6.4. Підтримка працездатності

Далі розглянемо ряд рутинних заходів, спрямованих на підтримку працездатності інформаційних систем. Саме тут чатує найбільша небезпека. Ненавмисні помилки системних адміністраторів і користувачів можуть призвести до ушкодження апаратур, руйнування програм і даних; у найкращому випадку вони створюють пролом у захисті, який уможливлює реалізацію загроз.

Недооцінка факторів безпеки в повсякденній роботі - ахіллєсова п'ята багатьох організацій. Коштовні засоби безпеки втрачають сенс, якщо вони погано документовані, конфліктують з іншим програмним забезпеченням, а пароль системного адміністратора не змінювався з моменту установки.

Можна виділити наступні напрямки повсякденної діяльності:

• підтримка користувачів;

• підтримка програмного забезпечення;

• конфігураційне керування;

• резервне копіювання;

• керування носіями;

• документування;

• регламентні роботи.

Підтримка користувачів має на увазі насамперед консультування й надання допомоги при вирішенні різного роду проблем. Іноді в організаціях створюють для цієї мети спеціальний "довідковий стіл", але частіше від користувачів відкараскується системний адміністратор. Дуже важливо з переліку питань уміти виявляти проблеми, пов'язані з інформаційною безпекою. Так, багато труднощів користувачів, що працюють на персональних комп'ютерах, можуть бути наслідком зараження вірусами. Доцільно фіксувати питання користувачів, щоб виявляти їхні типові помилки й випускати пам'ятки з рекомендаціями для розповсюджених ситуацій.

Підтримка програмного забезпечення - один з найважливіших засобів забезпечення цілісності інформації. Насамперед, необхідно стежити за тим, яке програмне забезпечення встановлене на комп'ютерах. Якщо користувачі будуть установлювати програми за своїм розсудом, це може привести до зараження вірусами, а також появі утиліт, що діють в обхід захисних засобів. Цілком імовірно також, що "самодіяльність" користувачів поступово приведе до хаосу на їхніх комп'ютерах, а виправляти ситуацію доведеться системному адміністратору.

Другий аспект підтримки програмного забезпечення - контроль за відсутністю неавторизованої зміни програм і прав доступу до них. Сюди ж можна віднести підтримку еталонних копій програмних систем. Звичайно контроль досягається комбінуванням засобів фізичного й логічного керування доступом, а також використанням утиліт перевірки й забезпечення цілісності.

Конфігураційне керування дозволяє контролювати й фіксувати зміни, внесені в програмну конфігурацію. Насамперед, необхідно застрахуватися від випадкових або непродуманих модифікацій, уміти як мінімум повертатися до попередньої, працюючої, версії. Фіксація змін дозволить легко відновити поточну версію після аварії.

Кращий спосіб зменшити кількість помилок у рутинній роботі -максимально автоматизувати її. Праві ті "ледачі" програмісти й системні адміністратори, які, оглянувши поглядом море одноманітних завдань, говорять: "Я нізащо не буду робити цього; я напишу програму, що зробить усе за мене". Автоматизація й безпека залежать один від одного; той, хто піклується в першу чергу про полегшення свого завдання, насправді оптимальним чином формує режим інформаційної безпеки.

Резервне копіювання необхідно для відновлення програм і даних після аварій. І тут доцільно автоматизувати роботу, як мінімум, сформувавши комп'ютерний розклад створення повних й інкрементальних копій, а як максимум - скористатись відповідними програмними продуктами (див., наприклад, Jet Info, 2000, 12). Потрібно також налагодити розміщення копій у безпечному місці, захищеному від несанкціонованого доступу, пожеж, протікань, тобто від усього, що може привести до крадіжки або ушкодження носіїв. Доцільно мати кілька екземплярів резервних копій і частину з них зберігати за межами території організації, захищаючись у такий спосіб від великих аварій й аналогічних інцидентів.

Час від часу в тестових цілях варто перевіряти можливість відновлення інформації з копій.

Управляти носіями необхідно для забезпечення фізичного захисту й обліку дискет, стрічок, друкованих видач і т.п. Керування носіями повинне забезпечувати конфіденційність, цілісність і доступність інформації, що зберігається за межами комп'ютерних системх. Під фізичним захистом тут розуміється не тільки відбиття спроб несанкціонованого доступу, але й запобігання від шкідливих впливів навколишнього середовища (спеки, холоду, вологи, магнетизму). Керування носіями повинно охоплювати весь життєвий цикл - від закупівлі до виведення з експлуатації. Документування - невід'ємна частина інформаційної безпеки. У вигляді документів оформляється майже все - від політики безпеки до журналу обліку носіїв. Важливо, щоб документація була актуальною, відбивала саме поточний стан справ, причому в несуперечливому вигляді.

До зберігання одних документів (які містять у собі, наприклад, аналіз уразливих місць системи й загроз) можна застосувати вимоги забезпечення конфіденційності, до інших, таких як план еідновлєння після аварій - вимоги цілісності й доступності (у критичній ситуації план необхідно знайти й прочитати).

Регламентні роботи - дуже серйозна загроза безпеки. Співробітник, що здійснює регламентні роботи, одержує винятковий доступ до системи, і на практиці дуже важко проконтролювати, які саме дії він робить. Тут на перший план виходить ступінь довіри до тих, хто виконує роботу.