Сергей Петренко - Политики безопасности компании при работе в Интернет
DynamicPolicy позволяет определить группы пользователей с определенными ролями, например для согласования или утверждения политик безопасности. При согласовании политик безопасности имеется возможность ограничить для отдельных сотрудников просмотр комментариев и замечаний других сотрудников, а также проводить закрытые обсуждения политик безопасности.
DynamicPolicy не поставляется с примерами тестов для проверки качества понимания соответствующей политики, однако при необходимости эти тесты можно создать. Например, можно создать тест из 10 вопросов (максимально 100), используя смешанный выбор – многовариантный выбор или ответ «да/нет», а также установить процент правильных ответов для прохождения теста (например, 100 %). После связывания теста с политикой безопасности пользователь не может указать на то, что ознакомлен с политикой до тех пор, пока не сдаст тест и не наберет требуемого процента правильных ответов. При этом его начальник имеет возможность получить отчет по не сдавшим к определенному моменту времени тест пользователям и, соответственно, не способным нести ответственность за нарушение политики безопасности. Формально это может являться причиной для отклонения прав доступа сотрудника к работе с определенными данными и приложениями компании и даже понижения формы допуска в целом.
3.7.3. NetlQ VigilEnt Policy Center
VigilEnt Policy Center NetlQ, Corp. (www.netiq.com) позволяет управлять жизненным циклом создания и внедрения текстовых политик безопасности в крупных организациях и на предприятиях. Это дает возможность поддерживать политики безопасности компании в актуальном состоянии, легко изменять их и предоставлять к ним доступ целевым группам сотрудников через Web-браузеры. Также Policy Center позволяет проводить проверку осведомленности и определять степень знания политик безопасности отдельных категорий сотрудников компании (см. рис. 3.18 и 3.19).
По сравнению с рассмотренными ранее системами управления политиками безопасности NetlQ VPC обладает наиболее развитыми функциональными возможностями по созданию и внедрению политик безопасности.
VPC была разработана компанией Pentasafe Security Technologies (в 2002 году приобретена компанией NetlQ). VPC работает под управлением Windows 2003/2000 Server, ХР, NT 4 на платформе с CPU от 866 МГц. NetlQ VPC использует СУБД Microsoft SQL Server версии 7 и выше или Oracle версии 9 и выше, а также включает MSDE (Microsoft Data Engine) 1.0.
Установка VPC не вызывает затруднений, продукт устанавливается как сервис и предоставляет Web-интерфейс через стандартные Web-серверы (IIS, Apache, Sun One).
...Рис. 3.18. Интерфейс системы управления политиками безопасности
...Рис. 3.19. Выбор политики безопасности
VPC поддерживает наибольшее количество каталогов пользователей LDAP, Active Directory, NT Domain или Microsoft Exchange (имеется возможность импорта списка пользователей из тестовых файлов).
VPC позволяет назначать стандартные роли – администратор, пользователь и редактор политики безопасности. Имеется возможность гибко распределять полномочия между пользователями для создания отчетов, управления административными задачами, создания и управления документами. Также можно управлять полномочиями по доступу к политикам безопасности на основе списков доступа.
Для редактирования политик безопасности VPC можно использовать HTML-редактор или редактор Microsoft Word.
Чтобы создать новую политику безопасности, необходимо на закладке Policy Center выбрать «Новая политика», затем выбрать шаблон политики безопасности (см. рис. 3.20) из интересующего раздела и, руководствуясь подсказками, заполнить либо изменить определенные секции шаблона политики безопасности. В VPC имеется уникальная возможность использования при разработке политик безопасности библиотеки политик безопасности ISPME (Information Security Policies Made Easy).
...Рис. 3.20. Выбор шаблона политики безопасности
В настоящее время более 4 тыс. организаций по всему миру используют политики безопасности из библиотеки ISPME. Создателем названной библиотеки является признанный эксперт Чарльз Крейсон Вуд (Charles Cresson Wood), обладающий сертификатами CISA, CISSP и автор более 225 технических публикаций и 5 книг по информационной безопасности. Библиотека политик ISPME содержит более 1 300 примеров политик, разработанных на основе международного стандарта ISO 17799 (BS 7799).
Также в библиотеку политик безопасности входят:
• 802.11 Wireless Ethernet Technical Protection Standard,
• Firewall Technical Protection Standard,
• Internet Information Services (IIS) Technical Protection Standard,
• Internet Protocol (IP) Router Technical Protection Standard,
• UNIX Technical Protection Standard,
• Web Server Technical Protection Standard,
• Novell NetWare Technical Protection Standard,
• Windows 2000 Technical Protection Standard,
• Windows NT 4.0 Technical Protection Standard,
• Windows XP Technical Protection Standard.
Дополнительно могут поставляться шаблоны политик безопасности, специфичные только для США (СЕВА и HIPAA). Имеется также возможность создавать собственные политики безопасности «с нуля» или импортировать готовые политики безопасности. Примеры тестов, поставляемых вместе с VPC, коррелируют с примерами политик безопасности из библиотеки ISPME (см. рис. 3.21). Вопросы тестов связаны с соответствующими положениями из текста политик безопасности.
...Рис. 3.21. Пример теста на знание политики безопасности
Тесты позволяют оперативно оценить уровень соответствия корпоративной политики безопасности определведомственному акту или стандарту безопасности. Имеется возможность получить метрические оценки состояния безопасности, а также отслеживать динамику изменения этих оценок.
Для фиксации факта ознакомления с политикой безопасности NetlQ, VPC использует ЭЦП. Отчеты, создаваемые VPC, позволяют ознакомиться со списком сотрудников компании, подписавших политику безопасности. Имеется возможность установить различные напоминания для не ознакомленных с нею сотрудников.
Администратор может установить срок действия политики безопасности – после его окончания (по умолчанию 5 лет) сотрудники компании получат уведомление о необходимости пересмотра политики безопасности.
Важной особенностью NetlQ, VigilEnt Policy Center, отличающей его от других продуктов данного класса, является его способность интегрироваться с системами управления техническими политиками, в частности с NetlQ, VigilEnt Security Manager. To есть имеется возможность проводить онлайн-мониторинг и проверку соответствия технической политики и ее текущего состояния на различных технологических платформах существующим политикам более высокого уровня, а также политикам, определяющим требования к параметрам конечных систем. Это помогает существенно экономить время и ресурсы при подготовке отчетов для инспекций контролирующих ведомств, проверке правильности ведения финансовой отчетности, при проведении финансовых аудитов, а также в повседневной работе службы информационной безопасности.
Таким образом, NetlQ VPC позволяет транслировать политики безопасности, созданные на основе шаблонов или примеров политик стандарта ISO 17799, в детальные технические политики для всех основных компонент корпоративной информационной системы, включая серверы приложений, СУБД, продукты контентной фильтрации и межсетевые экраны, работающие на платформах Win2K или Solaris.
Далее представлен пример задания технической политики безопасности (см. рис, 3.22-3.25).
...Рис. 3.22. Пример задания правил безопасностис
...Рис. 3.23. Выбор платформы
Пример выбора параметров, которые может контролировать агент NetlQ, Vulnerability Manager на выбранной платформе, представлен на рис. 3.24.
...Рис. 3.24. Детализация характеристик платформы
...Рис. 3.25. Пример задания политики безопасности
В состав линейки NetlQ, входит также Security Manager, который позволяет централизованно собирать, сохранять, очищать, агрегировать, коррелировать и в удобной для анализа форме отображать события от таких систем, как Cisco IOS, Check Point FW-1, ISS RealSecure и TrendMicro InterScanVirusWall. Другой компонент, VigilEnt User Manager (VUM), автоматизирует процесс управления пользователями – управление учетными записями и паролями, включая самообслуживание пользователей по управлению своими паролями через Web-портал.
VigilEnt Policy Center позволяет не только проверять факт прочтения и понимания политик, но также предоставляет сотрудникам возможность легко регистрировать и документировать факты нарушения политик (см. рис. 3.26).
...Рис. 3.26. Пример регистрации инцидента безопасности
