CC BY
265
УДК: 004+658 ББК: 30+65.050.2
Горбачевская Е.Н.
ИССЛЕДОВАНИЕ МЕХАНИЗМОВ ЗАЩИТЫ ДАННЫХ В КОРПОРАТИВНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ
Gorbachevskaya E.N.
STUDY OF THE MECHANISMS OF DATA PROTECTION IN CORPORATE
INFORMATION SYSTEMS
Ключевые слова: корпоративные информационные системы, ERP-системы, система защиты информации, меры обеспечения безопасности компьютерных систем
Keywords: corporate information systems, ERP-systems, information security system, measures for ensuring the security of computer systems
Аннотация: корпоративные информационные системы отвечают за управление всеми ресурсами предприятия. В решении вопроса функционирования КИС основной проблемой является обеспечение ее информационной безопасности. Системы защиты информации в КИС требуют интегрированного подхода для уменьшения рисков потери и раскрытия информации, защиты целостности данных, гарантии конфиденциальности внутренней информации предприятия.
Abstract: corporate information systems are responsible for the management of all resources of the enterprise. In resolving the question of the functioning of the CIS the main problem is ensuring the information security. Systems of information protection in CIS requires an integrated approach to reduce the risk of loss or disclosure of information, protection of the integrity of the data, guarantee confidentiality of the internal information of the enterprise.
Корпоративные информационные системы (КИС) являются частью любого современного предприятия. КИС отвечает за хранение, передачу и обработку данных, имеющих коммерческую ценностью. Защита этих данных является важной задачей. Сложность выполнения этой задачи - в интегрированности КИС.
Основной функцией корпоративной информационной системы является управление территориально распределенной корпорацией, основанное на углубленном анализе данных, широком использовании систем информационной поддержки принятия решений, электронных документообороте и делопроизводстве.
Причинами внедрения корпоративных информационных систем можно считать:
- оперативный доступ к достоверной и представленной в удобном виде информации;
- создание единого информационного пространства;
- упрощение регистрации данных и их обработки;
- целостность хранимых данных;
- регистрация информации в режиме реального времени;
- снижение трудозатрат, их равномерное распределение на всех участников системы учета, планирования и управления;
- автоматизация консолидации данных для распределенной организационной структуры.
Все корпоративные информационные системы представляют собой совокупность модулей, выполняющих определенные сервисы.
Рассмотрим историческое развитие КИС и организацию встроенных в них систем защиты данных.
Первые КИС получили название MRP (Material Requirement Planning - Планирование материальных потребностей) и MRP II (Manufacturing Resource Planning - Планирование производственных ресурсов). Развитие данных систем привело к появлению ERP-системы (англ. En-
terprise Resource Planning System - Система планирования ресурсов предприятия) - корпоративная информационная система, предназначенная для автоматизации учёта и управления. Системы данного вида строятся по модульному принципу и охватывают все ключевые процессы деятельности компании.
Используемый в ERP-системах программный инструментарий позволяет проводить производственное планирование, моделировать поток заказов и оценивать возможность их реализации в службах и подразделениях предприятия, увязывая его со сбытом.
Основа ERP-системы представляет собой единое хранилище данных, содержащее всю корпоративную бизнес-информацию и обеспечивающее одновременный доступ к ней любого необходимого количества сотрудников предприятия, наделенных соответствующими полномочиями. Изменение данных производится через функции (функциональные возможности) системы.
Основные функции ERP - систем:
- ведение конструкторских и технологических спецификаций, определяющих состав производимых изделий, а также материальные ресурсы и операции, необходимые для их изготовления;
- формирование планов продаж и производства;
- планирование потребностей в материалах и комплектующих, сроков и объемов поставок для выполнения плана производства продукции;
- управление запасами и закупками: ведение договоров, реализация централизованных закупок, обеспечение учета и оптимизации складских и цеховых запасов;
- планирование производственных мощностей от укрупненного планирования до использования отдельных станков и оборудования;
- оперативное управление финансами, включая составление финансового плана и осуществление контроля его исполнения, финансовый и управленческий учет;
- управления проектами, включая планирование этапов и ресурсов.[1]
Система безопасности берёт на себя функции, связанные с защитой информации во всей системе в целом и в каждом из встраиваемых модулей в частности. Система безопасности является интегрированной и унифицированной, что позволяет обеспечить конфиденциальность, целостность и доступность данных, разграничение доступа к информации. Система безопасности призвана (в комплексе с другими мерами информационной безопасности предприятия) противодействовать как внешним угрозам (например, промышленному шпионажу), так и внутренним (например, хищениям).
Корпоративная информационная система, как и любая информационная система, подвержена угрозам безопасности. Классифицируем эти угрозы.
Цель системы защиты информации - противодействие угрозам безопасности в АСОИ.
По цели воздействия выделяют три основных типа угроз безопасности АСОИ
1. Угрозы нарушения конфиденциальности информации направлены на перехват, ознакомление и разглашение секретной информации. При реализации этих угроз информация становится известной лицам, которые не должны иметь к ней доступ. Угроза нарушения конфиденциальности имеет место всякий раз, когда получен несанкционированный доступ к некоторой закрытой информации.
2. Угрозы нарушения целостности информации, направлены на ее изменение или искажение, приводящее к нарушению ее качества или полному уничтожению.
3. Угрозы нарушения работоспособности (отказ в обслуживании): направлены на создание таких ситуаций, когда определенные преднамеренные действия либо снижают работоспособность системы, либо блокируют доступ к некоторым ее ресурсам. Атаки, реализующие данный тип угроз, называются также DoS-атаками (Denied of Service - отказ в обслуживании). При реализации угроз нарушения работоспособности может преследоваться цель нанесения ущерба (вандализм), либо может являться промежуточной целью при реализации угроз нарушения конфиденциальности и целостности (нарушение работоспособности системы защиты информации).
Источниками внешних угроз могут являться недобросовестные конкуренты, преступные группировки и формирования, отдельные лица и организации административноуправленческого аппарата.
Источниками внутренних угроз могут быть администрация предприятия, персонал, технические средства обеспечения производственной и трудовой деятельности.
Наиболее опасным с точки зрения размера нанесённого ущерба в большинстве случаев является именно нарушение конфиденциальности информации:
1. Разглашение - это умышленные или неосторожные действия с конфиденциальными сведениями, приведшие к ознакомлению с ними лиц, не допущенных к ним. Разглашение выражается в сообщении, передаче, предоставлении, пересылке, опубликовании, утере и в других формах обмена и действий с деловой и научной информацией. Реализуется разглашение по формальным и неформальным каналам распространения информации. К формальным коммуникациям относятся деловые встречи, совещания, переговоры и тому подобные формы общения: обмен официальными деловыми и научными документами, средствами передачи официальной информации (почта, телефон, телеграф и т.д.).
Неформальные коммуникации включают личное общение (встречи, переписка), выставки, семинары, конференции и другие массовые мероприятия, а также средства массовой информации (печать, газеты, интервью, радио, телевидение). Как правило, причиной разглашения конфиденциальной информации является недостаточное знание сотрудниками правил защиты коммерческих секретов и непонимание (или недопонимание) необходимости их тщательного соблюдения. Тут важно отметить, что субъектом в этом процессе выступает источник (владелец) охраняемых секретов. [1]
2. Утечкой информации можно считать бесконтрольный выход конфиденциальной информации за пределы организации или круга лиц, которым она была доверена.
Утечка информации осуществляется по различным техническим каналам. При реализации угроз безопасности злоумышленник может воспользоваться самыми различными каналами реализации угроз, как материального носителя, так и среды распространения, несущего указанную информацию сигнала и средства выделения информации из сигнала или носителя.
Можно выделить следующие основные каналы утечки информации [1].
1. Электромагнитный канал. Причиной его возникновения является электромагнитное поле, связанное с протеканием электрического тока в аппаратных компонентах КИС. В связи с этим, в близко расположенных проводных линиях возникают побочные электромагнитные излучения и наводки (ПЭМИН), анализ которых может позволить злоумышленнику получить доступ. Данный канал, в свою очередь, делится на следующие каналы: радиоканал, низкочастотный канал, наводки на сеть электропитания, наводки на провода заземления, наводки на линии связи между ПК.
2. Виброакустический канал - cвязан с возможностью анализа злоумышленником звуковых волн, распространяющихся в воздухе, возникающих при разговоре в закрытом помещении.
3. Визуальный канал - связан с возможностью визуального наблюдения злоумышленником за работой устройств отображения информации в АСОИ без проникновения в помещения, используя скрытые системы видеонаблюдения.
4. Информационный канал - связан с возможностью локального или удаленного доступа злоумышленника к элементам КИС, к носителям информации, к программному обеспечению, к линиям связи. Данный канал условно может быть разделен на следующие: канал коммутируемых линий связи, канал выделенных линий связи, канал локальной сети, канал машинных носителей информации, канал терминальных и периферийных устройств.
Несанкционированный доступ к источникам конфиденциальной информации реализуется различными способами: от инициативного сотрудничества, выражающегося в активном стремлении «продать» секреты, до использования различных средств проникновения к коммерческим секретам. Для реализации этих действий злоумышленнику приходится часто проникать на объект или создавать вблизи него специальные посты контроля и наблюдения - стационарные или в подвижном варианте, оборудованные самыми современными техническими средствами. Если
исходить из комплексного подхода к обеспечению информационной безопасности, то такое деление ориентирует на защиту информации, как от разглашения, так и от утечки по техническим каналам, и от несанкционированного доступа к ней со стороны конкурентов и злоумышленников. Такой подход к классификации действий, способствующих неправомерному овладению конфиденциальной информацией, показывает многогранность угроз и многоаспектность защитных мероприятий, необходимых для обеспечения комплексной информационной безопасности.
С учетом изложенного остается рассмотреть вопрос, какие условия способствуют неправомерному овладению конфиденциальной информацией.
По способам осуществления все меры обеспечения безопасности компьютерных систем подразделяют на:
1. Правовые (законодательные) меры защиты информации, к ним относятся действующие в стране законы, указы, положения, инструкции и другие нормативные акты, регламентирующие правила обращения с информацией ограниченного использования и ответственности за их нарушения. Этим они препятствуют несанкционированному использованию информации и являются сдерживающим фактором для потенциальных нарушителей.
2. Морально-этические меры противодействия - всевозможные нормы поведения, которые традиционно сложились или складываются в обществе по мере распространения компьютеров в стране. Эти нормы бывают как неписанными (общепризнанные нормы честности, патриотизма и т.д.), так и оформленными в некий свод правил или предписаний.
3. Организационно-административные меры защиты регламентируют процессы функционирования КИС; использование ресурсов КИС; деятельность персонала КИС; порядок взаимодействия пользователей с системой, с тем, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности.
4. Физические меры защиты - различные механические, электро- и электромеханические устройства или сооружения, специально предназначенные для создания физических препятствий на возможных путях проникновения и доступа нарушителей (турникеты, колючая проволока, кодовые замки, системы охранно-пожарной сигнализации и т.п.).
5. Аппаратно-программные меры защиты - различные электронные устройства и специальные программы, которые реализуют самостоятельно или в комплексе с другими средствами следующие способы защиты:
- идентификацию и аутентификацию субъектов КИС;
- разграничение доступа к ресурсам КИС;
- контроль целостности данных;
- обеспечение конфиденциальности данных;
- аудит событий, происходящих в КИС;
- резервирование ресурсов и компонентов КИС.
Структура информационной безопасности КИС показана на рисунке 1.
Рисунок 1 - Информационная безопасность КИС
Проблемы информационной безопасности особенно актуальны для ERP-систем в связи с постоянным использованием корпоративной информации разными службами.
Рассмотрим задачи системы информационной безопасности КИС [4]:
- уменьшение рисков потери/раскрытия информации;
- соответствие государственным и внутрикорпоративным нормам защиты информации;
- защита целостности данных;
- гарантия конфиденциальности внутренней информации предприятия.
Исходя из современных технологий реализации архитектуры КИС, используют в основном трехзвенную клиент-серверную технологию: уровень базы данных (БД), уровень приложений, уровень представления (пользовательский). Каждый из этих уровней требует соответствующую степень защиты.
Связующей средой для компонентов, находящихся на различных архитектурных уровнях КИС, является сетевая инфраструктура. Защита сетевой инфраструктуры требует комплексного подхода.
Многие современные ERP-системы для построения взаимодействия своих компонентов применяют веб-стандарты и для защиты информации используют шифрование трафика HTTPS с аутентификацией пользователя на основе цифровых сертификатов.
Если в ERP-системах зарубежного производства требуется российская криптография, то необходимо дополнительное программное обеспечение. На отечественный КИС помимо HTTPS для защиты трафика и аутентификации пользователей также может быть предусмотрен протокол Secure Network Communication SNC или решение LISSI-SNC, обеспечивающее аутентификацию пользователей по ГОСТ Р 34.10-2001, а также шифрование и контроль целостности трафика в соответствии с ГОСТ 28147-89.
Для защиты корпоративных хранилищ данных программно и физически изолируют средства хранения от остальной компьютерной инфраструктуры компании. Для сетевой изоляции следует выделить все серверы в один изолированный сегмент локальной корпоративной сети и предоставить доступ к этому сегменту только серверам приложений. Таким образом, исключается возможность доступа по сети напрямую к БД системы.
Защита программных средств, работающих с хранилищами данных на уровне системного взаимодействия (ОС, СУБД и т.д.), требует подхода закрытия прямого взаимодействия приложения и хранилища данных. Для этого организуют сервер приложений с запретом или разрешением доступа к различным информационным объектам системы. Концепция авторизации пользователей с хранением в системе учетных записей в современных системах расширенна так называемой делегацией полномочий на программном уровне.
В связи с повышенной уязвленностью человеческого фактора в общей системе защиты необходимы не только защита персонального места работы сотрудника, но и использование квалифицированного персонала.
Практически для любой ERP-системы помимо штатных средств защиты информации, как правило, требуются дополнительные программные продукты, в том числе криптографические средства, и привлечение сторонних поставщиков для выполнения всех требований по информационной безопасности, представленных для данного проекта внедрения. И еще один немаловажный момент: никакие самые совершенные средства сами по себе не обеспечат безопасности. Роли и обязанности персонала в отношении защиты информации являются ключом к успеху в любой программе обеспечения безопасности. Четкое определение этих ролей и обязанностей необходимо и должно быть закреплено на этапе внедрения ERP-системы.
БИБЛИОГРАФИЧЕСКИЙ СПИСОК
1. Девянин, П.Н., Михальский, О.О., Правиков, Д.И., Щербаков, А.Ю. Теоретические основы компьютерной безопасности. [Текст] / П.Н. Девянин, О.О. Михальский, Д.И. Правиков, А.Ю. Щербаков. - М.: Радио и связь, 2000.
2. Малюк, А.А. Информационная безопасность: концептуальные и методологические основы защиты информации. [Текст] / А.А. Малюк.- М.: Горячая Линия-Телеком, 2004.
3. Романец, Ю.В., Тимофеев, П.А., Шаньгин, В.Ф. Защита информации в компьютерных системах и сетях. [Текст] / Ю.В. Романец, П.А. Тимофеев, В.Ф. Шаньгин. - М.: Радио и связь,1999.
4. http://knowledge.allbest.ru/programming
5. http://www.uipdp.com/articles
