8.3. Защита конфиденциальных данных

Как же защищать конфиденци­альные данные, как сделать работу центров обработки безопасной?

Как и везде, в вопросах построе­ния систем информационной без­опасности необходим комплексный, взвешенный, многоуровневый под­ход, поскольку осечка в одном во­просе способна свести на нет усилия во всех остальных направлениях.

Для того чтобы понять основные направления, на которые следует об­ращать внимание, рассмотрим глав­ные черты, характеризующие систе­мы хранения и обработки данных:

• все основные массы информации накапливаются в структурирован­ных базах данных;

• все компьютерные ресурсы обыч­но находятся в выделенных, хоро­шо охраняемых серверных комна­тах (так называемых ЦОД - Цент­рах обработки данных);

• хранилища — это не просто мерт­вые склады информации, но и на­личие большого числа тесно свя­занных с ним прикладных и об­служивающих систем (например, программное обеспечение для ар­хивирования информации, управ­ления, системы обработки, систе­мы типа ETL (extraction, transfor­mation, loading), прикладные сис­темы, которые, собственно, и по­рождают исходные данные и т. д.);

• средний размер хранилища состав­ляет 1 Терабайт и выше, что дикту­ет серьезное отношение к сетевой инфраструктуре и системам хране­ния и обработки информации.

Если не рассматривать физиче­скую безопасность и организацион­ные меры (организация центров об­работки требует серьезного подхода), то одним из первых вопросов ока­жется организация надежной и без­опасной телекоммуникационной ин­фраструктуры, включающей в себя как защиту периметра, так и внут­реннюю безопасность.

Центры обработки должны быть максимально закрыты от попыток проникновения снаружи. Все внеш­ние соединения должны включать шифрование трафика (SSH, IPSec, SSL и т. д.), которое также желатель­но во внутренней сети управления (ее целесообразно выделить из сети общей передачи данных на физичес­ком уровне или с помощью VLAN). Из-за проблем с производительнос­тью шифрование на уровне ядра се­ти обычно не используется.

Разные сетевые протоколы и сете­вые взаимодействия требуют своих уровней защиты:

• защита транспортного уровня;

• организация VLAN, Port Security и т. д.;

• proxy-серверы на периметре, ана­лизирующие прикладной уровень взаимодействия;

• системы предотвращения вторже­ний (Intrusion Detection/Prevention) идр;

• уровень Fibre Channel: Fibre Chan­nel Authentication Protocol, Switch Link Authentication Protocol и т. д.;

• уровень SAN: Virtual SAN, марки­ровка LUN и др.

8.4. Проблема инсайдеров

В последнее время часто обсуж­дается проблема утечек информа­ции и рассматриваются решения по контролю телекоммуникационного периметра и внешних устройств на компьютерах в связи с термином «инсайдер».

В этой области есть зарубежные и отечественные решения по конт­ролю внешних устройств (типа USB, DVD-RW, Bluetooth). Такие продукты предлагают SecureWave (Sanctu­ary Device Control), Safend, Control Guard, SecurIT и другие компании. Есть большая группа средств сете­вого контроля и защиты перимет­ра от компаний (из отечественных компаний здесь наиболее заметна Info Watch).

Кстати, не следует забывать о не­обходимости тщательного контро­ля компьютеров пользователей: что за ПО на них установлено, нет ли брешей в безопасности, какие про­граммы разрешено запускать, какие процессы обязаны работать в систе­ме и т. д.

Но! Как это зачастую бывает, по­пытка сделать инфраструктуру мак­симально защищенной порождает перекосы в реализации комплексной системы безопасности. Часто за де­ревьями не видно леса.

Первое, что следует отметить: не существует стопроцентной защиты от утечек информации. Можно кон­тролировать корпоративную почту и порты компьютера, но злоумыш­ленник всегда найдет дополнитель­ные возможности для реализации своего замысла. Например, напеча­тать документ или просто сфотогра­фировать экран с дальнейшим пре­образованием к нужному электрон­ному формату путем программ распознавания текста. Кроме того, сле­дует помнить о трудностях, связан­ных с тем, как именно все это конт­ролировать (кто будет анализиро­вать, какие данные уполномоченный пользователь записал на USB-устройство?). Можно вспомнить и о мо­рально-психологической стороне во­проса: если компания уполномочила пользователя работать с данным до­кументом (следовательно, ему дове­ряют эту работу), то откуда возника­ет потребность в контроле его дей­ствий? В данном случае это означа­ет, что, наверное, в организации не­правильно выстроены сами основы безопасности - корпоративное уп­равление идентификацией, автори­зацией и доступом, а также защита баз данных.