15-Mavzu: Axborot xavfsizligini ta’minlash usullari. Reja

TAShKILIY XAVFSIZLIK ChORALARI
Ko’proq darajada ular axborot chiqib ketishining ichki xavflarini bartaraf qilishga va xodimlarni tasdiqlangan reglamentlarga rioya qilishlariga motivatsiya qilishga yo’naltirilgan. Ushbu choralar, xavfsizlik xizmati tomonidan personalni boshqarish xizmati xodimlari bilan hamkorlikda amalga oshiriladi. Axborot xavfsizligini ta’minlashning tashkiliy choralari sifatida quyidagilarni keltirib o’tish mumkin:

• 
  xodimlarning tarkibida tijorat siri mavjud bo’lgan ma’lumotlarga kirish huquqlarining turli darajalarini belgilash;
  
• 
  Kompaniyaning mahfiy ma’lumotga kirish huquqiga ega bo’lgan shaxslar sonini cheklash;
  
• 
  moddiy tashuvchilardan foydalanish tartibini tashkil qilish, hujjatlarni nusxalash va skanerlash ustidan nazorat o’rnatish, tashqi elektron pochtaga xodimlarning kirish huquqlarini cheklash;
  
• 
  reglamentlarning rioya qilinishini davriy tekshirishlarini o’tkazish;
  
• 
  ma’lumotlarni himoya qilish bo’yicha treninglar o’tkazish uchun mutaxassislarni jalb qilish;
  
• 
  tijorat siri rejimini yaratish bo’yicha tegishli tadbirlar o’tkazish;
  
• 
  mijozlar bilan tuziladigan shartnomalarga, ularga topshirilgan ma’lumotga nisbatan tijorat siri rejimini rioya qilishlari yuzasidan majburiyatlariga tegishli bandlarning kiritilishi;
  
• 
  ma’lumotni tarqatishda aybdor bo’lgan shaxslarni javobgarlikka tortilishi.
  

Ba’zida axborot xavfsizligi bilan ishlash tizimi kompaniyada vazifasiga faqat shu faoliyat kiradigan maxsus tuzilma tashkil qilinishini talab qiladi. Shuningdek, axborot tizimlarining aksariyati loyihalashtirilayotganda, tashqi hurujlardan himoya qilish darajasi hozirgi vaqtda zarur bo’lganidan ancha past ekanligini hisobga olish lozim. Tashkiliy choralar orasida audit ham bo’lishi mumkin, u zamonaviy standartlarga muvofiqlikni ta’minlaydi.


TEXNIK ChORALAR
Ushbu choralar guruhi ta’sirchan texnik himoya vositalarini ishlatishga mo’ljallangan. Uning amalga oshirilishi uchun apparat, dasturiy va kriptografik vositalaridan foydalaniladi. Birinchilari zahiraviy nusxalash tizimlarini o’rnatish va noqonuniy kirishdan himoya qilishga yo’naltirilgan, ikkinchilari antiviruslar va boshqa himoya dasturlarining ishlashi uchun javob bersa, uchinchilari aloqa kanallari orqali uzatiladigan va saqlanayotgan barcha ma’lumotlarning shifrlanishini ta’minlaydi.
Ko’pincha ma’lumotlarni himoyalash uchun tarmoqlararo ekranlar va noqonuniy kirishlarni aniqlash tizimlaridan foydalaniladi. Texnik vositalar doimiy yangilanish va modernizatsiyani talab qiladi, chunki dasturiy mahsulotlarning eskirish tezligi o’ta yuqori. Bugungi kunda ma’lumotlarni himoyalash bo’yicha kompleks choralarini ta’minlovchi dasturlar taklif qilinmoqda, bular DLP-tizimlar va SIEM-tizimlardir. Birinchilari messenjerlardan foydalangan holda elektron pochta kanallari orqali yoki printerga uzatilayotgan ma’lumotlarni o’g’irlanishini oldini oladi. Agar dastur ma’lumot uzatilishi vaqtida ma’lumotning o’zgarishini aniqlasa, bu uning o’g’irlanishini anglatadi va u ushbu ma’lumotni tashqi kanallarga uzatishni to’xtatadi. SIEM-tizimlari o’zi bilan xavfsizlikni boshqarishning kompleks vositalarini aks etadi, ular tizimning barcha ojiz joylarini aniqlab beradi va barcha ehtimolli xavflar haqida ma’lumotni taqdim qiladi. Bu, tizim va uning foydalanuvchilarining odatdagi harakatlanishlaridan farq qiladigan patternlarni aniqlash orqali amalga oshiriladi.
Kun sayin firibgarlar himoya to’siqlarini engib o’tishning yangidan-yangi usullarini ishlab chiqmoqdalar, shu bilan birga, qimmatli ma’lumotlarni yo’qotish xavfining darajasi o’sib bormoqda, hamda moliyaviy yo’qotishlarning ehtimolli xavflari ham. Xavflarni o’z himoya tizimlarini auditdan o’tkazib, ularning modernizatsiyasi bo’yicha tavsiyalarni olgan holda kamaytirish mumkin.
Kompaniya xavfsizlik xizmatining ishida zamonaviy texnik vositalarining kompleks qo’llanishi ma’lumotlarni chiqib ketishdan va ularga noqonuniy kirishdan yuqori himoya darajasini ta’minlashi mumkin. Barcha amalga oshiriladigan choralar respublikamiz qonunchiligi talablariga to’liq mos kelishini hisobga olish lozim.

15.4.Axborotni himoyalash kontseptsiyasi

Niyati buzuq odamlarni yolg’iz foydalanuvchilar emas, balki korpora- tiv kompyuter tarmoqlari qiziqtiradi. Aynan bunday tarmoqlarda axbo- rotning yo’olishi, ruxsatsiz modifikatsiyalanishi jiddiy oqibatlarga olib kelishi mumkin.
Kompyuter tarmoqlarini himoyalash uyda foydalanuvchi kompyuter- larni himoyalashdan farqlanadi (garchi individual ishchi stantsiyalarni himoyalash-tarmoq himoyasining ajralmas qismi). Chunki, avvalo, bunday masala bilan savoddi mutaxassislar shug’ullanadilar. Shu bilan birga kor- porativ tarmoq xavfsizligi tizimining asosini chetki foydalanuvchilar uchun ishlash kulayligi va texnik mutaxassilarga kuyiladigan talablar o’rtasida murosaga etishish tashkil etadi.
Kompyuter tizimiga ikki nuqtai nazardan qarash mumkin: unda faqat ishchi stantsiyalardan foydalanuvchilarni ko’rish mumkin, yoki faqat tarmoq operatsion tizimining ishlashini hisobga olish mumkin.
Simlar bo’yicha o’tuvchi axborotli paketlar majmuini ham kompyuter tarmog’i deyish mumkin. Tarmoqni ifodalashning bir necha sathlari mav- jud. Xudi shunday tarmoq xavfsizligi muammosiga turli satxdarda yonda- shish mumkin. Mos holda har bir sath uchun himoyalash usuli turlicha bo’ladi. Tizimning ishonchli himoyalanishi himoyalangan satxdar soni bilan belgilanadi.
Birinchi, ko’rinib turgan va amalda eng qiyin yo’l-xodimlarni tarmoq xujumlarini qiyinlashtiruvchi xatti-harakatga o’rgatish. Bu bir qarashda osonday tuyulsada, ammo mushkul ish. 1p1ete1 dan foydalanishni chegaralash lozim.
Aksariyat foydalanuvchilar chegaralanishlar sababini bilmaydilar. Shuning uchun taqiqilar aniq ifodalanishi lozim.
Kompyuter tarmokdari axborotini himoyalashga himoyalash tadbirla- rining yagona siyosatini hamda huquqiy, tashkiliy-ma’muriy va injener- texnik xarakterga ega choralar tizimini o’tkazish orqali erishiladi.
Tarmokda axborotni himoyalashning zaruriy darajasini ishlab chiqishda xodimlar va rahbariyatning o’zaro javobgarligi, shaxs va tashki- lot manfaatlariga rioya qilish, xuquqni muhofaza qiluvchi organlar bilan o’zaro aloqa hisobga olinadi. Raqobatli sharoitda xizmatlarning katta so- nini takdim etish va xizmat qilish vaqtini qisqartirish orqali etakchi o’rinni saqlab qolish va yangi mijozlarni jalb etish mumkin. Bunga faqat barcha amallarni avtomatlashtirishning zaruriy darajasini ta’minlash evaziga erishish mumkin. Ayni zamonda hisoblash texnikasining ishlati- lishi bilan nafaqat paydo bo’lgan muammolar hal etiladi, balki yangi ax- borotni buzilishi va yo’qotilishi, tasodifan va atayin modifikatsiyala- nishi hamda axborotni begonalar tarafidan ruxsatsiz olinishi bilan bog’liq no’ananaviy taxdiddar paydo bo’ladi.
Mavjud holatning taxdili ko’rsatadiki, axborotni himoyalash uchun qilinadigan tadbirlar darajasi, odatda, avtomatlashtirish darajasidan past. Bunday orqada qolish jiddiy oqibatlarga olib kelishi mumkin.
Avtomatlashtirilgan komplekslarda axborotning zaifligiga hisoblash resurslarining kontsentratsiyalanishi, ularning xududiy taqsimlanganligi, magnit eltuvchilarida ma’lumotlarning katta hajmini uzoq vaqt saqlanishi, ko’pgina foydalanuvchilarning resurslardan bir vaqtda foydalanishi sabab bo’ladi.
Bunday sharoitda himoyalash choralarini ko’rish zaruriyatiga shubha qilmasa bo’ladi. Ammo quyidagi qiyinchiliklar mavjud:

• 
  hozirgi kunda himoyalangan tizimlarning yagona nazariyasi yo’q;
  
• 
  himoya vositalarini ishlab chiqaruvchilar xususiy masalalarni echish uchun asosan alohida komponentlarni tavsiya etadilar, himoyalash tizimini shakllantirish va bu vositalarning birga ishlatilishi masalalari esa iste’molchi ixtiyoriga qoldiriladi;
  
• 
  ishonchli himoyani ta’minlash uchun texnik va tashkiliy muam- molari kompleksini hal etish va mos xujjatlarni ishlab chiqish zarur.
  

Yuqorida sanab o’tilgan qiyinchiliklarni bartaraf qilish uchun nafaqat alohida korxona, balki davlat darajasidagi axborot jarayonlarida ishtirok etuvchilari harakatining koordinatsiyasi zarur. Axborot xavfsizligini ta’minlash etarlicha jiddiy masala. Shuning uchun avvalo axborot xavfsizligi kontseptsiyasini ishlab chiqish zarur. Kontseptsiyada mil- liy va korporativ manfaatlar, axborot xavfsizligini ta’minlash prin- tsiplari va madaddash yo’llari aniqpanadi va ularni amalga oshirish bo’yicha masalalar ta’riflanadi.
Kontseptsiya - axborot xavfsizligi muammosiga rasmiy qabul qilingan qarashlar tizimi va uni zamonaviy tendentsiyalarni hisobga olgan holda echish yo’llari.
Kontseptsiyada ifodalangan maqsaddar, masalalar va ularni bo’lishi mumkin bo’lgan echish yo’llari asosida axborot xavfsizligini ta’minlash- ning muayyan rejalari shakllantiriladi.
Kontseptsiyani ishlab chiqishni uch bosqichda amalga oshirish tavsiya etiladi (3.1-rasm).