Начало года, как обычно, не было богато на новости и события в области информационной безопасности. Практически все (от системных администраторов до пользователей) были заняты пред- и после- новогодними и рождественскими хлопотами.
Поэтому, в сегодняшнем номере мы решили отойти от привычного формата: сегодня мы предлагаем Вашему вниманию подборку статей ранее уже публиковавшихся на страницах
InfoSecurity.ru.
Очевиден тот факт, что защита информации должна носить комплексный характер. Однако организация обеспечения безопасности информации должна еще и основываться на глубоком анализе возможных негативных последствий. Важно не упустить какие-либо существенные аспекты. Уходит в прошлое нагромождение различных средств защиты как реакция на первую волну страха перед компьютерными преступлениями. Приступая к созданию системы информационной безопасности, необходимо оценить, какие угрозы наиболее актуальны.
Предприятия больше не хотят выбрасывать деньги на ветер; они хотят покупать только то, что действительно необходимо для построения надежной системы защиты информации и при этом с минимальными расходами. А чтобы не стрелять из пушки по воробьям и не бросаться с пистолетом на танк, необходимо знать о характере возможных опасностей. Еще Виссарион Белинский отмечал, что "найти причину зла - почти то же, что найти против него лекарство".
При создании инфраструктуры корпоративной автоматизированной системы неизбежно встает вопрос о защищенности ее от угроз. Насколько адекватны механизмы безопасности существующим рискам? Можно ли доверять этой системе обработку конфиденциальной информации? Есть ли в текущей конфигурации ошибки, позволяющие злоумышленникам обойти механизмы контроля доступа? Содержит ли установленное программное обеспечение уязвимости, которые могут быть использованы для взлома защиты? Как оценить уровень защищенности и как определить, достаточен ли он в данной среде? Какие контрмеры позволят реально повысить уровень защищенности? На какие критерии оценки защищенности следует ориентироваться?
При создании инфраструктуры корпоративной автоматизированной системы неизбежно встает вопрос о защищенности ее от угроз. Насколько адекватны механизмы безопасности существующим рискам? Можно ли доверять этой системе обработку конфиденциальной информации? Есть ли в текущей конфигурации ошибки, позволяющие злоумышленникам обойти механизмы контроля доступа? Содержит ли установленное программное обеспечение уязвимости, которые могут быть использованы для взлома защиты? Как оценить уровень защищенности и как определить, достаточен ли он в данной среде? Какие контрмеры позволят реально повысить уровень защищенности? На какие критерии оценки защищенности следует ориентироваться?
Анализ защищенности компьютерных сетей организаций
В ходе исследования ставилась задача оценить степень защищенности компьютерных сетей организаций от возможных внешних сетевых атак. Другими словами, оценивалась "хакероустойчивость" корпоративных сетей, имеющих выход в Интернет. Проблемы внутренней информационной безопасности компаний в настоящем обзоре не рассматриваются. Вся основная информация представлена на диаграммах, поэтому в тексте мы приводим только минимальные комментарии.
Рано или поздно ИТ-менеджер небольшой или средней компании сталкивается с необходимостью провести аудит безопасности информационной системы. Даже в более крупной компании, в которой защита системы децентрализована, вполне возможно, что именно ему поручат выполнение этой задачи. ИТ-менеджер - не эксперт по безопасности и не аудитор, к тому же выделенные ресурсы весьма ограниченны. Каковы же его действия в данной ситуации?
Актуальность проблемы защиты информации ни у кого не вызывает сомнения; особенно в последнее
время, когда не проходит месяца, чтобы в России не устраивались конференции или семинары,
посвященные этой теме. Российский рынок начинают осваивать многие зарубежные компании,
которые еще недавно сторонились отечественного потребителя. К сожалению, такое изобилие
приводит многих потенциальных заказчиков в замешательство. Что выбрать для защиты своей сети?
Что актуально сейчас и что будет актуально в ближайшем будущем? Попробую ответить на данный
вопрос.
Аудит как фактор обеспечения безопасности информации
Digital Security
В этой вопросе мы рассмотрим только аспекты, связанные с аудитом происходящих в сети событий и сохраняющие свою актуальность в случае применения разных сетевых ОС и аппаратных средств. В то же время для большей доказательности некоторых выводов мы приведем примеры, основанные на работе конкретных программных продуктов.
При правильном использовании возможностей аудита можно без дополнительных финансовых затрат существенно повысить безопасность информации в имеющейся компьютерной сети.
Методики и технологии управления информационными рисками
Сергей Петренко, Сергей Симонов
Понятия "оценка рисков" (Risk Assessment) и "управление рисками" (Risk Management) появились сравнительно недавно и сегодня вызывают постоянный интерес специалистов в области обеспечения непрерывности бизнеса (Business Continuity) и сетевой безопасности (Network Security). Примерно с 1995 года в ряде высокотехнологичных стран мира, главным образом в США, Великобритании, Германии и Канаде, проводятся ежегодные слушания специально созданных комитетов и комиссий по вопросам управления информационными рисками. Подготовлено более десятка различных стандартов и спецификаций, детально регламентирующих процедуры управления информационными рисками, среди которых наибольшую известность приобрели международные спецификации и стандарты ISO 177992002 (BS 7799), GAO и FISCAM, SCIP, NIST, SAS 78/94 и COBIT. Насколько методики и технологии управления информационными рисками могут быть полезны для вашей компании? Давайте посмотрим вместе.
От слова "аудит" даже у самих закаленных в битвах должностных лиц могут побежать мурашки по коже. Это значит, что некая внешняя организация проведет формальную письменную проверку одного или нескольких компонентов организации. Финансовые аудиты - наиболее привычные проверки, с которыми встречается финансовый менеджер. Это явление известно всем должностным лицам: они знают, что финансовые аудиторы произведут проверку финансовых записей и путей их использования. Они также могут быть знакомы с аудитом безопасности на физическом уровне. Однако, они вряд ли знакомы с аудитом безопасности информации; то есть методами обеспечения конфиденциальности, доступности и целостности информации. Аудит безопасности информации - это один из лучших путей для достижения безопасности информации внутри организации без лишних затрат или других убытков, связанных со случаями нарушения безопасности.
Крайне важно понять, что безопасность - это не продукт, который можно купить в магазине и быть уверенным в собственной защищенности. "Безопасность" - особая комбинация как технических, так и административных мер. Административные меры также включают в себя не только бумаги, рекомендации, инструкции, но и людей. Невозможно считать свою сеть "безопасной", если вы не доверяете людям, работающим с этой сетью.
Идеальная безопасность - недостижимый миф, который могут реализовать, в лучшем случае, только несколько профессионалов. Есть один фактор, который невозможно преодолеть на пути к идеальной безопасности - это человек.
Обсуждение проблемы обеспечения информационной безопасности (ИБ) бизнеса становится все более и более популярной темой в различных "околокомпьютерных" СМИ. Как правило авторы статей изощряются в описании различных решений, анализируют преимущества и недостатки известных продуктов и технологий, описывают новые подходы и методики и т.д. При этом как-то само-собой разумеющимся и потому остающимся за кадром является тезис о том, что данная проблема актуальна и ею безусловно необходимо заниматься. В тени остается вопрос о том, каковы же собственно интересы Бизнеса в решении этой проблемы? Ведь стандартного тезиса о том, что критичная для Бизнеса информация должна быть доступной, целостной и конфиденциальной явно недостаточно, учитывая, что информация - понятие достаточно эфемерное; угрозы безопасности такой информации носят сугубо вероятностный характер (а как известно, пока гром не грянет, мужик не перекрестится, т.е. в данном случае руководство денег не даст), а технические и организационные решения по безопасности стоят очень конкретные, и немалые кстати, деньги!
Обеспечение защиты информации на практике происходит в условиях случайного воздействия самых разных факторов. Некоторые из них систематизированы в стандартах, некоторые заранее неизвестны и способны снизить эффективность или даже скомпрометировать предусмотренные меры. Оценка эффективности защиты должна обязательно учитывать как объективные обстоятельства, так и вероятностные факторы.
Оценка затрат компании на Информационную безопасность
Сергей Петренко
Большинство руководителей служб автоматизации (CIO) и служб информационной безопасности (CISO) отечественных компаний наверняка задавалось вопросами: "Как оценить эффективность планируемой или существующей корпоративной системы защиты информации? Как оценить эффективность инвестиционного бюджета на информационную безопасность (ИБ) компании? В какие сроки окупятся затраты компании на ИБ? Как экономически эффективно планировать и управлять бюджетом компании на ИБ?". Давайте попробуем найти возможные ответы на эти вопросы.
Комплект дисков по информационной безопасности. Новогодние предложение!!!
Только для читателей InfoSecurity.ru. Вы можете приобрести комплект из 7 CD по информационной безопасности подготовленных специалистами компании "Digital Security" всего за 199 у.е. Таким образом, Вы экономите более 60 у.е.
Курс Администратор безопасности сети разработан экспертами по информационной безопасности компании "Digital Security" на основе многолетнего практического опыта работы в данной области.
Типовая политика информационной безопасности компании малого и среднего бизнеса - комплект документов и инструкций
Справочник разработан коллективом экспертов по информационной безопасности компании "Digital Security" на основе многолетнего практического опыта. Коллективом авторов руководил исполнительный директор компании, к.т.н. Илья Медведовский, автор серии книги "Атака на Интернет" и многочисленных публикаций по вопросам информационной безопасности.
Если у Вас имеются пресс-релизы, статьи, описание продуктов и услуг, подготовленные Вами или специалистами Вашей компании, мы готовы рассмотреть вопрос публикации их на страницах газеты InfoSecurity.ru. Присылайте Ваши предложения и материалы по этому адресу.
