Разработка методики оценки рисков утечки конфиденциальной информации, циркулирующей в корпоративной сети

.1. Инвентаризация существующего оборудования и приложений

Не многие предприятия  могут себе позволить роскошь  построения корпоративной сети с  нуля. Большинство же вместо этого  строят свои компьютерные системы с  использованием имеющегося оборудования, которое уже эксплуатируется какое-то время. Необходимо оценить, какое существующее оборудование продолжает иметь стратегическое значение для предприятия, а какое может быть безболезненно списано. Однако сначала необходимо все же определить, что же вы имеете.

Для каждого отдела и офиса необходимо провести инвентаризацию существующего компьютерного оборудования и выяснить, какое действительно используется. Например, действительно ли используются PC-совместимые персональные компьютеры, Macintosh'и, рабочие станции Sun, миникомпьютеры AS-400 и мейнфреймы 370? Какие используются типы сетевого оборудования и протоколов, а также сетевых операционных систем: SNA, IPX/SPX, TCP/IP, NetWare, Windows for Workgroups, VINES и т.п. Где это оборудование находится, и в каком оно состоянии? Есть ли экономический смысл продолжать эксплуатировать эту технику или же более эффективно перейти на новую технику? Например, если в программное обеспечение мейнфрейма вложено значительное количество денег, и система работает без проблем, то, очевидно, нет смысла ее заменять. В этом случае корпоративная сеть должна уметь взаимодействовать и с этим мейнфреймом.

После того, как  проведена ревизия оборудования, необходимо проделать то же самое  с приложениями. Необходимо выяснить:

• Какие приложения используются в каждом офисе и отделе, сколько людей пользуются каждым приложением, и трафик какой интенсивности они создают?

• Могут ли эти  приложения быть использованы в корпоративной  сети?

• Где хранятся эти приложения и каким образом  пользователи смогут получать к ним доступ в новой операционной среде?

• Существуют ли более эффективные приложения аналогичного назначения и захотят ли сотрудники перейти на них?

Инвентаризация - очень скучная процедура, но тем  не менее ее нужно осуществить, чтобы  точно знать, чем вы располагаете и что нужно приобрести. Для такой большой системы, как корпоративная сеть, очень важно, чтобы каждый элемент, будь то кабель или плата памяти, был промаркирован и учтен. Процесс инвентаризации можно и нужно автоматизировать. Существуют программы, которые могут автоматически исследовать состав аппаратного и программного обеспечения уже работающих в сети компьютеров. Функциональные возможности таких пакетов различны, это также зависит и от типа компьютеров, например, Мас'и сообщают о себе больше информации, чем PC-совместимые персоналки.

В общем случае такие программы могут выяснить тип CPU, имеющуюся память, тип диска и свободное пространство на нем, имеющиеся дополнительные контроллеры -такие как сетевые адаптеры, факс-модемы и т.п. Для программного обеспечения можно узнать наименование и версию приложений, версии операционной системы, установленные сетевые драйверы.

Программы-исследователи  создают базу данных подобной информации, которая может использоваться для  справок или при устранении неисправностей. Администратор может периодически запускать исследовательскую программу и получать недельную, месячную или квартальную справку о текущем состоянии сетевых ресурсов.

2. Определение системных  требований

После инвентаризации существующей вычислительной системы необходимо определить требования к новой системе. Для определения технических параметров сети рассматривайте системные требования не с технической точки зрения, а с позиций руководителей, менеджеров и конечных пользователей.

Для выяснения системных требований необходимо ответить на следующие вопросы:

• Что нужно соединять? Требуется ли сотрудникам какого-либо подразделения общаться с небольшим (большим) количеством людей в пределах небольшой территории или же им нужно общаться с небольшим (большим) количеством людей в пределах географически обширной области? Объем и распределение графика поможет определить требуемую мощность компьютеров, а также типы и скорости коммуникационного оборудования и серви-сов.

• Что из существующего аппаратного и программного обеспечения будет использоваться в новой системе? Какие системы нужно оставить в разрабатываемой корпоративной сети? Нужно ли эти системы соединять в сеть? Будут ли существующие системы нормально работать в новой сети? Существуют ли какие-либо стандарты предприятия, существуют ли преобладающие приложения? Какое оборудование и приложения нужно добавить, чтобы достигнуть поставленных производственных целей?

• Какие объемы информации будут передаваться по сети? Объем передаваемой информации определяет требуемую пропускную способность сети. По корпоративной сети будет передаваться больше или меньше информации? Определите это подсчетом количества пользователей сети, среднего количества выполняемых транзакций в день каждым из пользователей и среднего объема транзакции. Такой подсчет поможет определить технологию доступа к среде передачи данных (Ethernet, FDDI,...) и требования к глобальным сервисам.

• Какое время реакции сети является приемлемым? Будут ли пользователи ждать одну секунду, пол-секунды или две секунды? Такие измерения помогут определить требования к скорости оборудования, приложений и коммуникационных связей.

• В течение какого времени сеть существенно необходима для работы предприятия? Нужна ли сеть 24 часа в день и 7 дней в неделю или же только в течение 8 часов в день и 5 дней в неделю? Нужно ли увеличить сегодняшние параметры использования сети?

• Какие требования предъявляются к среднему времени устранения неисправностей? Как отражаются операции по обслуживанию и ремонту сети на эффективности ведения дел предприятием? Потеряет ли предприятие 5 миллионов долларов или же 100 тысяч долларов, если сеть будет неисправна в течение одного часа? Каков будет ущерб от простоя сети с течение двух часов?

• Каков планируемый рост системы? Каков текущий коэффициент использования сети и как он может измениться в течение ближайших 6 месяцев, одного года, двух лет? Даже если вы тщательно спланировали сеть, но не учли возможности ее роста и развития, то системные требования придется изменить и увеличить. Рост сети нужно планировать заранее, а не просто реагировать на фактический рост ее нагрузки.

3. Разработка технической  модели

После того, как  системные требования определены, можно  описать техническую модель корпоративной сети. На этом этапе нужно определить, каким образом предполагается удовлетворить производственные требования с технической точки зрения. Большинство проектировщиков сетей хорошо знакомы с методами разработки технической модели.

Прежде всего  подвергните анализу существующую систему. Что нужно из нее сохранить, а что отбросить? Будут ли согласовываться различное сетевое оборудование, операционные системы и приложения, используемые сегодня?

После этого  оцените доступную технологию. Что  на сегодня является технической вершиной? Хотите ли вы использовать самую передовую технику и технологию? Нужна ли вам на самом деле самая передовая техника? Например, если вы строите сеть для отдела закупок, то технология FDDI очевидно будет излишней, даже если в отделе обрабатывается большое число документов. В то же время в инженерном отделе технология FDDI будет более целесообразна, так как там имеют дело с большими файлами. Можно также рассмотреть целесообразность сети Ethernet с отдельными сегментами для каждого пользователя. Построение хорошей сети означает постоянное сопоставление ваших желаний и потребностей предприятия. Нужно использовать только такие технические решения, которые необходимы.

Тщательно обдумайте  выбор между передовой технологией  и технологией, проверенной временем. Например, Ethernet и Token Ring являются проверенными технологиями, а АТМ - сравнительно новой. Не многие проектировщики хорошо с ней знакомы, а капиталовложения необходимо сделать значительные.

Далее нужно  оценить, какое семейство технических средств удовлетворяет производственным потребностям. Например, нужны ли вашей сети мосты и маршрутизаторы? (Это зависит от интенсивности графика, количества сегментов, распределения сегментов и уровня квалификации администраторов.) Будете ли вы использовать смешанную топологию или топологию звезды? (Это зависит от структуры и организации вашего предприятия.) Какие коммуникационные связи и с какими скоростями нужны для вашей сети? (Это зависит от того, что будет передаваться по сети, в том числе от того, хотите ли вы комбинировать передачу голоса и данных.) Для принятия подобных решений вы должны узнать сравнительные характеристики различных технологий и технических средств, а также тщательно проанализировать интенсивность и типы передаваемых по сети данных.

Проектировщик также должен обеспечить нужный набор  функций и требуемое время  доступности сети. Например, если сеть должна быть доступна по ночам и  в выходные дни, в ответственных  файл-серверах нужно предусмотреть  избыточные диски и источники бесперебойного питания. Необходимо решить, достаточно ли применение способа зеркального отображения дисков или требуется использовать дисковый массив. Какой запас аккумуляторов нужен для источников бесперебойного питания?

Далее нужно  выяснить, какие технологии и технические средства станут доступными в ближайшее время, а также каковы долгосрочные перспективы этих новшеств. Оцените, сможет ли проектируемая сеть принять завтрашние технологические новинки.

Искусство проектировщика заключается в оценке имеющихся па сегодня решений, предвидении того, что станет доступным завтра, и объединении этих решений в элегантную и эффективную сеть. Например, сегодня неэкранированная витая пара категории 5 устраивает практически все протоколы локальных сетей, в том числе и АТМ на-155 Мб/с. Поэтому можно сделать несложный вывод о том, что внутри зданий на вашем предприятии лучше использовать витую пару, а не коаксиальный кабель.

1.2.5. Построение физической модели

После того, как  для сети выбрана техническая  модель, необходимо оценить, насколько она удовлетворяет производственным требованиям. Нужно вернуться к бизнес-модели и сопоставить ее требования с техническими решениями. Вряд ли технические решения будут полностью удовлетворять требованиям бизнес-модели, но к этому надо стремиться.

Например, если на вашем предприятии сотрудники часто перемещаются из отдела в отдел, то требованием бизнес-модели является высокая мобильность. Техническая  модель должна в таком случае обеспечивать быстрое присоединение и отсоединение рабочей станции. •

После того, как  вы убедились, что техническая модель соответствует требованиям, нужно  построить физическую модель. Физическая модель конкретизирует специфику технической  модели. Физическая модель является очень  подробным описанием сети, в то время как техническая модель использует для ее описания более общие термины.

Хотя обычно проектировщик детально знаком с  каждой технологией, характеристики конкретных продуктов он знает только в общих чертах. Этап физического моделирования требует более детального знакомства с имеющимися продуктами. Теперь проектировщик должен оценить свойства и функции подходящих продуктов и решить, какие из них наилучшим образом удовлетворяют требованиям разрабатываемой системы. После определения доступных продуктов проектировщик должен получить их "в натуре", чтобы оценить, насколько их характеристики соответствуют характеристикам, объявленным производителем. Для того, чтобы определить подходящие продукты, проектировщику нужно воспользоваться опытом консультантов, знакомых из отделов автоматизации других предприятий, системных интеграторов, а также такими вторичными источниками информации, как обзоры продуктов в журналах и т.п.

На стадии физического  моделирования проектировщик должен точно описать, какие компоненты нужны, в каком количестве, где они будут расположены и как эти компоненты соединяются друг с другом в корпоративную сеть. Этот этап завершается разработкой технического задания.

1.2.6. Разработка технического задания

После того, как  были разработаны бизнес-модель и техническая модель, необходимо разработать техническое задание. Техническое задание базируется в основном на информации, собранной на этапе анализа требований. В сущности техническое задание говорит интегратору: "Вот производственные проблемы нашей фирмы и вот проблемы нашей вычислительной сети. Каким образом вы как проектировщик сети и интегратор можете их решить? Какие проблемы вы можете решить сами, и для решения каких проблем нам необходимо заключить контракт с другими исполнителями?" Это техническое задание необходимо раздать нескольким (по крайней мере трем) сетевым интеграторам, чтобы выяснить их мнение о том, как нужно спроектировать вашу корпоративную сеть. Сложность проектируемой корпоративной сети и опыт вашей фирмы определят глубину и широту охвата вашего технического задания.