Архитектура безопасности информационных систем

Большинство компаний уважительно относятся к теме информационной безопасности. Это выражается в действиях, направленных на защиту корпоративных данных, в мониторинге состояния информационной системы, в исследовании данных по безопасности и так далее. Однако есть два минуса, которые чаще всего встречаются — отсутствие структурности подхода и проблемы с планированием перспективы в этой сфере. Эти проблемы решаются, и ответом служит архитектура безопасности информационных систем. О ней и поговорим в статье Falcongaze.

Что такое архитектура безопасности информационных систем?

Архитектура безопасности информационных систем (ИС) представляет собой совокупность принципов, методов и средств, направленных на обеспечение защиты информации и поддержание целостности, конфиденциальности и доступности данных. В условиях нарастающих угроз кибербезопасности, а также с увеличением объемов и ценности обрабатываемой информации, становится критически важным создание надежных и эффективных систем защиты.

Архитектура безопасности ИС — это структурированное решение. Сюда входит комплекс мер, включая административные, технические и организационные меры для обеспечения информационной безопасности.

Информационная безопасность (ИБ) — это состояние защищенности информационных ресурсов от несанкционированного доступа, использования, раскрытия, нарушения целостности или уничтожения.

Политики безопасности — это установленный заранее набор правил и процедур, регулирующих обращение с конфиденциальной информацией предприятия.

Технические меры — это средства защиты информации, такие как шифрование, межсетевые экраны, системы обнаружения вторжений и другие, которые обеспечивают безопасность информации за счет технического исполнения.

Организационные меры — это совокупность административных и управленческих процедур организации, направленных на обеспечение информационной безопасности.

Принципы архитектуры безопасности информационных систем

Принципы архитектуры безопасности ИС — это совокупность устоявшихся норм внедрения инструментов информационной безопасности, реализуемых внутри структуры предприятия. Они необходимы для обеспечения всех качественных показателей информационной безопасности, а также для защиты от различных угроз и уязвимостей. К основным принципам относятся:

1. Обеспечение полноты защиты данных и показателей целостности, доступности и конфиденциальности информации.
2. Выявление и управление рисками, связанными с ИС, для снижения числа инцидентов безопасности и минимизации потенциального воздействия на бизнес.
3. Соответствие регуляторным нормам в отрасли информационной безопасности, что предотвращает штрафы и юридические последствия для компании.
4. Готовность управления инцидентами безопасности, что позволяет быстро реагировать на угрозы и минимизировать ущерб.
5. Эффективное управление и оптимизация ресурсов ИС для максимизации полезного использования и управления затратами.
6. Поддержка инновационных инструментов обеспечения безопасности, что позволяет внедрять новые технологии и решения для ИС.
7. Минимизация прав доступа для выполнения профессиональных задач (принцип отказа от привилегий).
8. Разделение ролей и обязанностей сотрудников для предотвращения конфликта интересов и злоупотребления привилегиями.
9. Защита в глубину — многоуровневая защита информационных ресурсов, включающая несколько независимых мер безопасности.
10. Аудит и мониторинг событий безопасности для выявления и предотвращения инцидентов.

Внедрение и соблюдение принципов архитектуры безопасности ИС является критически важным для защиты данных и систем, управления рисками, соблюдения нормативных требований и поддержания доверия пользователей и клиентов.

Методы построения правильной архитектуры безопасности ИС

Обеспечение правильной архитектуры безопасности информационных систем происходит за счет комплекса мероприятий:

• Анализ рисков, оценка возможных угроз и уязвимостей для предприятия, определение вероятности их наступления и потенциального ущерба.
• Классификация данных через определение уровня их чувствительности и применение соответствующих мер защиты к каждому типу данных.
• Разработка и внедрение политик безопасности — задокументированных правил и процедур, регулирующих все аспекты ИБ.
• Многоуровневая защита на разных уровнях системы безопасности.
• Регулярное обновление и тестирование систем безопасности, поддержание актуальности средств защиты и их эффективности.

Методы защиты от несанкционированного доступа

Угрозы конфиденциальности информации в первую очередь формируются из угроз несанкционированного доступа. Поэтому методы построения архитектуры безопасности ИС во многом опираются на методы защиты от несанкционированного доступа. К ним относятся:

• организационные (в том числе административные);
• технологические (или инженерно-технические);
• правовые;
• финансовые;
• морально-этические (или социально-психологические) методы.

Организационные методы

К первой категории относятся меры и мероприятия, регулируемые внутренними инструкциями организации, эксплуатирующей информационную систему. Примером такой защиты является присвоение грифа секретности документам и материалам, хранящимся в отдельном помещении, и контроль доступа к ним сотрудников.

Для эффективного исполнения защиты информации с помощью организационных методов необходимо выполнение следующих условий:

• Единство действий через согласованное решение производственных, коммерческих, финансовых и режимных вопросов.
• Координированность мер безопасности между всеми подразделениями.
• Научная оценка существующей системы безопасности. Классификация информации и объектов и разработка мер до начала работ по безопасности.
• Персональная ответственность информированных сотрудников, включая материальную и личную ответственность руководителей и исполнителей за сохранность конфиденциальной информации о методах защиты.
• Интеграция в документальные договоры, фиксирование ответственности за разглашение в отношениях с сотрудниками, партнерами, клиентами. Включение обязанностей по соблюдению требований в коллективные договоры, контракты и трудовые соглашения.
• Организация делопроизводства внутри контура безопасности предприятия. Введение специального порядка хранения и маркировки конфиденциальных документов.
• Составление списка уполномоченных лиц, имеющих право классифицировать конфиденциальную информацию.
• Ограничение доступа и минимизация числа лиц, допускаемых к защищаемой информации.
• Единый стандарт доступа для всех участников системы. Установление единого порядка доступа и оформления пропусков.
• Обеспечение сохранности информации во всех внутренних процессах: при проектировании и размещении специальных помещений, разработке, испытаниях, производстве и рекламе продукции, а также в ходе использования технических средств.
• Взаимодействие с госорганами и контролирующими деятельность предприятия регуляторами.
• Обеспечение охраны предприятия, пропускного и внутриобъектового режимов безопасности.
• Планирование и систематический контроль мер по защите информации.
• Обучение сотрудников предприятия. Создание системы обучения правилам сохранности информации.

Технологические методы

Вторая категория включает механизмы защиты, реализуемые на базе программно-аппаратных средств, такие как системы идентификации и аутентификации или охранная сигнализация.

Утечки информации приводят к нарушению конфиденциальности и несанкционированному доступу к файлам. Именно защита информации направлена на предотвращение неконтролируемого распространения защищаемых данных.

Согласно ГОСТ Р 50922–96, утечка информации может происходить через:

• Разглашение.
• Несанкционированный доступ.
• Разведывательные операции.

Каналы утечки включают источник информации, носитель или среду передачи и средства выделения информации. Их классифицируют по физическим принципам:

• Акустические (звуковые волны).
• Электромагнитные (магнитные и электрические поля).
• Визуально-оптические (наблюдение, фотографирование).
• Материально-вещественные (бумажные, фото, магнитные носители).
• Информационные (доступ к системам и носителям).

Для предотвращения утечек важно учитывать все элементы системы: оборудование, устройства, линии связи, системы электропитания и заземления, а также вспомогательные средства (телефоны, факсы, сигнализация и пр.).

Каналы утечки могут быть внутренними, связанными с действиями администрации и персонала, такими как кража носителей, использование отходов, визуальный съем и несанкционированное копирование.

Оценка опасности утечки включает исследования оборудования и проверку рабочих помещений, которые выполняются лицензированными организациями.

Правовые методы

Третья категория охватывает меры контроля за исполнением нормативных актов государственного значения, а также механизмы разработки и совершенствования нормативной базы, регулирующей вопросы защиты информации.

Финансовые методы

Финансовые методы защиты предполагают введение специальных доплат за работу с защищаемой информацией, а также систему вычетов и штрафов за нарушение режимных требований, оговоренных заранее и закрепленных в контрактных отношениях между компанией и сотрудниками, партнерами, клиентами.

Морально-этические методы

Морально-этические методы не являются обязательными, но достаточно эффективны при борьбе с внутренними нарушителями.

На практике методы обычно комбинируют элементы из нескольких категорий. Например, управление доступом в помещения может включать как организационные (выдача допусков и ключей), так и технологические меры.

Основные аспекты построения систем защиты от угрозы нарушения конфиденциальности

Защита конфиденциальности информации предполагает использование различных методов и средств для предотвращения несанкционированного доступа к данным.

Шифрование данных и криптография

Основным из методов защиты данных является шифрование – использование криптографических средств для защиты в процессе передачи и хранения информации.

При создании защищенных систем роль криптографических методов для решения задач информационной безопасности трудно переоценить. Криптографические методы являются основой для надежной аутентификации сторон, защиты информации в транспортной подсистеме, подтверждения целостности данных и т. д.

Основные направления и цели использования криптографических методов включают:

• Передачу конфиденциальной информации по каналам связи (например, электронной почте).
• Обеспечение достоверности и целостности информации.
• Установление подлинности передаваемых сообщений.
• Хранение информации в зашифрованном виде.
• Выработку информации для идентификации и аутентификации пользователей и устройств.
• Защиту аутентифицирующих элементов системы.

Аутентификация и авторизация

Аутентификация и авторизация – проверка подлинности пользователей и предоставление им доступа только к тем ресурсам, к которым они имеют разрешение.

Выделяют три группы методов аутентификации:

1. Основанные на наличии у пользователя индивидуального объекта заданного типа.
2. Основанные на индивидуальных биометрических характеристиках.
3. Основанные на знании информации, известной только пользователю и проверяющей стороне.

Система контроля и управления доступом (СКУД)

Система контроля и управления доступом (СКУД) – это комплекс программных и аппаратных средств, предназначенных для ограничения и регистрации прохода или въезда людей и автотранспорта на объект.

Применение СКУД на предприятии позволяет:

• Контролировать доступ персонала и транспорта на территорию.
• Автоматически ограничивать доступ в определенных ситуациях.
• Создавать базы данных на каждого сотрудника или посетителя.
• Следить за процессом прохождения контрольных точек.
• Учитывать рабочее время сотрудников.

Принципы работы СКУД

В процессе работы СКУД осуществляет:

• Контроль и регистрацию прохождения сотрудников в указанное время или в зоны с ограниченным доступом.
• Составление отчетов для контроля рабочего времени.
• Сравнение фото из базы данных с изображениями с видеокамер.
• Отображение зон и показателей в реальном времени на ПК.
• Автоматический учет рабочего времени.
• Фотографирование сотрудников и посетителей и сохранение фото в картотеке.

Системы предотвращения утечек данных (DLP)

Системы предотвращения утечек данных (DLP) — технологии и процессы, направленные на предотвращение утечки конфиденциальной информации из внутреннего контура безопасности.

Внедрение DLP-системы позволяет организациям идентифицировать, контролировать и защищать конфиденциальные данные через различные каналы, такие как электронная почта, облачное хранилище и устройства. DLP также обеспечивает соблюдение нормативных требований в области информационной безопасности и хранения персональных данных.

Решения DLP предотвращают внутренние угрозы, контролируя действия сотрудников и обнаруживая подозрительное поведение. Такой проактивный подход помогает быстро реагировать на инциденты безопасности, минимизируя ущерб.

Дополнительно системы DLP повышают прозрачность управления данными, предоставляя информацию об их использовании и передаче внутри организации.

Пример: Falcongaze SecureTower — система DLP, которая отслеживает, контролирует и защищает данные по всем каналам связи, предотвращая утечки и обеспечивая соответствие требованиям безопасности.

Защита от угроз нарушения целостности информации и отказа доступа

Целостность информации и отказ доступа — критические аспекты архитектуры безопасности информационных систем.

Угроза целостности информации

Целостность данных находится под угрозой на всех этапах их жизненного цикла:

• во время хранения;
• в процессе обработки;
• при передаче.

Обеспечение целостности информации при хранении

Электронные носители — основной способ хранения данных, требующий особых мер защиты. Меры делятся на организационные и технологические.

Организационные меры

• Создание резервных копий данных.
• Обеспечение правильных условий хранения и эксплуатации носителей.

Создание резервных копий

Создание резервных копий должно быть регулярной процедурой. Частота резервирования зависит от важности данных. Применяются как стандартные утилиты, так и специализированные системы. Метод разностного архивирования позволяет сохранять только измененные данные.

Условия хранения и эксплуатации

Носители должны регистрироваться, иметь метки с номером и датой регистрации. Запрещено использовать личные и непроверенные носители. Проводятся проверки наличия и целостности носителей.

Технологические меры

Контроль целостности обеспечивается с помощью контрольных кодов и криптографических методов. Циклические коды защищают от случайных ошибок, а имитозащита — от целенаправленных атак.

Обеспечение целостности информации при обработке

Изменение данных допускается только аутентифицированными пользователями с минимально необходимыми правами. Важно вести аудит событий и регулярно сверять данные с реальным состоянием.

Обеспечение целостности информации при передаче

Для защиты целостности и подлинности при передаче применяются криптографические методы. Контроль целостности потока сообщений предотвращает повтор, задержку или потерю данных.

Защита от дезинформации

Меры против дезинформации включают проверку источников, использование дублирующих каналов и исключение избыточных промежуточных звеньев.

Угроза отказа функционирования информационной системы

Отказ доступа к информации может быть вызван атаками, ошибками ПО или сбоями оборудования. Надежность системы определяется её способностью выполнять функции в заданных условиях.

Политики и модели безопасности

Политики безопасности определяют подход к защите данных, включая конфиденциальность, управление доступом и управление рисками.

Модели безопасности формализуют эти политики и помогают реализовать их в системах.

Основные модели безопасности

• Модель Белла-ЛаПадулы — обеспечивает конфиденциальность (нельзя читать вверх, нельзя записывать вниз).
• Модель Биба — обеспечивает целостность (нельзя читать вниз, нельзя записывать вверх).
• Модель Кларка-Вилсона — поддерживает целостность через доброкачественные операции и разделение обязанностей.

Международные стандарты ИБ

• ISO/IEC 27001 — создание и поддержка системы управления ИБ.
• ISO/IEC 27002 — руководство по мерам управления ИБ.
• NIST Cybersecurity Framework — стандарты США для построения систем защиты.
• Common Criteria — международная сертификация IT-продуктов по уровню безопасности.

Выводы

Архитектура безопасности информационных систем — это комплекс политических, технических и организационных мер, направленных на защиту конфиденциальности, целостности и доступности данных. Для эффективной работы системы необходимо проводить анализ рисков, внедрять современные методы защиты, соблюдать международные стандарты и регулярно контролировать состояние безопасности.