Решения IBM для управления рисками и обеспечения безопасности

Анализ ситуации в сфере ИТ-безопасностии обзор программных средств защиты от вредоносного ПО корпоративного уровня на российском рынке.

Aктуальность проблемы информационной безопасности осознают сегодня практически все компании, но во многих из них системы защиты пока остаются фрагментированными. Однако природа угроз в последние годы такова, что внедрение точечных решений с целью «защиты от злоумышленников» перестало быть жизнеспособным методом защиты бизнеса. По мнению корпорации IBM (), обеспечение безопасности теперь должно базироваться на новых подходах, с помощью которых проще организовать защиту, адаптироваться к новым потребностям бизнеса и повышать его эффективность, а не просто защищать от угроз. И начинать укрепление безопасности нужно с формирования стратегии управления рисками, которая ограничивает влияние угроз, повышает устойчивость бизнеса и позволяет предприятию более уверенно и спокойно вести дела.

Риски нарушения безопасности и затраты на борьбу с ними непрерывно растут. По оценкам экспертов AMR Research, в течение 2007 г. только в Северной Америке расходы компаний на управление ИТ-ресурсами, рисками и соблюдением нормативных требований могут достичь 30 млрд долл. Компании по всему миру сталкиваются с тем, что все больше внимания приходится уделять соблюдению нормативных требований и обеспечению конфиденциальности информации. Именно поэтому IBM реализует общекорпоративную инициативу, поддерживаемую технологиями недавно приобретенных компаний, которые специализируются на разработке решений для безопасности.

В конце прошлого года IBM представила первые услуги и продукты для обеспечения безопасности, разработанные в рамках этой инициативы с целью повысить эффективность управления операционными и информационными рисками. Набор этих средств должен помочь в решении проблем защиты информации в пределах всей корпоративной сети.

Реализация бизнес-моделей, основанных на сотрудничестве с партнерами, все более изощренные атаки на системы безопасности и непрерывное усложнение инфраструктуры приводят к тому, что для управления рисками становится недостаточно уже существующих технологий обеспечения безопасности, внедряемых в оперативном режиме для решения отдельных задач. Подход IBM заключается в стратегическом, комплексном управлении рисками, охватывающем все пять основных областей ИТ-безопасности: защиту информации, выявление угроз и уязвимостей, защиту приложений, управление идентификационными данными и доступом и физическую безопасность (подробнее с решениями IBM в области информационной безопасности можно ознакомиться по адресу www.ibm.com/itsolutions/security).

Обеспечение информационной безопасности

Пакет средств обеспечения безопасности создан подразделением Internet Security Systems (ISS), появившемся в структуре IBM в результате приобретения в 2006 г. компании ISS. Сегодня это подразделение в сотрудничестве с IBM Research интегрирует свои технологии с программными и аппаратными решениями IBM.

Одна из актуальных проблем информационных систем предприятий — контроль передаваемой по сети информации. В этих целях предлагается использовать технологию IBM Proventia Content Analyzer Technology, встроенную в семейство решений Proventia Network Intrusion Prevention System. Входящие в нее средства обеспечивают анализ передаваемых по сети пакетов данных, обнаруживая конфиденциальную информацию самых разных типов и таким образом позволяя оценить вероятность потерь данных. Эти встроенные функциональные возможности используют существующую инфраструктуру IPS, чтобы обеспечить более полное представление о движении информации, помогая более эффективно управлять решениями для защиты данных и оптимизировать их. Анализатор контента на базе IPS распространяет технологии IBM на весь жизненный цикл информации и обеспечивает анализ сетевого трафика, исходя из которого можно глубже изучить проблемы потери данных (Data Loss Prevention, DLP).

Чтобы предоставить клиентам решение для всеобъемлющей защиты данных, охватывающее весь жизненный цикл информации, подразделение IBM ISS сотрудничает с ведущими поставщиками технологий защиты данных — компаниями Application Security (www.appsecinc.com), Fidelis Security Systems (www.fidelissecurity.com), PGP Corporation (www.pgp.com) и Verdasys (www.verdasys.com). Используя ключевые технологии этих партнеров и решения IBM Tivoli, подразделение IBM ISS предлагает полный комплекс услуг по обеспечению безопасности данных на базе аудита активов.

В частности, сервисы IBM Data Security Services for Activity Compliance Monitoring and Reporting помогут компаниям организовать защиту от злоупотреблений со стороны сотрудников, располагающих конфиденциальной информацией, и повысить степень своей готовности к аудиту на основе мониторинга и получения уведомлений о злонамеренных или недопустимых операциях с базами данных и об их уязвимостях. IBM Data Security Services for Endpoint Data Protection предоставят клиентам возможность шифровать данные и управлять ими на оконечных устройствах (ноутбуках и ПК), а IBM Data Security Services for Enterprise Content Protection обеспечат мониторинг и защиту от умышленных и непреднамеренных утечек критически важных данных.

Соответствие нормативным требованиям

Представленные IBM новые решения для обеспечения безопасности данных и соблюдения нормативных требований помогут компаниям отслеживать операции в рамках информационной инфраструктуры с целью выявления действий, не соответствующих установленным требованиям, формирования отчетов и проведения расследований.

Решение IBM User Compliance Management выполняет текущий аудит на основе установленных рабочих политик и уведомляет о выявленных нарушениях, которые могут повлиять на готовность приложений, поддерживающих формирование доходов. Это комплексное решение, включающее ПО IBM Tivoli и услуги, охватывает управление идентификационными данными пользователей, контроль доступа, федеративный доступ, мониторинг активности пользователей и формирование отчетов о соблюдении нормативных требований для гетерогенных сред.

Средство IBM QuickStart Services for Tivoli Compliance Insight Manager должно упростить внедрение ПО IBM для автоматизированной защиты информации и управления событиями, помогая компаниям более эффективно соблюдать нормативные требования и ускорить получение экономического эффекта. IBM Tivoli предоставляет информацию об общепринятых практиках, услуги по установке и конфигурированию программных продуктов, а также рекомендации по проведению аудита на базе выбранных отчетов для каждого типа исходного события.

Еще один представленный набор программных средств — IBM Web Application Security and Compliance Management, разработанный недавно приобретенной компаний Watchfire, — предназначен для управления безопасностью Web-приложений и соблюдения нормативных требований к онлайновым транзакциям. Чтобы ослабить риски, связанные с угрозами нарушения информационной безопасности, для выявления уязвимости можно использовать продукты IBM Rational AppScan и IBM Rational Policy Tester. Они помогут противостоять онлайновым угрозам, обеспечивая конфиденциальность и соблюдение нормативных требований при сокращении затрат благодаря автоматизации процессов, выполняемых вручную.

Решения для мэйнфреймов

По мнению экспертов, независимо от того, направлена ли стратегия предприятия в области безопасности на более эффективное соблюдение нормативных требований или на поддержку непрерывности бизнеса, важно внедрить механизмы обеспечения целостности данных. Мэйнфрейм IBM System z защищает данные за счет таких механизмов, как контроль защищенного доступа и развитые средства аудита, технологии шифрования, использующие надежное хранилище ключей и устойчивую к взлому обработку ключей, а также за счет функций сетевой безопасности — встроенных сервисов обнаружения вторжений и агентов политик сетевой безопасности. Все эти технологии позволяют предотвратить кражи идентификационных данных.

В обновленный вариант ОС IBM Mainframe z/OS включены новые функции, усиливающие средства обеспечения безопасности для онлайновой коммерции и высокозащищенных бизнес-транзакций нового поколения. Например, z/OS в сочетании с сопроцессором Cryptographic Coprocessor, обеспечивающим аппаратное шифрование данных, позволяет запретить доступ неавторизованных пользователей к конфиденциальной информации — данным кредитных карт, адресам и номерам карточек социального страхования клиентов.

Специально разработанный для мэйнфреймов программный комплекс IBM Tivoli zSecure, в котором эффективно применяются технологии приобретенной в январе 2007 г. компании Consul, автоматизирует процессы администрирования системы безопасности, соблюдения нормативных требований и аудита.

Инициатива Security Risk Management

Ключевой компонент стратегии IBM, направленной на предоставление директорам ИТ-служб и руководителям по информационной безопасности новых инструментов управления рисками, — это совместная инициатива подразделений IBM Research, IBM Software Group и научного сообщества, названная Security Risk Management (SRM). Ее ключевая идея состоит в том, чтобы перенести акцент с защиты только ИТ-процессов на защиту важнейших бизнес-процессов, а операционные показатели ИТ переводить в показатели эффективности бизнеса. Иначе говоря, управление ИТ-безопасностью предлагается оценивать в терминах операционных рисков.

Инициатива SRM связывает средства управления безопасностью с важнейшими бизнес-процессами и целями управления рисками. ИТ-руководители могут управлять рисками и перераспределять их между всеми областями обеспечения безопасности, оптимизируя результаты бизнес-деятельности. SRM позволяет оценивать риски, сравнивать риски на уровне бизнеса в масштабе всего предприятия, определять уровни управляемых рисков и затраты для каждого инструмента управления, а также автоматизировать процессы тестирования средств управления, давая тем самым возможность значительно сократить расходы.

В SRM динамическую оценку рисков, например, Business Value at Risk, можно проводить более точно, объективно и в автоматическом режиме. Руководитель по информационной безопасности может сравнивать риски на уровне бизнеса между различными группами в структуре предприятия с течением времени. Если для какого-либо направления бизнеса риски начинают отличаться от рисков других подразделений, руководство может заблаговременно принять меры, а не полагаться исключительно на операционные показатели ИТ-службы.

В целях оптимизации управления бизнесом SRM позволяет оценить управляемые риски и затраты для каждого средства контроля, а также автоматизирует тестирование средств контроля, обеспечивая значительную экономию средств для более эффективного управления предприятием.

При формировании оптимального портфеля технологий обеспечения безопасности следует иметь в виду, что изощренные атаки не направлены на технологии как таковые, они нацеливаются на слабые места в бизнес-процессе. SRM предоставляет руководителям по информационной безопасности эффективный способ оценки этих слабых мест и оптимизации своих инвестиций в обеспечение безопасности в контексте управления реальными рисками для бизнеса. Важна также правильная оценка событийных рисков: внешние события могут оцениваться в контексте реального влияния на бизнес и рассматриваться соответствующим образом, чтобы руководители ИТ-служб и отделов информационной безопасности могли подходить к решению проблем как руководители бизнеса, а не в рамках реализации «ИТ-политики».

Поскольку управление рисками становится важным показателем для аудита и аттестации, Security Risk Management предоставляет четкое подтверждение эффективности управления операционными рисками в области информационной безопасности. Модель замкнутого цикла для совершенствования процессов, связывающая цели бизнеса и оценку рисков, помогает компаниям оптимизировать результаты бизнес-деятельности с течением времени.

Защита данных платежных карт

В рамках реализации своей новой программы защиты платежных карт, объявленной осенью 2007 г., IBM предоставила клиентам продукты и сервисы, необходимые для соблюдения всех 12 требований стандарта Payment Card Industry Data Security Standard (PCI DSS). В отличие от конкурирующих предложений эта комплексная программа помогает компаниям пройти через весь процесс — от оценки и выполнения требований до сертификации. Сервисы и технологии IBM, предоставленные главным образом подразделениями IBM ISS, Tivoli, Rational и IBM Systems and Technology Group, помогут компаниям соблюдать требования к защите данных о платежных картах клиентов.

Поддержка открытых стандартов

При развертывании решений на базе Web-сервисов с высоким качеством эксплуатационных характеристик, в частности безопасности, стоит исключить обмен конфигурационной информацией вручную. Для решения этой задачи предназначены открытые отраслевые спецификации Web Services Policy, которые упрощают взаимодействие между производителями и потребителями Web-сервисов в контексте политики Quality-of-Service (качество обслуживания). IBM приняла на себя роль лидера в продвижении стандарта Web Services Policy 1.5, недавно утвержденного международным консорциумом по Web-стандартам W3C в качестве рекомендованного. Архитектура Web Services Policy Framework предоставляет организациям открытый стандарт управления политиками для вычислительных систем и пользователей в решениях на базе Web-сервисов.

Web Services Policy определяет политики безопасности, а также методы внедрения политик, которые позволяют автоматизировать управление учетными записями и доступом пользователей к системам, ускоряя этот процесс и снижая вероятность ошибок по сравнению с обработкой вручную и без определенной политики.

По материалам корпорации IBM