Сергей Петренко - Политики безопасности компании при работе в Интернет

• партнеры – внешние пользователи с необходимостью доступа к некоторым ресурсам;

Определение уровней риска и типов доступа, требуемых для каждой сети, позволяет сформировать некоторую матрицу безопасности (см. табл. 2.1). Эта матрица безопасности является стартовой точкой для дальнейших шагов по обеспечению безопасности, например таких, как создание соответствующей стратегии по ограничению доступа к сетевым ресурсам. Таблица 2.1. Матрица безопасности Cisco

Определение состава и структуры группы сетевой безопасности. Рекомендуется создать группу сетевой безопасности под руководством менеджера по безопасности с представителями из каждой значимой бизнес-единицы компании (минимум из представителей бизнес-единиц развития, исполнения и производства и/или продаж). Члены группы должны хорошо знать политику безопасности и технические аспекты защищаемых систем и сетей. Часто это требует дополнительного обучения сотрудников названной группы. Группа безопасности должна принимать участие в разработке политики безопасности, организации режима информационной безопасности, а также своевременно реагировать на инциденты в области информационной безопасности компании.

Процесс сопровождения политик безопасности заключается в контроле и, при необходимости, пересмотре политик безопасности компании. Необходим как минимум ежегодный пересмотр политики безопасности и проведение анализа рисков.

На практике группа сетевой безопасности должна проводить анализ рисков, подтверждать запросы на проведение изменений в системе безопасности, проводить мониторинг оповещений о появлении новых уязвимостей с использованием списков рассылок вендоров и независимых аналитических центров, например CERT или SANS, а также поддерживать соответствие требованиям политики безопасности с помощью определенных технических и организационных мер.

Подтверждение изменений в системах безопасности. Изменения в системах безопасности могут быть определены как изменения в сетевом оборудовании, которые способны оказать потенциальное воздействие на состояние безопасности сети. Политика безопасности компании должна определять специфические требования конфигурации безопасности и содержать минимум технических деталей. Другими словами, вместо такого определения требования, как «не разрешены внешние FTP-соединения во внутреннюю сеть», нужно определить это требование так – «внешние соединения не должны быть способны получать файлы из внутренней сети». При этом желательно стремиться к определению уникальных требований компании. Использование стандартных шаблонов обеспечения безопасности и настроек по умолчанию в подходе компании Cisco настоятельно не рекомендуется.

Группа сетевой безопасности просматривает описанные общедоступным языком требования и определяет соответствие технического дизайна и настроек элементов сети этим требованиям. Если выявляются несоответствия, группа безопасности создает требуемые изменения сетевой конфигурации для выполнения требований политики безопасности и применяет их в дальнейшем. При этом группой сетевой безопасности могут контролироваться не все изменения. Здесь важно просмотреть изменения, наиболее значимые и существенные для сети компании в плане безопасности. Например, к ним относятся изменения:

• в конфигурации межсетевых экранов,

• в списках контроля доступа,

• в конфигурации SNMP,

• версий программного обеспечения.

Компания Cisco рекомендует следовать следующим правилам:

• регулярно изменять пароли на сетевых устройствах;

• ограничить доступ к сетевым устройствам согласно утвержденному списку сотрудников;