В рубрику "Криптография" | К списку рубрик | К списку авторов | К списку публикаций
Для защиты от утечек информации, как правило, используют систему мер, включающую:
Из технических мер наиболее популярными на сегодняшний день в части защиты от утечек информации являются системы класса DLP (Data Leak Prevention), название которых дословно так и переводится – системы предотвращения утечек информации. Однако спектр применения DLP-систем ограничивается лишь предотвращением утечек информации от пользователей информационных систем – работников организации. Они не могут обеспечить, например, защиту информации при ее передаче за пределы контролируемой зоны (при обмене электронными сообщениями или транспортировке материального носителя информации), а также не осуществляют ограничение пользователей сторонних организаций, имеющих доступ к информационной системе в части возможности ознакомления с "чужими" массивами информации. Для защиты от подобного рода утечек используются средства криптографической защиты информации.
Одновременно с ускоренным развитием информационных технологий растет и потребность в обмене информацией с использованием информационно-телекоммуникационных сетей. Практически все организации переходят на электронный документооборот, включая внешний, где применяют для обеспечения целостности и подтверждения авторства документов электронные подписи на основе алгоритмов криптографического преобразования, а также защищенные с помощью шифрования каналы связи, позволяющие обеспечить возможность защиты от ознакомления с этой информацией третьих лиц в процессе ее передачи.
Для защиты информации при передаче по каналам связи существует огромное количество аппаратно-программных средств (например, ViPNet, АПКШ "Континент", "С-Терра" и т.п.). Кроме того, практически все современные операционные системы, включая мобильные, содержат встроенные приложения, позволяющие осуществлять криптографическое преобразование информации при ее передаче.
На основании практики автора можно сказать, что создание защищенных сетей (VPN2) с использованием алгоритмов шифрования практикуется повсеместно, причем как в деятельности организаций, при обмене персональными данными, коммерческой тайной и иной информацией ограниченного доступа, так и физическими лицами в целях обеспечения приватности коммуникаций.
Другая сфера применения криптографических средств защиты информации – это защита от несанкционированного доступа и распространения информации, хранящейся в локальных хранилищах (базах данных) или на материальных носителях. Основная цель криптографического преобразования такой информации – защита от ознакомления с ней как внешнего, так и внутреннего нарушителя.
Для предотвращения утечек из баз данных используются средства криптографической защиты информации, осуществляющие шифрование таблиц баз данных и двухфакторную аутентификацию пользователей посредством применения криптографических ключей (например, продукт "КриптоБД"). Для неавторизованных пользователей защищаемые данные маскируются (представлены в виде произвольных символов), а действия всех авторизованных пользователей персонализируются и протоколируются, что позволяет проводить аудиты и расследовать инциденты безопасности. Кроме того, авторизованные пользователи также способны расшифровать только предназначенный им сегмент хранящейся в базе данных информации. Иными словами, пользователь информационной системы может получить и расшифровать только тот пласт информации, к которому ему предоставлен санкционированный доступ.
Использование описанной технологии позволяет, в частности, обеспечить защиту от утечек информации в распределенных информационных системах, к которым имеют санкционированный (легальный) доступ сторонние организации (контрагенты) в части "своих" сегментов. Например, ведение персонифицированного учета в сфере обязательного медицинского страхования3.
Другое применение технологии шифрования баз данных – облачные сервисы и "гибридные" системы.
Для защиты информации ограниченного доступа в системах, предоставляющих облачные сервисы, работающие по принципу "инфраструктура как сервис" (IaaS), например хостинг баз данных, применение методов криптографической защиты аналогично описанному в предыдущем примере.
Несколько отличается использование методов криптографии в гибридных системах.
Гибридные системы имеют фрагментарную структуру, когда часть системы или сервиса (определенный функционал) реализована в облачной платформе (например, Microsoft Azure), а другая часть находится в защищенном сегменте компании. При этом информация ограниченного доступа (например, персональные данные, коммерческая тайна) не передается в облако, а обрабатывается в контролируемой зоне организации – в ее информационной системе. До момента передачи данных по каналам связи происходит процесс шифрования информации на так называемом шифрующем прокси-сервере.
"Шифрующий прокси", т.е. прокси-сервер, осуществляющий криптографическое преобразование информации, предназначен для защиты информации в приложениях, развернутых в облаке и работающих по модели "программное обеспечение как услуга" (SaaS). Для таких приложений характерны следующие особенности:
Указанный прокси-сервер функционирует в локальной сети клиента облачного сервиса и "на лету" осуществляет шифрование (расшифрование) данных отправляемых (получаемых) браузером пользователя. Для операций криптографического преобразования, управления ключами шифрования и разделением доступа используется программное обеспечение, установленное в локальной сети пользователя услуги SaaS.
Таким образом, управление информацией ограниченного доступа, ключами и другой критичной информацией осуществляется в пределах периметра, контролируемого организацией. На хранение и обработку в облако передаются предварительно зашифрованные данные, владелец облачного сервиса не имеет доступа к ключам шифрования, данные по каналам связи, выходящим за пределы контролируемой зоны, также передаются в зашифрованном виде. Указанный подход, в частности, позволяет обеспечить возможность обработки в облаке персональных данных в соответствии с требованиями действующего законодательства.
Так, для защиты информации, составляющей коммерческую тайну, можно использовать любые криптографические алгоритмы, криптостойкость которых (по сути, время, требующееся на расшифровку/дешифровку информации) зависит прежде всего от длины ключа (чем длиннее ключ, тем больше времени требуется на расшифровку), а также от особенностей криптографического алгоритма (наличие известных уязвимостей в нем).
Для защиты персональных данных законодательно разрешено использование только сертифицированных криптографических средств, применяющих российские алгоритмы шифрования (ГОСТ). Данное требование вытекает из п. 9 приказа ФСБ России от 10 июля 2014 г. № 378 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности", возлагающего на операторов персональных данных обязанность применять для каждого из уровней защищенности информационных систем персональных данных средства криптографической защиты информации соответствующего класса, который присваивается им в процессе сертификации.
Утечка информации – неконтролируемое распространение защищаемой информации в результате ее передачи (разглашения) либо получения к ней несанкционированного доступа. Для защиты от утечек информации существуют разные средства и методы. Одним из наиболее эффективных является криптография. На практике, по мнению автора, защиту от утечек с помощью криптографических средств целесообразно применять в следующих случаях:
Опубликовано: Журнал "Information Security/ Информационная безопасность" #6, 2018