Илья Медведовский

к.т.н.

эксперт по информационной безопасности

исполнительный директор

Digital Security (www.dsec.ru)

Программные средства проверки и создания политики безопасности, соответствующей требованиям международного стандарта управления информационной безопасностью ISO 17799.

Cobra и КОНДОР

1. Международный стандарт управления информационной безопасностью ISO 17799

1.1 Критерии оценки защищенности информационных систем.

Какой вопрос наиболее часто задают руководители высшего звена компании ИТ менеджерам и специалистам по информационной безопасности? Думаю, что это очевидно: «Насколько защищена наша информационная система?». Этот вопрос действительно является краеугольным камнем информационной безопасности и тем самым «тонким» местом, которое обычно стараются избегать секьюрити специалисты. И действительно оценить защищенность информационной системы достаточно сложно … но, как известно, можно. Для этого существуют, в основном, качественные методы оценки уровня защищенности, которые на выходе позволяют получить не количественную оценку («система защищена на 4.2 балла или на 58%»), а качественную – система соответствует определенному классу или уровню защищенности; тому или иному стандарту безопасности. Количественные методы оценки на практике не нашли своего применения. Применение качественных методов оценки является на сегодняшний день единственным способом получить представление о реальном уровне защищенности информационных ресурсов компании.

1.2 Критерии проведения аудита безопасности информационных систем

Перейдем к следующей части и вспомним, какой вопрос обычно является ключевым при проведении аудита безопасности. Обычно, это вопрос о стандарте безопасности, проверку на соответствие которому будет выполнять аудитор. В России обычной практикой при проведении аудита является выполнение данных работ без привязки к какому либо критерию или стандарту – аудитор ограничивается оценкой текущего уровня защищенности и выработке рекомендаций по его повышению в соответствии со своей экспертной оценкой и своим пониманием об уровнях и критериях защиты. И, в общем, это нормальная практика, когда компания доверяет выбранному эксперту или группе экспертов, но проводить аудит, основываясь только на собственной экспертной оценке, не учитывая мировой опыт и существующие стандарты безопасности, на сегодняшний день практически недопустимо.

1.3 Международный стандарт безопасности информационных систем ISO 17799

Несколько лет назад Британский институт стандартов (BSI) при участии коммерческих организаций, таких как Shell, National Westminster Bank, Midland Bank, Unilever, British Telecommunications, Marks & Spencer, Logica и др., занялся разработкой стандарта информационной безопасности. И в 1995 г. был принят национальный стандарт BS 7799 управления информационной безопасностью организации вне зависимости от сферы деятельности компании. Служба безопасности, IT-отдел, руководство компании начинают работать согласно общему регламенту. Неважно, идет речь о защите бумажного документооборота или электронных данных. Британский стандарт BS 7799 поддерживается в 27 странах мира, в числе которых страны Британского Содружества, а также, например, Швеция и Нидерланды. В 2000 г. международный институт стандартов ISO на базе британского BS 7799 разработал и выпустил международный стандарт менеджмента безопасности ISO/IEC 17799. Поэтому сегодня можно утверждать, что BS 7799 и ISO 17799 это один и тот же стандарт, имеющий на сегодняшний день мировое признание и статус международного стандарта ISO.

Ниже приведены основные разделы стандарта ISO 17799:

Политика безопасности
Организационные меры по обеспечению безопасности

Управление форумами по информационной безопасности
Координация вопросов, связанных с информационной безопасностью
Распределение ответственности за обеспечение безопасности

Классификация и управление ресурсами

Инвентаризация ресурсов
Классификация ресурсов

Безопасность персонала

Безопасность при выборе и работе с персоналом
Тренинги персонала по вопросам безопасности
Реагирование на секьюрити инциденты и неисправности

Физическая безопасность
Управление коммуникациями и процессами

Рабочие процедуры и ответственность
Системное планирование
Защита от злонамеренного программного обеспечения (вирусов, троянских коней)
Управление внутренними ресурсами
Управление сетями
Безопасность носителей данных
Передача информации и программного обеспечения

Контроль доступа

Бизнес требования для контроля доступа
Управление доступом пользователя
Ответственность пользователей
Контроль и управление удаленного (сетевого) доступа
Контроль доступа в операционную систему
Контроль и управление доступом к приложениям
Мониторинг доступа и использования систем
Мобильные пользователи

Разработка и техническая поддержка вычислительных систем

Требования по безопасности систем
Безопасность приложений
Криптография
Безопасность системных файлов
Безопасность процессов разработки и поддержки

Управление непрерывностью бизнеса

Процесс управления непрерывного ведения бизнеса
Непрерывность бизнеса и анализ воздействий
Создание и внедрение плана непрерывного ведения бизнеса
Тестирование, обеспечение и переоценка плана непрерывного ведения бизнеса

Соответствие системы основным требованиям

Соответствие требованиям законодательства
Анализ соответствия политики безопасности
Анализ соответствия техническим требованиям
Анализ соответствия требованиям системного аудита

1.4 ISO 17799 в России и странах СНГ

В последние несколько лет ISO 17799 начал уверенно продвигаться по странам СНГ. В Молдове благодаря позиции Национального Банка все банки уже более года проходят регулярную проверку на соответствие ISO 17799. В ближайшее время в Молдове ISO 17799 получит статус государственного стандарта.

В Украине также существуют планы принятия данного стандарта в качестве государственного – эту позицию озвучил выступавший в 2002 году в Киеве на одном из семинаров Digital Security представитель Службы Безопасности Украины.

В России стандарт ISO 17799 пока не имеет статус государственного стандарта. Однако в последнее время ситуация меняется: Государственная Техническая Комиссия при Президенте РФ уже отказалась от использования собственных стандартов защищенности автоматизированных систем и принимает ГОСТ 15408 (ISO 15408). Ожидается, что подобная ситуация в ближайшие годы в России произойдет и с ISO 17799 и нам следует ожидать появления ГОСТ 17799.

1.5 Преимущества, получаемые компанией после прохождения сертификации по ISO 17799

Какие преимущества получает компания, которая провела аудит безопасности своих информационных ресурсов и получила сертификат соответствия системы управления информационной безопасности по стандарту ISO 17799?

Прежде всего, это «неформальные» преимущества: после проведения аудита информационная система компании становится «прозрачнее» для менеджмента, выявляются основные угрозы безопасности для бизнес - процессов, вырабатываются рекомендации по повышению текущего уровня защищенности для защиты от обнаруженных угроз и недостатков в системе безопасности и управления. В результате компании предлагается комплексный план внесения изменений в систему управления информационной безопасностью, как для повышения реального уровня защищенности, так и для непосредственного соответствия стандарту.

Сертификация на соответствие стандарту ISO 17799 (BS 7799) позволяет наглядно показать деловым партнерам, инвесторам и клиентам, что в компании налажено эффективное управление информационной безопасностью. В свою очередь это обеспечивает компании конкурентное преимущество, демонстрируя способность управлять информационными рисками.

Кроме того, говоря о сертификации по ISO 17799, стоит принять во внимание согласованную с ВТО процедуру принятия России в данную организацию. Эта процедура потребует адекватной реакции от наиболее значимых в экономике России структур и адаптации стратегии развития в области информационных технологий с учетом международных стандартов безопасности, таких как ISO 17799.

1.6 Практика прохождения аудита и получения сертификата ISO 17799

Для получения сертификата соответствия ISO 17799 компания должна пройти аудит информационной безопасности, провести подготовку информационной системы на соответствие стандарту, внедрить изменения и провести окончательную проверку соответствия стандарту. Данную работу целесообразно разбить на несколько этапов.

Предварительный этап заключается в проведении аудита и, на его основании, подготовки необходимых изменений системы управления информационной безопасностью. Его может выполнить специализированная секьюрити компания, имеющая опыт в проведение подобных работ. Затем, после подготовки комплекта необходимых документов и внесения изменений в систему, необходимо провести итоговую проверку соответствия ISO 17799, для чего требуется участие специалистов одной из консалтинговых компаний, которые владеют эксклюзивным правом выдачи данного сертификата и имеют аккредитацию при UKAS (United Kingdom Accreditation Service, http://www.ukas.com ) - уполномоченном государственном органе Великобритании. Также, отметим, что в настоящее время официальная сертификация возможно только по BS 7799 (до выхода 2-ой части ISO 17799 – требования к аудиторам, которая намечена на 2004 год). Однако между ISO и UKAS существует соглашение, согласно которому после принятия второй часто ISO 17799 все сертификаты BS 7799 автоматически получают статус ISO 17799.

1.7 Программные средства создания и проверки политики безопасности на соответствие требованиям ISO 17799

Для решения задачи создания и проверки политики информационной безопасности компании применяются следующие программные комплексы: британская Cobra (компания C & A Systems Security Ltd, http://www.riskworld.net) и российский КОНДОР (компания Digital Security, www.dsec.ru). Рассмотрим далее данные методы и построенные на их базе программные системы.

2. Cobra (http://www.riskworld.net )

Британская Кобра от компании ПC & A Systems Security Ltd представляет собой продукт, позволяющий аудитору провести проверку соответствия информационной системы требованиям ISO 17799. Кобра, как и любой продукт данного класса, представляет собой экспертную систему, задача которой, опросив ИТ-менеджера сделать вывод о соответствии системы ISO 17799.

На первом этапе пользователь выбирает раздел стандарта, на вопросы которого ему предстоит отвечать.

Далее, ответив на все вопросы по каждому разделу,

можно, предварительно настроив параметры отчета,

посмотреть отчет системы и оценить степень соответствия существующей политики безопасности стандарту

Стоимость продукта составляет 895 долл. и 1995 долл. за систему с модулем анализа рисков базового уровня.

К недостаткам Кобры можно отнести:

[if !supportLists]- [endif]устаревший, не слишком удобный для пользователя интерфейс (несмотря, на то что, данный продукт является в этой области одним из наиболее известных на западе, его разработчики по каким-то причинам не занимаются модернизацией его пользовательского интерфейса)

[if !supportLists]- [endif]отсутствие возможности установки пользователем веса на каждое требование

[if !supportLists]- [endif]отсутствие системы на русском языке

[if !supportLists]- [endif]возникают проблемы с генерацией отчета под Win98; возможна нестабильная работа при работе с отчетом под Win2000

Ознакомиться с демо-версией Cobra и получить пароль для ее активации можно по адресу:

http://www.riskworld.net

3. КОНДОР+ (http://www.dsec.ru/soft/kondor.php )

Российская компания Digital Security разработала программный продукт КОНДОР+, позволяющий специалистам (ИТ-менеджерам, офицерам безопасности) проверить политику информационной безопасности компании на соответствие требованиям ISO 17799.

Разработанный программный комплекс КОНДОР+ включает в себя более двухсот вопросов, ответив на которые, специалист получает подробный отчет о состоянии существующей политики безопасности, а так же модуль оценки уровня рисков соответствия требованиям ISO 17799.

После регистрации

пользователь получает возможность, выбрать соответствующий раздел стандарта ISO 17799 и ответить на вопросы.

В отчете отражаются все положения политики безопасности, которые соответствуют стандарту и все, которые не соответствуют,

а также существующий уровень риска невыполнения требований политики безопасности в соответствии со стандартом.

К наиболее важным элементам политики безопасности даются комментарии и рекомендации экспертов.

По желанию специалиста, работающего с программой, может быть выбрана генерация отчета, например, по какому-то одному или нескольким разделам стандарта ISO 17799, общий подробный отчет с комментариями, общий отчет о состоянии политики безопасности без комментариев для представления руководству и другие. Все варианты отчетов для большей наглядности сопровождаются диаграммами.

Кроме того, КОНДОР+ дает возможность специалисту отслеживать вносимые на основе выданных рекомендаций изменения в политику безопасности, постепенно приводя ее в полное соответствие с требованиями стандарта, а также иметь возможность представлять отчеты руководству, свидетельствующие о целесообразности и обоснованности инвестиций в обеспечение безопасности информационной системы компании.

Стоимость продукта составляет 225 долл. (КОНДОР) и 345 долл. (КОНДОР+ с модулем анализа рисков базового уровня).

К недостаткам КОНДОР+ можно отнести:

[if !supportLists]- [endif]отсутствие возможности установки пользователем веса на каждое требование (запланировано в следующих версиях)

[if !supportLists]- [endif]отсутствие возможности внесения пользователем комментариев (запланировано в следующих версиях)

Ознакомиться с демо-версией КОНДОР+ можно по адресу: http://www.dsec.ru/soft/kondor.php

Статью "17.04.2004. Программные средства создания и проверки политики безопасности" Вы можете обсудить на форуме.