Методы и средства информационной безопасности экономического объекта реферат

Обновлено: 02.07.2024

Собрала для вас похожие темы рефератов, посмотрите, почитайте:

Введение

Для предотвращения несанкционированного доступа к вашим компьютерам необходимы средства идентификации и разграничения доступа к информации.

Информационная безопасность и технические меры защиты

Информация является результатом отражения движения объектов материального мира в системах живой природы.

Важным событием последнего десятилетия в области технической защиты информации является появление и развитие концепции аппаратной защиты.

Основные идеи аппаратной защиты следующие:

Необходимость защиты информационных технологий была признана совсем недавно.

В процессе информационного взаимодействия на разных его этапах люди (операторы, пользователи) заняты и используются средства информатизации — технические (ПК, ЛВС) и программные (ОС, ПП). Информация создается людьми, затем трансформируется в данные и представляется в автоматизированных системах в виде электронных документов, которые объединяются в информационные ресурсы. Данные между компьютерами передаются по каналам связи. Во время работы автоматизированной системы данные преобразуются в соответствии с используемой информационной технологией.

Меры технической защиты могут быть дифференцированы соответствующим образом:

аутентификация участников информационного взаимодействия;
защита технических средств от несанкционированного доступа;
разграничение доступа к документам, ресурсам ПК и сети;
защита электронных документов;
защита данных в каналах связи;
защита информационных технологий;
дифференциация доступа к потокам данных.

В следующем разделе рассматриваются виды мер по выявлению и разграничению информации, относящейся к нашей теме.

Методы идентификации и разграничения информации

Идентификация/аутентификация (ИА) участников информационного взаимодействия должна осуществляться на аппаратном уровне до этапа загрузки операционной системы. Базы данных ИА должны храниться в энергонезависимой памяти ЛВС, организованной таким образом, чтобы доступ к ним с помощью ПК был невозможен, т.е. энергонезависимая память должна размещаться вне адресного пространства ПК. Программное обеспечение блока управления должно храниться в памяти блока управления и быть защищено от несанкционированного изменения. Целостность программного обеспечения контроллера должна быть гарантирована технологией производства контроллера LPG. Идентификация производится с помощью отчужденных носителей.

Современные операционные системы все чаще содержат встроенные средства разграничения доступа. Как правило, эти инструменты используют функции конкретной файловой системы (ФС) и основаны на атрибутах, которые тесно связаны с одним из уровней API операционной системы. Это неизбежно приводит к проблемам, по крайней мере, следующим.

Привязка к свойствам файловой системы

Современные операционные системы обычно используют не одну, а несколько ФС — как новые, так и устаревшие. В этом случае, как правило, работает на новой ТС, встроенной в операционную систему, а на старой — может не работать, так как встроенный разъединитель доступа использует существенные отличия новой ТС. Этот факт обычно явно не упоминается в сертификате, что может ввести пользователя в заблуждение. И на самом деле, представим себе, что на компьютере с новой операционной системой используется программное обеспечение, разработанное для предыдущей версии, которое фокусируется на особенностях предыдущей ФС. Пользователь имеет право верить, что установленные механизмы безопасности, сертифицированные и специально разработанные для используемой операционной системы, выполняют свои функции, когда на самом деле они отключены. В реальной жизни такие случаи могут встречаться довольно часто — зачем переписывать задание приложения после смены операционной системы? Кроме того, она должна обеспечить совместимость со старой FS и быть включена в новую операционную систему.

Привязка к API операционной системы

Обычно операционные системы меняются очень быстро — раз в полтора года. Возможно, что они будут меняться еще чаще. Некоторые из этих изменений связаны с изменениями, включая API — например, переход с Win9x на WinNT. Если атрибуты разграничения доступа отражают состав API — при переходе на современную версию операционной системы, настройки безопасности придется переустанавливать, персонал будет проходить переподготовку и т.д. и т.п.

Таким образом, можно сформулировать общее требование — подсистема разграничения доступа должна быть наложена на операционную систему и при этом независима от файловой системы. Конечно, структура атрибутов должна быть достаточной для описания политики безопасности, и описание не должно быть в таких терминах, как API операционной системы, а также в терминах, где обычно работают администраторы безопасности.

Теперь рассмотрим конкретный комплекс мероприятий на программно-аппаратном уровне, направленных на обеспечение информационной безопасности информационных систем.

Здесь можно назначить следующие группы:

универсальные инструменты для ОС;
Брандмауэры.

Борьба с угрозами, присущими сетевой среде, с помощью универсальных операционных систем невозможна. Универсальная операционная система — это огромная программа, которая, помимо очевидных недостатков, вероятно, содержит некоторые возможности, которые могут быть использованы для получения незаконных привилегий. Современные технологии программирования не позволяют сделать такие большие программы безопасными. Кроме того, администратор, имеющий дело со сложной системой, далеко не всегда в состоянии учесть все последствия внесенных изменений (а также врач, который не знает всех побочных эффектов рекомендуемых препаратов). Наконец, в универсальной многопользовательской системе дыры в безопасности постоянно создаются самими пользователями (слабые и/или редко меняющиеся пароли, плохо настроенные права доступа, необслуживаемый терминал и т.д.).

Как упоминалось выше, единственным перспективным направлением является разработка специальных средств защиты, которые в силу своей простоты позволяют проводить формальную или неформальную проверку. Брандмауэр как раз и является таким инструментом, который позволяет осуществлять дальнейшую декомпозицию в связи с работой различных сетевых протоколов.

Брандмауэр — это полупроницаемая мембрана, расположенная между защищенной (внутренней) сетью и внешней средой (внешними сетями или другими сегментами корпоративной сети), которая контролирует все информационные потоки, входящие и выходящие из внутренней сети (Рисунок 1). Управление информационными потоками заключается в их фильтрации, т.е. избирательном прохождении экрана, возможно, с некоторыми проведенными преобразованиями и уведомлением отправителя о том, что его данные в паспорте будут отклонены. Фильтрация основана на наборе предустановленных на экране правил, которые представляют собой выражение сетевых аспектов политики безопасности организации.

Рекомендуется разделять случаи, когда экран устанавливается на границе внешней (обычно публичной) сети или на границе между сегментами корпоративной сети. Соответственно, мы поговорим о внешних и внутренних брандмауэрах.

При общении с внешними сетями обычно используется только семейство протоколов TCP/IP. Поэтому внешний брандмауэр должен учитывать особые функции этих протоколов. Для внутренних брандмауэров ситуация более сложная; здесь, помимо TCP/IP, следует учитывать, по крайней мере, протоколы SPX/IPX, используемые в сетях Novell NetWare. Другими словами: Внутренние экраны часто должны быть многопротокольными. Ситуации, когда корпоративная сеть содержит только один внешний канал, являются скорее исключением, чем правилом. Напротив, типичная ситуация, когда корпоративная сеть состоит из нескольких географически рассредоточенных сегментов, каждый из которых подключен к публичной сети (Рисунок 2). В этом случае каждое соединение должно быть защищено отдельным экраном. Точнее, можно предположить, что внешний корпоративный брандмауэр составлен и что он должен решить проблему скоординированного управления (управления и аудита) всеми компонентами.

Семиуровневая референсная модель ISO/OSI является основой для любого рассмотрения сетевых технологий. Также полезно классифицировать брандмауэры в соответствии с тем, осуществляется ли фильтрация на уровне соединения, сети, транспорта или приложения. Соответственно, можно сделать ссылку на экранирующие концентраторы (уровень 2), маршрутизаторы (уровень 3), транспортное экранирование (уровень 4) и прикладное экранирование (уровень 7). Существуют также сложные экраны, которые анализируют информацию на нескольких слоях.

В этой статье мы не будем рассматривать экранирующие концентраторы, так как они концептуально очень сильно отличаются от экранирующих маршрутизаторов.

Таким образом, возможности брандмауэра напрямую определяются тем, какую информацию можно использовать в правилах фильтрации и насколько мощными могут быть наборы правил. В целом, чем выше уровень в модели ISO/OSI, на котором работает экран, тем больше информации доступно на экране и тем тоньше и надежнее можно настроить экран. В то же время, фильтрация на каждом из вышеупомянутых уровней имеет свои преимущества, такие как низкая стоимость, высокая эффективность или прозрачность для пользователей. По этой причине, как и по некоторым другим причинам, в большинстве случаев используются смешанные конфигурации, сочетающие различные типы экранов. Наиболее распространенной является комбинация экранирующих маршрутизаторов и экрана приложений.

Помимо выразительности и допустимого количества правил, качество брандмауэра определяется двумя другими очень важными характеристиками — удобством использования и самозащитой. С точки зрения удобства использования, четкий интерфейс при настройке правил фильтрации и возможность централизованного управления сложными конфигурациями имеют первостепенное значение. В последнем аспекте, с другой стороны, было бы желательно предусмотреть средства для централизованной загрузки правил фильтрации и проверки набора правил на непротиворечивость. Также важным является централизованный сбор и анализ регистрационной информации и получение сигналов о попытках совершения действий, запрещенных политикой безопасности.

Собственная защита брандмауэра обеспечивается теми же средствами, что и защита универсальных систем. При выполнении централизованного управления все равно необходимо обеспечить защиту информации от пассивного и активного перехвата сети, то есть обеспечить ее (информации) целостность и конфиденциальность.

Вид экранирования (фильтрации) как защитного механизма очень глубокий. Помимо блокирования потоков данных, нарушающих политики безопасности, брандмауэр также может скрывать информацию о защищаемой сети, что затрудняет действия потенциальных злоумышленников. Например, окно приложения может действовать от имени субъектов внутренней сети, создавая впечатление, что только брандмауэр взаимодействует (рисунок 4). Такой подход скрывает топологию внутренней сети от внешних пользователей, что значительно усложняет задачу злоумышленника.

Заключение

В области защиты компьютерной информации дилемма безопасности сформулирована следующим образом: Необходимо выбирать между безопасностью системы и открытостью. Однако правильнее говорить о равновесии, чем о выборе, поскольку система, не обладающая свойством открытости, не может быть использована.

Список литературы

Образовательный сайт для студентов и школьников

Согласно Доктрине информационной безопасности РФ общие методы обеспечения информационной безопасности РФ разделяются на правовые, организационно-технические и экономические.

Экономические методы обеспечения информационной безопасности РФ включают в себя:

разработку программ обеспечения информационной безопасности РФ и определение порядка их финансирования;

совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов защиты информации, создание системы страхования информационных физических и юридических лиц.

Государственная политика обеспечения информационной безопасности определяет основные направления деятельности федеральных органов государственной власти и органов государственной власти в РФ в этой области, порядок закрепления их обязанностей по защите интересов РФ в информационной сфере в рамках направлений их деятельности и базируется на соблюдении баланса интересов личности, общества и государства в информационной сфере.

Методы и средства информационной безопасности экономического объекта

Методами обеспечения защиты информации на предприятии являются следующие: Препятствие – метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.п.). ^ Управление доступом – метод защиты информации регулированием использования всех ресурсов автоматизированной информационной системы предприятия. Управление доступом включает следующие функции защиты:

идентификацию пользователей, персонала и ресурсов информационной системы (присвоение каждому объекту персонального идентификатора);

аутентификацию (установления подлинности) объекта или субъекта по предъявленному им идентификатору;

проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту);

регистрацию обращений к защищаемым ресурсам;

реагирование (сигнализация, отключение, задержка работ, отказ в запросе при попытках несанкционированных действий).

Людям свойственно защищать свои секреты. Развитие информационных технологий, их проникновение во все сферы человеческой деятельности приводит к тому, что проблемы информационной безопасности с каждым годом становятся всё более и более актуальными – и одновременно более сложными. Технологии обработки информации непрерывно совершенствуются, а вместе с ними меняются и практические методы обеспечения информационной безопасности. Действительно, универсальных методов защиты не существует, во многом успех при построении механизмов безопасности для реальной системы будет зависеть от её индивидуальных особенностей, учёт которых плохо подаётся формализации. Поэтому часто информационную безопасность рассматривают как некую совокупность неформальных рекомендаций по построению систем защиты информации того или иного типа.[1]

Информационная сфера сегодня – не только одна из важнейших сфер международного сотрудничества, но и объект соперничества. Страны с более развитой информационной инфраструктурой, устанавливая технологические стандарты и предоставляя потребителям свои ресурсы, определяют условия формирования и осуществления деятельности информационных инфраструктур в других странах, оказывают воздействие на развитие их информационной сферы. Поэтому в промышленно развитых странах при формировании национальной политики приоритет получают развитие средств защиты и обеспечение безопасности информационной сферы.

Специалист в области информационной безопасности отвечает за разработку, создание и эксплуатации системы, призванной обеспечить целостность, доступность и конфиденциальность циркулирующей в организации информации. В его функции входит обеспечение физической защиты (аппаратные средства, компьютерные сети), а также защиты данных и программного обеспечения.

Обеспечение информационной безопасности – дело не только очень дорогостоящее (затраты на покупку и установку технических и программных средств защиты могут составлять более половины стоимости компьютерной техники), но и очень сложное: при создании системы безопасности информации трудно определить возможные угрозы и уровень необходимой защиты, требуемый для поддержания информационной системы в рабочем состоянии.

Современное информационное общество может формироваться и эффективно развиваться только в условиях правового государства, основанного на безусловном применении норм законодательства. Роль права в жизни информационного общества становится определяющей, все его члены должны исполнять нормы законов и разрешать возникающие споры цивилизованным способом на основе законодательства. [2]

Основные понятия защиты информации и информационной безопасности

Современные методы обработки, передачи и накопления информации способствовали появлению угроз, связанных с возможностью потери, искажения и раскрытия данных. Поэтому обеспечение информационной безопасности является одним из ведущих направлений развития информационных технологий.

Рассмотрим основные понятия защиты информации и информационной безопасности:

Защита информации – деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.

Объект защиты – сама информация, носитель информации или информационный процесс, в отношении которых необходимо осуществлять защиту в соответствии с поставленной целью защиты информации.

Цель защиты информации – желаемый результат защиты информации. Целью защиты информации может являться предотвращение ущерба собственнику, владельцу, пользователю информации в результате возможной потери (утечки) информации или несанкционированного и непреднамеренного воздействия на информацию.

Эффективность защиты информации – степень соответствия результатов защиты информации по отношению к поставленной цели.

Защита информации от утечки – деятельность по предотвращению распространения защищаемой информации (её разглашения), несанкционированного доступа к защищаемой информации и получения защищаемой информации злоумышленниками.

Защита информации от разглашения – предотвращение несанкционированного доведения защищаемой информации до неконтролируемого количества получателей информации.

Защита информации от несанкционированного доступа – предотвращение получения защищаемой информации заинтересованным субъектом с нарушением установленных правовыми документами, собственником либо владельцем информации правил доступа к защищаемой информации. Заинтересованным субъектом может быть юридическое лицо, группа физических лиц, общественная организация, отдельное физическое лицо и даже государство.

Система защиты информации – совокупность органов и исполнителей, используемая ими техника защиты информации, а также объекты защиты, организованные и функционирующие по установленным правилам, которые соответствуют правовым, организационно-распорядительным и нормативным документам по защите информации.

Под информационной безопасностью понимают защищённость информации от незаконного ознакомления, преобразования и уничтожения, а также защищённость информационных ресурсов от воздействий, направленных на нарушение их работоспособности. Природа этих воздействий может быть самой разнообразной. (попытки проникновения злоумышленников, ошибки персонала, выход из строя аппаратных и программных средств, стихийные бедствия (ураган, землетрясение, пожар) и т. п.)[3]

Классификация и содержание возможных угроз информации

Угрозы безопасности информации в современных системах её обработки определяются умышленными (преднамеренные угрозы) и естественными (непреднамеренные угрозы), разрушающими и искажающими воздействия внешней среды, надёжностью функционирования средств обработки информации, а также преднамеренных корыстным воздействием несанкционированных пользователей, целями которых являются хищение, уничтожение, разрушение, несанкционированная модификация и использование обрабатываемой информации. При этом под умышленными, или преднамеренными, понимаются такие угрозы, которые обусловливаются злоумышленными действиями людей.

Случайными, или естественными, являются угрозы, не зависящие от воли людей. В настоящее время принята следующая классификация угроз сохранности (целостности) информации.

Источники угроз. Под источником угроз понимается непосредственный исполнитель угрозы с точки зрения её негативного воздействия на информацию. Источники можно разделить на следующие группы:

— модели, алгоритмы, программы;

— технологические схемы обработки;

Предпосылки появления угроз. Существуют следующие предпосылки, или причины появления угроз:

— объективные (количественная или качественная недостаточность элементов системы) – не связанные непосредственно с деятельностью людей и вызывающие случайные по характеру происхождения угрозы;

— субъективные – непосредственно связанные с деятельностью человека и вызывающие как преднамеренные (деятельность разведок иностранных государств, промышленный шпионаж, деятельность уголовных элементов и недобросовестных сотрудников), так и непреднамеренные (плохое психофизиологическое состояние, недостаточная подготовка, низкий уровень знаний) угрозы информации.[4]

Угрозы информационным ресурсам проявляются в овладении конфиденциальной информацией, её модификации в интересах злоумышленника или её разрушении с целью нанесения материального ущерба.

Осуществление угроз информационной безопасности может быть произведено:

· через агентурные источники в органах коммерческих структур, государственного управления, имеющих возможность получения конфиденциальной информации;

· путём подкупа лиц, работающих на предприятии или в структурах, непосредственно связанных с его деятельностью;

· путём перехвата информации, циркулирующей в средствах и системах связи и вычислительной техники, с помощью технических средств разведки и программно-математических воздействий на неё в процессе обработки и хранения;

· путём подслушивания переговоров, ведущихся в служебных помещениях, автотранспорте, в квартирах и на дачах;

· через переговорные процессы с зарубежными или отечественными фирмами, используя неосторожное обращение с информацией.

Способы и методы защиты информационных ресурсов

Вместе с развитием способов и методов преобразования и передачи информации постоянно развиваются и методы обеспечения её безопасности. Современный этап развития этой проблемы характеризуется переходом от традиционного её представления как проблемы защиты информации к более широкому пониманию – проблеме информационной безопасности, заключающейся в комплексном её решении по двум основным направлениям.

К первому можно отнести защиту государственной тайны и конфиденциальных сведений, обеспечивающую главным образом невозможность несанкционированного доступа к ним. При этом под конфиденциальными сведениями понимаются сведения ограниченного доступа общественного характера (коммерческая тайна, партийная тайна и т. д.).

Ко второму направлению относится защита от информации, которая в последнее время приобретает международный масштаб и стратегический характер. При этом выделяют три основных направления защиты от так называемого информационного оружия (воздействия):

– на технические системы и средства;

В соответствии с этим подходом уточнены и дополнены множества угроз информации, функции и классы задач по защите информации.[6]

Установление градаций важности защиты защищаемой информации (объекта защиты) называют категорированием защищаемой информации.[7]

Обеспечение безопасности информации требует сохранения следующих её свойств:

Целостность информации заключается в её существовании в неискажённом виде, т. е. неизменном по отношению к её исходному состоянию. Под целостностью информации понимается свойство информации сохранять свою структуру и/или содержание в процессе передачи и хранения.

Доступность – свойство, характеризующее способность информации обеспечивать своевременный и беспрепятственный доступ пользователей к интересующим их данным.

Конфиденциальность – свойство, указывающее на необходимость введения ограничений на доступ к ней определённого круга пользователей, а также статус, предоставленный данным и определяющий требуемую степень их защиты.[8]

Деятельность, направленную на обеспечение информационной безопасности, принято называть защитой информации.

Методы обеспечения информационной безопасности весьма разнообразны.

Сервисы сетевой безопасности представляют собой механизмы защиты информации, обрабатываемой в распределённых вычислительных системах и сетях. Инженерно–технические методы ставят своей целью обеспечение защиты информации от утечки по техническим каналам – например, за счёт перехвата электромагнитного излучения или речевой информации. Правовые и организационные методы защиты информации создают нормативную базу для организации различного рода деятельности, связанной с обеспечением информационной безопасности. Теоретические методы обеспечения информационной безопасности, в свою очередь, решают две основных задачи. Первая из них – это формализация разного рода процессов, связанных с обеспечением информационной безопасности. Так, например, формальные модели управления доступом позволяют строго описать все возможные информационные потоки в системе – а значит, гарантировать выполнение требуемых свойств безопасности. Отсюда непосредственно вытекает вторая задача – строгое обоснование корректности и адекватности функционирования систем обеспечения информационной безопасности при проведении анализа их защищённости. Такая задача возникает, например, при проведении сертификации автоматизированных систем по требованиям безопасности информации.[9]

Что касается подходов к реализации защитных мероприятий по обеспечению информационной безопасности, то сложилась трёхстадийная разработка таких мер.

I стадия – выработка требований – включает:

· определение состава средств информационной системы

· анализ уязвимых элементов информационной системы

· оценка угроз (выявление проблем, которые могут возникнуть из-за наличия уязвимых элементов)

· анализ риска (прогнозирование возможных последствий, которые могут вызвать эти проблемы)

II стадия – определение способов защиты – включает ответы на следующие вопросы:

· какие угрозы должны быть устранены и в какой мере?

· какие ресурсы системы должны быть защищаемы и в какой степени?

· с помощью каких средств должна быть реализована защита?

· какова должна быть полная стоимость реализации защиты и затраты на эксплуатацию с учётом потенциальных угроз?

III стадия – определение функций, процедур и средств безопасности, реализуемых в виде некоторых механизмов защиты.[10]

Первоочередными мероприятиями по реализации политики обеспечения информационной безопасности государства являются:

· разработка и внедрение механизмов реализации правовых норм, регулирующих отношения в информационной сфере, а также подготовка концепции правового обеспечения информационной безопасности;

· разработка и реализация механизмов повышения эффективности государственного руководства деятельностью государственных средств массовой информации, осуществления государственной информационной политики;

· принятие и реализация федеральных программ, предусматривающих формирование общедоступных архивов информационных ресурсов, повышение правовой культуры и компьютерной грамотности общества, комплексное противодействие угрозам информационной войны, создание безопасных информационных технологий для систем, используемых в процессе реализации жизненно важных функций общества и государства, пресечение компьютерной преступности, создание информационно-телекоммуникационной системы специального назначения;

· развитие системы подготовки кадров, используемых в области обеспечения информационной безопасности.[11]

Реализация вышеперечисленных мер, обеспечивающих безопасность информационных ресурсов, существенно повышает эффективность всего процесса информатизации в организации, обеспечивая целостность, подлинность и конфиденциальность дорогостоящей деловой информации, циркулирующей в локальных и глобальной информационных средах.[12]

Процесс информатизации затронул практически все стороны жизни общества. Информатизация является характерной чертой жизни современного общества. Она пропитывает все направления человеческой деятельности. С появлением новых информационных технологий информация становится необходимым атрибутом обеспечения деятельности государств, юридических лиц, общественных объединений и граждан. От качества и достоверности информации, от её оперативности получения зависят многие решения, принимаемые на самых разных уровнях – от глав государств до рядового гражданина.

Обеспечение информационной безопасности – комплексная задача, потому что сама информационная среда есть сложный и многоплановый механизм, где могут присутствовать такие компоненты, как персонал, электронное оборудование, программное обеспечение и т. д.

Для решения многих проблем обеспечения информационной безопасности необходимо применение следующих мер: законодательных, организационных и программно-технических. Игнорирование хотя бы одного из аспектов этой проблемы может привести к потере (утечке) информации, которая в жизни современного общества приобретает всё более важное значение и играет немаловажные роли.

Список литературы

1) Цирлов В.Л. Основы информационной безопасности автоматизированных систем. краткий курс М.: Изд-во Феникс 2008.

5) Основы информационной безопасности. Учебное пособие для вузов / Е. Б. Белов, В. П. Лось, Р. В. Мещеряков, А. А. Шелупанов. – М.: Горячая линия – Телеком, 2006. – 544 с.: ил.

[1] Цирлов В.Л. Основы информационной безопасности автоматизированных систем. краткий курс М.: Изд-во Феникс 2008

[5] Основы информационной безопасности. Учебное пособие для вузов / Е. Б. Белов, В. П. Лось, Р. В. Мещеряков,

А. А. Шелупанов. – М.: Горячая линия – Телеком, 2006. – 544 с.: ил.

[9] Цирлов В.Л. Основы информационной безопасности автоматизированных систем. краткий курс М.: Изд-во Феникс 2008

[10] Основы информационной безопасности. Учебное пособие для вузов / Е. Б. Белов, В. П. Лось, Р. В. Мещеряков,

А. А. Шелупанов. – М.: Горячая линия – Телеком, 2006. – 544 с.: ил.

[11] Основы информационной безопасности. Учебное пособие для вузов / Е. Б. Белов, В. П. Лось, Р. В. Мещеряков, А. А. Шелупанов. – М.: Горячая линия – Телеком, 2006. – 544 с.: ил.

Как работаем и отдыхаем в 2022 году ?

Информационная безопасность (ИБ) – это защищенность данных от негативных воздействий, которые могут нанести урон. Для обеспечения ИБ применяются методы защиты информации.

Вопрос: Как отразить в учете организации (пользователя) приобретение неисключительных прав на использование программы для ЭВМ (средств криптографической защиты информации) на условиях простой (неисключительной) лицензии? Лицензионный договор с лицензиаром (правообладателем) заключен в виде договора присоединения.
Посмотреть ответ

Базовые элементы информационной безопасности

Рассмотрим основные составляющие информационной безопасности:

Доступность. Предполагает доступ субъектов к необходимой информации. Под субъектами понимаются компании, которые имеют право на доступ к соответствующим данным.
Целостность. Сведения должны быть защищены от незаконного видоизменения, порчи.
Конфиденциальность. Предполагает защищенность от несанкционированного доступа к данным.

Категории относятся как к самой информации, так и к инфраструктуре, с помощью которой хранятся сведения.

Разновидности угроз информационной безопасности

Угроза – это то, что может нанести урон ИБ. Ситуация, предполагающая угрозу, называется атакой. Лицо, которое наносит атаку ИБ, – это злоумышленник. Также существуют потенциальные злоумышленники. Это лица, от которых может исходить угроза.

Угрозы доступности

Частая угроза доступности – это непредумышленные ошибки лиц, работающих с информационной системой. К примеру, это может быть введение неверных данных, системные ошибки. Случайные действия сотрудников могут привести к потенциальной угрозе. То есть из-за них формируются уязвимые места, привлекательные для злоумышленников. Это наиболее распространенная угроза информационной безопасности. Методами защиты являются автоматизация и административный контроль.

Рассмотрим подробнее источники угроз доступности:

Нежелание обучаться работе с информационными системами.
Отсутствие у сотрудника необходимой подготовки.
Отсутствие техподдержки, что приводит к сложностям с работой.
Умышленное или неумышленное нарушение правил работы.
Выход поддерживающей инфраструктуры из обычного режима (к этому может привести, к примеру, превышение числа запросов).
Ошибки при переконфигурировании.
Отказ ПО.
Нанесение вреда различным частям инфраструктуры (к примеру, проводам, ПК).

Большая часть угроз относится к самим сведениям. Однако вред может быть также нанесен инфраструктуре. К примеру, это могут быть сбои в работе связи, систем кондиционирования, нанесение вреда помещениям.

Угрозы целостности

Центральная угроза целостности – это воровство и подлоги. Возникают они вследствие действий сотрудников компании. Согласно данным издания USA Today, в 1992 году вследствие рассматриваемых причин был нанесен совокупный ущерб в размере 882 000 000 долларов. Рассмотрим примеры источников угроз:

Ввод неправильных данных.
Изменение сведений.
Подделка заголовка.
Подделка всего текста письма.
Отказ от исполненных действий.
Дублирование информации.
Внесение дополнительных сведений.

Внимание! Угроза нарушения целостности касается и данных, и самих программ.

Базовые угрозы конфиденциальности

Базовая угроза конфиденциальности – это использование паролей злоумышленниками. Благодаря знанию паролей заинтересованные лица могут получить доступ к конфиденциальным сведениям. Источники угрозы конфиденциальности:

Использование многоразовых паролей с сохранением их на источниках, к которым могут получить доступ злоумышленники.
Использование одних и тех же паролей в различных системах.
Размещение информации в среде, которая не обеспечивает конфиденциальность.
Использование злоумышленниками технических средств. К примеру, прослушивающие устройства, специальные программы, фиксирующие введенный пароль.
Выставки, на которых презентуется оборудование с конфиденциальными сведениями.
Хранение сведений на резервных носителях.
Распространение информации по множеству источников, что приводит к перехвату сведений.
Оставление ноутбуков без присмотра.
Злоупотребление полномочиями (возможно при обслуживании инфраструктуры системным администратором).

Суть угрозы конфиденциальности кроется в том, что злоумышленник получает доступ к данным в момент наибольшей их неуязвимости.

Методы защиты информации

Методы защиты, как правило, используются в совокупности.

Инструменты организационно-правовой защиты

Основным инструментом организационно-правовой защиты являются различные организационные мероприятия, осуществляемые в процессе формирования инфраструктуры, с помощью которой хранится информация. Данные инструменты применяются на этапе возведения зданий, их ремонта, проектирования систем. К инструментам организационно-правовой защиты относятся международные договоры, различные официальные стандарты.

Инструменты инженерно-технической защиты

Инженерно-технические средства – это различные объекты, обеспечивающие безопасность. Их наличие обязательно нужно предусмотреть при строительстве здания, аренде помещения. Инженерно-технические инструменты обеспечивают такие преимущества, как:

Защита помещения компании от действий злоумышленников.
Защита хранилищ информации от действий заинтересованных лиц.
Защита от удаленного видеонаблюдения, прослушивания.
Предотвращение перехвата сведений.
Создание доступа сотрудников в помещение компании.
Контроль над деятельностью сотрудников.
Контроль над перемещением работников на территории компании.
Защита от пожаров.
Превентивные меры против последствий стихийных бедствий, катаклизмов.

Все это – базовые меры безопасности. Они не обеспечат полную конфиденциальность, однако без них невозможна полноценная защита.

Криптографические инструменты защиты

Шифрование – базовый метод защиты. При хранении сведений в компьютере используется шифрование. Если данные передаются на другое устройство, применяются шифрованные каналы. Криптография – это направление, в рамках которого используется шифрование. Криптография используется в следующих целях:

КСТАТИ! Криптография – это более продвинутый метод обеспечения защиты сведений.

Программно-аппаратные инструменты для защиты сведений

Программно-аппаратные инструменты включены в состав технических средств. К примеру, это могут быть:

Инструменты для ввода сведений, нужных для идентификации (идентификация по отпечаткам пальцев, магнитные и пластиковые карты доступа).
Инструменты для шифрования данных.
Оборудование, предупреждающее несанкционированное использование систем (к примеру, электронные звонки, блокираторы).
Инструменты для уничтожения сведений на носителях.
Сигнализация, срабатывающая при попытках несанкционированных манипуляций.

В качестве этих инструментов могут выбираться разные программы. Предназначаются они для идентификации пользователей, ограничения доступа, шифрования. Для полноценной защиты применяются и аппаратные, и программные инструменты. Комплекс мер обеспечивает наивысшую степень защиты. Однако руководитель должен помнить, что добиться стопроцентной защиты невозможно. Всегда остаются слабые места, которые нужно выявлять.

Читайте также: