Tashkiliy axborotni muhofaza qilish

XX asrning oxirida Kevin Mitnick ismli shaxs jahondagi eng mashhur xakerga aylandi. U yirik texnologiya kompaniyalari va telekommunikatsiya tizimlariga kirib bordi. Ammo uning eng samarali quroli murakkab dasturiy kod emas, balki oddiy telefon qo'ng'irog'i edi. Mitnick ko'pincha kompaniya xodimiga qo'ng'iroq qilib, o'zini tizim ma'muri yoki hamkasb qilib ko'rsatar va ishonchga kirib, parol yoki maxfiy ma'lumotni og'zaki yo'l bilan qo'lga kiritardi. Bu usul ijtimoiy injiniring (social engineering), ya'ni texnik zaiflikni emas, inson ishonchini nishonga olish deb ataladi.

1995-yil 15-fevralda AQSh Tergov byurosi (FBI) uni hibsga oldi. Mitnick besh yildan ortiq qamoqda o'tirdi, ozod bo'lganidan keyin esa xavfsizlik bo'yicha maslahatchiga aylandi va bir necha kitob yozdi. Ularning eng mashhuri «The Art of Deception» (Aldash san'ati) deb nomlanadi. Kitobning markaziy g'oyasi sodda va shu qadar muhimki, u butun ushbu bobning mag'zini tashkil etadi: Mitnick ta'kidlaganidek, inson omili xavfsizlikning eng zaif bo'g'inidir.

Bu g'oyaning amaliy ma'nosi shundaki, dunyodagi eng zamonaviy xavfsizlik devori, antivirus va shifrlash tizimlari ham xodim o'z parolini telefonda ochib bersa yoki notanish odamni server xonasiga kiritib yuborsa, hech qanday himoya bera olmaydi. Aynan shu sababli faqat texnik vositalarga tayanish yetarli emas: axborotni himoya qilishning alohida, mustaqil yo'nalishi, ya'ni tashkiliy muhofaza mavjud. Tashkiliy muhofaza odamlar, tartib-qoidalar va jarayonlarni shunday tashkil etadiki, texnik vositalar to'g'ri va izchil ishlaydi, inson omilidan kelib chiqadigan xavf esa kamayadi. Oldingi boblarda axborotni texnik va huquqiy himoya qilish ko'rib chiqilgan edi. Ushbu bob uchinchi ustunni, ya'ni tashkiliy muhofazani o'rganadi.

Ushbu bobda oldingi bobdagi «Raqamli Yechim» MChJ ssenariysi davom ettiriladi. Kompaniya muvaffaqiyatli o'sib, xodimlar soni o'n besh nafardan qirq nafardan oshdi. Endi kompaniya yangi bosqichga o'tdi: xodimlar ko'paygani, ofis kengaygani va mijozlar ma'lumoti hajmi ortgani sari, xavfsizlikni faqat direktor va bir necha dasturchining sa'y-harakati bilan ta'minlash qiyinlashdi. Xavfsizlikni yaxlit tizim sifatida tashkil etish zarurati tug'ildi.

Voqealar bir hodisadan boshlandi. Bir kuni buxgalteriya bo'limi xodimiga notanish odam qo'ng'iroq qilib, o'zini «kompaniyaning IT-yordam xizmati» deb tanishtiradi va «tizimni yangilash uchun» uning parolini so'raydi. Xodim shubhalanib, direktor Sardorga xabar beradi. Bu holat aynan Mitnick tasvirlagan ijtimoiy injiniring urinishi edi. Sardor tushunadiki, kompaniyaga tasodifiy emas, tizimli himoya kerak.

Shu sababli kompaniya o'zining birinchi axborot xavfsizligi bo'yicha mutaxassisi, ya'ni Otabekni ishga oladi. Otabekning vazifasi tashkiliy himoya tizimini qurish: xavfsizlik siyosatini ishlab chiqish, xodimlarni o'qitish, axborot xavfsizligi xizmatini tashkil etish, jismoniy va texnik himoyani yo'lga qo'yish. Direktor Sardor, huquqshunos Malika va dasturchi Bekzod unga ko'maklashadi. Ssenariy bob davomida har bir tushunchani «Raqamli Yechim» duch keladigan aniq vaziyatlar orqali ochib beradi (7.1-rasm).

Ushbu bobda axborotni tashkiliy muhofaza qilish masalalari ko'rib chiqildi. Tashkiliy himoya texnik va huquqiy himoyani almashtirmaydi, balki ularni yaxlit tizimga birlashtiradi. Uning negizida bir tamoyil yotadi: xavfsizlik mahsulot emas, uzluksiz jarayondir, u odamlar, jarayonlar va texnologiya birgalikda ishlaganda vujudga keladi.

Tashkilotni himoya qilish kontseptsiyasi risklarni tahlil qilishdan boshlanadi va chuqurlashtirilgan himoya tamoyiliga tayanadi. Asosiy tashkiliy choralar kamida imtiyoz, bilish zarurati va vazifalar bo'linishi tamoyillarini o'z ichiga oladi. Xodimlar bilan bog'liq xavfsizlik ishga qabul qilish, ish davri va ishdan bo'shashning barcha bosqichlarini qamrab oladi, xabardorlikni oshirish esa eng samarali va arzon choralardan biridir.

Axborot xavfsizligi xizmati himoyani muvofiqlashtiradi va bevosita rahbariyatga bo'ysunishi maqsadga muvofiq. Uning faoliyati tashkiliy hujjatlarda mustahkamlanadi, bu hujjatlar esa aniq iyerarxiyaga ega: siyosat, standart, protsedura va yo'riqnoma. Muhandislik-texnik muhofaza axborotni texnik sizish kanallaridan (vizual-optik, elektromagnit, akustik) himoyalaydi, jismoniy himoya esa ko'p qatlamli tarzda (perimetr, bino, xona, aktiv) quriladi. Nihoyat, xavfsizlik va identifikatsiya tizimlari kirishni boshqaradi, ko'p omilli autentifikatsiya esa inson omilidan kelib chiqadigan xavfni sezilarli kamaytiradi.

«Raqamli Yechim» ssenariysi shuni ko'rsatdiki, kichik tashkilot ham tizimli tashkiliy himoyaga muhtoj. Kirish voqeasidagi Mitnick tamoyili, ya'ni inson omili eng zaif bo'g'in ekani, butun bob davomida tasdiqlandi: eng ilg'or texnik vosita ham to'g'ri tashkil etilgan choralar, malakali xodimlar va aniq hujjatlarsiz to'liq himoya bera olmaydi.