hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

оценка зрелости действующих в организации практик обеспечения безопасности и подготов ка для высшего руководства и других заинтересованных сторон отчета «Состояние обеспече ния нормативно-правового соответствия» (State of Regulatory Compliance);

подготовка рекомендаций по внесению изменений в политику нормативно-правового со ответствия и по усовершенствованию операционной деятельности по обеспечению соот ветствия.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Аудит безопасности данных не заменяет управления безопасностью данных. Это вспомогатель ный процесс, в ходе которого оценивается, соответствует ли деятельность по управлению постав ленным целям.

3. ИНСТРУМЕНТЫ

Инструменты, используемые для управления, в значительной мере зависят от размера органи зации, сетевой архитектуры, а также политик и стандартов, применяемых ее подразделениями безопасности.

3.1 Антивирусное программное обеспечение

Антивирусные программы защищают компьютеры от вирусов, часто встречающихся в интер нете. Поскольку новые вирусы и другие вредоносные программы появляются ежедневно, важно следить за регулярным обновлением средств антивирусной защиты.

3.2 Протокол HTTPS

Если URL-адрес начинается с https://, это указывает на защиту обмена данными с веб-сайтом по средством шифрования. Обычно доступ к веб-сайтам защищен паролем или иными средства ми аутентификации пользователей. Доступ к онлайновым банковским и платежным системам, а также к конфиденциальной информации осуществляется только через соединения, защищен ные шифрованием. Поэтому необходимо учить пользователей обязательно проверять наличие префикса https:// перед URL-адресом, прежде чем совершать какие-либо чувствительные опера ции посредством интернета, да и в корпоративной сети тоже. Без шифрования посторонние лица в том же сегменте сети вполне могут прочитать любую передаваемую текстовую информацию.

3.3 Технологии управления идентификацией

Технологии управления идентификацией обеспечивают хранение реквизитов пользователей и их выдачу по запросам систем, например при попытке в них войти. Некоторые приложения ведут собственные репозитории реквизитов пользователей, однако самим пользователям намно го удобнее входить в систему единожды, после чего большинство приложений будет определять их права, обращаясь к централизованному репозиторию реквизитов. Имеются специальные

Безопасность данных

309

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

					hang		e
				C				E
			X
		-							d
		F								t
		D								i
										r
	P						NOW!			o
						BUY
					to
	w Click										m
w
		w								o
		.							.c
			p					g
				df			n		e
					-x cha

протоколы управления реквизитами пользователей, например LDAP (Lightweight Directory Access Protocol — облегченный протокол доступа к каталогам).

В некоторых компаниях используют принятую на уровне корпорации программу — мене джер паролей Password Safe, которая создает на каждом компьютере зашифрованный файл с па ролями. Каждому пользователю нужно помнить лишь одну длинную идентификационную фразу (pass-phrase) для того, чтобы войти в менеджер паролей, и они могут хранить все прочие пароли в зашифрованном файле на своем компьютере. Такую же роль могут выполнять системы иденти фикации, использующие технологию единого входа (single-sign-on).

3.4 Системы обнаружения и предотвращения вторжений

Инструменты, которые позволяют обнаруживать вторжения и оперативно отказывать в доступе, необходимы в тех случаях, когда злоумышленник всё-таки проник через сетевой экран или дру гие средства защиты.

Система обнаружения вторжений (IDS) незамедлительно уведомляет ответственных сотруд ников о любом выявленном случае несанкционированного доступа. Оптимальным является ре шение, при котором IDS дополняет система предотвращения вторжений (IPS), автоматически реагирующая как на известные атаки, так и на нелогичные сочетания команд, поступающих от пользователей. В связи с этим полезно анализировать типовые образцы команд и запросов дан ных в рамках организации. Знание характерных структур обращений к системам позволяет вы являть среди них необычные, то есть потенциально опасные, при обнаружении которых защита сможет отправлять предупреждения ответственным за информационную безопасность.

3.5 Межсетевые экраны

На входе во внутреннюю среду информационных систем предприятия должны устанавливаться сложные и безопасные межсетевые экраны (firewalls), способные осуществлять высокоскоростную передачу данных и одновременно проводить детализированный анализ сетевых пакетов. В случае веб-серверов, доступных в интернете, рекомендуется создавать более сложную структу ру защитного межсетевого экрана, поскольку множество злонамеренных хакерских атак маски руются под внешне легитимные обращения к северам баз данных, в то время как в реальности призваны нащупать уязвимости в их защите.

3.6 Отслеживание метаданных

Инструменты отслеживания метаданных позволяют организации осуществлять мониторинг перемещения чувствительных данных. Использование подобных средств, однако, чревато ри ском выявления внешними шпионскими программами внутренних данных организации по метаданным, связанным с документами. В целом же использование метаданных для идентифи кации чувствительной информации считается оптимальным способом обеспечения сохранно сти и надлежащей защиты данных. Подавляющий процент утерь и утечек чувствительной ин формации связан отнюдь не с наличием соответствующих метаданных, говорящих о степени ее

310	Г Л А В А 7