ГОСТ Р ИСО/МЭК 18028-1-2008 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Сетевая безопасность информационных технологий. Часть 1. Менеджмент сетевой безопасности

     7.1 Общие положения

Информационные системы большинства государственных и коммерческих организаций связаны сетями, причем масштабы ведения электронного бизнеса на глобальной основе все время увеличиваются. Эти сетевые соединения могут быть организованы в рамках организации, между разными организациями и между организацией и широкой общественностью.

Действительно, бурное развитие технологии общедоступных сетей, в особенности Интернета, предоставляет огромные возможности для ведения бизнеса и оказания электронных государственных услуг. Эти возможности простираются от предоставления более дешевой информационной связи с использованием Интернета в качестве глобального средства связи до более сложных услуг Интернет-провайдеров. Это означает использование относительно дешевых локальных точек подключения на каждом конце линии связи до полномасштабных систем электронной торговли и предоставление услуг, использующих сервисы и приложения, основанные на Интернет-технологии. Кроме того, новые технологии, включающие объединение данных и голоса, расширяют возможности для использования бизнес-моделей, предусматривающих мобильную и/или удаленную работу сотрудников. Это позволяет служащим работать вдали от базы значительную часть времени, поддерживая контакт путем использования средств удаленного доступа, таких, как модемные подключения, или все чаще встречающихся беспроводных соединений для установления связи с корпоративной сетью и получения доступа к информации и услугам поддержки бизнеса.

Таким образом, одновременно с деловыми преимуществами эта среда также создает новые риски безопасности, требующие осуществления менеджмента. В связи с тем что организации в значительной степени зависят от информации для ведения своей деловой деятельности, утрата конфиденциальности, целостности, доступности, неотказуемости, подотчетности, подлинности и достоверности информации и услуг может оказывать неблагоприятное воздействие на бизнес-операции. Следовательно, существует важнейшее требование обеспечения защиты информации и осуществления менеджмента безопасности информационных систем внутри организации.

Пример типового построения сети, которое используют в настоящее время во многих организациях, представлен на рисунке 1.

     
Рисунок 1 - Типовое построение сетевой среды

Интранет - внутренняя сеть, используемая и поддерживаемая организацией. Обычно только работающие в организации лица имеют прямой физический доступ к этой сети, а поскольку сеть расположена в пределах помещений, находящихся во владении организации, можно легко достичь определенного уровня физической защиты. В большинстве случаев интранет неоднороден в плане использованных технологий и требований безопасности; он может включать инфраструктуры, требующие более высокого уровня защиты, чем предоставляемый интранетом. Управление такими инфраструктурами, например важнейшими частями среды инфраструктуры открытых ключей, может осуществляться в выделенном сегменте интранета. С другой стороны, определенные технологии могут требовать некоторого изолирования, потому что они вносят дополнительные риски, например инфраструктуры беспроводной ЛВС. В обеих ситуациях для реализации этого сегментирования можно использовать внутренние шлюзы безопасности.

В наше время потребности бизнеса большинства организаций делают необходимыми связь и обмен данными с внешними партнерами и другими организациями. Часто связь с большинством важнейших партнеров по бизнесу осуществляют способом, прямо расширяющим интранет в сторону сети организации-партнера; для таких расширений обычно используют термин "экстранет". Поскольку доверие к подключенным организациям-партнерам в большинстве случаев ниже, чем в пределах самой организации, для устранения рисков, вносимых этими соединениями, используют шлюзы безопасности сети экстранет.

Кроме того, общедоступные сети, в основном Интернет, используют сегодня для обеспечения средств связи и обмена данными с партнерами и клиентами (включая общественность) по оптимизированной стоимости и обеспечения различных форм расширения сети интранет. Из-за низкого уровня доверия в общедоступных сетях, особенно в Интернете, для содействия менеджменту соответствующих рисков необходимы усовершенствованные шлюзы безопасности. Эти шлюзы безопасности включают специфические компоненты для учета требований различных форм расширения сети интранет, а также для связи с партнерами и клиентами.

Удаленные пользователи могут быть подсоединены посредством технологии VPN, кроме того, они могут использовать беспроводные средства связи, такие, как общественные точки доступа к WLAN для получения доступа к Интернету. В качестве альтернативы для установления прямых коммутируемых соединений по телефонной линии с сервером удаленного доступа, который часто размещается в ДМЗ межсетевого экрана Интернет, удаленные пользователи могут использовать телефонную сеть.

Если организация решает использовать технологии VoIP для реализации внутренней телефонной сети, то обычно также присутствуют соответствующие шлюзы безопасности для телефонной сети.

Хотя технологии, используемые в таком типичном сценарии организации сети, во многих отношениях предоставляют расширенные возможности и преимущества для бизнеса, например путем снижения или оптимизации расходов, они также приводят к довольно сложным видам среды и обычно вносят новые риски информационной безопасности. Следовательно, должна осуществляться надлежащая оценка рисков, вносимых этими видами среды, а оцененные риски должны уменьшаться путем реализации соответствующих средств контроля безопасности.

Другими словами, благоприятные возможности бизнеса, предлагаемые этими новыми видами среды, необходимо сопоставлять с рисками, возникающими при использовании новых технологий. Например, Интернет имеет ряд технических свойств, которые могут вызывать беспокойство с точки зрения безопасности. Он первоначально проектировался в расчете на установление соединения, а не исходя из соображений безопасности, и многие из обычно используемых основных протоколов не являются в своей основе безопасными. Преимущество Интернета состоит в том, что это очень открытая система, первоначально разработанная научно-исследовательским сообществом во исполнение требований проектов правительства США, с широкой публикацией результатов и свободным распространением программных средств и спецификаций. Это способствовало популярности и быстрому росту Интернета. Однако именно эти популярность и открытость создают значительную уязвимость в плане безопасности. В глобальной среде есть большое количество людей, имеющих способности, знания и склонность к получению доступа к лежащим в ее основе механизмам и протоколам и созданию проблем безопасности, простирающихся от несанкционированного доступа до крупномасштабного отказа в обслуживании.

Подводя итог, можно сказать, что успешное использование коммерческими и государственными организациями возможностей, предлагаемых современными сетями, зависит от того, в какой степени возможно контролировать риски функционирования в открытой среде и осуществлять их менеджмент.

В 7.2 кратко изложены рекомендуемый процесс идентификации и анализа связанных с системами связи факторов, которые следует учитывать при установлении требований сетевой безопасности, и указания потенциальных контролируемых областей (сфер). Подробное изложение этого процесса предоставлено в последующих разделах.