’єктах АІС;

  • забезпечення фізичного захисту обладнання АІС, носіїв інформації, інших ресурсів;

  • ДПС України проведення обстеження середовищ функціонування АІС;

  • порядку виконання робіт з захисту інформації, взаємодії з цих питань з іншими суб’єктами системи ТЗІ в Україні;

  • виконання робіт з модернізації АІС (окремих компонентів);

  • регламентації доступу сторонніх користувачів до ресурсів АІС;

  • регламентації доступу власних користувачів і персоналу до ресурсів АІС;

  • здійснення профілактичних заходів (наприклад, попередження ненавмисних дій, що призводять до порушення політики безпеки, попередження появи вірусів та ін.);

  • реалізації окремих положень політики безпеки, найбільш критичних з точки зору забезпечення захисту аспектів (наприклад, організація віддаленого доступу до АІС, використання мереж передачі даних загального користування, зокрема Internet, використання несертифікованого ПЗ та ін.).

На технічному рівні забезпечення безпеки інформації повинні бути вироблені підходи щодо застосування технічних і програмно-технічних засобів, які реалізують задані вимоги з захисту інформації. Під час розгляду різних варіантів реалізації необхідно враховувати наступні аспекти:

  • інженерно-технічне обладнання виділених приміщень, в яких розміщуються компоненти АІС, експлуатація і супроводження засобів блокування технічних каналів витоку інформації;

  • реєстрація санкціонованих користувачів АІС, авторизація користувачів в системі;

  • керування доступом до інформації і механізмів, що реалізують послуги безпеки, включаючи вимоги до розподілу ролей користувачів і адміністраторів;

  • виявлення і реєстрація небезпечних подій з метою здійснення повсякденного контролю або проведення службових розслідувань;

  • перевірка і забезпечення цілісності критичних даних на всіх стадіях їхньої обробки в АІС;

  • забезпечення конфіденційності інформації, у тому числі використання криптографічних засобів;

  • резервне копіювання критичних даних, супроводження архівів даних і ПЗ;

  • відновлення роботи АІС після збоїв, відмов, особливо для систем із підвищеними вимогами до доступності інформації;

  • захист ПЗ, окремих компонентів і АІС в цілому від внесення несанкціонованих доповнень і змін;

  • забезпечення функціонування засобів контролю, у тому числі засобів виявлення технічних каналів витоку інформації.

Організація проведення відновлювальних робіт і забезпечення неперервного функціонування АІС

Повинні бути вироблені підходи щодо планування і порядку виконання відновлювальних робіт після збоїв, аварій, інших непередбачених ситуацій (надзвичайних ситуацій) з метою забезпечення неперервного функціонування АІС в захищеному режимі. Під час планування цих робіт необхідно враховувати наступні питання:



  • виявлення критичних з точки зору безпеки процесів у роботі АІС;

  • визначення можливого негативного впливу надзвичайних ситуацій на роботу АІС;

  • визначення й узгодження обов'язків персоналу і користувачів, а також порядку їхніх дій у надзвичайних ситуаціях;

  • підготовка персоналу і користувачів до роботи в надзвичайних ситуаціях.

План проведення відновлювальних робіт і забезпечення неперервного функціонування АІС повинен описувати дії щодо улагодження інциденту, дії щодо резервування, дії щодо відновлення. Він включає в себе:

  • опис типових надзвичайних ситуацій, які потенційно найбільш можливі в АІС внаслідок наявності вразливих місць, або які реально мали місце під час роботи;

  • опис процедур реагування на надзвичайні ситуації, які слід вжити відразу після виникнення інциденту, що може призвести до порушення політики безпеки;

  • опис процедур тимчасового переводу АІС або окремих її компонентів на аварійний режим роботи;

  • опис процедур поновлення нормальної виробничої діяльності АІС або окремих її компонентів;

  • порядок тестування плану, тобто проведення тренувань персоналу в умовах імітації надзвичайних ситуацій.

План проведення відновлювальних робіт і забезпечення неперервного функціонування АІС підлягає перегляду у разі виникнення істотних змін в АІС. Такими змінами можуть бути:

  • встановлення нового обладнання або модернізація існуючого, включення до складу АІС нових компонентів;

  • встановлення нових систем життєзабезпечення АІС (сигналізації, вентиляції, пожежогасіння, кондиціонування та ін.);

  • проведення будівельно-ремонтних робіт;

  • організаційні зміни у структурі АІС, виробничих процесах, процедурах обслуговування АІС;

  • зміни у технології обробки інформації;

  • зміни у програмному забезпеченні;

  • будь-які зміни у складі і функціях КСЗІ.

Найважливішу частину політики безпеки, яка регламентує доступ користувачів і процесів до ресурсів АІС, складають правила розмежування доступу (ПРД). ПРД - є певним абстрактним механізмом, який виступає посередником при будь-яких взаємодіях об’єктів АІС і є найбільш суттєвим елементом політики безпеки.

Як приклад, загальні ПРД можуть бути наступними (за припущення, що в АІС визначено такі ієрархічні ролі – адміністратор безпеки АІС, адміністратор мережі, користувач):

- відповідальність за працездатність робочого місця користувача та за дотримання всіх вимог і процедур, пов’язаних з обробкою інформації та її захистом, повинне бути покладено на користувача, при цьому, користувач повинен бути забезпечений відповідними інструкціями і навчений всім вимогам і процедурам;

- для попередження неавторизованого доступу до даних, ПЗ, інших ресурсів АІС, керування механізмами захисту здійснюється адміністратором безпеки АІС;

- для попередження поширення комп’ютерних вірусів відповідальність за дотримання правил використання ПЗ несуть: на АРМ – користувачі, адміністратор мережі, в АІС - адміністратор безпеки АІС. Використовуватись повинно тільки ПЗ, яке дозволено політикою безпеки (ліцензійне, яке має відповідні сертифікати, експертні висновки тощо);

- за всі зміни ПЗ, створення резервних і архівних копій несе відповідальність адміністратор безпеки АІС. Такі роботи виконуються за його дозволом;

- кожний користувач має свій унікальний ідентифікатор і пароль. Право видачі цих атрибутів надається адміністратору мережі. Атрибути для адміністраторів мережі надає адміністратор безпеки АІС. Видача атрибутів дозволяється тільки після документальної реєстрації особи як користувача. Користувачам забороняється спільне використання персональних атрибутів;

- користувачі проходять процедуру автентифікації для отримання доступу до ресурсів АІС;

- атрибути користувачів періодично змінюються, а невикористовувані і скомпрометовані – видаляються;

- процедури використання активного мережевого обладнання, а також окремих видів ПЗ, яке може суттєво впливати на безпеку (аналізатори трафіку, аналізатори безпеки мереж, засоби адміністрування та ін.), авторизовані і здійснюються під контролем адміністратора безпеки АІС;

- усі користувачі повинні знати “Інструкцію користувача” (пройти відповідний курс навчання, скласти іспит);

- адміністратор безпеки АІС і адміністратори мережі повсякденно здійснюють перевірку працездатності засобів захисту інформації, ведуть облік критичних з точки зору безпеки подій і готують звіти щодо цього.

Загальні ПРД мають бути конкретизовані на рівні вибору необхідних функціональних послуг захисту (профілю захищеності) та впровадження організаційних заходів захисту інформації.

Документальне оформлення політики безпеки

Результати робіт з розроблення політики безпеки оформлюються у вигляді окремих документів або розділів одного документа, в якому викладена політика безпеки інформації в АІС. Структурно до політики безпеки (документів, що її складають) повинні входити наступні розділи:



  • загальний, у якому визначається відношення керівництва органу ДПС України до проблеми безпеки інформації;

  • організаційний, у якому наводиться перелік підрозділів, робочих груп, посадових осіб, які відповідають за роботи у сфері захисту інформації, їхніх функції, викладаються підходи, що застосовуються до персоналу (опис посад з точки зору безпеки інформації, організація навчання та перепідго­товки персоналу, порядок реагування на порушення режиму безпеки та ін.);

  • класифікаційний, де визначаються матеріальні та інформаційні ресурси, які є у наявності в АІС, та необхідний рівень їхнього захисту;

  • розділ, у якому визначаються ПРД до інформації;

  • розділ, у якому визначається підхід щодо керування робочими станціями, серверами, мережевим обладнанням тощо;

  • розділ, у якому висвітлюються питання фізичного захисту;

  • розділ, у якому висвітлюються питання захисту інформації від витоку технічними каналами;

  • розділ, де викладено порядок розробки та супроводження системи, модернізації апаратного та програмного забезпечення;

  • розділ, який регламентує порядок проведення відновлювальних робіт і забезпечення неперервного функціонування АІС;

  • юридичний розділ, у якому приводиться підтвердження відповідності політики безпеки законодавству України.

5. Розробка методики оцінки ступеня захищеності АІС ДПС України
Після проведення робіт по підготовці необхідних документів для побудови КСЗІ в АІС, постає реальна необхідність оцінки рівня захищеності АІС від загроз НСД. Це питання дійсно є тим самим "слабким" місцем інформаційної безпеки, яке звичайно прагнуть уникати фахівці з безпеки. І дійсно оцінити захищеність інформаційної системи достатньо складно, але, як відомо, можливо. Для цього існують, в основному, якісні методи оцінки рівня захищеності, які на виході дозволяють одержати не кількісну оцінку ("система захищена на 4.2 бали або на 58%"), а якісну - система відповідає певному класу або рівню захищеності. Вживання якісних методів оцінки є на сьогоднішній день єдиним способом одержати уявлення про реальний рівень захищеності інформаційних ресурсів ДПС України.

До якісних методів оцінки захищеності АІС належать:



  • програмні методи оцінки;

  • методи експертних оцінки.

Методи експертних оцінок - це методи ДПС України роботи з фахівцями-експертами й обробки думок експертів, виражених у якісній формі з метою підготовки інформації для прийняття рішень.

Існує маса методів одержання експертних оцінок. В одних з кожним експертом працюють окремо, він навіть не знає, хто ще є експертом, а тому висловлює свою думку незалежно від авторитетів. В інших експертів збирають разом для підготовки матеріалів для прийняття рішень, при цьому експерти обговорюють проблему один з одним, вчаться друг у друга, і невірні думки відкидаються. В одних методах число експертів фіксоване і таке, щоб статистичні методи перевірки погодженості думок і потім їхнього усереднення дозволяли приймати обґрунтовані рішення. В інші - число експертів росте в процесі проведення експертизи, але в даний час не існує науково обґрунтованої класифікації методів експертних оцінок і тим більше - однозначних рекомендацій з їх застосування.

Однак застосування названих вище методів не дозволяє одержати на виході кількісну оцінку „система захищена на 4.2 бали або на 58 %”, що значно ускладнює процес подальшого прийняття рішень, у разі потреби, щодо доопрацювання КСЗІ.

У
найкращому вигляді було би мати методику одержання кількісних оцінок захищеності АІС. З цією метою проводилася НДР “Оцінка сучасного стану інформаційної безпеки АІС ДПС України і розробка методів та засобів її удосконалення” (БЕЗПЕКА), яка дозволяє в подальшому проводити роботи щодо розробки методики оцінки ступеня захищеності АІС за допомогою науково-методичного апарату, який базується на використанні методів дослідження операцій, аналізу ієрархій, векторної алгебри, експертного оцінювання і математичного моделювання (рис. 7).


Рис. 8 Оцінка ступеня захищеності АІС ДПС України


1   2   3   4   5   6   7   8   9


База даних захищена авторським правом ©lecture.in.ua 2016
звернутися до адміністрації

    Головна сторінка