Средства обеспечения иб. Средства обеспечения безопасности информации. От чего защищает брандмауэр

В процессе выделения отрасли права большое значение имеет не только предмет отношений, но и метод его регулирования. Вся совокупность отношений по поводу информации (информационных ресурсов) регулируется нормами права национального, в данном случае Российской Федерации, нормами международного права, а также договоров РФ с другими государствами, в целом образующими систему информационного права.

Наиболее социализированной формой информации является знаковая и прежде всего письменная форма представления информации. Поэтому первый закон, специально посвященный информационным проблемам - Федеральный закон «Об информации, информатизации и защите информации», принятый в 1995 г. Предмет его регулирования - документированная информация, на основе которой формируются информационные ресурсы разных субъектов. Зарубежное законодательство, как правило, говорит о документе в качестве предмета регулируемых отношений.

Предметом информационного права является не только сама информация, но и процессы, связанные с ее получением (созданием, снятием), обработкой, хранением, передачей, распространением и т. д. Совокупность этих действий, связанных с информацией, называется информатикой, а создание условий для внедрения новейших технологий в работе с информацией - информатизацией. Таким образом, информация, информатизация, коммуникация информации по различным типам сетей и отношения, возникающие в этой связи, в совокупности составляют предметную область информационного права.

Более сложным является вопрос о методе этой отрасли права. В данном случае уместно говорить о методах, а не об одном методе. И это требует пояснения.

Нормативность - общеобязательность правовых норм (правил) обеспечивается рядом условий. В числе этих условий:

степень точности предметной области (сферы) социальной жизни, деятельности, в которой нормы должны действовать, получать реализацию;
степень точности, конкретность обозначения круга лиц - субъектов права, обязанных соблюдать правовые предписания, - адресность норм;
юридическое оформление содержания поведения или отношений субъектов права;
способы, в организационном отношении - механизмы, обеспечения исполнения воли субъекта - законодателя (творца нормативных предписаний), содержание предписания.

Если первые два условия обеспечиваются в процессе определения предмета правового регулирования, то содержательное наполнение норм права (предписаний), равно как и способы гарантирования реализации норм, имеют непосредственное отношения к методам правового регулирования.

Важно установить основные признаки регулирования в информационной сфере. В этой связи необходимо напомнить, какие цели решаются данной категорией права:

предписание действовать определенным образом в конкретной ситуации (в ситуации юридического факта) в пределах предметной сферы отношений, определение правил поведения, отношений субъектов права;
установление организационных мер и структур для обеспечения соблюдения установленных предписаний (правил);
установление структур, их прав и обязанностей, действующих в случаях нарушения нормативно предусмотренных правил поведения субъектов права в пределах регулируемой сферы (отрасли) отношений и реализующих принудительные и карательные меры в случаях нарушения порядка, предусмотренного нормами права.

Всепроникающая природа информации обуславливает то обстоятельство, что в праве формируется отрасль, которая не является ни классической, ни чистой по принадлежности к какому-либо семейству одной отрасли права по методу регулирования. Информационное право явля-

ется отраслью третьего уровня классификации - отраслью комплексной по методам правового регулирования. Имея наиболее точно очерченную сферу регулирования - информацию и информационную деятельность, данная часть правовой системы по своим методам использует разные средства и приемы, присущие всей системе права. Поэтому возможно говорить не об одном методе, а о методах, их множестве и разнообразии, взаимодополнении в пределах одной предметной отрасли.

Специфика методов информационного права - сочетание конституционного регулирования, административных способов обеспечения особенностей информационной деятельности, привлечение всего арсенала регулирующих, контрольных, принудительных, карательных и стимулирующих мер в процессе обеспечения соблюдения законодательства и реакции государства на правонарушения - объясняет и проблему места информационного права в системе права в целом. Информационное право - отрасль, которая находится в тесном контакте и взаимодействии со всеми другими отраслями права.

Базовой отраслью права для регулирования отношений, связанных с информационной деятельностью, - отношений в области связи и коммуникаций является административное право, и на этом основании выделяемое в самостоятельную область информационное право следует отнести к семейству административного права, что не исключает его связи с другими отраслями публичного права (уголовным, финансовым, экологическим и т. д.).

Быстро развивающиеся компьютерные информационные технологии вносят заметные изменения в нашу жизнь. Информация стала товаром, который можно приобрести, продать, обменять. При этом стоимость информации часто в сотни раз превосходит стоимость компьютерной системы, в которой она хранится.

От степени безопасности информационных технологий в настоящее время зависит благополучие, а порой и жизнь многих людей. Такова плата за усложнение и повсеместное распространение автоматизированных систем обработки информации.

Под информационной безопасностью понимается защищенность информационной системы от случайного или преднамеренного вмешательства, наносящего ущерб владельцам или пользователям информации.

На практике важнейшими являются три аспекта информационной безопасности:

доступность (возможность за разумное время получить требуемую информационную услугу);
целостность (актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения);
конфиденциальность (защита от несанкционированного прочтения).

Нарушения доступности, целостности и конфиденциальности информации могут быть вызваны различными опасными воздействиями на информационные компьютерные системы.

Основные угрозы информационной безопасности

Современная информационная система представляет собой сложную систему, состоящую из большого числа компонентов различной степени автономности, которые связаны между собой и обмениваются данными. Практически каждый компонент может подвергнуться внешнему воздействию или выйти из строя. Компоненты автоматизированной информационной системы можно разбить на следующие группы:

аппаратные средства - компьютеры и их составные части (процессоры, мониторы, терминалы, периферийные устройства - дисководы, принтеры, контроллеры, кабели, линии связи и т.д.);
программное обеспечение - приобретенные программы, исходные, объектные, загрузочные модули; операционные системы и системные программы (компиляторы, компоновщики и др.), утилиты, диагностические программы и т.д.;
данные - хранимые временно и постоянно, на магнитных носителях, печатные, архивы, системные журналы и т.д.;
персонал - обслуживающий персонал и пользователи.

Опасные воздействия на компьютерную информационную систему можно подразделить на случайные и преднамеренные. Анализ опыта проектирования, изготовления и эксплуатации информационных систем показывает, что информация подвергается различным случайным воздействиям на всех этапах цикла жизни системы. Причинами случайных воздействий при эксплуатации могут быть:

аварийные ситуации из-за стихийных бедствий и отключений электропитания;
отказы и сбои аппаратуры;
ошибки в программном обеспечении;
ошибки в работе персонала;
помехи в линиях связи из-за воздействий внешней среды.

Преднамеренные воздействия - это целенаправленные действия нарушителя. В качестве нарушителя могут выступать служащий, посетитель, конкурент, наемник. Действия нарушителя могут быть обусловлены разными мотивами:

недовольством служащего своей карьерой;
взяткой;
любопытством;
конкурентной борьбой;
стремлением самоутвердиться любой ценой.

Можно составить гипотетическую модель потенциального нарушителя:

квалификация нарушителя на уровне разработчика данной системы;
нарушителем может быть как постороннее лицо, так и законный пользователь системы;
нарушителю известна информация о принципах работы системы;
нарушитель выбирает наиболее слабое звено в защите.

Наиболее распространенным и многообразным видом компьютерных нарушений является несанкционированный доступ (НСД). НСД использует любую ошибку в системе защиты и возможен при нерациональном выборе средств защиты, их некорректной установке и настройке.

Проведем классификацию каналов НСД, по которым можно осуществить хищение, изменение или уничтожение информации:

Через человека:
- хищение носителей информации;
- чтение информации с экрана или клавиатуры;
- чтение информации из распечатки.
Через программу:
- перехват паролей;
- дешифровка зашифрованной информации;
- копирование информации с носителя.
Через аппаратуру:
- подключение специально разработанных аппаратных средств, обеспечивающих доступ к информации;
- перехват побочных электромагнитных излучений от аппаратуры, линий связи, сетей электропитания и т.д.

Особо следует остановиться на угрозах, которым могут подвергаться компьютерные сети. Основная особенность любой компьютерной сети состоит в том, что ее компоненты распределены в пространстве. Связь между узлами сети осуществляется физически с помощью сетевых линий и программно с помощью механизма сообщений. При этом управляющие сообщения и данные, пересылаемые между узлами сети, передаются в виде пакетов обмена. Компьютерные сети характерны тем, что против них предпринимают так называемые удаленные атаки . Нарушитель может находиться за тысячи километров от атакуемого объекта, при этом нападению может подвергаться не только конкретный компьютер, но и информация, передающаяся по сетевым каналам связи.

Обеспечение информационной безопасности

Формирование режима информационной безопасности - проблема комплексная. Меры по ее решению можно подразделить на пять уровней:

законодательный (законы, нормативные акты, стандарты и т.п.);
морально-этический (всевозможные нормы поведения, несоблюдение которых ведет к падению престижа конкретного человека или целой организации);
административный (действия общего характера, предпринимаемые руководством организации);
физический (механические, электро- и электронно-механические препятствия на возможных путях проникновения потенциальных нарушителей);
аппаратно-программный (электронные устройства и специальные программы защиты информации).

Единая совокупность всех этих мер, направленных на противодействие угрозам безопасности с целью сведения к минимуму возможности ущерба, образуют систему защиты .

Надежная система защиты должна соответствовать следующим принципам:

Стоимость средств защиты должна быть меньше, чем размеры возможного ущерба.
Каждый пользователь должен иметь минимальный набор привилегий, необходимый для работы.
Защита тем более эффективна, чем проще пользователю с ней работать.
Возможность отключения в экстренных случаях.
Специалисты, имеющие отношение к системе защиты должны полностью представлять себе принципы ее функционирования и в случае возникновения затруднительных ситуаций адекватно на них реагировать.
Под защитой должна находиться вся система обработки информации.
Разработчики системы защиты, не должны быть в числе тех, кого эта система будет контролировать.
Система защиты должна предоставлять доказательства корректности своей работы.
Лица, занимающиеся обеспечением информационной безопасности, должны нести личную ответственность.
Объекты защиты целесообразно разделять на группы так, чтобы нарушение защиты в одной из групп не влияло на безопасность других.
Надежная система защиты должна быть полностью протестирована и согласована.
Защита становится более эффективной и гибкой, если она допускает изменение своих параметров со стороны администратора.
Система защиты должна разрабатываться, исходя из предположения, что пользователи будут совершать серьезные ошибки и, вообще, имеют наихудшие намерения.
Наиболее важные и критические решения должны приниматься человеком.
Существование механизмов защиты должно быть по возможности скрыто от пользователей, работа которых находится под контролем.

Аппаратно-программные средства защиты информации

Несмотря на то, что современные ОС для персональных компьютеров, такие, как Windows 2000, Windows XP и Windows NT, имеют собственные подсистемы защиты, актуальность создания дополнительных средств защиты сохраняется. Дело в том, что большинство систем не способны защитить данные, находящиеся за их пределами, например при сетевом информационном обмене.

Аппаратно-программные средства защиты информации можно разбить на пять групп:

Системы идентификации (распознавания) и аутентификации (проверки подлинности) пользователей.
Системы шифрования дисковых данных.
Системы шифрования данных, передаваемых по сетям.
Системы аутентификации электронных данных.
Средства управления криптографическими ключами.

1. Системы идентификации и аутентификации пользователей

Применяются для ограничения доступа случайных и незаконных пользователей к ресурсам компьютерной системы. Общий алгоритм работы таких систем заключается в том, чтобы получить от пользователя информацию, удостоверяющую его личность, проверить ее подлинность и затем предоставить (или не предоставить) этому пользователю возможность работы с системой.

При построении этих систем возникает проблема выбора информации, на основе которой осуществляются процедуры идентификации и аутентификации пользователя. Можно выделить следующие типы:

секретная информация, которой обладает пользователь (пароль, секретный ключ, персональный идентификатор и т.п.); пользователь должен запомнить эту информацию или же для нее могут быть применены специальные средства хранения;
физиологические параметры человека (отпечатки пальцев, рисунок радужной оболочки глаза и т.п.) или особенности поведения (особенности работы на клавиатуре и т.п.).

Системы, основанные на первом типе информации, считаются традиционными . Системы, использующие второй тип информации, называют биометрическими . Следует отметить наметившуюся тенденцию опережающего развития биометрических систем идентификации.

2. Системы шифрования дисковых данных

Чтобы сделать информацию бесполезной для противника, используется совокупность методов преобразования данных, называемая криптографией [от греч. kryptos - скрытый и grapho - пишу].

Системы шифрования могут осуществлять криптографические преобразования данных на уровне файлов или на уровне дисков. К программам первого типа можно отнести архиваторы типа ARJ и RAR, которые позволяют использовать криптографические методы для защиты архивных файлов. Примером систем второго типа может служить программа шифрования Diskreet, входящая в состав популярного программного пакета Norton Utilities, Best Crypt.

Другим классификационным признаком систем шифрования дисковых данных является способ их функционирования. По способу функционирования системы шифрования дисковых данных делят на два класса:

системы "прозрачного" шифрования;
системы, специально вызываемые для осуществления шифрования.

В системах прозрачного шифрования (шифрования "на лету") криптографические преобразования осуществляются в режиме реального времени, незаметно для пользователя. Например, пользователь записывает подготовленный в текстовом редакторе документ на защищаемый диск, а система защиты в процессе записи выполняет его шифрование.

Системы второго класса обычно представляют собой утилиты, которые необходимо специально вызывать для выполнения шифрования. К ним относятся, например, архиваторы со встроенными средствами парольной защиты.

Большинство систем, предлагающих установить пароль на документ, не шифрует информацию, а только обеспечивает запрос пароля при доступе к документу. К таким системам относится MS Office, 1C и многие другие.

3. Системы шифрования данных, передаваемых по сетям

Различают два основных способа шифрования: канальное шифрование и оконечное (абонентское) шифрование.

В случае канального шифрования защищается вся информация, передаваемая по каналу связи, включая служебную. Этот способ шифрования обладает следующим достоинством - встраивание процедур шифрования на канальный уровень позволяет использовать аппаратные средства, что способствует повышению производительности системы. Однако у данного подхода имеются и существенные недостатки:

шифрование служебных данных осложняет механизм маршрутизации сетевых пакетов и требует расшифрования данных в устройствах промежуточной коммуникации (шлюзах, ретрансляторах и т.п.);
шифрование служебной информации может привести к появлению статистических закономерностей в шифрованных данных, что влияет на надежность защиты и накладывает ограничения на использование криптографических алгоритмов.

Оконечное (абонентское) шифрование позволяет обеспечить конфиденциальность данных, передаваемых между двумя абонентами. В этом случае защищается только содержание сообщений, вся служебная информация остается открытой. Недостатком является возможность анализировать информацию о структуре обмена сообщениями, например об отправителе и получателе, о времени и условиях передачи данных, а также об объеме передаваемых данных.

4. Системы аутентификации электронных данных

При обмене данными по сетям возникает проблема аутентификации автора документа и самого документа, т.е. установление подлинности автора и проверка отсутствия изменений в полученном документе. Для аутентификации данных применяют код аутентификации сообщения (имитовставку) или электронную подпись.

Имитовставка вырабатывается из открытых данных посредством специального преобразования шифрования с использованием секретного ключа и передается по каналу связи в конце зашифрованных данных. Имитовставка проверяется получателем, владеющим секретным ключом, путем повторения процедуры, выполненной ранее отправителем, над полученными открытыми данными.

Электронная цифровая подпись представляет собой относительно небольшое количество дополнительной аутентифицирующей информации, передаваемой вместе с подписываемым текстом. Отправитель формирует цифровую подпись, используя секретный ключ отправителя. Получатель проверяет подпись, используя открытый ключ отправителя.

Таким образом, для реализации имитовставки используются принципы симметричного шифрования, а для реализации электронной подписи - асимметричного. Подробнее эти две системы шифрования будем изучать позже.

5. Средства управления криптографическими ключами

Безопасность любой криптосистемы определяется используемыми криптографическими ключами. В случае ненадежного управления ключами злоумышленник может завладеть ключевой информацией и получить полный доступ ко всей информации в системе или сети.

Различают следующие виды функций управления ключами: генерация, хранение, и распределение ключей.

Способы генерации ключей для симметричных и асимметричных криптосистем различны. Для генерации ключей симметричных криптосистем используются аппаратные и программные средства генерации случайных чисел. Генерация ключей для асимметричных криптосистем более сложна, так как ключи должны обладать определенными математическими свойствами. Подробнее на этом вопросе остановимся при изучении симметричных и асимметричных криптосистем.

Функция хранения предполагает организацию безопасного хранения, учета и удаления ключевой информации. Для обеспечения безопасного хранения ключей применяют их шифрование с помощью других ключей. Такой подход приводит к концепции иерархии ключей. В иерархию ключей обычно входит главный ключ (т.е. мастер-ключ), ключ шифрования ключей и ключ шифрования данных. Следует отметить, что генерация и хранение мастер-ключа является критическим вопросом криптозащиты.

Распределение - самый ответственный процесс в управлении ключами. Этот процесс должен гарантировать скрытность распределяемых ключей, а также быть оперативным и точным. Между пользователями сети ключи распределяют двумя способами:

с помощью прямого обмена сеансовыми ключами;
используя один или несколько центров распределения ключей.

Перечень документов

О ГОСУДАРСТВЕННОЙ ТАЙНЕ. Закон Российской Федерации от 21 июля 1993 года № 5485-1 (в ред. Федерального закона от 6 октября 1997 года № 131-ФЗ).
ОБ ИНФОРМАЦИИ, ИНФОРМАТИЗАЦИИ И ЗАЩИТЕ ИНФОРМАЦИИ. Федеральный закон Российской Федерации от 20 февраля 1995 года № 24-ФЗ. Принят Государственной Думой 25 января 1995 года.
О ПРАВОВОЙ ОХРАНЕ ПРОГРАММ ДЛЯ ЭЛЕКТРОННЫХ ВЫЧИСЛИТЕЛЬНЫХ МАШИН И БАЗ ДАННЫХ. Закон Российской Федерации от 23 фентября 1992 года № 3524-1.
ОБ ЭЛЕКТРОННОЙ ЦИФРОВОЙ ПОДПИСИ. Федеральный закон Российской Федерации от 10 января 2002 года № 1-ФЗ.
ОБ АВТОРСКОМ ПРАВЕ И СМЕЖНЫХ ПРАВАХ. Закон Российской Федерации от 9 июля 1993 года № 5351-1.
О ФЕДЕРАЛЬНЫХ ОРГАНАХ ПРАВИТЕЛЬСТВЕННОЙ СВЯЗИ И ИНФОРМАЦИИ. Закон Российской Федерации (в ред. Указа Президента РФ от 24.12.1993 № 2288; Федерального закона от 07.11.2000 № 135-ФЗ.
Положение об аккредитации испытательных лабораторий и органов по сертификации средств защиты информации по требованиям безопасности информации / Государственная техническая комиссия при Президенте Российской Федерации.
Инструкция о порядке маркирования сертификатов соответствия, их копий и сертификационных средств защиты информации / Государственная техническая комиссия при Президенте Российской Федерации.
Положение по аттестации объектов информатизации по требованиям безопасности информации / Государственная техническая комиссия при Президенте Российской Федерации.
Положение о сертификации средств защиты информации по требованиям безопасности информации: с дополнениями в соответствии с Постановлением Правительства Российской Федерации от 26 июня 1995 года № 608 "О сертификации средств защиты информации" / Государственная техническая комиссия при Президенте Российской Федерации.
Положение о государственном лицензировании деятельности в области защиты информации / Государственная техническая комиссия при Президенте Российской Федерации.
Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации: Руководящий документ / Государственная техническая комиссия при Президенте Российской Федерации.
Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации: Руководящий документ / Государственная техническая комиссия при Президенте Российской Федерации.
Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации: Руководящий документ / Государственная техническая комиссия при Президенте Российской Федерации.
Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации: Руководящий документ / Государственная техническая комиссия при Президенте Российской Федерации.
Защита информации. Специальные защитные знаки. Классификация и общие требования: Руководящий документ / Государственная техническая комиссия при Президенте Российской Федерации.
Защита от несанкционированного доступа к информации. Термины и определения: Руководящий документ / Государственная техническая комиссия при Президенте Российской Федерации.

К методам и средствам защиты информации относят правовые, организационно-технические и экономические мероприятия информационной защиты и меры защиты информации (правовая защита информации, техническая защита информации, защита экономической информации и т.д.).

К правовым методам обеспечения информационной безопасности относится разработка нормативных правовых актов, регламентирующих отношения в ин-формационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности Российской Федерации. Наиболее важными направлениями этой деятельности являются:

внесение изменений и дополнений в законодательство Российс-кой Федерации, регулирующее отношения в области обеспечения информационной безопасности, в целях создания и совершенствова-ния системы обеспечения информационной безопасности Российской Федерации, устранения внутренних противоречий в федеральном за-конодательстве, противоречий, связанных с международными согла-шениями, к которым присоединилась Россия, и противоречий между федеральными законодательными актами и законодательными ак-тами субъектов Российской Федерации, а также в целях конкретиза-ции правовых норм, устанавливающих ответственность за правона-рушения в области обеспечения информационной безопасности Рос-сийской Федерации;
законодательное разграничение полномочий в области обеспе-чения информационной безопасности Российской Федерации между федеральными органами государственной власти и органами государ-ственной власти субъектов Российской Федерации, определение це-лей, задач и механизмов участия в этой деятельности общественных объединений, организаций и граждан;
разработка и принятие нормативных правовых актов Российс-кой Федерации, устанавливающих ответственность юридических и физических лиц за несанкционированный доступ к информации, ее противоправное копирование, искажение и противозаконное исполь-зование, преднамеренное распространение недостоверной информа-ции, противоправное раскрытие конфиденциальной информации, использование в преступных и корыстных целях служебной инфор-мации или информации, содержащей коммерческую тайну;
уточнение статуса иностранных информационных агентств, СМИ и журналистов, а также инвесторов при привлечении иност-ранных инвестиций для развития информационной инфраструкту-ры России;
законодательное закрепление приоритета развития нацио-нальных сетей связи и отечественного производства космических спутников связи;
определение статуса организаций, предоставляющих услуги
глобальных информационно-телекоммуникационных сетей на территории Российской Федерации, и правовое регулирование деятель-ности этих организаций;
создание правовой базы для формирования в Российской Феде-рации региональных структур обеспечения информационной безопас-ности.

Организационно-техническими методами обеспечения информационной безопасности являются:

создание и совершенствование системы обеспечения информа-ционной безопасности РФ;
усиление правоприменительной деятельности федеральных ор-ганов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, включая предупреждение и пресе-чение правонарушений в информационной сфере, а также выявле-ние, изобличение и привлечение к ответственности лиц, совершив-ших преступления и другие правонарушения в этой сфере;
разработка, использование и совершенствование средств защи-ты информации и методов контроля эффективности этих средств, развитие телекоммуникационных систем, повышение надежности специального программного обеспечения;
создание систем и средств предотвращения несанкционирован-ного доступа к обрабатываемой информации и специальных воздей-ствий, вызывающих разрушение, уничтожение, искажение инфор-мации, а также изменение штатных режимов функционирования систем и средств информатизации и связи;
выявление технических устройств и программ, представляю-щих опасность для нормального функционирования информацион-но-телекоммуникационных систем, предотвращение перехвата ин-формации по техническим каналам, применение криптографических средств защиты информации при ее хранении, обработке и передаче по каналам связи, контроль над выполнением специальных требова-ний по защите информации;
сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандарти-зация способов и средств защиты информации;
совершенствование системы сертификации телекоммуникаци-онного оборудования и программного обеспечения автоматизирован-ных систем обработки информации по требованиям информацион-ной безопасности;
контроль над действиями персонала в защищенных информа-ционных системах, подготовка кадров в области обеспечения инфор-мационной безопасности Российской Федерации;
формирование системы мониторинга показателей и характе-ристик информационной безопасности Российской Федерации в наи-более важных сферах жизни и деятельности общества и государства.

Экономические методы обеспечения информационной безопасности включают в себя:

разработку программ обеспечения информационной безопасно-сти Российской Федерации и определение порядка их финансирова-ния;
совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов за-щиты информации, создание системы страхования информационных рисков физических и юридических лиц.

В современных информационных технологиях для эффектив-ного использования этих методов широко применяются организационные, физические, программно-технические средства.

Организационные мероприятия предполагают объединение всех составляющих (компонент) безопасности. Во всем мире основную угрозу информации организации представляют ее сотруд-ники, оказывающиеся психически неуравновешенными, обижен-ными или неудовлетворенными характером их работы, заработной платой, взаимоотношениями с коллегами и руководителями.

Американские специалисты утверждают, что до 85% случаев промышленного шпионажа ведется силами сотрудников компании, в которой это происходит. Они отмечают, что более трети финансовых потерь и потерь данных в организациях происходит по вине их собственных сотрудников. Даже сотрудники – авторизованные пользователи – случайно или намерено нарушают политику безопасности. Существует даже некоторая их классификация. Например, «неграмотный» - сотрудник, открывающий любые письма, вложения и ссылки; «инсайдер» - сотрудник, стремящийся, как правило в корыстных целях, поручить и вынести конфиденциальную информацию; «нецелевик» - сотрудник, использующий ресурсы организации в личных целях (веб-серфинг, почта, чаты, мгновенные сообщения, игры, обучение, хранилища и др.). При этом специалисты отмечают, что преднамеренные утечки информации (злой умысел) обычно составляют 1-2% всех инцидентов.

Решение этих проблем относится к компетенции администрации и службы безопасности организации.

Физические мероприятия примыкают к организационным. Они заключаются в применении человеческих ресурсов, специальных технических средств и устройств, обеспечивающих защиту от про-никновения злоумышленников на объект, несанкционированного использования, порчи или уничтожения ими материальных и люд-ских ресурсов. Такими человеческими ресурсами являются лица ведомственной или вневедомственной охраны и вахтеры, отдель-ные, назначаемые руководством организации, сотрудники. Они ограничивают, в том числе с помощью соответствующих техни-ческих устройств, доступ на объекты нежелательных лиц.

Программные средства защиты являются самым распро-страненным методом защиты информации в компьютерах и ин-формационных сетях. Они обычно применяются при затруднении использования некоторых других методов и средств и делятся на основные и вспомогательные.

Основные программные средства защиты информации спо-собствуют противодействию съема, изменения и уничтожения ин-формации по основным возможным каналам воздействия на нее. Для этого они помогают осуществлять: аутентификацию объектов (работников и посетителей организаций), контроль и регулирова-ние работы людей и техники, самоконтроль и защиту, разграниче-ние доступа, уничтожение информации, сигнализацию о несанк-ционированном доступе и несанкционированной информации.

Вспомогательные программы защиты информации обеспечи-вают: уничтожение остаточной информации на магнитных и иных перезаписываемых носителях данных, формирование грифа сек-ретности и категорирование грифованной информации, имитацию работы с несанкционированным пользователем для накопления сведений о его методах, ведение регистрационных журналов, об-щий контроль функционирования подсистемы защиты, проверку системных и программных сбоев и др.

Программные средства защиты информации представляют собой комплекс алгоритмов и программ специального назначения и общего обеспечения функционирования компьютеров и инфор-мационных сетей, нацеленных на: контроль и разграничение до-ступа к информации; исключение несанкционированных действий с ней; управление охранными устройствами и т.п. Они обладают универсальностью, простотой реализации, гибкостью, адаптив-ностью, возможностью настройки системы и др. и применяются для борьбы с компьютерными вирусами Для защиты машин от компьютерных вирусов, профилактики и «лечения» используются программы-антивирусы, а также средства диагностики и профилактики, позволяющие не допустить попада-ния вируса в компьютерную систему, лечить зараженные файлы и диски, обнаруживать и предотвращать подозрительные действия Антивирусные программы оцениваются по точности обнаружении и эффективному устранению вирусов, простоте использовании, стоимости, возможности работать в сети. Наибольшей популярностью пользуются отечественные антивирусные программы DrWeb (Doctor Web ) И. Данилова и AVP (Antiviral Toolkit Pro ) E . Касперского. Они обладают удобным интерфейсом, средствами сканирования программ, проверки системы при загрузке и т.д.

Однако абсолютно надежных программ, гарантирующих об-наружение и уничтожение любого вируса, не существует. Только многоуровневая оборона способна обеспечить наиболее полную защиту от вирусов. Важный элемент защиты от компьютерных вирусов - профилактика. Антивирусные программы применяют одновременно с регулярным резервированием данных и профилактическими мероприятиями. Вместе эти меры позволяют значи-тельно снизить вероятность заражения вирусом.

Основными мерами профилактики вирусов являются:

применение лицензионного программного обеспечения;
регулярное использование нескольких постоянно обновляе-мых антивирусных программ для проверки не только собственных носителей информации при переносе на них сторонних файлов, но и любых «чужих» дискет и дисков с любой информацией на них, в том числе и переформатированных;
применение различных защитных средств при работе на компьютере в любой информационной среде (например, в Интер-нете), проверка на наличие вирусов файлов, полученных по сети;
периодическое резервное копирование наиболее ценных данных и программ.

Чаще всего источниками заражения являются компьютерные игры, приобретенные «неофициальным» путем, и нелицензион-ное программное обеспечение. Надежной гарантией от вирусов является аккуратность пользователей при выборе программ и установке их на компьютере, а также во время сеансов в Интер-нете.

Информационные ресурсы в электронной форме размещаются стационарно на жестких дисках серверов и компьютеров пользо-вателей и т.п., хранятся на переносимых носителях информации.

Они могут представлять отдельные файлы с различной инфор-мацией, коллекции файлов, программы и базы данных. В зависи-мости от этого к ним применяются различные меры, способству-ющие обеспечению безопасности информационных ресурсов. К основным программно-техническим мерам, применение которых позволяет решать проблемы обеспечения безопасности информа-ционных ресурсов, относят: аутентификацию пользователя и уста-новление его идентичности; управление доступом к базе данных; поддержание целостности данных; протоколирование и аудит; за-щиту коммуникаций между клиентом и сервером; отражение уг-роз, специфичных для СУБД и др.

В целях защиты информации в базах данных важнейшими яв-ляются следующие аспекты информационной безопасности

доступность - возможность получить некоторую требуемую информационную услугу;
целостность - непротиворечивость информации, ее защищен-ность от разрушения и несанкционированного изменения;
конфиденциальность - защита от несанкционированного про-чтения.

Эти аспекты являются основополагающими для любого про-граммно-технического обеспечения, предназначенного для созда-ния условий безопасного функционирования данных в компьюте-рах и компьютерных информационных сетях.

Контроль доступа представляет собой процесс защиты дан-ных и программ от их использования объектами, не имеющими на это права.

Одним из наиболее известных способов защиты информации является ее кодирование (шифрование, криптография).

Криптография - это система изменения информации (кодиро-вания, шифрования) с целью ее защиты от несанкционированных воздействий, а также обеспечения достоверности передаваемых данных.

Код характеризуется: длиной - числом знаков, используемых при кодировании, и структурой - порядком расположения символов, обозначающих классификационный признак.

Средством кодирования служит таблица соответствия. Приме-ром такой таблицы для перевода алфавитно-цифровой информа-ции в компьютерные коды является кодовая таблица ASCII .

Для шифрования информации все чаще используют криптогра-фические методы ее защиты.

Криптографические методы защиты информации содержат комплекс (совокупность) алгоритмов и процедур шифрования и кодирования информации, используемых для преобразования смыслового содержания передаваемых в информационных сетях данных. Они подразумевают создание и применение специальных секретных ключей пользователей.

Общие методы криптографии существуют давно. Она счи-тается мощным средством обеспечения конфиденциальности и контроля целостности информации. Пока альтернативы методам криптографии нет. И хотя криптография не спасает от физических воздействий, в остальных случаях она служит надежным средс-твом защиты данных.

Стойкость криптоалгоритма зависит от сложности методов пре-образования. Главным критерием стойкости любого шифра или кода являются имеющиеся вычислительные мощности и время, в течение которого можно их расшифровать. Если это время равня-ется нескольким годам, то стойкость таких алгоритмов является вполне приемлемой и более чем достаточной для большинства организаций и личностей. Если использовать 256- и более раз-рядные ключи, то уровень надежности защиты данных составит десятки и сотни лет работы суперкомпьютера. При этом для ком-мерческого применения достаточно 40-, 44-разрядных ключей.

Для кодирования ЭИР, с целью удовлетворения требованиям обес-печения безопасности данных от несанкционированных воздействий на них, используется электронная цифровая подпись (ЭЦП).

Цифровая подпись для сообщения представляет последова-тельность символов, зависящих от самого сообщения и от неко-торого секретного, известного только подписывающему субъекту, ключа. Она должна легко проверяться и позволять решать три следующие задачи:

осуществлять аутентификацию источника сообщения,
устанавливать целостность сообщения,
обеспечивать невозможность отказа от факта подписи конк-ретного сообщения.

Первый отечественный стандарт ЭЦП появился в 1994 году. Вопросами использования ЭЦП в России занимается Федераль-ное агентство по информационным технологиям (ФАИТ).

Существующий в мире опыт свидетельствует, что строить сис-темы безопасности из отдельных продуктов неэффективно. Поэ-тому отмечается общая потребность в комплексных решениях ин-формационной безопасности и их сопровождения. При этом специалисты отмечают, что наиболее эффективные меры защиты кроются не в технических средствах, а в применении различных организационных и административных мер, регламентов, инс-трукций и в обучении персонала.

Технические мероприятия базируются на применении сле-дующих средств и систем: охранной и пожарной сигнализации; контроля и управления доступом; видеонаблюдения и защиты периметров объектов; защиты информации; контроля состояния окружающей среды и технологического оборудования, систем безопасности, перемещения людей, транспорта и грузов; учета рабочего времени персонала и времени присутствия на объектах различных посетителей.

Для комплексного обеспечения безопасности объекты обору-дуются системами связи, диспетчеризации, оповещения, контроля и управления доступом; охранными, пожарными, телевизионными и инженерными устройствами и системами; охранной, пожарной сигнализацией, противопожарной автоматикой и др.

Биометрические методы защиты информации. Понятие «биометрия» определяет раздел биологии, занимаю-щийся количественными биологическими экспериментами с при-влечением методов математической статистики.

Биометрия представляет собой совокупность автоматизирован-ных методов и средств идентификации человека, основанных на его физиологических или поведенческих характеристик. Биометрическая идентификация позволяет идентифицировать индивида по присущим ему специфическим биометрическим признакам, то есть его статическими (отпечаткам пальца, роговице глаза, генетическому коду, запаху и др.) и динамическими (голосу, почерку, поведению и др.) характеристиками.

Биометрическая идентификация считается одним из наиболее надежных способов. Уникальные биологические, физиологические и поведенческие характеристики, индивидуальные для каждого человека, называют биологическим кодом человека.

Первые биометрические системы использовали рисунок (отпе-чаток) пальца. Примерно одну тысячу лет до н.э. в Китае и Вави-лоне знали об уникальности отпечатков пальцев. Их ставили под юридическими документами. Однако дактилоскопию стали приме-нять в Англии с 1897 года, а в США - с 1903 года.

Считыватели обеспечивают считывание идентификационного кода и передачу его в контроллер. Они преобразуют уникальный код пользователя в код стандартного формата, передаваемый контроллеру для принятия управленческого решения. Считыва-тели бывают контактные и бесконтактные. Они могут фиксиро-вать время прохода или открывания дверей и др. К ним относят устройства: дактилоскопии (по отпечаткам пальцев); идентифи-кации глаз человека (идентификация рисунка радужной оболоч-ки глаза или сканирование глазного дна); фотоидентификации (сравнение создаваемых ими цветных фотографий (банк данных) с изображением лица индивида на экране компьютера); иденти-фикации по форме руки, генетическому коду, запаху, голосу, по-черку, поведению и др.

В различных странах (в том числе в России) включают биомет-рические признаки в загранпаспорта и другие идентифицирую-щие личности документы. Преимущество биологических систем идентификации, по сравнению с традиционными (например, PI №-кодовыми, доступом по паролю), заключается в идентификации не внешних предметов, принадлежащих человеку, а самого челове-ка. Анализируемые характеристики человека невозможно утерять, передать, забыть и крайне сложно подделать. Они практически не подвержены износу и не требуют замены или восстановления.

С помощью биометрических систем осуществляются:

ограничение доступа к информации и обеспечение персо-нальной ответственности за ее сохранность;
обеспечение допуска сертифицированных специалистов;
предотвращение проникновения злоумышленников на охра-няемые территории и в помещения вследствие подделки и (или) кражи документов (карт, паролей);
организация учета доступа и посещаемости сотрудников, а также решается ряд других проблем.

Самой популярной считается аутентификация по отпечаткам пальцев, которые, в отличие от пароля, нельзя забыть, потерять, и заменить. Однако в целях повышения надежности аутентификации и защиты ценной информации лучше использовать комбинацию биометрических признаков. Удачным считается одновременное использование двухфакторной аутентификации пользователя, включающее оптический сканер отпечатков пальцев и картридер для смарт-карты, в которой в защищенном виде хранятся те же отпечатки пальцев.

К новым биометрическим технологиям следует отнести трех-мерную идентификацию личности, использующую трехмерные сканеры идентификации личности с параллаксным методом ре-гистрации образов объектов и телевизионные системы регис-трации изображений со сверхбольшим угловым полем зрения. Предполагается, что подобные системы будут применяться для идентификации личностей, трехмерные образы которых войдут в состав удостоверений личности и других документов. Сканирова-ние с помощью миллиметровых волн - быстрый метод, позволя-ющий за две-четыре секунды сформировать трехмерное топогра-фическое изображение, которое можно поворачивать на экране монитора для досмотра предметов, находящихся в одежде и на теле человека. С этой же целью используют и рентгеновские ап-параты. Дополнительным преимуществом миллиметровых волн в сравнении с рентгеном является отсутствие радиации - этот вид просвечивания безвреден, а создаваемое им изображение гене-рируется энергией, отраженной от тела человека. Энергия, излу-чаемая миллиметровыми волнами, в 10 000 раз слабее излучения от сотового телефона.

Защита информации в информационных компьютерных сетях осуществляется с помощью специальных программных, техничес-ких и программно-технических средств. С целью защиты сетей и контроля доступа в них используют:

фильтры пакетов, запрещающие установление соединений,
пересекающих границы защищаемой сети;
фильтрующие маршрутизаторы, реализующие алгоритмы
анализа адресов отправления и назначения пакетов в сети;
шлюзы прикладных программ, проверяющие права доступа к
программам.

В качестве устройства, препятствующего получению злоумыш-ленником доступа к информации, используют Firewalls (рус. «огненная стена» или «защитный барьер» - брандмауэр). Такое устройство располагают между внутренней локальной сетью организации и Интернетом. Оно ограничивает трафик, пресекает по-пытки несанкционированного доступа к внутренним ресурсам орга-низации. Это внешняя защита. Современные брандмауэры могут «отсекать» от пользователей корпоративных сетей незаконную и нежелательную для них корреспонденцию, передаваемую по электронной почте. При этом ограничивается возможность получении избыточной информации и так называемого «мусора» (спама).

Считается, что спам появился в 1978 г., а значительный его рост наблюдается в 2003 г. Сложно сказать, какой почты приходит больше: полезной или бестолковой. Выпускается много ПО, предназначенного для борьбы с ним, но единого эффективного средства пока нет.

Техническим устройством, способным эффективно осущест-влять защиту в компьютерных сетях, является маршрутизатор. Он осуществляет фильтрацию пакетов передаваемых данных. В результате появляется возможность запретить доступ некоторым пользователям к определенному «хосту», программно осущест-влять детальный контроль адресов отправителей и получателей. Также можно ограничить доступ всем или определенным катего-риям пользователей к различным серверам, например ведущим распространение противоправной или антисоциальной информа-ции (пропаганда секса, насилия и т.п.).

Защита может осуществляться не только в глобальной сети или локальной сети организации, но и отдельных компьютеров. Для этой цели создаются специальные программно-аппаратные комп-лексы.

Защита информации вызывает необходимость системного под-хода, т.е. здесь нельзя ограничиваться отдельными мероприятиями. Системный подход к защите информации требует, чтобы средства и действия, используемые для обеспечения информационной безо-пасности - организационные, физические и программно-техни-ческие - рассматривались как единый комплекс взаимосвязанных взаимодополняющих и взаимодействующих мер. Один из основных принципов системного подхода к защите информации - принцип «разумной достаточности», суть которого: стопроцентной защиты не существует ни при каких обстоятельствах, поэтому стремиться стоит не к теоретически максимально достижимому уровню защи-ты, а к минимально необходимому в данных конкретных условиях и при данном уровне возможной угрозы.

В любом обществе циркулируют потоки информации разной степени секретности: ведомственная, служебная, коммерческая, личная и информация, предназначенная для общего пользования. Все виды этой информации в той или иной степени обрабатываются на ПЭВМ. Следовательно, ПЭВМ может стать источником утечки или разрушения информации в комнате, организации, фирме, предприятии, семье. Каналами утечки или разрушения информации являются:

Простейшие каналы:

Несанкционированный просмотр (фотографирование) и хищение результатов регистрации информации на дисплее, принтере, графопостроителе;

Несанкционированный доступ к машинным носителям информации с целью их просмотра, копирования или хищения;

Изощрённые каналы:

Чтение остаточной информации в памяти компьютера после выполнения санкционированных запросов;

Преодоление защиты файлов и программ, в том числе: маскировка под зарегистрированного пользователя, применение программных ловушек, использование недостатков ОС;

Использование радиозакладок, устанавливаемых для получения обрабатываемой на ПЭВМ информации и настраиваемых на определенные излучения;

Наводки в сети питания, контуре заземления, каналах связи, системе охранной и пожарной сигнализации, в системах тепло-, водо- и газоснабжения;

Внедрение и использование компьютерных вирусов.

Многообразие каналов утечки и разрушения информации требует очень внимательного подхода к решению задачи по обеспечению информационной безопасности.

Информационная безопасность – защищённость информации от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации.

Различают два аспекта информационной безопасности:

- целостность – защищённость от разрушения и несанкционированного изменения;

- конфиденциальность – защищённость от несанкционированного прочтения;

Опыт защиты информации показывает, что эффективной может быть только комплексная защита. В систему комплексной защиты входят 6 уровней мер защиты:

1. Морально-этический

2. Законодательный

3. Финансовый

4. Административный

5. Организационно-технический

6. Программно-технический

Морально-этические меры защиты – нерегламентированные меры: неписаные нормы честности, порядочности, патриотизма, несоблюдение которых ведет к потере авторитета сотрудника, отдела или всей фирмы.

Законодательные меры защиты используют пять общепринятых юридических понятий защиты информации: патент, авторское право, товарный знак, знак обслуживания и коммерческая тайна. Основная проблема – заметное отставание темпов совершенствования законодательных норм от стремительного развития противозаконных способов нарушения информационной безопасности. Основная причина в том, что законодательство – вообще медленно развивающаяся система в силу обязательного для неё соблюдения принципа разумного консерватизма. В силу чрезвычайно быстрого развития компьютерных технологий преступные методы развиваются также быстро. Так что подобное отставание вполне объективно.

К финансовым методам защиты относятся:

Благоприятная финансовая политика государства в сфере защиты информации;

Льготное налогообложение фирм, разрабатывающих и поставляющих средства защиты информации;

Страховая защита информации.

Административные меры защиты включают действия организационного характера, предпринимаемые руководством учреждения. Они включают организацию службы безопасности фирмы, пропускного режима, обеспечения определённого регламента работы с документами сотрудниками фирмы. При организации обработки закрытой информации на ПЭВМ целесообразно выполнение следующих мероприятий:

Сокращение до минимума числа ПЭВМ, обрабатывающих закрытую информацию;

Выделение специальных ПЭВМ для выхода в компьютерные сети;

Размещение ПЭВМ на расстоянии не менее трех метров от средств и линий связи, радио- и телевизионной аппаратуры, охранной и пожарной сигнализации, водопроводных, отопительных и газовых труб;

Ограничение доступа в помещения, в которых происходит подготовка и обработка информации;

Доступ к подготовке, обработке и передаче информации только проверенных и специально подготовленных должностных лиц;

Обеспечение специального режима хранения магнитных, бумажных и иных носителей информации;

Уничтожение бумаги и иных отслуживших срок материалов, содержащих фрагменты ценной информации.

Организационно-технический уровень – технические системы охраны территорий и помещений, а также оборудование рабочих мест специальными средствами информационной защиты. Например:

Организация электропитания оборудования от независимых источников;

Применение жидкокристаллических и газоплазменных дисплеев, имеющих низкий уровень электромагнитных излучений, и безударных принтеров (поскольку другие технические средства порождают электромагнитные или акустические излучения, которые могут приниматься с помощью специальных технических средств на больших расстояниях);

Использование строительных конструкций и механических устройств, препятствующих проникновению нежелательных лиц в закрытые зоны фирмы и хищению документов и устройств; применение средства против подслушивания и подсматривания; экранирование машинных залов от электромагнитного излучения металлическими листами;

Использование систем наблюдения, охранной и пожарной сигнализации, систем обнаружения средств разведки конкурентов, средств защиты документов и изделий при их транспортировке

Уничтожение информации в ПЗУ и на ЖД при списании ЭВМ или отправлении в ремонт.

Программно-технический уровень – защита с помощью программных средств и аппаратуры вычислительных машин. Средства защиты встраиваются в блоки ПЭВМ или выполняются в виде отдельных устройств, сопрягаемых с ПЭВМ. Программно-аппаратные средства могут решать следующие задачи:

Запрет несанкционированного доступа к ресурсам ПЭВМ;

Защиту от компьютерных вирусов;

Защиту информации при аварийном отключении электропитания.

Защита от несанкционированного доступа к ресурсам предусматривает защиту доступа к дисковым накопителям информации, к клавиатуре и дисплею ПЭВМ, включая:

Защиту от любого несанкционированного доступа к дискам и файлам;

Разграничение доступа пользователей к файлам дисков;

Контроль обращения к диску и проверку целостности защиты информации диска;

Стирание в файлах остатков закрытой информации.

Защита дисков и файлов от несанкционированного доступа к ним осуществляется с помощью паролей. Пароль – это набор символов, который соответствует определенному объекту идентификации. Пароли для защиты дисков делятся:

По типу объектов идентификации: пароли пользователей, ресурсов и файлов;

По типу символов: цифровые, буквенные, смешанные;

По способу ввода в ПЭВМ: с клавиатуры, с помощью мыши, со специальной ключевой дискеты;

По срокам применения: с неограниченным сроком, периодически сменяемые, разовые;

По длительности: фиксированной и переменной длины.

Чем больше длина пароля и меньше срок его использования, тем больше защищённость диска.

Парольная защита дисков осуществляется, например, программами HARDLOCK и PASSAW, а также утилитой Пароли в Панели управления Windows.

Разработан ряд специальных программ, которые фиксируют даты и время обращения к диску, а также случаи «взлома» защиты диска.

Необходимость стирания в файлах остатков закрытой информации вызвана тем, что

во-первых, при удалении файла командами многих ОС стирается только имя файла, а не сама информация на диске;

во-вторых, объем данных в файле меньше, чем отведенное для файла пространство на диске, поэтому в конце ("хвосте") файла могут сохраниться остатки закрытой информации от предыдущего файла. Операцию стирания "хвостов" файлов осуществляют специальные утилиты.

Защита клавиатуры и дисплея применяется, когда пользователь отлучается с рабочего места на короткое время. Существуют утилиты, блокирующие клавиатуру и гасящие экран. Ограничения снимаются введением пароля.

Большое внимание уделяется защите дисков от копирования. Основное направление действий по защите относится к дискетам, т. к. дискету легче похитить и скопировать. Применяются такие способы защиты дискет от копирования:

Парольная защита дискеты, при которой без ввода пароля дискета не копируется;

Привязка информации к определенной дискете: фирме и типу дискеты, нестандартному способу форматирования дискеты, нанесению уникальных признаков на дискету, связанных с введением заранее помеченных "сбойных" участков;

Привязка информации к определенной ПЭВМ: её тактовой частоте, параметрам накопителей, дисплея, принтера и др.

В соответствии с задачами защиты от копирования имеется много программ защиты.

Резервное копирование информации предназначено для защиты ее от уничтожения и искажения на НЖМД и осуществляется на дискеты, сменные жесткие диски, стримеры, магнитооптические диски. Резервное копирование обычно производится со сжатием (компрессией) информации.

Библиографическое описание:

Нестеров А.К. Обеспечение информационной безопасности [Электронный ресурс] // Энциклопедия сайт

Одновременно с развитием информационных технологий и повышением значимости информационных ресурсов для организаций, растет и количество угроз их информационной безопасности, а также возможный ущерб от ее нарушений. Возникает объективная необходимость обеспечения информационной безопасности предприятия. В связи с этим, прогресс возможен только в условиях целенаправленного предупреждения угроз информационной безопасности.

Средства обеспечения информационной безопасности

Обеспечение информационной безопасности осуществляется с помощью двух типов средств:

программно-аппаратные средства
защищенные коммуникационные каналы

Программно-аппаратные средства обеспечения информационной безопасности в современных условиях развития информационных технологий наиболее распространены в работе отечественных и зарубежных организаций. Подробно рассмотрим основные программнно-аппаратные средства защиты информации.

Программно-аппаратные средства защиты от несанкционированного доступа включают в себя меры идентификации, аутентификации и управления доступом в информационную систему.

Идентификация – присвоение субъектам доступа уникальных идентификаторов.

Сюда относят радиочастотные метки, биометрические технологии, магнитные карты, универсальные магнитные ключи, логины для входа в систему и т.п.

Аутентификация – проверка принадлежности субъекта доступа предъявленному идентификатору и подтверждение его подлинности.

К процедурам аутентификации относятся пароли, pin-коды, смарт-карты, usb-ключи, цифровые подписи, сеансовые ключи и т.п. Процедурная часть средств идентификации и аутентификации взаимосвязана и, фактически, представляет базовую основу всех программно-аппаратных средств обеспечения информационной безопасности, так как все остальные службы рассчитаны на обслуживание конкретных субъектов, корректно распознанных информационной системой. В общем виде идентификация позволяет субъекту обозначить себя для информационной системы, а с помощью аутентификации информационная система подтверждает, что субъект действительно тот, за кого он выдает. На основе прохождения данной операции производится операция по предоставлению доступа в информационную систему. Процедуры управления доступом позволяют авторизовавшимся субъектам выполнять дозволенные регламентом действия, а информационной системе контролировать эти действия на корректность и правильность полученного результата. Разграничение доступа позволяет системе закрывать от пользователей данные, к которым они не имеют допуска.

Следующим средством программно-аппаратной защиты выступает протоколирование и аудит информации.

Протоколирование включает в себя сбор, накопление и сохранение информации о событиях, действиях, результатах, имевших место во время работы информационной системы, отдельных пользователей, процессов и всех программно-аппаратных средств, входящих в состав информационной системы предприятия.

Поскольку у каждого компонента информационной системы существует заранее заданный набор возможных событий в соответствии с запрограммированными классификаторами, то события, действия и результаты разделяются на:

внешние, вызванные действиями других компонентов,
внутренние, вызванные действиями самого компонента,
клиентские, вызванные действиями пользователей и администраторов.

Аудит информации заключается в проведении оперативного анализа в реальном времени или в заданный период.

По результатам анализа либо формируется отчет об имевших место событиях, либо инициируется автоматическая реакция на внештатную ситуацию.

Реализация протоколирования и аудита решает следующие задачи:

обеспечение подотчетности пользователей и администраторов;
обеспечение возможности реконструкции последовательности событий;
обнаружение попыток нарушений информационной безопасности;
предоставление информации для выявления и анализа проблем.

Зачастую защита информации невозможна без применения криптографических средств. Они используются для обеспечения работы сервисов шифрования, контроля целостности и аутентификации, когда средства аутентификации хранятся у пользователя в зашифрованном виде. Существует два основных метода шифрования: симметричный и асимметричный.

Контроль целостности позволяет установить подлинность и идентичность объекта, в качестве которого выступает массив данных, отдельные порции данных, источник данных, а также обеспечить невозможность отметить совершенное в системе действие с массивом информации. Основу реализации контроля целостности составляют технологии преобразования данных с использованием шифрования и цифровые сертификаты.

Другим важным аспектом является использование экранирования, технологии, которая позволяет, разграничивая доступ субъектов к информационным ресурсам, контролировать все информационные потоки между информационной системой предприятия и внешними объектами, массивами данных, субъектами и контрсубъектами. Контроль потоков заключается в их фильтрации и, в случае необходимости, преобразования передаваемой информации.

Задача экранирования – защита внутренней информации от потенциально враждебных внешних факторов и субъектов. Основной формой реализации экранирования выступают межсетевые экраны или файрволлы, различных типов и архитектуры.

Поскольку одним из признаков информационной безопасности является доступность информационных ресурсов, то обеспечение высокого уровня доступности является важным направление в реализации программно-аппаратных мер. В частности, разделяется два направления: обеспечение отказоустойчивости, т.е. нейтрализации отказов системы, способность работать при возникновении ошибок, и обеспечение безопасного и быстрого восстановления после отказов, т.е. обслуживаемость системы.

Основное требование к информационным системам заключается в том, чтобы они работали всегда с заданной эффективностью, минимальным временем недоступности и скоростью реагирования.

В соответствии с этим, доступность информационных ресурсов обеспечивается за счет:

применения структурной архитектуры, которая означает, что отдельные модули могут быть при необходимости отключены или быстро заменены без ущерба другим элементам информационной системы;
обеспечения отказоустойчивости за счет: использования автономных элементов поддерживающей инфраструктуры, внесения избыточных мощностей в конфигурацию программно-аппаратных средств, резервирования аппаратных средств, тиражирования информационных ресурсов внутри системы, резервного копирования данных и т.п.
обеспечения обслуживаемости за счет снижения сроков диагностирования и устранения отказов и их последствий.

Другим типом средств обеспечения информационной безопасности выступают защищенные коммуникационные каналы.

Функционирование информационных систем неизбежно связано с передачей данных, поэтому для предприятий необходимо также обеспечить защиту передаваемых информационных ресурсов, используя защищенные коммуникационные каналы. Возможность несанкционированного доступа к данным при передаче трафика по открытым каналам коммуникации обусловлена их общедоступностью. Поскольку "коммуникации на всем их протяжении физически защитить невозможно, поэтому лучше изначально исходить из предположения об их уязвимости и соответственно обеспечивать защиту" . Для этого используются технологии туннелирования, суть которого состоит в том, чтобы инкапсулировать данные, т.е. упаковать или обернуть передаваемые пакеты данных, включая все служебные атрибуты, в собственные конверты. Соответственно, туннель является защищенным соединением через открытые каналы коммуникаций, по которому передаются криптографически защищенные пакеты данных. Туннелирование применяется для обеспечения конфиденциальности трафика за счет сокрытия служебной информации и обеспечения конфиденциальности и целостности передаваемых данных при использовании вместе с криптографическими элементами информационной системы. Комбинирование туннелирования и шифрования позволяет реализовать виртуальную частную сеть. При этом конечными точками туннелей, реализующих виртуальные частные сети, выступают межсетевые экраны, обслуживающие подключение организаций к внешним сетям.

Межсетевые экраны как точки реализации сервиса виртуальных частных сетей

Таким образом, туннелирование и шифрование выступают дополнительными преобразованиями, выполняемыми в процессе фильтрации сетевого трафика наряду с трансляцией адресов. Концами туннелей, помимо корпоративных межсетевых экранов, могут быть персональные и мобильные компьютеры сотрудников, точнее, их персональные межсетевые экраны и файрволлы. Благодаря такому подходу обеспечивается функционирование защищенных коммуникационных каналов.

Процедуры обеспечения информационной безопасности

Процедуры обеспечения информационной безопасности принято разграничивать на административный и организационный уровень.

К административным процедурам относятся действия общего характера, предпринимаемые руководством организации, для регламентации всех работ, действий, операций в области обеспечения и поддержания информационной безопасности, реализуемых за счет выделения необходимых ресурсов и контроля результативности предпринимаемых мер.
Организационный уровень представляет собой процедуры по обеспечению информационной безопасности, включая управление персоналом, физическую защиту, поддержание работоспособности программно-аппаратной инфраструктуры, оперативное устранение нарушений режима безопасности и планирование восстановительных работ.

С другой стороны, разграничение административных и организационных процедур бессмысленно, поскольку процедуры одного уровня не могут существовать отдельно от другого уровня, нарушая тем самым взаимосвязь защиты физического уровня, персональной и организационной защиты в концепции информационной безопасности. На практике, обеспечивая информационную безопасность организации, не пренебрегают административными или организационными процедурами, поэтому логичнее рассматривать их как комплексный подход, поскольку оба уровня затрагивают физический, организационный и персональный уровни защиты информации.

Основой комплексных процедур обеспечения информационной безопасности выступает политика безопасности.

Политика информационной безопасности

Политика информационной безопасности в организации – это совокупность документированных решений, принимаемых руководством организации и направленных на защиту информации и ассоциированных с ней ресурсов.

В организационно-управленческом плане политика информационной безопасности может являться единым документом или оформлена в виде нескольких самостоятельных документов или приказов, но в любом случае должна охватывать следующие аспекты защиты информационной системы организации:

защита объектов информационной системы, информационных ресурсов и прямых операций с ними;
защита всех операций, связанных с обработкой информации в системе, включая программные средства обработки;
защита коммуникационных каналов, включая проводные, радиоканалы, инфракрасные, аппаратные и т.д.;
защита аппаратного комплекса от побочных электромагнитных излучений;
управление системой защиты, включая обслуживание, модернизацию и администраторские действия.

Каждый из аспектов должен быть подробно описан и документально закреплен во внутренних документах организации. Внутренние документы охватывают три уровня процесса защиты: верхний, средний и нижний.

Документы верхнего уровня политики информационной безопасности отражают основной подход организации к защите собственной информации и соответствие государственным и/или международным стандартам. На практике в организации существует только один документ верхнего уровня, озаглавливаемый "Концепция информационной безопасности", "Регламент информационной безопасности" и т.п. Формально данные документы не представляют конфиденциальной ценности, их распространение не ограничивается, но могут выпускать в редакции для внутреннего использования и открытой публикации.

Документы среднего уровня являются строго конфиденциальными и касаются конкретных аспектов информационной безопасности организации: используемых средств защиты информации, безопасности баз данных, коммуникаций, криптографических средств и других информационных и экономических процессов организации. Документальное оформление реализуется в виде внутренних технических и организационных стандартов.

Документы нижнего уровня разделены на два типа: регламенты работ и инструкции по эксплуатации. Регламенты работ являются строго конфиденциальными и предназначены только лиц, по долгу службы осуществляющих работу по администрированию отдельных сервисов информационной безопасности. Инструкции по эксплуатации могут быть, как конфиденциальными, так и публичными; они предназначены для персонала организации и описывают порядок работы с отдельными элементами информационной системы организации.

Мировой опыт свидетельствует, что политика информационной безопасности всегда документально оформляется только в крупных компаниях, имеющих развитую информационную систему, предъявляющих повышенные требования к информационной безопасности, средние предприятия чаще всего имеют только частично документально оформленную политику информационной безопасности, малые организации в подавляющем большинстве вообще не заботятся о документальном оформлении политики безопасности. Вне зависимости от формата документального оформления целостный или распределенный, базовым аспектом выступает режим безопасности.

Существует два разных подхода, которые закладываются в основу политики информационной безопасности :

"Разрешено все, что не запрещено".
"Запрещено все, что не разрешено".

Фундаментальным дефектом первого подхода заключается в том, что на практике предусмотреть все опасные случаи и запретить их невозможно. Вне всяких сомнений, следует применять только второй подход.

Организационной уровень информационной безопасности

С точки зрения защиты информации, организационные процедуры обеспечения информационной безопасности представляются как "регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз" .

Меры по управлению персоналом, направленные на организацию работы с кадрами в целях обеспечения информационной безопасности, включают разделение обязанностей и минимизацию привилегий. Разделение обязанностей предписывает такое распределение компетенций и зон ответственности, при котором один человек не в состоянии нарушить критически важный для организации процесс. Это снижает вероятность ошибок и злоупотреблений. Минимизация привилегий предписывает наделение пользователей только тем уровнем доступа, который соответствует необходимости выполнения ими служебных обязанностей. Это уменьшает ущерб от случайных или умышленных некорректных действий.

Физическая защита означает разработку и принятие мер для прямой защиты зданий, в которых размещаются информационные ресурсы организации, прилегающих территорий, элементов инфраструктуры, вычислительной техники, носителей данных и аппаратных каналов коммуникаций. Сюда относят физическое управление доступом, противопожарные меры, защиту поддерживающей инфраструктуры, защиту от перехвата данных и защиту мобильных систем.

Поддержание работоспособности программно-аппаратной инфраструктуры заключается в предупреждении стохастических ошибок, грозящих повреждением аппаратного комплекса, нарушением работы программ и потерей данных. Основные направления в этом аспекте заключаются в обеспечении поддержки пользователей и программного обеспечения, конфигурационного управления, резервного копирования, управления носителями информации, документирование и профилактические работы.

Оперативное устранение нарушений режима безопасности преследует три главные цели:

Локализация инцидента и уменьшение наносимого вреда;
Выявление нарушителя;
Предупреждение повторных нарушений.

Наконец, планирование восстановительных работ позволяет подготовиться к авариям, уменьшить ущерб от них и сохранить способность к функционированию хотя бы в минимальном объеме.

Использование программно-аппаратных средств и защищенных коммуникационных каналов должно быть реализовано в организации на основе комплексного подхода к разработке и утверждению всех административно-организационных регламентных процедур обеспечения информационной безопасности. В противном случае, принятие отдельных мер не гарантирует защиты информации, а зачастую, наоборот, провоцирует утечки конфиденциальной информации, потери критически важных данных, повреждения аппаратной инфраструктуры и нарушения работы программных компонентов информационной системы организации.

Методы обеспечения информационной безопасности

Для современных предприятий характерна распределенная информационная система, которая позволяет учитывать в работе распределенные офисы и склады компании, финансовый учет и управленческий контроль, информацию из клиентской базы, с учетом выборки по показателям и так далее. Таким образом, массив данных весьма значителен, причем в подавляющем большинстве это информация, имеющая приоритетное значение для компании в коммерческом и экономическом плане. Фактически, обеспечение конфиденциальности данных, имеющих коммерческую ценность, составляет одну из основных задач обеспечения информационной безопасности в компании.

Обеспечение информационной безопасности на предприятии должно быть регламентировано следующими документами:

Регламент обеспечения информационной безопасности. Включает формулировку целей и задач обеспечения информационной безопасности, перечень внутренних регламентов по средствам защиты информации и положение об администрировании распределенной информационной системы компании. Доступ к регламенту ограничен руководством организации и руководителем отдела автоматизации.
Регламенты технического обеспечения защиты информации. Документы являются конфиденциальными, доступ ограничен сотрудниками отдела автоматизации и вышестоящим руководством.
Регламент администрирования распределенной системы защиты информации. Доступ к регламенту ограничен сотрудниками отдела автоматизации, отвечающими за администрирование информационной системы, и вышестоящим руководством.

При этом данными документами не следует ограничиваться, а проработать также нижние уровни. В противном случае, если у предприятия иных документов, касающихся обеспечения информационной безопасности, не будет, то это будет свидетельствовать о недостаточной степени административного обеспечения защиты информации, поскольку отсутствуют документы нижнего уровня, в частности инструкции по эксплуатации отдельных элементов информационной системы.

Обязательные организационные процедуры включают в себя:

основные меры по дифференциации персонала по уровню доступа к информационным ресурсам,
физическую защиту офисов компании от прямого проникновения и угроз уничтожения, потери или перехвата данных,
поддержание работоспособности программно-аппаратной инфраструктуры организовано в виде автоматизированного резервного копирования, удаленной проверки носителей информации, поддержка пользователей и программного обеспечения осуществляется по запросу.

Сюда также следует отнести регламентированные меры по реагированию и устранению случаев нарушений информационной безопасности.

На практике часто наблюдается, что предприятия недостаточно внимательно относятся к этому вопросу. Все действия в данном направлении осуществляются исключительно в рабочем порядке, что увеличивает время устранения случаев нарушений и не гарантирует предупреждения повторных нарушений информационной безопасности. Кроме того, полностью отсутствует практика планирования действий по устранению последствий после аварий, утечек информации, потери данных и критических ситуаций. Все это существенно ухудшает информационную безопасность предприятия.

На уровне программно-аппаратных средств должна быть реализована трехуровневая система обеспечения информационной безопасности.

Минимальные критерии обеспечения информационной безопасности:

1. Модуль управления доступом:

реализован закрытый вход в информационную систему, невозможно зайти в систему вне верифицированных рабочих мест;
для сотрудников реализован доступ с ограниченным функционалом с мобильных персональных компьютеров;
авторизация осуществляется по формируемым администраторами логинам и паролям.

2. Модуль шифрования и контроля целостности:

используется асимметричный метод шифрования передаваемых данных;
массивы критически важных данных хранятся в базах данных в зашифрованном виде, что не позволяет получить к ним доступ даже при условии взлома информационной системы компании;
контроль целостности обеспечивается простой цифровой подписью всех информационных ресурсов, хранящихся, обрабатываемых или передаваемых внутри информационной системы.

3. Модуль экранирования:

реализована система фильтров в межсетевых экранах, позволяющая контролировать все информационные потоки по каналам коммуникации;
внешние соединения с глобальными информационными ресурсами и публичными каналами связи могут осуществляться только через ограниченный набор верифицированных рабочих станций, имеющих ограниченное соединение с корпоративной информационной системой;
защищенный доступ с рабочих мест сотрудников для выполнения ими служебных обязанностей реализован через двухуровневую систему прокси-серверов.

Наконец, с помощью технологий туннелирования на предприятии должна быть реализована виртуальная частная сеть в соответствии с типичной моделью построения для обеспечения защищенных коммуникационных каналов между различными отделениями компании, партнерами и клиентами компании.

Несмотря на то, что коммуникации непосредственно осуществляются по сетям с потенциально низким уровнем доверия, технологии туннелирования благодаря использованию средств криптографии позволяют обеспечить надежную защиту всех передаваемых данных.

Выводы

Основная цель всех предпринимаемых мероприятий в области обеспечения информационной безопасности заключается в защите интересов предприятия, так или иначе связанных с информационными ресурсами, которыми оно располагает. Хотя интересы предприятий не ограничены конкретной областью, все они концентрируются вокруг доступности, целостности и конфиденциальности информации.

Проблема обеспечения информационной безопасности объясняется двумя основными причинами.

Накопленные предприятием информационные ресурсы представляют ценность.
Критическая зависимость от информационных технологий обуславливает их широкое применение.

Учитывая широкое многообразие существующих угроз для информационной безопасности, таких как разрушение важной информации, несанкционированное использование конфиденциальных данных, перерывы в работе предприятия вследствие нарушений работы информационной системы, можно сделать вывод, что все это объективно приводит к крупным материальным потерям.

В обеспечении информационной безопасности значительную роль играют программно-аппаратные средства, направленные на контроль компьютерных сущностей, т.е. оборудования, программных элементов, данных, образуя последний и наиболее приоритетный рубеж информационной безопасности. Передача данных также должна быть безопасной в контексте сохранения их конфиденциальности, целостности и доступности. Поэтому в современных условиях для обеспечения защищенных коммуникационных каналов применяются технологии туннелирования в комбинации с криптографическими средствами.

Литература

Галатенко В.А. Стандарты информационной безопасности. – М.: Интернет-университет информационных технологий, 2006.
Партыка Т.Л., Попов И.И. Информационная безопасность. – М.: Форум, 2012.