Какие существуют программные и аппаратные способы защиты информации кратко

Обновлено: 05.07.2024

Технические меры защиты информации строятся на использовании технических средств. Разнообразие и количество этих технических средств весьма велико. Давайте попробуем сделать обзор технических мер, чтобы можно было понять, что именно подойдет для использования в конкретной компании. Напомним, что лучше всего заниматься подбором технических средств после утверждения концепция информационной безопасности компании. Концепция дает понимание что именно и каким образом защищать .

При построении системы защиты информации с использованием технических средств следует следовать нескольким принципам. Они достаточно очевидны:

использование только лицензированного ПО;
использование только совместимого ПО, все части системы должны быть совместимыми друг с другом;
управляемость, легкость администрирования системы, минимальное использование сторонней технической поддержки;
протоколирование и документирование любых действий пользователей, осуществляемых с файлами, содержащими конфиденциальную информацию, а также случаев несанкционированного доступа;
затраты на организацию защиты информации должны быть соразмерны величине ущерба, который может быть нанесен собственнику информации.

Выше говорилось, что технический уровень защиты информации разделяется на физические, аппаратные, математические (криптографические) и программные средства.

Физические средства защиты информации

Физические средства защиты информации – это любые механические, электрические и электронные механизмы, которые функционируют независимо от информационных систем и создают препятствия для доступа к ним. Сюда мы отнесем:

Аппаратный средства защиты информации

Аппаратный средства защиты информации – это любые устройства, которые либо затрудняют несанкционированный съем информации, либо помогают обнаружить потенциальные каналы утечки информации. Это самый узкоспециализированный класс средств защиты информации.

Одних только технических каналов утечки информации насчитывается более десятка: акустические, виброакустические , оптико-электронные, паразитные электронно-магнитные импульсы и так далее и тому подобное. Соответственно, и борьба с утечкой ведется также весьма экзотическими средствами: генераторы шума, сетевые фильтры, сканирующие радиоприемники и т.д.

Более подробно про аппаратные средства защиты можно прочитать здесь и здесь.

Съем информации через технические каналы утечки возможен только при использовании специального, часто очень дорогостоящего оборудования. Стоит ли ваша информация столько, сколько готовы потратить злоумышленники на ее несанкционированное получение?

В обычной деятельности компании из всех видов утечек информации по техническим каналам актуальными скорее всего будут просмотр информации с экранов дисплеев, бумажных и иных носителей информации, возможно даже с помощью оптических средств и прослушивание конфиденциальных переговоров, в том числе телефонных и радиопереговоров.

Против этого хорошо работают как физические средства защиты информации из предыдущего пункта так и организационные мероприятия. Перечислим их:

не рекомендуется располагать защищаемые помещения на первых этажах зданий;
независимо от этажа следует закрывать окна жалюзи или экранами, в идеале для конфиденциальных переговоров использовать помещения вообще без окон;
использовать двойные двери с тамбурами;
исключить пребывание посторонних в местах, где происходят конфиденциальные переговоры или обрабатывается конфиденциальная информация;
ввести запрет использования мобильных телефонов, смартфонов, диктофонов и прочих устройств как минимум при конфиденциальных переговорах;
располагать мониторы таким образом, чтобы исключить просмотр информации с их посторонними;
всегда блокировать рабочие станции при оставлении рабочего места;

Криптографические средства

Для чего нужны криптографические средства защиты информации? Для шифрования и кодирования информации с целью безопасной обработки, хранения и передачи ее по корпоративной или глобальной сети. Если проще, для обмена шифрованными документами и организации безопасного удаленного взаимодействия, в том числе по сети Интернет.

Что нужно для организации такого взаимодействия? Если нужно только создавать и подписывать документы ЭП, хватит средств, перечисленных в пунктах 1-3. Для взаимодействия с удаленными филиалами и пользователями потребуются средства из пунктов 6-8.

1. Программные компоненты шифрования (криптопровайдеры)

Криптопровайдер – это специальная программа-посредник, который позволяет операционной системе выполнять шифровальные функции, работающая по зарубежным или российским криптографическим стандартам. Наиболее популярны в России следующие криптопровайдеры:

КриптоПро CSP, разработка компании КриптоПро. Он работает под всеми популярными системами – Windows, Linux, Mac OS.
ViPNet CSP – бесплатный российский криптопровайдер от компании ИнфоТеКС, имеющий все необходимые сертификаты ФСБ.
Signal-COM CSP – российский сертифицированный криптопровайдер, работающий исключительно под Windows. Разработан компанией Сигнал-КОМ.

2. Средства формирования и проверки ключей и электронной цифровой подписи

– предоставляют пользователю удобный графический интерфейс для зашифрования и расшифрования данных, создания и проверки электронной подписи (ЭП), для работы с сертификатами и криптопровайдерами:

Для создания и проверки электронной подписи (ЭП) на веб-страницах, то есть в интернете, предназначен плагин (дополнение) для браузеров КриптоПро ЭЦП Browser plug-in .

Плагин легко встраивается и применим в любом из современных браузеров с поддержкой сценариев JavaScript.

3. Сами ключевые носители.

4. Системы имитозащиты

5. Системы управления ключевой информацией и системы сертификации (УЦ)(необязательно)

Системы управления ключевыми носителями и цифровыми сертификатами применяются главным образом в государственном секторе и крупных коммерческих компаниях, причем подчинены они решению совершенно разных задач.

В государственных структурах удостоверяющий центр и вся система управления ключевой информацией служит для выдача квалифицированных сертификатов ЭП. Дело в том, что по Российскому законодательству, юридическую силу имеет только усиленная квалифицированная подпись . Чтобы использовать такую подпись, необходимо получить квалифицированный сертификат ключа проверки электронной подписи , выданный аккредитованным удостоверяющим центром. Помимо этого, УЦ также ведет перечень отозванных сертификатов и (необязательно) позволяет узнавать статус сертификата в режиме онлайн по обращению пользователя.

Мотивы частных компаний по созданию собственного УЦ, помимо собственного электронного документооборота с использованием ЭП, следующие:

аутентификация в домене при помощи сертификатов;
продвижение бренда - предложение сертификатов своим клиентам или включение их в комплект оказываемых услуг.

6. Средства для организации защищённых соединений и VPN.

Если ранее речь шла о создании и обработке шифрованных документов, то крипто средства из этого и последующих разделов служат для обмена конфиденциальной информацией по публичным сетям передачи данных, в том числе сети Интернет .

Присоединить территориально удаленные филиалы и отдельных сотрудников, находящихся в командировке, к корпоративной сети компании призвана технология виртуальных частных сетей (VPN).

VPN – технология, которая позволяет подключаться к корпоративной сети компании через интернет, но по принципу доверенной частной сети по зашифрованному VPN каналу связи.

Комплексное решение в области VPN-технологий предлагает компания ИнфоТеКС. Ее ViPNet Client - это программный комплекс, выполняющий на рабочем месте пользователя или сервере с прикладным ПО функции VPN-клиента, персонального сетевого экрана, клиента защищенной почтовой системы, а также криптопровайдера для прикладных программ, использующих функции подписи и шифрования.

7. Системы защищённой электронной почты.

Системы защищенной электронной почты могут быть реализованы как:

Почтовый клиент Диопост предназначен для обмена зашифрованными и подписанными письмами по протоколам SMTP, POP3, TELNET.

8. Аппаратные криптомаршрутизаторы.

Криптографический шлюз (криптошлюз, криптомаршрутизатор, VPN-шлюз) – это программно-аппаратный комплекс для криптографической защиты трафика, передаваемого по открытым каналам связи, путем шифрования пакетов по различным протоколам.

Дионис NX от компании Фактор-ТС - это программно-аппаратный комплекс, имеющий в своем составе СКЗИ класса КС3, межсетевой экран 2-го класса защиты, систему обнаружения и предотвращения вторжений 2-го класса защиты.

Программно-аппаратные комплексы ЗАСТАВА — разработка российской компании ЭЛВИС-ПЛЮС. ПАК обеспечивает защиту корпоративных информационных систем на сетевом уровне с помощью технологий виртуальных защищенных сетей (VPN) на базе протоколов IPsec/IKE.

9. Шифрование с помощью архиватора

Не стоит забывать, что шифровать файлы умеют также и популярные архиваторы WinRAR и 7-Zip . Так что обмениваться шифрованными файлами можно и без дополнительных средств криптографии. Единственное, нужно продумать способ безопасного обмена паролями шифрования.

Рассмотрим эту возможность на примере использования программы WinRAR .

Выделяем в проводнике файлы, которые хотим защитить, и щелкаем правой кнопкой мышки. Выбираем в контекстном меню Добавить в архив…. В диалоге создания архива выбираем формат RAR , и нажимаем на кнопку Установить пароль…. Дважды вводим пароль (чем сложнее – тем лучше), и устанавливаем галочку Шифровать имена файлов . Жмем ОК :

После завершения, файлы будут защищены внутри архива. При попытке открыть архив пользователь получит запрос на ввод пароля.

Подобрать такой пароль считается невозможным, так как WinRAR использует AES-шифрование с длиной ключа 256 бит.

После ввода пароля можно увидеть содержимое архива.

Звездочки после имени файла указывают на то, что файлы зашифрованы, а красный ключ в левом нижнем углу говорит о том, что содержимое архива (имена файлов, комментарии и др.) также недоступно без ввода пароля.

Программные средства защиты информации

Программные средства защиты информации – это программное обеспечение, предназначенные для решения задач, связанных с обеспечением информационной безопасности. Это самая многочисленная и распространенная группа средств защиты информации.

1. Средства операционных систем

Современные ОС предоставляют широкий спектр встроенных решений по защите конфиденциальной информации на рабочих станциях и серверах. Давайте пробежимся по ним хотя бы коротко:

вход на свой компьютер, в рабочую группу, в домен происходит по паролю, смарт-карте, сертификату собственного удостоверяющего центра;
минимизация прав при помощи учетных записей (локальных и доменных);
ограничение прав с помощью локальной и групповой политик безопасности – запрет доступа к реестру, настройкам компьютера и прочее;
защита от угроз по сети при помощи встроенного брандмауэра;
ограничение прав на доступ к общим ресурсам организации через механизм разрешений.

2. Антивирусные программы

3. Программы резервного копирования и восстановления данных

– штатные, то есть встроенные в ОС и дополнительные, например, Acronis;

4. Прикладные программы, в которых существует разграничение прав пользователей – пароли, роли, и т.д.

5. Программные межсетевые экраны

Напомним, межсетевой экран – программа, контролирующая и фильтрующая на основе заданных правил входящий и исходящий сетевой трафик – пропускать его или нет. Помимо этого, сетевой экран используется для защиты сети или рабочих станций от несанкционированного проникновения через уязвимости программного обеспечения или протоколов сети.

Таким образом межсетевой экран – это барьер между внутренней сетью компании, содержащей конфиденциальные или персональные данные и глобальными информационными сетями. Если не хватает возможностей встроенного в Windows межсетевого экрана - на рынке представлено великое множество программных и программно-аппаратных решений.

6. Прокси-серверы

Прокси-сервер – это компьютер, выполняющий роль посредника между пользователем и запрашиваемым адресом в сети интернет. Пользователь сначала подключается к прокси-серверу и запрашивает необходимый ресурс, расположенный на другом сервере. Например, почту или html-страницу. Затем прокси либо подключается к указанному серверу и получает у него ресурс, либо возвращает ресурс из собственного кэша.

Распространенные варианты использования прокси в компании:

для повышения безопасности сети - шифрования запросов и скрытие адреса клиента, так как конечный сервер будет знать только адрес прокси ;
для увеличения производительности сети и экономии трафика за счет кэширования (запоминания на прокси) просмотренной информации и фильтрации трафика, например, блокировки рекламных блоков;
для блокировки вредоносных и развлекательных сайтов и рекламы;
для контроля использования сетевого канала;
для мониторинга и регистрации веб-запросов пользователей;

Примерами могут служить популярные Kerio Control, UserGate, WinGate, Traffic Inspector, бесплатные Squid и 3proxy.

7. Системы обнаружения и предотвращения вторжений

Приведем примеры систем IDS и IPS:

8. Системы доверенной загрузки

Средства доверенной загрузки (СДЗ) - это средства, чаще программно-технические, для предотвращения несанкционированного доступа к вычислительной технике на этапе ее загрузки.

Другими словами, доверенная загрузка – это загрузка операционной системы только с заранее определенных постоянных носителей (например, только с жесткого диска), после успешного завершения проверки целостности технических и программных средств ПК и успешной аппаратной идентификации пользователя.

Соответственно СДЗ и МДЗ (Модули) созданы для усиления аутентификации и идентификации пользователей, и запрета загрузки с внешнего носителя информации.

Требования к средствам доверенной загрузки, утверждены Приказом ФСТЭК России от 27 сентября 2013 г. № 119.

Популярные средства доверенной загрузки:

9. Системы идентификации (IdM-системы)

В том случае, когда компания обладает большим количеством информационных ресурсов, расположены они в разных информационных системах, имеют различных владельцев, ручное управление доступом к ресурсам становится очень трудоемким процессом. Это отнимает значительное количество времени как у тех, кто предоставляет доступ, так и у конечных пользователей информационных систем, которые критически долго ожидают доступ для выполнения рабочих задач. Для ускорения и автоматизации предоставления доступа применяются IdM-системы , призванные оптимизировать затраты компаний на администрирование постоянно развивающейся ИТ-инфраструктуры. Основным функционалом IdM-систем является централизованное управление учетными записями, правами на доступ к информационным ресурсам, паролями и прочими атрибутами в различных ИС, что позволяет автоматизировать процессы управления правами доступа, снизить нагрузку на ИТ-подразделения и обеспечить более высокий уровень информационной безопасности.

10. Системы контроля съемных носителей

Можно сколь угодно увеличивать инвестиции в межсетевые экраны, использовать все новые и более надежные алгоритмы шифрования, другие средства и технологии контроля для защиты данных от хищения через Интернет.

Однако по статистике свыше 80% хищений информации сегодня происходит по вине собственных сотрудников, которые посредством использования различных типов USB-устройств скачивают конфиденциальную информацию.

Все технологии по защите вашей сети от внешних злоумышленников не могут воспрепятствовать обиженным сотрудникам, которые вполне могут использовать USB-устройства для загрузки злонамеренного ПО в сеть компании или для хищения информации из этой сети.

Установка контроля над использованием сменных носителей средствами операционной системы стала возможна начиная с Windows Server 2008 через использование групповых (локальных) политик.

Однако в настоящее время средства контроля внешних устройств - это одна из составных частей систем защиты от утечек конфиденциальной информации, или DLP-систем.

11. DLP и SIEM системы

На вершине программных средств защиты информации находятся DLP ( Data Leak Prevention или Data Lost Protection или предотвращение утечек) и SIEM (Security Information and Event Management - управление информацией о безопасности и управление событиями безопасности)-системы.

Основной задачей DLP-систем (DLP — Data Leak Prevention или Data Lost Protection или предотвращение утечек), что очевидно, является предотвращение передачи конфиденциальной информации за пределы информационной системы.

DLP-системы строятся на анализе информации, переходящей через периметр защищаемой информационной системы. При обнаружении в этой информации конфиденциальных сведений срабатывает активная компонента системы, и передача наружу блокируется. Чтобы DLP-система срабатывала правильно, конфиденциальная информация должна быть предварительно отобрана (промаркирована).

SIEM - это Security Information and Event Management. (управление информацией о безопасности и управление событиями безопасности). Сама по себе эта система не способна что-то предотвращать или защищать. Она предназначена для анализа информации, поступающей от различных других систем, таких как DLP, антивирусов, АРМ пользователей, серверов и выявления отклонения от норм по каким-то критериям. Выявляется отклонение - регистрируется инцидент информационной безопасности.

Кроме того, SIEM может предоставить всю необходимую доказательную базу, пригодную как для внутренних расследований, так и для суда. В общем то, это и есть одно из ее главных предназначений. При возникновении инцидента моментально оповещаются все заинтересованные лица.

У DLP и SIEM систем есть только один недостаток – цена. Так решения на 200 рабочих мест стоят несколько миллионов рублей.

Приведем несколько популярных решений в этом направлении :

Device Lock DLP от компании Смарт Лайн Инк;
Solar Dozor от Ростелекома, точнее от Ростелеком Солар;
InfoWatch Traffic Monitor от компании InfoWatch;
Symantec Data Loss Prevention от Symantec;
Контур безопасности от компании Search Inform.

На этом мы заканчиваем серию материалов, посвященную мерам и способам защиты информации. Говоря о практической работе в этом направлении в конкретной компании, необходимо иметь в виду, что все компании очень разные. Прописная истина, да. Однако можно найти и кое-что общее, независимо от сферы деятельности, численности, состава информационных ресурсов, наконец. Это порядок, или если хотите направление работ специалиста по защите информации:

Информация и ее классификация

Информацию можно классифицировать по нескольким видам и в зависимости от категории доступа к ней подразделяется на общедоступную информацию, а также на информацию, доступ к которой ограничен – конфиденциальные данные и государственная тайна.

Информация в зависимости от порядка ее предоставления или распространения подразделяется на информацию:

Свободно распространяемую
Предоставляемую по соглашению лиц, участвующих в соответствующих отношениях
Которая в соответствии с федеральными законами подлежит предоставлению или распространению
Распространение, которой в Российской Федерации ограничивается или запрещается

Массовая — содержит тривиальные сведения и оперирует набором понятий, понятным большей части социума.
Специальная — содержит специфический набор понятий, которые могут быть не понятны основной массе социума, но необходимы и понятны в рамках узкой социальной группы, где используется данная информация.
Секретная — доступ, к которой предоставляется узкому кругу лиц и по закрытым (защищённым) каналам.
Личная (приватная) — набор сведений о какой-либо личности, определяющий социальное положение и типы социальных взаимодействий.

Сведения в военной области.
Сведения в области экономики, науки и техники.
Сведения в области внешней политики и экономики.
Сведения в области разведывательной, контрразведывательной и оперативно-розыскной деятельности, а также в области противодействия терроризму и в области обеспечения безопасности лиц, в отношении которых принято решение о применении мер государственной защиты.

Конфиденциальные данные – это информация, доступ к которой ограничен в соответствии с законами государства и нормами, которые компании устанавливаются самостоятельно. Можно выделит следующие виды конфиденциальных данных:

Персональные данные

Оператором персональных данных является — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Права на обработку персональных данных закреплено в положениях о государственных органах, федеральными законами, лицензиями на работу с персональными данными, которые выдает Роскомнадзор или ФСТЭК.

Компании, которые профессионально работают с персональными данными широкого круга лиц, например, хостинг компании виртуальных серверов или операторы связи, должны войти в реестр, его ведет Роскомнадзор.

Для примера наш хостинг виртуальных серверов VPS.HOUSE осуществляет свою деятельность в рамках законодательства РФ и в соответствии с лицензиями Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций №139322 от 25.12.2015 (Телематические услуги связи) и №139323 от 25.12.2015 (Услуги связи по передаче данных, за исключением услуг связи по передаче данных для целей передачи голосовой информации).

Исходя из этого любой сайт, на котором есть форма регистрации пользователей, в которой указывается и в последствии обрабатывается информация, относящаяся к персональным данным, является оператором персональных данных.

Для того чтобы обеспечить безопасность и конфиденциальность информации необходимо определить какие бывают носители информации, доступ к которым бывает открытым и закрытым. Соответственно способы и средства защиты подбираются так же в зависимости и от типа носителя.

Основные носители информации:

Печатные и электронные средства массовой информации, социальные сети, другие ресурсы в интернете;
Сотрудники организации, у которых есть доступ к информации на основании своих дружеских, семейных, профессиональных связей;
Средства связи, которые передают или сохраняют информацию: телефоны, АТС, другое телекоммуникационное оборудование;
Документы всех типов: личные, служебные, государственные;
Программное обеспечение как самостоятельный информационный объект, особенно если его версия дорабатывалась специально для конкретной компании;
Электронные носители информации, которые обрабатывают данные в автоматическом порядке.

Классификация средств защиты информации

1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

Обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
Соблюдение конфиденциальности информации ограниченного доступа;
Реализацию права на доступ к информации.

Предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
Своевременное обнаружение фактов несанкционированного доступа к информации;
Предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;
Недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
Возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
Постоянный контроль за обеспечением уровня защищенности информации;
Нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации (п. 7 введен Федеральным законом от 21.07.2014 № 242-ФЗ).

Правовой уровень обеспечивает соответствие государственным стандартам в сфере защиты информации и включает авторское право, указы, патенты и должностные инструкции.
Грамотно выстроенная система защиты не нарушает права пользователей и нормы обработки данных.
Организационный уровень позволяет создать регламент работы пользователей с конфиденциальной информацией, подобрать кадры, организовать работу с документацией и носителями данных.
Регламент работы пользователей с конфиденциальной информацией называют правилами разграничения доступа. Правила устанавливаются руководством компании совместно со службой безопасности и поставщиком, который внедряет систему безопасности. Цель – создать условия доступа к информационным ресурсам для каждого пользователя, к примеру, право на чтение, редактирование, передачу конфиденциального документа.
Правила разграничения доступа разрабатываются на организационном уровне и внедряются на этапе работ с технической составляющей системы.
Технический уровень условно разделяют на физический, аппаратный, программный и математический (криптографический).

Средства защиты информации

Средства защиты информации принято делить на нормативные (неформальные) и технические (формальные).

Неформальные средства защиты информации

Неформальными средствами защиты информации – являются нормативные(законодательные), административные(организационные) и морально-этические средства, к которым можно отнести: документы, правила, мероприятия.

Так же некоторые из перечисленных законов были приведены и рассмотрены нами выше, в качестве правовых основ информационной безопасности. Не соблюдение данных законов влечет за собой угрозы информационной безопасности, которые могут привести к значительным последствиям, что в свою очередь наказуемо в соответствии с этими законами в плоть до уголовной ответственности.

Для снижения влияния этих аспектов необходима совокупность организационно-правовых и организационно-технических мероприятий, которые исключали бы или сводили к минимуму возможность возникновения угроз конфиденциальной информации.

В данной административно-организационной деятельности по защите информационной для сотрудников служб безопасности открывается простор для творчества.

Это и архитектурно-планировочные решения, позволяющие защитить переговорные комнаты и кабинеты руководства от прослушивания, и установление различных уровней доступа к информации.

С точки зрения регламентации деятельности персонала важным станет оформление системы запросов на допуск к интернету, внешней электронной почте, другим ресурсам. Отдельным элементом станет получение электронной цифровой подписи для усиления безопасности финансовой и другой информации, которую передают государственным органам по каналам электронной почты.

К морально-этическим средствам можно отнести сложившиеся в обществе или данном коллективе моральные нормы или этические правила, соблюдение которых способствует защите информации, а нарушение их приравнивается к несоблюдению правил поведения в обществе или коллективе. Эти нормы не являются обязательными, как законодательно утвержденные нормы, однако, их несоблюдение ведет к падению авторитета, престижа человека или организации.

Формальные средства защиты информации

Формальные средства защиты – это специальные технические средства и программное обеспечение, которые можно разделить на физические, аппаратные, программные и криптографические.

Замки, в том числе электронные, экраны, жалюзи призваны создавать препятствия для контакта дестабилизирующих факторов с системами. Группа дополняется средствами систем безопасности, например, видеокамерами, видеорегистраторами, датчиками, выявляющие движение или превышение степени электромагнитного излучения в зоне расположения технических средств для снятия информации.

Аппаратный средства защиты информации – это любые электрические, электронные, оптические, лазерные и другие устройства, которые встраиваются в информационные и телекоммуникационные системы: специальные компьютеры, системы контроля сотрудников, защиты серверов и корпоративных сетей. Они препятствуют доступу к информации, в том числе с помощью её маскировки.

Программные средства защиты информации – это простые и комплексные программы, предназначенные для решения задач, связанных с обеспечением информационной безопасности.

Примером комплексных решений служат DLP-системы и SIEM-системы.

Программные средства требовательны к мощности аппаратных устройств, и при установке необходимо предусмотреть дополнительные резервы.

Математический (криптографический) – внедрение криптографических и стенографических методов защиты данных для безопасной передачи по корпоративной или глобальной сети.

Криптография считается одним из самых надежных способов защиты данных, ведь она охраняет саму информацию, а не доступ к ней. Криптографически преобразованная информация обладает повышенной степенью защиты.

Внедрение средств криптографической защиты информации предусматривает создание программно-аппаратного комплекса, архитектура и состав которого определяется, исходя из потребностей конкретного заказчика, требований законодательства, поставленных задач и необходимых методов, и алгоритмов шифрования.

Сюда могут входить программные компоненты шифрования (криптопровайдеры), средства организации VPN, средства удостоверения, средства формирования и проверки ключей и электронной цифровой подписи.

Средства шифрования могут поддерживать алгоритмы шифрования ГОСТ и обеспечивать необходимые классы криптозащиты в зависимости от необходимой степени защиты, нормативной базы и требований совместимости с иными, в том числе, внешними системами. При этом средства шифрования обеспечивают защиту всего множества информационных компонент в том числе файлов, каталогов с файлами, физических и виртуальных носителей информации, целиком серверов и систем хранения данных.

В заключение второй части рассмотрев вкратце основные способы и средства защиты информации, а так же классификацию информации, можно сказать следующее: О том что еще раз подтверждается давно известный тезис, что обеспечение информационной безопасности — это целый комплекс мер, который включает в себя все аспекты защиты информации, к созданию и обеспечению которого, необходимо подходить наиболее тщательно и серьезно.

Для более наглядного представления средства защиты информации, именно как неделимый комплекс мер, представлены ниже на рисунке 2, каждый из кирпичиков которого, представляет собой защиту информации в определенном сегменте, уберите один из кирпичиков и возникнет угроза безопасности.

Рисунок 2. Классификация средства защиты информации.

К аппаратным средствам защиты информации относятся электронные и электронно-механические устройства, включаемые в состав технических средств КС и выполняющие (самостоятельно или в едином комплексе с программными средствами) некоторые функции обеспечения информационной безопасности. Критерием отнесения устройства к аппаратным, а не к инженерно-техническим средствам защиты является обязательное включение в состав технических средств КС.

К основным аппаратным средствамзащиты информации относятся:

устройства для ввода идентифицирующей пользователя информации (магнитных и пластиковых карт, отпечатков пальцев и т. п.);
устройства для шифрования информации;
устройства для воспрепятствования несанкционированному включению рабочих станций и серверов (электронные замки и блокираторы).

Примеры вспомогательных аппаратных средств защиты информации:

устройства уничтожения информации на магнитных носителях;
устройства сигнализации о попытках несанкционированных действий пользователей КС и др.

Под программными средствами защиты информации понимают специальные программы, включаемые в состав программного обеспечения КС исключительно для выполнения защитных функций. К основным программным средствамзащиты информации относятся:

программы идентификации и аутентификации пользователей КС;
программы разграничения доступа пользователей к ресурсам КС;
программы шифрования информации;
программы защиты информационных ресурсов (системного и прикладного программного обеспечения, баз данных, компьютерных средств обучения и т. п.) от несанкционированного изменения, использования и копирования.

Заметим, что под идентификацией, применительно к обеспечению информационной безопасности КС, понимают однозначное распознавание уникального имени субъекта КС. Аутентификация означает подтверждение того, что предъявленное имя соответствует данному субъекту (подтверждение подлинности субъекта).

Примеры вспомогательных программных средствзащиты информации:

программы уничтожения остаточной информации (в блоках оперативной памяти, временных файлах и т. п.);
программы аудита (ведения регистрационных журналов) событий, связанных с безопасностью КС, для обеспечения возможности восстановления и доказательства факта происшествия этих событий;
программы имитации работы с нарушителем (отвлечения его на получение якобы конфиденциальной информации);
программы тестового контроля защищенности КС и др.

Поскольку потенциальные угрозы безопасности информации весьма многообразны, цели защиты информации могут быть достигнуты только путем создания комплексной системы защиты информации, под которой понимается совокупность методов и средств, объединенных единым целевым назначением и обеспечивающих необходимую эффективность защиты информации в КС.

Основные составляющие информационной безопасности (повторение для следующего пункта)

Спектр интересов субъектов, связанных с использованием информационных систем, можно разделить на следующие категории: обеспечение доступности, целостностии конфиденциальностиинформационных ресурсов и поддерживающей инфраструктуры.

Доступность- это возможность за приемлемое время получить требуемую информационную услугу. Под целостностьюподразумевается актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения.

Наконец, конфиденциальность- это защита от несанкционированного доступа к информации.

Целостность оказывается важнейшим аспектом ИБ в тех случаях, когда информация служит "руководством к действию". Рецептура лекарств, предписанные медицинские процедуры, набор и характеристики комплектующих изделий, ход технологического процесса - все это примеры информации, нарушение целостности которой может нанести вред здоровью людей. Значительный ущерб может нанести искажение официальной информации, будь то текст закона или страница Web-сервера какой-либо правительственной организации.

К основным аппаратным средствамзащиты информации относятся:

устройства для ввода идентифицирующей пользователя информации (магнитных и пластиковых карт, отпечатков пальцев и т. п.);
устройства для шифрования информации;
устройства для воспрепятствования несанкционированному включению рабочих станций и серверов (электронные замки и блокираторы).

Примеры вспомогательных аппаратных средств защиты информации:

устройства уничтожения информации на магнитных носителях;
устройства сигнализации о попытках несанкционированных действий пользователей КС и др.

программы идентификации и аутентификации пользователей КС;
программы разграничения доступа пользователей к ресурсам КС;
программы шифрования информации;
программы защиты информационных ресурсов (системного и прикладного программного обеспечения, баз данных, компьютерных средств обучения и т. п.) от несанкционированного изменения, использования и копирования.

Примеры вспомогательных программных средствзащиты информации:

программы уничтожения остаточной информации (в блоках оперативной памяти, временных файлах и т. п.);
программы аудита (ведения регистрационных журналов) событий, связанных с безопасностью КС, для обеспечения возможности восстановления и доказательства факта происшествия этих событий;
программы имитации работы с нарушителем (отвлечения его на получение якобы конфиденциальной информации);
программы тестового контроля защищенности КС и др.

Основные составляющие информационной безопасности (повторение для следующего пункта)

Наконец, конфиденциальность- это защита от несанкционированного доступа к информации.

В статье расскажем, какие способы защиты информации используют в 2020 году, какие работают на 100%, а какие не эффективны, а также как защититься при подключении к незапароленному Wi-Fi.

Способы защиты информации

Начнём с того, как защитить информацию как таковую. О способах защиты рассказал эксперт RTM Group Евгений Царёв.

Физические средства защиты информации

Это сейфы, в случае с компанией – системы контроля доступа, запираемые шкафы и прочее. Подходят для безопасности тех носителей, которые не используются, но хранятся продолжительное время. Важно отметить, что металлические шкафы не подходят для хранения магнитных носителей (жёсткие диски), т.к. могут размагничивать носитель. Для жёстких дисков следует применять специальные сейфы.

Аппаратные средства защиты информации

Электрические, электронные, оптические, лазерные и другие устройства. Многие пользуются токенами. Например, для доступа в интернет-банк это самое популярное аппаратное средство защиты информации. Это надёжные средства, если используются правильно, но с удобством есть проблемы. Аппаратные средства можно потерять, сломать и прочее, нужно поддерживать систему управления, причём с элементами логистики.

Программные средства защиты информации

Это простые и комплексные программы. Пример – антивирусы, установленные на большинстве компьютеров.

DLP-система (от англ. Data Leak Prevention)

Это специализированное ПО, которое блокирует передачу конфиденциальной информации и даёт возможность наблюдать за ежедневной работой сотрудников, чтобы найти слабые места в безопасности и предотвратить утечки. Система анализирует циркулирующую внутри компании информацию. Если появляется угроза опасности, информация блокируется, о чём автоматически уведомляют ответственного сотрудника. DLP и SIEM – решения высокого класса, требуют наличия качественной системы обеспечения информационной безопасности. Используются средними и крупными компаниями. Важна правильная настройка. Это основной инструментарий в работе служб информационной безопасности.

Криптографические средства

Храните данные удалённо

Удалённое хранение информации – часто залог сохранности, уверен Луис Корронс, ИБ-евангелист компании Avast: «Лучший способ защитить информацию – хранить непосредственно на устройствах, не загружая на внешние хранилища. Тогда, чтобы украсть данные, злоумышленникам придётся получить доступ к конкретному физическому устройству.

Но такой способ хранения информации трудно применим на практике, а потому не 100% эффективен. Пользователи обмениваются информацией, личными сведениями, часто требуется удалённый доступ.

Итак, подведём итог. Обычному человеку достаточно установить на компьютер антивирус. Если информация хранится на флешке (что лучше всего), носитель можно зашифровать или убрать в сейф. Что касается компаний, лучшее решение – нанять эксперта по информационной безопасности. Не стоит экономить на таких сотрудниках. Ценную информацию следует хранить на флешках и жёстких дисках в сейфе, а на рабочие компьютеры установить ПО, отслеживающее угрозы безопасности.

Как защитить информацию при денежных переводах

Отдельно стоит упомянуть о передаче данных при подключении к бесплатному незапароленному Wi-Fi. Если подключились к такой сети, лучше не передавайте конфиденциальную информацию (например, номер карты), не совершайте и не оплачивайте покупки – информация о карте не защищена и доступна мошенникам.

Несмотря на то, что банки блокируют подозрительные операции, лучше перестраховаться. Чтобы не переживать за сохранность информации, пользуйтесь специальным программным обеспечением. Например, бесплатным сервисом Hotspot Shield, который создан для организации виртуальной частной сети, гарантирующей безопасную передачу данных по зашифрованному соединению.

Как защитить информацию в почте и соцсетях

Гиганты, такие как Google, Яндекс, придумывают новые способы защитить данные, хранящиеся в почтовых ящиках пользователей. Например, в гугл-почту пользователи теперь заходят через разблокировку смартфона (при попытке зайти в почту на экране мобильного выскочит просьба подтвердить личность), используется двухфакторная аутентификация (такая же опция доступна, к примеру, в Инстаграм) и т.д.

Ещё недавно защита аккаунтов посредством введения кода из СМС (двухфакторная аутентификация) считалась надёжным методом. Однако эксперты говорят, что время этого способа защиты информации ушло.

Такую опцию запустил и Инстаграм. На практике это выглядит так. Пользователь скачивает приложение, которое генерирует уникальные коды. Коды нужно записать или сделать скриншот. По ним, а не по коду из СМС, пользователь попадёт в аккаунт, если возникнут проблемы с доступом.

Читайте также: