Отправляет email-рассылки с помощью сервиса Sendsay

Записки СисАдмина2

Подписаться Бесплатная «Серебряная» новостная рассылка . Подписчиков 2.903 RSS
←   Ноябрь 2012   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
23.11.2012
17:19:37
17:55:18
24
25
26
27
27.11.2012
14:18:21
20:03:42
28
29
30


За последние 60 дней ни разу не выходила


Открыта: 06-10-2003

Автор
prodma

Статистика

2.903 подписчиков
-1 за неделю
←   Все выпуски   →

Журнал "Системный администратор" Обеспечение защиты информации при создании и использовании с


Александр Колыбельников, продакт-менеджер по информационной безопасности компании «Микротест»

Обеспечение защиты информации
при создании и использовании систем управления корпоративным контентом

Важной задачей для бизнеса сегодня является обеспечение информационной безопасности при управлении корпоративным контентом. Большое значение компании придают функционалу средств защиты информации, а также тем требованиям, которые предъявляют регулирующие органы к этим решениям

Потребности бизнес-пользователей заставили ИТ-производителей всерьез рассматривать задачи управления неструктурированной информацией. Развитие технологий обеспечило полноценные возможности хранения промышленных объемов данных и удобные пользовательские интерфейсы.

И сегодня наконец можно с уверенностью утверждать, что бизнес-сообщество осознало роль и значимость эффективного управления контентом. Стало понятно, что за счет этого можно повысить продуктивность работы сотрудников и обеспечить соответствие требованиям государственных и отраслевых регулирующих органов.

Большие возможности

Весь рынок систем управления корпоративным контентом с точки зрения информационной безопасности можно разделить на две части.

Первая – интегрированные комплексные решения по управлению контентом, которые включают в себя модули информационной безопасности, вторая часть – решения по управлению корпоративным контентом, для которых используются наложенные средства обеспечения информационной безопасности.

Решения основных производителей – IBM, SAP, Oracle, EMC, Microsoft, HP – содержат, как правило, следующие интегрированные функции обеспечения информационной безопасности:

  1. Поддержка цифровой подписи электронных документов.
  2. Добавление меток времени в создаваемые файлы.
  3. Архивирование и распределенное хранение информации, а также резервирование основных аппаратных и программных средств.
  4. Применение криптографических алгоритмов для надежной защиты аутентификационной информации.
  5. Идентификация и аутентификация пользователей.
  6. Протоколирование действий пользователей и администраторов.

Часть решений, представленных на рынке имеет дополнительную функциональность по информационной безопасности:

  1. Анализ избыточности прав пользователей.
  2. Анализ качества создаваемых паролей.
  3. Применение криптографических алгоритмов для надежной защиты аутентификационных данных.
  4. Шифрование баз данных и их копий.
  5. Обеспечение защищенного удаленного доступа к системе, анализ и контроль поведения пользователей и администраторов.
  6. Прочее.

При внедрении подобных корпоративных систем следует помнить, что они будут постоянно изменяться – как структурно, так и количественно. И меры по обеспечению информационной безопасности должны соответствовать постоянно меняющейся конфигурации систем управления. Как минимум необходимо обеспечить непрерывность функционирования систем управления контентом, чтобы на их основе можно было построить непрерывные бизнес-процессы.

Вне зависимости от того, применяются или не применяются встроенные функции защиты информации, для обеспечения комплексной защиты понадобятся дополнительные средства информационной безопасности, такие как межсетевой экран, система предотвращения вторжений, антивирус, сканер уязвимостей.

Необходимо помнить, что владельцы ИТ-инфра-структуры концентрируют свое внимание на защите от внешних угроз, часто при этом игнорируя внутренние угрозы.

Нормативное регулирование

При проектировании систем управления корпоративным контентом необходимо осуществить классификацию информации, которая будет обрабатываться в системе, а также максимально четко определить структуру сети и жизненный цикл информации.

Как правило, в сетях крупной организации в обязательном порядке присутствует информация, содержащая тайну. В зависимости от характера деятельности компании это может быть коммерческая тайна, врачебная тайна, банковская тайна, персональные данные; иногда корпорации работают с данными, содержащими государственную тайну.

Кроме того, никогда нельзя сбрасывать со счетов вариант, что корпоративная система в будущем может быть причислена к категории ключевых систем информационной инфраструктуры страны. Конфигурация сети и системы информационной безопасности, а также состав применяемых решений по информационной безопасности будут меняться, исходя из классификации информации.

Одним из самых острых вопросов в части нормативного регулирования информационной безопасности остается новая редакция закона «Об электронной цифровой подписи» и разработка новых нормативных требований в рамках данного закона.

Сейчас рынок систем электронного документооборота и систем управления контентом находится в ожидании тех изменений, которые придется сделать разработчикам удостоверяющих центров.

После принятия новых требований к порядку формирования электронных цифровых подписей и порядку функционирования удостоверяющих центров потребуется произвести соответствующие изменения в корпоративных системах, использующих такие электронные цифровые подписи.

Специализированные средства обеспечения безопасности

Для систем управления корпоративным контентом следует также предусмотреть отдельный периметр безопасности и специализированную систему защиты.

Периметр создается с помощью классических решений и методологии по информационной безопасности – путем внедрения средств межсетевого экранирования, создания защищенных подключений по технологиям VPN, Remote Access VPN и SSL VPN и усиления процедур аутентификации (например, многофакторная аутентификация). В зависимости от требований, связанных с непрерывностью функционирования, в состав решения могут быть включены специализированные системы защиты от DDoS- атак, такие как Arbor Pravail APS.

При создании специализированной системы защиты следует уделить внимание не только разграничению прав доступа к приложению, базам данных и физической инфраструктуре системы, но и созданию дополнительного контура безопасности.

Для решения этих задач лучше всего подходят системы защиты прикладных систем, такие как Imperva и IBM Gardium. Они позволяют защитить приложения, базы данных, файловые серверы от атак, свойственных только этим элементам сетевой инфраструктуры. Данные решения также могут контролировать действия пользователей посредством метода поведенческого анализа и отслеживать движение критически важной информации в рамках защищаемых баз данных.

Подобные решения хорошо работают как со структурированной и классифицированной информацией, так и с неструктурированными данными. Кроме того, продукты Imperva содержат встроенные средства, которые позволяют облегчить администратору работу, связанную с классификацией защищаемой информации.

Если необходимо соблюсти требования стандарта безопасности платежей PCI DSS по защите данных платежа и данных владельца счета, решения Imperva позволяют выполнить часть из них. Но следует помнить, что наложенные средства окажутся не очень эффективными в случае, когда утечка информации из корпоративной сети произойдет путем внедрения вредоносного исходного кода в одно из приложений системы управления корпоративным контентом.

Для того чтобы своевременно обнаружить и ликвидировать такую угрозу, необходимо проводить аудит вновь созданного исходного кода силами сторонней организации или силами заказчика.

Это задача очень непростая, поскольку объем доработок в современных корпоративных системах достаточно высок, и найти в нем несколько десятков строк, которые позволят человеку со стороны подключиться к приложению и ознакомиться с информацией из базы данных, не так просто.

Для решения этой задачи аудиторы используют специализированные средства, которые содержат в себе множество вариантов реализации подобных процедур. И поиск в исходном коде «лазеек» происходит путем сравнения с базой данных. Ближайший аналог подобных систем – это антивирус.

Кроме того, не стоит пренебрегать внешним аудитом информационной безопасности в целом, поскольку изменения в корпоративной сети происходят постоянно. К сожалению, не все эти изменения происходят по инициативе владельца сети и с учетом его пожеланий.

Аудит информационной безопасности позволяет предоставить заказчику ряд измеримых показателей уровня безопасности сети. Результаты подобной аудиторской проверки по информационной безопасности могут служить основанием для принятия решения о развитии системы безопасности или ее модификации под задачи защиты от наиболее актуальных угроз.
В избранное