Formarea politicii de securitate a sistemelor informatice - Securitatea Informatica

Formarea politicii de securitate a sistemelor informatice

Actualmente este perceput faptul că asigurarea securităţii nu reprezintă doar o protecţie contra potenţialelor pagube materiale, ci şi asigurarea unui atu concurenţial, a unei reputaţii sigure, precum şi câştigarea încrederii partenerilor şi clienţilor. Pornind de la importanţa celor menţionate marea majoritate a subiecţilor care tind la prosperarea şi realizarea unei activităţi îndelungate şi prospere investesc temeinic în crearea unei politici actuale şi sigure de securitate în propriul sistem informatic.

Sarcina de bază în etapa de exploatare a oricărui sistem informatic este asigurarea unui nivel viabil de securitate. Această cerinţă este la fel de strictă ca şi cea faţă de funcţionalitatea resurselor şi componentelor sistemului, precum şi a întregii activităţi a sistemului informatic în general. Exploatarea sistemelor informatice, dotate cu sisteme de securitate contemporane, nu este însă o sarcină uşoară, putem spune că reprezintă o sarcină destul de dificilă şi specifică.

Particularitatea de bază a unui sistem de securitate (spre deosebire de alte componente TI) constă în faptul că sistemul informatic care este protejat astăzi sigur, mâine poate deveni vulnerabil. În acelaşi timp, sistemul de securitate care nu este exploatat în corespundere cu cerinţele contemporane sau nu se ia în consideraţie apariţia unor noi pericole, peste câteva luni îşi va pierde actualitatea. În acest sens, producătorii permanent emit noi versiuni ale produselor, care conţin îmbunătăţiri, modificări, care introduc noi aspecte funcţionale şi corecţii de program ce lichidează erorile şi lacunele. Este necesar de a monitoriza aceste modificări şi de a le instalat în propriul sistem. Nu reprezintă un secret faptul că multe vulnerabilităţi, utilizate pentru desfăşurarea atacurilor asupra sistemelor corporative, la momentul atacului erau deja depistate şi cunoscute producătorilor mijloacelor de protecţie sau componentelor TI atacate. Aceste vulnerabilităţi erau posibil a fi lichidate cu câteva săptămâni până la atac, pur şi simplu instalând patch-ul informaţional corespunzător. Pentru a fi la curent cu toate modificările, e necesar de urmărit evoluţia lor şi evenimentele legate de ele. Dacă această măsură este ignorată, sistemul de securitate foarte rapid îşi va încetini îndeplinirea sarcinilor sale.

Exploatarea sistemelor informatice protejate reprezintă o particularitate în sine, dat fiind faptul că în structura lor sunt introduse permanent modificări. De regulă, după cum a demonstrat practica, sistemul informatic care asigură activitatea unei organizaţii mari, practic, nu rămâne static niciodată. Modificările şi completările cu noi componente reprezintă un proces firesc şi continuu, dat fiind faptul că sistemul informatic activează în strânsă concordanţă cu procesele de activitate ce se desfăşoară în instituţia respectivă: implementarea unor noi segmente de activitate duce la crearea unor noi locuri de muncă şi la apariţia de noi servicii informaţionale, creşterea volumului de informaţie implică introducerea noilor tehnologii informaţionale, precum şi a necesităţii de a optimiza sistemul etc., ceea ce duce la micşorarea mecanismelor şi procedurilor de protecţie. Deci, apare necesitatea îmbunătăţirii nivelului de securitate, coordonând permanent cu structura sistemului informatic ce necesită protejare. De aceea, în sistemele informatice perpetue este importantă nu numai introducerea mecanismelor corespunzătoare de protecţie, dar şi asigurarea unui nivel adecvat de securitate în procesul de exploatare. Pentru aceasta este necesară atât asigurarea viabilităţii mijloacelor de protecţie, cât şi efectuarea măsurilor profilactice, materializate prin verificarea nivelului de protecţie a resurselor, ceea ce va permite garantarea acestui nivel chiar şi în contextul introducerii modificărilor.

Astfel, asigurarea securităţii este posibilă prin exploatarea corectă a sistemului şi prin susţinerea politicii de securitate. Aceasta presupune desfăşurarea unui şir de măsuri permanente şi periodice de susţinere tehnică a mijloacelor de protecţie, monitorizarea şi analiza evenimentelor de securitate ce se derulează în sistem, verificarea periodică a nivelului de protecţie a resurselor protejate, aplanarea situaţiilor nefaste şi lichidarea consecinţelor. De asemenea, administrarea sistemelor de securitate trebuie să fie înzestrată cu un anumit grad de automatizare a funcţiilor de administrare şi a altor funcţii de exploatare. Acest punct presupune asigurarea tehnică şi cu programe a administratorilor de securitate şi a şefilor de secţii şi servicii (scanere, mijloace de monitorizare şi dirijare cu securitatea), corelarea evenimentelor, analiza gradului de protecţie a componentelor TI, mijloace de obţinere a statisticii, de generare a concluziilor etc.

Noi mai suntem de părere că asigurarea şi verificarea gradului de protecţie a sistemului informatic reprezintă o sarcină comună atât pentru serviciile de securitate, cât şi pentru serviciile TI. În unele cazuri, funcţionarii serviciului de securitate trebuie să verifice activitatea serviciului TI; în alte cazuri, există situaţii zilnice care necesită coordonarea serviciilor. Pentru ca procesul de colaborare între diverse servicii să decurgă eficient şi fluent, e necesar să se respecte câteva condiţii: să fie strict delimitate sferele de responsabilitate şi obligaţiile tuturor participanţilor la procesul de asigurare a activităţii informaţionale, periodic să fie anihilate şi preîntâmpinate posibilele conflicte de interese între diferite servicii, verificate prin analiza dărilor de seamă ale serviciului TI starea de securitate în scopul de a menţine la nivel atenţia serviciului respectiv faţă de problema asigurării continue a nivelului competitiv de securitate informaţională.

De asemenea, am dori să menţionăm că elaborarea unui sistem solid, bine securizat, cu proceduri de acces atât din exterior, cât şi din interior, bine puse la punct, conferă activităţii sistemului informatic multiple avantaje. Astfel, oricât de mică este instituţia, existenta unei politici de securitate este necesară pentru desfăşurarea eficientă a activităţii propriu-zise. Soluţionarea sarcinilor cu privire la elaborarea unei politici eficiente de securitate în etapa actuală, pentru orişicare instituţie, organizaţie, întreprindere, companie, se reflectă în alegerea criteriilor şi indicatorilor de asigurare a protecţiei, precum şi a gradului de eficienţă a sistemului de protecţie a informaţiei. Astfel, pe lângă diferite acte normative interne naţionale, e necesar de implementat şi recomandările de ordin internaţional, în unele cazuri adaptând metodele naţionale la standardele internaţionale gen: ISO 17799 „Dirijarea cu securitatea informaţională”, ISO 15408 „Tehnologia informaţională – metode de protecţie – criteriile de analiză a securităţii informaţionale” etc.

Pentru elaborarea politicii de securitate şi a planurilor de perfecţionare a acesteia este necesar:

  1. Argumentarea şi realizarea calculului investiţiilor financiare în asigurarea securităţii în baza tehnologiilor de analiză a pericolelor, coraportarea cheltuielilor pentru asigurarea securităţii cu dauna potenţială şi probabilitatea survenirii ei;
  2. Descoperirea şi scoaterea la iveală, precum şi blocarea celor mai periculoase lacune până la sesizarea şi atacarea lor de către agresor;
  3. Determinarea relaţiilor funcţionale şi a zonelor de responsabilitate a subdiviziunilor şi persoanelor cu privire la asigurarea securităţii informaţionale a instituţiei, crearea pachetului necesar de documentaţie cu privire la organizarea şi dirijarea activităţii în domeniul respectiv;
  4. Elaborarea şi coordonarea cu serviciile şi subdiviziunile instituţiei, serviciile de supraveghere, proiectul de introducere a complexelor necesare de protecţie, care se vor elabora în corespundere cu nivelul modern şi tendinţele de dezvoltare a tehnologiilor informaţionale;
  5. Asigurarea susţinerii complexului introdus de securitate în conformitate cu condiţiile dinamice de activitate a instituţiei, perfecţionarea dinamică a setului de documentaţie de organizare şi dirijare cu procesul în cauză, modificarea procesului tehnologic şi a mijloacelor tehnice de asigurare a protecţiei.

În încheiere, am vrea încă o dată să menţionăm că, în prealabil, înainte de a implementa careva soluţii de protejare a informaţiei, e necesară elaborarea politicii de securitate corespunzătoare scopurilor şi sarcinilor unei instituţii sau companii moderne. Politica de securitate trebuie să conţină şi să prevadă în special: ordinea de oferire şi folosire a drepturilor de acces de către utilizatori, de asemenea, darea de seamă a utilizatorilor pentru acţiunile întreprinse în problemele ce ţin de sfera de securitate. Sistemul de securitate informaţională va fi eficient, dacă va corespunde şi va susţine sigur regulile de securitate ale politicii de securitate şi viceversa.

Twitter Digg Delicious Stumbleupon Technorati Facebook


Nici un comentariu inca... Fii primul care lasa un comentariu!

Lasa un raspuns

This site is protected by Comment SPAM Wiper. This site is protected by WP-CopyRightPro