Управление информационной безопасностью на уровне крупных поставщиков информационных систем

Общая методология организационного обеспечения информационной безопасности на уровне крупных поставщиков информационных систем

В последнее десятилетие – период, когда произошло широкое распространение автоматизированных информационных систем, их объединение в единую глобальную сеть и массовое использование миллионами пользователей одних и тех же компонентов информационных систем (операционных систем, аппаратных платформ, протоколов обмена информацией), – большое значение приобрело то, как поставщики подобных универсальных платформ и компонентов (являющиеся иногда практически монополистами на определенных сегментах рынка) организуют работу по повышению уровня информационной безопасности по различным направлениям. Уровень влияния таких компаний на состояние дел в сфере информационной безопасности иногда может быть очень значительным – даже большим, чем международных организаций и некоторых правительственных структур.

Основные задачи организационной работы крупных (т.е. занимающих большую долю рынка) поставщиков широко используемых информационных систем в сфере информационной безопасности:

Приемы и методы управления информационной безопасностью на этом уровне в каждом случае могут быть различными и определяются для каждой компании-поставщика следующими основными факторами:

Организационная работа в сфере информационной безопасности на уровне таких компаний разделяется на два основных поднаправления:

Внутренняя организационная работа по обеспечению информационной безопасности производимых и продаваемых продуктов является неотъемлемой частью процесса проектирования, производства и маркетинговой поддержки этих продуктов. Однако при этом выделяются дополнительные специальные мероприятия, осуществляемые отдельно от основных производственно-сбытовых процессов в компаниях — крупных производителях информационных систем. Примерами таких специальных организационных мероприятий является создание специальных подразделений, чьей основной задачей является контроль за устранением существующих уязвимостей и выполнение сопутствующих функций, а также обучение разработчиков специальным методам разработки программного обеспечения и аппаратных средств, не содержащих уязвимостей.

Основные приемы и методы внешней организационной работы в сфере информационной безопасности на уровне крупных компаний–поставщиков информационных систем могут быть следующие:

Организация информационного обмена с пользователями продуктов является одним из наиболее важных направлений деятельности компаний в данной сфере. Эта работа включает в себя сбор информации, ее анализ, а также принятие решений о том, необходимо ли информировать все сообщество пользователей, которых может коснуться выявленная уязвимость, или только ограниченный круг доверенных специалистов, имеющих необходимые полномочия и авторитет. Дальнейшие действия, как правило, связаны с уведомлением пользователей о возможных способах решения проблем (потенциальных или уже возникших) и информированием о возможных последствиях реализации угроз.

Организационное обеспечение информационной безопасности на уровне отдельных крупных компаний

Корпорация Microsoft

Корпорация Microsoft является крупнейшим в мире производителем программного обеспечения – ее программные продукты распространены по всему миру. В частности, Microsoft производит и поставляет следующие основные программные средства:

Также корпорацией Microsoft была приобретена компания, занимающаяся поставками систем управления предприятиями (систем класса ERP – Enterprise Resource Planning).

В силу того, что программными продуктами Microsoft пользуется большинство пользователей персональных компьютеров (как частных, так и в коммерческих и правительственных организациях), а на основе серверных программных платформ Microsoft функционирует большинство информационных систем, обеспечивающих обработку, хранение и передачу информации (в том числе и в сети Интернет), организационная работа этой корпорации в сфере информационной безопасности имеет глобальное значение.

Внутренняя организационная работа в сфере информационной безопасности продуктов корпорации Microsoft включает в себя:

В организационной структуре Microsoft помимо MSRC существуют еще одно подразделение, специализирующееся на решении вопросов безопасности – Центр защиты от вредоносных программ (Microsoft Malware Protection Center, MMPC). Он включает в себя несколько лабораторий, расположенных по всему миру, и занимается исследованием вредоносных программ, обеспечивает методическую поддержку разработки различных средств защиты (таких, как Windows Live OneCare, Windows Defender, Malicious Software Removal Tool), а также участвует в процедурах реагирования на возникновение новых угроз безопасности.

Основными направлениями внешней организационной работы корпорации Microsoft в сфере информационной безопасности являются:

Первое направление – организация информирования пользователей о выявленных уязвимостях – строится на основе т.н. Бюллетеней Безопасности ("Security Bulletin"), выпускаемых с определенной периодичностью, а также по мере выхода специальных обновлений, устраняющих выявленные уязвимости (т.н. "заплат", patches). Порядок выпуска этих бюллетеней, их содержание и другие вопросы регулируются специальным организационным документом – Процедурой Выпуска Бюллетеней Безопасности (Security Bulletin Release Process). Также в рамках этой работы организован сбор информации об уязвимостях, выявляемых пользователями: на Интернет-сайте компании размещена специальная форма, заполнив которую, каждый желающий может сообщить о новых самостоятельно обнаруженных уязвимостях в программных продуктах.

Программа упреждающих защитных действий – Microsoft Active Protections Program (MAPP) – представляет собой систему ускоренного информирования разработчиков систем безопасности (антивирусов, систем обнаружения и предотвращения вторжений) о вновь выявленных уязвимостях. Данная программа реализуется для того, чтобы сторонние разработчики систем безопасности могли не дожидаться выхода очередного Бюллетеня Безопасности и как можно раньше начать разрабатывать механизмы нейтрализации новых уязвимостей на основе своих программных решений. Для участия в данной программе допускаются разработчики систем защиты на основе программных платформ Microsoft, клиентская база которых составляет не менее 10000 пользователей.

Поддержка системы обучения пользователей и администраторов реализуется несколькими основными способами:

Одним из направлений информационной и методической поддержки сообщества специалистов является продвижение и популяризация среди разработчиков информационных систем методологии Жизненного цикла безопасной разработки – Microsoft Security Development Lifecycle (SDL). Данная методология представляет собой набор универсальных методических, технических и организационных рекомендаций и приемов, в совокупности обеспечивающих существенное повышение уровня безопасности разрабатываемого ПО. Так, по утверждению Microsoft, после внедрения данной методологии ей удалось снизить общее число уязвимостей, выявленных в SQL Server в течение трех лет после выпуска продукта на рынок, на 91% (если в MS SQL 2000 было выявлено 34 уязвимости, то в MS SQL 2005 – всего 3 уязвимости).

Продвижение данной методологии в среде разработчиков информационных систем включает в себя:

Microsoft Security Partners – программа построения партнерских отношений с различными независимыми компаниями, работающими в сфере информационной безопасности. Данная программа развивается по нескольким самостоятельным направлениям:

Government Security Program (GSP) – Программа обеспечения безопасности правительств – представляет собой инициативу по передаче правительственным структурам различных стран исходных кодов программных продуктов (главным образом, операционных систем) для того, чтобы у специалистов и экспертов была возможность убедиться в отсутствии существенных изъянов в этом программном обеспечении. Такой анализ должен дать основания для признания этих программных продуктов надежными с точки зрения информационной безопасности и, таким образом, расширить возможности их применения различными организациями (как правительственными, так и частными). Также предполагается, что эта программа должна помочь устранить имеющиеся недоработки в программном обеспечении и расширить партнерство между Microsoft и правительствами различных стран в сфере защиты информации. В рамках программы участвующим в ней экспертам также предоставляется доступ к документации, справочные материалы, специальные средства для работы с исходными кодами и поддержка со стороны специалистов Microsoft. В данную программу включены около 60 стран (в том числе и Россия в лице Гостехкомиссии РФ – ФСТЭК), отвечающих определенным требованиям к защите прав на интеллектуальную собственность.

Одной из возможных причин начала реализации этой программы явилось то, что некоторые правительства (например, Германии) заявили о возможном переходе правительственных и муниципальных учреждений на альтернативные операционные системы (такие как, например, Linux), для которых доступны исходные коды. Развитие этой тенденции в перспективе могло привести (и отчасти уже привело) к определенной потере рынков сбыта продукции Microsoft.

Централизованная сертификация программных продуктов в государственных органах является для корпорации Microsoft одним из направлений реализации концепции развития защищенных информационных систем и предполагает возможность использования программного обеспечения этой компании в информационных системах, к которым предъявляются особые требования с точки зрения надежности и информационной безопасности. Так, сертификация Государственной технической комиссией при Президенте РФ операционных систем и систем управления базами данных, поставляемых Microsoft, позволила использовать эти программные продукты в автоматизированных системах учета и контроля ядерных материалов на предприятиях Минатома РФ и в других организациях. Первый проект по сертификации продуктов Microsoft в России был начат в 1996 году и продолжался на протяжении примерно трех лет с участием не только специалистов Гостехкомиссии РФ и Microsoft, но и представителей Минатома РФ и Министерства энергетики США.

Также Microsoft ведет работу по сертификации некоторых своих продуктов на соответствие стандарту Common Criteria for Information Technology Security Evaluation – универсальному стандарту обеспечения информационной безопасности, официально признаваемому многими государствами. Последние поколения операционных систем прошли сертификацию по этому стандарту в декабре 2005 года.

Конференция по безопасности BlueHat проводится с 2005 года дважды в год для обмена мнениями и идеями по различным вопросам информационной безопасности. В ней участвуют только специалисты, приглашаемые компанией Microsoft.

Корпорация Cisco Systems

Компания Cisco Systems, основанная в 1984 году группой специалистов Стэнфордского университета, в настоящее время является мировым лидером в производстве оборудования для сетей передачи данных. На основе оборудования, произведенного этой компанией, функционируют глобальные сети передачи данных, а также сети многих правительственных организаций и крупных компаний.

В связи с тем, что оборудование этой компании обеспечивает функционирование большинства наиболее значимых и ответственных сетей передачи данных, ее организационная поддержка решения вопросов информационной безопасности имеет глобальное значение.

В число основных направлений организационной работы компании Cisco входят: