Правила, по которым живёт защита данных: стандарты информационной безопасности

Cтандарты информационной безопасности

Когда двое электриков спорят, какого цвета должен быть провод заземления, кто-то может пострадать. Именно поэтому существуют нормы, которым подчиняются все — от новичка до бригадира. В мире защиты информации всё устроено похоже. Здесь тоже есть свод правил, который не даёт специалистам изобретать велосипед каждый раз заново и позволяет им говорить на одном языке. Эти правила и называют стандартами информационной безопасности.

Разберёмся, что это за документы, зачем они понадобились, какие задачи решают, чем отличаются международные стандарты друг от друга и как всё это отражено в российских ГОСТах.

Что скрывается за словом «стандарт»

Начнём с сути. Стандарт информационной безопасности — это набор документов, обязательных или рекомендованных к исполнению. В них прописаны методики оценки уровня защищённости и требования, которым обязана соответствовать безопасная информационная система.

Проще говоря, это одновременно и линейка, и свод правил. Линейкой измеряют, насколько система защищена, а правила подсказывают, как сделать её надёжной. Без такого инструмента каждая компания оценивала бы свою безопасность на глаз — а глаз, как известно, легко обманывается.

Семь задач, ради которых всё затевалось

Зачем вообще понадобилось загонять защиту данных в рамки документов? Оказывается, стандарты тянут на себе сразу семь важных задач. Пройдёмся по каждой.

1. Единый язык. Стандарты вырабатывают общую терминологию и набор понятий. Когда аналитик и разработчик под одним словом понимают одно и то же, недоразумений становится меньше.

2. Общая шкала. Они задают шкалу, по которой измеряют уровень защищённости. Без неё «надёжно» и «очень надёжно» так и остались бы пустыми словами.

3. Единая оценка продуктов. Разные решения проверяют по одним и тем же меркам. Это как экзамен с общими билетами для всех — судят по единому критерию.

4. Совместимость. Стандарты заметно повышают способность защитных продуктов работать вместе. Инструменты разных производителей перестают конфликтовать и начинают дополнять друг друга.

5. Копилка удачных решений. В стандартах накапливается опыт — те приёмы, что доказали свою состоятельность на практике.

6. Обмен знаниями. Этот опыт передают всем заинтересованным: производителям средств защиты, аналитикам, руководителям, администраторам и рядовым пользователям. Знание не пылится в столе, а расходится по всей отрасли.

7. Правовая опора. Наконец, стандарты устанавливают требования, обязательные к исполнению, и подводят под них юридическое обоснование. Появляется не просто совет, а норма, за которой стоит закон.

Международные стандарты: четыре главных героя

Теперь перейдём к конкретике. На международной арене выработали целый набор практик и рекомендаций, которые помогают строить надёжную защиту данных. Познакомимся с ключевыми — у каждого свой характер и своя роль.

BS 7799: защита ради бесперебойной работы

Один из первопроходцев — стандарт BS 7799. Его задача — определить саму цель защиты информации. И формулирует он её на удивление практично: обеспечить бесперебойную работу организации, а также предотвратить возможный ущерб или свести его к минимуму, если требования безопасности всё же нарушены.

Обратите внимание на акцент. Речь не о безопасности ради безопасности, а о том, чтобы бизнес не остановился. Замок на двери нужен не сам по себе, а чтобы дом продолжал спокойно жить своей жизнью.

ISO 27002: настольная книга специалиста

Следующий стандарт — ISO 27002. Это подробный сборник советов по информационной устойчивости. Он адресован тем, кто по долгу службы отвечает за проектирование, внедрение и последующее обслуживание защитных систем.

Если BS 7799 отвечает на вопрос «зачем защищать?», то ISO 27002 подсказывает «как именно это делать». Своего рода настольная книга инженера безопасности, где собраны рекомендации на все случаи.

ISO 27001: главный каркас

Хронологически раньше появился ISO 27001 — и именно он стал главным каркасом всей конструкции. Это набор конкретных практик по внедрению систем и средств технологической защиты.

У стандарта есть любопытная особенность: он позволяет разбить единую систему на отдельные разделы — до четырёх штук. Так с крупной защитой удобнее работать, разложив её по полкам.

Ещё интереснее его родословная. ISO 27001 вырос из стандарта ISO 9001, который задаёт базовые требования к менеджменту качества. Получается, безопасность здесь рассматривают через призму качества — как одно из его проявлений. По российским нормам стандартизации этим требованиям обязаны следовать все организации, желающие подтвердить, что умеют выпускать продукцию под запросы потребителей.

ISO 17799: четыре кита защиты

В 2000 году на сцену вышел ISO 17799. Его главный посыл: чтобы защита была по-настоящему действенной, к управлению безопасностью нужен комплексный подход. Нельзя латать дыры поодиночке — надо охватить картину целиком.

Именно поэтому в число мер управления стандарт включает обеспечение четырёх ключевых свойств информации. Их удобно представить как четырёх китов, на которых держится вся защита:

• Конфиденциальность — данные доступны только тем, кому положено.
• Достоверность — информации можно доверять, она не искажена.
• Доступность — нужные сведения оказываются под рукой в нужный момент.
• Целостность — данные сохраняются в полном и неповреждённом виде.

Убери любого из этих китов — и защита накренится. Поэтому комплексный подход и ставится во главу угла.

Российские стандарты: как международный опыт лёг на нашу почву

Международные наработки не остались за границей. В России сложилась собственная система стандартов информационной безопасности — набор национальных сертификатов и общегосударственных классификаторов. Причём в неё входят не только сами документы, но и правила их создания и применения.

Многие отечественные стандарты — это адаптации международных, что видно уже по названиям.

ГОСТ Р ИСО 27001. Основной стандарт, содержащий полный перечень признаков, которыми обязаны обладать любые методы защиты конкретной информационной технологии. Это тот самый главный каркас, но уже в российском исполнении.

ГОСТ Р ИСО МЭК 15408. Отдельная и любопытная роль. Этот стандарт, построенный на международной основе, служит для сопоставимости результатов независимой оценки. Как это работает? Устанавливают общий список требований к информационным технологиям в выбранной области и к уровню доверия при их проверке. Затем по итогам оценки становится ясно, отвечает ли технология заданным государственным требованиям защищённости.

Ценность здесь в предсказуемости. Если два эксперта проверяют системы по одному и тому же ГОСТу, их выводы можно честно сравнить между собой — а не гадать, кто из них строже.

Добровольно, но со знаком соответствия

Напоследок — тонкость, которая многих удивляет. В России национальные стандарты применяются на добровольных началах. Неважно, где именно разработан продукт и какое государство за ним стоит: следовать стандарту или нет — во многом выбор самой организации.

Но у этой свободы есть оговорка. Пользоваться национальной системой разрешено лишь при наличии знака соответствия. То есть добровольность не означает вседозволенность: раз уж вы заявляете, что работаете по стандарту, будьте добры это подтвердить официальным знаком.

Представьте фермерский рынок, где продавать необязательно по правилам сети супермаркетов. Но если хочешь повесить табличку «эко-продукт», изволь получить сертификат. Так и здесь: хочешь опереться на авторитет стандарта — подтверди право на это.

Что стоит запомнить

Соберём всё воедино. Стандарт информационной безопасности — это набор обязательных или рекомендованных документов, где заданы методики оценки защищённости и требования к безопасным системам. Держится он на семи задачах: единая терминология, общая шкала измерений, единообразная оценка продуктов, их совместимость, накопление удачного опыта, обмен знаниями с заинтересованными людьми и правовое обоснование требований.

На международном уровне выделяются четыре стандарта. BS 7799 ставит целью бесперебойную работу организации и снижение ущерба. ISO 27002 служит подробным сборником советов для тех, кто проектирует и обслуживает защиту. ISO 27001 — главный каркас, выросший из «качественного» ISO 9001 и позволяющий делить систему на четыре раздела. А ISO 17799 образца 2000 года требует комплексного подхода и стоит на четырёх свойствах информации: конфиденциальности, достоверности, доступности и целостности.

Вывод прост. Стандарты не сковывают специалистов по рукам, а, наоборот, дают им прочную опору и общий язык. Они превращают защиту данных из набора разрозненных приёмов в понятную, измеримую и юридически подкреплённую систему. А там, где есть общие правила, там меньше хаоса — и больше доверия к тому, что ваши данные действительно в безопасности.