[ЗВУК] Еще один раздел политики безопасности следует посвятить вопросам эксплуатации информационных систем. Целью данного раздела должны являться обеспечение уверенности в постоянном поддержании уровня безопасности при эксплуатации информационной системы. А достичь этого можно путем, с одной стороны, обеспечения условий для поддержания этого уровня безопасности и, с другой стороны, путем постоянного контроля за актуальным уровнем безопасности в информационной системе. Основными рекомендациями для решения этих задач является, во-первых, выявление и согласование требований безопасности еще до разработки или внедрения информационной системы и ее компонентов, то есть учет их еще при проектировании информационной системы, закупка оборудования, не обладающего уязвимостями или их минимальным количеством, выбор тех настоек, которые обеспечивают максимальную защищенность информационной системы; и, во-вторых, следование практике, при которой внедрение информационной системы должно осуществляться в виде общего проекта, содержащего требования по безопасности с обоснованиями и согласованиями, оформленными в виде документов. В данном разделе следует сформулировать следующие положения: во-первых, требования к мерам и средствам контроля и управления информационной безопасностью; во-вторых, к мерам предотвращения ошибок, потерь и неавторизованной информации или нецелевого использования информации в прикладных программах; в-третьих, порядок использования криптографических мер защиты информации, а также средств контроля и управления. Здесь же должны быть рассмотрены политика управления криптографическими ключами, поскольку в многом именно от правильного управления криптографическими ключами зависит надежность системы криптографической защиты информации в целом. Под словом «система» в данной случае я имею в виду не какой-то конкретный алгоритм шифрования или алгоритм хеширования, а всей системы криптографической защиты организации. Здесь же должны быть рассмотрены меры обеспечения безопасности системных файлов, меры продотвращения утечки информации. В этом же разделе должен быть сформулирован порядок делегирования разработки программного обеспечения сторонним организациям, то есть аутсорсинга. Риск данного мероприятия, то есть аутсорсинга, связан с деятельностью нарушителей, относящихся к категории разработчиков программного обеспечения. И они, как следует из различных моделей нарушителя, могут реализовать такие угрозы, то есть действовать из таких мотивов, как внедрение специальных уязвимостей в разрабатываемое ими программное обеспечение, которое в дальнейшем может быть использовано ими же или другими нарушителями для реализации новых угроз. Соответственно, для обеспечения информационной безопасности в ситуации, когда осуществляется подобное делегирование, следует предусмотреть контроль отсутствия недекларированных возможностей в программном обеспечении, контроль за качеством реализации такого программного обеспечения, то есть его отказоустойчивости, и осуществить соответствующую приемку этого программного обеспечения, в процессе которой было бы установлено соответствие данного программного обеспечения представленным к нему требованиям на основании, например, технического задания, включающего в том числе и требования по безопасности. Здесь следует, наверное, дать пояснение, касающееся того, что подразумевается под недекларированными возможностями. Подробно недекларированные возможности и меры по контролю их отсутствия описаны в одном из руководящих документов Федеральной службы по техническому экспортному контролю, а собственно под недекларированными возможностями подразумеваются такие возможности программного обеспечения, которые не описаны в документации к этой системе. Речь идет о различных действиях программного обеспечения, которые являются как бы дополнительными по отношению к основному функционалу, ради которого это программное обеспечение и проектировалось, и реализовывалось. Например, программное обеспечение, выполняя свою полезную нагрузку, то есть выполняя свою полезную функцию, может одновременно осуществлять шпионаж в системе пользователя в пользу своего разработчика и передавать ему какую-то конфиденциальную информацию. Это пример такой недекларированной возможности. Разумеется, такие недекларированные возможности широко используют нарушители, так или иначе побуждая легальных пользователей использовать разработанные ими программные обеспечения. Типичным является маскирование этих недекларированных возможностей под какими-то полезными действиями. Поэтому, например, загружая из глобальной сети Интернет те или иные как бы полезные программы, следует быть очень внимательными и всегда опасаться наличия тех или иных недекларированных возможностей. В худшем случае это могут быть вредоносные программы типа троянских программ, которые могут осуществить какие-то вредоносные действия с системой пользователя. Ну а в наиболее легком случае просто информация из этой системы будет доступна нарушителю. В этом же разделе, посвященном вопросам эксплуатации информационных систем, следует сформулировать меры по снижению риска использования известных технических уязвимостей, то есть тех уязвимостей, которые документированы, то есть предусмотреть меры по их парированию, возможно, путем ограничения прав пользователей, возможно, путем ограничения прав программ в системе, возможно, путем каких-то дополнительных средств, установленных в системе, принятия каких-то дополнительных мер безопасности. Но тем или иным путем риск использования данных технических уязвимостей следует минимизировать. [ЗВУК] [ЗВУК] [ЗВУК]
