7.2. Axborotni muhofaza qilishning kadrlar va resurslar bilan ta'minlanishi. Axborot xavfsizligi xizmati

Kirish voqeasida ko'rilganidek, xavfsizlikning eng zaif bo'g'ini ko'pincha texnologiya emas, insondir. Shu sababli tashkiliy himoyaning markazida kadrlar, ya'ni xodimlar turadi. Xodimlar bilan bog'liq xavfsizlik ishning uch bosqichini qamrab oladi: ishga qabul qilish, ish davri va ishdan bo'shash.

Ishga qabul qilish bosqichida nomzodning ishonchliligini tekshirish muhim. Sezgir lavozimlar uchun tavsiyanomalar so'raladi, oldingi ish joyi tekshiriladi. Bu bank va davlat muassasalarida azaldan qo'llanadigan an'anaviy chora bo'lib, u raqamli davrda ham ahamiyatini yo'qotmadi. Ish davrida esa asosiy chora, xodimlarni xavfsizlik bo'yicha muntazam o'qitish va xabardorlikni oshirishdir. Xodim ijtimoiy injiniring urinishini taniy olishi, parolni himoyalashni bilishi va shubhali hodisa to'g'risida kimga xabar berishni tushunishi kerak. Ishdan bo'shash bosqichida esa xodimning barcha kirish huquqlari darhol bekor qilinishi, unga berilgan qurilma va kalitlar qaytarib olinishi shart. Aks holda sobiq xodim tizimga kirish imkonini saqlab qolishi mumkin.

Xabardorlikni oshirish tashkiliy himoyaning eng samarali va eng arzon choralaridan biridir. Statistikaga ko'ra, ko'plab xavfsizlik buzilishlari fishing (phishing) va ijtimoiy injiniring orqali, ya'ni xodimning aldanishi natijasida yuz beradi. Bir soatlik o'qitish mashg'uloti ba'zan qimmat texnik vositalarga qaraganda ko'proq zarar oldini oladi, chunki u eng zaif bo'g'inni, ya'ni inson omilini mustahkamlaydi.

Kirish voqeasida ko'rilgan ijtimoiy injiniring bitta usul emas, balki bir necha ko'rinishda uchraydi. Ularni bilish xodimga hujumni o'z vaqtida taniy olish imkonini beradi. Eng keng tarqalgan turlar quyidagi jadvalda keltirilgan (7.1-jadval).

7.1-jadval. Ijtimoiy injiniringning asosiy turlari va ulardan himoyalanish.

Ushbu usullarning umumiy jihati shundaki, ular texnik zaiflikdan emas, inson psixologiyasidan foydalanadi: shoshilinchlik, hurmat, qo'rquv yoki yordam berish istagi. Shu sababli ularga qarshi eng yaxshi himoya texnik emas, tashkiliy va tarbiyaviydir. Xodim shubhali so'rovni sezishi, ma'lumot bermay turib shaxsni tasdiqlashi va shubhali holat to'g'risida axborot xavfsizligi xizmatiga xabar berishi kerak. Kirish voqeasidagi buxgalter aynan shunday yo'l tutgani uchun hujum muvaffaqiyatsiz tugadi.

Tahdid har doim ham tashqaridan kelmaydi. Xavfsizlik sohasida eng nozik masalalardan biri ichki tahdid (insider), ya'ni tashkilot ichidagi shaxsdan kelib chiqadigan xavfdir. Ichki shaxs tizimga qonuniy kirish huquqiga ega bo'lgani uchun, uning zararli harakati tashqi hujumdan ko'ra ko'proq zarar keltirishi mumkin. Ichki tahdid ikki xil bo'ladi: qasddan qilingan (masalan, norozi xodim ma'lumotni o'g'irlashi) va tasodifiy (masalan, xodim beparvolik tufayli parolni oshkor qilishi yoki fishing xatiga aldanishi). Ko'plab tadqiqotlar shuni ko'rsatadiki, tasodifiy ichki xatolar qasddan qilingan zararli harakatlardan ko'ra ko'proq uchraydi.

Ichki tahdidni butunlay yo'q qilib bo'lmaydi, biroq uni bir necha tashkiliy chora bilan kamaytirish mumkin. Kamida imtiyoz va vazifalar bo'linishi tamoyillari bir xodimning imkoniyatini cheklaydi. Kirish huquqlarini muntazam qayta ko'rib chiqish keraksiz huquqlarni bekor qiladi. Faoliyatni qayd etib borish (jurnal yuritish) esa suiiste'molni aniqlash imkonini beradi. Biroq eng muhim chora bu xabardorlikni oshirish dasturidir, chunki u tasodifiy xatolarning asosiy sababini, ya'ni bilim yetishmasligini bartaraf etadi.

Samarali xabardorlik dasturi bir martalik ma'ruza emas, balki muntazam jarayondir. U bir necha elementni o'z ichiga oladi: yangi xodimlar uchun boshlang'ich o'qitish, davriy takroriy mashg'ulotlar, amaliy mashqlar (masalan, soxta fishing xatlarini yuborib, xodimlarning munosabatini tekshirish) va xavfsizlik yangiliklaridan xabardor qilish. Aynan shunday uzluksiz dastur inson omilini himoyaning zaif bo'g'inidan uning kuchli bo'g'iniga aylantiradi. Xavfsizlik sohasida bu «inson devori» (human firewall) tushunchasi bilan ifodalanadi: yaxshi o'qitilgan xodimlar jamoasi texnik xavfsizlik devoriga o'xshab ishlaydi va ko'plab hujumlarni to'sadi.

Tashkiliy himoya bepul emas: u moliyaviy, texnik va inson resurslarini talab qiladi. Rahbariyat xavfsizlikni ta'minlash zarurligini anglashi va bu maqsadga yetarli resurs ajratishi kerak. Resurslar bilan ta'minlashda muvozanat muhim: himoyaga sarflanadigan xarajat himoya qilinayotgan aktivning qiymatidan oshib ketmasligi lozim. Arzon ma'lumotni qimmat vosita bilan himoyalash iqtisodiy jihatdan asossizdir.

Resurslarni oqilona taqsimlashda risk tahlili yordam beradi. Tashkilot avval qaysi aktivlar eng qimmatli va eng zaif ekanini aniqlaydi, so'ngra resurslarni aynan shu yo'nalishga yo'naltiradi. Bu yondashuv «hamma narsani bir xilda himoyalash» degan noto'g'ri strategiyadan ustundir, chunki cheklangan resurslar mavjud bo'lganda muhim aktivlar yetarli himoya olishi kerak.

Tashkilot o'sib borgan sari xavfsizlikni alohida shaxs yoki bo'linma zimmasiga yuklash zarurati tug'iladi. Bu bo'linma axborot xavfsizligi xizmati deb ataladi. Uning asosiy vazifasi tashkilotda axborot xavfsizligini muvofiqlashtirilgan holda tashkil etish, nazorat qilish va rivojlantirishdir. Xizmatning muhim tashkiliy tamoyili shundaki, u iloji boricha mustaqil bo'lishi, ya'ni faqat texnik xizmatlarga emas, balki bevosita rahbariyatga bo'ysunishi kerak. Bu mustaqillik xizmatga xolis nazorat yuritish imkonini beradi.

Katta tashkilotda axborot xavfsizligi xizmati murakkab tuzilmaga ega bo'ladi, kichik tashkilotda esa u sodda ko'rinishda, hatto bir necha kishi doirasida tashkil etilishi mumkin. Namunaviy tuzilma quyidagicha ifodalanadi (7.4-rasm). Eng yuqorida rahbariyat turadi va u xavfsizlik siyosatini tasdiqlaydi hamda resurs ajratadi. Undan keyin axborot xavfsizligi xizmati rahbari (xalqaro amaliyotda CISO, ya'ni bosh axborot xavfsizligi bo'yicha mas'ul shaxs) keladi. Uning ostida esa aniq vazifalarni bajaruvchi mutaxassislar: monitoring va tahlil bilan shug'ullanuvchi mutaxassis, himoyani sozlaydigan tizim va tarmoq administratori, hamda xavfsizlik hodisalariga javob beruvchi guruh (incident response).

Axborot xavfsizligi xizmatining asosiy vazifalarini bir necha guruhga ajratish mumkin. Rejalashtirish va siyosat vazifasi: xavfsizlik siyosati va hujjatlarni ishlab chiqish. Amalga oshirish vazifasi: himoya choralarini joriy etish va sozlash. Monitoring vazifasi: tizim holatini kuzatish va shubhali hodisalarni aniqlash. Hodisalarga javob berish vazifasi: buzilish yuz berganda uni cheklash, oqibatlarini bartaraf etish va sabablarini tahlil qilish. O'qitish vazifasi: xodimlarni xabardor qilish. Nazorat vazifasi: qoidalarga rioya etilishini tekshirish.

Muhim jihat shundaki, axborot xavfsizligi xizmati barcha xodimlar bilan hamkorlikda ishlaydi. Xizmat qanchalik malakali bo'lmasin, oddiy xodimlar xavfsizlik siyosatiga rioya etmasa va hodisalar to'g'risida xabar bermasa, himoya samarasiz bo'ladi. Shu ma'noda xavfsizlik butun jamoaning umumiy mas'uliyatidir, xizmat esa bu mas'uliyatni muvofiqlashtiradi.

Xizmat ichidagi asosiy rollar va ularning mas'uliyat doirasini quyidagi jadval umumlashtiradi (7.2-jadval). Kichik tashkilotda bir shaxs bir necha rolni bajarishi mumkin, katta tashkilotda esa har bir rol alohida bo'linma bo'lishi mumkin.

7.2-jadval. Axborot xavfsizligi xizmatidagi asosiy rollar va mas'uliyat doirasi.