3. Програма реалізації політики безпеки

Після того, як сформульована політика безпеки, можна приступати до складання програми її реалізації і власне до реалізації.

Щоб зрозуміти і реалізувати будь-яку програму, її потрібно структурувати за рівнями відповідно до структури організації. В простому і найпоширенішому випадку достатньо двох рівнів – верхнього, або центрального, який охоплює всю організацію, і нижнього, або службового, який стосується окремих послуг або груп однорідних сервісів.

Програму верхнього рівня очолює особа, яка відповідає за інформаційну безпеку організації. Головні цілі цієї програми такі:

• управління ризиками (оцінювання ризиків, вибір ефективних засобів захисту);

• координація діяльності у галузі інформаційної безпеки, поповнення і розподіл ресурсів;

• стратегічне планування;

• контроль діяльності в галузі інформаційної безпеки.

В рамках програми верхнього рівня ухвалюються стратегічні рішення із забезпечення безпеки, оцінюються технологічні новинки. Інформаційні технології розвиваються дуже швидко, і необхідно мати чітку політику відстеження і впровадження нових засобів.

Контроль діяльності в галузі безпеки має двосторонню спрямованість. По-перше, необхідно гарантувати, що дії організації не суперечать законам. При цьому слід підтримувати контакти із зовнішніми контролюючими організаціями. По-друге, потрібно постійно відстежувати стан безпеки всередині організації, реагувати на випадки порушень і доопрацьовувати захисні заходи з урахуванням зміни обстановки.

Слід підкреслити, що програма верхнього рівня повинна займати строго певне місце в діяльності організації, вона повинна офіційно прийматися і підтримуватися керівництвом, а також мати певний штат і бюджет.

Мета програми нижнього рівня – забезпечити надійний і економічний захист конкретного сервісу або групи однорідних сервісів. На цьому рівні вирішується, які слід використовувати механізми захисту, які купувати і встановлювати технічні засоби; виконується повсякденне адміністрування; відстежується стан слабких місць і т.п. Звичайно за програму нижнього рівня відповідають адміністратори сервісів.

4. Синхронізація програми безпеки з життєвим циклом систем

Якщо синхронізувати програму безпеки нижнього рівня з життєвим циклом сервісу, що захищається, можна досягти більшого ефекту з меншими витратами. Додати нову можливість вже готовій системі на порядок складніше, ніж спочатку спроектувати і реалізувати її. Те ж саме справедливо і для інформаційної безпеки.

У життєвому циклі інформаційного сервісу виділяються такі етапи та дії, що виконуються з позиції програми безпеки.

Ініціація.На даному етапі виявляється необхідність у придбанні нового сервісу, документується його передбачуване призначення.

З погляду інформаційної безпеки найважливішою дією тут є оцінювання критичності як самого сервісу, так і інформації, яка з його допомогою оброблятиметься.

Потрібно сформулювати відповіді на такі питання:

• яка інформація призначається для обслуговування новим сервісом?

• які можливі наслідки порушення конфіденційності, цілісності і доступності цієї інформації?

• до яких загроз сервіс та інформація будуть найуразливішими?

• чи є які-небудь особливості нового сервісу (наприклад, територіальна розподіленість компонентів), що вимагають використання спеціальних процедурних заходів?

• які вимоги висуваються до персоналу, що має відношення до безпеки (кваліфікація, благонадійність)?

• які законодавчим положенням і внутрішнім правилам повинен відповідати новий сервіс?

Результати оцінювання критичності є відправним моментом у складанні специфікацій. Крім того, вони визначають ту міру уваги, яку служба безпеки організації повинна приділяти новому сервісу на подальших етапах його життєвого циклу.

Закупівля.На даному етапі складаються специфікації, опрацьовуються варіанти придбання, виконується власне закупівля.

Тут необхідно остаточно сформулювати вимоги до захисних засобів нового сервісу, до компанії, яка може претендувати на роль постачальника, і до кваліфікації, якою повинен володіти персонал, що використовує або обслуговує продукт, що купується. Всі ці відомості оформляються у вигляді специфікації, куди входять не тільки апаратура і програми, але і документація, обслуговування, навчання персоналу. Підкреслимо також, що нерідко засоби безпеки є необов'язковими компонентами комерційних продуктів, і потрібно прослідкувати, щоб відповідні пункти не випали із специфікації.

Встановлення.Сервіс встановлюється, конфігурується, тестується і вводиться в експлуатацію.

Коли продукт куплений, його необхідно встановити. По-перше, новий продукт слід конфігурувати. Як правило, комерційні продукти поставляються з відключеними засобами безпеки; їх необхідно включити і належним чином налаштувати. Для великої організації, де багато користувачів і даних, початкове налаштування може стати вельми трудомісткою і відповідальною справою.

По-друге, новий сервіс потребує процедурних регуляторів. Слід потурбуватися про чистоту і охорону приміщення, про документи, що регламентують використання сервісу, про підготовку планів на випадок екстрених ситуацій, про організацію навчання користувачів тощо.

Після здійснення перерахованих заходів необхідно провести тестування. Його повнота і комплексність можуть служити гарантією безпеки експлуатації в штатному режимі.

Експлуатація.На даномуетапісервіс не тільки працює та адмініструється, але і піддається модифікаціям.

Період експлуатації – найтриваліший та складний. З психологічної точки зору найбільшою небезпекою в цей час є незначні зміни в конфігурації сервісу, в поведінці користувачів і адміністраторів. Якщо безпеку не підтримувати, вона слабшає. Користувачі не так відповідально виконують посадові інструкції, адміністратори менш ретельно аналізують реєстраційну інформацію. То один, то інший користувач одержує додаткові привілеї. Здається, що по суті нічого не змінилося, але, насправді, від минулої безпеки не залишилося й сліду. Для боротьби з ефектом повільних змін доводиться вдаватися до періодичних перевірок безпеки сервісу. Зрозуміло, що після значних модифікацій подібні перевірки є обов'язковими.

Виведення з експлуатації.Відбувається перехід на новий сервіс.

При виведенні з експлуатації зачіпаються апаратно-програмні компоненти сервісу та оброблювані ними дані. Апаратура продається, утилізується або викидається. Тільки в окремих випадках необхідно піклуватися про фізичне руйнування апаратних компонентів, що зберігають конфіденційну інформацію. При виведенні даних з експлуатації їх звичайно переносять на іншу систему, архівують, викидають або знищують. Якщо архівація проводиться з наміром згодом прочитати дані у іншому місці, слід поклопотатися про апаратно-програмну сумісність засобів читання і запису. Інформаційні технології розвиваються дуже швидко, і через декілька років пристроїв, здатних прочитати старий носій, можна просто не знайти.

Якщо дані архівуються в зашифрованому вигляді, необхідно зберегти ключ і засоби розшифрування. При архівації і зберіганні архівної інформації не можна забувати про підтримку конфіденційності даних.