На главную страницу
О журнале План выхода Подписка Интернет-Магазин Реклама Контакты и реквизиты English На главную страницу Карта сайта Поиск по сайту Обратная связь

перейти к Содержанию номера

№1 январь-февраль 2005 г.
Тема номера: ЭКОНОМИЧЕСКИ ОПРАВДАННАЯ БЕЗОПАСНОСТЬ


ОЦЕНКА ЭФФЕКТИВНОСТИ И ЗРЕЛОСТИ ТЕХНОЛОГИЙ БЕЗОПАСНОСТИ

С. А. Петренко, д. т. н., В. А. Курбатов


Предыдущая статьяСледующая статья

Как правило, руководители отечественных предприятий рассматривают проблему защиты конфиденциальной информации преимущественно с технической точки зрения. При этом решение названной проблемы связывается с приобретением и настройкой соответствующих технических средств защиты информации. Насколько современные аппаратно-программные средства защиты информации эффективны и достигли своей зрелости? Давайте посмотрим вместе.

Анализ рынка средств защиты информации

Современный рынок средств защиты конфиденциальной информации можно условно разделить на две группы:

  • средства защиты для госструктур, позволяющие выполнить требования нормативно-правовых документов (федеральных законов, указов Президента РФ, постановлений Правительства РФ), а также требования нормативно-технических документов (государственных стандартов, руководящих документов Гостехкомиссии (ФСТЭК) России, Министерства обороны РФ и Федеральной службы безопасности;
  • средства защиты для коммерческих компаний и структур, позволяющие выполнить рекомендации СТР-К Гостехкомиссии России, ГОСТ Р ИСО/МЭК 15408 под общим названием «Общие критерии оценки безопасности информационных технологий» (ОК) и ISO/IEC 17799:2002 (BS 7799-1:2000) «Управление информационной безопасностью – Информационные технологии. – Information technology – Information security management».

Например, для защиты конфиденциальной информации в органах исполнительной власти могут предъявляться следующие требования.

  1. Выбор конкретного способа подключения к сети Интернет, в совокупности обеспечивающего межсетевое экранирование с целью управления доступом, фильтрации сетевых пакетов и трансляции сетевых адресов для скрытия структуры внутренней сети, проведение анализа защищенности интернет-узла, использование средств антивирусной защиты, централизованное управление, должен производиться на основании рекомендаций документа Гостехкомиссии РФ СТР-К.
  2. АС организации должны обеспечивать защиту информации от НСД по классу «1Г» в соответствии с РД Гостехкомиссии РФ «РД. Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по защите информации».
  3. Средства вычислительной техники и программные средства АС должны удовлетворять требованиям четвертого класса РД Гостехкомиссии России «РД. Средства вычислительной техники. Защита от НСД к информации. Показатели защищенности от НСД к информации».
  4. Программно-аппаратные средства межсетевого экранирования, применяемые для изоляции корпоративной сети от сетей общего пользования, должны удовлетворять требованиям «РД. Средства вычислительной техники. Межсетевые экраны. Защита от НСД к информации. Показатели защищенности от НСД к информации» по третьему классу защиты.
  5. Информационные системы должны удовлетворять требованиям ГОСТ ИСО/ МЭК 15408 по защищенности информационных систем в рамках заданных профилей защиты.
  6. Программно-аппаратные средства криптографической защиты конфиденциальной информации, в том числе используемые для создания виртуальных защищенных сетей, VPN должны быть легитимны.
  7. Обязательным является использование средств ЭЦП для подтверждения подлинности документов.
  8. Для введения использования персональных цифровых сертификатов и поддержки инфраструктуры открытых ключей для использования средств ЭЦП и шифрования необходимо создать легитимный удостоверяющий центр (систему удостоверяющих центров).
  9. Политика информационной безопасности должна предусматривать обязательное включение в технические задания на создание коммуникационных и информационных систем требований по информационной безопасности согласно требованиям функционального стандарта ГОСТ Р 51583-2000, описывающего этапность построения защищенных информационных систем.
  10. Должен быть регламентирован порядок ввода в эксплуатацию новых информационных систем, их аттестации по требованиям информационной безопасности.

Для выполнения перечисленных требований и надлежащей защиты конфиденциальной информации в госструктурах, как правило, используются исключительно сертифицированные средства. Например, средства защиты от несанкционированного доступа (НСД), межсетевые экраны и средства построения VPN, средства защиты информации от утечки за счет ПЭМИН и пр. В частности, для защиты информации от несанкционированного доступа (НСД) используются аппаратно-программные средства семейства Secret Net («Информзащита»), семейства Dallas Lock («Конфидент»), семейства «Аккорд» (ОКБ САПР), электронные замки «Соболь» («Информзащита»), USB-токены («Аладдин») и пр. Для защиты информации, передаваемой по открытым каналам связи, применяются аппаратно-программные межсетевые экраны с функциями организации VPN, например, Firewall-1/VPN-1 (Check Point), «Застава» («Элвис+»), VipNet («Инфотекс»), «Континент» («Информзащита»), ФПСУ-IP («АМИКОН») и др.

Средства защиты информации для коммерческих структур более многообразны и включают в себя:

  • управление обновлениями программных компонентов АС;
  • межсетевоое экранирование;
  • построение VPN;
  • контроль доступа;
  • обнаружение вторжений и аномалий;
  • резервноое копирование и архивирование;
  • централизованное управление безопасностью;
  • предотвращение вторжений на уровне серверов;
  • аудит и мониторинг средств безопасности;
  • контроль деятельности сотрудников в сети Интернет;
  • анализ содержимого почтовых сообщений;
  • анализ защищенности информационных систем;
  • защиту от спама;
  • защиту от атак класса «Отказ в обслуживании»;
  • контроль целостности;
  • инфраструктуру открытых ключей;
  • усиленную аутентификацию и пр.

Дадим краткую характеристику перечисленным средствам защиты.

< ... >


 

Полную версию статьи смотрите на страницах журнала «Защита информации. Инсайд»


Обращайтесь!!!
e-mail:    magazine@inside-zi.ru
тел.:        +7 (921) 958-25-50, +7 (911) 921-68-24


Предыдущая статья    СОДЕРЖАНИЕ НОМЕРА    Следующая статья

 

| Начало | О журнале | План выхода | Подписка | Интернет-магазин | Реклама | Координаты |

Copyright © 2004-2013 «Защита информации. Инсайд». Все права защищены
webmaster@inside-zi.ru

Rambler's Top100