Министерство по развитию информационных технологий и коммуникаций республики узбекистан каршинский филиал ташкентского университета
Download 0.91 Mb. Pdf ko'rish
|
УК Практика Введение в управление рисками ИБ 2022 готовая
|
Контрольные вопросы.
1. Каково влияние сотрудников, которые не уверены в управлении потенциальными рисками в организации? 2. Как называют злоумышленников? 3. Сколько различных воздействий на компьютерную среду организации? 4. Кто такие профессиональные хакеры? 74 15-Практическая работа. Тема: Анализ оценки организационных рисков. Цель работы: изучить требования к безопасности информационных систем, обеспечение безопасности, а также требования к безопасности информационных систем и средств ее управления. Информационные системы включают операционные системы, инфраструктуру, бизнес-приложения, готовые продукты, услуги и приложения, разработанные пользователями. Процесс разработки и внедрения бизнес-приложения или службы может быть чувствительным к безопасности. Требования безопасности должны быть определены и согласованы до разработки информационных систем. Все требования безопасности должны быть определены на этапе разработки технического задания на информационную систему. Они должны быть определены, обоснованы, согласованы и задокументированы в рамках всего проекта. Анализ и спецификация требований безопасности Требования информационной безопасности должны учитываться при формулировании бизнес-требований к новым системам или модернизации существующих систем. Необходимо учитывать возможности автоматики, установленной в системе, а также рассмотреть возможность использования вспомогательных рычагов управления безопасностью. Такой же подход следует применять при оценке пакетов прикладного программного обеспечения. Требования к безопасности системы и средств ее управления должны учитывать важность информационных активов (7.2), потенциальный ущерб, который может быть нанесен бизнесу в результате неэффективности или отсутствия мер безопасности. Требования к системе информационной безопасности и процессы реализации безопасности должны быть интегрированы на ранних стадиях проектов информационных систем. Реализация требований безопасности на этапе проектирования системы позволяет значительно сократить затраты по сравнению с разработкой соответствующих инструментов в процессе внедрения системы или после нее. Если продукт должен быть приобретен, необходимо пройти официальное тестирование и процесс покупки. По договоренности с поставщиками контракты должны учитывать установленные требования безопасности. Если функциональность безопасности не соответствует требованиям, указанным в предлагаемом продукте, вносимый риск и связанные с ним средства контроля должны быть проверены до покупки продукта. Если предоставляются дополнительные функциональные возможности, представляющие угрозу безопасности, предлагаемая структура управления должна быть пересмотрена, чтобы определить, можно ли отключить их или воспользоваться доступными дополнительными функциональными возможностями. Например, руководство может счесть приемлемым использование 75 продуктов, стоимость которых была независимо оценена и сертифицирована. Дополнительную информацию о критериях оценки продуктов безопасности ИТ можно найти в стандарте ISO/IEC 15408:2008 или, при необходимости, в других стандартах оценки и сертификации. Стандарт ISO/IEC 13335-3 включает руководство по использованию процессов управления рисками для определения требований к средствам управления безопасностью. Проверить исходящие данные Необходимо проверить точность вывода данных из приложений, чтобы убедиться, что данные обрабатываются правильно. Подтверждение точности выходных данных должно включать: а) проверка правильности раскрываемой информации с целью определения ее допустимости; b) проверка контрольных счетчиков, чтобы убедиться, что все данные обработаны; c) предоставить им достаточную информацию, чтобы получатель или система последующей обработки могли определить правильность и классификацию информации; г) процедуры реагирования на результаты проверки достоверности и точности исходящих данных; д) определение обязанностей всех сотрудников, вовлеченных в процесс выпуска данных; е) создание журнала действий, выполненных в процессе проверки правильности выдачи данных. Как правило, системы строятся на предположении, что выходные данные всегда будут правильными, если есть адекватная проверка проверок и тестов. Однако это предположение не всегда верно; то есть в некоторых случаях даже проверенные системы могут давать неправильные результаты. Криптографические средства защиты Цель: защита конфиденциальности, оригинальности и целостности информации криптографическими средствами. Необходимо разработать политику использования криптографических средств управления. Принципы управления ключами должны быть реализованы для хранения и использования криптографических методов. Политика использования криптографических средств защиты. Инструмент управления. Необходимо разработать и внедрить политику использования криптографических средств защиты информации. При разработке политики использования криптографических средств необходимо определить следующее: а) методология использования криптографических средств в организации, включая общие принципы защиты деловой информации (5.1.1); б) требуемый уровень защиты на основе выявления рисков с учетом типа, устойчивости и качества требуемого алгоритма шифрования; 76 в) использование шифрования для защиты конфиденциальной информации, передаваемой на мобильных или телефонных носителях, устройствах или передаваемой по линиям связи; г) принципы управления ключами, включая методы восстановления зашифрованной информации в случае утери, компрометации или повреждения ключей; д) распределение обязанностей и ответственности должностных лиц, ответственных за: 1) реализация политики; 2) управление ключами, включая генерацию ключей (12.3.2); е) стандарты, которые следует принять для обеспечения эффективного внедрения методов криптозащиты в организации (какие решения используются, для каких бизнес-процессов); ж) влияние использования зашифрованной информации на инструменты управления, основанные на контент-анализе (например, обнаружение вирусов). При разработке политики использования криптографических средств необходимо учитывать требования нормативно-правовых документов и ограничения, которые могут применяться к использованию криптографических методов в разных странах, а также вопросы, связанные с объемом зашифрованных информационный поток, передаваемый через границы стран (15.1.6). Криптографические элементы управления могут использоваться для достижения различных целей безопасности, таких как: а) конфиденциальность: использование шифрования информации для защиты конфиденциальной и секретной информации, хранимой и передаваемой; б) целостность/аутентичность: использование электронных цифровых подписей или кодов аутентификации сообщений для защиты целостности/аутентичности хранимой или передаваемой конфиденциальной или конфиденциальной информации; в) возможность обжалования: использование криптографических методов для получения доказательств возникновения или отсутствия события или поведения. Решения о применении криптографической защиты следует рассматривать как составную часть общего процесса оценки рисков и выбора мер защиты информации. Эта оценка используется для определения целесообразности использования криптографических средств, их типов, а также для каких целей и для каких бизнес-процессов они должны использоваться. Политика руководства в отношении использования криптографических средств необходима для получения максимальной выгоды и минимизации рисков использования криптографических методов, а также для предотвращения несанкционированного или незаконного использования. При 77 использовании электронных цифровых подписей необходимо учитывать соответствующие правовые документы, в частности правовые документы, определяющие условия, при которых электронные цифровые подписи налагают юридические обязательства. Для обеспечения требуемого уровня защиты и приемлемых спецификаций, которые поддерживают защиту и реализацию безопасных методов управления ключами, следует использовать рекомендации экспертов. Комитет JTCI SC27 ISO/IEC разработал несколько стандартов, связанных с криптографическим управлением. Дополнительная информация доступна в IEEE P1363 и в Руководстве ОЭСР по криптографии. Ключевой менеджмент. Инструмент управления Для обеспечения использования криптографических методов в организации необходимо внедрить управление ключами. Все криптографические ключи должны быть защищены от изменения, потери и искажения. Кроме того, секретные и закрытые ключи должны быть защищены от несанкционированного раскрытия. Оборудование, используемое для подготовки, хранения и архивирования ключей, должно быть физически защищено. Система управления криптографическими ключами должна основываться на согласованных стандартах, процедурах и безопасных методах, таких как: а) генерация ключей с использованием разных криптографических систем и разных приложений; б) генерация и получение сертификатов открытых ключей; в) распространение ключей, включая инструкции по их получению, предполагаемым пользователям; г) хранение ключей, в том числе способ получения права использования ключей авторизованными пользователями; д) замена или переоформление ключей, в том числе правила и сроки процедуры замены ключей; е) порядок действий с скомпрометированными ключами; ж) если ключи были скомпрометированы и пользователь покинул организацию (в этом случае ключи должны быть заархивированы), отзыв ключа, включая методы отзыва ключа и деактивации; з) восстановление утерянных или сломанных ключей для раскрытия тайны зашифрованной информации; и) ключи архивирования, например, для архивированной или зарезервированной информации; к) уничтожение ключей; л) поведение, связанное с регистрацией и управлением ключами аудит деятельности. Для снижения возможности компрометации ключей необходимо определить дату активации и деактивации ключей, чтобы их можно было использовать в течение ограниченного периода времени, в зависимости от 78 обстоятельств использования криптографических средств и уровня защищенности. риск раскрытия информации. В дополнение к безопасному управлению закрытыми и секретными ключами важно рассмотреть возможность защиты подлинности открытых ключей. Этот процесс аутентификации обычно может выполняться с использованием сертификата открытого ключа, выданного центром сертификации, который должен быть официально признанной организацией, которая следует соответствующим правилам и процедурам, обеспечивающим требуемый уровень доверия. Контракты, заключаемые с внешними поставщиками криптографических услуг, например, с органом по сертификации, должны включать требования к ответственности услуг, надежности услуг и времени отклика на запросы об их предоставлении (6.2.3). Управление криптографическими ключами необходимо для эффективного использования криптографических методов. Стандарт ISO/IEC 11770 предоставляет дополнительную информацию об управлении ключами. Существует два типа криптографических методов: а) методы, связанные с секретными ключами, когда две или более сторон совместно используют один ключ, и этот ключ используется как для шифрования, так и для расшифровки информации. Этот ключ должен храниться в секрете, поскольку любой пользователь, имеющий доступ к этому ключу, может расшифровать всю информацию, зашифрованную с помощью ключа, или ввести несанкционированную информацию; б) методы с открытым ключом, когда у каждого пользователя есть пара ключей: открытый ключ (который может использовать каждый) и закрытый ключ (который должен храниться в секрете); Методы криптографии с открытым ключом могут использоваться для создания цифровых подписей, а также для шифрования (см. также ИСО/МЭК 9796 и ИСО/МЭК 14888). Существует риск подделки цифровых подписей и подмены открытых ключей пользователей. Эта проблема решается с помощью сертификатов открытых ключей. Криптографические методы также могут использоваться для защиты криптографических ключей. Необходимо рассмотреть возможности обеспечения правомерного использования криптографических ключей, например, для расшифровки информации, используемой в качестве доказательств в суде. Download 0.91 Mb. Do'stlaringiz bilan baham: 
|