защита информации от кражи персоналом

[Toparenko]

Мне вообще ответы некоторых непонятны - говорится о гостайне и тут же выход во внешние сети и т.п.

8094[/snapback]

О гостайне здесь не говорится, только конфиденциалка.

 

п.5 невыполним - см начальные условия.

 

 

 

[korsar]

Мне нужно решение такой задачи:

Пользователь должен иметь возможность передавать в сеть и копировать на внешние носители не секретную информацию, но должны блокироваться попытки передавать в сеть и копировать на внешние носители секретной информации. При этом информации может быть локальной и сетевой. Если это достигается другими методами, то мандатный доступ не нужен.

7683[/snapback]

 

Да я это имел в виду.

А что касается программно-технических средств, то (ИМХО) обсуждать их не имеет смысла, т.к. ЗИ должна проводится под конкретную информсистему(системы), и чтобы советовать нужно знать полные "ТТХ" системы.

По сути этим сейчас занимаются многие фирмы специализирующиеся на ЗИ (хотя действительно работающих профессионально не так уж много, по крайней мере в нашем регионе и его окружении)

[зашедший]

2 зашедший

Мне недавно поставили похожую задачу.

Поделитесь плиз чем закончилось ваше тестирование и на чем остановили выбор.

Если не секретн конечно.

Выбрали SecretsSaver Corporate Pro. Так как максимально подходит под наши задачи (практически закрывает все перечисленное в моем первом сообщении), достаточно прост в настройках, чтобы с ним могли работать не только проф ИТ-шники. Кроме того понравилась оперативность службы поддержки. Продукт позиционируется именно для СБ, а не для ИТ, и имеет некоторые функции позволяющие ограничить "всемогущество" системных администраторов. Причем, как я понял, дальнейшее развитие продукта пойдет именно в сторону усиления этих функций. Сейчас у нас завершается тестовая эксплуатация, ее результаты нас вполне устраивают.

Рекомендовать бежать и покупать я конечно не буду, но посмотреть на данный продукт думаю смысл есть.

 

6. На некоторых специализированных СУБД используется система контроля безопасности, написанная под заказ

Можно только позавидовать Вашему бюджету. Возможность заказать разработку систем контроля для НЕСКОЛЬКИХ СПЕЦИАЛИЗИРОВАННЫХ СУБД, это по взрослому.

 

А что касается программно-технических средств, то (ИМХО) обсуждать их не имеет смысла, т.к. ЗИ должна проводится под конкретную информсистему(системы), и чтобы советовать нужно знать полные "ТТХ" системы.

Не согласен. Решаемые задачи достаточно общие. Средств для их решения не так уж и много (я имею в виду типы, а не ассортимент). И совершенно не обязательно знать все ТТХ системы, чтобы сказать например, что для контроля инсайдеров удобно использовать мандатный доступ который реализован в системах X, Y и Z, при этом X из них самая дорогая, а Z валит систему минимум 3 раза в день. А разработать полную политику безопасности тут никто вроде не просил.

 

По сути этим сейчас занимаются многие фирмы специализирующиеся на ЗИ (хотя действительно работающих профессионально не так уж много, по крайней мере в нашем регионе и его окружении)

Не все согласятся отдать на аутсорс внутреннюю безопасность, пусть даже очень крутым профессионалам. Защита периметра дело другое, хотя здесь штатные ИТ-шники должны справляться.

[korsar]

Не согласен. Решаемые задачи достаточно общие.

 

8174[/snapback]

Я тоже не согласен))))) Ну, если уж, говорить совсем в общем случае, но тогда , IMHO, и разговаривть не о чем))). Ведь структура внутренней сети ( или КСПД) может быть различна, так же как и способ доступа к БД и иной информации. Есть центральные файл-сервера и сервера приложений, есть локальные, к тому же защиту можно ставить на разные уровни сетевых протоколов (кстати здесь и неплоххло бы знать по каким протоколам работает организация), поэтому здесь может учитываться также применяемое сетевое оборудования и его возможности "что-либо" поддерживать (не все же по определению на Cisco работают) и т.п. и т.д.

Но в любом случае прежде всего определяется таблица разграничения доступа, способ доступа и его права для каждого юзера. А уж только потом можно выбирать то или иное средство (да еще с учетом требований как корпоративных , так и федеральных)

Все ИМХО, по крайней мере всегда работал так.

 

Ну что касается написанием под заказ, это действительно дорогое удовольствие, позволяют себе (ценролизовано разработанное) для всех регионов очень крупные корпорации, компании и госструктуры. Обычно это делается одновременно с заказом на разработку самой АИС-БД.

[зашедший]

Я тоже не согласен))))) Ну, если уж, говорить совсем в общем случае, но  тогда , IMHO, и разговаривть не о чем))).  Ведь структура внутренней сети ( или КСПД) может быть различна, так же как и способ  доступа к БД и иной информации. Есть центральные файл-сервера и сервера приложений, есть локальные, к тому же защиту можно ставить на разные уровни сетевых протоколов (кстати здесь и неплоххло бы знать по каким протоколам работает организация), поэтому здесь может учитываться также применяемое сетевое оборудования и его возможности "что-либо" поддерживать (не все же по определению на Cisco работают) и т.п. и т.д.

 

Посмотрите мой самый первый пост, где я описал постановку задачи. Для того чтобы предложить на нее решение абсолютно не важны ни структура сети, ни способ доступа к БД, ни тем более применяемое сетевое оборудование, т.к. задача не о том КАК ограничить доступ пользователя к информации, а о том как не дать пользователю РАСПРОСТРАНЯТЬ информацию доступ к которой он имеет абсолютно легально. И как мне кажется предложенные решения подтверждают мои слова, для программ такого типа структура сети не важна (достаточно только того факта, что пользователи работают под Windows).

 

 

Ну что касается написанием под заказ, это действительно дорогое удовольствие, позволяют себе (ценролизовано разработанное) для всех регионов очень крупные корпорации, компании и госструктуры. Обычно это делается одновременно с заказом на разработку самой АИС-БД.

Посмотрев список предложенных вами мероприятий, сразу подумал, что речь идет о корпорации с большим количеством филиалов :)