Основные положения теории информационной безопасности информационных систем реферат

Обновлено: 04.07.2024

Постоянное совершенствование сети Интернет и ее повсеместное распространение привело к появлению принципиально нового вида связи, основанного на использовании Интернет протоколов и IP-серверов, преобразующих привычный голосовой сигнал в цифровой формат. Такая связь получила название IP или VoIP телефония. Данная технология позволила превратить такую незаменимую вещь, как телефонные переговоры, в удобный, качественный, универсальный и, что немаловажно, дешевый инструмент общения, который стал доступен каждому.

Одновременно с этим тарифы IP-телефонии позволяют добиться существенной экономии денежных средств по сравнению с классическими системами телефонных сетей. Причиной тому является все та же глобальная сеть Интернет, ресурсы которой позволяют обмениваться любой информацией вне зависимости от ее формата. Это чрезвычайно удобно и практично, а главное — действительно экономично.

Так же, неоспоримым преимуществом IP-телефонии является отсутствие такого понятия как занятая линия. Абонент может принимать один вызов, не прерывая при этом другой, организовывать конференцсвязь, ставить вызовы в удержание.

Однако, так или иначе, подключение IP-телефонии требует наличия специализированного оборудования, которое еще совсем недавно не являлось распространенным и общедоступным. Но технологии и их развитие не стоят на месте, каждодневно упрощая и оптимизируя аппаратные средства, делая их, что называется, по карману широкой массе потребителей. Именно так ip АТС стали доступны и популярны во всех без исключения западных странах и, не сбавляя своих оборотов, плавно перетекают на отечественный рынок, где их популярность продолжает расти.

Отличительные особенности и актуальность IP-телефонии неоспоримы. Но все же, являясь достаточно сложной и высокоинтеллектуальной технологией, подобное средство связи и все сопутствующее оборудование нуждаются в профессиональной установке и настройке.

В современном мире информация является одним из ценнейших ресурсов, поэтому ее защита – важная задача. Немалую роль в работе организации любого уровня играют телефонные переговоры. В силу возрастающей популярности IP-телефонии, все острее встает вопрос обеспечения ее безопасности в общем и конфиденциальности разговоров в частности.

Знание основных источников опасности для сетей IP-телефонии, а также понимание методов устранения этих угроз поможет сохранить репутацию и финансовые ресурсы компании. Не смотря на то, что в статье описаны решения под бесплатную платформу Asterisk, проблематика актуальна для любых других платформ IP-телефонии.

Назначение и структура АТС Asterisk.

Логотип компании Asterisk

Asterisk в комплексе с необходимым оборудованием обладает всеми возможностями классической АТС, поддерживает множество VoIP-протоколов и предоставляет богатые функции управления звонками, среди них:

Голосовая почта
Конференц-связь
IVR (интерактивное голосовое меню)
Центр обработки звонков (постановка звонков в очередь и распределение их по абонентам, используя различные алгоритмы)
Call Detail Record (подробная запись о вызове)

Для создания дополнительной функциональности можно воспользоваться собственным языком Asterisk для написания плана нумерации, написав модуль на языке Си, либо воспользовавшись AGI — гибким и универсальным интерфейсом для интеграции с внешними системами обработки данных. Модули, выполняющиеся через AGI, могут быть написаны на любом языке программирования.

Asterisk распространяется на условиях двойной лицензии, благодаря которой одновременно с основным кодом, распространяемым по открытой лицензии GNU GPL, возможно создание закрытых модулей, содержащих лицензируемый код: например, модуль для поддержки кодека G.729.

Благодаря свободной лицензии Asterisk активно развивается и поддерживается тысячами людей со всей планеты.

Марк Спенсер, создатель программы, основал компанию Linux Support Services. Спенсер хотел организовать 24-часовую службу голосовой поддержки, однако начальный бюджет компании в 4000 долларов не позволял приобрести крайне дорогие системы Call-центров. В 2001 в связи с кризисом доткомов у Linux Support Services начались проблемы, и Спенсер начал думать, что разработка программной АТС с открытыми исходными текстами может оказаться интереснее, чем поддержка пользователей Linux. Джим Диксон из Zapata Telephony предложил бизнес-модель для Asterisk. Тогда же и поменялось название компании — с Linux Support Services на Digium.

Asterisk может работать как с аналоговыми линиями (FXO/FXS модули), так и цифровыми (ISDN, BRI и PRI — потоки Т1/E1). С помощью определённых компьютерных плат Asterisk можно подключить к высокопропускным линиям Т1/E1, которые позволяют работать параллельно с десятками телефонных соединений. Полный список поддерживаемого оборудования для соединения с телефонной сетью общего пользования определяется поддержкой оборудования в модулях ядра, например:

Поддерживаются следующие протоколы:

SIP,
H.323,
IAX2,
MGCP,
SIMPLE,
Skinny/SCCP,
XMPP (Google Talk),
Unistim,
Skype, через коммерческий канал.

Возможно транслировать текст и видеосигналы (например, использовать видеофон). Кроме того, реализована работа с другими компьютерными протоколами:

DUNDi — протокол, также разработанный Digium.
OSP.
T.38, поддерживается передача факсов.

Поддержка широкого спектра оборудования и компьютерных протоколов позволяет организовывать огромное количество сценариев взаимодействия сетей, получения и обработки информации.

Настройка и программирование производится с помощью нескольких механизмов:

диалплан, который пишется на специальном языке. Доступна как старая версия, так и новая — AEL, а также на языке Lua.
AGI.
AMI.
Конфигурация из баз данных.

Расширение выполняемых функций также возможно путём написания на языке Си нового модуля, что возможно благодаря подробной Doxygen-документации.

Для работы с Asterisk создано множество графических интерфейсов.

Удаленное управление АТС так же может осуществляться с помощью библиотеки libamc.

Преимущества АТС на базе Asterisk

Основные технические характеристики телефонной VOIP- cети и системы Asterisk.

IP АТС - как известно это телефонная станция, в основе которой лежат протоколы передачи голоса поверх IP-сети (VoIP - Voice over IP). Из этого следует, что основным типом абонентских устройств являются IP-телефоны, а способом подключения внешних линий - регистрация на SIP-сервере провайдера. Однако Asterisk также способен работать с обычными телефонными линиями. При помощи различных моделей плат Digium Asterisk превращается в гибридную АТС, обеспечивая прозрачное взаимодействие между различными поколениями телефонной сети.

Asterisk поддерживает любое оборудования для Voice over IP (VoIP). Устройства различных производителей VoIP-оборудования можно подключать без особых проблем.

Большая часть возникающих задач решается при помощи веб-интерфейса настройки станции - FreePBX. FreePBX также позволяет администратору делать отчеты по статистики звонков, строить графики загрузки линий и операторов. В случае если требуется более тщательный контроль над абонентами, используется полноценная биллинговая система.

При помощи AsteriskNow можно решать целый ряд актуальных задач, таких как объединение офисов в единый номерной план, экономия на переговорах, обработка входящих звонков в большом количестве, проведение исходящих маркетинговых кампаний, контроль качества за счет записи разговоров, мобильность пользователей. Для примера на рисунке 3 показана схема телефонной инфраструктуры компании, построенной на базе Asterisk IP-PBX.

Схема телефонной инфраструктуры, построенной на базе Asterisk

AsteriskNow обладает развитыми возможностями по интеграции со сторонними внешними системами. При помощи скрипта, созданного по 18 спецификации Asterisk Gateway Interface (AGI), обработку звонка можно передать программе, написанной практически на любом языке программирования. Это позволяет задействовать в телефонии всю мощь высокоуровневых языков. Точно так же, как CGI оживил веб, AGI встраивает телефонию в любые бизнес-приложения. Более того, на сегодня уже существуют готовые компоненты для популярных продуктов. Например, можно свободно скачать и использовать модуль интеграции Asterisk и открытой системы SugarCRM.

Протокол SIP предлагает все, потенциально востребованные возможности, используемые в Интернет технологиях, такие как:

передача вызовов или мультимедийных данных
конференцсвязь
удержание вызовов

Вследствии того, что SIP - это довольно гибкий протокол, есть возможность расширения его возможностей с сохранением обратной совместимости.
В основу протокола рабочая группа MMUSIC заложила следующие принципы:

Коды ответа, используемые в SIP протоколе

1xx: Промежуточные коды — подтверждают прием запроса, продолжается его обработка;

2xx: Успешное выполнение — запрос был успешно принят, распознан и подтвержден;
3xx: Переадресация — для завершения выполнения запроса должны быть предприняты дополнительные действия;
4xx: Ошибка клиента — в запросе содержаться ошибки синтаксиса или он не может быть обработан данным сервером;
5xx: Ошибка сервера — сервер не смог выполнить правильно сформированный запрос;
6xx: Глобальная ошибка — запрос не может быть выполнен ни одним сервером.

Сценарий соединения по протоколу SIP

Программные управляющие устройства и программное обеспечение АТС Asterisk.

Asterisk - программный продукт, работающий под средой Linux, воплощающий собой телефонную станцию. Данная телефонная станция имеет в себе множество различных функций, чтобы обеспечить гибкость настройки под любые нужды пользователя.

Первый вариант предполагает больше гибкости и более широкие возможности, а второй – более простую настройку и управление.

Для офисных задач и задач малого предприятия реализация сложной логики не важна. Поэтому здесь ориентируемся на построение более простой системы, предназначенной для обслуживания до 100 внутренних телефонов при многоканальных входных линиях от одного или нескольких телефонных операторов.

Разработка структуры сети IP-телефонии, выбор оборудования и настройка ЛС.

Предприятие располагается на 2 этажах здания, и занимает общую площадь 900 м². Каждый этаж по 450 м². В компании уже организованна локальная сеть, которая включает в себя 40 компьютеров, сервер, и 2 коммутатора на 48 портов. При внедрении существующей локальной сети владелец заранее спланировал последующее внедрение IP-телефонии поэтому и установил коммутаторы с большим количеством портов на запас. В здании уже установлены короба для прокладки кабеля и есть шахта между этажами. Подробный план здания и расположение оборудования указан на рисунках 7 и 8.

В здании предприятия будет использоваться 32 IP телефонов Panasonic KX-HDV130, сервер Asterisk, 2 коммутатора D-Link DGS-1210-52 / C1A, кабель витая пара UTP. Коммутаторы мы закупать не будем, потому что данные коммутаторы, как писалось ранее, были уже установлены организацией и использовались для создания LAN сети компьютеров. Портов для подключения компьютеров и телефонов хватит.

Схема сети IP телефонии 1го этажа

Схема сети IP телефонии 2го этажа

Построение и применение VLAN на малом предприятии.

VLAN (Virtual Local Area Network) — группа устройств, имеющих возможность взаимодействовать между собой напрямую на канальном уровне, хотя физически при этом они могут быть подключены к разным сетевым коммутаторам. И наоборот, устройства, находящиеся в разных VLAN'ах, невидимы друг для друга на канальном уровне, даже если они подключены к одному коммутатору, и связь между этими устройствами возможна только на сетевом и более высоких уровнях.

В здании предприятия, с общей площадью в 900 м², находятся 40 рабочих станций, 1 сервер, 2 коммутатора. Маска подсети: 255.255.255.224

Для учеников 1-11 классов и дошкольников
Бесплатные сертификаты учителям и участникам

на тему “Информационная безопасность”

Расулов Хайрула Рамазанович

В любой сфере знаний и жизни используется информация. Доступность информационных ресурсов необходима для полноценного развития общества, но в то же время информация нуждается в защите.

1. Национальные интересы РФ в информационной сфере. Нормативно-правовое обеспечение информационной безопасности РФ
2. Общие направления и методы обеспечения информационной безопасности
3. Методы и средства защиты электронной информации
Список использованных источников

1. Национальные интересы РФ в информационной сфере. Нормативно-правовое обеспечение информационной безопасности РФ

Статья 128 Гражданского кодекса РФ определяет информацию как объект гражданских правоотношений. Рассматривая информацию с этих позиций, необходимо обращать внимание на особенности юридической защиты информации как объекта права собственности. Исторически традиционным объектом права собственности является материальный предмет. Информация, не являясь материальным субъектом окружающего мира, неразрывно связана с физическим субстратом: это мозг человека или отчужденные от него материальные носители (книга, флеш-карта и др.). Рассматривая информацию как отражение действительности человеком, можно говорить об информации как о некой неовеществленной материи, проявляющейся только при наличии носителя.

В Концепции национальной безопасности РФ под национальными интересами России понимается совокупность сбалансированных интересов личности, общества и государства в экономической, внутриполитической, социальной, международной, информационной, военной, пограничной, экологической и других сферах. Они носят долгосрочный характер и определяют основные цели, стратегические и текущие задачи внутренней и внешней политики государства.

В современном мире суверенности государств и наций угрожают новые опасности, связанные с информационной сферой. Информация, которая играет ведущую роль в развитии современного государства и общества, может подвергаться преднамеренному или непреднамеренному искажению, порче, уничтожению – и все это будет отрицательно сказываться на благосостоянии нации и ее отдельных представителей. Поэтому сегодня информационная сфера включена в число объектов, нуждающихся в защите в целях сохранения целостности общества и государства. Таким образом, информационная безопасность Российской Федерации является частью системы национальной безопасности.

Концепция национальной безопасности РФ определяет, что национальные интересы России в информационной сфере заключаются в соблюдении конституционных прав и свобод граждан в области получения информации и пользования ею, в развитии современных телекоммуникационных технологий, в защите государственных информационных ресурсов от несанкционированного доступа. Концепция предусматривает также защиту культурного, духовно-нравственного наследия, исторических традиций и норм общественной жизни. Но наиболее полно понятие информационной безопасности отражено в Доктрине информационной безопасности РФ от 09.09.2000 г. № Пр-1895, развивающей основные положения Концепции национальной безопасности РФ применительно к информационной сфере. Она состоит из четырех разделов и включает в себя 11 глав.

Содержательно Доктрина раскрывает понятие информационной безопасности Российской Федерации, ее национальные интересы в информационной сфере, виды и источники угроз информационной безопасности Российской Федерации, состояние информационной безопасности РФ и основные задачи по ее обеспечению, общие методы обеспечения информационной безопасности Российской Федерации; особенности их применения в различных сферах общественной жизни, международное сотрудничество РФ в области информационной безопасности, принципы организации системы ее обеспечения в РФ.

Под информационной безопасностью Российской Федерации здесь понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

Интересы личности в информационной сфере связаны с реализацией конституционных прав человека на доступ к информации и на ее использование для осуществления не защищенной законом деятельности, физического, духовного и интеллектуального развития. Отдельно можно выделить право на защиту личной или иной информации, обеспечивающей физическую и психологическую безопасность человека.

Интересы общества в информационной сфере заключаются в обеспечении интересов личности в этой области, а также упрочении демократии, создании правового социального государства, достижении и поддержании общественного согласия. В качестве особой задачи Доктрина выделяет духовное обновление России.

Интересы государства в информационной сфере заключаются в создании условии для гармоничного развития российской информационной инфраструктуры, для реализации конституционных прав и свобод человека и гражданина в области получения информации и пользования ею в целях обеспечения незыблемости конституционного строя, суверенитета и территориальной целостности России, политической, экономической и социальной стабильности, в безусловном обеспечении законности и правопорядка, развитии равноправного и взаимовыгодного международного сотрудничества.

Виды угроз информационной безопасности Российской Федерации

По своей общей направленности угрозы информационной безопасности Российской Федерации подразделяются на следующие виды:

Угрозы конституционным правам и свободам человека и гражданина в области духовной жизни и информационной деятельности, индивидуальному, групповому и общественному сознанию, духовному возрождению России.

Угрозы информационному обеспечению государственной политики Российской Федерации.

Угрозы развитию отечественной индустрии информации, включая индустрию средств информатизации, телекоммуникации и связи, обеспечению потребностей внутреннего рынка ее продукцией и выходу этой продукции на мировой рынок, а также обеспечению накопления, сохранности и эффективного использования отечественных информационных ресурсов.

Угрозы безопасности информационных и телекоммуникационных средств и систем, как уже развернутых, так и создаваемых на территории России.

Источники угроз информационной безопасности Российской Федерации подразделяются на внешние и внутренние.

К внешним источникам относятся:

деятельность иностранных политических, экономических, военных, разведывательных и информационных структур, направленная против интересов РФ в информационной сфере;

стремление ряда стран к доминированию и ущемлению интересов России в мировом информационном пространстве, вытеснению ее с внешнего и внутреннего информационных рынков;

обострение международной конкуренции за обладание информационными технологиями и ресурсами;

деятельность международных террористических организаций;

увеличение технологического отрыва ведущих держав мира и наращивание их возможностей по противодействию созданию конкурентоспособных российских информационных технологий;

деятельность космических, воздушных, морских и наземных технических и иных средств (видов) разведки иностранных государств;

разработка рядом государств концепций информационных войн, предусматривающих создание средств опасного воздействия на информационные сферы других стран мира;

нарушение нормального функционирования информационных и телекоммуникационных систем, сохранности информационных ресурсов, получение несанкционированного доступа к ним.

К внутренним источникам относятся:

критическое состояние отечественных отраслей промышленности;

неблагоприятная криминогенная обстановка, сопровождающаяся тенденциями сращивания государственных и криминальных структур в информационной сфере, получения криминальными структурами доступа к конфиденциальной информации, усиления влияния организованной преступности на жизнь общества, снижения степени защищенности законных интересов граждан, общества и государства в информационной сфере;

недостаточная координация деятельности федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации по формированию и реализации единой государственной политики в области обеспечения информационной безопасности Российской Федерации;

недостаточная разработанность нормативной правовой базы, регулирующей отношения в информационной сфере, а также недостаточная правоприменительная практика;

неразвитость институтов гражданского общества и недостаточный государственный контроль над развитием информационного рынка России;

недостаточное финансирование мероприятий по обеспечению информационной безопасности Российской Федерации;

недостаточная экономическая мощь государства;

снижение эффективности системы образования и воспитания, недостаточное количество квалифицированных кадров в области обеспечения информационной безопасности;

недостаточная активность федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации в информировании общества о своей деятельности, в разъяснении принимаемых решений, в формировании открытых государственных ресурсов и развитии системы доступа к ним граждан;

отставание России от ведущих стран мира по уровню информатизации федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации и органов местного самоуправления, кредитно-финансовой сферы, промышленности, сельского хозяйства, образования, здравоохранения, сферы услуг и быта граждан.

2. Общие направления и методы обеспечения информационной безопасности

Выделяют два главных направления обеспечения информационной безопасности. Первое направление связано с нейтрализацией отрицательного влияния на интеллектуальный, духовный и психологический потенциал общества; данное направление принято обозначать как информационно-психологическое . Главными объектами защиты здесь являются психика представителей элиты и населения страны в целом, а также система формирования общественного сознания и общественного мнения и процессы принятия решений. Можно выделить три вида объектов, которым может быть нанесен вред с помощью информационного воздействия.

Индивидуальное сознание человека. Для нормального функционирования общества и государства необходимо, чтобы составляющие его индивиды обладали способностью адекватно воспринимать окружающую действительность, свое место в мире, формировать на основе своего жизненного опыта определенные убеждения, принимать решения и совершать действия в соответствии с ними. Поэтому основной угрозой индивидуальному сознанию будет нарушение этой способности с помощью различных способов воздействия на сознание и подсознание человека.

Групповое сознание. Группы (социальные, профессиональные, этнические, религиозные) являются одним из путей объединения индивидов для достижения определенных целей, которые разделяют все члены группы. Объединение в группы может происходить как стихийно, так и целенаправленно. Создание и функционирование социальных общностей (групп людей, объединенных по определенному признаку) — естественный способ существования человека, поскольку достижение сложных социальных целей для индивидов зачастую возможно только в группе. Угрозы групповому сознанию могут проявляться в виде противоправных информационных воздействий со стороны других групп, общественных или государственных организаций с целью разрушения общности интересов группы, создания трудностей на пути реализации этих интересов, дискредитации членов группы, оказания психологического давления на них.

Массовое сознание. Под массовым сознанием при рассмотрении проблем информационной безопасности мы понимаем совокупность общих интересов социальных общностей, проживающих на территории страны, признаваемых ими культурных, духовных и нравственных ценностей, сложившихся нравов, устанавливающих общественно допустимые правила поведения и образ жизни; все эти составляющие массового сознания одновременно присутствуют в индивидуальном и групповом сознании представителей данного общества. Таким образом, все информационные воздействия, которые разрушают культурные, духовные и нравственные ценности, разделяемые большинством граждан страны, а также различные искажения информации о происходящих в ней событиях и окружающем мире, которые могут нарушить способность граждан страны социализироваться и нормально функционировать в данном социуме и государстве, являются информационной угрозой массовому сознанию.

В качестве основных средств информационно-психологического воздействия на человека выделяются следующие:

средства массовой коммуникации (в том числе информационные системы, например Интернет и т.п.);

литература (художественная, научно-техническая, общественно-политическая, специальная и т.п.);

искусство (например, различные направления так называемой массовой культуры и т.п.);

образование (государственные и негосударственные системы дошкольного и среднего общего образования, начального, среднего и высшего профессионального образования);

воспитание (разнообразные формы воспитания в семье, образовательных учреждениях, общественных организациях — формальных и неформальных, система социальной работы и т.п.);

Второе направление обеспечения информационной безопасности связано с функционированием и развитием информационной инфраструктуры государства, радиоэлектронной промышленности и сферы высоких технологий. Это направление может быть названо информационно-техническим , и главными объектами защиты здесь становятся системы связи и телекоммуникаций, радиоэлектронные средства и т.д. Таким образом, под информационно-технической безопасностью можно понимать состояние защищенности информационно-технических систем страны.

Общие методы обеспечения информационной безопасности, как правило, разделяются на правовые, организационные и технические.

К правовым методам следует отнести разработку норм, устанавливающих ответственность за преступления в информационной сфере, совершенствование уголовного и гражданского законодательства, а также судопроизводства. Правовые методы включают также ратификацию международных договоров об ограничении доступа к информации, способной повлиять на военные, экономические и социальные аспекты жизни стран, заключающих соглашение.

Организационными методами считают: меры по охране объектов информационной безопасности; подбор надежного персонала; исключение ситуаций, когда особо важные работы ведет только один человек; создание планов восстановления работоспособности подразделений, занимающихся обработкой и хранением информации, на случай выхода из строя; организацию обслуживания информационных систем; разработку универсальных средств защиты информационных систем и т.п.

К техническим методам можно отнести: защиту от несанкционированного доступа к системе с помощью паролей; резервирование особо важных компьютерных подсистем; обеспечение возможности перераспределения ресурсов в случаях, когда нарушается работоспособность отдельных звеньев вычислительных сетей; установку оборудования для обнаружения и ликвидации пожара или протечки воды; конструктивные меры защиты от хищений, саботажа, диверсий, взрывов; предусмотрение резервных систем электропитания; оснащение помещений замками; установку сигнализаций и др.

3. Методы и средства защиты электронной информации

Возможные угрозы и противоправные действия в этой сфере можно предупредить различными методами и средствами, начиная от создания здорового климата в коллективе и заканчивая прочной системой защиты, обеспечиваемой физическими, аппаратными и программными средствами.

Защитные действия можно классифицировать:

по содержанию и характеру информации (персональная, финансовая, техническая информация);

по характеру угроз (разглашение, утечка, несанкционированный доступ);

по направлениям (правовое, организационно-техническое, инженерное);

по способам действий (предупреждение, обнаружение, пресечение, восстановление);

по охвату (территория, здание, помещение, аппаратура, элементы аппаратуры);

по масштабу (объектовая, групповая, индивидуальная).

Средства защиты электронных данных :

многоуровневый контроль доступа (идентификация пользователя, допуск в систему, к данным, к задачам);

уровни защиты данных (информационная база данных, информационный массив, набор, запись, поле);

тип замка (ключевой – применение единого ключа, физического или электронного; процедурный – прохождение авторизации (подтверждение статуса пользователя) и идентификации (определение самого пользователя));

вид пароля (статический – ключ; разовый – используемый при защите передаваемой конкретной информации, файлов, папок с файлами и т.д.; изменяемый – используется пользователем, администратором для защиты компьютеров);

динамическая проверка защищенности (в момент открытия базы, в момент подтверждения разрешения на обмен данными).

В последнее время многочисленные виды защиты информации группируются в три основных класса:

Средства физической защиты, включающие средства защиты кабельной системы, систем электропитания, средств архивации, дисковых массивов и т.д.

Программные средства защиты, в том числе антивирусные программы, системы разграничения полномочий, программные средства контроля доступа.

Административные меры защиты, включающие контроль доступа в помещения, разработку стратегии безопасности фирмы, планов действий в чрезвычайных ситуациях и т.д.

Список использованных источников

Такое определение может показаться несколько непривычным. В то же время оно естественным образом вытекает из базовых архитектурных принципов современной вычислительной техники. Действительно, мы ограничиваемся вопросами информационной безопасности автоматизированных систем - а всё то, что обрабатывается с помощью современной вычислительной техники, представляется в двоичном виде.

Предметом нашего рассмотрения являются автоматизированные системы. Под автоматизированной системой обработки информации (АС) мы будемпонимать совокупность следующих объектов:

1. средств вычислительной техники;

2. программного обеспечения;

3. каналов связи;

4. информации на различных носителях;

5. персонала и пользователей системы.

Информационная безопасность АС рассматривается как состояние системы, при котором:

1. Система способна противостоять дестабилизирующему воздействию внутренних и внешних угроз.

2. Функционирование и сам факт наличия системы не создают угроз для внешней среды и для элементов самой системы.

На практике информационная безопасность обычно рассматривается как

совокупность следующих трёх базовых свойств защищаемой информации:

- конфиденциальность, означающая, что доступ к информации могут получить только легальные пользователи;

- целостность, обеспечивающая, что во-первых, защищаемая информация может быть изменена только законными и имеющими соответствующие полномочия пользователями, а во-вторых, информация внутренне непротиворечива и (если данное свойство применимо) отражает реальное положение вещей;

- доступность, гарантирующая беспрепятственный доступ к защищаемой информации для законных пользователей.

Деятельность, направленную на обеспечение информационной безопасности, принято называть защитой информации.

Методы обеспечения информационной безопасности (см. рис. 1.1) весьма разнообразны.

Рис. 1.1. Основные методы обеспечения информационной безопасности

Сервисы сетевой безопасности представляют собой механизмы защиты информации, обрабатываемой в распределённых вычислительных системах и сетях. Инженерно-технические методы ставят своей целью обеспечение защиты информации от утечки по техническим каналам - например, за счёт перехвата электромагнитного излучения или речевой информации. Правовые и организационные методы защиты информации создают нормативную базу для организации различного рода деятельности, связанной с обеспечением информационной безопасности.

Теоретические методы обеспечения информационной безопасности [3], в свою очередь, решают две основных задачи. Первая из них - это формализация разного рода процессов, связанных с обеспечением информационной безопасности. Так, например, формальные модели управления доступом позволяют строго описать все возможные информационные потоки в системе - а значит, гарантировать выполнение требуемых свойств безопасности. Отсюда непосредственно вытекает вторая задача - строгое обоснование корректности и адекватности функционирования систем обеспечения информационной безопасности при проведении анализа их защищённости. Такая задача возникает, например, при проведении сертификации автоматизированных систем по требованиям безопасности информации.

2. Угрозы информационной безопасности

При формулировании определения информационной безопасности АС мы упоминали понятие угрозы. Остановимся на нём несколько подробнее.

Заметим, что в общем случае под угрозой [1] принято понимать потенциально возможное событие, действие, процесс или явление, которое может привести к нанесению ущерба чьим-либо интересам. В свою очередь, угроза информационной безопасности автоматизированной системы - это возможность реализации воздействия на информацию, обрабатываемую в АС, приводящего к нарушению конфиденциальности, целостности или доступности этой информации, а также возможность воздействия на компоненты АС, приводящего к их утрате, уничтожению или сбою функционирования.

Классификация угроз может быть проведена по множеству признаков. Приведём наиболее распространённые из них.

По природе возникновения принято выделять естественные и искусственные угрозы. Естественными принято называть угрозы, возникшие в результате воздействия на АС объективных физических процессов или стихийных природных явлений, не зависящих от человека. В свою очередь, искусственные угрозы вызваны действием человеческого фактора.

Примерами естественных угроз могут служить пожары, наводнения, цунами, землетрясения и т.д. Неприятная особенность таких угроз - чрезвычайная трудность или даже невозможность их прогнозирования.

По степени преднамеренности выделяют случайные и преднамеренные угрозы. Случайные угрозы бывают обусловлены халатностью или непреднамеренными ошибками персонала. Преднамеренные угрозы обычно возникают в результате направленной деятельности злоумышленника.

В качестве примеров случайных угроз можно привести непреднамеренный ввод ошибочных данных, неумышленную порчу оборудования. Пример преднамеренной угрозы - проникновение злоумышленника на охраняемую территорию с нарушением установленных правил физического доступа.

В зависимости от источника угрозы принято выделять:

Угрозы, источником которых является природная среда. Примеры таких угроз - пожары, наводнения и другие стихийные бедствия.

Угрозы, источником которых является человек. Примером такой угрозы может служить внедрение агентов в ряды персонала АС со стороны конкурирующей организации.

Угрозы, источником которых являются санкционированные программноаппаратные средства. Пример такой угрозы - некомпетентное использование системных утилит.

Угрозы, источником которых являются несанкционированные программноаппаратные средства. К таким угрозам можно отнести, например, внедрение в систему кейлоггеров.

По положению источника угрозы выделяют'.

Угрозы, источник которых расположен вне контролируемой зоны. Примеры таких угроз - перехват побочных электромагнитных излучений (ПЭМИН) или перехват данных, передаваемых по каналам связи; дистанционная фото- и видеосъёмка; перехват акустической информации с использованием направленных микрофонов.

Угрозы, источник которых расположен в пределах контролируемой зоны. Примерами подобных угроз могут служить применение подслушивающих устройств или хищение носителей, содержащих конфиденциальную информацию.

По степени воздействия на АС выделяют пассивные и активные угрозы. Пассивные угрозы при реализации не осуществляют никаких изменений в составе и структуре АС. Реализация активных угроз, напротив, нарушает структуру автоматизированной системы.

Примером пассивной угрозы может служить несанкционированное копирование файлов с данными.

По способу доступа к ресурсам АС выделяют:

Угрозы, использующие стандартный доступ. Пример такой угрозы - несанкционированное получение пароля путём подкупа, шантажа, угроз или физического насилия по отношению к законному обладателю.

Угрозы, использующие нестандартный путь доступа. Пример такой угрозы - использование недекларированных возможностей средств защиты.

Критерии классификации угроз можно продолжать, однако на практике чаще всего используется следующая основная классификация угроз, основывающаяся на трёх введённых ранее базовых свойствах защищаемой информации:

1. Угрозы нарушения конфиденциальности информации, в результате реализации которых информация становится доступной субъекту, не располагающему полномочиями для ознакомления с ней.

2. Угрозы нарушения целостности информации, к которым относится любое злонамеренное искажение информации, обрабатываемой с использованием АС.

3. Угрозы нарушения доступности информации, возникающие в тех случаях, когда доступ к некоторому ресурсу АС для легальных пользователей блокируется.

Отметим, что реальные угрозы информационной безопасности далеко не всегда можно строго отнести к какой-то одной из перечисленных категорий. Так, например, угроза хищения носителей информации может быть при определённых условиях отнесена ко всем трём категориям.

Заметим, что перечисление угроз, характерных для той или иной автоматизированной системы, является важным этапом анализа уязвимостей АС, проводимого, например, в рамках аудита информационной безопасности, и создаёт базу для последующего проведения анализа рисков. Выделяют два основных метода перечисления угроз:

1. Построение произвольных списков угроз. Возможные угрозы выявляются экспертным путём и фиксируются случайным и неструктурированным образом. Для данного подхода характерны неполнота и противоречивость получаемых результатов.

2. Построение деревьев угроз [4]. Угрозы описываются в виде одного или нескольких деревьев. Детализация угроз осуществляется сверху вниз, и в конечном итоге каждый лист дерева даёт описание конкретной угрозы. Между поддеревьями в случае необходимости могут быть организованы логические связи.

Рассмотрим в качестве примера дерево угрозы блокирования доступа к сетевому приложению (рис. 1.2.).

Рис. 1.2. Пример дерева угроз

Как видим, блокирование доступа к приложению может произойти либо в результате реализации DoS-атакп на сетевой интерфейс, либо в результате завершенна работы компьютера. В свою очередь, завершение работы компьютера может произойти либо вследствие несанкционированного физического доступа злоумышленника к компьютеру, либо в результате использования злоумышленником уязвимости, реализующей атаку на переполнение буфера.

Целью данного реферата является узнать,что же такое информационная безопасность и выявить и выявить её концепции.
Для достижения поставленной цели в работе решаются следующие задачи:
рассмотреть основные понятия информационной безопасности;
рассмотреть концептуальную модель информационной безопасности;
узнать,что представляет собой концепция информационной безопасности.

Содержание

Введение.
Понятие информационной безопасности.
Концепция информационной безопасности.
Основные концептуальные положения системы защиты информации.
Концептуальная модель информационной безопасности.
Заключение.
Список литературы.

Работа состоит из 1 файл

реферат по безопасности.doc

Федеральное агентство железнодорожного транспорта

Федеральное государственное бюджетное образовательное учреждение

высшего профессионального образования

Выполнила студентка Т-09-3

Введение. . . .
Понятие информационной безопасности. .
Концепция информационной безопасности. .
Основные концептуальные положения системы защиты информации.
Концептуальная модель информационной безопасности. .
Заключение. . . .
Список литературы. . .

Появление новых информационных технологий и развитие мощных компьютерных систем хранения и обработки информации повысили уровни защиты информации и вызвали необходимость в том, чтобы эффективность защиты информации росла вместе со сложностью архитектуры хранения данных. Так постепенно защита экономической информации становится обязательной: разрабатываются всевозможные документы по защите информации; формируются рекомендации по защите информации; даже проводится ФЗ о защите информации, который рассматривает проблемы защиты информации и задачи защиты информации, а также решает некоторые уникальные вопросы защиты информации.

Таким образом, угроза защиты информации сделала средства обеспечения информационной безопасности одной из обязательных характеристик информационной системы.

На сегодняшний день существует широкий круг систем хранения и обработки информации.

Цель и задачи работы. Целью данного реферата является узнать,что же такое информационная безопасность и выявить и выявить её концепции.

Для достижения поставленной цели в работе решаются следующие задачи:

рассмотреть основные понятия информационной безопасности;
рассмотреть концептуальную модель информационной безопасности;
узнать,что представляет собой концепция информационной безопасности.

Понятие информационной безопасности

Под информационной безопасностью понимается защищенность информации и поддерживающей ее инфраструктуры от любых случайных или злонамеренных воздействий, результатом которых может явиться нанесение ущерба самой информации, ее владельцам или поддерживающей инфраструктуре.

Информационная безопасность организации – состояние защищенности информационной среды организации, обеспечивающее её формирование, использование и развитие.

В современном социуме информационная сфера имеет две составляющие: информационно-техническую (искусственно созданный человеком мир техники, технологий и т.п.) и информационно-психологическую (естественный мир живой природы, включающий и самого человека). Соответственно, в общем случае информационную безопасность общества (государства) можно представить двумя составными частями: информационно-технической безопасностью и информационно-психологической (психофизической) безопасностью.

В качестве стандартной модели безопасности часто приводят модель из трёх категорий:

Конфиденциальность – состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право;
Целостность – избежание несанкционированной модификации информации;
Доступность – избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа.

Выделяют и другие не всегда обязательные категории модели безопасности:

неотказуемость или апеллируемость – невозможность отказа от авторства;

1подотчётность – обеспечение идентификации субъекта доступа и регистрации его действий;
достоверность – свойство соответствия предусмотренному поведению или результату;
аутентичность или подлинность – свойство, гарантирующее, что субъект или ресурс идентичны заявленным.

Действия, которые могут нанести ущерб информационной безопасности организации, можно разделить на несколько категорий:

1. Действия, осуществляемые авторизованными пользователями. В эту категорию попадают: целенаправленная кража или уничтожение данных на рабочей станции или сервере; повреждение данных пользователей в результате неосторожных действий.

преступлениями как профессионально (в том числе в рамках конкурентной борьбы), так и просто из любопытства. К таким методам относятся: несанкционированное проникновение в компьютерные сети; DOS-атаки.

Целью несанкционированного проникновения извне в сеть предприятия может быть нанесение вреда (уничтожения данных), кража конфиденциальной информации и использование ее в незаконных целях, использование сетевой инфраструктуры для организации атак на узлы третьих фирм, кража средств со счетов и т.п.

3. Компьютерные вирусы. Отдельная категория электронных методов воздействия − компьютерные вирусы и другие вредоносные программы. Они представляют собой реальную опасность для современного бизнеса, широко использующего компьютерные сети, интернет и электронную почту. Проникновение вируса на узлы корпоративной сети может привести к нарушению их функционирования, потерям рабочего времени, утрате данных, краже конфиденциальной информации и даже прямым хищениям финансовых средств. Вирусная программа, проникшая в корпоративную сеть, может предоставить злоумышленникам частичный или полный контроль над деятельностью компании.

Таким образом, в современных условиях наличие развитой системы информационной безопасности становится одним из важнейших условий конкурентоспособности и даже жизнеспособности любой компании.

Концепция информационной безопасности

Концепция информационной безопасности представляет собой перечень общих принципов и задач по защите корпоративных бизнес-процессов. Являясь верхним уровнем в пирамиде нормативной документации, концепция информационной безопасности должна содержать следующую информацию:

общая характеристика объекта защиты (описание критичных ресурсов и бизнес-процессов);
цели и задачи создания системы защиты информации, пути их достижения;
перечень сведений, подлежащих защите;
основные виды угроз информационной безопасности;
основные методы защиты информационных систем;
распределение зон ответственности за обеспечение ИБ;
способы реагирования на форс-мажорные ситуации.

Основные концептуальные положения системы защиты информации

Анализ состояния дел в сфере защиты информации показывает, что уже сложилась вполне сформировавшаяся концепция и структура защиты, основу которой составляют:

весьма развитый арсенал технических средств защиты информации, производимых на промышленной основе;
значительное число фирм, специализирующихся на решении вопросов защиты информации;
достаточно четко очерченная система взглядов на эту проблему;
наличие значительного практического опыта и др.

И, тем не менее, как свидетельствует отечественная и зарубежная печать, злоумышленные действия над информацией не только не уменьшаются, но и имеют достаточно устойчивую тенденцию к росту. Опыт показывает, что для борьбы с этой тенденцией необходима стройная и целенаправленная организация процесса защиты информационных ресурсов. Причем в этом должны активно участвовать профессиональные специалисты, администрация, сотрудники и пользователи, что и определяет повышенную значимость организационной стороны вопроса.

Опыт также показывает, что:

обеспечение безопасности информации не может быть одноразовым актом. Это непрерывный процесс, заключающийся в обосновании и реализации наиболее рациональных методов, способов и путей совершенствования и развития системы защиты, непрерывном контроле ее состояния, выявлении ее узких и слабых мест и противоправных действий;
безопасность информации может быть обеспечена лишь при комплексном использовании всего арсенала имеющихся средств защиты во всех структурных элементах производственной системы и на всех этапах технологического цикла обработки информации. Наибольший эффект достигается тогда, когда все используемые средства, методы и меры объединяются в единый целостный механизм - систему защиты информации (СЗИ). При этом функционирование системы должно контролироваться, обновляться и дополняться в зависимости от изменения внешних и внутренних условий;
никакая СЗИ не может обеспечить требуемого уровня безопасности информации без надлежащей подготовки пользователей и соблюдения ими всех установленных правил, направленных на ее защиту.

С учетом накопленного опыта можно определить систему защиты информации как организованную совокупность специальных органов, средств, методов и мероприятий, обеспечивающих защиту информации от внутренних и внешних угроз.

С позиций системного подхода к защите информации предъявляются определенные требования. Защита информации должна быть:

Читайте также: