Войти
Информационная безопасность, иногда сокращенно до infosec, - это практика защиты информации путем снижения информационных рисков. Это часть управления информационными рисками. Обычно это включает предотвращение или использование по крайней мере, снижение вероятности несанкционированного доступа к данным или незаконного раскрытия информации, нарушения, удаления, повреждения, модификации, проверки, записи или обесценивания информации. Сюда также входят действия, нанесенные уменьшением последствий таких инцидентов. Может принимать любую форму, например электронные или физические, материальные (например, документы) или нематериальные (например, знания, знания). Используется безопасная информационная безопасность. В основном это достигается за счет структурированного процесса управления рисками, который включает:
Для стандартизации этой дисциплины ученые и профессионалы совместно выполняют рекомендации, политики и отраслевые стандарты в отношении паролей, антивирусного программного обеспечения, брандмауэра, программного обеспечения для шифрования, юридической ответственности, осведомленности о безопасности и обучения и так далее. Эта стандартизация может стимулировать широким спектром и законодательных актов, их обработка, хранение, передача и уничтожение. Однако внедрение любых стандартов и руководств внутри внутреннего улучшения.
Атрибуты внешней информационной безопасности : или качество, то есть Конфиденциальность, Целостность и Доступность (ЦРУ). Информационные системы состоят из трех основных частей: аппаратное обеспечение, программное обеспечение и средства связи с целью помочь определить и применить отраслевые стандарты информационной безопасности в качестве механизмов защиты на трех уровнях или уровнях: физический, личный и организационный. По сути, процедуры или политики реализуются, чтобы сообщить администраторам, пользователям и операторам, как использовать продукты информационной безопасности в организациях. Ниже представлены сведения о конфиденциальности информации, обобщенные из разных источников:
В основе информационной безопасности лежит обеспечение информации, обеспечение конфиденциальности и доступности (CIA) информации, гарантирующий, что информация не будет скомпрометирована каким-либо образом Эти проблемы включают в себя, помимо прочего, стихийные бедствия, неисправность компьютера / сервера и физическое воровство., и теперь гарантией информации обычно занимаются специалисты по информацио нной безопасности (ИТ). Эти специалисты применяют информационную безопасность к технологиям (чаще всего к компьютерным системам). Стоит отметить, что компьютер не обязательно означает домашний рабочий стол. Компьютер - это любое устройство с процессором и некоторой памятью. Такие устройства могут быть от несетевых автономных устройств, таких как калькуляторы, до сетевых мобильных вычислительных устройств, таких как смартфоны и планшетные компьютеры. Специалисты по ИТ-безопасности почти всегда можно найти на любом крупном предприятии / учреждении из-за характера и значений для крупных предприятий. Они несут ответственность за защиту всей технологии внутри компании от злонамеренных кибератак, которые часто пытаются получить конфиденциальную информацию или получить контроль над внутренними системами.
В последние годы области информационной безопасности значительно выросла и эволюционировала. Он предлагает множество возможностей для специализации, включая защиту сетей и систем безопасности инфраструктуры, защиту приложений и данных баз, тестирование безопасности, информационных систем. аудит, планирование непрерывности бизнеса, обнаружение электронных записей и цифровая криминалистика. Специалисты по информационной безопасности очень стабильны в работе. По состоянию на 2013 год более 80 процентов ежегодно с 2014 по 2019 год, прогнозируется, что число профессионалов будет постоянно расти более чем на 11 процентов ежегодно с 2014 по 2019 год.
Информационная безопасность угрозы бывают разные форм. Некоторые из наиболее распространенных угроз сегодня - это методы на программное обеспечение, кража интеллектуальной собственности, кража личных данных, кража оборудования или информации, саботаж и вымогательство информации. Большинство людей подвергалось тому или иному виду программных атак. Вирусы, черви, фишинговые атаки и троянские кони - вот несколько распространенных примеров программных атак. Кража интеллектуальной собственности также является серьезной проблемой для многих предприятий в области информационных технологий (ИТ). Кража личных данных - это попытка действовать как кто-то еще, чтобы получить личную информацию этого человека, или воспользоваться их доступом к жизненно информации с помощью социальной инженерии. Кража или информации сегодня становится более распространенным явлением из-за того, что большинство устройств сегодня мобильны, склонны к краже и становятся гораздо более распространенными по мере увеличения объема данных. Саботаж обычно заключается в уничтожении веб-сайта организации в попытке вызвать потерю доверия со стороны ее клиентов. Вымогательство информации представляет собой кражу собственности или информации компании в качестве попытки получить платеж в обмен на возвращение информации или собственности ее владельцу, как в случае программы-вымогателя. Одна из наиболее функциональных мер предосторожности - это период информирования пользователей. Угроза номер один для любого - это пользователи или внутренние сотрудники, их также называют внутренними угрозами.
Правительство, военные, корпорации, финансовые учреждения, больницы, некоммерческие организации и частные предприятия накапливают большой объем конфиденциальной информации о своих сотрудниках, клиентах, продуктах, исследованиях и финансовом состоянии. Конфиденциальная информация о клиентах или финансах компании или о новой линейке продуктов попадет в руки конкурента или хакера в черной шляпе, компания и ее клиенты понести масштабные непоправимые финансовые потери, а также ущерб. репутации компании. С точки зрения бизнеса, информационная безопасность должна быть сбалансирована с затратами; Модель Гордона-Леба обеспечивает математический экономический подход для решения этой проблемы.
Для индивидуума информационная безопасность оказывает значительное влияние на конфиденциальность, что очень по-разному в разных культурах.
Возможные ответы на угрозу безопасности или риск :
С первых дней общения дипломаты и военачальники понимали, что необходимо предусмотреть какой- то механизм для защиты переписки и получить некоторые средства обнаружения вмешательство. Юлию Цезарю приписывают изобретение шифра Цезаря c. 50 г. до н.э., который был создан для того, чтобы его секретные сообщения не были прочитаны, если сообщениеет в чужие руки. Однако по большей части защита достигнута за счет применения процедуры контроля обработки. Конфиденциальная информация была помечена, чтобы указать, что она должна быть защищена и транспортирована доверенными лицами, охраняться и храниться в безопасной среде или сейфе. По мере расширения почтовых услуг создавались официальные организации для перехвата, расшифровки, чтения и запечатывания писем (например, Секретный офис Великобритании, основанный в 1653 году).
В середине девятнадцатого века были разработаны более сложные системы классификации, позволяющие правительству управлять своей информацией в соответствии со степенью секретности. Например, британское правительство до некоторой степени кодифицировало это с публикацией Закона о государственной тайне в 1889 году. Раздел 1 закона касается нарушения закона шпионажа и нарушения закона. Вскоре была добавлена защита общественных интересов для защиты интересов в интересах государства. Аналогичный закон принят в Индии в 1889 году - «Закон о государственной тайне Индии», который был связан с британской колониальной эпохой и использовался для подавления газет, выступавших против политики Раджа. В 1923 году была принята новая версия, распространялась на все вопросы конфиденциальной или секретной информации для управления.
Ко времени Первой мировой войны для использовались многоуровневые классификации системы связи. информация, поступающая и поступающая с различных фронтов, что использует более широкое использование секций создания и взлома кода в дипломатических и военных штабах. Между войнами кодирование стало более изощренным, поскольку для шифрования и расшифровки информации использовались машины. Объем, предоставленной союзными странами во время Второй мировой войны, потребовал формального согласования систем информации и контроля. Появился целый ряд загадочных знаков, указывающих на то, кто может обращаться с документами (обычно это офицеры, а не рядовые войска) и где они должны храниться, поскольку были разработаны все более сложные сейфы и хранилища. Enigma Machine, которая использовалась немцами для шифрования данных войны и была успешно дешифрована Аланом Тьюрингом, может рассматриваться как яркий пример создания и использования защищенной информации. Были разработаны процедуры, обеспечивающие надлежащее уничтожение документов, и именно несоблюдение этих процедур к некоторым из величайших разведывательных переворотов войны (например, захват U-570 ).
Конец двадцатого века и первые двадцать первого века ознаменовались быстрым развитием телекоммуникаций, вычислительной техники аппаратного обеспечения и программного обеспечения, и данные шифрование. Доступность меньшего, более мощного и менее дорогого вычислительного оборудования сделала электронная обработка данных доступной для малого бизнеса и домашних пользователей. Создание протокола управления передачей / межсетевого протокола (TCP / IP) в начале 1980-х годов различным типам компьютеров обмениваться данными. Эти компьютеры быстро стали взаимосвязаны через Интернет.
Быстрый рост и широкое распространение электронной обработки данных и электронных деловых операций, проводимых через Интернет, наряду с многочисленными случаями терроризма, вызвало потребности в лучших методах защиты компьютеров и информации, которую они хранят, обрабатывают и передают. Академические дисциплины компьютерная безопасность и обеспечение информации возникли вместе с многочисленными профессиональными организациями, и все они разделяют общие цели безопасности и надежности информационных систем.
Плакат, пропагандирующий информационную безопасность со стороны российского государства Министерство обороны Триада ЦРУ: конфиденциальность, целостность и доступность лежит в основе информационной безопасности. (Члены классической триады InfoSec - конфиденциальность, целостность и доступность - взаимозаменяемо называются в литературе атрибутами безопасности, свойствами, целями безопасности, фундаментальными аспектами, информационными критериями, критическими информационными характеристиками и базовыми строительными блоками.) Однако дебаты продолжаются. о том, достаточно ли этой триады ЦРУ для удовлетворения быстро меняющихся требований технологий и бизнеса, с рекомендациями рассмотреть возможность расширения пересечения между доступностью и конфиденциальностью, а также взаимосвязи между безопасностью и конфиденциальностью. Иногда предлагались другие принципы, такие как «подотчетность»; было отмечено, что такие вопросы, как неотказуемость, не вписываются в три основные концепции.
Кажется, что триада впервые была упомянута в NIST публикация в 1977 году.
В 1992 году и пересмотрена в 2002 году, Руководство ОЭСР по безопасности информационных систем и сетей предложило девять общепринятых принципов: осведомленность, ответственность, реагирование, этика, демократия, оценка рисков, разработка и реализация безопасности, управление безопасностью и повторная оценка. Основываясь на этом, в 2004 г. NIST «Инженерные принципы безопасности информационных технологий» предложили 33 принципа. На основе каждого из этих руководств и практик.
В 1998 году Донн Паркер предложил альтернативную модель для классической триады ЦРУ, которую он назвал шестью атомарными элементами информации. Элементами являются конфиденциальность, владение, целостность, подлинность, доступность и полезность <2.>. Достоинства Parkerian Hexad являются предметом споров среди профессионалов в области безопасности.
В 2011 году The Open Group опубликовала стандарт управления информационной безопасностью O- ISM3. В этом стандарте предлагается рабочее определение ключевых концепций безопасности с элементами, называемыми «целями безопасности», относящимися к управлению доступом (9), доступность (3), качество данных (1), соответствие и техническое (4). В 2009 году DoD Инициатива по защите программного обеспечения выпустила Три принципа кибербезопасности, а именно: уязвимость системы, доступ к уязвимости и возможность использования уязвимости. Ни одна из этих моделей не получила широкого распространения.
В информационной безопасности конфиденциальность «является тем свойством, что информация не предоставляется или не раскрывается неуполномоченным лицам, организациям или процессам». Хотя эти два слова похожи на «конфиденциальность», они не взаимозаменяемы. Скорее, конфиденциальность - это компонент конфиденциальности, который обеспечивает защиту наших данных от неавторизованных посетителей. Примеры конфиденциальности скомпрометированных электронных данных включают кражу ноутбука, кражу пароля или конфиденциальные электронные письма, отправленные неправильным лицам.
В области информационной безопасности целостность данных означает поддержание и обеспечение точности и полноты данных на протяжении всего их жизненного цикла. Это означает, что данные не могут быть изменены несанкционированным или необнаруженным образом. Это не то же самое, что ссылочная целостность в базах данных, хотя это можно рассматривать как частный случай согласованности, как это понимается в классической модели ACID обработка транзакции. Системы информационной безопасности обычно обеспечивают целостность сообщений наряду с конфиденциальностью.
Для того, чтобы любая информационная система служила своей цели, информация должна быть доступной, когда это необходимо. Это означает, что вычислительные системы, используемые для хранения и обработки информации, элементы управления безопасностью , используемые для ее защиты, и каналы связи, используемые для доступа к ней, должны функционировать правильно. Высокая доступность Системы стремятся оставаться доступными в любое время, предотвращая перебои в обслуживании из-за перебоев в подаче электроэнергии, сбоев оборудования иобновлений системы. Обеспечение доступности также включает предотвращение «отказ в обслуживании», таких как поток входящих сообщений в целевую систему, по существу вынуждающий ее выключатель.
В сфере информационной безопасности, доступность часто можно рассматривать как одну из наиболее важных частей успешной программы информационной безопасности. В конечном итоге конечные пользователи должны иметь возможность выполнять рабочие функции; Обеспечивая доступность, организация соответствует стандартам, которые ожидают заинтересованные стороны организации. Это может быть включена такая тема, как конфигурация прокси, внешний доступ в Интернет, доступ к общему дискам и возможность отправки электронного писем. Руководители часто не понимают техническую сторону информационной безопасности и рассматривают доступность как простое решение, но это часто требует сотрудничества различных организационных групп, таких как сетевые операции, операции разработки, инциденты и управление политиками / изменениями. Успешная система информационной безопасности включает в себя множество различных ключевых ролей, которые необходимо объединить и согласовать для эффективного использования триады ЦРУ.
По закону неотказуемость подразумевает намерение выполнить свои обязательства по контракту. Это также подразумевает, что одна сторона транзакции не может отрицать транзакции, а другая сторона может отрицать отправкуции.
Важно отметить, что хотя такие технологии, как криптографические системы, могут помочь в не- усилия по отказу от авторства, эта концепция является правовой концепцией, выходящей за пределы области технологий. Например, недостаточно показать, что сообщение соответствует цифровому подписи, подписанной личным ключом отправителя, и таким образом, только отправитель мог отправить сообщение, и никто другой не мог изменить его при передаче (целостность данных ). Предполагаемый отправитель может в свою очередь действовать, что алгоритм цифровой подписи уязвим или ошибочен, либо заявить или доказать, что его ключ подписи был скомпрометирован. Вина за эти нарушения может лежать или не лежать на отправителе, и такие утверждения могут быть утверждены отправителем от ответственности, но такое утверждение сделано недействительным утверждением о том, что подпись обязательно доказывает подлинность и целостность. Таким образом, отправитель может отклонить сообщение (поскольку аутентичность и целостность являются компонентами неотказуемости).
В широком смысле риск - это вероятность того, что произойдет что-то плохое, что нанесет информационному активу (или потеряет ущерб активу). Уязвимость - это слабое место, которое может быть использовано, чтобы поставить под угрозу или нанести вред информационному активу. Угроза - это что-либо (созданное человеком или стихийное бедствие ), которое может причинить вред. Вероятность того, что угроза будет использовать уязвимость для причинения вреда, создаёт риск. Когда угроза действительно использует уязвимость для нанесения вреда, она оказывает влияние. В контексте информационной безопасности последствиями являются потеря доступности, целостности и конфиденциальности, а также, возможно, другие потери (потерянный доход, гибель людей, потеря недвижимости).
Сертифицированная информация Системный аудитор (CISA) Руководство по обзору на 2006 год определяет управление рисками как «процесс уязвимостей и угроз для информационных ресурсов, использовать информационную организацию в достижении бизнес-целей и решений, какие контрмеры, если таковые имеются, предпринять для снижения риска до приемлемого уровня, исходя из ценностей для ресурса организации ».
В этом определении есть два вещи, которые могут нуждаться в пояснении. Во-первых, процесс управления рисками - это непрерывный итеративный процесс. Это нужно повторять бесконечно. Бизнес-среда постоянно меняется, и каждый день появляются новые и уязвимости. Во-второй выбор контрмер (контроль ), используемый для управления рисками, должен обеспечивать баланс между производительностью, стоимостью, эффективностью контрмер и стоимостью защищаемого информационного актива. Кроме того, эти процессы имеют ограничения, поскольку нарушение обычно редки и возникает в конкретном контексте, который не может повторить. Таким образом, любой процесс и контрмеры должны быть оценены на предмет уязвимости. Невозможно идентифицировать все риски или устранить все риски. Остающийся риск называется «остаточным риском».
A оценка рисков проводится группой людей, обладающих знаниями в областях бизнеса. Состав команды может меняться с течением времени, поскольку оцениваются разные части бизнеса. Оценка может использовать субъективный качественный анализ, основанный на информированном мнении, если доступны надежные долларовые цифры и историческая информация, анализ может использовать количественный анализ.
Исследования показали, что наиболее уязвимым местом в большинстве информационных систем является человек-пользователь, оператор, проектировщик или другой человек. ISO / IEC 27002: 2005 Свод правил для системы медицинской безопасности рекомендаций при оценке риска изучить следующее:
В широком смысле процесс управления рисками состоит из:
Для любого данного риска руководство может выбрать принятие на основе риска относительно низкой стоимости актива, относительно низкой частоты возникновения и относительной низкое влияние на бизнес. Или руководство может снизить риск, выбрав и реализовав соответствующие меры контроля для риска риска. В некоторых случаях риск может быть передан другому бизнесу путем покупки страховки или передачи на аутсорсинг другому бизнесу. Реальность некоторых рисков может быть оспорена. В таких случаях руководство может принять от риска.
Выбор и внедрение надлежащих мер безопасности на начальном этапе организации снижения риска до приемлемого уровня. Выбор контроля должен быть последующим и должен основываться на оценке риска. Средства контроля могут различаться по своему характеру, но в основном это способы защиты конфиденциальности, целостности или доступности информации. ISO / IEC 27001 определил элементы управления в различных областях. Организации внедрить дополнительные средства управления в соответствии с требованиями организации. ISO / IEC 27002 предлагает руководство по информационной безопасности организации.
Административный контроль из утвержденных письменных политик процедур, стандартов и руководств. Административный контроль формирует основу для ведения бизнеса и управления людьми. Они информируют людей о том, как следует вести бизнес. Законы и постановления, создаваемые государственными органами, также разновидностью административного контроля, как они информируют бизнес. В некоторых отраслях политики существуют процедуры, стандарты и рекомендации, которые необходимо соблюдать - Стандарт безопасности индустрии платежных карт (PCI DSS), необходимый для Visa и MasterCard вот такой пример. Другие примеры административного контроля включают корпоративную политику безопасности, политику паролей, политику найма и дисциплинарные политики.
Административный контроль формирует основу для выбора и реализации логических средств контроля. Логический и физический контроль - это проявления административного контроля, который имеет первостепенное значение.
Логические элементы управления (также называемые техническими элементами управления) используют программное обеспечение и данные для мониторинга и контроля доступа к информационным и вычислительным системам. Пароли, брандмауэры сети и хоста, системы обнаружения вторжений в сети , списки управления доступом и шифрование данных являются примерами логических элементов управления.
Важным логическим элементом управления, который является принципом наименьших привилегий, который требует, чтобы особому человеку, программе или системному процессу было предоставлено больше прав доступа, чем необходимо для выполнения задачи. Наглядным примером несоблюдения принципа минимальных привилегий является вход в Windows в качестве администратора для чтения электронной почты и просмотра веб-страниц. Нарушение этого принципа также может происходить, когда человек со временем собирает дополнительные права доступа. Это происходит при распределении новых обязанностей, переводе сотрудников на должность или переводе сотрудников в другой отдел. Привилегии доступа, требуемые их новые функции доступа.
Физические средства контроля контролируют и контролируют среду на рабочем месте и вычислительных мощностях. Они также контролируют и контролируют доступ к таким объектам и из них, включая двери, замки, отопление и кондиционирование воздуха, дымовую и пожарную сигнализацию, системы пожаротушения, камеры, баррикады, ограждения, охранников, кабельные замки и т. Д. Разделение сети и рабочего места.
Важным физическим контролем, который часто упускается из виду, является разделение обязанностей, которое гарантирует, что человек не выполняет критическую задачу самостоятельно. Например, сотрудник, который отправляет запрос на возмещение, также не должен иметь возможность авторизовать платеж или распечатать чек. Программист приложений также не должен быть администратором сервера или администратором базы данных ; эти роли и обязанности должны быть отделены друг от друга.
луковая модель глубокоэшелонированной защиты Информационная безопасность должна защищать информацию на протяжении всего ее срока службы, от от первоначального создания информации до окончательного удаления информации. Информация должна быть защищена как в движении, так и в состоянии покоя. В течение своей жизни информация может проходить через множество различных систем обработки информации и через множество различных частей систем обработки информации. Есть много разных способов, которыми может угрожать информация и информационные системы. Чтобы полностью защитить информацию в течение всего срока ее существования, каждый компонент системы обработки информации должен иметь свои собственные механизмы защиты. Наращивание, наложение и перекрытие мер безопасности называется «глубокоэшелонированной защитой». В отличие от металлической цепи, которая, как известно, настолько прочна, насколько прочно ее самое слабое звено, стратегия глубокоэшелонированной защиты нацелена на структуру, где в случае неудачи одной защитной меры другие меры будут продолжать обеспечивать защиту.
Напомним. предыдущее обсуждение административного контроля, логического контроля и физического контроля. Эти три типа контроля могут использоваться для формирования основы для построения стратегии глубокоэшелонированной защиты. При таком подходе глубокоэшелонированная защита может быть концептуализирована как три отдельных слоя или плоскости, уложенных один поверх другого. Дополнительное понимание глубокоэшелонированной защиты можно получить, представив ее как формирование слоев луковицы, с данными в ядре луковицы, людьми, следующим внешним уровнем луковицы, и сетевой безопасностью, хост безопасность на основе безопасности приложений, образующих самые внешние слои луковицы. Обе точки зрения одинаково верны, и каждая дает ценную информацию о реализации хорошей стратегии глубокоэшелонированной защиты.
Важным аспектом информационной безопасности и управления рисками распространения информации и требований к защите информации. Не вся информация одинакова, поэтому не вся информация требует одинаковой степени. Для этого требуется присвоить информацию класс защиты. Первым шагом в классификации является определение информации высшего руководства как идентификационная информация. Затем разработайте политику классификации. Политика должна описывать различные классификационные метки, определять оценку для информации, которая должна быть назначена конкретная метка, и перечислять необходимые меры безопасности для каждой категории.
Некоторые факторы, влияющие на то, какая классификационная информация указать, какое значение имеет эта информация для организации, сколько ей лет и стала ли информация устаревшей. Законы и другие нормативные требования являются важными факторами при классификации. Ассоциация аудита и контроля информационных систем (ISACA) и ее бизнес-модель информационной безопасности также представляет собой инструмент для изучения безопасности с точки зрения системы, создавая среду, в которой можно управлять безопасностью в целом, что позволяет фактические риски, необходимо устранить.
Тип выбранных и используемых классификационных меток информационной безопасности будететь от характера организации, например:
Все деловые сотрудники должны быть обучены схеме и понимать меры безопасности и хан д.процедуры каждой организации. Классификация конкретной информации. Назначенный должен периодически проверяться, что классификация по-прежнему соответствует требованиям, меры безопасности, требуемые классификацией, существуют и соблюдаются в их надлежащих процедурах.
Доступ к защищенной информации должен быть ограничен людьми, имеющими право доступа к информации. Компьютерные программы, обрабатывающие программы. Это требует наличия механизмов для контроля доступа к защищенной информации. Сложность механизмов контроля доступа должна соответствовать ценностям защищаемой информации; чем более конфиденциальная или ценная информация, тем сильнее должны быть механизмы контроля. Основа, на которой построены механизмы управления доступом, начинается с идентификации и аутентификации.
Управление доступом обычно рассматривается в три этапа: идентификация, аутентификация и авторизация.
Идентификация - это утверждение, кто кто-то или что есть что-то. Если человек говорит: «Здравствуйте, меня зовут Джон Доу », он заявляет о себе. Однако их утверждение может быть правдой, а может и нет. Прежде чем Джону, необходимо убедиться, что человек, называемый Джоном Доу, действительно Джоном Доу. Обычно претензия имеет форму имени пользователя. Вводя это имя пользователя, вы заявляете: «Я человек, которому принадлежит это имя».
Аутентификация - это акт подтверждения подтверждения идентичности. Когда Джон Доу идет в банк, чтобы снять деньги, он говорит кассиру банка, что он Джон Доу, удостоверяющий личность. Кассир в банке запрашивает предъявить удостоверение с фотографией, поэтому он передает кассиру свои водительские права. Кассир банка проверяет лицензию, чтобы убедиться, что на ней напечатан Джон Доу, и сравнивает лицензию с фотографией человека, который утверждает, что он Джон Доу. Если имя и фотография совпала с человеком, кассир подтвердил, что Джон Доу является тем, кем он себя назвал. Точно так же, вводя правильный пароль, пользователь использует доказательство того, что он / она является лицом, которому принадлежит имя пользователя.
Существуют три различных типа информации, которые могут быть установлены для аутентификации:
Для строгой аутентификации требуется более одного типа информации аутентификации (двухфакторная аутентификация). имя пользователя является наиболее распространенной формой идентификации в компьютерных системах сегодня, а пароль - наиболее распространенной формой аутентификации. Имена пользователей и пароли послужили своей цели, но их становится все больше и больше. Имена пользователей и пароли постепенно заменяются более сложными механизмами аутентификации, как алгоритмы одноразового пароля на основе таких времени.
После того, как человек, программа или компьютер были успешно идентифицированы и аутентифицированы определить, к каким информационным ресурсам им разрешен доступ и какие действия им разрешено выполнять (запускать, просматривать, создавать, удалять или проверять). Это называется авторизацией. Авторизация для доступа к информации и другим вычислительным услугам начинается с административных политик и процедур. Политики предписывают, к какой информации и компьютерным сервисам можно получить доступ, кто и на каких условиях. Затем настраиваются механизмы контроля доступа для применения этих политик. Различные вычислительные системы различных механизмов контроля доступа. Некоторые могут предложить выбор различных механизмов контроля доступа. Механизм контроля доступа, предлагаемая система, основан на одном из трех подходов к контролю доступа или может быть получен из трех подходов.
Недискреционный подход объединяет весь контроль доступа под централизованным управлением. администрация. Доступ к информации и другим ресурсам обычно зависит от функций (роли) человека в организации или задач, которые он должен выполнять. Дискреционный подход дает создателю или владельцу информационного ресурса возможность контролировать доступ к этим ресурсам. Используемым доступом к использованию доступным доступом или запрещенным к использованию данным методом безопасности.
Примеры распространенных механизмов управления доступом, используемых сегодня, включают управление доступом на основе ролей, доступное во многих передовых системах управления базами данных; простые права доступа к файлам, предусмотренные в операционных системах UNIX и Windows; Объекты групповой политики в сетевых системах Windows; и Kerberos, RADIUS, TACACS и простые списки доступа, используемые во многих межсетевых экранах и маршрутизаторах.
Быть эффективны, политики и другие меры безопасности должны быть обеспечены и поддерживаться. Эффективная политика гарантирует, что люди несут ответственность за свои действия. США В рекомендациях Казначейства для системного использования, используемых конфиденциальную или служебную информацию, например, говорится, что все неудачные и успешные попытки аутентификации и доступа регистрироваться. 578>Также, когда речь идет об управлении доступом, должно действовать необходимости знать. Этот принцип дает человеку права доступа для выполнения своих служебных функций. Этот принцип используется в правительстве при устранении различий. Несмотря на то, что у двух сотрудников в разных отделах есть сверхсекретный допуск, они должны иметь служебную информацию для обмена информацией. В соответствии с принципом необходимости знать, сетевые администраторы сотруднику наименьшее количество привилегий, предотвратить доступ к сотрудникам большему, чем положено. Необходимость обеспечивает соблюдение триады конфиденциальности-доступности. Необходимость информации влияет на конфиденциальную область триады.
Информационная безопасность криптография для преобразования полезной информации в форму, которая делает ее непригодной для использования кем-либо, кроме авторизованного пользователя; этот процесс называется шифрованием. Информация, которая была зашифрована (сделана непригодной для использования), может быть преобразована обратно в исходную пригодную форму авторизованного пользователя, обладающего криптографическим ключом , посредством процесса дешифрования. Криптография используется в информационной безопасности для защиты информации от несанкционированного или случайного раскрытия, когда информация находится в пути (электронном или физическом) и пока информация находится в хранилище.
Криптография обеспечивает информационную безопасность и другие полезные приложения, в том числе улучшенные методы аутентификации, дайджесты сообщений, цифровые подписи, фиксация авторства и зашифрованные сетевые коммуникации. Старые, менее безопасные приложения, такие как Telnet и Протокол передачи файлов (FTP), постепенно заменяются более безопасными приложениями, такими как Secure Shell (SSH), которые использовать зашифрованные сетевые коммуникации. Беспроводная связь может быть зашифрована с использованием таких протоколов, как WPA / WPA2 или более старый (и менее безопасный) WEP. Проводная связь (например, ITU‑T G.hn ) защищена с использованием AES для шифрования и X.1035 для аутентификации и ключа. обмен. Программные приложения, такие как GnuPG или PGP, Приложение для шифрования файлов данных и электронной почты.
Криптография может вызвать проблемы с безопасностью, если она реализована неправильно. Криптографические решения могут быть реализованы с использованием тестов в отрасли решений, прошедших тщательную экспертную экспертную оценку экспертов в области криптографии. Длина и надежность ключа шифрования также являются важными факторами. слабый или слишком короткий ключ к слабому шифрованию. Ключи, используемые для шифрования и дешифрования, должны быть защищены с той же степенью строгости, что и любая другая конфиденциальная информация. Они должны быть защищены от несанкционированного раскрытия информации и должны быть доступны при необходимости. Инфраструктура открытых ключей (PKI) решает многие проблемы, которые окружают управление ключами.
Термины «разумный и осмотрительный человек», «должная осторожность "и" должная осмотрительность "уже много лет используются в области финансовых вычислений и информационной безопасности. Федеральные правила вынесения приговоров теперь позволяют привлекать корпоративных должностных лиц к.
В деловом мире акционеры, клиенты, деловые партнеры и правительство ожидают, что руководящие лица корпорации будут вести бизнес в соответствии с принятой деловой практикой и в соответствии с Это часто называют «разумным и расчетливого человека». о том, чтобы было сделано все необходимое для ведения бизнеса в соответствии с разумными принципами ведения бизнеса с соблюдением этических норм. Благоразумный человек также прилежен (внимателен, внимателен, постоянен) в должной заботе о своем бизнесе.
В области информационной безопасности Харрис предлагает следующие определяющие заботы и должной осмотрительности:
«Должная забота - это шаги, которые предпринимаются, чтобы показать, что компания взяла на себя ответственность за осуществляемую деятельность. внутри корпорации и предпринял необходимые шаги для защиты компании, ее ресурсов и сотрудников ». И [комплексная проверка - это] «постоянная деятельность, обеспечивает постоянное поддержание и функционирование механизмов защиты».
Следует обратить внимание на два важных момента в этих определениях. Во-первых, при должной осторожности предпринимаются шаги, чтобы показать; это означает, что шаги можно проверить, измерить или даже ощутимые артефакты. Во-вторых, при должной осмотрительности ведется постоянная деятельность; Это означает, что люди на самом деле делают что-то, чтобы контролировать средства защиты, и эта деятельность продолжается.
Организации несут практическую ответственность за обеспечение информационной безопасности. Стандарт анализа рисков Duty of Care (DoCRA) содержит принципы и методы оценки рисков. Он учитывает все стороны, которые могут быть упомянуты этим рисками. DoCRA помогает оценить меры безопасности, если они подходят для защиты других от вреда, но при этом несут разумное бремя. В связи с ростом числа судебных разбирательств по поводу утечки данных компании сбалансировать меры безопасности, соответствие требованиям и свою миссию.
Институт программной инженерии в Университета Карнеги-Меллона в публикации под названием «Руководство по внедрению корпоративной безопасности (GES)» определяет характеристики эффективное управление безопасностью. К ним защищаются:
План реагирования на инциденты - это группа политик, определяющая реакции организации на кибератаку. Как только нарушение безопасности обнаружено, план инициируется. Важно отметить, что нарушение данных может иметь правовые последствия. Очень важно знать местные и федеральные законы. Набор навыков, которые не являются частью ИТ-команды. Например, в план реагирования может быть включен юрист, чтобы помочь сориентироваться в юридических последствиях утечки данных.
Как упоминалось выше, каждый план уникален, но большинство планов будет следующее следующее:
Хорошая подготовка включает создание группы реагирования на инциденты (IRT). Эта команда должна использовать следующие навыки: тестирование на проникновение, компьютерная криминалистика, сетевая безопасность и т. Д. Эта команда также должна отслеживать тенденции в области кибербезопасности и современные стратегии атак. Программа обучения для конечных пользователей важна, как и большинство современных стратегий атак, нацеленных на пользователей в сети.
Эта часть плана реагирования на инциденты определяет, было ли событие безопасности. Когда конечный пользователь сообщает информацию или администратор замечает нарушение, начинается расследование. Журнал инцидентов - важная часть этого шага. Все члены команды должны обновлять этот журнал, чтобы информация передавалась как можно быстрее. Если было обнаружено нарушение безопасности, следует активировать следующий шаг.
На этом этапе IRT работает, чтобы изолировать область, в которой произошло нарушение, чтобы ограничить масштаб события безопасности. На этом этапе важно сохранить информацию криминалистически, чтобы ее можно было проанализировать позже в процессе. Сдерживание может быть таким простым, как физическое ограничение серверной комнаты, как сегментирование сети, чтобы не допустить распространения вируса.
Здесь удаляется обнаруженная угроза из пораженных систем. Это может удаление вредоносных файлов, закрытие взломанных учетных записей или удаление других компонентов. Некоторые события не требуют этого шага, однако важно полностью понять это событие, прежде чем переходить к этому шагу. Это поможет обеспечить полное устранение угрозы.
На этом этапе системы восстанавливаются до исходного состояния. Этот этап может восстановить данные, изменить информацию о доступе пользователя или обновление правил или политик брандмауэра для предотвращения взлома в будущем. Без выполнения этого шага система все равно может быть уязвима для будущих угроз безопасности.
На этом шаге информация, собранная в этом ходе процесса, используется для принятия решений по безопасности. Этот шаг имеет решающее значение для предотвращения будущих событий. Использование этой информации для дальнейшего обучения администраторов имеет решающее значение для процесса. Этот шаг также можно использовать для обработки информации, которая распространяется от других объектов безопасности.
Управление изменениями - это формальный процесс для направления и контроля изменений в информации среда обработки. Это включает в себя изменения настольных компьютеров, сети, серверов и программного обеспечения. Цели управления изменениями - снизить риски, связанные с изменениями в среде обработки информации, и повысить стабильность и надежность среды обработки по мере внесения изменений. Целью управления изменениями не является предотвращение или препятствование внедрению необходимых изменений.
Любое изменение в среде обработки информации вносит элемент риска. Даже кажущиеся простыми изменения могут иметь неожиданные последствия. Одна из многих обязанностей руководства - управление рисками. Управление изменениями - это инструмент для управления рисками, вызванными изменениями в среде обработки информации. Часть процесса управления изменениями гарантирует, что изменения не будут реализованы в неподходящее время, когда они могут нарушить критические бизнес-процессы или помешать другим внедряемым изменениям.
Не каждым изменением нужно управлять. Некоторые виды изменений являются частью повседневной рутины обработки информации и соответствуют заранее определенной процедуре, что снижает общий уровень риска для среды обработки. Создание новой учетной записи пользователя или развертывание нового настольного компьютера - это примеры изменений, которые обычно не требуют управления изменениями. Однако перемещение общих файловых ресурсов пользователей или обновление сервера электронной почты создают гораздо более высокий уровень риска для среды обработки и не являются обычной повседневной деятельностью. Важнейшими первыми шагами в управлении изменениями являются (а) определение изменения (и передача этого определения) и (б) определение объема системы изменений.
Управление изменениями обычно контролируется комиссией по обзору изменений, состоящей из представителей ключевых областей бизнеса, безопасности, сетей, системных администраторов, администраторов баз данных, разработчиков приложений, службы поддержки настольных компьютеров и службы поддержки. Задачи комиссии по обзору изменений могут быть облегчены с помощью приложения автоматизированного рабочего процесса. Совет по анализу изменений отвечает за соблюдение задокументированных процедур управления изменениями. Процесс управления изменениями выглядит следующим образом
Процедуры управления изменениями, которым легко следовать и которые легко использовать, могут значительно снизить общие риски, возникающие при внесении изменений в обработку информации Окружающая среда. Хорошие процедуры управления изменениями улучшают общее качество и успех изменений по мере их внедрения. Это достигается посредством планирования, экспертной оценки, документации и общения.
ISO / IEC 20000, Руководство Visible OPS: внедрение ITIL в 4 практических и проверяемых шага (полное резюме книги) и библиотека инфраструктуры информационных технологий - все они предоставляют ценные рекомендации по внедрению эффективных и эффективная защита информации программы управления изменениями.
Управление непрерывностью бизнеса (BCM ) касается договоренностей, направленных на защиту критически важных бизнес-функций организации от прерывания из-за инцидентов или, по крайней мере, минимизацию последствий. BCM важен для любой организации, чтобы поддерживать технологии и бизнес в соответствии с текущими угрозами для продолжения бизнеса в обычном режиме. BCM следует включить в план анализа рисков организации, чтобы гарантировать, что у всех необходимых бизнес-функций есть то, что им нужно для продолжения работы в случае любого типа угрозы для любой бизнес-функции.
Он включает:
Принимая во внимание, что BCM использует широкий подход к минимизации рисков, связанных со стихийными бедствиями, путем снижения как вероятности, так и серьезности инцидентов, План аварийного восстановления (DRP) специально ориентирован на как можно более быстрое возобновление бизнес-операций после аварии. План аварийного восстановления, применяемый вскоре после аварии, описывает шаги, необходимые для восстановления критически важной инфраструктуры информационных и коммуникационных технологий (ICT). Планирование аварийного восстановления включает в себя создание группы планирования, выполнение оценки рисков, установление приоритетов, разработку стратегий восстановления, подготовку инвентаризаций и документации плана, разработку критериев и процедур проверки и, наконец, реализацию плана.
Privacy International Рейтинг конфиденциальности 2007 г.. зеленый: Защита и гарантии. красный: Эндемичные общества наблюдения Ниже приводится частичный список государственных законов и постановлений в различных частях мира, которые или окажет значительное влияние на обработку данных и информационную безопасность. Также были включены важные отраслевые нормативные акты, когда они оказывают значительное влияние на информационную безопасность.
Идея заключается не только в том, как сотрудники осведомлены о безопасности, но и в культуре информационной безопасности., обычаи и социальное поведение организации, которые влияют на информационную безопасность как положительно, так и отрицательно. Культурные концепции могут помочь различным сегментам организации работать эффективно или работать против эффективности в отношении информационной безопасности внутри организации. То, как сотрудники думают и думают о безопасности, а также действия, которые они предпринимают, могут иметь большое влияние на информационную безопасность в организациях. Roer Petric ( 2017) определяют семь основных измерений культуры информационной безопасности в организациях:
Андерссон и Реймерс (2014) обнаружили, что сотрудники часто не считают себя частью «усилий» организации по обеспечению информационной безопасности и часто предпринимают действия, игнорирующие интересы организации в области информационной безопасности. Исследования показывают, что культуру информационной безопасности необходимо постоянно улучшать. В статье «Культура информационной безопасности от анализа к изменениям» авторы отмечают: «Это бесконечный процесс, цикл оценки и изменения или обслуживания». Для управления культурой информационной безопасности необходимо предпринять пять шагов: предварительная оценка, стратегическое планирование, оперативное планирование, внедрение и последующая оценка.
Международная организация по стандартизации (ISO) - это консорциум национальных институтов стандартизации из 157 стран, деятельность которого координируется через секретариат в Женеве, Швейцария. ISO - крупнейший в мире разработчик стандартов. ISO 15443: «Информационные технологии - Методы безопасности - Основа для обеспечения безопасности ИТ», ISO / IEC 27002 : «Информационные технологии - Методы безопасности - Свод правил управления информационной безопасностью», ISO- 20000 : «Информационные технологии - Управление услугами» и ISO / IEC 27001 : «Информационные технологии - Методы безопасности - Системы менеджмента информационной безопасности - Требования» представляют особый интерес для специалистов по информационной безопасности.
США Национальный институт стандартов и технологий (NIST) является ненормативным федеральным агентством в США. Министерство торговли. Подразделение компьютерной безопасности NIST разрабатывает стандарты, показатели, тесты и программы проверки, а также публикует стандарты и руководства для повышения безопасности планирования, внедрения, управления и эксплуатации ИТ. NIST также является хранителем публикаций Федерального стандарта обработки информации США (FIPS).
Internet Society - это профессиональное сообщество, состоящее из более чем 100 организаций и более 20 000 индивидуальных членов в более чем 180 странах. Он обеспечивает лидерство в решении проблем, с которыми сталкивается будущее Интернета, и является организационным домом для групп, ответственных за стандарты инфраструктуры Интернета, в том числе Инженерная группа Интернета (IETF) и Совет по регионуре Интернета (IAB). ISOC размещает запросы на комментарии (RFC), которые включают официальные стандарты интернет-протокола и RFC-2196 Руководство по безопасности сайта.
Форум информационной безопасности (ISF) - это глобальная некоммерческая организация несколько сотен ведущих организаций в сфере финансовых услуг, производства, телекоммуникаций, потребительских товаров, правительства и других сферах. Он проводит исследования в области информационной безопасности и предлагает рекомендации в своей Стандарте надлежащей практики, выходящий раз в два года, и более подробные рекомендации для членов.
Институт профессионалов в области информационной безопасности (IISP) - это независимый некоммерческий орган, управляемый своими членами, с основной целью повышения квалификации специалистов-практиков в области информационной безопасности и, следовательно, их профессионализма. отрасли в целом. Институт разработал структуру навыков IISP. Эта структура диапазона компетенций, ожидаемых от специалистов по информационной безопасности и обеспечения информации при эффективном выполнении своих ролей. Был разработан в результате сотрудничества между организациями частного и государственного секторов, а также всемирно известными учеными и лидерами безопасности.
Немецкое Федеральное управление по информационной безопасности (в Германии Bundesamt für Sicherheit in der Informationstechnik (BSI)) Стандарты BSI с 100-1 по 100-4 представляют собой набор рекомендаций, включающих «методы, процессы, процедуры, подходы и меры, относящиеся к информационной безопасности ». BSI-Standard 100-2 IT-Grundschutz Methodology, как можно использовать и использовать управление информационной безопасностью. Стандарт включает очень конкретное руководство, Базовые каталоги защиты ИТ (также известный как каталоги IT-Grundschutz). До 2005 года каталоги ранее назывались «Базовая защита ИТ Руководство». Каталоги предоставьте собой набор документов, обнаружения и устранения уязвимых мест ИТ-среды (связанных с безопасностью). По состоянию на сентябрь 2013 года коллекция насчитывает более 4400 страниц с введением и каталогами. Подход IT-Grundschutz соответствует семейству ISO / IEC 2700x.
Европейский институт телекоммуникационных стандартов стандартизировал каталог индикаторов информационной безопасности, глобальный Группой промышленных спецификаций (ISG) ISI.
 | На Викискладе есть материалы, связанные с Информационной безопасностью. |
