Мэдээллийн аюулгүй байдлыг сахиулах : архитектур болон үүрэг хариуцлага

Мэдээллийн технологийн хамгийн төвөгтэй нь бүгд нэг дор цогцолсон байдаг. Систем дэх бүрэлдэхүүний тоо өсвөл системийн төвөгтэй байдал геометр прогрессоор өсдөг, харин тэрхүү системийг хянах хүмүүсийн тоо арифметик прогрессоор өсдөг. 

Тохируулагдах элементүүд:

Автоматжуулалт руу ороё. Хийхэд төвөгтэй зүйлсийг маш хялбаршуулсан байдаг. Энэхүү хялбаршуулагчдын эхэнд тайлбаруудын багц, тохируулга болон параметрүүд байх ба үйл ажиллагааны хэрэгжилт, хяналт, тохируулга гээд бүгд технологиор явагдана. Хэлэлцүүлгийн зорилгоор системийн хэсгүүд тайлбар тохируулагдах элементүүдийг шаардана. Зарим тохиолдолд боломжтой тохируулгууд зөвхөн аюулгүй байдлын цэгээс шалтгаалахгүй, хяналт шалгалтын файл эсвэл жагсаалт гэх мэт. Эдгээр тохируулах боломжтой элементүүд нь файл бөгөөд нууц үг шаардах, хандах эрхийн хязгаарлалтыг хийж өгдөг.

Хэцүүг хялбаршуулсан түүлүүд:

Тохируулагдах элементүүдийг техник хангамж болон програм хангамж болон түүнийг ажиллуулж буй үйлдлийн систем, файл систем, сүлжээний төхөөрөмжийн үйлдлийн систем зэргийн аюулгүй байдлыг тайлбарлах нь  энгийн даалгавар биш. Маш олон жишээнд, аюулгүй байдлыг төгс хангах ганцхан тохируулга гэж байхгүй. Нэгэн жигд байдал нь тусд нь ялгаснаас илүү чухал, яагаад гэвэл ганц хайрцганд холбогдоогүй гэвч бүхлээрээ нэг сүлжээнд байгаа. сүлжээн дэх тохируулагдах боломж бүхий элементүүдийн тоо ихэсвэл дүрэм журмыг сахиулахад төвөгтэй болно.

Сэрэмжлүүлэг болон түгшүүр:

Зайлшгүй тавигдах шаардлага бол сүлжээн дэх хүлээн зөвшөөрөгдөхүйц тохиргоотой байх явдал юм. Эдгээр тохиргоонууд хадгалах боломжтой, хяналтын програмаар хянах боломжтой бөгөөд сүлжээн дэх төхөөрөмжүүдийн хяналтыг явуулах боломжтой байна. Анализын хамгийн энгийн цэг бол сүлжээн дэх элементийн нэмэлт хийх боломжтой байх эсэх. Элементийн тохиргоо нь архитектурын тодорхойлолт төхөөрөмжийн ангилал зэрэгтэй болон дуулгаваргүй тохиргоотой харьцуулагдана. Дуулгавартай хөдөлгүүр нь төхөөрөмжийг сүлжээнд гарахаас өмнө ажиллагаанд оруулна. Илүү их төвөгтэй байдал нь тохируулагдах боломж бүхий элементүүдийн шинэ төрөл нь ойлгомжгүй параметрүүдтэй байгаа юм. Анхны тохируулга нь хэсэг хугацааны дараа өөрчлөгдөх хэрэгтэй болсон байдаг. нэгэн жигд байдал бол түлхүүр чанар юм. Туршлагаас харахад холболтын дараа бусдаасаа хамгийн тохиромжтойг сонгох нь гарцаагүй. Энэ нь холбогдох бүх элемент дээр засварлаж болох тохиргоонуудад буцаан зохицуулалт хийхийг шаарддаг. Сүлжээнд, ганцхан удаа тохируулдаг элементийн тохиргоо тохиолдож болзошгүй бөгөөд энэ тохиолдолд санамсаргүй эсвэл хор хөнөөлтэй ямар нэгэн өөрчлөлтөд дохио өгч байх хэрэгтэй. Өөрчлөлт хийгдсэн хугацаа ойртоход дохио өгөх нь илүү дээр байдаг. Анхааруулга болон дохиолол нь биелэлт, хэрэгжилтийн ойлголт юм. Тухайн үед нь систем эсвэл сүлжээнд хэрэгжих боломжтой

Хэрэгжилтийн техник архитектур

Олон талт, өндөр төвшний, өргөн хэмжээнд хэрэгжүүлэх боломжийг бүрдүүлдэг газарзүйн хувьд тархсан том байгууллагууд аж ахуй нэгжийн хэмжээнд биелүүлэх менежментийг идэвхжүүлэх техникийн хэрэгсэл юм. Тэдгээр тодорхой техникийн хэрэгслүүдэд биелэлтийг хүндрүүлдэг хүчин зүйлсийг ашиглаж болно. Хэрэгслийг(эсвэл илүү зохимжтойгоор багаж хэрэгсэл) архитектуртай, энэ тохиолдолд 3 үндсэн төвшинтэй логик архитектурыг нийлүүлж болно. Сан, баримт бичгийн системд үйлчилдэг. Бизнес логик, анализ болон үйл явцын гүйцэтгэлийг удирддаг. Presentation төвшин, хэрэглэгчдэд интерфейс болон хянах самбарыг үзэх боломжийг олгодог.

The repository – Сан

Сан нь зөвхөн хууль тогтоомж болон дүрэм журмыг агуулахаас илүү их юм. Энэ нь дагаж мөрдөхөд ойлгомжтой болгох зорилгоор бизнесийн логик өөр дээрээ хэрэгжүүлэх шаардлагатай боловсруулаагүй өгөгдлөөр хангах зэрэг арга замаар харилцах бүрэлдэхүүн хэсгүүдээс бүрддэг. Төрөл бүрийн хэрэгслүүд санг бүрдүүлдэг.

Хэрвээ ямар нэг зүйлсийг хийх арга зам нь зөв бол сонирхолтой газраас багагүй ертөнц хялбар байх болно.

Хүрээлэн буй орчны тухай холбогдох мэдээллийн өгөгдлийн санд сүлжээний инженер, програмын үзүүлэлт, дэд бүтэц, танилтын менежментийн тухай мэдээллүүд багтдаг. Дагаж мөрдөх шаардлагатай өгөгдлийн санд байгууллагын сэдэв болох хууль тогтоомж, дүрэм журам, бодлого, стандарт, удирдамж болон чиглэлийг бүхэлд нь агуулж болно. Шифрлэлт, адилтган таних, дахин сэргээх эсвэл шаардлагатай бүх зүйлийн тухай сурах боломжийг хэрэглэгчдэд олгохын тулд хэвийн бүтэцтэй байх шаардлагатай.

Хэрэгжилт нь өгөгдлийн сангийн засвар үйлчилгээнд хамгийн түгээмэл томоохон ойлголт юм. Энэ нь стандарт, бодлого, хууль тогтоомж болон бусад (шаардлагатай гэж орчуулсан) бодит хэлийг агуулсан дагаж мөрдөх баримт бичгийн өгөгдлийн сантай нягт холбогдож болно.

Хэрэгжилттэй холбоотой үйл явдлын талаарх бүртгэл(log) бас хэрэгтэй. Энэ нь гол нь дагаж мөрдөхгүй тохиолдолд бүгдийг мэдэж байхад тустай. Бүртгэл нь ердийн үйл явдлын хамгийн чухал ялгаатай зохион байгуулах бүтцийг дэмжиж байх ёстой. Мөн биелэлтийн интерфейст тохиргооны элемент болон метадата, хяналтын үйл явц, нэрлэх стандарттай уялдуулж болно. Энэ интерфейс нь байгууллагын эд анги болон бүх хэсгүүдийг хийх болон тэдгээрт тохиромжтой технологийг хамтад нь гарт байгаа хэрэглэгдэхүүн рүү санд байгаа бусад бүх мэдээллийг хэрэгжүүлэхэд хэрэгтэй.  

Business logic – Бизнес логик

Сангийн аналог бүрэлдэхүүн хэсгүүд нь өгөгдөл хадгалах, аналог бизнесийн логик нь хэрэглээний програм юм. Тэдгээр нь юу хэрэгжүүлж болохыг тогтоодог бөгөөд юунд хүрэх эсэхийг тодорхойлох, жишээнээс жишээ хөдөлгүүр болдог. Ажлын урсгалын удирдлагын хэрэгсэл болон тохиргооны анализатор түүнд багтдаг. Workflow management-ийн хэрэгслүүд нь уян хатан байдал үйл ажиллагааны дарааллыг зохион байгуулж байна. Энэ нь үйл ажиллагааг дээшлүүлж чиглүүлдэг. Энэ нь бас notification alert-мэдээллийг, бүрэн бус  зүйлсийг хянах механизм юм. Тохиргооны анализатор шаардлагынхаа дагуу бий болсон моделыг бэлэн тохиргооны элементүүдтэй харьцуулдаг.

Presentation давхарга

Өмнө нь хэлсэнчлэн бүх бүрэлдэхүүн хэсгүүдийг хүн амархан ашиглаж болох байдлаар тавих амаргүй ажил.  Өгөгдлийг нэг түвшинд ойлгогдохоор бизнес логикоор  боловсруулдаг. Танилцуулга давхарга үндсэндээ  бүх мэдээлэл, үйлчилгээ, дээр дурдсан бүрэлдэхүүн хэсгүүдийг санал болгож тэдгээрийг  идэвхжүүлдэг портал юм. Энэ портал нь  мөн тохиргооны удирдлага, хандалтын хяналт, таних удирдлага холбогдох системийн холболттой байх шаардлагатай.

Enforcement responsibilities(хууль сахиулах үүрэг)

Enforcement –ийн язгуур нь зарим нэгэн тодорхой үйл ажиллагаа шаардахгүйгээр таамаглах хүрэх Force гэдэг үг юм.  Тэнгэр элч нар ихэнх хүмүүс  тухайн цаг үеийн хамгийн зөв зүйл хийхийг хичээдэг, бодлого, стандартын бус нийцэж байгаа тохиолдолд ихэнх нь алдаа болж өс хонзон урган бий болно гэж бидэнд хэлдэг. Гэсэн хэдий ч, аюулгүй байдлын эмзэг байдал нь  хүмүүст нээлттэй боломжийг нэвтрүүлж, хослуулан эдгээр эмзэг урвуулан ашиглах, түүнчлэн системийг доголдуулж байна. Тиймээс бодлого, стандартыг хэрэгжүүлэх шаардлагатай байгаа.  

Мэдээллийн аюулгүй байдлын үйл ажиллагаа

хамгийн тодорхой хариулт мэдээллийн аюулгүй байдлын үйл ажиллагаа юм. Магадгүй тодорхой, гэхдээ боломжгүй.  Ямар ч мэдээллийн аюулгүй байдлын мэргэжилтэн, илэн далангүй байж, тэмцэл  нь тэгш бус нэг юм гэдгийг хүлээн зөвшөөрөх болно; хэт олон хэрэглэгч, програмууд, сүлжээ, мэдээллийн сан, тэднийг бүгдийг нь үр дүнтэй  тодорхойлогч police болон төхөөрөмжүүд байдаг. Үндсэн үйл ажиллагаа, эсвэл байх ёстой, үр дүнтэй, аюулгүй байдлын арга хэмжээг бий болгох, хэрэгжүүлэх  харьцангуй жижиг бүлгийн хувьд боломжгүй ажил юм.Бодлого, стандартыг хэрэгжүүлэх шаардлагатай байна. Автоматжуулалт мэдээллийн аюулгүй байдлын үйл ажиллагааг илүү сайжруулна. Автомат хэрэгслээр , мэдээллийн аюулгүй байдлын администратор бодлого, стандартыг тайлбар харж болно. Өөрөөр хэлбэл,  тайлбар нь онцгой мэдрэгдэхгүй байгаа бол харж болно. Илрүүлэлт нь тогтвортой найдвартай загвартай байхаас хамаарна.  Хийсвэрээр бол энэ нь боломжтой. Харин хамгийн том байгууллагуудын хувьд практикт аюулгүй байдал нь хэрэгжүүлэхэд уян хатан байх хэрэгтэй.  Мэдээллийн аюулгүй байдлын үйл ажиллагаанд гүйцэтгэх үүрэг дүрэм нь зөвшөөрөгдөх үл хамааран арбитрийн байх явдал юм.

Аудитын үйл ажиллагаа

Зарим байгууллагын дотоод аудит, ялангуяа мэдээллийн систем (IS) аудитын үйл ажиллагаа нь мэдээллийн аюулгүй байдлын бодлого, стандартын хэрэгжүүлэх юм.  Гэсэн хэдий ч Аудит нь шинж чанараар нь хугацаанд нь янз бүрийн цэгт зогсолтыг шалган хянадаг. Үргэлжилсэн  аудитын маш их боломж байгаа. Хяналтыг аудит хийх явдал юм гэж тодорхойлж болно. Дүрмийг мөрдүүлж байх нь  сайн. энэ нь тодорхой IS аудитор шалгаж, өөрсдийгөө үнэлж, дараа нь үндэслэн, шалгах журам ажиллаж байгаа эсэхийг шалгах нь зөв үүрэг юм. Энэ үүрэг нь ихэвчлэн хэрэглээний статистик өндөр;  хэмжээ нь маш нарийн шалгалтад  хүргэж,  дахин нэг удаа энэ нь үр дүнтэй байхын тулд автоматжуулах шаардлагатай. Харин автоматжуулалтын нь зөвхөн тухайн дүрэм дагаж байгаа эсэхийг  хэлж чадна.  Энэ нь төвийн бус хэрэгжилтийн тохиолдол үндэслэлтэй,  эрх бүхий эсэхийг хэлж чадахгүй. Аюулгүй байдлын дүрэм бизнесийн өдөр тутмын үйл ажиллагаанд хэрэгжих албадлагын бус  бол, автомат  нь  албадлагын.

Менежмент

Менежментийн аюулгүй байдлыг хийх харьцангуй хялбар. Энэ нь ерөнхийдөө удирдлагын ажлын байрны тодорхойлолт нэг хэсэг боловч  үр нөлөөг бууруулдаг. Менежментийн төвшин нь  төвшин болгоныг шахах үүрэгтэй. Менежерүүд хүмүүсээ зохих дүрэм журмын дагуу шаардах албадах үүрэгтэй. Энэ нь ажилтны үйл ажиллагааг хянахад зарчмын хувьд хангалттай юм. Гэвч технологийн улмаас энэ биш болж, мөн үүнтэй холбоотой аюулгүй байдал ч мөн бизнес менежер хүн хянахад төвөгтэй болжээ. 

Өөрөө өөртөө систем:

Аюулгүй байдлын системийн төгс хувилбар нь өөрөө өөрийнхөө аюулгүй байдлыг сахиулах. Энэ бол одооны бодит байдал. Галт хана, хөндлөнгийн хамгаалалтын систем, вирусны шүүлтүүр тус тусын хүрээнд  хяналт хийдэг бөгөөд өгөгдсөн дүрмээс хазайвал хариу үйлдэл хийдэг. Гэвч хэн дүрмийг хийдэг билээ. Ялангуяа энэ нь хүний аюулгүй байдлыг хэмжих, дүрэм журам, стандарттай холбоотой. Машины хэл дээрх кодууд нь алдаатай тэмцдэг. Үүнийг хүн бичдэг. Бид бас л хэн дүрэм журмыг, стандартыг гаргадаг билээ түүнийг орхигдуулсан л байна.

Шийдэлд чиглэсэн албадлага:

Аюулгүй байдлыг сахиулахад 2 чухал цэг харагдаж байгаа. Эхнийх нь дээрх бүгд. Албадлага нь аюулгүй байдал, хяналт шалгалт, менежмент, нэмэх нь системийн нөөцийг ашиглаж байгаа хүний оролцооноос гарна. Цагдаа ирж хотыг цэвэрлэхийг хүлээхийн оронд тэд хамтдаа ажиллавал аюулгүй байдлын асуудлыг шийдвэрлэж чадна. Гэвч бид хамтдаа ажиллахгүй бол аюулгүй байдал асуудал хэвээр байсаар л байх болно.

Хамгийн сайн руу ойртуулах хэрэгтэй:

Эцсийн эцэст бид мэдээллийн аюулгүй байдлыг хэзээ ч  100 хувь сахиулж чадахгүй. Мэдээллийн аюулгүй байдлын үечлэлд энэ нь эрсдлийн менежментийн шийдлийг хийх хэрэгтэй бөгөөд үргэлж л асуудал болж байдаг. Аль цэгт бид илүү их анхаарвал аюулгүй байдлыг сайн сахиулж чадна гэж бодож байна. Хэрвээ бид цагдаа бүх асуудлыг арилгаж чадна гэж бодвол бид тун их сэтгэлээр унах болно. Харин олон нийтийн чармайлтыг гаргавал үр дүн сайн байх болно. Эрсдлийн менежмент эрсдлийн мэдээлнэ, энэ тохиолдолд бид 2ууланг нь сахиулах хэрэгтэй.

PDF №32 Ross_2008_Network-Security

Орчуулсан баг : Triple A