:::::: № 1 январь-февраль 2005 г. :::::: - Журнал «Защита информации. Инсайд»

		№1 январь-февраль 2005 г. Тема номера: ЭКОНОМИЧЕСКИ ОПРАВДАННАЯ БЕЗОПАСНОСТЬ
		ОЦЕНКА ЭФФЕКТИВНОСТИ И ЗРЕЛОСТИ ТЕХНОЛОГИЙ БЕЗОПАСНОСТИ С. А. Петренко, д. т. н., В. А. Курбатов

Как правило, руководители отечественных предприятий рассматривают проблему защиты конфиденциальной информации преимущественно с технической точки зрения. При этом решение названной проблемы связывается с приобретением и настройкой соответствующих технических средств защиты информации. Насколько современные аппаратно-программные средства защиты информации эффективны и достигли своей зрелости? Давайте посмотрим вместе.

Анализ рынка средств защиты информации

Современный рынок средств защиты конфиденциальной информации можно условно разделить на две группы:

средства защиты для госструктур, позволяющие выполнить требования нормативно-правовых документов (федеральных законов, указов Президента РФ, постановлений Правительства РФ), а также требования нормативно-технических документов (государственных стандартов, руководящих документов Гостехкомиссии (ФСТЭК) России, Министерства обороны РФ и Федеральной службы безопасности;
средства защиты для коммерческих компаний и структур, позволяющие выполнить рекомендации СТР-К Гостехкомиссии России, ГОСТ Р ИСО/МЭК 15408 под общим названием «Общие критерии оценки безопасности информационных технологий» (ОК) и ISO/IEC 17799:2002 (BS 7799-1:2000) «Управление информационной безопасностью – Информационные технологии. – Information technology – Information security management».

Например, для защиты конфиденциальной информации в органах исполнительной власти могут предъявляться следующие требования.

Выбор конкретного способа подключения к сети Интернет, в совокупности обеспечивающего межсетевое экранирование с целью управления доступом, фильтрации сетевых пакетов и трансляции сетевых адресов для скрытия структуры внутренней сети, проведение анализа защищенности интернет-узла, использование средств антивирусной защиты, централизованное управление, должен производиться на основании рекомендаций документа Гостехкомиссии РФ СТР-К.
АС организации должны обеспечивать защиту информации от НСД по классу «1Г» в соответствии с РД Гостехкомиссии РФ «РД. Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по защите информации».
Средства вычислительной техники и программные средства АС должны удовлетворять требованиям четвертого класса РД Гостехкомиссии России «РД. Средства вычислительной техники. Защита от НСД к информации. Показатели защищенности от НСД к информации».
Программно-аппаратные средства межсетевого экранирования, применяемые для изоляции корпоративной сети от сетей общего пользования, должны удовлетворять требованиям «РД. Средства вычислительной техники. Межсетевые экраны. Защита от НСД к информации. Показатели защищенности от НСД к информации» по третьему классу защиты.
Информационные системы должны удовлетворять требованиям ГОСТ ИСО/ МЭК 15408 по защищенности информационных систем в рамках заданных профилей защиты.
Программно-аппаратные средства криптографической защиты конфиденциальной информации, в том числе используемые для создания виртуальных защищенных сетей, VPN должны быть легитимны.
Обязательным является использование средств ЭЦП для подтверждения подлинности документов.
Для введения использования персональных цифровых сертификатов и поддержки инфраструктуры открытых ключей для использования средств ЭЦП и шифрования необходимо создать легитимный удостоверяющий центр (систему удостоверяющих центров).
Политика информационной безопасности должна предусматривать обязательное включение в технические задания на создание коммуникационных и информационных систем требований по информационной безопасности согласно требованиям функционального стандарта ГОСТ Р 51583-2000, описывающего этапность построения защищенных информационных систем.
Должен быть регламентирован порядок ввода в эксплуатацию новых информационных систем, их аттестации по требованиям информационной безопасности.

Для выполнения перечисленных требований и надлежащей защиты конфиденциальной информации в госструктурах, как правило, используются исключительно сертифицированные средства. Например, средства защиты от несанкционированного доступа (НСД), межсетевые экраны и средства построения VPN, средства защиты информации от утечки за счет ПЭМИН и пр. В частности, для защиты информации от несанкционированного доступа (НСД) используются аппаратно-программные средства семейства Secret Net («Информзащита»), семейства Dallas Lock («Конфидент»), семейства «Аккорд» (ОКБ САПР), электронные замки «Соболь» («Информзащита»), USB-токены («Аладдин») и пр. Для защиты информации, передаваемой по открытым каналам связи, применяются аппаратно-программные межсетевые экраны с функциями организации VPN, например, Firewall-1/VPN-1 (Check Point), «Застава» («Элвис+»), VipNet («Инфотекс»), «Континент» («Информзащита»), ФПСУ-IP («АМИКОН») и др.

Средства защиты информации для коммерческих структур более многообразны и включают в себя:

управление обновлениями программных компонентов АС;
межсетевоое экранирование;
построение VPN;
контроль доступа;
обнаружение вторжений и аномалий;
резервноое копирование и архивирование;
централизованное управление безопасностью;
предотвращение вторжений на уровне серверов;
аудит и мониторинг средств безопасности;
контроль деятельности сотрудников в сети Интернет;
анализ содержимого почтовых сообщений;
анализ защищенности информационных систем;
защиту от спама;
защиту от атак класса «Отказ в обслуживании»;
контроль целостности;
инфраструктуру открытых ключей;
усиленную аутентификацию и пр.

Дадим краткую характеристику перечисленным средствам защиты.

< ... >

Полную версию статьи смотрите на страницах журнала «Защита информации. Инсайд»

Обращайтесь!!!
e-mail: magazine@inside-zi.ru
тел.: +7 (921) 958-25-50, +7 (911) 921-68-24

Предыдущая статья СОДЕРЖАНИЕ НОМЕРА Следующая статья