Сергей Петренко - Политики безопасности компании при работе в Интернет

Пресекать или следить? Когда на организацию совершается нападение, грозящее нарушением информационной безопасности, стратегия ответных действий может строиться под влиянием двух противоположных подходов. Если руководство опасается уязвимости предприятия, оно может предпочесть стратегию «защититься и продолжить». Главной целью подобного подхода является защита информационных ресурсов и максимально быстрое восстановление нормальной работы пользователей. Действиям нарушителя оказывается максимальное противодействие, дальнейший доступ предотвращается, после чего немедленно начинается процесс оценки нанесенных повреждений и восстановления. Возможно, при этом придется выключить компьютерную систему, закрыть доступ в сеть или предпринять иные жесткие меры. Оборотная сторона данной медали состоит в том, что пока злоумышленник не выявлен, он может вновь напасть на эту же или другую организацию прежним или новым способом.

Другой подход, «выследить и осудить», опирается на иные философию и систему целей. Основная цель состоит в том, чтобы позволить злоумышленнику продолжать свои действия, пока организация не сможет установить его личность. Такой подход нравится правоохранительным органам. К сожалению, эти органы не смогут освободить организацию от ответственности, если пользователи обратятся в суд с иском по поводу ущерба, нанесенного их программам и данным.

Судебное преследование – не единственный возможный исход установления личности нарушителя. Если виновным оказался штатный сотрудник или студент, организация может предпочесть дисциплинарные меры. В политике безопасности должны быть перечислены допустимые варианты наказания и критерии выбора одного или нескольких из них в зависимости от личности виновного.

Руководство организации должно заранее тщательно взвесить различные возможности при выборе стратегии ответных действий. В принципе стратегия может зависеть от конкретных обстоятельств нападения. Возможен и выбор единой стратегии на все случаи жизни. Нужно принять во внимание все за и против и проинформировать пользователей о принятом решении, чтобы они в любом случае осознавали степень своей уязвимости.

Следующий контрольный перечень помогает сделать выбор между стратегиями «защититься и продолжить» и «выследить и осудить». При каких обстоятельствах следует предпочесть стратегию «защититься и продолжить»:

• активы организации недостаточно защищены;

• продолжающееся вторжение сопряжено с большим финансовым риском;

• нет возможности или намерения осудить злоумышленника;

• неизвестен круг пользователей;

• пользователи неопытны, а их работа уязвима;

При каких обстоятельствах следует предпочесть стратегию «выследить и осудить»:

• активы и системы хорошо защищены;

• имеются хорошие резервные копии;

• угроза активам организации меньше потенциального ущерба от будущих повторных вторжений;

• имеет место согласованная атака, повторяющаяся с большой частотой и настойчивостью;

• организация притягивает злоумышленников и, следовательно, подвергается частым атакам;

• организация готова идти на риск, позволяя продолжить вторжение;

• действия злоумышленника можно контролировать;

• доступны развитые средства отслеживания, так что преследование нарушителя имеет хорошие шансы на успех;

• обслуживающий персонал обладает достаточной квалификацией для успешного выслеживания;

• системный администратор знает, какого рода информация обеспечит успешное преследование;

• имеется тесный контакт с правоохранительными органами;

• в организации есть человек, хорошо знающий соответствующие законы;

• организация готова к искам собственных пользователей по поводу программ и данных, скомпрометированных во время выслеживания злоумышленника.

Толкование политики безопасности. Важно определить, кто будет интерпретировать политику безопасности. Это может быть отдельное лицо или комитет. Вне зависимости от того, насколько хорошо она написана, политика безопасности время от времени нуждается в разъяснении, а заодно и в пересмотре.

Гласность политики безопасности. После того как положения политики безопасности записаны и одобрены, необходимо начать активный процесс, гарантирующий, что политика воспринята и обсуждена. Почтовую рассылку нельзя признать достаточной мерой. Прежде чем политика вступит в силу, следует отвести время для дискуссий, чтобы все заинтересованные пользователи могли высказать свое мнение и указать на недостатки политики. В идеале политика должна соблюдать баланс между безопасностью и производительностью труда.