Зачем Вам решать чужие задачи?

Эффективное управление - это когда не тратишь деньги на то, что тебе на самом деле не нужно. Мысль, которая освоена обществом и закреплена кризисом.

К сожалению, к организации системы защиты информации такой подход до сих пор был применим лишь в очень небольшой мере. Дело в том, что для защиты реальных систем приходится использовать не то, что подходит для задач именно этих систем, а то, что хорошо и надежно защищает. Не важно, что защищает не совсем от того, от чего надо, или что значительная часть функций (дорогостоящих, замечу), никогда в данной системе не пригодится.

Конечно, это подход значительно более верный, чем идея выбирать средства, дающие только ложное чувство защищенности, а средствами защиты не являющиеся. Однако работникам финансовой сферы не надо объяснять, какова на самом деле цена информационной безопасности, и стоит ли использовать вместо сейфа коробку из-под ксерокса.

Долгое время разработчики действительно хороших средств защиты информации исходили из того, что хорошее средство - это такое, которое позволяет решить как можно более полно как можно более широкий круг задач. Однако в определенный момент уровень развития инфраструктуры, нуждающейся в защите, начинает диктовать другой подход. Этот подход предполагает альтернативу огромным комплексным решениям - решения «точечные», решающие строго определенные задачи, но легко и бесконфликтно встраиваемые в систему, не дублирующие функции, уже реализованные и работающие до их внедрения, не требующие тем самым затрат на «навязанные услуги». Умение предоставить инструмент для решения многих задач делает честь разработчику, но при чем тут пользователь? Зачем Вам решать чужие задачи?

Наконец, к делу.

Столкнувшись на собственном опыте с тем, как трудно найти надежный и качественный инструмент без «нагрузки» в виде функций «для всего остального», мы предлагаем два компактных (как в прямом, так и в переносном смысле) решения для вполне определенных и актуальных для финансового сектора задач защиты информации.

Это задача организации работы с USB-накопителями только внутри защищенного периметра, и задача организации работы с криптографией вне защищенного периметра.

Обе задачи связаны с персональными устройствами, однако различие между ними фундаментально: в первом случае нам необходимо ограничить круг компьютеров, на которых должно применяться устройство, а во втором - напротив, сделать его неограниченным.

Храните данные в СЕКРЕТЕ

Если обобщить все предлагаемые до сих пор методы защиты работы с флешками, то окажется, что они сводятся к тому, чтобы регламентировать работу с теми или иными USB-носителями внутри защищенной информационной системы (механизмами установленных в ней средств защиты), либо к тому, чтобы шифровать записанные на флешки данные.

В значительной мере эти подходы определяются тем, какие задачи могут быть решены с использованием известных технологий, а не тем, какие задачи нужно решить. Очевидно, что главная опасность применения флешек в информационной системе состоит не в том, что они тем или иным способом применяются внутри системы, а в том, что они могут с тем же успехом применяться и снаружи.

Хорошо понятно, что ни тот, ни другой метод никак не защищает от того, что легальный пользователь будет использовать служебный USB-носитель за пределами компании так, как ему вздумается. В лучшем случае, то есть если он абсолютно благонадежен и предельно бдителен, он просто принесет в служебную систему вирусы. В худшем же - все понятно без комментариев.

И в этом смысле не много дает ограничение «использовать только строго определенные флешки», ведь и с разрешенной к использованию флешки можно переписать то, что не следует, туда, куда не следует.

Организуя работу с USB-накопителями в организации, надо четко понимать разницу между пользователем и владельцем, ведь речь идет не о личных данных пользователя, а именно о служебной информации.

Традиционные подходы к защите от утечек через USB-носители несут в себе принципиальную ущербность, поскольку применение флешек на посторонних ПК при этом никак не ограничивается.

В идеальном случае владелец должен определять:

1) кто может использовать флешку,

2) какую именно флешку сотрудник может использовать,

3) на каких именно компьютерах данный сотрудник может использовать данную флешку.

При этом должна быть исключена возможность использовать служебные флешки на каких-либо компьютерах вне ИС организации, а в ИС организации должно быть запрещено использование каких-либо других флешек, помимо разрешенных.

Казалось бы, это просто утопия - как можно что-то запретить на тех компьютерах, круг которых даже не может быть очерчен.

Однако, это не так. Именно такую возможность предоставляет система на основе защищенного служебного носителя информации Секрет.

Принцип работы систем линейки СЕКРЕТ состоит в том, что устройство опознается операционной системой (ОС) как mass-storage (USB-накопитель, флешка) только на заранее определенных компьютерах. При подключении к любому другому компьютеру не будет даже запрашиваться PIN-код - компьютер просто не обнаружит устройства.

Это достигается аппаратной реализацией протоколов криптографической аутентификации, в которой процессор USB-устройства Секрет участвует как активное устройство, а не просто флеш-память.

Подробно про продукты линейки СЕКРЕТ можно прочитать на официальном сайте /products/storage/flash/secret/.

Компьютер может быть любым

Совершенно другая задача - применение криптографических преобразований за пределами защищенного периметра.

Для решения задачи мобильного использования аппаратной криптографии мы предлагаем другое устройство (тоже, к слову, USB) - ПСКЗИ (персональное средство криптографической защиты информации) ШИПКА (Шифрование-Идентификация-Подпись-Коды Аутентификации).

ШИПКА - это средство криптографической защиты, то есть ее основное назначение - именно выполнение криптографических преобразований. Причем выполнение этих преобразований полностью независимо от процессора компьютера. Работа с ключами в ШИПКЕ организована так, что на протяжении всего своего жизненного цикла (от генерации до удаления) закрытые ключи ключевых пар и ключи шифрования никогда не покидают устройства в открытом виде и не оказываются в оперативной памяти компьютера непосредственно во время вычислений (в том числе и вычислений хеш-функции). Это позволяет, например, правильно реализовать применение ЭЦП в терминальных системах, когда ни ключи, ни хеш не передаются по сети, все преобразования производятся на стороне клиента.

Подробнее о ПСКЗИ ШИПКА и решениях с ее использованием можно прочитать на сайте /products/storage/auth/shipka/.

***

Инструменты для решения любых задач и инструменты для решения Ваших задач - не обязательно взаимоисключающие понятия. Можно, и даже очень хорошо - строить системы, сразу комплексно защищенные по всем направлениям. Как профессионалы, мы считаем эту логику очень верной и предлагаем высокоэффективные универсальные средства защиты информации и комплексные решения (об этом можно прочитать в разделе «Решения»). Но в тех случаях, когда система уже есть и работает, может быть намного удобнее, дешевле и в целом логичнее дополнить ее тем, что решает новую возникшую задачу, а не полностью заменить на другую, еще более комплексную и универсальную.

Автор: Конявская С. В.

Дата публикации: 01.01.2010

Библиографическая ссылка: Конявская С. В. Зачем Вам решать чужие задачи? // Национальный банковский журнал. М., 2010. №. 8 (75). С. 100–101.

---