Дәрістер кешені Дәріс №1. Интернет технологиясына кіріспе
Тәуекелдерді қабылдау процесі қауіптерге қатысты нақты болжамдарға негізделуі керек. Бұл процесс келесі әдістерге негізделуі мүмкін
жүктеу/скачать 2.09 Mb.
|
| Тәуекелдерді қабылдау процесі қауіптерге қатысты нақты болжамдарға негізделуі керек. Бұл процесс келесі әдістерге негізделуі мүмкін.
Құн/тиімділік арақатынасының факторын бағалау: егер сипатталған қарсы шараларды іске асыру құны (тәуекелді сақтандыру компаниясына беруді қоса алғанда) ресурстың өзінің құнынан немесе оған оқиғалар дамуының ең нашар сценарийін қолданғаннан кейін ресурсты қалпына келтіру құнынан асып кетсе, онда тәуекелді қабылдау керек. Бұл жағдайда" ең нашар " сценарий ресурсты қалпына келтіруге болмайтын нұсқаны қамтуы мүмкін, сондықтан оны толық ауыстыру қажет. Тәуекелді қарапайым қабылдау тәуекелді сандық бағалау мүмкін болмаған кезде немесе (басқа төтенше жағдай) ол айқын болған жағдайда тәуекелді қабылдауды білдіреді. Ұзақ мерзімді есептеулер жүргізудің қажеті жоқ, бұл тәуекелді қабылдау жеткілікті. Ақпараттық қауіпсіздік саласы мүмкін емес немесе мүмкін емес апаттар мен апаттарға ұшырамайды, оларға қарсы ақпараттық қауіпсіздік менеджерлері дәрменсіз. Негізгі принцип — ресурстарға әсер етуі мүмкін белгісіз (кездейсоқ) оқиғаларды анықтау, бағалау және азайту. Бұл белгілі бір күш пен уақытты қажет етеді, бірақ жұмыстың өзі мүмкін. Ықтимал тәуекелдердің тізімі жасалғаннан кейін осал жерлерді жою және шабуыл болған жағдайда қарсы шараларды әзірлеу үшін шаралар қабылдау қажет. Осы мақсатта қолданылатын құралдар жүйеде барлық бағдарламалық жасақтама өзекті болған жағдайда ғана тиімді болады (яғни, ағымдағы нұсқалар қолданылады) және барлық қажетті жазбалар орнатылады. Егер сіз жүйенің компоненттерін анықтау мәселесіне мұқият қарасаңыз, онда сізде қандай патчтар қажет екендігі туралы жалпы түсінік бар. Оларды орнатқаннан кейін бағдарламалық жасақтама мен деректерді өзгертуді басқару жүйесін іске асырыңыз. Егер қандай да бір зиянкес сіз салған қорғаныс бастиондарын еңсере алса, бұл жүйе мәліметтердің қосымша көзі болады. Құзыретті хакерлер көп жағдайда өз мақсаттарына қол жеткізеді және егер олар IP арқылы қол жеткізе алса, желілік жабдықты бақылауды қылмыстық мақсатта орнатады. Әкімші өте қарама — қайшылықты талаптарды қанағаттандыруға мәжбүр: бір жағынан желіні тиімді басқару, екінші жағынан оны қорғау. Ірі желілерде бұл проблемалар кем дегенде ішінара шешіледі, бірақ шағын және орта желілер жиі өте нақты қауіпке ұшырайды. Мүмкін болатын шешім ретінде сарапшылар SNMP хаттамасының үшінші нұсқасын қолдануға кеңес береді, онда бірқатар қорғаныс механизмдері қарастырылған. Виртуалды жеке желілер (VPN) балама бола алады. Криптографиялық әдістермен қорғалған арналарды құруды қорғаныс құралдарының осы түріне жатқызуға болады, өйткені олар корпоративтік және ашық желілер арасындағы қол жетімділікті бөлуді қамтамасыз етеді. Көбінесе қорғалған арналарды құру шешімдері желілік экрандарға біріктіріледі. Алайда, біздің елімізде криптографиялық қорғау құралдарына қатысты жағдай әлі белгісіз: шетелдік стандарттар енгізілмеген алгоритмдердің шектеулі шеңберін қолдануға заңды түрде рұқсат етілген. Қазіргі VPN шешімдері қолданылатын шифрлау түріне тәуелді емес, өйткені олар сыртқы кітапханаларды біріктіре алады. Консоль порттары арқылы берілетін терминал сервері бар желіні пайдалану сонымен қатар негізгі желіден тыс басқаруды ұйымдастыруға және пайдаланушыларды желіні басқару жүйесінің ақпаратынан ажыратуға мүмкіндік береді. Тиісті рұқсатсыз кіруді анықтау жүйесінің көмегімен қауіпсіздік жүйесін едәуір жақсартуға қол жеткізіледі. Деректерді қорғау жүйелерін ұйымдастырған кезде технологиялық шешімдер сізді құтқармайтынын есте ұстаған жөн. Тіпті ең жақсы өнімдер жүйелік әкімшілер орнатқан және қолдайтын және кез-келген IT-ресурсты қорғауды ұйымдастыруда шешуші рөл атқаратын ережелер мен процедураларды орындау үшін ғана қызмет етеді. Қорғаныс жүйесінің әкімшілері көп уақыт пен күш-жігерді тиісті ережелер мен рәсімдерді әзірлеуге, іске асыруға және енгізуге жұмсайды. Мемлекеттік мекемелердің ақпараттық жүйелерін қорғауды ұйымдастыру кезінде бұл ережелер мен рәсімдер нормативтік актілер мен заңдардың нақты белгіленген тізіміне қатаң сәйкес келуге тиіс. "Қауіпсіздік пирамидасы"болуы керек. - Сур.1 қауіпсіз ақпарат ортасын құру үшін қажетті элементтерді көрсетеді. Қауіпсіз ақпараттық ортаны құру үшін қажетті элементтер: Қауіпсіздікті басқару стандарттары мен әдістерін анықтайтын саясат пен рәсімдер; Қол жеткізуді басқару және пайдаланушының іс-әрекеттерінің "ізденбеуін" қамтамасыз ету үшін қатаң аутентификация; Анықталған пайдаланушыға тиісті салаларға кіруге мүмкіндік беретін Авторизация; Шифрлау - ақпараттың құпиялылығын қамтамасыз ету; Аудит процестің тиімділігін растайды. жүктеу/скачать 2.09 Mb. Достарыңызбен бөлісу:
|