28 июня 2014 г. был принят Федеральный закон № 172-ФЗ «О стратегическом планировании в Российской Федерации», описывающий общий подход к координации работы исполнительной власти на всех уровнях, от федерального до местного. Ранее указом Президента № 537 «О Стратегии национальной безопасности Российской Федерации до 2020 года» определялась долгосрочная стратегия безопасности РФ, а также вводилось понятие ситуационного центра как одного из инструментов стратегического планирования.
Указанные документы и множество других предпосылок подводят нас к тому, что в обозримом будущем в России будет создаваться сеть распределенных ситуационных центров. При этом детального понимания, что такое система ситуационных центров, как и с какими данными будет эта система и ее составные части работать, ни у кого пока нет. Да, существуют рекомендации ФСО, различные перечни данных, необходимых для обработки тем или иным ведомствам, есть даже отдельные ведомственные ситуационные центры, в том числе распределенные, но в целом задача настолько уникальна и масштабна, что готового решения для нее просто не существует.
Например, ситуационный центр МЧС, в сферу ответственности которого входит решение огромного количества разнообразнейших задач, т. е. любые чрезвычайные ситуации или факторы, способные к ним привести. Теперь предположим: в какой-то области случилось происшествие, повлекшее за собой исчезновение запасов продовольствия. Пополнить запасы может МЧС, но для этого нужно знать, где запасы еды достаточны. Кем должна собираться такая информация − региональными или центральным ситуационными центрами МЧС? В каком виде?
Есть ли сейчас у МЧС информация, как сегодня работают различные сети ситуационных центров? Публичной информации почти нет. Но легко предположить, что пока различные ведомства только учатся пользоваться новым инструментом и взаимодействовать друг с другом на принципиально новом уровне, системы ситуационных центров будут довольно часто и существенно изменяться и расширяться. Соответственно связи между различными сетями еще некоторое время будут возникать и видоизменяться.
В таких нестабильных условиях придумать универсальные прикладные механизмы защиты чрезвычайно тяжело, но некоторые особенно болезненные точки, частные случаи очевидны уже сейчас. И для них можно придумать защиту уже сегодня. Рассмотрим некоторые из них.
Ситуационные центры созданы для предоставления данных в нужных разрезах и для передачи данных. Таким образом, в первую очередь при обеспечении информационной безопасности ситуационных центров нужно заботиться о безопасности данных.
Кроме традиционных для отрасли ИБ задач именно в случае с распределенными сетями ситуационных центров появляется еще несколько интересных прикладных задач. Необходимо быть уверенным, что, во-первых, в систему попали настоящие данные, во-вторых, при любой обработке данных из системы или конкретного аналитического разреза не пропали данные или их часть, в-третьих, при хранении либо передаче данные не видоизменялись. Кроме того, нужно всегда иметь возможность узнать: откуда и какие данные в систему попали; о факте изменения данных и определить его источник; кто и когда читал данные, особенно ту их часть, которая еще не превратилась в приказы по муниципалитету, министерству и т. д.
Дополнительные сложности вносят еще два фактора:
- как известно, данные могут передаваться между различными сетями ситуационных центров. В этом случае отслеживать историю доступа и изменения данных через границы ситуационных центров крайне трудно;
- все инфраструктуры всех ситуационных центров поддерживают ИТ-специалисты, которые могут получить доступ к данным в обход пользовательского интерфейса ПО. Применительно к ситуационным центрам игнорировать этот вектор угроз нельзя.
Таким образом, при решении задач обеспечения информационной безопасности распределенной сети ситуационных центров в классическом трио «конфиденциальность, целостность, доступность» фокус смещается с привычной в корпоративном мире конфиденциальности данных на не очень знакомую тему их целостности.
Существуют проверенные механизмы обеспечения целостности информации при передаче, например шифрование. Кроме того, уже давно стали привычными требования обязательной аутентификации всех субъектов доступа, как людей, так и систем. С распространением стандарта ISO/ГОСТ 27001 постепенно становится привычным отказ от сокрытия учетных записей пользователей, осуществляющих доступ к данным через front-end, под единой системной учетной записью, обращающейся к данным в БД. Активно вышли на рынок коммерческие системы контроля привилегированных учетных записей. Однако есть две проблемы:
- огромные размеры поддерживаемых систем. Как следствие, колоссальные массивы сопутствующей технической информации, которую необходимо хранить в системе для соответствия требованиям ИБ;
- в силу специфики систем импортозамещение в них оправдано. Но раньше подобных требований к отечественным ИТ- и ИБ-продуктам никто не предъявлял – в России просто нет готовых и стабильно работающих продуктов, способных решать подобные задачи, да еще и в системах такого размера.
Для решения задачи контроля доступа к данным нужно фактически создать мини-версию самих распределенных ситуационных центров, следящих исключительно за данными, местами их хранения и доступом к данным или хранилищам. Это можно сделать с помощью систем класса GRC – Governance, Risk Management and Compliance System, которые сейчас только приходят на российский рынок. Да и целостными такие системы пока назвать нельзя: они умеют работать с ограниченным количеством прикладных источников данных и образовывать сеть только с себе подобными.
Для обеспечения защиты системы ситуационных центров необходимо создать систему ИБ, решающую следующие задачи:
- сбор, хранение и консолидация информации о создании учетных записей и об изменении их прав доступа;
- сбор, хранение и консолидация информации о создании мест хранения информации и каналов передачи информации;
- категоризация и хранение каталога классов информации, фактически матрицы доступов;
- сбор записей журналов регистрации о доступе к информации, в том числе через системную инфраструктуру;
- корреляция всех этих данных в единую картину жизненного цикла информации.
Если получившаяся система сможет работать так, как задумано, то либо она сама, либо системы, необходимые для ее функционирования, решат большинство прикладных задач обеспечения безопасности данных.
Система обеспечения ИБ должна работать в большей степени автоматически, в частности, помечать информацию в прикладной системе как «недостаточно надежную» и создавать задачи о ручном расследовании инцидентов, связанных с необъяснимой (с программной точки зрения) модификацией прикладной информации.
Очевидно, что для комфортной работы в такой среде у служб ИТ и ИБ должно быть несколько дополнительных инструментов:
- одобренная и используемая архитектура разработки узлов прикладной системы, запрещающая сокрытие пользовательского доступа к данным под системной учетной записью СУБД;
- система, сопоставляющая пользовательский доступ к СУБД с реальной учетной записью пользователя во front-end (при невозможности выполнения п. 1);
- система контроля привилегированных учетных записей;
- система управления жизненным циклом учетных записей – IDM;
- подробная ролевая модель и заранее продуманная матрица доступов;
- подробная сервисная модель, описывающая работу всего комплекса систем, в первую очередь прикладных.
При создании всех этих систем ИБ особенно важно не забывать, что сами ситуационные центры объединены в сложноподчиненные сети, как ведомственные, так и по уровням управления. Это означает, что передача информации между узлами по определению является нормальным условием работы ситуационных центров. То есть необходимо либо наладить обмен информацией между системами ИБ различных систем центров, либо создать единую структуру, обеспечивающую работу ИТ- и ИБ-инфраструктур ситуационных центров. Оба варианта довольно сложны в реализации.
Обеспечение информационной безопасности распределенных сетей ситуационных центров требует создания еще одной распределенной сети ситуационных центров, следящих только за безопасностью основных систем. И как часто бывает, все составные части этой большой задачи вроде бы известны, но как их скомпоновать и заставить работать эффективно – пока неизвестно.
В любом случае, информационные технологии достаточно быстро вступают в эру больших данных, и ситуационные центры – яркий пример задачи, решаемой с помощью концепции Big Data. Так что создание выделенной сети распределенных центров обеспечения ИТ-безопасности поможет ИТ- и ИБ-специалистам лучше подготовиться к созданию и поддержке прикладных сетей ситуационных центров.
А если за время построения сети центров обеспечения информационной безопасности удастся создать отечественные аналоги западных систем и провести первые внедрения именно для ИТ-специалистов, которые способны давать содержательную обратную связь разработчикам, результат внедрения системы обеспечения ИБ ситуационных центров может быть позитивным.
