Аудит информационной безопасности
Сегодня информационные системы (ИС) играют ключевую роль в обеспечении эффективности работы коммерческих и государственных предприятий. Повсеместное использование ИС для хранения, обработки и передачи информации делает актуальными проблемы их защиты, особенно учитывая глобальную тенденцию к росту числа информационных атак, приводящих к значительным финансовым и материальным потерям. Для эффективной защиты от атак компаниям необходима объективная оценка уровня безопасности ИС — именно для этих целей и применяется аудит безопасности.
Что такое аудит безопасности
Определение аудита безопасности еще не устоялось, но в общем случае его можно описать как процесс сбора и анализа информации об ИС для качественной или количественной оценки уровня ее защищенности от атак злоумышленников. Существует множество случаев, когда целесообразно проводить аудит безопасности. Это делается, в частности, при подготовке технического задания на проектирование и разработку системы защиты информации и после внедрения системы безопасности для оценки уровня ее эффективности. Возможен аудит, направленный на приведение действующей системы безопасности в соответствие требованиям российского или международного законодательства. Аудит может также предназначаться для систематизации и упорядочения существующих мер защиты информации или для расследования произошедшего инцидента, связанного с нарушением информационной безопасности.
Как правило, для проведения аудита привлекаются внешние компании, которые предоставляют консалтинговые услуги в области информационной безопасности. Инициатором процедуры аудита может стать руководство предприятия, служба автоматизации или служба информационной безопасности. В ряде случаев аудит также проводится по требованию страховых компаний или регулирующих органов. Аудит безопасности выполняется группой экспертов, численность и состав которой зависит от целей и задач обследования, а также от сложности объекта оценки.
Виды аудита безопасности
Можно выделить следующие основные виды аудита информационной безопасности:
- экспертный аудит безопасности, в ходе которого выявляются недостатки в системе мер защиты информации на основе опыта экспертов, участвующих в процедуре обследования;
- оценка соответствия рекомендациям международного стандарта ISO 17799, а также требованиям руководящих документов ФСТЭК (Гостехкомиссии);
- инструментальный анализ защищенности ИС, направленный на выявление и устранение уязвимостей программно-аппаратного обеспечения системы;
- комплексный аудит, включающий в себя все вышеперечисленные формы проведения обследования.
Любой из перечисленных видов аудита может проводиться по отдельности или в комплексе, в зависимости от тех задач, которые решает предприятие. В качестве объекта аудита может выступать как ИС компании в целом, так и ее отдельные сегменты, в которых обрабатывается информация, подлежащая защите.
Проведение аудита безопасности
В общем случае аудит безопасности, вне зависимости от формы его проведения, состоит из четырех основных этапов, на каждом из которых выполняется определенный круг работ (см. рисунок).
 |
Основные этапы работ при проведении аудита безопасности.
|
На первом этапе совместно с заказчиком разрабатывается регламент, устанавливающий состав и порядок проведения работ. Основная задача регламента — определить границы, в рамках которых будет проводиться обследование. Регламент позволяет избежать взаимных претензий по завершении аудита, поскольку четко определяет обязанности сторон. Как правило, регламент содержит следующую основную информацию:
- состав рабочих групп от исполнителя и заказчика для проведения аудита;
- список и местоположение объектов заказчика, подлежащих аудиту;
- перечень информации, которая будет предоставлена исполнителю;
- перечень ресурсов, которые рассматриваются в качестве объектов защиты (информационные, программные, физические ресурсы и т. д.);
- модель угроз информационной безопасности, на основе которой проводится аудит;
- категории пользователей, которые рассматриваются в качестве потенциальных нарушителей;
- порядок и время проведения инструментального обследования ИС заказчика.
На втором этапе, в соответствии с согласованным регламентом, собирается исходная информация. Методы сбора информации включают интервьюирование сотрудников заказчика, заполнение опросных листов, анализ предоставленной организационно-распорядительной и технической документации, использование специализированных инструментальных средств.
Третий этап работ предполагает анализ собранной информации с целью оценки текущего уровня защищенности ИС предприятия. По результатам проведенного анализа на четвертом этапе разрабатываются рекомендации по повышению уровня защищенности ИС от угроз информационной безопасности.
Ниже мы подробнее рассмотрим этапы аудита, связанные со сбором информации, ее анализом и разработкой рекомендаций по повышению уровня защиты ИС.
Сбор исходных данных
Качество аудита безопасности во многом зависит от полноты и точности информации, полученной в процессе сбора исходных данных. Поэтому в нее необходимо включить следующее: организационно-распорядительную документацию, касающуюся вопросов информационной безопасности, сведения о программно-аппаратном обеспечении ИС, информацию о средствах защиты, установленных в ИС, и т. д. Более подробный перечень исходных данных представлен в табл. 1.
Таблица 1. Перечень исходных данных, необходимых для аудита безопасности
| Тип информации | Состав исходных данных |
| Организационно-распорядительная документация по вопросам информационной безопасности |
|
| Информация об аппаратном обеспечении хостов |
|
| Информация об общесистемном ПО |
|
| Информация о прикладном ПО |
|
| Информация о средствах защиты, установленных в ИС |
|
| Информация о топологии ИС |
|
Как уже отмечалось выше, для сбора исходных данных применяются следующие методы.
Интервьюирование сотрудников заказчика, обладающих необходимой информацией.
Интервью обычно проводятся как с техническими специалистами, так и с представителями
руководящего звена компании. Перечень вопросов, которые планируется обсудить
в процессе интервью, согласовывается заранее.
Предоставление опросных листов по определенной тематике, которые сотрудники
заказчика заполняют самостоятельно. В тех случаях, когда представленные материалы
не полностью отвечают на необходимые вопросы, проводится дополнительное интервьюирование.
Анализ организационно-технической документации, используемой заказчиком.
Использование специализированного ПО, которое позволяет получить необходимую
информацию о составе и настройках программно-аппаратного обеспечения ИС предприятия.
Например, с помощью систем анализа защищенности (security scanners) можно провести
инвентаризацию сетевых ресурсов и выявить уязвимости в них. В качестве примеров
таких систем можно назвать Internet Scanner компании ISS и XSpider компании
Positive Technologies.
Оценка уровня безопасности ИС
После сбора необходимой информации проводится ее анализ с целью оценки текущего уровня защищенности системы. В процессе такого анализа определяются риски информационной безопасности, которым подвержена компания. Фактически риск представляет собой интегральную оценку того, насколько эффективно существующие средства защиты способны противостоять информационным атакам.
Обычно выделяют две основные группы методов расчета рисков безопасности. Первая группа позволяет установить уровень риска путем оценки степени соответствия определенному набору требований к информационной безопасности. В качестве источников таких требований могут выступать:
- нормативно-правовые документы предприятия, касающиеся вопросов информационной безопасности (политика безопасности, регламенты, приказы, распоряжения);
- требования действующего российского законодательства — руководящие документы ФСТЭК (Гостехкомиссии), СТР-К, требования ФСБ РФ, ГОСТы и т. д.;
- рекомендации международных стандартов — ISO 17799, OCTAVE, CoBIT, BS 7799-2 и т. д.;
- рекомендации компаний-производителей программного и аппаратного обеспечения — Microsoft, Oracle, Cisco и т. д.
Вторая группа методов оценки рисков информационной безопасности базируется на определении вероятности реализации атак, а также уровней их ущерба. Значение риска вычисляется отдельно для каждой атаки и в общем случае представляется как произведение вероятности проведения атаки a на величину возможного ущерба от этой атаки — Риск (a) = P(a) . Ущерб (a). Значение ущерба определяется собственником информационного ресурса, а вероятность атаки вычисляется группой экспертов, проводящих процедуру аудита. Вероятность в данном случае рассматривается как мера того, что в результате проведения атаки нарушители достигли своих целей и нанесли ущерб компании.
Методы обеих групп могут использовать количественные или качественные шкалы для определения величины риска информационной безопасности. В первом случае для риска и всех его параметров берутся численные выражения. Например, при использовании количественных шкал вероятность проведения атаки P(a) может выражаться числом в интервале [0,1], а ущерб от атаки — задаваться в виде денежного эквивалента материальных потерь, которые может понести организация в случае успешной атаки. При использовании качественных шкал числовые значения заменяются на эквивалентные им понятийные уровни. Каждому понятийному уровню в этом случае будет соответствовать определенный интервал количественной шкалы оценки. Количество уровней может варьироваться в зависимости от применяемых методик оценки рисков. В табл. 2 и 3 приведены примеры качественных шкал оценки рисков информационной безопасности, в которых для оценки уровней ущерба и вероятности атаки используется пять понятийных уровней.
Таблица 2. Качественная шкала оценки уровня ущерба
| № | Уровень ущерба | Описание |
| 1 | Малый | Незначительные потери материальных активов, которые быстро восстанавливаются, или незначительные последствия для репутации компании |
| 2 | Умеренный | Заметные потери материальных активов или умеренные последствия для репутации компании |
| 3 | Средней тяжести | Существенные потери материальных активов или значительный урон репутации компании |
| 4 | Большой | Большие потери материальных активов и большой урон репутации компании |
| 5 | Критический | Критические потери материальных активов или полная потеря репутации компании на рынке, что делает невозможным ее дальнейшую деятельность |
Таблица 3. Качественная шкала оценки вероятности проведения атаки
| № | Вероятность атаки | Описание |
| 1 | Очень низкая | Атака практически никогда не будет проведена. Соответствует числовому интервалу вероятности [0, 0,25) |
| 2 | Низкая | Вероятность проведения атаки достаточно низкая. Соответствует числовому интервалу вероятности [0,25, 0,5) |
| 3 | Средняя | Вероятность проведения атаки приблизительно равна 0,5 |
| 4 | Высокая | Атака скорее всего будет проведена. Соответствует числовому интервалу вероятности (0,5, 0,75] |
| 5 | Очень высокая | Атака почти наверняка будет проведена. Соответствует числовому интервалу вероятности (0,75, 1] |
Для вычисления уровня риска по качественным шкалам применяются специальные таблицы, в которых в первом столбце задаются понятийные уровни ущерба, а в первой строке — уровни вероятности атаки. Ячейки же таблицы, расположенные на пересечении соответствующих строк и столбцов, содержат уровень риска безопасности (табл. 4). Размерность таблицы зависит от количества концептуальных уровней вероятности атаки и ущерба.
Таблица 4. Определение уровня риска информационной безопасности по качественной
шкале
|
Вероятность атаки
|
|||||
| Ущерб | очень низкая | низкая | средняя | высокая | очень высокая |
| Малый | Низкий риск | Низкий риск | Низкий риск | Средний риск | Средний риск |
| Умеренный | Низкий риск | Низкий риск | Средний риск | Средний риск | Высокий риск |
| Средней тяжести | Низкий риск | Средний риск | Средний риск | Средний риск | Высокий риск |
| Большой | Средний риск | Средний риск | Средний риск | Средний риск | Высокий риск |
| Критический | Средний риск | Высокий риск | Высокий риск | Высокий риск | Высокий риск |
При расчете значений вероятности атаки, а также уровня возможного ущерба используют
статистические методы, экспертные оценки или элементы теории принятия решений.
Статистические методы предполагают анализ уже накопленных данных о реально случавшихся
инцидентах, связанных с нарушением информационной безопасности. На основе результатов
такого анализа строятся предположения о вероятности проведения атак и уровнях
ущерба от них в других ИС. Однако статистические методы не всегда удается применить
из-за недостатка статистических данных о ранее проведенных атаках на ресурсы
ИС, аналогичной той, которая выступает в качестве объекта оценки.
При использовании аппарата экспертных оценок анализируются результаты работы группы экспертов, компетентных в области информационной безопасности, которые на основе имеющегося у них опыта определяют количественные или качественные уровни риска. Элементы теории принятия решений позволяют применять для вычисления значения риска безопасности более сложные алгоритмы обработки результатов работы группы экспертов.
Существуют специализированные программные комплексы, позволяющие автоматизировать процесс анализа исходных данных и расчета значений рисков при аудите безопасности. Примеры таких комплексов — «Гриф» и «Кондор» компании Digital Security, а также «АванГард», разработанный в Институте системного анализа РАН.
Результаты аудита безопасности
На последнем этапе аудита информационной безопасности разрабатываются рекомендации по совершенствованию организационно-технического обеспечения защиты на предприятии. Такие рекомендации могут включать в себя различные типы действий, направленных на минимизацию выявленных рисков.
Уменьшение риска за счет дополнительных организационных и технических
средств защиты, позволяющих снизить вероятность проведения атаки или уменьшить
возможный ущерб от нее. Так, установка межсетевых экранов в точке подключения
ИС к Интернету существенно снижает вероятность проведения успешной атаки на
общедоступные информационные ресурсы ИС — такие, как Web-серверы, почтовые серверы
и т. д.
Уклонение от риска путем изменения архитектуры или схемы информационных
потоков ИС, что позволяет исключить проведение той или иной атаки. Например,
физическое отключение от Интернета сегмента ИС, в котором обрабатывается конфиденциальная
информация, позволяет избежать внешних атак на конфиденциальную информацию.
Изменение характера риска в результате принятия мер по страхованию.
В качестве примеров изменения характера риска можно привести страхование оборудования
ИС от пожара или страхование информационных ресурсов от возможного нарушения
их конфиденциальности, целостности или доступности. В настоящее время ряд российских
компаний уже предлагают услуги страхования информационных рисков.
Принятие риска, если он уменьшен до того уровня, на котором уже не представляет
опасности для ИС.
Обычно рекомендации направлены не на полное устранение всех выявленных рисков, а лишь на их уменьшение до приемлемого уровня. При выборе мер для повышения уровня защиты ИС учитывается одно принципиальное ограничение — стоимость реализации этих мер не должна превышать стоимости защищаемых информационных ресурсов, а также убытков компании от возможного нарушения конфиденциальности, целостности или доступности информации.
В завершение процедуры аудита его результаты оформляются в виде отчетного документа, который предоставляется заказчику. В общем случае этот документ состоит из следующих основных разделов:
- описание границ, в рамках которых проводился аудит безопасности;
- описание структуры ИС заказчика;
- методы и средства, которые использовались в процессе проведения аудита;
- описание выявленных уязвимостей и недостатков, включая уровень их риска;
- рекомендации по совершенствованию комплексной системы обеспечения информационной безопасности;
- предложения к плану реализации первоочередных мер, направленных на минимизацию выявленных рисков.
Заключение
Аудит информационной безопасности — один из наиболее эффективных сегодня инструментов для получения независимой и объективной оценки текущего уровня защищенности предприятия от угроз информационной безопасности. Кроме того, результаты аудита дают основу для формирования стратегии развития системы обеспечения информационной безопасности организации. Однако необходимо понимать, что аудит безопасности — не разовая процедура, он должен проводиться на регулярной основе. Только в этом случае аудит будет приносить реальную отдачу и способствовать повышению уровня информационной безопасности компании.