Принципы безопасности

Защищенная система основывается на надежном проекте и интеллектуальном планировании. Рассмотрим элементы проекта, необходимые для создания более защищенных систем, основанных на принципах безопасности. Эти принципы физической безопасности, многие из которых могут быть позаимствованы из набора проверенных принципов ИТ-безопасности, помогают руководителям в вопросах создания безопасного окружения непосредственно с того момента, когда в этом возникла необходимость.

Безопасность часто рассматривается просто как «нечто необходимое» для компании. Соответственно, денежные средства, вложенные в систему безопасности, рассматриваются как расходы, а не как инвестиции, их объем недооценивается и преуменьшается. В результате многие компании слишком поздно начинают рассматривать конкретные меры безопасности, которые должны быть реализованы. То же самое относится к другим объектам организаций, таким как ИТ-подразделения. Поэтому во многих областях принципы разработаны в качестве руководства для принятия бизнес-решений.

Принципы, созданные на основе передового опыта, содержат рекомендации для руководителей и установщиков оборудования компании. Данные принципы обязывают заинтересованные стороны на начальном этапе сформулировать цели и создать проект. В этом отношении принципы служат основой в течение всего процесса покупки и внедрения приобретений.

С учетом объединения сфер безопасности и ИТ, а также таких явлений как глобализация, применение новых методы работы и технологических разработок, к системам безопасности предъявляются все более высокие требования. В результате принципы безопасности становятся все более важными. Поэтому проверенные принципы безопасности берут свое начало в сфере ИТ-безопасности.

Принципы безопасности можно определить, как набор желаемых свойств системы, моделей поведения, целей и методов внедрения, которые понижают вероятность реализации угрозы и уменьшают последствия в случае ее реализации. Принципы безопасности помогают определить необходимые требования, принять решения по вопросам архитектуры и внедрения, а также выявить возможные уязвимые места систем. Они помогают руководителям в вопросах создания безопасного окружения непосредственно с того момента, когда в этом возникла необходимость. Они мотивируют поставщиков критически относиться к вопросу и постоянно проверять решения, принятые в процессе приобретения и внедрения средств безопасности.

Проверенные принципы ИТ-безопасности применимы в сфере физической безопасности.

Представленные далее принципы ИТ-безопасности могут применяться при выборе и реализации мер физической безопасности, в зависимости от рассматриваемого типа системы.

Применяйте «глубокую» защиту. Это означает, что необходимы многоуровневые меры безопасности. Никто не должен полагаться только на один рубеж защиты. Публичный доступ к системе должен быть изолирован от критически важных ресурсов, физические и логические меры должны применяться в комбинации.

Используйте позитивную модель системы безопасности. Чтобы обеспечить надежный контроль доступа, вместо черного списка необходимо использовать белый список в комбинации со значениями по умолчанию и минимальными возможностями для атаки. Например, необходимо использовать предопределенные варианты, вместо пустых полей для ввода информации.

Обеспечьте реализацию отказоустойчивой политики и работу всех компонентов с наименьшим уровнем привилегий. Компоненты системы не должны иметь больше функциональных возможностей, чем это необходимо для выполнения их задач. Например, каждый компонент должен иметь доступ только к тем таблицам в базах данных, которые необходимы для его работы, и не иметь доступ ко всем остальным таблицам или базам данных, чтобы предотвратить несанкционированный доступ.

Избегайте такого подхода, при котором безопасность обеспечивается за счет неизвестности. В качественно разработанной криптосистеме только ключ должен храниться в секрете, а используемые алгоритмы не должны содержать срытых элементов. Для этого должны применяться контролируемые и экономически здоровые механизмы. Усилия и инвестиции должны соответствовать достигнутому уровню безопасности.

Выявляйте вторжения. Убедитесь, что вы сохраняете всю важную информацию, чтобы реагировать на события, как только они происходят. Также необходимо внедрить процедуры для последовательного мониторинга и реагирования на события.

Не доверяйте инфраструктуре или сервисам. Если какой либо внешний ресурс или сервис должен соответствовать политике организации, он должен быть проверен. Кроме того, ко всем внешним системам следует относиться с осторожностью, используя аналогичные стандарты.

Создайте надежные настройки по умолчанию. Безопасность никогда не должна быть поставлена под угрозу в связи с удобством использования. По умолчанию должны применяться максимально возможные меры безопасности. Система должна обеспечивать реализацию этого принципа, в то время как конкретные пользователи должны иметь возможность делать исключения в случае необходимости. Это должно регулироваться системой.

Система должна быть достаточно простой. В то время как удобство использования может никогда не поставить под угрозу безопасность, это может сделать сложность системы. Следовательно, соотношение уровня безопасности и уровня сложности системы должно быть сбалансировано. В частности, это касается удобства использования, архитектуры системы и возможных интеграций. Работа со сложной системой приводит к слишком многим зависимостям, которые подвергают риску безопасность.

Миссия системы безопасности должна быть защищена от атаки, а не отдельные компоненты системы. То есть система в целом должна быть защищенной, а не каждый отдельный ее компонент.

Применение принципов безопасности.

Для того, чтобы помочь в выборе и реализации решений в сфере безопасности, принципы безопасности должны быть оценены, интерпретированы и применены для решения конкретной задачи. Посредством оценки и интерпретации каждого принципа выявляются многие угрозы для системы безопасности, в результате чего может быть выработан перечень требований к защите. Целью является получение полного набора параметров, необходимых для обеспечения безопасности. Следует отметить, что данный набор параметров, специфичный для конкретной задачи, которую необходимо решить, также называется «задачей безопасности».

Принципы разработки.

Анализируя вопрос с позиции производителя, мы выяснили, что сфера использования принципов безопасности не должна ограничиваться процессами выбора и внедрения продукта, поскольку данные принципы применимы в течение всего жизненного цикла разработки продукта. Наша задача заключается в том, чтобы обеспечить клиентам реализацию мер безопасности, которые соответствуют их пожеланиям и требованиям, а также местным законам и ограничениям бюджета. Исходя из этого, мы выработали принципы безопасности, чтобы позволить нашим клиентам реализовать их главную цель – создать безопасное окружение, а также обнаруживать и отслеживать всех людей, которые входят в их компанию.

Большой проблемой для поставщиков продуктов в сфере управления системами безопасности является то, что им приходится предлагать решения, которые должны удовлетворять многим, иногда противоречивым, требованиям клиентов. Необходимость в коммерческих, готовых продуктах для управления системами безопасности заставляет поставщиков внедрять многофункциональные, гибкие, удобные в использовании и легко адаптируемые продукты, которые могут решать широкий диапазон задач безопасности и должны соответствовать принципам безопасности в таком виде, в каком их оценил, интерпретировал и применил клиент. Единственный способ достичь этого – предоставлять продукты, которые имеют широкие возможности конфигурирования и адаптации. Поэтому производители должны неизменно придерживаться четко определенных принципов безопасности. В настоящее время они предлагают стандартный набор мер безопасности, в то время как системы должны быть спроектированы для конкретных задач.