Защита информации и датацентричный подход в информационной безопасности

Руслан Рахметов, Security Vision

Говоря про кибербезопасность в современных условиях, легко потерять фокус внимания: разнообразие техник и инструментов атак, распространение технологий ИИ, которыми активно пользуются злоумышленники, обнаружение новых опасных уязвимостей и рост атак на цепочки поставок порой затмевают видение стратегической цели обеспечения ИБ. Когда мы говорим про наиболее опасные типы киберинцидентов, такие как кража информации, атаки вирусов-шифровальщиков или уничтожение инфраструктуры, ключевыми последствиями будут недополученная прибыль, приостановка бизнес-процессов, репутационный ущерб, но главное – нарушение безопасности обрабатываемых данных. Обеспечение конфиденциальности, целостности, доступности, неотказуемости, подотчетности, подлинности, достоверности информации остаётся ключевой задачей ИБ-специалистов. Именно данные связывают вместе все составляющие любого бизнеса (процессы, технологии, персонал) и представляют главную ценность для современных коммерческих и государственных организаций, которые в силу высокого уровня цифровизации активно используют нематериальные активы. В данной статье мы обсудим защиту информации в контексте датацентричного подхода, разберем различные меры защиты информации, расскажем о реализации практических шагов для обеспечения безопасности данных.

Начнём с определений: как мы уже писали, информационная безопасность (ИБ) – это состояние защищенности информации, в котором сохраняются её свойства конфиденциальности, целостности, доступности (так называемая «триада ИБ» или CIA-триада, от англ. Confidentiality, Integrity, Availability). Дополнительно требуется сохранять свойства неотказуемости, подотчетности, подлинности, достоверности информации. Защита информации — это деятельность по обеспечению безопасности информации в целях сохранения её конфиденциальности, целостности, доступности, а также неотказуемости, подотчетности, подлинности, достоверности. Данная деятельность подразумевает защиту информации в различных формах её представления, включая данные в цифровом (электронном) виде, печатном виде (распечатки, книги), звуковом (переговоры, доклады) и визуальном (презентации, показы) виде. При этом следует разделять понятия кибербезопасности и информационной безопасности. Кибербезопасность подразумевает защиту данных в цифровом виде (в киберпространстве) с применением программных средств защиты, а информационная безопасность (защита информации) подразумевает обеспечение ещё и безопасности физических носителей, бумажных документов, помещений и зданий, для чего, помимо программных решений, применяются также аппаратные средства защиты, технические средства охраны, инженерно-технические защитные решения. Таким образом, защита информации – это более широкое понятие, включающее в себя защиту данных независимо от их формы представления и в любых видах, обеспечение безопасности материальных и нематериальных активов с помощью всех доступных мер и средств защиты (программных, криптографических, технических, физических, правовых, организационных).

Изначально защита информации выстраивалась по принципу построения виртуального и физического периметров безопасности: для доступа к защищённой информационной системе нужно было пройти через корпоративные сетевые средства защиты и попасть во внутреннюю сеть, а для доступа к конфиденциальному документу – зайти в выделенное помещение, предъявив пропуск, и получить документ на время под роспись. Со временем понятие периметра потеряло свою актуальность: данные стали обрабатываться в облачных хранилищах и сервисах, к которым можно получить доступ с любого устройства, а документы создаются в сервисах совместной работы и пересылаются через мессенджеры. В некоторых компаниях вообще нет физического офиса, сотрудники работают на личных устройствах, все корпоративные данные хранятся в облаке, а даже самые конфиденциальные переговоры ведутся по ВКС. В подобных условиях эволюционируют и подходы к защите информации, которые можно условно разделить на несколько типов:

• Активоцентричный – классический подход, подразумевающий защиту информационных систем, бизнес-процессов, приложений и сервисов.

• Инцидентоцентричный – в рамках этой концепции целью является недопущение критичных киберинцидентов.

• Аккаунтоцентричный (англ. Identity-centric) – в данной модели защита сфокусирована на обеспечении безопасности учетных записей пользователей (англ. human identity) и машинных учетных записей приложений, систем, устройств, ИИ-агентов (англ. non-human identity, NHI).

• Человекоцентричный (англ. People / Human-Centric) – этот подход, продвигаемый NIST, выстраивается вокруг потребностей, мотивации, поведения, возможностей и ограничений людей: работников и пользователей систем.

• Датацентричный (англ. Data-Centric) – подход, при котором основное внимание уделяется защите данных при их обработке.

Именно датацентричный подход вобрал в себя лучшее от других методов: он ориентирован на результативную защиту информации и позволяет обеспечить безопасность данных вне зависимости от формы, места хранения или способа обработки. Под обработкой данных подразумевают сбор, запись, систематизацию, накопление, хранение, обновление, изменение, извлечение, использование, передачу (включая распространение, предоставление, доступ), удаление данных. Задачей датацентричного подхода к защите информации является минимизация рисков несанкционированной обработки данных с помощью программных, криптографических, технических, физических, правовых, организационных мер и средств защиты. Под несанкционированной обработкой понимаются действия с данными в нарушение установленных правил и политик ИБ, включая утечку, удаление, намеренное искажение данных, которые могут быть осуществлены внешними и внутренними нарушителями с использованием аккаунтов пользователей и машинных учетных записей.

Для защиты информации и реализации датацентричного подхода можно использовать следующие типы мер и средств защиты:

1) Программные меры защиты: использование различных типов СЗИ, включая решения классов EDR, SIEM, UEBA, DLP, IAM, DCAP, SOAR, VM, NGFW и других, применение различных продуктов и услуг для обеспечения кибербезопасности (т.е. для защиты данных в цифровом виде). Сюда же можно отнести программные средства, реализующие выбранную модель управления доступом к данным – дискреционную (DAC, Discretionary Access Control), мандатную (MAC, Mandatory Access Control), ролевую (RBAC, Role-Based Access Control), атрибутную (ABAC, Attribute Based Access Control).

2) Криптографические меры защиты: применение средств шифрования данных при их хранении, передаче, использовании. Именно шифрование данных позволяет значительно минимизировать риск несанкционированного доступа – отдельные файлы, электронные письма, массивы зашифрованной информации и носители данных будут конфиденциальны при условии надежной защиты ключей шифрования/расшифрования. Кроме обеспечения конфиденциальности, криптографические решения используются для обеспечения подлинности, неотказуемости, целостности информации за счет применения электронной подписи и выработки имитовставки на основе хэша (англ. Hash-based Message Authentication Code, код аутентификации с хэш-функцией).

3) Технические средства защиты: использование различных аппаратных и инженерно-технических решений, включая программно-аппаратные защитные решения (аппаратные модули безопасности, аппаратные межсетевые экраны, диоды данных, ПАК для организации защищенных ВКС), биометрические системы (сканеры отпечатков или сетчатки глаза), средства защиты информации от перехвата оптических, акустических, электромагнитных сигналов, включая защиту от перехвата побочных электромагнитных излучений и наводок (ПЭМИН).

4) Физические средства защиты: системы для контроля доступа к материальным активам и физическим носителям защищаемой информации (документам, архивам, дискам, накопителям, помещениям с бумажными материалами, включая распечатки презентаций и надписи на досках и флипчартах в переговорных комнатах). Например, такими средствами являются системы видеонаблюдения с автоматической записью, долгосрочным хранением архивов с распознаванием лиц, движений, опасных действий, а также системы контроля и управления доступом (СКУД) с четким разграничением уровней доступа в помещения и зоны. Кроме того, используются системы пожаротушения, кондиционирования, вентиляции, а также традиционные меры физической защиты – надежные двери, антивандальные окна, запирающиеся шкафы и несгораемые сейфы, шлагбаумы и турникеты, датчики движения и освещение. Важно обеспечивать корректную работу сотрудников службы безопасности (охранников, дежурных), а также контролировать перемещения носителей защищаемой информации. Это касается не только перевозки документации или серверов (например, между площадками или дата-центрами), но и резервных копий данных (включая LTO-кассеты, которые должны быть зашифрованы, пронумерованы и учтены). Во всех случаях обработка и перемещение носителей в места долгосрочного хранения должны регулироваться правилами неразрывной цепочки ответственности (англ. Chain of custody) – в каждый момент времени за накопитель отвечает определённое ответственное лицо и ведётся непрерывный документальный учёт передачи, приёма, хранения носителей. Нельзя забывать и про надежное уничтожение носителей информации с помощью шредеров, систем размагничивания накопителей, гарантированного удаления ключей расшифрования.

5) Правовые меры защиты: работа с информацией ограниченного доступа регулируется различными нормативными правовыми актами, т.е. государство устанавливает обязательные нормы и правила её обработки. В частности, существуют законодательные требования по защите персональных данных (152-ФЗ), коммерческой тайны (98-ФЗ), финансовой информации и данных платежных карт (в соответствии с требованиями стандартов ГОСТ Р 57580.1-2017 и PCI DSS, Положений ЦБ РФ №802-П и №821-П).

6) Организационные меры: организация должна разработать комплект внутренней документации, регламентирующей порядок защиты корпоративной конфиденциальной информации. Это могут быть стратегия и политика ИБ, разрабатываемые для формализации общих подходов к киберзащите, а также более детальные документы: стандарты, регламенты, процедуры, инструкции, которые содержат уже подробные организационные и технические требования ИБ, предъявляемые компанией.

При реализации практических шагов для обеспечения безопасности данных можно руководствоваться следующей примерной структурой:

- Определение применимых законодательных требований и ограничений:

Следует понимать, обрабатываются ли в компании персональные данные (включая данные работников, клиентов, пользователей и т.д.), каковы их категории (общедоступные, биометрические, специальные, иные), является ли организация субъектом КИИ, введён ли режим коммерческой тайны, ведётся ли обработка законодательно защищаемой финансовой информации или иной охраняемой законом информации. Как мы знаем, в настоящий момент в российском законодательстве насчитывается более 150 видов сведений, относящихся к категории ограниченного доступа, в том числе врачебная тайна, нотариальная тайна, адвокатская тайна, аудиторская тайна, тайна страхования, тайна связи и т.д.

- Создание методологии классификации данных:

Если в организации вводится режим коммерческой тайны в соответствии с положениями 98-ФЗ, то требуется сформировать список сведений, составляющих коммерческую тайну – это позволит компании обеспечивать конфиденциальность внутренней информации и защищать свои интересы в правовом поле с использованием соответствующих норм ТК РФ (статьи 21, 22, 56), ГК РФ (статьи 1465-1472), УК РФ (статья 183). Для защиты внутренней корпоративной информации целесообразно определить уровни конфиденциальности в зависимости от степени важности данных, например, КД-0 для открытых сведений, КД-1 для наименее значимых сведений, КД-2 для сведений средней степени значимости, КД-3 для критичных сведений. Требуется определить правила маркирования данных, например, все документы должны содержать колонтитулы с указанием метки конфиденциальности (КД-0/1/2/3 из нашего примера), определенные типы файлов должны содержать указанную метку в свойствах (метаданных), процесс печати на корпоративных принтерах должен сопровождаться обязательной простановкой меток конфиденциальности на распечатках любых типов.

- Обеспечение внутренней нормативной базы для защиты информации:

После разработки положения о коммерческой тайне и/или определения уровней конфиденциальности внутренней информации важно сформировать комплекс корпоративной документации по защите информации и ознакомить с ним персонал компании под роспись. Некоторые требования могут быть включены в трудовой договор или подписаны как допсоглашение, другие нормы могут быть задокументированы в инструкциях и положениях, обязательность выполнения которых должна быть доведена до работников.

- Инвентаризация и классификация данных:

Следует непрерывно сканировать места хранения информации для обнаружения новых конфиденциальных сведений, документов, файлов – в область инвентаризации должны попадать файловые серверы, внутренние хранилища, базы данных, системы электронной почты и обмена сообщениями, системы совместной работы, CRM, ERP, бизнес-приложения, конечные устройства пользователей. Выявление в общем массиве данных только конфиденциальной информации можно выполнять с применением различных решений (DLP, DCAP, DAG, DSP и т.д.), в которых реализованы методы контентного и контекстного анализа, обнаружения ключевых слов и типов данных, а также механизмы ИИ и машинного обучения. В результате имеющиеся данные должны быть проклассифицированы, а создаваемые новые документы должны автоматически маркироваться в соответствии с уровнем конфиденциальности их содержимого.

- Построение диаграммы потоков данных, актуализация модели угроз, построение модели управления доступом к данным:

Следует построить диаграммы потоков данных (англ. Data Flow Diagram, сокр. DFD), которые должны показывать связь определенных типов данных с конкретными информационными системами, источники данных и последовательность их обработки, взаимосвязи между системами и каналы передачи данных. Модель угроз должна содержать описание видов и возможностей нарушителей, способы реализации киберугроз и возможные последствия в привязке к защищаемой информации и её уровням конфиденциальности. В результате можно выбрать или скорректировать уже имеющуюся модель управления доступом к данным. В современных условиях наиболее функциональной и подходящей является, как правило, атрибутная модель (ABAC).

- Реализация выбранной модели управления доступом к данным:

При назначении прав доступа следует соблюдать базовые принципы ИБ, включая принцип наименьших привилегий, принцип разделения полномочий, принцип предоставления привилегированных прав только для выполнения конкретных служебных действий и только на определенный временной промежуток (Just-In-Time Access (JIT, «доступ только на время») и Just-Enough Access (JEA, «доступ не больше, чем нужно»)). Доступ к данным должен предоставляться только при наличии обоснования на использование данных (англ. need to use), на ознакомление с информацией (англ. need to know), на подключение к информационной системе (англ. need to connect), а также при наличии согласования на выполнение действий от непосредственного руководителя. Для доступа к данным должно запрашиваться согласование владельца данных, а доступ к наиболее критичной информации должен требовать согласования сразу от нескольких руководителей высокого уровня. Кроме того, важно своевременно отзывать предоставленные права доступа, например, при завершении работ по проекту, при переходе сотрудника в другое подразделение, при увольнении или выходе в декрет. В случае использования ИИ-агентов их полномочия должны ограничиваться правами запустившего их пользователя, а привилегии машинных учетных записей также должны быть регламентированы.

- Реализация принципов нулевого доверия (Zero Trust):

Подход Zero Trust включает в себя контроль учетных записей (гранулированные права доступа, мультифакторная аутентификация, доступ на основе оценки рисков), управление устройствами (проверка их безопасности, отсутствие уязвимостей и ВПО), сетевую микросегментацию (включая контроль приложений и реализацию правил сетевого доступа при выполнении условий (conditional access)).

- Обеспечение осведомленности работников и обучение:

Важно, чтобы сотрудники компании понимали принципы защиты информации и осознавали важность их собственного участия в обеспечении корпоративной ИБ. Построение зрелой культуры кибербезопасности в организации начинается с соблюдения правил кибергигиены, проведения регулярных обучений и тренингов, тестирования навыков по выявлению признаков несанкционированного доступа к данным, утечек или попыток кибератак.

- Мониторинг и реагирование:

Важно следить за маршрутами данных, их изменениями и передачей между системами и пользователями – у каждого документа, файла, набора сведений должен быть признак (тэг), который, как GPS-трекер, позволяет определить их местонахождение, выяснить текущий статус жизненного цикла (хранение, изменение, передача) и оценить корректность производимых с ними операций с учётом контекста. В случае нарушений нужно реагировать в соответствии с плейбуками, а для снижения ущерба от несанкционированного доступа к защищаемой информации следует применять средства автоматизации, например, такие продукты Security Vision, как:

Security Vision SOAR и NG SOAR

Security Vision SIEM

Security Vision TIP

Security Vision UEBA

Security Vision EDR