ar-net.ru10 Идентификация типов сетевого соединения
Существует много однородных типов сетевого соединения, которые может использовать организация. Некоторые типы соединений могут быть осуществлены через частные сети (доступ ограничен до известного сообщества), другие - через сеть общего пользования (доступ потенциально разрешен для любой организации или конкретного лица). Далее эти типы сетевого соединения могут быть использованы для предоставления разнообразных услуг, например электронной почты или EDI, и для применения средств сетей Интернет, Интранет или Экстранет, каждая из которых может потребовать отдельного рассмотрения безопасности. Каждый из типов соединений может иметь разные уязвимости и, следовательно, соответствующие риски безопасности, которые, в конечном счете, потребуют разного набора защитных мер.
Путь распределения по категориям однородных типов сетевого соединения, которое может потребоваться для бизнеса, с описанием примера, показанного для каждого типа, представлен в таблице 1.
При должном учете сетевых структур и их применения (см. раздел 9) следует выбрать один или более типов, представленных в таблице 1 и подходящих для рассматриваемых сетевых соединений.
Следует заметить, что однородные типы сетевого соединения, изложенные в настоящем стандарте, могут быть организованы и распределены по категориям преимущественно с точки зрения перспектив бизнеса, а не технических средств. Это означает, что два разных типа сетевого соединения могут быть иногда реализованы аналогичными техническими средствами, и в одних случаях защитные меры могут быть как одинаковыми, так и (в других случаях) разными.
Таблица 1 - Типы сетевого соединения
Номер пункта | Тип сетевого соединения | Пример |
10.1 | Соединение в пределах одной контролируемой территории организации | Взаимная связь между разными частями одной и той же организации в пределах одной и той же контролируемой территории, т.е. одиночное контролируемое здание или помещение |
10.2 | Соединение между разными территориально удаленными частями одной и той же организации | Взаимная связь между региональными офисами (и/или региональных офисов с местом расположения головного офиса компании). В этом типе соединения большинство пользователей (если не все) имеют возможность подключения к системам ИТ, доступным через сеть. Однако не все пользователи в пределах организации наделены полномочиями для доступа ко всем приложениям или информации (т.е. каждое подключение пользователя осуществляется в соответствии с предоставленными привилегиями).Один доступ из другой части организации может служить для дистанционного технического обслуживания |
10.3 | Соединения между узлом связи организации и персоналом, работающим в местах, удаленных от организации | Использование работниками мобильных терминалов обмена данными (например продавцом, проверяющим наличие запаса от покупателя) или установление работниками дистанционных линий связи с вычислительной системой организации из дома или другого удаленного места, не связанного через сеть этой организации. В этом типе сетевого соединения пользователь имеет полномочия использовать свою локальную систему |
10.4 | Соединения между разными организациями в границах закрытого сообщества, например по причине контрактных или других законных обязывающих ситуаций или интересов бизнеса (банковских операций или страхования) | Связь между двумя или большим числом организаций в случае, если существует потребность бизнеса способствовать электронным транзакциям (например электронный перевод платежей в банковской сфере деятельности). Этот тип соединения аналогичен типу по пункту 10.2, за исключением того, что соединяемые узлы связи принадлежат двум или более организациям, и соединения не предназначены обеспечивать доступ ко всему пакету приложений, используемых каждой участвующей организацией |
10.5 | Соединения с другими организациями | Следует иметь удаленные базы данных, поддерживаемые другими организациями (например через предоставляемые услуги). В этом типе сетевого соединения внешняя организация, к информации которой разрешается доступ, заранее наделяет индивидуальными полномочиями всех пользователей, в том числе из соединяющих организаций. Однако, хотя все пользователи заранее наделяются такими полномочиями, нет возможности проверки потенциальных пользователей иначе чем через их способность платить за предлагаемые услуги.Следует иметь также доступ к приложениям в системах организации, хранящей или обрабатывающей технологическую информацию, которая может быть предоставлена пользователям из внешних организаций. В таких условиях внешние пользователи были бы известны и уполномочены |
10.6 | Соединение с однородными областями общего пользования | Пользователи и организации могут инициировать доступ к общим базам данных, веб-сайтам и/или электронной почте (через Интернет) в случае, если это делается с целью получения или передачи информации между абонентами или узлами связи, которые организация специально заранее не наделила полномочиями. В этом типе соединения пользователи организации могли бы использовать упомянутые выше средства для организационных (возможно даже частных) целей, однако организация в таком случае контролирует незначительный объем передаваемой информации.Доступ может быть инициирован внешними пользователями средств организации (через Интернет). В этом типе сетевого соединения организация не может персонально санкционировать доступ для конкретных внешних пользователей заранее |
11 Анализ характеристик сети и связанных с ними доверительных отношений
11.1 Характеристики сети
Характеристики существующих или планируемых сетей следует регулярно пересматривать. Особенно важно выяснить:
- является ли сеть сетью общего пользования и доступна ли для любого абонента;
- частная ли это сеть, состоящая из собственных или арендованных линий связи и поэтому считающаяся более защищенной по сравнению с сетью общего пользования.
Важно также знать тип данных, транспортируемых сетью, например:
- сеть передачи данных, предназначенная главным образом для обмена данными с использованием соответствующих протоколов;
- сеть для речевых сообщений, предназначенная для телефонной связи, но также используемая для передачи данных;
- сеть, обеспечивающая телефонную связь и передачу данных.
Целесообразна также информация о том, является ли сеть коммутируемой или обеспечивает связь с коммутацией пакетов сообщений.
Следует также определить, является ли соединение постоянным или устанавливается по потребности.
11.2 Доверительные отношения
Поскольку характеристики существующих или предложенных сетей уже идентифицированы и, как минимум, установлено, является ли сеть общей или частной (11.1), то необходимо идентифицировать связанные с ними доверительные отношения.
Во-первых, необходимо идентифицировать доверительную среду(ы), связанную(ые) с сетевым соединением с помощью простой матрицы, представленной в таблице 2.
Таблица 2 - Характеристики доверительной среды
Доверительная среда | Характеристика |
| Низкая | Сеть с неизвестным сообществом пользователей |
| Средняя | Сеть с известным сообществом пользователей и в пределах замкнутого делового круга (более одной организации) |
| Высокая | Сеть с неизвестным сообществом пользователей только в пределах организации |
Во-вторых, текущая доверительная среда (низкая, средняя, высокая) должна относиться к применимой характеристике сети (общей или частной) и типу используемого соединения сетей (см. 10.1 - 10.6) для установления доверительных отношений. Это может быть сделано с помощью матрицы, представленной в таблице 3.
Таблица 3 - Идентификация доверительных отношений
Тип соединения сети (см. раздел 10) | Доверительная среда | ||
Низкая | Средняя | Высокая | |
| Сеть общего пользования | 10.6 | 10.4 10.5 | 10.2 10.3 |
| Частная сеть | 10.4 10.5 | 10.4 10.5 | 10.1 10.2 10.3 |
Определение категории для каждого доверительного отношения - по таблице 3. Все возможные категории представлены в таблице 4.
Таблица 4 - Категории доверительных отношений
Категория доверительного отношения | Характеристика |
| Низкая/общая | Низкое доверие и использование общей сети |
| Средняя/общая | Среднее доверие и использование общей сети |
| Высокая/общая | Высокое доверие и использование частной сети |
| Низкая/частная | Низкое доверие и использование частной сети |
| Средняя/частная | Среднее доверие и использование частной сети |
| Высокая/частная | Высокое доверие и использование частной сети |
Эти обращения будут использованы в разделе 12 настоящего стандарта для подтверждения видов риска безопасности и определения потенциальных контролируемых зон.
Эти задачи можно решить (при необходимости) с помощью информации, имеющейся в сетевых структурах и их применении (см. раздел 9).
12 Определение видов риска безопасности
Работа большинства организаций в настоящее время зависит от использования систем ИТ и сетей, поддерживающих их деловые операции. Более того, во многих случаях существует конкретное требование бизнеса по использованию сетевых соединений между системами ИТ в месте расположения каждой организации и других местах внутри и за пределами организации. При подсоединении к другой сети большое внимание следует уделять защите соединяющей организации от возникновения дополнительных рисков. Возникновение рисков возможно в результате, например, собственного соединения организации или соединений на другом конце сети.
В то время как сетевые соединения являются важными по деловым соображениям, необходимо признать, что их использование может вносить дополнительные риски безопасности, некоторые из которых, возможно, связаны с необходимостью строгого соблюдения соответствующих законов и постановлений. Виды рисков, указанные в настоящем разделе, отражают озабоченности, связанные с обеспечением безопасности. К ним относят несанкционированный доступ к информации, передачи без разрешения, внедрение злонамеренного кода, отказ подтверждения источника и подключения к услугам. Таким образом, виды риска безопасности, с которыми может встретиться организация, касаются:
- конфиденциальности информации;
- целостности информации;
- доступности информации и услуг;
- отказа от подтверждения обязательств;
- подотчетности транзакций;
- достоверности информации;
- надежности информации.
Не все виды риска безопасности применимы к любому помещению или любой организации. Однако соответствующие виды риска безопасности необходимо выявлять для определения потенциальных контролируемых зон (и, в конечном итоге, для выбора, проектирования, реализации и поддержания защитных мер).
Следует собирать и анализировать информацию по импликациям (вовлечению) в деловые операции, имеющие отношение к указанным выше видам риска безопасности (желательно по результатам анализа рисков и управления результатами проведенного анализа). При этом рассмотрению подлежат конфиденциальность или важность информации (возможное вредное влияние на бизнес) и соответствующие потенциальные угрозы и уязвимости. В случае более значимого вредного влияния на деловые операции организации следует обратиться к матрице видов риска, представленной в таблице 5.
Необходимо обратить внимание на то, что при завершении этой задачи следует использовать результаты анализа риска безопасности и управление результатами этого анализа, проведенного в отношении соединения(й) сети. Эти результаты позволят определить уровень детализации анализа проведенного управления и сосредоточить внимание на потенциально вредном влиянии, оказываемом на бизнес в связи с перечисленными выше видами риска, а также с типами угроз, уязвимостями и, следовательно, рисками для деятельности организации.
Ссылки на доверительные отношения по разделу 11 указывают в подзаголовках к таблице 5, а причиняемые воздействия - в левой части таблицы.
В точках пересечения указывают ссылки на потенциальные контролируемые зоны, которые далее рассматриваются в разделе 13.
Следует заметить, что в таблице 5 показано, как с увеличением доверия пользователя увеличивается необходимость в защитных мерах. Для этого существуют две причины.
Первая - имеется ряд защитных мер, описание которых приведено в ИСО/МЭК13335-4 (и поэтому здесь не повторяется). Эти меры следует выбирать для обеспечения безопасности ведущих средств ИТ, в том числе идентификации и аутентификации и логического контроля доступа. Конфигурация разрешений (привилегий) в ситуациях нижнего уровня доверия должна обеспечивать доступ только к ресурсам, которые согласуются с доверительной моделью и потребностями планируемого доступа. В ситуациях низкого доверия степень идентификации и аутентификации, логический контроль доступа и защитные меры (см. ИСО/МЭК 13335-4) должны быть выше, чем в ситуациях высокого доверия. При невозможности подобных действий должны быть внедрены дополнительные защитные меры.
Вторая - пользующиеся доверием пользователи обычно получают доступ к более важной/критической информации и/или функциональности. Это может означать потребность в дополнительной защите в качестве признания ценности ресурсов доступа, но не в качестве доверия к пользователям.
Таблица 5 - Матрица видов риска безопасности и ссылок на номера пунктов, описывающих потенциальные защитные зоны