Примечание эксперта АЛЕЕ СОФТВЕР: «Данная статья посвящена вопросам обеспечения защиты информации в библиотеке. В ней рассмотрены основные термины в области информационной безопасности, обозначены существующие угрозы для целостности, конфиденциальности и доступности информации. В статье предложены комплексные меры по защите данных, а также правила построения эффективной политики безопасности в библиотеке.»

Сервер — под замок, или Как минимизировать риски

Если мы обратимся к причинам повреждения данных, то увидим следующую картину: неумышленная ошибка человека — 52% случаев, умышленные действия человека — 10% случаев, отказ техники — 10% случаев, повреждения в результате пожара — 15% случаев, повреждения водой — 10% случаев. Как видно, каждый десятый случай повреждения данных связан с вопросами информационной безопасности.

До сих пор остаются незыблемыми постулаты обеспечения информационной безопасности:

• Абсолютную защиту создать нельзя;
• Система защиты данных должна быть комплексной;
• Система защиты данных должна быть адаптируемой к изменяющимся условиям.

Библиотечное сообщество не отстает от мировых процессов внедрения вычислительной техники в свою работу, и также в полной мере испытывает «обратную сторону автоматизации» — потери и уничтожение важных данных, которые связаны с недостаточным вниманием к вопросам информационной безопасности.

Если вторжение состоялось

В современных условиях деятельность библиотек сопряжена с циркуляцией больших объемов данных, которые производятся широким кругом лиц. Защита этих данных от несанкционированного доступа является одной из приоритетных задач при проектировании любой информационно-вычислительной системы. Следствием возросшей в последнее время стоимости информации стали повышенные требования к конфиденциальности данных.

Обеспечение информационной безопасности требует постоянной работы и пристального внимания к мелочам. Пока система ведет себя нормально, эта работа заключается в предсказании возможных действий злоумышленников, планировании мер защиты и постоянном обучении пользователей. Если же вторжение состоялось, то ответственный за безопасность должен обнаружить брешь в системе защиты, ее причину и метод вторжения.

Сегодня комплексная система безопасности данных библиотеки — это не просто комплекс средств, но и комплекс мер, направленных на предотвращение потерь данных.
Нет сомнений, что защита критически важных информационно-вычислительных ресурсов должна соответствовать многочисленным международным, национальным, корпоративным, нормативным и методическим нормативам. Во многих библиотеках применяются дорогостоящие технические решения и внедряются регламентированные организационные мероприятия. Однако основной проблемой остается поиск ответа на вопрос — насколько предлагаемое или уже реализованное решение хорошо, какова его планируемая или реальная эффективность?

Поскольку в литературе термин «информационная безопасность» (Information Secure) трактуется более широко, нежели термин «безопасность данных» (Data Security), то в дальнейшем я буду вести речь именно об информационной безопасности.

Какая она — информационная безопасность?

С точки зрения информационной безопасности информации присущи следующие свойства:

• Конфиденциальность — гарантия того, что конкретная информация доступна только тому кругу лиц, для кого она предназначена; нарушение конфиденциальности называется хищением либо раскрытием информации;
• Целостность — гарантия того, что информация существует в ее исходном виде, то есть при ее хранении или передаче не было произведено несанкционированных изменений; нарушение целостности называется фальсификацией сообщения;
• Аутентичность — гарантия того, что источником информации является именно то лицо, которое заявлено как ее автор; нарушение аутентичности также называется фальсификацией, но уже — автора сообщения;
• Апеллируемость — гарантия того, что при необходимости можно будет доказать, что автором сообщения является именно заявленный человек, и не может являться никто другой; при нарушении апеллируемости сам автор пытается отказаться от своих слов, написанных им однажды.

Применительно к информационным системам можно говорить о других свойствах информации:

• Надежность — гарантия того, что система ведет себя в нормальном и внештатном режимах так, как запланировано;
• Точность — гарантия точного и полного выполнения всех команд;
• Контроль доступа — гарантия того, что различные лица имеют различный доступ к информационным объектам, и эти ограничения доступа постоянно выполняются;
• Контролируемость — гарантия того, что в любой момент может быть произведена полноценная проверка любого компонента системы;
• Контроль идентификации — гарантия того, что пользователь, подключенный в данный момент к системе, является именно тем, за кого себя выдает;
• Устойчивость к умышленным сбоям — гарантия того, что при умышленном внесении ошибок в пределах заранее оговоренных норм система будет вести себя так, как оговорено заранее.

Кроме вышеперечисленных, необходимо ввести также следующие понятия:

• Угроза — потенциально возможное происшествие (неважно, преднамеренное или нет), которое может оказать нежелательное воздействие на процессы и системы организации;
• Уязвимость информационной системы — любой недостаток, из-за которого становится возможным нежелательное воздействие на нее со стороны злоумышленников, неквалифицированного персонала или вредоносных алгоритмов (программ);
• Убыток — потенциально возможные прямые и косвенные финансовые потери, которые произошли вследствие реализации угрозы и уязвимости;
• Риск — возможность возникновения угрозы, связанной с текущей деятельностью организации; комбинация вероятности события и его последствий согласно ГОСТ Р ИСО/МЭК 27001 (ISO/IEC 27001:2005).

Если внимательно рассмотреть угрозы, то их не так много. Самые распространенные из них возникают:

1. При обеспечении конфиденциальности информации: хищение (копирование) информации и средств ее обработки; утрата (неумышленная потеря, утечка) информации;
2. При обеспечении целостности информации: модификация (искажение) информации; отрицание подлинности информации; навязывание ложной информации;
3. При обеспечении доступности информации: блокирование информации; уничтожение информации и средств ее обработки.

Все вторжения можно разделить на пять основных классов, в зависимости от цели нападения.

Аппаратные средства — рабочие станции, серверы, принтеры, дисковые накопители, сетевые кабели и другие сетевые устройства: мосты, маршрутизаторы, коммутаторы и пр.

Программное обеспечение — любое программное обеспечение, работающее на компьютере в сети, обладает потенциальной возможностью получения данных для злоумышленника. Поэтому операционные системы и программы нуждаются в регулярной установке обновлений и исправленных версий.

Данные. Наиболее значимой ценностью, конечно же, являются данные, которые создаются или используются в сети. Разглашение важных данных может нанести непоправимый ущерб организации.

Люди. В «группу риска» входят все пользователи, имеющие доступ к сети, к любому подключенному к ней компьютеру или устройству.

Документы. Об этом очень важном ресурсе часто забывают. Пароли доступа записываются на бумажках; отчеты, содержащие конфиденциальную информацию, распечатываются, а потом используются для черновиков. Лучше измельчить эти бумаги на мелкие кусочки или сделать их нечитаемыми другим способом, и только потом выбросить.

Физическая безопасность и программный доступ

Предотвращение неавторизованного доступа к сетевым ресурсам означает невозможность физического доступа к компонентам информационно-вычислительной системы — рабочим станциям, серверам, сетевым устройствам и т. п. Оборудование в помещении библиотеки должно находиться под пристальным наблюдением. Когда сетевое соединение выходит за пределы организации (например, в точке подключения к внешнему провайдеру Интернета), то физический контроль за сетью теряется. Тогда остается полагаться на методы шифрования и туннелирования данных.

Как бы просто это ни звучало, но проблему несанкционированного доступа часто решает обычный дверной замок. Серверы, на которых хранятся важные данные, не должны стоять открыто на столе или в незапертой комнате, куда может зайти почти любой. Аналогичным образом должны защищаться маршрутизаторы, концентраторы, коммутаторы и другие устройства. Комнаты с компьютерами должны закрываться на замок или находиться под постоянным наблюдением. В идеале доступ в подобные помещения должен контролироваться путем регистрации в журнале.

Еще одно замечание к технологии резервирования данных. Такие объекты, как резервные носители, ленты или перезаписываемые компакт-диски, должны быть защищены так же, как и исходные данные. Недопустимо хранить резервные копии данных на сервере (рабочей станции) в открытой папке, в виде физических носителей на столе или в незапертом ящике.

Следует ограничить программный доступ к сети. Независимо от того, насколько хорошо налажен контроль доступа к сети, всегда найдется человек, который нарушит эту защиту. Поэтому необходимо иметь возможность проследить сетевые события и определить по ним, не пытался ли кто-то вторгнуться в сеть, и насколько ему это удалось.

Политика информационной безопасности

Политика безопасности в библиотеке — это комплекс мер по защите данных и информационных процессов, включающий в себя определенные требования к персоналу, пользователям и техническим службам.

Хорошая политика обеспечения информационной безопасности, понятная всем пользователям, — нечто большее, чем просто средство предотвращения некоторых возможных проблем. Хорошей и зарекомендовавшей себя практикой является процедура регулярного повторного ознакомления сотрудников с этой политикой, наравне с инструктажем по технике безопасности на рабочем месте. Это не должно быть формальностью. Важно, чтобы сотрудники сознавали, какую ответственность они берут на себя одновременно с правом доступа к информационно-вычислительной системе.

Нельзя обеспечить необходимый уровень защиты данных, реализуя мероприятия по информационной безопасности бессистемно. Чтобы сотрудники осознали приоритетность мероприятий по повышению уровня безопасности, необходимо разработать механизм управления рисками информационной безопасности, что позволит направить все усилия на защиту от наиболее опасных угроз и минимизацию затрат.

Формируя политику обеспечения безопасности, ответственный сотрудник, прежде всего, проводит инвентаризацию ресурсов, защита которых планируется. Затем он идентифицирует пользователей, которым требуется доступ к каждому из этих ресурсов, и выясняет наиболее вероятные источники опасности для каждого из этих ресурсов.

Располагая этой информацией, можно приступать к построению политики обеспечения информационной безопасности, которую пользователи будут обязаны выполнять.

Политика обеспечения информационной безопасности обычно включает следующие элементы:

• Оценка риска. Что именно защищается и от кого? Нужно идентифицировать информационные ресурсы и возможные источники проблем.
• Ответственность. Необходимо указать ответственных за принятие тех или иных мер по обеспечению информационной безопасности, начиная от утверждения новых учетных записей пользователей и заканчивая расследованием нарушений.
• Правила использования информационно-вычислительными ресурсами. Должно быть прямо сказано, что пользователи не имеют права употреблять информацию не по назначению, использовать ресурсы в личных целях, а также намеренно причинять ущерб размещенной в сети информации.
• Юридические аспекты. Необходимо проконсультироваться с юристом и выяснить все вопросы, которые могут иметь отношение к хранящимся или циркулирующим в сети данным, и включить эти сведения в документы.
• Процедуры по восстановлению системы защиты. Следует указать, что должно быть сделано в случае нарушения системы защиты, и какие действия будут предприняты против тех, кто стал причиной такого нарушения.

Вычисление рисков

Всегда заранее надо определять, насколько серьезным будет ущерб в случае раскрытия той или иной информации или атаки на конкретный информационный ресурс библиотеки. Этот этап носит название «вычисление рисков». Существует множество методов вычисления рисков.

На следующем этапе анализа рисков предстоит определить, какие мероприятия эффективны для минимизации и предотвращения рисков, а какие — нет. На основе анализа эффективности можно корректировать понимание риска, его оценки и требуемых действий. Кроме того, анализ даст возможность увидеть минимизацию параметров уязвимости и ущерб для всех рисков, что в целом усилит режим информационной безопасности.

Оценка эффективности системы управления информационной безопасностью — это системный процесс получения оценки объективных данных о текущем состоянии системы, устанавливающий уровень их соответствия определенным критериям. На этом этапе ведется мониторинг заранее запланированных мероприятий, нацеленных на минимизацию убытков или частоты появления рисков.

Политика обеспечения информационной безопасности — это не просто правила, которые и так всем понятны. Разработка политики информационной безопасности завершается ее утверждением в администрации библиотеки и детальным документированием. За этим должна следовать активная реализация всех указанных в плане составляющих. А чтобы постоянно напоминать пользователям о важности обеспечения информационной безопасности, можно разослать копии этого документа по всей библиотеке, чтобы эти правила всегда были перед глазами сотрудников.

Запреты во спасение

Здесь я приведу пример политики информационной безопасности библиотеки или объединения библиотек. После первого прочтения может возникнуть ощущение «закручивания гаек», но, перечитав каждый пункт в отдельности и вспомнив реальные случаи из жизни, вы сможете сказать, что представленные здесь запреты имеют право на существование.

Цель: гарантировать использование по назначению информационно-вычислительных ресурсов библиотеки, включая телекоммуникационное оборудование.

Все пользователи (сотрудники библиотек, читатели) обязаны использовать информационно-вычислительные ресурсы квалифицированно, эффективно, придерживаясь норм этики и соблюдая законы.

Политика безопасности, ее правила и условия касаются всех пользователей информационно-вычислительных ресурсов библиотеки (централизованной библиотечной системы), где бы эти пользователи ни находились. Нарушение этой политики влечет за собой дисциплинарные взыскания, вплоть до привлечения к административной или уголовной ответственности.

Данная политика может изменяться и пересматриваться по мере необходимости.

1. Администрация библиотеки имеет право, но не обязана проверять любой или все составляющие информационно-вычислительной и компьютерной системы, в том числе электронную почту, с целью гарантировать соблюдение политики безопасности. Вычислительная техника и бюджетные ассигнования предоставляются пользователям библиотек с целью увеличения эффективности выполнения их работы.
2. Информационно-вычислительные ресурсы библиотеки (ЦБС) могут использоваться только в рабочих целях. Пользователи не должны рассчитывать на конфиденциальность данных, которые они создают, посылают или получают с помощью информационно-вычислительных и телекоммуникационных ресурсов библиотеки.
3. Пользователям следует руководствоваться мерами предосторожности в отношении всех компьютерных и телекоммуникационных ресурсов и служб. Компьютерные и телекоммуникационные ресурсы и службы включают в себя (но не ограничиваются ими): серверы, рабочие станции, мобильные компьютеры, программное обеспечение, внутренние и внешние сети связи (Интернет, коммерческие интерактивные службы и системы электронной почты).
4. Пользователи должны соблюдать условия всех программных лицензий, авторское право и законы, касающиеся интеллектуальной собственности.
5. Неверные, навязчивые, непристойные, клеветнические, оскорбительные, угрожающие или противозаконные материалы запрещается пересылать по электронной почте или с помощью других средств электронной связи, а также отображать и хранить их на ресурсах библиотеки. Пользователи, заметившие или получившие подобные материалы, должны сразу сообщить об этом инциденте своему руководителю.
6. Пользователям не разрешается устанавливать на компьютерах и в сети библиотеки программное обеспечение без разрешения системного администратора.
7. Пользователи не должны пересылать электронную почту другим лицам и организациям без разрешения отправителя.
8. Пользователям запрещается изменять и копировать любые файлы, принадлежащие другим пользователям, без разрешения владельцев файлов.
9. Запрещается использование без предварительного письменного разрешения вычислительных и телекоммуникационных ресурсов и служб библиотеки (ЦБС) для передачи или хранения коммерческих, личных объявлений; ходатайств, рекламных материалов, а также разрушительных программ (вирусов, самовоспроизводящегося кода), политических материалов и любой другой информации, на работу с которой у пользователя нет полномочий или она не предназначена для личного использования.
10. Пользователь несет ответственность за сохранность своих паролей для входа в информационную систему библиотеки (ЦБС). Запрещается распечатывать, хранить в сети или передавать другим лицам индивидуальные пароли. Пользователи несут ответственность за все транзакции, которые кто-либо совершит с помощью их пароля.
11. Возможность входа в другие компьютерные системы через сеть не дает пользователям права на подключение к этим системам и на использование их без специального разрешения операторов этих информационных ресурсов и систем.

Не превратить средство в цель

Практика показывает, что большинство успешных решений было успешным именно благодаря грамотной их организации, технические меры защиты вовсе не главное.

Обычно используются решения, уже опробованные на практике: когда в ходе некого мероприятия было обработано несколько рисков одновременно. Такой подход минимизирует затраты, требует меньше ресурсов для контроля информационной безопасности. Большинство рисков можно минимизировать управленческими решениями, если рассматривать эти риски в качестве операционных, а остальные риски можно минимизировать программными и аппаратными средствами.

Часто же библиотеки устанавливают новые технические решения без предварительной оценки рисков, не определяя целей информационной безопасности и не анализируя, как они повлияют на технологические процессы. А это всегда приводит к потере контроля над ними.

Во многих библиотеках системы информационной безопасности строятся по принципу «все запретить», что вызывает неудобства в работе сотрудников, а самое важное — может стать тормозом развития, поскольку данные и знания перестают быть доступными. Необходимо найти оптимальное сочетание ограничений и свободы обмена информацией внутри и вне библиотеки. Главное, чтобы информационная безопасность из средства не превратилась в цель. Как правило, большое количество запретов приводит к тому, что люди ищут способы обмена данными в обход защищенных каналов, а это сводит все усилия по обеспечению защиты данных к нулю, то есть технологические процессы библиотеки перестраиваются, обходя все запреты.

В заключение следует отметить, что построение эффективной системы информационной безопасности в библиотеке — сложный и непрерывный процесс, от которого зависит наличие тех или иных ресурсов и их работа. Чтобы построить такую систему грамотно, надо привлекать к участию в ее создании много разных специалистов: администрацию, сотрудников, консультантов по данному вопросу, технических экспертов. Один из наиболее важных этапов — это создание эффективного механизма управления рисками, который позволит принимать обоснованные решения и позволит поддерживать бесперебойное функционирование ресурсов библиотеки.

Источник: А. С. Карауш. Сервер — под замок, или Как минимизировать риски // Журнал «Библиотечное дело» [Электронный ресурс] – Режим доступа: http://www.bibliograf.ru/issues/2007/2/66/0/655/.