[ Тематический план ] [ Организация процесса обновления в информационной системе. Регламенты обновления. ] [ 1 ] [ 2 ] [ 3 ] [ 4 ]

Политика обновлений должна рассматриваться в сочетании с другими политиками ИБ.

Необходимо отметить, что есть ресурсы, обновляемые в рамках всех политик, а есть те, которые обновляются только по определенной политике.

По основным механизмам функционирования политики ИБ можно разделить на две категории:

• политики технологического обеспечения;

• организационные политики. Политики технологического обеспечения включают учет, эксплуатацию и защиту оборудования, ПО и информационных ресурсов. В свою очередь, они делятся на инфраструктурные (связанные с оборудованием, системным ПО и сетевыми сервисами) и прикладные (связанные с прикладным ПО и пользовательскими информационными ресурсами).

Представим классификационную схему политик ИБ в виде рубрикатора. Такая схема позволяет при необходимости расширять понятия, находящиеся в узлах дерева рубрикатора..

0. Политики ИБ.

0.1. Политики технологического обеспечения.

0.1.1. Политики инфраструктурного технологического обеспечения.

0.1.1.1. Политика обновления инфраструктуры.

0.1.1.2. Политика учета инфраструктурных ресурсов.

0.1.1.3. Политика мониторинга инфраструктуры.

0.1.1.4. Политика предоставления и разграничения доступа к инфраструктурным ресурсам.

0.1.1.5. Политика защиты от вторжений.

0.1.1.6. Политика обеспечения целостности информации.

0.1.1.7. Политика защиты от нарушений доступности.

0.1.1.8. Политика резервного копирования.

0.1.2. Политики прикладного технологического обеспечения.

0.1.2.1. Политика обновления прикладных ресурсов.

0.1.2.2. Политика 086 €у

Рассмотрим взаимосвязи между указанными политиками ИБ и политиками обновлений.

Политики инфраструктурного технологического обеспечения.

Политика обновления инфраструктуры. Характерным следствием любых обновлений оборудования и системного ПО является временная неработоспособность обновляемой части системы или всей системы. Для обновления аппаратных компонентов оборудование необходимо выключать, после обслуживания компонентов системного ПО обычно требуется перезагрузка ОС.

Необходимо отметить также и тот факт, что при каждом обновлении как оборудования, так и системного ПО существенно повышается риск отказа в работе обновленной системы – нет исчерпывающей гарантии, что обновление будет установлено штатно, и, кроме того, новый компонент оборудования или системного ПО всегда обладает меньшим временем тестирования, поэтому возникновение непредвиденных проблем с ним вполне возможно.

Политика учета инфраструктурных ресурсов. В соответствии с политикой учета инфраструктурных ресурсов учитываются версии программных и аппаратных компонентов, из которых состоит ИС (подаппаратный, аппаратный, программно-аппаратный уровни). При обновлении модулей ИС, учтенных в соответствии с этой политикой, необходимо отражать в учетных документах соответствующие изменения. Кроме того, при обновлениях имеетсмысл учитывать совместимость версий оборудования и ПО.

Политика мониторинга инфраструктуры. Используя данные, полученные из систем, развернутых в соответствии с политикой мониторинга инфраструктуры, можно выбирать для обновления наиболее изношенные ресурсы подаппаратного и аппаратного уровней, а также наименее актуальные ресурсы программно-аппаратного уровня. Кроме того, во время обновления того или иного ресурса он, как правило, становится недоступным, это важно учитывать в политике мониторинга инфраструктуры.

Политика предоставления и разграничения доступа к инфраструктурным ресурсам предусматривает разграничение полномочий пользователей к различным ресурсам подаппаратного, аппаратного и программно-аппаратного уровней в соответствии с квалификацией и служебными обязанностями. В данной политике должны быть оговорены возможности пользователей по обновлению инфраструктурных ресурсов. Например, как правило, нет ничего предосудительного в том, чтобы у пользователя была возможность запустить автоматическую установку обновлений MS Windows. Однако процесс установки обновлений подразумевает соблюдение определенных условий (питание от розетки, а не от аккумуляторов, закрывание обновляемых приложений на время этого процесса, резервное копирование основных данных и т. д.), ожидать стопроцентное следование которым от пользователей было бы наивным.

Политика защиты от вторжений. Важным аспектом политики защиты от вторжений является обновление ресурсов подаппаратного, аппаратного и программно-аппаратного уровня до актуального уровня. По сути, необходимо предусмотреть возможность регулярного обновления системного ПО и системных прошивок, причем сугубо из официальных, проверенных источников, которым принято решение доверять. Кроме того, поскольку непосредственно во время обновления некоторые ресурсы (в том числе и ресурсы, отвечающие за ИБ) могут быть недоступными, то необходимо предусматривать альтернативные методы защиты ИБ во время обновлений основных средств обеспечения ИБ.

Политика обеспечения целостности информации, наряду с политикой резервного копирования, должна предусматривать алгоритм действий в случае неудачного обновления того или иного компонента ИС, который может обеспечивать целостность информации.

Политика защиты от нарушений доступности. Как уже упоминалось, обновление ресурсов подаппаратного, аппаратного и программно-аппаратного уровней может вызывать частичную или полную недоступность ИС. В случае удачного обновления нарушение доступности будет лишь на период непосредственно операций по обновлению, в случае же неудачного обновления нарушение доступности может быть длительным. Политика защиты от нарушений доступности должна предусматривать оба случая.

Политика резервного копирования. Важную роль в восстановлении работоспособности системы играет возможность оперативного восстановления информации. Резервному копированию могут подвергаться дистрибутивы системного и прикладного ПО, развернутые версии системного и прикладного ПО, настройки системного и прикладного ПО, а также базы данных и документы прикладного ПО..

Политики прикладного технологического обеспечения.

Политика обновления прикладных ресурсов. Прикладное ПО, наряду с системным, нуждается в обновлениях по причине морального устаревания или обнаружения уязвимостей.

Моральное устаревание прикладного ПО может быть вызвано наличием запросов на новые функции, а также на нюансы работы уже реализованных возможностей со стороны его пользователей. Оно происходит обычно при выходе новой версии программы. При этом далеко не всегда целесообразно обновлять прикладную программу до следующей версии непосредственно после ее появления. Производители обычно продолжают техническую поддержку и выпуск обновлений для предыдущих версий прикладного ПО в течение нескольких лет после появления новых версий.

Многие программы, которые можно классифицировать как прикладные, имеют доступ к ресурсам сети. В некоторых случаях к этим программам можно даже подключаться по сети.

Следовательно, на прикладное ПО распространяется необходимость защиты от удаленных и локальных уязвимостей. Обновление в связи с уязвимостью производится для устранения ошибок и недоработок прикладного ПО, которые могут приводить к сбоям в работе ПО, а также потенциальным уязвимостям системы (при взломе прикладной программы в некоторых случаях злоумышленник получает доступ к системе с полномочиями той учетной записи, из-под которой была запущена прикладная программа). Обычно производители прикладного ПО выпускают регулярные обновления, установка которых может производиться вручную или автоматически .

Политика учета пользовательских ресурсов проявляется в том, что в соответствии с ней учитываются версии прикладных программ, из которых состоит прикладной уровень ИС.

При обновлении модулей ИС, учтенных в соответствии с этой политикой, изменения необходимо отражать в учетных документах. Кроме того, при обновлениях имеет смысл учитывать совместимость версий прикладного ПО, в этом отношении политика учета пользовательских ресурсов очень тесно связана с политикой управления версиями.

Политика мониторинга пользовательских ресурсов. Используя данные, полученные из систем, развернутых в соответствии с политикой мониторинга пользовательских ресурсов, можно выбирать для обновления наименее функциональные, актуальные прикладные программы. Кроме того, необходимо учитывать, что во время обновления того или иного ресурса, он, как правило, становится недоступным. Политика мониторинга прикладных ресурсов применяется для учета работоспособности, а также установленных версий прикладного ПО и необходимости обновления до более свежих версий. Тесную связь политика мониторинга прикладных ресурсов имеет с политикой управления версиями.

Политика предоставления и разграничения доступа к прикладным ресурсам предусматривает разграничение полномочий пользователей к различному прикладному ПО в соответствии с квалификацией и служебными обязанностями. В данной политике должны быть оговорены возможности пользователей по обновлению прикладного ПО.

Предусматривается разграничение доступа как к самим прикладным программам, так и к различным внутрипрограммным функциям.

Политика предоставления и разграничения доступа к информационным ресурсам предусматривает разграничение полномочий пользователей к различным ресурсам прикладного уровня в соответствии с квалификацией и служебными обязанностями. В данной политике должны быть оговорены возможности пользователей по обновлению прикладных ресурсов.

Политика использования средств криптографической защиты должна предусматривать возможность обновления алгоритмов шифрования данных, средств шифрования, в которых эти алгоритмы реализованы. Кроме того, необходимо учитывать, что во время обновления средств шифрования данных использование их по прямому назначению вряд ли будет возможно.

Политика обеспечения актуальности информации. Актуальность информации, с которой работает ИС, может быть нарушена на период обновления того или иного компонента ИС.

Временная недоступность всей системы или ее компонентов, обусловленная необходимость обновления тех или иных ресурсов ИС должны быть предусмотрены в политике обеспечения актуальности информации.

Политика управления версиями. В практике применения современных прикладных ресурсов встречаются случаи, когда в одной и той же системе (вплоть до того, что на одном и том же физическом компьютере) необходимо применение сразу нескольких версий одного и того же программного продукта или набора данных. При этом у каждой версии могут быть свои требования к программно-аппаратному окружению. Например, старая версия MS Word для ОС DOS не может полноценно работать в MS Windows 8 (нет толкового полноэкранного режима, введена масса ограничений на обращение к областям дисковой памяти, слишком уж расширенные возможности файловой системы и т. д.), при этом MS Word 2012 невозможно запустить на ОС Windows’98, на которой упомянутый ранее Word для DOS еще более-менее корректно функционировал.

Соблюдение политики управления версиями подразумевает наличие информации о требуемом программно-аппаратном окружении для каждой из необходимых версий прикладной программы или набора данных. Именно политика управления версиями имеет самую тесную связь с политиками обновления (а также с экономической политикой и политикой мониторинга прикладных ресурсов), так как необходимо предусматривать отслеживание целесообразности использования старых версий при условии наличия новых и, наоборот, целесообразность обновления версии ресурса при условии, что и старая версия устраивает пользователей.

Организационные политики. В настоящее время в большинстве организаций всех формсобственности и направлений деятельности ИС используются для выполнения основных функций. Как минимум, информационные технологии применяются для управленческого и бухгалтерского учета, кадровой работы и связи, что обусловлено удобством и массой возможностей, предоставляемых современными электронными средствами (хранение большого объема информации в малом физическом объеме, моментальный поиск, контекстная зависимость интерфейса приложений и т. д.).

Существуют также экономические (снижаются простои, связанные с долгой доставкой корреспонденции как внутри организации, так и внешним контрагентам; в результате внедрения дополнительного функционала, который был бы недоступен без ИТ, повышается коэффициент полезного действия персонала) и законодательные (органы государственной власти предпочитают принимать отчетность и другие документы в электронном виде) причины распространения ИТ.

Наибольшее распространение получают ИС, созданные в соответствии с принципами открытых систем. Основополагающим документом, описывающим такие системы, является стандарт ISO/IEC TR 14252-1995 1, в соответствии с которым главным принципом открытых систем является создание среды, состоящей из программно-аппаратных компонентов, средств связи, интерфейсов, форматов данных и протоколов, которая в основе имеет развивающиеся, доступные и общепризнанные стандарты, а также обеспечивает переносимость, взаимодействие и масштабируемость данных. Кроме того, в открытых системах предполагается использование методов функциональной стандартизации: построение и применение профиля – согласованного набора базовых стандартов, необходимых для решения конкретной задачи или определенного класса задач.

Принципы открытых систем позволяют строить ИС экономичным образом, так как нет необходимости разрабатывать дополнительные интерфейсы программных и аппаратных средств, а также за счет возможности реинжиниринга (т. е. использования одного и того же ПО при переходе с одной платформы на другую).