Правительство нижегородской области
Официальный сайт
Вход для пользователей
Информатизация

Основные задачи в области информационных систем и их безопасности

 

Современное состояние информационных и коммуникационных технологий:
требование времени

Информационные и коммуникационные технологии играют все более значимую роль в деятельности муниципальных и региональных органов власти и оказании государственных услуг. Однако до сих пор основное внимание уделялось системам, создававшимся в расчете на долгосрочное использование в неизменном состоянии. Основное требование к таким системам состояло в их высокой функциональности и надежности.

Безопасность

Очевидно, что муниципальные и региональные органы власти нуждаются в защите целостности, конфиденциальности и механизмов доступа к данным, содержащимся в различных информационных системах — как тех, что подключены к Интернету, так и тех, что обслуживают внутренние процессы. Обеспечение безопасности требует постоянных усилий, поскольку каждый день возникают новые угрозы и обнаруживаются попытки взломов, что усложняет уже и так довольно сложную практику эксплуатации информационных систем, требующую неусыпной бдительности. Вторжения, попытки сорвать предоставление услуг и незаконное раскрытие информации — вот примеры постоянно существующих угроз. Организации должны создать противодействие этим угрозам путем реализации жестких программ по обеспечению безопасности информации в рамках всего спектра их деятельности — как во внутренних системах и процедурах, так и в тех, что непосредственно представлены в Интернете.

По этой причине большинство муниципальных и региональных органов власти считает необходимым строго придерживаться единого набора общих правил работы, включающего следующее:

  • информация должна обрабатываться в соответствии с законом и исключительно в тех целях, для которых она была предоставлена;
  • информация должна предоставляться в минимальном необходимом объеме;
  • при обращении с информацией должны соблюдаться права граждан и организаций, к которым она имеет отношение;
  • информация должна своевременно обновляться, быть точной и релевантной; она должна храниться не дольше, чем того требуют обстоятельства;
  • информация должна храниться в безопасных условиях;
  • информация не должна передаваться другим организациям и учреждениям без соответствующего уведомления и защиты.

В разных странах понятие «личные сведения» («personal information») может несколько отличаться, что будет отражать различные традиции демократии и баланс прав и обязанностей между гражданами и государством. Однако в общих чертах к личным сведениям относятся как объективные, так и субъективные материалы.

Один из способов решения этой задачи состоит в использовании только государственных сетей (если органы власти сами развернули безопасную внутреннюю сеть). В таких сетях могут применяться все стандарты и технологии Интернета (TCP/IP, HTTP, XML и т. д.), но доступ к ним и возможность получения услуг будут предоставляться только ограниченному кругу пользователей. Между такой безопасной сетью и Интернетом устанавливается граница, которая позволяет пользователям муниципальных и региональных органов власти работать с Интернетом и не думать о защите от побочных продуктов цифровой эры (например, вирусов и хакеров).

Недостаток такого подхода заключается в том, что некоторые государственные организации, которым тоже необходимо обмениваться данными, но которые, возможно, не удовлетворяют требованиям в области безопасности или не соблюдают пороговые параметры доверия при подключении, могут быть частью пользовательского сообщества. Другая, более гибкая модель — это использование Интернета в качестве средства передачи данных. При этом осуществляется изоляция виртуального государственного сообщества с помощью защищенных соединений и общей схемы проверки подлинности и авторизации. Например, защита связи может производиться путем использования взаимной процедуры проверки подлинности между доверенными организациями с помощью протокола 128bit SSL (или технологий виртуальных частных сетей).

Основным международным стандартом безопасности является стандарт ISO/IEC 17799:2000 - кодекс правил управления информационной безопасностью, разработанный Международной организацией по стандартизации (ISO). Некоторые органы власти уже начали применять у себя этот стандарт, а также требовать его соблюдения от своих поставщиков. Это может стать хорошим примером для других государственных учреждений. Стандарт охватывает следующие области:

  • планирование непрерывности деятельности;
  • управление доступом к системам;
  • разработка и обслуживание систем;
  • физическая безопасность и безопасность сети;
  • соответствие требованиям;
  • управление компьютерами и сетями;
  • классификация активов и управление ими;
  • политика в области безопасности.

Еще один важный стандарт безопасности — это Common Criteria (CC), разработанный государственными структурами и принятый во всем мире стандарт ISO для оценки безопасности продуктов и услуг в сфере информационных и коммуникационных технологий. При прохождении сертификации на соответствие стандарту Common Criteria, которую осуществляет аккредитованная независимая лаборатория, программный продукт подвергается строгим тестам и проверкам, результаты которых документируются. В 2002 году Европейский союз призвал входящие в него страны распространять стандарт Common Criteria и продвигать использование соответствующих ему продуктов. В настоящее время корпорация Microsoft обеспечивает соответствие своих основных серверных продуктов различным уровням стандарта Common Criteria — например, семейство продуктов Windows Server сертифицировано на уровне EAL4+, а ISA Server получил оценку EAL2.

Системы, обеспечивающие работу информационных систем муниципальных и региональных органов власти, имеют решающее значение для выполнения задач власти. В обществе, где значительная часть деятельности организаций осуществляется в электронном виде, любой простой или повреждение системы имеет реально ощутимые последствия. Безопасность — такой же важный элемент оказания услуг. Общий набор стандартов и подходов к системе безопасности обеспечивает ее целостность и доступность.

Рекомендации

Корпорация Microsoft рекомендует принятие стратегии «эшелонированной обороны» (Defence in Depth), чтобы предоставить клиентам возможность соблюдения собственных стандартов в области информационных и коммуникационных технологий. Наш подход заключается в разработке технологий, которые обеспечивают безопасные решения на всех уровнях.

Граница

Корпорация Microsoft разработала технологии брандмауэра, защищающего как отдельные рабочие станции, так и корпоративную сеть. Брандмауэр подключения к Интернету, входящий в состав операционной системы Windows XP, защищает от многих видов атак, например от компьютерных вирусов и червей, и предотвращает негативное воздействие программ, созданных злоумышленниками, на компьютер пользователя. Сервер Internet Security and Acceleration Server (ISA Server) предоставляет пользователям службы брандмауэра, прокси- и вэб-кэширования. Его брандмауэр содержит такие традиционные функции, как фильтрация портов и протоколов, а также — что более важно — обеспечивает пакетную проверку. Это позволяет проверять данные, которые получили разрешение поступить в сеть через правильно открытые порты, и не допустить проникновения червей, вирусов, кодов, созданных злоумышленниками, и других вредных сетевых запросов.

Сеть

Чтобы еще больше обезопасить сеть, можно использовать возможности, встроенные в операционные системы семейства Windows. IPSec — это открытый стандарт, который совершенствует шифрование сетевого протокола TCP/IP, позволяет ставить цифровые подписи и проводить проверку подлинности при взаимодействии между компьютерами. И беспроводные, и проводные сети можно защитить от несанкционированного доступа с помощью протокола IEEE 802.1X, представляющего собой стандарт ИТ-индустрии. Защитить удаленных клиентов, подключающихся к веб-приложениям, можно с помощью Secure Sockets Layer (SSL), а удаленно подключаться к сетям региональных и местных органов власти — с помощью протоколов Layer Two Tunnelling Protocol (L2TP) и IPSec.

Хост-компьютер

В усовершенствованных службах конфигурирования семейства Windows Server снижено количество устанавливаемых и активируемых по умолчанию служб и таким образом уменьшена уязвимая область системы. Службы, функционирующие под управлением серверов Windows Server, могут работать под учетными записями с низким уровнем разрешений, что уменьшает вероятность использования возможных слабых мест приложения для получения доступа высокого уровня к системе. Такие службы автоматических исправлений, как Software Update Services и Systems Management Server 2003, избавляют от необходимости заботиться о постоянной модернизации системы.

Приложения

Возможности операционных систем Windows, серверных систем Windows (Exchange Server, SQL Server и т. д.) и .NET Framework позволяют осуществлять разработку безопасных приложений. Можно строить приложения, расширяющие возможности таких стандартных протоколов проверки подлинности, как SSL Client Certificates, а присутствующие в платформе функции авторизации на основе ролей не допускают несанкционированный доступ пользователей.

Технологии .NET Framework и ASP.NET предоставляют возможности проверки введенных данных и могут предотвратить ввод заведомо вредоносных данных. Они помогают разработчикам избежать многих распространенных ошибок, чреватых уязвимостью приложений.

Данные

Данные, которые хранятся на компьютерах пользователей региональных и местных органов власти, можно защитить от несанкционированного доступа с помощью файловой системы шифрования Windows, которая шифрует данные с помощью стандартной процедуры 56-битного шифрования DESX. В дополнение к возможностям шифрования, которые предоставляет семейство операционных систем Windows, технология .NET Framework позволяет разработчикам создавать приложения с такими стандартными алгоритмами шифрования, как RSA, AES и DES. Возможности резервного копирования и восстановления, которыми обладают серверные системы Windows, обеспечивают увеличение времени исправной работы системы, немедленную реализацию плана восстановления после возникновения неисправности, а географически распределенные по разным местам центры обработки данных позволят дублировать ресурсы для повышения надежности предоставления услуг.

Построение совместимой многоуровневой архитектуры сети

Любые вложения в информационные системы в муниципальном или региональном органе власти должны в идеальном случае осуществляться в условиях хорошо определенной архитектуры сети, которая будет постепенно обеспечивать построение необходимой сервис-ориентированной среды.

Наилучшие условия для этого создают:

  • согласованные интерфейсы (схема, методы и т. д.);
  • согласованные стандарты оказания услуг (например, веб-сервисы);
  • отдельные архитектуры сети внутри общей архитектуры сети нескольких органов власти, созданной для реализации общей сервис-ориентированной архитектуры Правительства.

Такие открытые стандарты совместимости позволяют предоставлять информационные сервисы, охватывающие несколько источников данных. Результатом тщательно разработанной стратегии в области информационных технологий будет реализация «шины сообщений» (Message Bus), основы всей сервис-ориентированной архитектуры организации. Подключенные к этой шине сервисы могут располагаться на различных технологических платформах, но поскольку они должны соответствовать открытым стандартам совместимости, сообщения между ними будут проходить свободно. Это обуславливается тем, что «шина сообщений», в свою очередь, основывается на основных стандартах (например, совместимости данных), которые позволяют осуществлять надежный и согласованный обмен данными между системами.

Принятие этой модели также окажет положительное влияние на процесс обмена информацией, как между органами власти, так и со сторонними организациями. Все большее число стран переходит на такие открытые стандарты совместимости, как XML и SOAP/веб-сервисы, чтобы обеспечить совместимость в пределах существующих систем и между ними. Эти же стандарты позволят осуществлять более простую процедуру обмена данными между учреждением власти и другими организациями.

Как станет очевидно из предложенной здесь модели, веб-сервисы играют ключевую роль в развитии таких сервис-ориентированных архитектур, поскольку позволяют организациям создавать нежестко связанную ИКТ-инфраструктуру. Такие стандарты веб-сервисов, как XML, UDDI и SOAP, имеют большое значение, поскольку обеспечивают возможность осуществления коммуникаций в сети в том виде, в каком это необходимо. Создание на основе этих объектов бизнес-процессов, к которым впоследствии можно будет предоставить доступ с помощью веб-сервисов, позволяет информационным и коммуникационным технологиям полнее соответствовать изменяющимся потребностям организации.

Корпорация Microsoft предоставляет платформу интегрированных инновационных решений на основе таких открытых стандартов, как XML, UDDI, SOAP, и связанных с ними технологий открытых стандартов, что гарантирует совместимость ее продуктов на уровне мировых достижений.Корпорация Microsoft предоставляет платформу интегрированных инновационных решений на основе таких открытых стандартов, как XML, UDDI, SOAP, и связанных с ними технологий открытых стандартов, что гарантирует совместимость ее продуктов на уровне мировых достижений.

Дата создания страницы: 20.06.2007
Дата модификации страницы: 20.06.2008