Особенности организации защиты информации различных грифов секретности. Обеспечение и поддержка обработки нескольких контуров информации. Варианты решения
Современный мир характеризуется высокой скоростью принятия управленческих решений, в том числе благодаря фантастическому развитию информационных технологий в последние десятилетия, что неизбежно оказывает влияние на государство и формирует у граждан и бизнеса определенные требования к исполнению государственных функций при оказании государственных и муниципальных услуг. Эта тенденция находит отражение в реформировании системы управления государства:
- концепция единого окна;
- безбумажное делопроизводство;
- системы межведомственного взаимодействия.
С архитектурной точки зрения такая ситуация приводит к более тесному взаимодействию информационных систем различной подчиненности и предъявляет дополнительные требования к построению систем информационной безопасности.
Одним из подходов к организации защиты информации, с которым знакомят будущих студентов профильных кафедр, который повторяют на курсах повышения квалификации и который отражен практически во всех методических документах контролирующих органов, является выделение контуров безопасности, внутри которых обрабатывается информация одного уровня конфиденциальности. Если выделить такие контуры невозможно, итоговая классификация подсистемы должна отвечать наиболее высоким требованиям к обеспечению безопасности, а система защиты информации полностью их выполнять. Эта методология обусловливает существенное повышение общей стоимости владения системой.
Указанный подход сформировался при организации работ по защите информации в прошлом веке и несомненно был эффективен в условиях обработки документов в досетевую эпоху, характерными особенностями которой были относительно низкие требования к скорости распространения информации и высокая стоимость изготовления копии. Информационные технологии реализовывались в основном организационными мерами при незначительном участии электронных средств обработки и передачи информации в процессе создания, использования и утилизации информации. С учетом этих особенностей введение поэкземплярного учета носителей, ограничение по использованию и распространению создавали приемлемые трудности при работе с защищаемой информацией.
Ситуация кардинальным образом изменилась с появлением цифровых средств обработки и передачи информации. Затраты на получение копии, как временные, так и финансовые, стали незначительными, а использование многозадачных систем с современными средствами связи и внешними носителями сделало процесс копирования информации практически незаметным для пользователя. Распространение информации стало необычайно удобным и быстрым. Особенности сетевых протоколов позволяют пользователям передавать информацию на большие географические расстояния без заметных усилий.
Сегодня оперативность взаимодействия и выработки управленческих решений критически важна для выживания любой организации и государства в целом. Для современной системы управления характерны короткие сроки принятия управленческих решений, что делает неизбежным использование различного рода мобильных решений для доступа к информации различных уровней секретности. Особенно это касается управленческих решений в государственном секторе, где ошибки и неоперативность могут породить значительные социальные и экономические последствия регионального или федерального масштаба.
При обсуждении проблем защиты информации встречается упоминание о драматическом воздействии внедрения таких подсистем на сам процесс принятия решений. Зачастую внедрение подсистем защиты оказывает тормозящее воздействие на процессы согласования и утверждения документов вследствие реализации верификационных процедур и мер, ограничивающих распространение информации, которая необходима для оперативного принятия решений. Классические методы, в том числе зафиксированные в руководящих документах контролирующих органов, требуют отказа от современных информационных технологий или существенно ограничивают их применение. Самое большое влияние испытывают облачные и мобильные сервисы, системы виртуализации, т. е. наиболее значимые для организации решения. Таким образом, традиционные подходы к организации обработки информации смешанных грифов секретности не отвечают современным требованиям.
Несмотря на то что основополагающие принципы построения защищенных информационных систем не поменялись, грамотная реализация системы защиты позволяет добиться минимального вмешательства в сложившиеся управленческие цепочки организации и принципы взаимодействия с подотчетными ведомствами. Здесь следует отметить достаточно четко проработанную методологическую базу по организации межведомственного взаимодействия со стороны контролирующих органов в области информационной безопасности.
Применение опыта реинжиниринга бизнес-процессов для органов государственного управления
Традиционный подход к защите информации предполагает выполнение следующих этапов:
- классификация информационных ресурсов – анализ и присвоение соответствующего грифа документам, содержащим информацию соответствующего класса;
- определение контуров безопасности – анализ ИТ-структуры организации и мест хранения информации вне информационной системы;
- классификация контуров безопасности – классификация полученных изолированных информационных подсистем в соответствии с максимальным классом обрабатываемой информации;
- организация информационного взаимодействия между изолированными контурами безопасности. Чаще всего применяется мандатный подход, т. е. информация более низкого класса доступна в контурах более высокого класса.
Очевидно, что подобный подход при его прямом применении противоречит требованиям оперативного управления, где своевременный доступ к информации обеспечивает более высокую эффективность принятия управленческих решений и сжатые сроки реагирования на обращения граждан.
Для разрешения этого конфликта в работы по созданию системы защиты информации необходимо включить элементы бизнес-реинжиниринга, которые позволяют, с одной стороны, решить проблему установления чрезмерно жестких рамок распространения информации, с другой – более эффективно определить места в управленческих процессах для безболезненного внедрения таких границ. Результатом выделения контуров безопасности должна быть их проекция, с учетом классов информации участвующих в подготовке документов или принятии решения, на сложившиеся в организации управленческие цепочки, зафиксированные в виде регламентов обработки информации и принятия решений.
Такой подход позволяет оценить влияние разрабатываемой системы защиты информации на сложившиеся процессы и минимизировать нарушения политики безопасности, связанные с обеспечением непрерывности процессов принятия решений. На текущем этапе использование технологий реинжиниринга дает возможность не только минимизировать число вовлеченных в обработку защищаемой информации работников, но и в какой-то мере оптимизировать управленческую структуру и временные характеристики реагирования организации на обращения граждан. Эти меры относятся к организационным методам защиты информации и позволяют снизить вероятность утечки критически важной информации в результате случайных ошибок персонала или целенаправленных действий внешних нарушителей, а также вероятность и величину возможных последствий применения методов социальной инженерии. Проработка данного этапа дает возможность создать качественную основу для полноценного введения режима защиты информации в соответствии с требованиями, предъявляемыми к государственным или муниципальным информационными системам (ГИС/МИС), и верифицировать локальные нормативно-правовые акты, касающиеся допуска к обработке информации и должностных инструкций работника.
Аппаратная защита
Аппаратно-программное обеспечение системы защиты информации позволяет решать задачи управления безопасностью с учетом не только расположения информационного ресурса в системе, но и анализа его содержимого, что позволяет предъявлять новые требования на уровне политики безопасности организации или органа исполнительной власти. К современным тенденциям в этой области относятся усиление контроля над распространением информации и программным обеспечением, а также повышенные требования по авторизации пользователей. Важным элементом при построении современных комплексных систем защиты информации являются решения по защите виртуальной инфраструктуры, которые благодаря плотной интеграции с программным обеспечением виртуализации позволяют, с одной стороны, обеспечить защиты инфраструктуры в соответствии с требованиями ФСТЭК по управлению трафиком, антивирусной защите, авторизации пользователей и администраторов, с другой – снизить технологические издержки до приемлемого уровня за счет применения программных продуктов разработанных с учетом применения в виртуальной среде. Таким образом, целостность контуров защиты внутри физического сервера обеспечивается путем управления доступом к виртуальным серверам. Этот класс решений позволяет значительно сократить эксплуатационные издержки при внедрении комплексных систем информационной безопасности.
Существенным фактором при эксплуатации информационных систем с контурами безопасности различного класса является проведение периодических мероприятий по проверке корректности защиты информационной системы. Современный инструментарий позволяет проверить не только наличие известных уязвимостей, но и доступность узлов и наличие несанкционированных подключений.
Еще один важный аспект деятельности отдела информационной безопасности организации при многоконтурной организации информационной системы – обнаружение и профилактика случайных утечек информации между контурами вследствие небрежности или неосведомленности сотрудников подразделений. При решении этой проблемы неоценимую помощь могут оказать системы предотвращения утечек информации. При правильной первоначальной настройке системы и грамотном сопровождении на основании анализа содержания информационных потоков в случае возникновения инцидента информационной безопасности возможно принятие автоматических и полуавтоматических решений, блокирующих утечку в кратчайшие сроки. Анализ содержания документа или информационного пакета позволяет выявлять утечки, в том числе частей документов, через такие каналы, как современные мессенджеры, текстовые сообщения skype, почтовые сервисы третьих компаний. При этом благодаря автоматическому анализу сообщения соблюдаются требования Конституции РФ о тайне переписки. Несмотря на относительно высокую сложность эксплуатации подобных систем, их флагманские версии доказали свою эффективность именно в многоконтурных ГИС и МИС, где информация после инцидента информационной безопасности все еще находится в среде, управляемой организацией.
Фрагментация политики безопасности
Технические решения для управления безопасностью как внутри контура, так и при информационном взаимодействии между контурами принципиально не отличаются от традиционных одноконтурных решений, и большинство рисков лежит в плоскости управления персоналом и создании непротиворечивой политики безопасности.
Процесс гармонизации политики безопасности и управленческих процессов организации обеспечивает возможность выполнения принятой политики безопасности на всех уровнях организации. По статистике, практически каждый второй инцидент информационной безопасности является результатом явного или скрытого конфликта принятой политики безопасности с обязанностями или информационными потребностями служащего. Выявление таких противоречий – обязанность сотрудников и руководителей службы информационной безопасности. Следует отметить, что подчиненность службы информационной безопасности руководителю ИТ-департамента или реализация функций защиты информации силами ИТ-подразделения является неудачной практикой, так как это нередко приводит к ослаблению защиты организации в случае конфликтов интересов.
Важным моментом при организации межведомственного взаимодействия является гармонизация политик и требований по безопасности между ведомствами. Довольно часто приходится сталкиваться с ситуацией, когда в двух ведомствах одна и та же информация классифицируется различными грифами, с различными требованиями к обеспечению информационной безопасности. Методические документы такой конфликт трактуют однозначно, требуя принятия мер в соответствии с максимальным классом защищенности. Однако подобный подход ведет к неэффективным расходам при внедрении системы защиты информации и определенным сложностям при защите проекта в вышестоящих ведомствах.
Одним из вызовов современного ИТ-мира является гармонизация требований к защите информации в государственном секторе в целом. Следует отметить, что для решения этой проблемы в последние годы сделано немало и ситуация значительно улучшилась, но к достижению идеала предстоит еще долгий путь.
