Корпоративные информационные системы. Самардак А.С. - 168 стр.

UptoLike

ВУЗ: 

ДВФУ | Владивосток

Составители: 

Рубрика: 

168
168
Принцип разнообразия защитных средств рекомендует организовывать
различные по своему характеру оборонительные рубежи, чтобы от потенци-
ального злоумышленника требовалось овладение разнообразными и, по воз-
можности, несовместимыми между собой навыками (например, умением
преодолевать высокую ограду и знанием слабостей нескольких операцион-
ных систем).
Очень важен принцип простоты и управляемости информационной
системы в целом и защитных средств в особенности. Только для простого
защитного средства можно формально или неформально доказать его кор-
ректность. Только в простой и управляемой системе можно проверить согла-
сованность конфигурации разных компонентов и осуществить централизо-
ванное администрирование. В этой связи важно отметить интегрирующую
роль Web-сервиса, скрывающего разнообразие обслуживаемых объектов и
предоставляющего единый, наглядный интерфейс. Соответственно, если
объекты некоторого вида (скажем таблицы базы данных) доступны через
Web, необходимо заблокировать прямой доступ к ним, поскольку в против-
ном случае система будет сложной и трудно управляемой.
Последний принцип - всеобщая поддержка мер безопасности - носит
нетехнический характер. Если пользователи и/или системные администрато-
ры считают информационную безопасность чем-то излишним или даже вра-
ждебным, режим безопасности сформировать заведомо не удастся. Следует с
самого начала предусмотреть комплекс мер, направленный на обеспечение
лояльности персонала, на постоянное обучение, теоретическое и, главное,
практическое.
Анализ рисков - важнейший этап выработки политики безопасности.
При оценке рисков, которым подвержены Intranet-системы, нужно учитывать
следующие обстоятельства:
* новые угрозы по отношению к старым сервисам, вытекающие из воз-
можности пассивного или активного прослушивания сети. Пассивное про-
слушивание означает чтение сетевого трафика, а активное - его изменение 
                                  168

     Принцип разнообразия защитных средств рекомендует организовывать
различные по своему характеру оборонительные рубежи, чтобы от потенци-
ального злоумышленника требовалось овладение разнообразными и, по воз-
можности, несовместимыми между собой навыками (например, умением
преодолевать высокую ограду и знанием слабостей нескольких операцион-
ных систем).
     Очень важен принцип простоты и управляемости информационной
системы в целом и защитных средств в особенности. Только для простого
защитного средства можно формально или неформально доказать его кор-
ректность. Только в простой и управляемой системе можно проверить согла-
сованность конфигурации разных компонентов и осуществить централизо-
ванное администрирование. В этой связи важно отметить интегрирующую
роль Web-сервиса, скрывающего разнообразие обслуживаемых объектов и
предоставляющего единый, наглядный интерфейс. Соответственно, если
объекты некоторого вида (скажем таблицы базы данных) доступны через
Web, необходимо заблокировать прямой доступ к ним, поскольку в против-
ном случае система будет сложной и трудно управляемой.
     Последний принцип - всеобщая поддержка мер безопасности - носит
нетехнический характер. Если пользователи и/или системные администрато-
ры считают информационную безопасность чем-то излишним или даже вра-
ждебным, режим безопасности сформировать заведомо не удастся. Следует с
самого начала предусмотреть комплекс мер, направленный на обеспечение
лояльности персонала, на постоянное обучение, теоретическое и, главное,
практическое.
     Анализ рисков - важнейший этап выработки политики безопасности.
При оценке рисков, которым подвержены Intranet-системы, нужно учитывать
следующие обстоятельства:
     * новые угрозы по отношению к старым сервисам, вытекающие из воз-
можности пассивного или активного прослушивания сети. Пассивное про-
слушивание означает чтение сетевого трафика, а активное - его изменение

                                                                     168

Страницы