CC BY
57
Зарубежный опыт
Др
W-ЩШШ
kJH
I и информационные
технологии
Материалы конференции «Информационное обеспечение реализации национального проекта «Здоровье»
В.Н.КАРАЧАРОВ,
менеджер по работе с государственными организациями корпорации Oracle CIS
ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ - DATA VAULT
Анализ структуры правонарушений в области информационной безопасности, показывает, что 90% крупных учреждений зафиксировали несанкционированные попытки проникновения в свои информационные системы. В 70% это были собственные сотрудники компаний. Как показывает практика, именно они, а не внешние «хакеры», являются основной угрозой корпоративных информационных систем. Из чувства обиды они могут «скачать» какие-то важные данные из системы и просто передать их конкурентам, или, воспользовавшись возможностями предоставляемыми средствами массовой информации опубликовать в прессе, или, например, разместить где-нибудь в Интернете, а могут и попросту злонамеренно видоизменить информацию, содержащуюся в базах данных, сделав ее абсолютно непригодной. Хорошо, если сразу же видно, что данные испорчены, и их нужно восстанавливать. Гораздо хуже, если данные были испорчены частично, и это было замечено по прошествии некоторого времени. В таком случае становится очевидно, что результаты работ большого числа сотрудников, нуждаются в перепроверке, а саму базу данных нежно будет все-таки восстанавливать от какой-то даты последнего резервирования и дополнять.
Данная проблема была недавно полностью решена корпорацией Oracle, предоставившей полный комплект инструментария по управлению идентификационными данными пользователей (Oracle Identity & Access Management Suite). В дополнение к существующим встроенным механизмам разграничения областей доступа пользователей системы - меток безопасности, появилась возможность полностью управлять областями допуска сотрудников к определенным областям данных, а также отслеживать, кто в какое время к какой информации имел доступ. Таким образом, управление доступом превратилось из точечного решения в мощную корпоративную инфраструктуру. Немаловажный аспект - управление доступом может работать не только на продуктах Oracle, но и быть интегрированным в приложения других фирм-разработчи-ков ПО.
Казалось бы, вопрос обеспечения безопасности информации и управление доступом пользователей решен окончательно, и обсуждение этой темы можно закрывать.
Однако остается немногочисленная, но потенциально самая опасная группа пользователей, наделенных исключительными правами - администраторы баз данных и системные администраторы. Они, организуют процесс резервирования, собственно прописывают привилегии пользователям по доступу к той или иной информации, и делают много другой нужной и важной работы. Естественно, администратор баз данных
© В.Н.Карачаров, 2006 г.
Зарубежный опыт
Материалы конференции «Информационное обеспечение реализации национального проекта «Здоровье»
www.idmz.ru 2006, №4
ГЧЯЯ
I Ы.МЯЯ
Общие данные учреждения
Рис. 1. Выбор областей защиты данных
£ile Edit Bookmarks looK Help
-■ - ■ gS yf | http ://130 3S46.14.1 li8/tivn/!ogin|sp
StD"* . STcortent jGJGoogle Qdbsec curt list DBSECodmjn -yr
OWACL.e Data Vault
Login to Database: orcl
■ User Name | * Password I
Capprlglil о Dttjilc All fight*. leieiyee
Help
Рис. 2. Пример авторизации администратора Data Vault (DVA)
имеет доступ к ЛЮБОЙ информации, находящейся в системе, становясь потенциально опасным членом команды. Прекрасно, если в нем уверены и он абсолютно порядочный и честный человек. А если это не так? Да и можно ли ВСЕ отдавать в руки одного человека? Насколько он честен и лоялен по отношению к своим коллегам и работодателям? Здесь есть над чем задуматься. Безусловно, скопировать базу данных может и простой пользователь, но для этого ему придется последовательно обращаться к записям и построчно их ко-
пировать. Согласитесь, процесс будет достаточно длительный и трудоемкий. Администратор может это сделать просто и быстро. Известно много примеров, когда достоянием общественности становились не только списки номеров мобильных телефонов, недвижимости, личного автотранспорта и о полученных доходах. Если к этим данным добавить еще и подробную информацию из историй болезней, и вот человек уже «как на ладони».
Правоохранительные органы отмечают, что самый большой интерес для преступников представляют именно личные данные различных групп людей, и динамика роста преступлений в этом сегменте одна из самых высоких. Такой интерес к подобной информации вполне понятен: так гораздо проще выявлять потенциальные объекты для шантажа, вымогательств и других правонарушений. Чтобы максимально обезопасить свих граждан, в зарубежных странах приняты ряд законов, строго регламентирующих вопросы сохранности личной информации. Это и HIPAA, Gramm-Leach Bliley, Japanese Privacy Act, BASEL II и многие другие. Принятый в США закон Сарбейнса-Оксли предъявляет достаточно жесткие требования к сохранению в первую очереди персональной информации. Так, по американским законам, организация, работающая с информацией частного характера, обязана предпринять систему мер, обеспечивающих полную сохранность конфиденциальности подобной информации. В России принят Закон №24-ФЗ от 20.02.1995 «Об информации, информатизации и защите информации», подготовлен проект ФЗ №217352-4 «О персональных данных». Наряду с обеспечением сохранности информации существует необходимость в разделении полномочий на ее обработку между пользователями и администраторами, согласно функциональным их обязанностям. С одной стороны, администратор базы данных играет важную роль в поддержании работоспособности базы данных, обеспечивая высокую производительность обработки информации, высокую готовность и доступность данных, проведение резервного копирования и восстановления информации при сбоях. Вместе с тем, администратор не должен обладать
Зарубежный опыт
Др
W-ЩШШ
kJH
I и информационные
технологии
Материалы конференции «Информационное обеспечение реализации национального проекта «Здоровье»
Рис. 3. Пример сообщения об ошибке при обращении к защищенной области
Рис. 4. Контроль данных аудита
возможностью доступа к информации специализированных приложений, обрабатывающих персональные данные и другую конфиденциальную информацию, предназначенную для ограниченного круга пользователей. В равной степени это требование относится к другим привелигиро-ванным пользователям базы данных.
Корпорация Oracle не могла не отреагировать на эти требования рынка, предоставив в дополнение к уже имеющемуся спектру продуктов по обеспечению информационной безопасности новый продукт Data Vault. (В свободном переводе -сейф данных). Особенность концепции по информационной безопасности решений корпорации Oracle следующая - в первую очередь защищаются непосредственно базы данных, поэтому Data Vault может быть установлен с любыми приложениями,
имеющими базу данный Oracle 10g в качестве ядра. Вообще Data Vault - это идеальное решение для учреждений, работающих с персональными данными, отвечающее самым строгим требованиям по разграничению полномочий и защите информации.
Идея заключается в следующем: после того как продукт установлен, из числа подготовленных пользователей прикладной системы назначается администратор Data Vault, который определяет области данных (перечень объектов), подлежащих защите, сам «сейф данных», и список допущенных к работе с этими данными пользователей, порядок и правила их работы (см. рис. 1).
При этом каждый отдельный пользователь может получать доступ как к только ему доступной области информации, так и к информации, к которой допущена группа пользователей. Кроме этого он идентифицируется в системе Data Vault как «владелец» или «пользователь» информации (см. рис.2).
При этом администратор баз данных и системный администратор не участвует в этом процессе. Более того, они могут продолжать определять привилегии пользователей в общей системе, производить резервное копирование данных, но для них эти данные зашифрованы. Даже если резервная копия базы данных будет передана посторонним лицам, для доступа к информации необходимо будет расшифровать ее, что практически невозможно. Вместе с тем, при попытке просмотра данных из защищенной области администратор базы данных получит сообщение о недостаточности полномочий для этой операции (рис. 3).
Кроме того, его попытка чтения данных из защищенной области будет обязательно зафиксирована, как и все факты обращения остальных авторизованных сотрудников, которым доступ в эту область открыт (рис.4).
Таким образом, решение Data Vault является самым передовым на настоящий момент решением по обеспечению безопасности личных данных масштаба учреждения/предприятия. Это совсем новый продукт, который будет доступен в мае 2006 на платформе Linux, а несколькими месяцами позже - на других платформах.
