7.1. Tashkilotni himoya qilish kontseptsiyasi va asosiy tashkiliy choralar

Tashkilotni himoya qilish kontseptsiyasi deganda axborot xavfsizligini ta'minlashga qaratilgan chora-tadbirlarning yaxlit, izchil va rejalashtirilgan tizimi tushuniladi. Bu kontseptsiya asosida bir muhim tushuncha yotadi: xavfsizlik alohida mahsulot emas, balki uzluksiz jarayondir. Antivirus yoki xavfsizlik devorini sotib olishning o'zi tashkilotni himoyalamaydi. Himoya odamlar, jarayonlar va texnologiyalar birgalikda, muvofiqlashtirilgan holda ishlaganda vujudga keladi.

Aynan shu sababli zamonaviy tashkiliy himoya uch ustunga tayanadi (7.2-rasm). Birinchi ustun, odamlar (people): xodimlarning malakasi, xabardorligi, intizomi va mas'uliyati. Ikkinchi ustun, jarayonlar (process): tashkilotdagi tartib-qoidalar, xavfsizlik siyosati va hujjatlar. Uchinchi ustun, texnologiya (technology): texnik va jismoniy himoya vositalari. Ushbu uch ustunning muhim xususiyati shundaki, ular bir-birini to'ldiradi va biri zaif bo'lsa, butun himoya zaiflashadi. Eng ilg'or texnologiya ham malakasiz yoki intizomsiz xodim tufayli befoyda bo'lib qolishi mumkin, bu esa kirish voqeasidagi Mitnick misolida yaqqol ko'rindi.

Himoyani tashkil etishning yana bir asosiy tamoyili chuqurlashtirilgan himoya (defense in depth) deb ataladi. Uning mohiyati shundaki, tashkilot bitta himoya vositasiga emas, balki bir necha mustaqil qatlamga tayanadi. Agar bir qatlam yorib o'tilsa, keyingi qatlam himoyani davom ettiradi. Masalan, mijoz ma'lumotini himoya qilishda jismoniy himoya (ofisga kirish nazorati), tarmoq himoyasi, tizimga kirish nazorati va ma'lumotni shifrlash ketma-ket qatlamlar sifatida ishlaydi. Bitta qatlamning ishdan chiqishi butun tizimning yemirilishiga olib kelmaydi.

Bu tamoyilni aniq misol orqali ko'rish mumkin. Faraz qilaylik, tajovuzkor «Raqamli Yechim»ning mijozlar bazasini o'g'irlamoqchi. U avval ofisga kirishga urinadi, biroq kirish nazorati va qorovul uni to'sadi (birinchi qatlam). Aytaylik, u ijtimoiy injiniring bilan ichkariga kirdi, ammo server xonasi qulflangan (ikkinchi qatlam). Faraz qilaylik, u qandaydir yo'l bilan tarmoqqa ulandi, biroq tizimga kirish uchun parol va ikkinchi omil talab qilinadi (uchinchi qatlam). Nihoyat, u bazaga yetib borsa ham, ma'lumot shifrlangan bo'lgani uchun undan foydalana olmaydi (to'rtinchi qatlam). Har bir qatlam mustaqil bo'lgani uchun, tajovuzkor barcha qatlamlarni birdaniga yorib o'tishi kerak, bu esa hujumni juda qiyinlashtiradi. Aynan shu ko'p qatlamlilik chuqurlashtirilgan himoyaning kuchini tashkil etadi.

Tashkiliy himoyani loyihalash risklarni tahlil qilishdan boshlanadi. Avval tashkilotning qimmatli aktivlari (masalan, mijozlar bazasi, dastur kodi, moliyaviy hujjatlar) aniqlanadi, ularga tahdidlar va zaifliklar baholanadi, so'ngra har bir riskka mos himoya chorasi tanlanadi. Bu yondashuv resurslarni oqilona taqsimlash imkonini beradi: eng qimmatli aktivlar eng kuchli himoyani oladi, ahamiyatsiz ma'lumot uchun esa ortiqcha xarajat qilinmaydi.

Risklarni tahlil qilish tashkiliy himoyaning poydevoridir, chunki aynan u qaysi himoya choralari kerakligini asoslaydi. Tahlil to'rt asosiy tushunchaga tayanadi. Aktiv, bu tashkilot uchun qimmatli bo'lgan har qanday narsa: ma'lumot, qurilma, hujjat yoki hatto xodimlarning bilimi. Tahdid, bu aktivga zarar yetkazishi mumkin bo'lgan istalmagan hodisa yoki omil: masalan, xakerlik hujumi, yong'in yoki xodimning xatosi. Zaiflik, bu tahdidni amalga oshirishga imkon beruvchi kamchilik: masalan, oddiy parol yoki qulflanmagan server xonasi. Boshqarish vositasi esa riskni kamaytiruvchi chora: masalan, parol standarti yoki server xonasiga qulf o'rnatish.

Ushbu tushunchalar o'zaro bog'liq: tahdid aktivga qaratiladi, u zaiflikdan foydalanadi, boshqarish vositasi esa zaiflikni yopadi yoki tahdid ta'sirini kamaytiradi. Masalan, mijozlar bazasi (aktiv) o'g'irlanishi (tahdid) mumkin, chunki unga barcha xodimlar kirishi mumkin (zaiflik); kirish huquqlarini cheklash (boshqarish vositasi) esa bu zaiflikni yopadi.

Risk tahlili amalda to'rt qadamdan iborat. Birinchi qadam, aktivlarni aniqlash va ularning qiymatini baholash. Ikkinchi qadam, har bir aktivga qaratilgan tahdidlarni aniqlash. Uchinchi qadam, tahdid amalga oshishiga imkon beruvchi zaifliklarni topish. To'rtinchi qadam, har bir risk uchun mos boshqarish vositasini tanlash. Bu jarayon natijasida tashkilot cheklangan resurslarini eng muhim risklarni kamaytirishga yo'naltiradi. Muhim tamoyil shundaki, hech qanday himoya riskni nolgacha kamaytira olmaydi: maqsad riskni tashkilot uchun maqbul darajaga tushirishdir.

Tashkiliy choralar rahbariyat tomonidan qabul qilinadigan, umumiy tavsifga ega qarorlar va tartiblardan iborat. Ularning bosh maqsadi axborot xavfsizligi bo'yicha dasturni shakllantirish va uning bajarilishini ta'minlashdir. Texnik vositalardan farqli o'laroq, tashkiliy choralar «qanday qurilma o'rnatamiz?» degan savolga emas, «kim, nimaga huquqli va qanday tartibda ish yuritadi?» degan savolga javob beradi.

Kirishni cheklashning uchta asosiy tamoyili tashkiliy choralarning negizini tashkil etadi (7.3-rasm). Birinchisi, kamida imtiyoz (least privilege) tamoyili: xodimga faqat o'z vazifasini bajarish uchun zarur bo'lgan minimal huquq beriladi, ortiqchasi emas. Masalan, mijozlar bilan ishlaydigan xodimga ma'lumotni ko'rish huquqi beriladi, biroq uni o'chirish yoki tashqariga chiqarish huquqi berilmaydi. Ikkinchisi, bilish zarurati (need-to-know) tamoyili: maxfiy ma'lumotga faqat unga o'z ishi yuzasidan haqiqiy ehtiyoji bo'lgan shaxs kirish oladi. Xodimning tashkilotda ishlashi o'z-o'zidan barcha ma'lumotga kirish huquqini bermaydi.

Uchinchi tamoyil, vazifalar bo'linishi (separation of duties): muhim jarayon bir necha xodim o'rtasida taqsimlanadi, toki hech bir shaxs uni yakka o'zi to'liq nazorat qila olmasin. Masalan, to'lovni bir xodim tayyorlab, boshqasi tasdiqlasa, bitta insonning firibgarlik qilish yoki xato yuborishi ehtimoli keskin kamayadi. Bu tamoyil ba'zan «to'rt ko'z qoidasi» deb ham ataladi, chunki muhim amal kamida ikki kishi ishtirokini talab qiladi.

Ushbu uch tamoyildan tashqari tashkiliy choralarga xodimlarni xavfsizlik bo'yicha o'qitish, kirish huquqlarini muntazam qayta ko'rib chiqish, hodisalar to'g'risida xabar berish tartibini o'rnatish va xavfsizlik holatini davriy nazorat qilish kiradi. Bu choralar tashkilotning kundalik ish jarayoniga singdirilishi kerak, aks holda ular qog'ozda qolib ketadi.