Опубликован: 03.09.2003 | Доступ: свободный | Студентов: 8694 / 2417 | Оценка: 4.21 / 3.93 | Длительность: 20:03:00
ISBN: 978-5-9556-0053-6
Лекция 12:

Спецификация Internet-сообщества "Руководство по информационной безопасности предприятия"

Аннотация: Анализируются рекомендации по формированию политики безопасности организации, имеющей современную информационную систему и активно использующей сетевые сервисы.
Ключевые слова: Internet-сообщество, административный уровень ИБ, процедурный уровень ИБ, место, ПО, выход, Internet, политика безопасности, процедура безопасности, руководитель, системный администратор, связь, владелец ресурсов, размер ущерба, однопользовательский режим, файл паролей, вторжение, атака, злоумышленник, стоимость, ущерб, оценка рисков, профилактика, реакция, целый, инцидент, определение, локальная сеть, локальный хост, пользователь, исполнитель, вероятность, сетевой администратор, активный процесс, деятельность, анализ рисков, активы, информационные системы, административные привилегии, доступ, механизмы, регламентация доступа, права, программное обеспечение, сегменты, сеть, распределение прав, пароль, резервное копирование, группа, обнаружение нарушений, уязвимость, стратегия "защититься и продолжить", стратегия "выследить и осудить", Личность, информация, обратный, точка доступа, внутренний злоумышленник, угроза, здравый смысл, эшелонированная оборона, физическая защита, диск, сервер аутентификации Kerberos, физическая защищенность, обнаружение неавторизованного использования, инструментарий, системный мониторинг, root, Unix, безопасность, надежность, конфиденциальность, скрытность, права доступа, списки управления доступом, физическое ограничение доступа, криптографические средства, аутентификация источника данных, целостное состояние, полная корректность, целостность, контроль, ограничение сетевого доступа, имитовставка, интеллектуальная карта, управление паролями, генератор паролей, конфигурационное управление, системные программы, алгоритм, контроль защищенности, план восстановительных работ, шкала, анализ, документирование

Основные понятия

Мы приступаем к рассмотрению спецификаций Internet-сообщества, относящихся к административному и процедурному уровням информационной безопасности (см. курс "Основы информационной безопасности" [ 91 ] ). Центральное место среди них занимает "Руководство по информационной безопасности предприятия" ( [ 47 ] , [ 45 ] ), причем предшествующая (с формальной точки зрения - устаревшая) версия этой спецификации, [ 47 ] , представляется более информативной. В своем изложении мы опираемся на публикацию [ 29 ] .

Данное Руководство призвано помочь организациям, имеющим выход в Internet, сформировать политику безопасности и разработать соответствующие процедуры. В нем перечисляются вопросы и факторы, которые следует предварительно проанализировать, даются некоторые рекомендации, обсуждается ряд смежных тем. Руководство содержит лишь основные элементы, необходимые для выработки политики и процедур безопасности. Чтобы получить эффективный набор защитных средств, ответственным лицам придется принять немало решений, заключить многочисленные соглашения, и лишь после этого довести политику безопасности до сотрудников и приступить к ее реализации.

Руководство рассчитано на руководителей и системных администраторов. Основной акцент делается на политику и процедуры, необходимые для поддержки технических средств, выбранных организацией.

Слова "организация" и "предприятие" трактуются в нем как синонимы, обозначающие собственника компьютеров и иных сетевых ресурсов. В число последних входят хосты, на которых работают пользователи, а также маршрутизаторы, терминальные серверы, ПК и другие устройства, имеющие связь с Internet.

Организация может выступать в роли конечного пользователя сервисов Internet или поставщиком соответствующих услуг. Тем не менее, Руководство рассчитано в основном на конечных пользователей.

Предполагается, что организация способна создавать собственные политику и процедуры безопасности при согласии и поддержке реальных владельцев ресурсов.

Термин " системный администратор " относится к тем, кто отвечает за повседневную работу ресурсов. Администрирование может выполнять группа людей или независимая компания.

Понятие " руководитель " обозначает сотрудника организации, вырабатывающего или одобряющего политику безопасности. Часто (но не всегда) руководитель одновременно является собственником ресурсов.

Документ отвечает на вопросы о том, что входит в политику безопасности, какие процедуры необходимы для обеспечения безопасности, что нужно делать в ситуациях, угрожающих безопасности. При выработке политики следует помнить не только о защите локальной сети, но также о нуждах и требованиях других подсоединенных сетей.

Системные администраторы и руководители должны располагать сведениями о современных угрозах, связанных с ними рисках, размере возможного ущерба, а также о наборе доступных мер для предотвращения и отражения нападений.

Роман Попов
Роман Попов

После прохождения курса Стандарты инфрмационной безопасности мне предложено получение Удостоверения о повышении квалификации от НИУ ВШЭ по программе Менеджмент информационной безопасности. Программа включает в себя ряд курсов которые я уже ранее проходил. Какой порядок действий в данном случае? Как прозводится перезачет результатов? И какие экщамены мне надо еще доздать чтобы получить удостоверение?

Марина Марченкова
Марина Марченкова
Алексей Севрюк
Алексей Севрюк
Россия
Артем Хмелев
Артем Хмелев
Россия, 5