1.2. Axborot xavfsizligi tizimi

Axborot xavfsizligi tizimi tashkilot axborotini himoyalash maqsadida birgalikda ishlaydigan texnik vositalar, tashkiliy choralar va me’yoriy hujjatlar majmuidir. Bunday tizim tasodifiy tanlangan choralar to‘plami emas, balki aniq maqsad va metodologiyaga ega bo‘lgan izchil yondashuv hisoblanadi. Xalqaro amaliyotda u ko‘pincha axborot xavfsizligini boshqarish tizimi, inglizcha Information Security Management System, qisqartirilgan holda ISMS, deb yuritiladi. Uning talablari ISO/IEC 27001 xalqaro standartida keltirilgan bo‘lib, ushbu standart tashkilotga xavfsizlik siyosatini shakllantirish, uni amalga oshirish, natijalarni nazorat qilish va doimiy takomillashtirish uchun yagona metodologiya taklif etadi. Standartga muvofiqlik sertifikati olish tashkilot uchun ixtiyoriy bo‘lsa-da, uning tamoyillariga amal qilish har qanday hajmdagi tashkilot uchun foydali hisoblanadi, chunki bu tasodifiy va tizimsiz himoya o‘rniga izchil va takrorlanuvchi jarayonni ta’minlaydi.

ISO/IEC 27001 asosida qurilgan xavfsizlik tizimi to‘rt bosqichli takrorlanuvchi tsikl bo‘yicha ishlaydi. Ushbu tsikl inglizcha Plan, Do, Check, Act so‘zlarining bosh harflaridan PDCA nomini olgan. Reja bosqichida tashkilot mavjud xavflarni aniqlaydi va ularga qarshi himoya siyosatini belgilaydi. Bajarish bosqichida rejalashtirilgan choralar amalda joriy etiladi, masalan yangi kirish nazorati tartibi ishga tushiriladi yoki xodimlar uchun o‘quv mashg‘uloti tashkil etiladi. Tekshirish bosqichida tizim samaradorligi monitoring qilinadi, ya’ni qabul qilingan choralar haqiqatan ham kutilgan natijani berayotganmi, yo‘qmi, tekshiriladi. Harakat qilish bosqichida esa aniqlangan kamchiliklar bartaraf etiladi va tizim yangi tsiklga kiradi. Bunday davriylik xavfsizlikning statik emas, balki doimo rivojlanib boruvchi jarayon ekanligini ta’kidlaydi, chunki texnologiyalar bilan birga tahdidlar ham muttasil o‘zgarib boradi va bir marta ishlab chiqilgan himoya sxemasi bir necha yildan so‘ng eskirib qolishi mumkin.

Axborot xavfsizligi tizimining asosini xavflarni boshqarish jarayoni tashkil etadi (1.4-rasm). Jarayon aktivlarni aniqlashdan boshlanadi. Aktiv deganda tashkilot uchun qimmatli barcha narsa tushuniladi: ma’lumotlar bazasi, dasturiy ta’minot, uskunalar, hatto xodimlarning malaka va bilimi ham aktiv sifatida qaraladi. Keyingi bosqichda har bir aktivga tegishli bo‘lgan tahdid va zaifliklar baholanadi, ya’ni ushbu aktivga qanday xavflar tahdid solishi va uni himoyasiz qoldiruvchi qanday kamchiliklar mavjudligi aniqlanadi.

Manba: ISO/IEC 27001:2013 standartidagi xavflarni boshqarish tamoyillari asosida muallif tomonidan tuzilgan.

So‘ngra ularning yuzaga kelish ehtimoli va mumkin bo‘lgan zarar hajmi asosida risk, ya’ni potensial zarar, o‘lchanadi. ISO tashkiloti riskni noaniqlikning maqsadlarga ta’siri sifatida ta’riflaydi. Amaliyotda riskni baholashning qulay usullaridan biri risk matritsasidan foydalanishdir (1.5-rasm). Matritsaning bir o‘qi hodisaning yuzaga kelish ehtimolini, ikkinchi o‘qi esa uning ta’sir darajasini ifodalaydi. Ikki ko‘rsatkichning kesishgan nuqtasi risk darajasini, ya’ni past, o‘rta, yuqori yoki juda yuqori ekanligini ko‘rsatadi.

Masalan, TexnoServis serveriga tashqi tarmoqdan ruxsatsiz kirish tahdidini ko‘rib chiqaylik. Agar server internetga to‘g‘ridan-to‘g‘ri ochiq bo‘lsa va parol siyosati kuchsiz bo‘lsa, bunday hujumning yuzaga kelish ehtimoli yuqori deb baholanadi. Agar bunday hujum natijasida barcha mijozlar bazasi yo‘qolishi yoki oshkor bo‘lishi mumkin bo‘lsa, ta’sir darajasi ham yuqori hisoblanadi. Risk matritsasiga ko‘ra, yuqori ehtimol va yuqori ta’sirning kesishmasi «juda yuqori» risk darajasini beradi, bu esa ushbu tahdidga zudlik bilan chora ko‘rish zarurligini bildiradi. Aksincha, agar zaruriy bo‘lmagan eski hisobot fayliga ruxsatsiz kirish ehtimoli past va uning ta’siri ham cheklangan bo‘lsa, bunday riskka nisbatan darhol chora ko‘rish shart bo‘lmasligi mumkin.

Aniqlangan risk darajasiga qarab, tashkilot to‘rtta strategiyadan birini tanlashi mumkin. Riskni kamaytirish strategiyasida qo‘shimcha himoya chorasi joriy etiladi, masalan kuchli parol siyosati yoki ikki bosqichli tasdiqlash o‘rnatiladi. Riskni uzatish strategiyasida javobgarlik boshqa tomonga, masalan sug‘urta kompaniyasiga yoki tashqi xizmat ko‘rsatuvchiga topshiriladi. Riskni qabul qilish strategiyasi past darajadagi risklar uchun qo‘llaniladi, bunda tashkilot ongli ravishda hech qanday qo‘shimcha chora ko‘rmaslikka qaror qiladi, chunki himoya narxi potensial zarardan yuqori bo‘lishi mumkin. Riskdan qochish strategiyasida esa xavfli faoliyatning o‘zi butunlay to‘xtatiladi, masalan ishonchsiz uchinchi tomon xizmatidan foydalanishdan voz kechiladi. Har bir strategiyaning tanlanishi tashkilotning resurslari, ustuvorliklari va risk darajasiga bog‘liq holda amalga oshiriladi. Jarayon monitoring va qayta baholash bilan yakunlanadi, bu esa PDCA tsiklining «tekshirish» bosqichiga mos keladi va butun jarayonni yangidan boshlashga asos bo‘ladi.

Tahdidlar kelib chiqish manbaiga ko‘ra ikki katta guruhga bo‘linadi. Ichki tahdidlar tashkilot ichidan, ya’ni xodimlar yoki rahbariyat tomonidan yuzaga keladi. Bunday holat qasddan, masalan xodim tomonidan tijorat sirining ataylab oshkor qilinishi, yoki beparvolik tufayli, masalan xodimning ehtiyotsizligi natijasida yuzaga kelgan oddiy xato bo‘lishi mumkin. Ko‘plab tadqiqotlar shuni ko‘rsatadiki, ma’lumot sizib chiqishining sezilarli qismi aynan ichki manbalar bilan bog‘liq bo‘ladi, chunki ichki foydalanuvchi allaqachon tizimga qonuniy kirish huquqiga ega bo‘ladi va uni chetlab o‘tishga hojat qolmaydi. Tashqi tahdidlar esa tashkilotdan tashqaridagi tajovuzkorlar, ya’ni xakerlar, raqobatchilar yoki uyushgan kiberjinoyatchi guruhlar, tomonidan amalga oshiriladi va odatda tashqi tarmoq orqali kirishga urinish shaklida namoyon bo‘ladi.

Ichki va tashqi tahdidlarga qarshi kurash usullari ham farqlanadi. Tashqi tahdidga qarshi asosan perimetr himoyasi, ya’ni xavfsizlik devori va hujumni aniqlash tizimlari samarali hisoblanadi, chunki bu vositalar tashqaridan keladigan trafikni nazorat qiladi. Ichki tahdidga qarshi esa kirish huquqlarini minimal zarur darajada belgilash, xodimlar faoliyatini audit qilish va ma’lumot sizib chiqishining oldini olish tizimlaridan foydalanish ko‘proq samara beradi, chunki bu yerda muammo tashqi devordan emas, ichki foydalanuvchi harakatidan kelib chiqadi.

Samarali axborot xavfsizligi yagona vosita bilan emas, balki ko‘p qatlamli himoya, inglizcha defense in depth, tamoyili asosida quriladi. Ushbu tamoyilning mohiyati shundaki, agar buzg‘unchi bir himoya qatlamini yorib o‘tsa ham, keyingi qatlam uni to‘xtatadi. Texnik qatlamga antivirus dasturlari, xavfsizlik devori va ma’lumot sizib chiqishining oldini olish tizimlari kiradi. Tashkiliy qatlamga xavfsizlik siyosati, kirish huquqlarini boshqarish tartib-qoidalari va muntazam audit kiradi. Bu ikki qatlamning birgalikda ishlashi tizimni faqat bitta himoya vositasiga tayangan holatga qaraganda ancha ishonchli qiladi, chunki har bir qo‘shimcha qatlam buzg‘unchi uchun qo‘shimcha to‘siq yaratadi va uning muvaffaqiyat ehtimolini kamaytiradi.

Yirik tashkilotlarda axborot xavfsizligini ta’minlash uchun alohida xizmat yoki mas’ul xodim tayinlanadi. Uning vazifalari xavfsizlik siyosatini ishlab chiqish, uni amalga oshirishni nazorat qilish, xodimlarni o‘qitish va xavfsizlik hodisalarini tekshirishdan iborat. Bunday lavozim xalqaro amaliyotda ko‘pincha axborot xavfsizligi bo‘yicha bosh mutaxassis, inglizcha Chief Information Security Officer, qisqartirilgan holda CISO, deb ataladi. Kichik tashkilotlarda, xuddi TexnoServis kabi, bu vazifalarning barchasi bitta mutaxassis, ya’ni Anvar, zimmasiga tushishi mumkin. Bunday holatda vazifalarni ustuvorlik bo‘yicha taqsimlash muhim ahamiyat kasb etadi: avval eng qimmatli aktivlar, masalan mijozlar bazasi, himoyalanadi, so‘ng qolgan resurslar bosqichma-bosqich qamrab olinadi.