защита информации от кражи персоналом

[ИТБ]

Коллеги, предлагаю, загляните на наш сайт www.npp-itb.spb.ru. Я не в порядке рекламы.

Там в новостях два аналитических материала, касающихся рассматриваемой проблемы, будет минутка, познакомьтесь с эти материалом. Возможно, сделаете вывод (надеюсь на это), что рассматриваемая вами задача не столь тривиальна, чтобы решать ее перечисляемыми вами ранее средствами.

[зашедший]

Я не в порядке рекламы.

По моему реклама в явном виде. Против рекламы я ничего не имею, но предпочитаю, чтобы вещи назывались своими именами.

 

Вопрос по статье. Защита от кражи информации сменными носителями.

Вы предлагаете два механизма: первый - запретить использование сменных носителей полностью, второй - все что на них пишется шифровать. Первый способ условию моей задачи не соответствует, т.к. запрещать использование usb-дисков нельзя.

Второй способ я не до конца понял.

Пользователь может записать информацию на внешний носитель, но она будет зашифрована и ключи доступны только на определенном ПК. Т.е. например дома он доступ к этой информации не получит, т.к. там нет одного из ключей. А зачем тогда вообще сменные носители ? Чтобы внутри офиса информацию переносить ?

 

рассматриваемая вами задача не столь тривиальна, чтобы решать ее перечисляемыми вами ранее средствами.

А вот в этом месте хотелось бы конкретных примеров подтверждающих ваше заявление. Потому что без них ваша реклама становится не корректной.

 

Прочитав статью, я понял (возможно неправильно), что вы предлагаете статические механизмы. В том смысле, что их активность не зависит от степени секретности информации, с которой ведется работа. Перечисленные средства (речь видимо идет о SecretNet и SecretsSaver) реализуют мандатный (полномочный) контроль доступа, к-ый позволяет регулировать права доступа к сменным носителям (а в случае с SecretsSaver и к сети) в зависимости от степени секретности информации с которой ведется работа. Таким образом, с их помощью можно например настроить систему защиты так, что пользователь сможет писать на usb-диск не секретную информацию и не сможет писать секретную, хотя работать с ней сможет. Что мне и требуется по условиям задачи, см. первый пост.

 

[ИТБ]

Еще раз хочу отметить, мое заявление не реклама, рекламируют не так и не в этом месте (я лишь дал Вам ссылку на анлитику, где можно взять материалы, я же не могу отправить их на Ваш адрес, которого не знаю).

По Вашим вопросам.

Я Вам предагал прочитать лишь две статьи, на самом деле у нас на сайте много аналитического материала (есть подборка статей). Там можно найти ответы и на другие вопросы.

На Ваши вопросы:

1. Вы предлагаете два механизма: первый - запретить использование сменных носителей полностью, второй - все что на них пишется шифровать. Первый способ условию моей задачи не соответствует, т.к. запрещать использование usb-дисков нельзя.

Второй способ я не до конца понял.

Пользователь может записать информацию на внешний носитель, но она будет зашифрована и ключи доступны только на определенном ПК. Т.е. например дома он доступ к этой информации не получит, т.к. там нет одного из ключей. А зачем тогда вообще сменные носители ? Чтобы внутри офиса информацию переносить ?

 

Во-первых, не запретить (это делает и Windows), а разрешить лишь необходимые. Второе, разграничить к необходимым (к тем, которые будут разрешены для подключения - по типу, серийному номеру - в Вашем случае какой-то USB-акопитель) права доступа для пользователей, либо ко всему накопителю, либо к файловым объектам на накопителе. В-третьих, шифровать(шифрование в нашем понимании - это атрибут доступа, который (со свои ключом), можно установить на любой файловый объект). Дальше реализуйте ту ключевую политику, которая нужна (решайте необходимую для Вас задачу защиты) - один ключ, сможет расшифровать где угодно (но тогда, естественно, сможет и похитить), два ключа - хищение данных становится невозможным, даже при хищении компьютера (если сетевая политика хранения и воода ключевой информации), но обработка информации может вестись только в корпоративной сети, вес зависит от задачи.

2. Относительно контроля доступа Вы не правы. В моем понимании, нет понятия мандатного механизма контроля доступа (хоть так он и определяется в нормативных документах), есть понятие произвольного и принудительного контроля доступа. Принудительный контроль может быть реализован, как на основе матрицы (это общий случай), так и на основе меток (частный случай). У нас реализован на основе матрицы в некоторых иных системах на основе меток

(функционально - обеспечивается тот же эффект, в том числе, и в части противодействия понижения уровня конфиденциальности документа, но каждый способ имеет свои достоинства и недостатки, это уже можно обсуждать). Например, известен способ, не буду говорить о конкретных продуктах, а то опять скажете о рекламе, где пользователь перед запуском приложения может указать уровень работы процесса с конфиденциальными документами. Красивое решение - на первый взгляд да. С точки зрения безопасности - это нонсенс. Основу защиты ОС составляет задание привилегий для пользователей - здесь учетная запись одна, следовательно, и открытую, и конфиденциальную информацию пользователь будет обрабатывать с равными привилегиями (посмотрите список привилегий в ОС, которого Вы в этом случае лишаетесь). И это не единственный недостаток

данного подхода.

Поэтому еще раз повторю свое предложение - посмотрите на нашем сайте аналитику, там есть отдельная статья посвященная механизмам контроля доступа к ресурсам, где строго обосновывается корректность и место этих подходов.

Если же Вы анализируете как та или иная задача решена в наших системах, на сайте есть документация на КСЗИ "Панцирь-К", там все подробно описано

(опять же не примите за рекламу).

 

[зашедший]

Мы с вами никак общий язык не найдем. Каждый говорит о своем.

Объясните мне пожалуйста, как с помощью вашей системы решить мою конкретную задачу (из моего первого поста).

Задача:

на ПК сотрудника имеется 2 файла

секретно.doc

не_секретно.doc

Необходимо чтобы этот сотрудник мог скопировать на usb-диск файл не_секретно.doc и не мог скопировать файл секретно.doc.

 

Ответ я хочу получить вот в таком виде (это вариант решения этой задачи в СЗИ SecretsSaver Corporate, которую мы последние три недели испытываем в тестовой эксплуатации):

Установить для файла секретно.doc Уровень Секретности Информации равный значению "секретно";

Присвоить пользователю Сотрудник Уровень Доступа к Информации равным значению "секретно" и Уровень Доступа к Сменным Носителям равным значению "общедоступно".

Вот все решение. Приведите пожалуйста вариант для вашей системы.

 

А статьи я ваши прочитал. Вы мне их сами по почте отсылали. Но ответа на свои вопросы не нашел к сожалению. Вполне возможно, что по причине не достаточной технической грамотности.

[ИТБ]

Попробую.

Заводите две учетные записи - одна для работы с секретными данными

лругая - открытыми. Пусть пользователь авторизуется и входит в систему с секретными правами (можно и наоборот). Для каждой - свои разграничения (для одной - запись/чтение к секретной и чтение несенкретной, для другой - запись/чтение несекретной - устанавливаете доступ к соответствующим файлам - замечу, у нас это делается не установко атрибутов на файловый объект, а заданием прав пользователям (т.е. нужны всего три записи в интерфейсе). Разрешаете подключать только одно устройство - Ваш USB (желательно по серийному номеру). Только учетной записи (для несекретно) разрешаете запись на USB накопитель. Устанавливаете запрет между учетными записями буфера обмена. Чтобы не перегружать компьютер для работы под различными учетными записями обеспечиваете запуск необходимых приложений (например, проводника, соотвественно любых приложений для этого пользователя) с правами пользователя несекретно (если авторизируетесь под учетной записью секретно), например, с использованием утилиты runas. Чтобы не связываться ст командной строкой, выводите соответствующие ярлыки на рабочий стол (теперь мышкой можете запустить соответствующие программы под любой учетной записью).

Настройка закончена - потребует меньше 1 минуты с использованием наших интерфейсов.

Достоинство в том, что аналогично для различных учетных записей можно установить различную замкнутую программную среду (разрешить нат запуск различные процессы при работе с открытыми и секретными данными), различнцые привилегии (например, только локальный и сетевой вход в систему), различные режимы доступа к принтерам, к сетевым ресурсам и т.д. Схема настройки будет аналогичной - т.е. это решение задачи не применительно к файловым объектам (на жестком диске и на внешнем накопителе), а в общем виде, применительно ко всем ресурсам, требующим разграничений. Все зависит уже от того, какие конкретно задачи Вам требуется решить.