Главная Величины Информационная безопасность вуза статья. Разработка политики информационной безопасности

Информационная безопасность вуза статья. Разработка политики информационной безопасности

Статья бизнес-консультанта Cisco по информационной безопасности Алексея Лукацкого

Сегодня в условиях широкой доступности Интернета и стремительного развития средств связи становится очень заметен разрыв между ожиданиями студентов и тем, что могут им предложить учебные заведения. Методы работы в образовании должны постоянно развиваться, следуя за социальными изменениями и технологическим развитием. При этом не на последнем месте находится обеспечение защиты как образовательных материалов и иной информации ограниченного доступа, так и самой ИТ-инфраструктуры от случайных или направленных атак.

Современные технологии обеспечения информационной безопасности (ИБ) помогают учебным заведениям решать стоящие задачи в следующих основных направлениях:

организация защищенного доступа к образовательным материалам и системам из любой точки мира ;
защита информации ограниченного доступа (персональные данные, коммерческая тайна и т.п.) и защита интеллектуальной собственности;
выполнение требований законодательства в области информационной безопасности (защита персональных данных, защита прав на интеллектуальную собственность, защита детей от негативной информации).

Проблема №1: различные группы пользователей

Современный университет и его сеть – это разнородная среда, в которой сталкиваются интересы и данные разных групп пользователей. В университетской сети могут встречаться следующие категории пользователей с разными требованиями по информационной безопасности: студенты университета и студенты, приехавшие в университет по обмену; преподаватели и администрация; школьники, посещающие подготовительные курсы перед поступлением в ВУЗ; посетители платных курсов и курсов повышения квалификации, предлагаемых ВУЗом с целью получения дополнительных источников доходов, а также представители организаций, обеспечивающих университет коммерческими заказами, например, в области НИОКР.

Проблема №2: трансформация способов доступа и концепция «Любое устройство»

Поскольку периметр традиционной сети университетского кампуса продолжает размываться и среда университета постепенно теряет границы, смартфоны, планшеты, иные оконечные устройства и веб-приложения необратимо меняют образовательный процесс, предоставляя возможность получать доступ к учебным материалам из любой точки мира - из вузовской аудитории, общежития, собственного жилища, университетского городка, другого ВУЗа, куда студенты отправляются для обмена опытом, и т.п. Cisco использует концепцию «Любое устройство», которая предусматривает расширение свободы выбора устройств пользователями университетского кампуса при сохранении общих и предсказуемых условий работы. Всё это поддерживает или даже увеличивает уровень конкурентоспособности, производительности и безопасности учебного заведения.

Вместе с тем при внедрении концепции «Любое устройство» возникает целый ряд задач ИБ, которые необходимо решить. В таком случае нужно обеспечить:

предотвращение несанкционированного подключения сетевых абонентских устройств: стационарных компьютеров (рабочих станций или АРМ), ноутбуков (мобильных АРМ), мобильных устройств (планшетных ПК под управлением ОС Android и iOS), сетевых принтеров и IP-телефонов к университетской сети;
выполнение требований и рекомендаций действующих политик информационной безопасности, а также обеспечить возможность удаленного контроля подключаемых к университетской сети мобильных устройств на предмет соответствия действующим политикам ИБ;
кроме того, должна быть обеспечена организация логического разделения университетской сети на зоны безопасности без изменения существующей инфраструктуры (существующего разделения сети на сегменты), с целью выделения гостевых зон и зон ограниченного доступа для подключения абонентских устройств различных групп пользователей, а также мобильных устройств (планшетных ПК под управлением ОС Android и iOS) пользователей.

Проблема №3: защита информационных систем и информации ограниченного доступа

Современный университет – это кладезь разнообразной информации, требующей защиты. Речь идет о:

· персональных данных студентов, преподавателей, администрации и других категорий пользователей;

· сведениях, составляющих коммерческую тайну университета и позволяющих ему опережать другие ВУЗы в области предоставления более качественного образования и образовательных программ, а также более прогрессивных методов обучения;

· разработанных университетом образовательных материалах, доступ к которым должен быть либо ограничен, либо контролируемым, т.к. они представляют собой интеллектуальную собственность;

· приобретенных университетом программном обеспечении или лицензиях, кража которых может ухудшить положение учебного заведения в конкурентной борьбе либо повлечь за собой наступление уголовной или административной ответственности.

· Наконец, защите подлежат результаты тех НИОКР, которые университет может проводить по заказу коммерческих или государственных заказчиков.

Помимо защиты информации ограниченного доступа, должна быть обеспечена и безопасность информационных систем образовательного процесса. Случайное или целенаправленное выведение этих систем из строя может сорвать процесс обучения и нарушить договорные условия (в случае платного обучения или реализации различных НИОКР).

Проблема №4: законодательные ограничения

Кроме защиты информационных систем и информации, обеспечивающих университету конкурентные преимущества, система обеспечения информационной безопасности должна давать возможность выполнять законодательные инициативы, направленные на защиту прав и интересов различных групп граждан и организаций. К нормативным актам, которые ВУЗ обязан выполнять, в первую очередь относятся:

федеральный закон от 27 июля 2006 года №152-ФЗ “О персональных данных”;
федеральный закон от 28 июля 2012 года №139-ФЗ «О внесении изменений в федеральный закон „О защите детей от информации, причиняющей вред их здоровью и развитию“ и отдельные законодательные акты Российской Федерации по вопросу ограничения доступа к противоправной информации в сети Интернет»;
федеральный закон от 2 июля 2013 года № 187-ФЗ «О внесении изменений в законодательные акты Российской Федерации по вопросам защиты интеллектуальных прав в информационно-телекоммуникационных сетях».

Проблема №5: рост числа угроз

Среда угроз сетевой безопасности находится в постоянном развитии. Лидирующие позиции в ней занимают специально написанные, скрытые угрозы, которым все чаще удается преодолевать традиционные методы и средства защиты. Эти угрозы проникают внутрь сети - на уровень ядра, уровень распространения и уровень доступа пользователей, где защита от угроз и их видимость находятся на минимальном уровне. Оттуда эти угрозы без труда выбирают свои цели - конкретные ресурсы и даже конкретных людей в университете. Цель современных кибер-угроз заключается отнюдь не в получении известности и славы и даже не в создании прибыльного ботнета, а в захвате и краже интеллектуальной собственности или коммерческих и иных тайн для достижения конкурентных преимуществ.

Решения Cisco в области информационной безопасности

Cisco SecureX Architecture™ - это архитектура безопасности нового поколения, объединяющая гибкие решения, продукты и сервисы для формирования и реализации согласованной бизнес-политики в масштабе всей распределенной сети современного университета. Архитектура Cisco SecureX объединяет сбор сведений о глобальных угрозах и учет контекста для разрешения уникальных проблем безопасности, таких как рост числа высокомобильных пользователей, расширение круга мобильных устройств с поддержкой сети или переход на облачные инфраструктуры и сервисы.

Cisco SecureX соответствует потребностям современных сетей с размытым периметром, обеспечивая эффективную защиту для любого пользователя, работающего на любом устройстве в любом месте и в любое время. Эта новая архитектура безопасности использует язык политик более высокого уровня, который «понимает» полный контекст ситуации - кто, что, где, когда и как. Благодаря распределенной реализации политик безопасности, процесс защиты перемещается ближе к месту работы конечного пользователя в любой точке планеты, тем самым позволяя не только обезопасить каждое устройство или пользователя, но и при необходимости локализовать угрозу как можно ближе к ее источнику.

Входящие в Cisco SecureX решения соответствуют требованиям российских органов государственной власти, уполномоченных в области информационной безопасности, и имеют свыше 600 различных сертификатов ФСТЭК и ФСБ по требованиям безопасности.

Чтобы оперативно узнавать о материалах специалистов Cisco , публикуемых в разделе «Блог Cisco . Россия/СНГ», необходимо подписаться на странице http://gblogs.cisco.com/ru .

Метки: информационная безопасность, ИБ, образование, вуз, архитектура Cisco SecureX, интеллектуальная собственность.

Организация защищенного доступа к образовательным материалам и системам из любой точки мира; защита информации ограниченного доступа (персональные данные, коммерческая тайна и т.п.) и защита интеллектуальной собственности; выполнение требований законодательства в области информационной безопасности (защита персональных данных, защита прав на интеллектуальную собственность, защита детей от негативной информации).

Проблема №1: различные группы пользователей

Современный университет и его сеть - это разнородная среда, в которой сталкиваются интересы и данные разных групп пользователей. В университетской сети могут встречаться следующие категории пользователей с разными требованиями по информационной безопасности: студенты университета и студенты, приехавшие в университет по обмену; преподаватели и администрация; школьники, посещающие подготовительные курсы перед поступлением в ВУЗ; посетители платных курсов и курсов повышения квалификации, предлагаемых ВУЗом с целью получения дополнительных источников доходов, а также представители организаций, обеспечивающих университет коммерческими заказами, например, в области НИОКР.

Проблема №2: трансформация способов доступа и концепция «Любое устройство»

Поскольку периметр традиционной сети университетского кампуса продолжает размываться и среда университета постепенно теряет границы, смартфоны, планшеты, иные оконечные устройства и веб-приложения необратимо меняют образовательный процесс, предоставляя возможность получать доступ к учебным материалам из любой точки мира — из вузовской аудитории, общежития, собственного жилища, университетского городка, другого ВУЗа, куда студенты отправляются для обмена опытом, и т.п. Cisco использует концепцию «Любое устройство», которая предусматривает расширение свободы выбора устройств пользователями университетского кампуса при сохранении общих и предсказуемых условий работы. Всё это поддерживает или даже увеличивает уровень конкурентоспособности, производительности и безопасности учебного заведения.

Предотвращение несанкционированного подключения сетевых абонентских устройств: стационарных компьютеров (рабочих станций или АРМ), ноутбуков (мобильных АРМ), мобильных устройств (планшетных ПК под управлением ОС Android и iOS), сетевых принтеров и IP-телефонов к университетской сети; выполнение требований и рекомендаций действующих политик информационной безопасности, а также обеспечить возможность удаленного контроля подключаемых к университетской сети мобильных устройств на предмет соответствия действующим политикам ИБ; кроме того, должна быть обеспечена организация логического разделения университетской сети на зоны безопасности без изменения существующей инфраструктуры (существующего разделения сети на сегменты), с целью выделения гостевых зон и зон ограниченного доступа для подключения абонентских устройств различных групп пользователей, а также мобильных устройств (планшетных ПК под управлением ОС Android и iOS) пользователей.

Проблема №3: защита информационных систем и информации ограниченного доступа

Современный университет - это кладезь разнообразной информации, требующей защиты. Речь идет о:

Персональных данных студентов, преподавателей, администрации и других категорий пользователей; сведениях, составляющих коммерческую тайну университета и позволяющих ему опережать другие ВУЗы в области предоставления более качественного образования и образовательных программ, а также более прогрессивных методов обучения; разработанных университетом образовательных материалах, доступ к которым должен быть либо ограничен, либо контролируемым, т.к. они представляют собой интеллектуальную собственность; приобретенных университетом программном обеспечении или лицензиях, кража которых может ухудшить положение учебного заведения в конкурентной борьбе либо повлечь за собой наступление уголовной или административной ответственности. Наконец, защите подлежат результаты тех НИОКР, которые университет может проводить по заказу коммерческих или государственных заказчиков.

Проблема №4: законодательные ограничения

Федеральный закон от 27 июля 2006 года №152-ФЗ “О персональных данных”; федеральный закон от 28 июля 2012 года №139-ФЗ «О внесении изменений в федеральный закон „О защите детей от информации, причиняющей вред их здоровью и развитию“ и отдельные законодательные акты Российской Федерации по вопросу ограничения доступа к противоправной информации в сети Интернет»; федеральный закон от 2 июля 2013 года № 187-ФЗ «О внесении изменений в законодательные акты Российской Федерации по вопросам защиты интеллектуальных прав в информационно-телекоммуникационных сетях».

Проблема №5: рост числа угроз

Среда угроз сетевой безопасности находится в постоянном развитии. Лидирующие позиции в ней занимают специально написанные, скрытые угрозы, которым все чаще удается преодолевать традиционные методы и средства защиты. Эти угрозы проникают внутрь сети — на уровень ядра, уровень распространения и уровень доступа пользователей, где защита от угроз и их видимость находятся на минимальном уровне. Оттуда эти угрозы без труда выбирают свои цели — конкретные ресурсы и даже конкретных людей в университете. Цель современных кибер-угроз заключается отнюдь не в получении известности и славы и даже не в создании прибыльного ботнета, а в захвате и краже интеллектуальной собственности или коммерческих и иных тайн для достижения конкурентных преимуществ.

Решения Cisco в области информационной безопасности

Cisco SecureX Architecture™ — это архитектура безопасности нового поколения, объединяющая гибкие решения, продукты и сервисы для формирования и реализации согласованной бизнес-политики в масштабе всей распределенной сети современного университета. Архитектура Cisco SecureX объединяет сбор сведений о глобальных угрозах и учет контекста для разрешения уникальных проблем безопасности, таких как рост числа высокомобильных пользователей, расширение круга мобильных устройств с поддержкой сети или переход на облачные инфраструктуры и сервисы.

Cisco SecureX соответствует потребностям современных сетей с размытым периметром, обеспечивая эффективную защиту для любого пользователя, работающего на любом устройстве в любом месте и в любое время. Эта новая архитектура безопасности использует язык политик более высокого уровня, который «понимает» полный контекст ситуации — кто, что, где, когда и как. Благодаря распределенной реализации политик безопасности, процесс защиты перемещается ближе к месту работы конечного пользователя в любой точке планеты, тем самым позволяя не только обезопасить каждое устройство или пользователя, но и при необходимости локализовать угрозу как можно ближе к ее источнику.

Чтобы оперативно узнавать о материалах специалистов Cisco, публикуемых в разделе «Блог Cisco. Россия/СНГ», необходимо подписаться на странице http://gblogs.cisco.com/ru.

Метки: информационная безопасность, ИБ, образование, вуз, архитектура Cisco SecureX, интеллектуальная собственность.

Информационная безопасность вуза. Организация работ по защите информмации при построении единого информмационного пространства кандидат технических наук, доцент Глыбовский Павел Анатольевич кандидат технических наук, доцент Мажников Павел Викторович Кафедра Систем сбора и обработки информмации ВКА имени А.Ф.Можайского

Информационная система - совокупность содержащейся в базах данных информмации и обеспечивающих ее обработку информмационных технологий и технических средств. (ФЗ 2006 г. 149-ФЗ «Об информмации, информмационных технологиях и о защите информмации»). Государственные информмационные системы - Федеральные информмационные системы и региональные информмационные системы, созданные на основании соответственно федеральных законов, законов субъектов Российской Федерации, на основании правовых актов государственных органов. (ФЗ 2006 г. 149-ФЗ «Об информмации, информмационных технологиях и о защите информмации»). Автоматизированная система. Система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информмационную технологию выполнения установленных функций (ГОСТ) Термины и определения

Информационные системы, средства информматизации, содержащие: Технические средства и системы обработки открытой информмации в помещениях, где обрабатывается информмация ограниченного доступа Помещения для ведения переговоров с использованием сведений ограниченного доступа Основные объекты защиты информмации ограниченного доступа, не содержащей сведений составляющих государственную тайну и открытой информмации Открытую информмацию Информацию ограниченного доступа, не содержащую сведений, составляющих государственную тайну КСИИ – ключевая система информ. инфраструк. ИСПДЛВСАРМ Средства печати, копирования Средства связи, коммутации и др. Бытовые устройства Средства пожарной и охранной сигнализации Телефоны и др.Средства связи Информационные системы. Государственные ИСМуниципальные ИС Иные ИС

Защита информмации Система защиты информмации - совокупность органов и (или) исполнителей, используемой ими техники защиты информмации, а также объектов защиты, организованная и функционирующая по правилам, установленным соответствующими правовыми, организационно - распорядительными и нормативными документами в области защиты информмации. (ГОСТ Р Защита информмации. Основные термины и определения). Субъекты деятельности по защите информмации Органы власти, уполномоченные органы власти, организации, обрабатывающие информмацию на объектах информматизации, организации - лицензиаты Что подлежит защите Как защищать От каких угроз Объекты информматизации, ИС, в т.ч. программные средства, в которых обрабатывается и хранится информмация, на доступ к которой установлены ограничения федеральными законами, средства защиты информмации, общедоступная информмация От утечки по техническим каналам, неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий. Комплекс правовых, организационных и технических мер

Приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК России) от 11 февраля 2013 г. N 17 г. "Об утверждении Требований о защите информмации, не составляющей государственную тайну, содержащейся в государственных информмационных системах" Система законодательства по ИБ

Информмация в электронной форме, которая присоединена к другой информмации в электронной форме (подписываемой информмации) или иным образом связана с такой информмацией и которая используется для определения лица, подписывающего информмацию Факт принятия прав и обязанностей в результате подписания документа Система законодательства по ИБ электронная подпись

Федеральный закон Российской Федерации от 6 апреля 2011 г. N 63-ФЗ «Об электронной подписи»; Указ Президента РФ от 3 апреля 1995 г. N 334 «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информмации»; « Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информмации » (Положение ПКЗ-2005) Утверждено Приказом ФСБ РФ от 9 февраля 2005 г. N 66; Приказ ФАПСИ от 13 июня 2001 г. N 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информмации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну». Система законодательства по ИБ электронная подпись

При использовании усиленных электронных подписей участники электронного взаимодействия обязаны: 1) обеспечивать конфиденциальность ключей электронных подписей, в частности не допускать использование принадлежащих им ключей электронных подписей без их согласия (ст.10 Федерального закона 63-ФЗ от 6 апреля 2011 г.); 2) не использовать ключ электронной подписи при наличии оснований полагать, что конфиденциальность данного ключа нарушена (ст.10 Федерального закона 63-ФЗ от 6 апреля 2011 г.); 3) использовать для создания и проверки квалифицированных электронных подписей, создания ключей квалифицированных электронных подписей и ключей их проверки средства электронной подписи, получившие подтверждение соответствия требованиям, установленным в соответствии с настоящим Федеральным законом (ст.10 Федерального закона 63-ФЗ от 6 апреля 2011 г.); 4) вести поэкземплярный учет по установленным формам СКЗИ, эксплуатационной и технической документацию к ним). (ст 26. приказа ФАПСИ 152 от 13 июня 2001 г.). Система законодательства по ИБ электронная подпись

1С:Документооборот Государственного учреждения "1С:Документооборот государственного учреждения 8" предназначен для комплексного решения широкого спектра задач автоматизации учета документов, взаимодействия сотрудников, контроля и анализа исполнительской дисциплины в государственных и муниципальных учреждениях. ПРАВИТЕЛЬСТВО РОССИЙСКОЙ ФЕДЕРАЦИИ РАСПОРЯЖЕНИЕ от 2 октября 2009 г. N 1403-р Технические требования к организации взаимодействия системы межведомственного электронного документооборота с системами электронного документооборота федеральных органов исполнительной власти; Требования к информмационным системам электронного документооборота федеральных органов исполнительной власти, учитывающим в том числе необходимость обработки посредством данных систем служебной информмации ограниченного распространения (утверждены приказом Министерства связи и массовых коммуникаций Российской Федерации от). 1С:Документооборот Государственного учреждения. Требования по защите информмации

Требования к информмационным системам электронного документооборота федеральных органов исполнительной власти, учитывающим в том числе необходимость обработки посредством данных систем служебной информмации ограниченного распространения (утверждены приказом Министерства связи и массовых коммуникаций Российской Федерации от). 21. Для защиты служебной информмации ограниченного распространения должны использоваться сертифицированные в соответствии с требованиями безопасности информмации технические и (или) программные средства защиты информмации. 22. Требования по защите информмации и мероприятия по их выполнению, а также конкретные программно-технические средства защиты должны определяться и уточняться в зависимости от установленного класса защищенности. 25. СЭД ФОИВ не должна иметь прямого (незащищенного) подключения к информмационно- телекоммуникационной сети Интернет в соответствии с Указом Президента Российской Федерации от 17 марта 2008 г. N 351 "О мерах по обеспечению информмационной безопасности Российской Федерации при использовании информмационно-телекоммуникационных сетей международного информмационного обмена" (Собрание законодательства Российской Федерации, 2008, N 12, ст. 1110; 2008, N 43, ст. 4919; 2011, N 4, ст. 572). 1С:Документооборот Государственного учреждения. Требования по защите информмации

ПРАВИТЕЛЬСТВО РОССИЙСКОЙ ФЕДЕРАЦИИ РАСПОРЯЖЕНИЕ от 2 октября 2009 г. N 1403-р Технические требования к организации взаимодействия системы межведомственного электронного документооборота с системами электронного документооборота федеральных органов исполнительной власти 17. При организации взаимодействия системы межведомственного электронного документооборота с системой электронного документооборота должна обеспечиваться антивирусная защита. 18. Для защиты информмации, отнесенной к сведениям, составляющим служебную тайну, должны использоваться сертифицированные по требованиям безопасности информмации технические и (или) программные средства защиты информмации. Автоматизированные рабочие места шлюза и выделенные персональные электронно- вычислительные машины с адаптером системы электронного документооборота должны аттестовываться на соответствие требованиям по технической защите конфиденциальной информмации. 19. Требования по защите информмации и мероприятия по их выполнению, а также конкретные средства защиты должны определяться и уточняться в зависимости от установленного класса защищенности на основании разрабатываемой модели угроз и действий нарушителя. 1С:Документооборот Государственного учреждения. Требования по защите информмации Спасибо за внимание! Вопросы? Кафедра Систем сбора и обработки информмации ВКА имени А.Ф.Можайского

УДК 004.056

О. М. Проталинский, И. М. Ажмухамедов ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ ВУЗА

Введение

В современных условиях всеобщей информатизации и развития информационных технологий усиливаются угрозы национальной безопасности Российской Федерации в информационной сфере .

Концепцию национальной безопасности РФ применительно к информационной сфере развивает Доктрина информационной безопасности Российской Федерации .

В Доктрине указывается, что обеспечение информационной безопасности РФ играет ключевую роль в обеспечении национальной безопасности РФ. При этом одним из приоритетных направлений государственной политики в области обеспечения информационной безопасности РФ является совершенствование подготовки кадров, развитие образования в области информационной безопасности. Особую роль в решении этих задач играют вузы.

Российская высшая школа переживает период адаптации не только к объективным процессам информационного общества, но и к новым социально-политическим условиям с разноплановыми проявлениями конкурентной борьбы.

Создание эффективных механизмов управления информационными ресурсами системы высшего образования в современных условиях невозможно без научного обоснования и практической реализации сбалансированной политики информационной безопасности вуза, которая может быть сформирована на основе решения следующих задач :

Анализ процессов информационного взаимодействия во всех сферах основной деятельности российского технического вуза: информационных потоков, их масштаба и качества, противоречий, конкурентной борьбы с выявлением собственников и соперников;

Разработка качественного и простого количественного (математического) описания информационного взаимодействия;

Введение количественных индикаторов и критериев открытости, безопасности и справедливости информационного обмена;

Разработка сценариев необходимости и значимости баланса в информационной открытости и конфиденциальности;

Определение роли и места политики информационной безопасности в управлении информационными ресурсами вуза и выработка согласующихся принципов и подходов;

Формулировка основных составляющих политики: целей, задач, принципов и ключевых направлений обеспечения информационной безопасности;

Разработка базовых методик управления процессом обеспечения политики информационной безопасности;

Подготовка проектов нормативно-правовых документов.

Специфика образовательных учреждений

В современном вузе хранится и обрабатывается огромное количество различных данных, связанных не только с обеспечением учебного процесса, но и с научно-исследовательскими и проектно-конструкторскими разработками, персональные данные студентов и сотрудников, служебная, коммерческая и иная конфиденциальная информация.

Рост количества преступлений в сфере высоких технологий диктует свои требования к защите ресурсов вычислительных сетей учебных заведений и ставит задачу построения собственной интегрированной системы безопасности. Ее решение предполагает наличие нормативноправовой базы, формирование концепции безопасности, разработку мероприятий, планов и процедур по безопасной работе, проектирование, реализацию и сопровождение технических средств защиты информации (СЗИ) в рамках образовательного учреждения. Эти составляющие определяют единую политику обеспечения безопасности информации в вузе.

Специфика защиты информации в образовательной системе заключается в том, что вуз -публичное заведение с непостоянной аудиторией, а также место повышенной активности «начинающих киберпреступников».

Основную группу потенциальных нарушителей в вузе составляют студенты, ряд из них имеют достаточно высокий уровень подготовки. Возраст (от 18 до 23 лет) и юношеский максимализм побуждают таких людей блеснуть знаниями перед сокурсниками: устроить вирусную эпидемию, получить административный доступ и «наказать» преподавателя, заблокировать выход в Интернет и т. д. Достаточно вспомнить, что первые компьютерные правонарушения родились именно в вузе (червь Морриса) .

Особенности вуза как объекта информатизации связаны также с многопрофильным характером деятельности, обилием форм и методов учебной работы, пространственной распределенностью инфраструктуры (филиалы, представительства). Сюда же можно отнести и многообразие источников финансирования, наличие развитой структуры вспомогательных подразделений и служб (строительная, производственная, хозяйственная деятельность), необходимость адаптации к меняющемуся рынку образовательных услуг, потребность в анализе рынка труда, отсутствие общепринятой формализации деловых процессов, необходимость электронного взаимодействия с вышестоящими организациями, частое изменение статуса сотрудников и обучаемых.

Несколько облегчает проблему то, что вуз представляет собой стабильную, иерархическую по функциям управления систему, обладающую всеми необходимыми условиями жизнедеятельности и действующую на принципах централизованного управления (последнее означает, что в управлении задачами информатизации может активно использоваться административный ресурс).

Указанные выше особенности обусловливают необходимость соблюдения следующих требований:

Комплексная проработка задач информационной безопасности, начиная с концепции и заканчивая сопровождением программно-технических решений;

Привлечение большого числа специалистов, владеющих содержательной частью деловых процессов;

Использование модульной структуры корпоративных приложений, когда каждый модуль покрывает взаимосвязанную группу деловых процедур или информационных сервисов при обеспечении единых требований к безопасности;

Применение обоснованной последовательности этапов в решении задач информационной безопасности;

Документирование разработок на базе разумного применения стандартов, что гарантирует создание успешной системы;

Использование надежных и масштабируемых аппаратно-программных платформ и технологий различного назначения, обеспечивающих необходимый уровень безопасности.

С точки зрения архитектуры в корпоративной информационной среде можно выделить три уровня, для обеспечения безопасного функционирования которых необходимо применять различные подходы:

Оборудование вычислительной сети, каналов и линий передачи данных, рабочих мест пользователей, системы хранения данных;

Операционные системы, сетевые службы и сервисы по управлению доступом к ресурсам, программное обеспечение среднего слоя;

Прикладное программное обеспечение, информационные сервисы и среды, ориентированные на пользователей.

При создании комплексной информационной сети (КИС) необходимо обеспечить меж-уровневое согласование требований по безопасности к выбираемым решениям или технологиям. Так, на втором уровне архитектура КИС многих вузов представляет собой разрозненные и слабо связанные подсистемы с разными операционными средами, согласованные друг с другом только на уровне закрепления Ш-адресов или обмена сообщениями. Причинами плохой системной организации КИС является отсутствие утвержденной архитектуры КИС, наличие нескольких центров ответственности за развитие технологий, которые действуют несогласованно. Проблемы начинаются с нежелания управлять выбором операционных сред в подразделениях, когда ключевые технологические решения полностью децентрализованы, что резко снижает уровень безопасности системы.

Вузы, имеющие четкую стратегию развития информационных технологий, единые требования к информационной инфраструктуре, политику информационной безопасности и утвержденные регламенты на основные компоненты КИС, отличаются, как правило, сильным административным ядром в управлении и высоким авторитетом руководителя ИТ-службы .

В таких вузах могут, конечно, использоваться различные операционные среды или системы среднего слоя, но это обусловлено организационно-техническими или экономическими причинами и не препятствует развертыванию КИС вуза и внедрению унифицированных принципов безопасного доступа к информационным ресурсам.

Состояние развития в вузах третьего уровня архитектуры КИС можно охарактеризовать следующим образом: в основном завершен переход от локальных программных приложений, автоматизирующих отдельный деловой процесс и опирающихся на локальный набор данных, к корпоративным клиент-серверным информационным системам, обеспечивающим доступ пользователей к оперативным базам данных вуза. В том или ином виде решена задача интеграции данных, порожденных различными информационными системами, что позволяет усовершенствовать бизнес-процессы, повысить качество управления и принятия решений.

Если в начале 90-х гг. XX в. был высокий спрос на бухгалтерское программное обеспечение и программное обеспечение управленческого учета (учет кадров, отчетность и т. д.), то в настоящее время этот спрос в большей части удовлетворен. В настоящее время стоит задача обеспечить достоверными данными о деятельности образовательного учреждения не только управленческий персонал, но и каждого преподавателя и студента, т. е. задача эффективного управления данными, циркулирующими в КИС, что, в свою очередь, делает задачу обеспечения информационной безопасности в таких сетях еще более актуальной.

Информационная безопасность корпоративных сетей вузов

Активное внедрение Интернета и новых информационных технологий в образовательный процесс и систему управления вузом создало предпосылки к появлению корпоративных сетей.

Корпоративная сеть вуза - это информационная система, включающая в себя компьютеры, серверы, сетевое оборудование, средства связи и телекоммуникации, систему программного обеспечения, предназначенную для решения задач управления вузом и ведения образовательной деятельности.

Корпоративная сеть обычно объединяет не только структурные подразделения вуза, но и их региональные представительства. Ранее недоступные для вуза, в настоящее время эти сети стали активно внедряться в образовательные структуры в связи с массовым распространением Интернета и его доступностью .

Комплексная информационная безопасность вуза - система сохранения, ограничения и авторизованного доступа к информации, содержащейся на серверах в корпоративных сетях вузов, а также передаваемая по телекоммуникационным каналам связи в системах дистанционного обучения.

В более широком смысле термин «комплексная информационная безопасность вуза» включает в себя два аспекта: систему защиты интеллектуальной информационной собственности вуза от внешних и внутренних агрессивных воздействий и систему управления доступом к информации и защиты от агрессивных информационных пространств. В последнее время, в связи с неконтролируемым массовым развитием Интернета, последний аспект безопасности становится особенно актуальным.

Под термином «информационное пространство» понимается информация, содержащаяся на серверах в корпоративных сетях учебных заведений, учреждений, библиотек и в глобальной сети Интернет, на электронных носителях информации, а также передаваемая по телевизионным каналам связи или по телевидению.

Агрессивное информационное пространство - это информационное пространство, содержание которого может вызвать проявления агрессии у пользователя как сразу же после информационного воздействия, так и через некоторое время (отдаленный эффект).

Термин основан на гипотезе, что информация в определенных формах и содержании может вызвать определенные эффекты с проявлением агрессии и враждебности .

Проблемы комплексной информационной безопасности корпоративных сетей вузов гораздо шире, разнообразнее и острее, чем в других системах. Это связано со следующими особенностями:

Корпоративная сеть вуза строится обычно на концепции «скудного финансирования» (оборудование, кадры, нелицензионное программное обеспечение);

Как правило, корпоративные сети не имеют стратегических целей развития. Это значит, что топология сетей, их техническое и программное обеспечение рассматриваются с позиций текущих задач;

В одной корпоративной сети вуза решаются две основные задачи: обеспечение образовательной и научной деятельности и решение задачи управления образовательным и научным процессами. Это означает, что одновременно в этой сети работает несколько автоматизированных систем или подсистем в рамках одной системы управления (АСУ «Студент», АСУ «Кадры», АСУ «Учебный процесс», АСУ «Библиотека», АСУ «НИР», АСУ «Бухгалтерия» и т. д.);

Корпоративные сети гетерогенны как по оборудованию, так и по программному обеспечению в связи с тем, что создавались в течение длительного времени для разных задач;

Планы комплексной информационной безопасности, как правило, либо отсутствуют, либо не соответствуют современным требованиям.

В такой сети возможны как внутренние, так и внешние угрозы безопасности информации:

Попытки несанкционированного администрирования баз данных;

Исследование сетей, несанкционированный запуск программ по аудиту сетей;

Удаление информации, в том числе библиотек;

Запуск игровых программ;

Установка вирусных программ и троянских коней;

Попытки взлома АСУ «ВУЗ»;

Сканирование сетей, в том числе других организаций, через Интернет;

Несанкционированная откачка из Интернета нелицензионного софта и установка его на рабочие станции;

Попытки проникновения в системы бухгалтерского учета;

Поиск «дыр» в OC, firewall, Proxy-серверах;

Попытки несанкционированного удаленного администрирования ОС;

Сканирование портов и т. п.

Анализ угроз, их источников и рисков

Источниками возможных угроз информации являются:

Компьютеризированные учебные аудитории, в которых проходит учебный процесс;

Интернет;

Рабочие станции неквалифицированных в сфере информационной безопасности работников вуза.

Анализ информационных рисков можно разделить на следующие этапы:

Классификация объектов, подлежащих защите, по важности;

Определение привлекательности объектов защиты для взломщиков;

Определение возможных угроз и вероятных каналов доступа на объекты;

Оценка существующих мер безопасности;

Определение уязвимостей в обороне и способов их ликвидации;

Составление ранжированного списка угроз;

Оценка ущерба от несанкционированного доступа, атак в отказе обслуживании, сбоев в работе оборудования.

Основные объекты, нуждающиеся в защите от несанкционированного доступа:

Бухгалтерские ЛВС, данные планово-финансового отдела, а также статистические и архивные данные;

Серверы баз данных;

Консоль управления учетными записями;

Www/ftp-серверы;

ЛВС и серверы исследовательских проектов.

Как правило, связь с Интернетом осуществляется сразу по нескольким линиям связи (оптоволоконная магистраль, спутниковые и радиоканалы). Отдельные каналы предоставляются для связи с другими университетами или для безопасного обмена данными.

Чтобы исключить риски, связанные с утечкой и порчей передаваемой информации, такие сети не должны подключаться к глобальным сетям и общей университетской сети.

Критически важные узлы для обмена данными университета (например, бухгалтерская ЛВС) также должны существовать отдельно.

Рубежи защиты

Первый рубеж обороны от атак извне (Интернет) - роутер (маршрутизатор). Он применяется для связи участков сети друг с другом, а также для более эффективного разделения трафика и использования альтернативных путей между узлами сети. От его настроек зависит функционирование подсетей и связь с глобальными сетями (WAN). Его главная задача в плане безопасности - защита от распределенных атак в отказе обслуживания (DDOS).

Вторым рубежом может служить межсетевой экран (МСЭ): аппаратно-программный комплекс Cisco PIX Firewall.

Затем следует демилитаризованная зона (DMZ). В этой зоне необходимо расположить главный прокси-сервер, dns-сервер, www/ftp, mail-серверы. Прокси-сервер обрабатывает запросы от рабочих станций учебного персонала, серверов, не подключенных напрямую к роутеру, и фильтрует трафик. Политика безопасности на этом уровне должна определяться блокированием нежелательного трафика и его экономией (фильтрация мультимедиаконтента, iso-образов, блокировка страниц нежелательного/нецензурного содержания по ключевым словам). Чтобы не происходило скачивания информации, зараженной вирусами, на этом сервере оправдано размещение антивирусных средств.

Информация от прокси-сервера должна параллельно отсылаться на сервер статистики, где можно посмотреть и проанализировать деятельность пользователей в Интернете. На почтовом сервере обязательно должен присутствовать почтовый антивирус, например Kaspersky Antivirus for Mail servers.

Так как эти серверы связаны непосредственно с глобальной сетью, аудит программного обеспечения, установленного на них, - первоочередная задача инженера по информационной безопасности вуза. Для экономии средств и гибкости настраивания желательно применять opensource ОС и программное обеспечение.

Одни из самых распространенных ОС - FreeBSD и GNU Linux. Но ничто не мешает использовать и более консервативную Open BSD или даже сверхстабильную ОС реального времени - QNX.

Для централизованного управления антивирусной деятельностью необходим продукт с клиент-серверной архитектурой, такой как Dr.Web Enterprise Suite. Он позволяет централизованно управлять настройками и обновлением антивирусных баз с помощью графической консоли и предоставлять удобочитаемую статистику о вирусной деятельности, если таковая присутствует.

Для большего удобства работников вуза можно организовать доступ к внутренней сети университета с помощью технологии VPN.

Некоторые университеты имеют свой пул дозвона для выхода в Интернет и используют каналы связи учреждения. Во избежание использования этого доступа посторонними лицами в незаконных целях работники учебного заведения не должны разглашать телефон пула, логин, пароль.

Степень защищенности сетей и серверов большинства вузов России оставляет желать лучшего. Причин тому много, но одна из главных - плохая организация мер по разработке и обеспечению политики информационной безопасности и недооценка важности этих мероприятий. Вторая проблема заключается в недостаточном финансировании закупок оборудования и внедрения новых технологий в сфере информационной безопасности.

Структура системы комплексной информационной безопасности вуза

Система комплексной информационной безопасности должна включать в себя выработку следующих политик.

Прежде всего, это финансовая политика развертывания, развития и поддержания в актуальном состоянии корпоративной сети вуза. Она является доминирующей и ее можно разделить на три направления: скудное финансирование, финансирование с разумной достаточностью и приоритетное финансирование.

Вторая политика определяется уровнем организации развертывания и сопровождения корпоративной сети вуза.

Третья политика относится к кадровому составу информационного центра. Для вуза она особенно актуальна в связи с повышенной востребованностью опытных сисадминов.

Политика программного обеспечения в настоящее время - один из затратных факторов развития корпоративной сети. Рациональные подходы к его решению в условия монопольного рынка ОС и программных продуктов MicroSoft - это отдельный вопрос, требующий внимательного рассмотрения.

Политика технического обеспечения, может быть, не вполне актуальна в условиях достаточного финансирования. Но всегда существует проблема обновления устаревшего оборудования.

Наконец, последняя политика связана с формирование морально-этических норм толерантного поведения в информационных системах и разумного ограничения от посещений агрессивных информационных пространств. Недооценка этих направлений будет компенсироваться повышенными финансовыми затратами на сопровождение корпоративных сетей вузов .

СПИСОК ЛИТЕРАТУРЫ

1. Концепция национальной безопасности РФ, утверждена Указом Президента РФ от 17.12.97 г. № 1300 (в ред. Указа Президента РФ от 10.01.2000 г. № 24).

2. Доктрина информационной безопасности Российской Федерации, утверждена Президентом РФ 9.09.2000 г. Пр-1895.

3. Труфанов А. И. Политика информационной безопасности вуза как предмет исследования // Проблемы Земной цивилизации. - Вып. 9. - Иркутск: ИрГТУ, 2004 / library.istu.edu/civ/default.htm.

4. Волков А. В. Обеспечение ИБ в вузах // Информационная безопасность. - 2006. - № 3, 4 / http://www. itsec.ru/articles2/bepub/insec-3 + 4-2006.

5. Крюков В. В., Майоров В. С., Шахгельдян К. И. Реализация корпоративной вычислительной сети вуза на базе технологии Active Directory // Тр. Всерос. науч. конф. «Научный сервис в сети Интернет». -Новороссийск, 2002. - С. 253-255.

6. Минзов А. С. Особенности комплексной информационной безопасности корпоративных сетей вузов /http: //tolerance. mubiu. ru/base/Minzov(2).htm#top.

Статья поступила в редакцию 22.01.2009

INFORMATION SECURITY OF INSTITUTE OF HIGHER EDUCATION

O. M. Protalinskiy, I. M. Azhmukhamedov

The specific character of providing information security in the Institute of Higher Education is revealed. Threats, their sources and risks are analyzed. The boundaries of the information protection and the structure of complex information security system are examined.

Key words: information security, institute of higher education, the security threat, information security.

А.В. ВОЛКОВ
системный администратор Саратовского государственного социально-экономического университета

В развитии компьютерной техники и программного обеспечения вузы сыграли ключевую роль. В них разрабатываются, испытываются и внедряются передовые проекты в сфере IT. С ростом киберпреступности защита конфиденциальной информации и разработок в учебных учреждениях становится особенно актуальной.

Учет специфики

Вузы - инфраструктура, обладающая огромным банком данных, содержащим информацию разного характера. Это не только учебные методички в электронном виде, но и важные проектно-исследовательские наработки. Рост преступлений в сфере высоких технологий диктует свои требования к защите ресурсов вычислительных сетей учебных заведений и ставит задачу построения собственной интегрированной системы безопасности. Ее решение предполагает наличие нормативно-правовой базы, формирование концепции безопасности, разработку мероприятий, планов и процедур по безопасной работе, проектирование, реализацию и сопровождение технических средств защиты информации (СЗИ) в рамках образовательного учреждения. Эти составляющие определяют единую политику обеспечения безопасности информации в вузе.

Специфика защиты информации в образовательной системе заключается в том, что вуз - публичное заведение с непостоянной аудиторией, а также место повышенной активности "начинающих кибер-преступников". Основную группу потенциальных нарушителей здесь составляют студенты, некоторые из них имеют достаточно высокий уровень знания компьютеров, сетей. Возраст - от 18 до 23 лет - и юношеский максимализм побуждает таких людей блеснуть знаниями перед сокурсниками: устроить вирусную эпидемию, получить административный доступ и "наказать" преподавателя, заблокировав выход в Интернет. Достаточно вспомнить, что первые компьютерные правонарушения родились именно в вузе (червь Морриса).

Учащиеся имеют доступ только в компьютерные учебные аудитории, от них и исходит внутренняя угроза. Работа студентов, преподавателей в таких аудиториях должна быть регламентирована приказом (актом) ректората. Во избежание занесения вредоносной информации во внутреннюю сеть желательно, чтобы в компьютерах отсутствовали дисководы и были отключены usb-порты.

Анализ угроз, их источников и рисков

Компьютерные сети образовательных заведений - это совокупность сетевых ресурсов для учебной деятельности, рабочих станций персонала, устройств функционирования сети в целом.

Источниками возможных угроз информации являются: компьютеризированные учебные аудитории, в которых происходит учебный процесс;

Интернет;
рабочие станции неквалифицированных в сфере ИБ работников вуза.

Анализ информационных рисков можно разделить на следующие этапы:

классификация объектов, подлежащих защите, по важности;
определение привлекательности объектов защиты для взломщиков;
определение возможных угроз и вероятных каналов доступа на объекты;
оценка существующих мер безопасности;
определение уязвимостей в обороне и способов их ликвидации;
составление ранжированного списка угроз;
оценка ущерба от НСД, атак в отказе обслуживании, сбоев в работе оборудования.

Основные объекты, нуждающиеся в защите от НСД:

бухгалтерские ЛВС, данные планово-финансового отдела, а также статистические и архивные данные;
серверы баз данных;
консоль управления учетными записями;
www/ftp сервера;
ЛВС и серверы исследовательских проектов.

Регламент работы

Для аутентификации пользователей на рабочих станциях преподавательского персонала, компьютерах в учебных аудиториях можно применять ролевое управление доступом (РУД). Суть технологии - в создании некой "роли, связывающей пользователя и его привилегии в системе. С ее помощью можно эффективно построить гибкую политику разграничения доступа в многопользовательской системе.

РУД заметно облегчает администрирование многопользовательских систем путем установления связей между "ролями" и пользователями. Для каждого пользователя может быть активизировано сразу несколько "ролей", которые одновременно могут быть приписаны сразу нескольким пользователям.

Использование сетевой операционной системы Novell Netware позволяет централизованно управлять процессом идентификации пользователей в общей университетской сети, отслеживать их действия, ограничивать доступ к ресурсам. Средства защиты информации (СЗИ) уже встроены в эту ОС на базовых уровнях и не являются надстройкой в виде какого-либо приложения.

ОС Novell NetWare содержит механизмы защиты следующих уровней:

защита информации о пользователе;
защита паролем;
защита каталогов;
защита файлов;
межсетевая защита.

Для каждого зарегистрированного в этой ОС пользователя содержатся правила с указанием перечня ресурсов, к которым он имеет доступ, права на работу с ними. Для помощи администратору служит консоль управления учетными записями. Есть возможность ограничения права пользователя на вход в сеть временем, датой и конкретными рабочими станциями. В качестве системы разграничения доступа используются ACL и так называемые контексты. Для каждого контекста определен список доступных ресурсов сети. Это позволяет разделять доступ к ресурсам между администрацией, работниками университета и студентами. Кроме того, можно устанавливать дополнительные групповые политики в рамках определенного контекста (допустим, разделить доступ студенческого контекста по факультетам, не используя подконтексты). Встроенные средства обнаружения и предотвращения атак позволяют быстро выявить нарушителя.

Нередко на территории университета разворачивается беспроводная сеть, доступ в которую обычно является свободным. Использовать такую схему стоит в том случае, когда точки беспроводного доступа не подключены к внутренней сети университета. Как правило, связь с Интернетом осуществляется сразу по нескольким линиям связи (оптоволоконная магистраль, спутниковые и радиоканалы). Отдельные каналы предоставляются для связи с другими университетами или для безопасного обмена данными. Чтобы исключить риски, связанные с утечкой и порчей передаваемой информации, такие сети не стоит подключать к глобальным сетям и общей университетской сети.

Критически важные узлы для обмена данными университета (бухгалтерская ЛВС) также должны существовать отдельно.

Рубежи обороны

Первый рубеж обороны от атак извне (Интернет) - роутер (маршрутизатор). Он применяется для связи участков сети друг с другом, а также для более эффективного разделения трафика и использования альтернативных путей между узлами сети. От его настроек зависит функционирование подсетей и связь с глобальными сетями (WAN). Его главная задача в плане безопасности -защита от распределенных атак в отказе обслуживания (DDOS).

Вторым рубежом может служить МСЭ: аппаратно-программный комплекс Cisco PIX Firewall.

Затем следует DMZ. В этой зоне стоит расположить главный прокси-сервер, dns-сервер, www/ftp, mail сервера. Прокси-сервер обрабатывает запросы от рабочих станций учебного персонала, серверов, не подключенных напрямую к роутеру, и фильтрует трафик. Политика безопасности на этом уровне должна определяться блокированием нежелательного трафика и его экономией (фильтрация мультимедиаконтента, iso-образов, блокировка страниц нежелательного/нецензурного содержания по ключевым словам). Чтобы не происходило скачивания зараженной вирусами информации, на этом сервере оправдано размещение антивируса (например, ClamAV). Для более детального анализа и контроля трафика следует применять IDS (такую, как Snort).

Информация от прокси-сервера параллельно отсылается на сервер статистики, где можно посмотреть и проанализировать деятельность пользователей в Интернете. На почтовом сервере обязательно должен присутствовать почтовый антивирус, к примеру, Kaspersky AntiVirus for Mail servers.

Так как эти серверы связаны непосредственно напрямую с глобальной сетью, аудит программного обеспечения, установленного на них, - первоочередная задача инженера по информационной безопасности вуза. Для экономии средств и гибкости настраивания желательно применять opensource-ОС и программное обеспечение. Самая распространенная ОС - FreeBSD и GNU Linux. Но ничто не мешает использовать и более консервативную Open BSD или даже сверхстабильную ОС реального времени QNX.

Спрос на антивирусные средства растет с каждым годом и не обошел инфраструктуру вузов.