Seguridad ng impormasyon at proteksyon ng impormasyon sa simpleng salita. Ang konsepto ng seguridad ng impormasyon. Pangunahing bahagi. Kahalagahan ng problema

Ang seguridad ng isang virtual server ay maaari lamang ituring nang direkta bilang "seguridad ng impormasyon". Marami ang nakarinig ng pariralang ito, ngunit hindi lahat ay naiintindihan kung ano ito?

"Seguridad ng Impormasyon" ay ang proseso ng pagtiyak pagkakaroon, integridad at pagiging kumpidensyal ng impormasyon.

Sa ilalim "availability" ay nauunawaan nang naaayon upang magbigay ng access sa impormasyon. "Integridad"- tinitiyak ang pagiging maaasahan at pagkakumpleto ng impormasyon. "Pagiging kumpidensyal" nagpapahiwatig ng pagtiyak ng pag-access sa impormasyon lamang sa mga awtorisadong gumagamit.

Batay sa iyong mga layunin at gawain na isinagawa sa virtual server, ang iba't ibang mga hakbang at antas ng proteksyon ay kinakailangan para sa bawat isa sa tatlong puntong ito.

Halimbawa, kung gumagamit ka ng isang virtual na server lamang bilang isang paraan para sa pag-surf sa Internet, kung gayon ang kinakailangang paraan para matiyak ang seguridad ay una sa lahat ay ang paggamit ng mga tool sa proteksyon ng anti-virus, pati na rin ang pagsunod sa mga pangunahing panuntunan sa kaligtasan kapag nagtatrabaho sa ang Internet.

Sa isa pang kaso, kung nagho-host ka ng isang nagbebentang site o isang server ng laro sa iyong server, ang mga kinakailangang hakbang sa proteksyon ay magiging ganap na naiiba.

Ang kaalaman sa mga posibleng banta, pati na rin ang mga kahinaan sa seguridad na karaniwang pinagsasamantalahan ng mga banta na ito, ay kinakailangan upang mapili ang pinakamainam na tool sa seguridad, para dito isasaalang-alang namin ang mga pangunahing punto.

Sa ilalim "Banta" ang potensyal na posibilidad ng paglabag sa seguridad ng impormasyon sa isang paraan o iba ay naiintindihan. Ang isang pagtatangka upang ipatupad ang isang pagbabanta ay tinatawag "atake", at ang nagpapatupad ng pagtatangkang ito ay tinatawag "malisya". Kadalasan, ang banta ay bunga ng pagkakaroon ng mga kahinaan sa proteksyon ng mga sistema ng impormasyon.

Tingnan natin ang pinakakaraniwang banta kung saan nakalantad ang mga modernong sistema ng impormasyon.

Mga banta sa seguridad ng impormasyon na nagdudulot ng pinakamaraming pinsala

Isaalang-alang natin sa ibaba ang pag-uuri ng mga uri ng pagbabanta ayon sa iba't ibang pamantayan:

Direktang banta sa seguridad ng impormasyon:
- Availability
- Integridad
- Pagiging kompidensyal
Mga bahaging na-target ng mga banta:
- Data
- Mga programa
- Kagamitan
- Pagsuporta sa imprastraktura
Sa paraan ng pagpapatupad:
- Hindi sinasadya o sinadya
- Natural o gawa ng tao
Batay sa lokasyon ng pinagmulan ng pagbabanta, mayroong:
- Domestic
- Panlabas

Tulad ng nabanggit sa simula, ang konsepto ng "banta" ay madalas na binibigyang kahulugan sa iba't ibang mga sitwasyon. At ang mga kinakailangang hakbang sa seguridad ay mag-iiba. Halimbawa, para sa isang sadyang bukas na organisasyon, ang mga banta sa privacy ay maaaring wala lang - lahat ng impormasyon ay itinuturing na pampubliko, ngunit sa karamihan ng mga kaso ang ilegal na pag-access ay isang malubhang panganib.

Naaangkop sa mga virtual na server, ang mga banta na kailangan mong isaalang-alang bilang administrator ng server ay mga banta sa pagkakaroon, pagiging kumpidensyal at integridad ng data. Dala mo ang direkta at independiyenteng responsibilidad para sa posibilidad ng mga banta na naglalayon sa pagiging kompidensiyal at integridad ng data na hindi nauugnay sa mga bahagi ng hardware o imprastraktura. Kasama ang aplikasyon ng mga kinakailangang hakbang sa proteksyon, ito ang iyong agarang gawain.

Kadalasan, bilang isang user, ay hindi makakaimpluwensya sa mga banta na naglalayon sa mga kahinaan ng mga program na ginagamit mo maliban sa hindi paggamit ng mga program na ito. Ang paggamit ng mga program na ito ay pinapayagan lamang kung ang pagpapatupad ng mga banta gamit ang mga kahinaan ng mga program na ito ay alinman sa hindi ipinapayong mula sa punto ng view ng umaatake, o walang malaking pagkalugi para sa iyo bilang user.

Ang pagbibigay ng mga kinakailangang hakbang sa seguridad laban sa mga banta na naglalayong kagamitan, imprastraktura o mga banta ng isang gawa ng tao at likas na kalikasan ay direktang hinarap ng hosting company na iyong pinili at kung saan mo inuupahan ang iyong mga server. Sa kasong ito, ito ay kinakailangan upang lapitan ang pagpipilian na pinaka-maingat;

Ikaw, bilang tagapangasiwa ng isang virtual server, ay kailangang isaalang-alang lamang ang mga ganitong uri ng pagbabanta sa mga kaso kung saan kahit na isang panandaliang pagkawala ng access o isang bahagyang o kumpletong paghinto sa pagganap ng server dahil sa kasalanan ng kumpanya ng pagho-host. maaaring humantong sa hindi matutumbasan na mga problema o pagkalugi. Bihirang mangyari ito, ngunit para sa mga layuning dahilan, walang kumpanyang nagho-host ang makakapagbigay ng 100% Uptime.

Direktang banta sa seguridad ng impormasyon

Kabilang sa mga pangunahing banta sa accessibility

Kabiguan ng panloob na sistema ng impormasyon;
Pagkabigo sa pagsuporta sa imprastraktura.

Ang mga pangunahing mapagkukunan ng mga panloob na pagkabigo ay:

Paglabag (hindi sinasadya o sinadya) ng itinatag na mga panuntunan sa pagpapatakbo
Paglabas ng system mula sa normal na operating mode dahil sa hindi sinasadya o sinadyang pagkilos ng mga user (higit sa tinantyang bilang ng mga kahilingan, labis na dami ng naprosesong impormasyon, atbp.)
Mga error kapag (muling) i-configure ang system
Nakakahamak na software
Mga pagkabigo sa software at hardware
Pagkasira ng data
Pagkasira o pagkasira ng kagamitan

Inirerekomenda na isaalang-alang ang mga sumusunod na banta kaugnay ng sumusuportang imprastraktura:

Pagkagambala sa operasyon (hindi sinasadya o sinasadya) ng mga sistema ng komunikasyon, suplay ng kuryente, supply ng tubig at/o init, air conditioning;
Pagkasira o pinsala sa mga lugar;
Kawalan ng kakayahan o hindi pagpayag ng mga tauhan ng serbisyo at/o mga gumagamit na gampanan ang kanilang mga tungkulin (kaguluhan sibil, aksidente sa transportasyon, pag-atake ng terorista o banta nito, welga, atbp.).

Mga Pangunahing Banta sa Integridad

Maaaring hatiin sa static na integrity threat at dynamic na integrity threat.

Ito rin ay nagkakahalaga ng paghahati sa mga banta sa integridad ng impormasyon ng serbisyo at data ng nilalaman. Ang impormasyon ng serbisyo ay tumutukoy sa mga password sa pag-access, mga ruta ng paghahatid ng data sa lokal na network, at katulad na impormasyon. Kadalasan at sa halos lahat ng kaso, ang umaatake, sinasadya man o hindi, ay lumalabas na isang empleyado ng organisasyon na pamilyar sa operating mode at mga hakbang sa seguridad.

Upang labagin ang static na integridad, ang isang umaatake ay maaaring:

Maglagay ng maling data
Baguhin ang data

Kabilang sa mga banta sa dynamic na integridad ang muling pagsasaayos, pagnanakaw, pagdoble ng data, o ang pagpapakilala ng mga karagdagang mensahe.

Mga Pangunahing Banta sa Privacy

Ang kumpidensyal na impormasyon ay maaaring hatiin sa paksa at impormasyon ng serbisyo. Ang impormasyon ng serbisyo (halimbawa, mga password ng user) ay hindi nauugnay sa isang partikular na paksa ng paksa sa isang sistema ng impormasyon, ngunit ang pagsisiwalat nito ay lalong mapanganib, dahil ito ay puno ng hindi awtorisadong pag-access sa lahat ng impormasyon, kabilang ang impormasyon ng paksa.

Kahit na ang impormasyon ay naka-imbak sa isang computer o inilaan para sa paggamit ng computer, ang mga banta sa pagiging kumpidensyal nito ay maaaring hindi-computer at hindi teknikal ang kalikasan.

Kabilang sa mga hindi kasiya-siyang banta na mahirap ipagtanggol laban sa pag-abuso sa kapangyarihan. Sa maraming uri ng system, ang isang may pribilehiyong user (halimbawa, isang system administrator) ay makakabasa ng anumang (hindi naka-encrypt) na file, ma-access ang mail ng sinumang user, atbp. Ang isa pang halimbawa ay ang pinsalang dulot ng pagpapanatili ng serbisyo. Karaniwan, ang service engineer ay tumatanggap ng walang limitasyong pag-access sa kagamitan at may kakayahang i-bypass ang mga mekanismo ng proteksyon ng software.

Para sa kalinawan, ang mga ganitong uri ng pagbabanta ay eskematiko ding ipinakita sa ibaba sa Figure 1.

kanin. 1. Pag-uuri ng mga uri ng pagbabanta sa seguridad ng impormasyon

Upang mailapat ang pinakamainam na mga hakbang sa proteksyon, kinakailangan upang masuri hindi lamang ang mga banta sa seguridad ng impormasyon kundi pati na rin ang posibleng pinsala para sa layuning ito, ang katangian ng pagtanggap ay ginagamit, kaya, ang posibleng pinsala ay tinutukoy bilang katanggap-tanggap o hindi katanggap-tanggap. Upang gawin ito, ito ay kapaki-pakinabang upang magtatag ng iyong sariling pamantayan para sa admissibility ng pinsala sa pera o iba pang anyo.

Dapat sagutin ng sinumang magsisimulang mag-organisa ng seguridad ng impormasyon sa tatlong pangunahing tanong:

Ano ang dapat protektahan?
Mula kanino poprotektahan, anong mga uri ng pagbabanta ang laganap: panlabas o panloob?
Paano protektahan, sa anong mga pamamaraan at paraan?

Isinasaalang-alang ang lahat ng nasa itaas, maaari mong lubos na masuri ang kaugnayan, posibilidad at pagiging kritikal ng mga banta. Ang pagkakaroon ng pagtatasa ng lahat ng kinakailangang impormasyon at natimbang ang mga kalamangan at kahinaan. Magagawa mong piliin ang pinaka-epektibo at pinakamainam na paraan at paraan ng proteksyon.

Tatalakayin natin ang mga pangunahing pamamaraan at paraan ng proteksyon, pati na rin ang pinakamababa at kinakailangang mga hakbang sa seguridad na ginagamit sa mga virtual server, depende sa pangunahing layunin ng kanilang paggamit at mga uri ng pagbabanta, sa mga sumusunod na artikulo sa ilalim ng pamagat na "Mga Pangunahing Kaalaman sa Seguridad ng Impormasyon .”

Sa pang-araw-araw na buhay, ang seguridad ng impormasyon (IS) ay madalas na nauunawaan lamang bilang ang pangangailangan upang labanan ang pagtagas ng mga lihim at ang pagkalat ng mali at pagalit na impormasyon. Gayunpaman, ang pag-unawa na ito ay napakakitid. Mayroong maraming iba't ibang mga kahulugan ng seguridad ng impormasyon, na nagbibigay-diin sa mga indibidwal na katangian nito.

Sa hindi na ipinapatupad na Pederal na Batas "Sa Impormasyon, Impormasyon at Proteksyon ng Impormasyon" sa ilalim seguridad ng impormasyon naintindihan ang estado ng seguridad ng kapaligiran ng impormasyon ng lipunan, tinitiyak ang pagbuo at pag-unlad nito sa interes ng mga mamamayan, organisasyon at estado.

Ang iba pang mga mapagkukunan ay nagbibigay ng mga sumusunod na kahulugan:

Seguridad ng impormasyon- Ito

1) isang hanay ng mga pang-organisasyon at teknikal na mga hakbang upang matiyak ang integridad ng data at pagiging kumpidensyal ng impormasyon kasama ng pagkakaroon nito sa lahat ng awtorisadong gumagamit;

2) tagapagpahiwatig na sumasalamin sa katayuan ng seguridad ng sistema ng impormasyon;

3) estadoseguridad ng kapaligiran ng impormasyon;

4) isang estado na nagsisiguro sa seguridad ng mga mapagkukunan ng impormasyon at mga channel,pati na rin ang pag-access sa mga mapagkukunan ng impormasyon.

Naniniwala si V.I. Yarochkin seguridad ng impormasyon meron ang estado ng seguridad ng mga mapagkukunan ng impormasyon, mga teknolohiya para sa kanilang pagbuo at paggamit, pati na rin ang mga karapatan ng mga paksa ng mga aktibidad ng impormasyon.

Ang isang medyo kumpletong kahulugan ay ibinigay sa pamamagitan ng V. Betelin at V. Galatenko, na naniniwala na

Sa tutorial na ito kami ay umaasa sa kahulugan sa itaas.

Ang seguridad ng impormasyon ay hindi limitado sa proteksyon ng impormasyon at seguridad ng computer. Ito ay kinakailangan upang makilala ang seguridad ng impormasyon mula sa proteksyon ng impormasyon.

Minsan ang seguridad ng impormasyon ay tumutukoy sa paglikha sa mga computer at mga sistema ng computing ng isang organisadong hanay ng mga paraan, pamamaraan at hakbang na idinisenyo upang maiwasan ang pagbaluktot, pagkasira o hindi awtorisadong paggamit ng protektadong impormasyon.

Ang mga hakbang upang matiyak ang seguridad ng impormasyon ay dapat isagawa sa iba't ibang lugar - pulitika, ekonomiya, depensa, gayundin sa iba't ibang antas - estado, rehiyon, organisasyon at personal. Samakatuwid, ang mga gawain ng seguridad ng impormasyon sa antas ng estado ay naiiba sa mga gawaing kinakaharap ng seguridad ng impormasyon sa antas ng organisasyon.

Ang paksa ng mga relasyon sa impormasyon ay maaaring magdusa (magdusa ng materyal at/o moral na pagkalugi) hindi lamang mula sa hindi awtorisadong pag-access sa impormasyon, kundi pati na rin mula sa isang pagkasira ng system na nagdudulot ng pagkaantala sa trabaho. Ang seguridad ng impormasyon ay nakasalalay hindi lamang sa mga computer, kundi pati na rin sa mga sumusuportang imprastraktura, na kinabibilangan ng mga sistema ng suplay ng kuryente, tubig at init, air conditioner, komunikasyon at, siyempre, mga tauhan ng pagpapanatili. Ang pagsuporta sa imprastraktura ay may sariling halaga, ang kahalagahan nito ay hindi matataya.

Matapos ang mga kaganapan noong Setyembre 11, 2001, ang batas ng US, alinsunod sa Patriot Act, ay tinukoy ang konsepto ng "kritikal na imprastraktura", na nauunawaan bilang "isang hanay ng mga pisikal o virtual na sistema at pasilidad na mahalaga sa Estados Unidos upang sa isang lawak na ang kanilang kabiguan o pagkasira ay maaaring humantong sa mapaminsalang kahihinatnan sa mga larangan ng depensa, ekonomiya, kalusugan at seguridad ng bansa.” Ang konsepto ng kritikal na imprastraktura ay sumasaklaw sa mga pangunahing bahagi ng pambansang ekonomiya at ekonomiya ng US tulad ng pambansang depensa, agrikultura, produksyon ng pagkain, sibil na abyasyon, transportasyong pandagat, mga haywey at tulay, tunnel, dam, pipeline, suplay ng tubig, pangangalagang pangkalusugan, serbisyong pang-emergency, mga awtoridad ng pampublikong administrasyon, produksyon ng militar, mga sistema at network ng impormasyon at telekomunikasyon, enerhiya, transportasyon, mga sistema ng pagbabangko at pananalapi, industriya ng kemikal, serbisyo sa koreo.

Sa mga terminong panlipunan, ang seguridad ng impormasyon ay kinabibilangan ng paglaban sa "polusyon" ng impormasyon sa kapaligiran at ang paggamit ng impormasyon para sa mga iligal at imoral na layunin.

Gayundin, ang mga bagay ng impluwensya ng impormasyon at, dahil dito, ang seguridad ng impormasyon ay maaaring pampubliko o indibidwal na kamalayan.

Sa antas ng estado, ang mga paksa ng seguridad ng impormasyon ay ang executive, legislative at judicial na awtoridad. Ang mga indibidwal na departamento ay lumikha ng mga katawan na partikular na nakikitungo sa seguridad ng impormasyon.

Bilang karagdagan, ang mga paksa ng seguridad ng impormasyon ay maaaring:

Mga mamamayan at pampublikong asosasyon;

Media;

Mga negosyo at organisasyon anuman ang kanilang anyo ng pagmamay-ari.

Mga interes Ang mga paksa ng IS na nauugnay sa paggamit ng mga sistema ng impormasyon ay maaaring nahahati sa mga sumusunod na pangunahing kategorya:

Availability- ang kakayahang makuha ang kinakailangang serbisyo ng impormasyon sa loob ng makatwirang panahon. Ang mga sistema ng impormasyon ay nilikha (nakuha) upang makakuha ng ilang mga serbisyo ng impormasyon (mga serbisyo). Kung sa isang kadahilanan o iba pa ay nagiging imposible para sa mga gumagamit na makatanggap ng mga serbisyong ito, nagdudulot ito ng pinsala sa lahat ng mga paksa ng mga relasyon sa impormasyon. Ang nangungunang papel ng pagiging naa-access ay lalong maliwanag sa iba't ibang uri ng mga sistema ng pamamahala: produksyon, transportasyon, atbp. Samakatuwid, nang walang kaibahan ng accessibility sa iba pang mga aspeto, ang accessibility ay ang pinakamahalagang elemento ng seguridad ng impormasyon.

Integridad- kaugnayan at pagkakapare-pareho ng impormasyon, proteksyon nito mula sa pagkasira at hindi awtorisadong mga pagbabago. Ang integridad ay maaaring nahahati sa static (naiintindihan bilang ang immutability ng mga bagay na impormasyon) at dynamic (na may kaugnayan sa tamang pagpapatupad ng mga kumplikadong aksyon (transaksyon)). Halos lahat ng mga dokumento ng regulasyon at domestic development ay nauugnay sa static na integridad, kahit na ang dynamic na aspeto ay hindi gaanong mahalaga. Ang isang halimbawa ng aplikasyon ng mga dynamic na kontrol sa integridad ay ang pagsusuri sa daloy ng mga mensaheng pampinansyal upang matukoy ang pagnanakaw, muling pagsasaayos o pagdoble ng mga indibidwal na mensahe.

Pagiging kompidensyal- proteksyon mula sa hindi awtorisadong pag-access. Ang pagiging kumpidensyal ay protektado ng mga batas, regulasyon, at maraming taon ng karanasan ng mga nauugnay na serbisyo. Hinahayaan ka ng mga produktong hardware at software na isara ang halos lahat ng potensyal na channel ng pagtagas ng impormasyon.

Target mga aktibidad sa larangan ng seguridad ng impormasyon - pagprotekta sa mga interes ng mga paksa ng seguridad ng impormasyon.

Mga gawain ng IS:

1. Pagtiyak sa karapatan ng indibidwal at lipunan na makatanggap ng impormasyon.

2. Pagbibigay ng layunin na impormasyon.

3. Paglaban sa mga kriminal na banta sa larangan ng impormasyon at mga sistema ng telekomunikasyon, terorismo sa telepono, money laundering, atbp.

4. Proteksyon ng mga indibidwal, organisasyon, lipunan at estado mula sa impormasyon at sikolohikal na pagbabanta.

5. Pagbubuo ng imahe, paglaban sa paninirang-puri, tsismis, disinformation.

Ang papel ng seguridad ng impormasyon ay tumataas kapag ang isang matinding sitwasyon ay nangyari, kapag ang anumang hindi mapagkakatiwalaang mensahe ay maaaring humantong sa paglala ng sitwasyon.

IS criterion- garantisadong seguridad ng impormasyon mula sa pagtagas, pagbaluktot, pagkawala o iba pang anyo ng pamumura. Ang mga secure na teknolohiya ng impormasyon ay dapat na may kakayahang pigilan o i-neutralize ang epekto ng parehong panlabas at panloob na mga banta sa impormasyon, at naglalaman ng mga sapat na pamamaraan at pamamaraan para sa proteksyon nito.

Ang isang parirala ay maaaring magkaroon ng iba't ibang kahulugan sa iba't ibang konteksto. Sa Information Security Doctrine ng Russian Federation, ang termino"seguridad ng impormasyon"

ginagamit sa malawak na kahulugan. Ito ay tumutukoy sa estado ng proteksyon ng mga pambansang interes sa larangan ng impormasyon, na tinutukoy ng kabuuan ng balanseng interes ng indibidwal, lipunan at estado. seguridad ng impormasyon ay tinukoy sa katulad na paraan - bilang ang estado ng seguridad ng kapaligiran ng impormasyon ng lipunan, na tinitiyak ang pagbuo, paggamit at pag-unlad nito sa mga interes ng mga mamamayan, organisasyon, at estado.

Sa kursong ito, itutuon ang ating atensyon sa pag-iimbak, pagproseso at pagpapadala ng impormasyon, anuman ang wika (Russian o anumang iba pa) kung saan ito naka-encode, kanino o ano ang pinagmulan nito at kung ano ang epekto nito sa sikolohikal sa mga tao. Samakatuwid ang termino Sa Information Security Doctrine ng Russian Federation, ang termino ay gagamitin sa isang makitid na kahulugan, gaya ng nakaugalian, halimbawa, sa panitikan sa wikang Ingles.

Sa ilalim seguridad ng impormasyon mauunawaan namin ang seguridad ng impormasyon mula sa hindi sinasadya o sinasadyang mga epekto ng natural o artipisyal na kalikasan na maaaring magdulot hindi katanggap-tanggap na pinsala mga paksa ng mga relasyon sa impormasyon, kabilang ang mga may-ari at gumagamit ng impormasyon at pagsuporta sa imprastraktura. (Kaunti pa ay ipapaliwanag natin kung ano ang dapat na maunawaan ng pagsuporta sa imprastraktura.)

Proteksyon ng impormasyon ay isang hanay ng mga hakbang na naglalayong tiyakin ang seguridad ng impormasyon.

Kaya, ang methodologically tamang diskarte sa mga problema seguridad ng impormasyon nagsisimula sa pagkilala paksa ng mga relasyon sa impormasyon at ang mga interes ng mga entity na ito na may kaugnayan sa paggamit ng mga information system (IS). Mga pananakot seguridad ng impormasyon– Ito ang downside ng paggamit ng information technology.

Dalawang mahalagang kahihinatnan ang maaaring makuha mula sa sitwasyong ito:

Interpretasyon ng mga problemang nauugnay sa seguridad ng impormasyon, para sa iba't ibang kategorya ng mga paksa ay maaaring mag-iba nang malaki. Upang ilarawan, sapat na upang ihambing ang mga organisasyon ng gobyerno ng rehimen at mga institusyong pang-edukasyon. Sa unang kaso, "mas mabuti na masira ang lahat kaysa malaman ng kaaway ang kahit isang lihim na piraso," sa pangalawa, "wala tayong anumang mga lihim, hangga't gumagana ang lahat."
Seguridad ng impormasyon ay hindi limitado lamang sa proteksyon mula sa hindi awtorisadong pag-access sa impormasyon, ito ay isang mas malawak na konsepto. Paksa ng mga relasyon sa impormasyon maaaring magdusa (magkaroon ng mga pagkalugi at/o moral na pinsala) hindi lamang mula sa hindi awtorisadong pag-access, kundi pati na rin mula sa isang pagkasira ng system na nagdudulot ng pagkaantala sa trabaho. Bukod dito, para sa maraming bukas na mga organisasyon (halimbawa, mga pang-edukasyon), ang aktwal na proteksyon laban sa hindi awtorisadong pag-access sa impormasyon ay wala sa unang lugar sa mga tuntunin ng kahalagahan.

Sa pagbabalik sa mga isyu ng terminolohiya, napapansin namin na ang terminong "seguridad ng computer" (bilang katumbas o kapalit ng seguridad ng impormasyon) ay tila sa amin ay masyadong makitid. Ang mga computer ay isa lamang sa mga bahagi ng mga sistema ng impormasyon, at bagama't ang ating atensyon ay pangunahing nakatuon sa impormasyong iniimbak, pinoproseso at ipinadala gamit ang mga computer, ang seguridad nito ay tinutukoy ng buong hanay ng mga bahagi at, una sa lahat, ang pinakamahina na link. , na napakarami sa karamihan ng mga kaso ito ay lumalabas na isang tao (na, halimbawa, isinulat ang kanyang password sa isang "plaster ng mustasa" na nakadikit sa monitor).

Ayon sa kahulugan ng seguridad ng impormasyon, ito ay nakasalalay hindi lamang sa mga computer, kundi pati na rin sa pagsuporta sa imprastraktura, na kinabibilangan ng mga sistema ng suplay ng kuryente, tubig at init, air conditioner, komunikasyon at, siyempre, mga tauhan sa pagpapanatili. Ang imprastraktura na ito ay may sariling halaga, ngunit kami ay magiging interesado lamang sa kung paano ito nakakaapekto sa pagganap ng mga function na inireseta ng sistema ng impormasyon.

Pakitandaan na sa kahulugan ng seguridad ng impormasyon, ang pangngalang "damage" ay pinangungunahan ng adjective na "hindi katanggap-tanggap". Malinaw, imposibleng mag-insure laban sa lahat ng uri ng pinsala, lalo na imposibleng gawin ito sa isang matipid na paraan kapag ang halaga ng mga kagamitang proteksiyon at mga hakbang ay hindi lalampas sa halaga ng inaasahang pinsala. Nangangahulugan ito na kailangan mong pagtiisan ang isang bagay at dapat mo lamang ipagtanggol ang iyong sarili mula sa hindi mo kayang tanggapin. Minsan ang gayong hindi katanggap-tanggap na pinsala ay nakakapinsala sa kalusugan ng tao o sa kapaligiran, ngunit mas madalas ang threshold ng hindi katanggap-tanggap ay may materyal (pera) na pagpapahayag, at ang layunin ng proteksyon ng impormasyon ay upang mabawasan ang halaga ng pinsala sa mga katanggap-tanggap na halaga.

Ang mabilis na pagbuo ng mga teknolohiya ng impormasyon sa computer ay gumagawa ng mga makabuluhang pagbabago sa ating buhay. Ang impormasyon ay naging isang kalakal na maaaring bilhin, ibenta, at palitan. Bukod dito, ang halaga ng impormasyon ay kadalasang daan-daang beses na mas malaki kaysa sa halaga ng sistema ng kompyuter kung saan ito nakaimbak.

Ang kagalingan at kung minsan ang buhay ng maraming tao ay kasalukuyang nakasalalay sa antas ng seguridad ng mga teknolohiya ng impormasyon. Ito ang presyong babayaran para sa pagtaas ng pagiging kumplikado at malawakang pamamahagi ng mga awtomatikong sistema ng pagpoproseso ng impormasyon.

Sa ilalim seguridad ng impormasyon ay tumutukoy sa seguridad ng isang sistema ng impormasyon mula sa hindi sinasadya o sinadyang panghihimasok na nagdudulot ng pinsala sa mga may-ari o gumagamit ng impormasyon.

Sa pagsasagawa, tatlong aspeto ng seguridad ng impormasyon ang pinakamahalaga:

pagkakaroon(ang kakayahang makuha ang kinakailangang serbisyo ng impormasyon sa loob ng makatwirang oras);
integridad(kaugnayan at pagkakapare-pareho ng impormasyon, proteksyon nito mula sa pagkasira at hindi awtorisadong mga pagbabago);
pagiging kompidensiyal(proteksyon mula sa hindi awtorisadong pagbabasa).

Ang mga paglabag sa availability, integridad at pagiging kumpidensyal ng impormasyon ay maaaring sanhi ng iba't ibang mapanganib na epekto sa mga sistema ng impormasyon sa computer.

Pangunahing banta sa seguridad ng impormasyon

Ang modernong sistema ng impormasyon ay isang kumplikadong sistema na binubuo ng malaking bilang ng mga bahagi ng iba't ibang antas ng awtonomiya na magkakaugnay at nagpapalitan ng data. Halos bawat bahagi ay maaaring malantad sa mga panlabas na impluwensya o mabibigo. Ang mga bahagi ng isang awtomatikong sistema ng impormasyon ay maaaring nahahati sa mga sumusunod na grupo:

hardware- mga computer at ang kanilang mga bahagi (processor, monitor, terminal, peripheral device - disk drive, printer, controller, cable, linya ng komunikasyon, atbp.);
software- biniling mga programa, pinagmulan, bagay, mga module ng pag-load; operating system at system programs (compiler, linker, atbp.), utility, diagnostic programs, atbp.;
datos- pansamantala at permanenteng naka-imbak, sa magnetic media, naka-print, archive, system logs, atbp.;
tauhan- operating tauhan at mga gumagamit.

Ang mga mapanganib na epekto sa isang computer information system ay maaaring nahahati sa hindi sinasadya at sinadya. Ang pagsusuri ng karanasan sa disenyo, paggawa at pagpapatakbo ng mga sistema ng impormasyon ay nagpapakita na ang impormasyon ay napapailalim sa iba't ibang mga random na impluwensya sa lahat ng mga yugto ng ikot ng buhay ng system. Mga dahilan mga random na impluwensya sa panahon ng operasyon ay maaaring mayroong:

mga emerhensiya dahil sa mga natural na sakuna at pagkawala ng kuryente;
mga pagkabigo at malfunction ng kagamitan;
mga error sa software;
mga pagkakamali sa trabaho ng mga tauhan;
panghihimasok sa mga linya ng komunikasyon dahil sa mga impluwensya sa kapaligiran.

Sinasadyang mga impluwensya- Ito ay mga naka-target na aksyon ng nagkasala. Ang nagkasala ay maaaring isang empleyado, isang bisita, isang katunggali, o isang mersenaryo. Ang mga aksyon ng nagkasala ay maaaring dahil sa iba't ibang motibo:

hindi kasiyahan ng empleyado sa kanyang karera;
suhol;
pagkamausisa;
kumpetisyon;
ang pagnanais na igiit ang sarili sa anumang halaga.

Maaari kang lumikha ng hypothetical na modelo ng isang potensyal na lumalabag:

kwalipikasyon ng nagkasala sa antas ng developer ng sistemang ito;
ang lumalabag ay maaaring maging tagalabas o isang lehitimong gumagamit ng system;
alam ng nagkasala ang impormasyon tungkol sa mga prinsipyo ng pagpapatakbo ng system;
pinipili ng nagkasala ang pinakamahina na link sa depensa.

Ang pinakakaraniwan at magkakaibang uri ng mga paglabag sa computer ay hindi awtorisadong pag-access(NSD). Sinasamantala ng NSD ang anumang error sa sistema ng seguridad at posible dahil sa hindi makatwirang pagpili ng mga paraan ng seguridad, ang kanilang maling pag-install at pagsasaayos.

Uriin natin ang mga channel ng impormasyon na walang diskriminasyon kung saan maaaring ninakaw, baguhin o sirain ang impormasyon:

Sa pamamagitan ng isang tao:
- pagnanakaw ng storage media;
- pagbabasa ng impormasyon mula sa screen o keyboard;
- pagbabasa ng impormasyon mula sa isang printout.
Sa pamamagitan ng programa:
- pagharang ng password;
- decryption ng naka-encrypt na impormasyon;
- pagkopya ng impormasyon mula sa storage media.
Sa pamamagitan ng kagamitan:
- koneksyon ng espesyal na idinisenyong hardware na nagbibigay ng access sa impormasyon;
- pagharang ng side electromagnetic radiation mula sa mga kagamitan, mga linya ng komunikasyon, mga network ng power supply, atbp.

Ang partikular na atensyon ay dapat bayaran sa mga banta kung saan maaaring malantad ang mga network ng computer. Ang pangunahing tampok ng anumang network ng computer ay ang mga bahagi nito ay ipinamamahagi sa espasyo. Ang komunikasyon sa pagitan ng mga node ng network ay isinasagawa nang pisikal gamit ang mga linya ng network at sa programmatically gamit ang isang mekanismo ng mensahe. Sa kasong ito, ang mga control message at data na ipinadala sa pagitan ng mga network node ay ipinapadala sa anyo ng mga exchange packet. Ang mga network ng computer ay nailalarawan sa pamamagitan ng katotohanan na tinatawag na malalayong pag-atake. Ang nanghihimasok ay maaaring matatagpuan libu-libong kilometro mula sa bagay na inaatake, at hindi lamang isang partikular na computer ang maaaring atakehin, kundi pati na rin ang impormasyong ipinadala sa mga channel ng komunikasyon sa network.

Pagtitiyak ng seguridad ng impormasyon

Ang pagbuo ng isang rehimen ng seguridad ng impormasyon ay isang kumplikadong problema. Ang mga hakbang upang malutas ito ay maaaring nahahati sa limang antas:

pambatasan (mga batas, regulasyon, pamantayan, atbp.);
moral at etikal (lahat ng uri ng mga pamantayan ng pag-uugali, hindi pagsunod sa kung saan ay humahantong sa pagbaba sa prestihiyo ng isang partikular na tao o isang buong organisasyon);
administratibo (pangkalahatang mga aksyon na ginawa ng pamamahala ng organisasyon);
pisikal (mechanical, electro- at electronic-mechanical obstacles sa posibleng mga ruta ng pagpasok para sa mga potensyal na nanghihimasok);
hardware at software (mga elektronikong aparato at espesyal na programa sa seguridad ng impormasyon).

Isang solong hanay ng lahat ng mga hakbang na ito na naglalayong labanan ang mga banta sa seguridad upang mabawasan ang posibilidad ng anyo ng pinsala. sistema ng proteksyon.

Ang isang maaasahang sistema ng proteksyon ay dapat sumunod sa mga sumusunod na prinsipyo:

Ang halaga ng proteksiyon na kagamitan ay dapat na mas mababa kaysa sa halaga ng posibleng pinsala.
Ang bawat user ay dapat magkaroon ng pinakamababang hanay ng mga pribilehiyong kinakailangan para gumana.
Kung mas epektibo ang proteksyon, mas madali para sa gumagamit na magtrabaho kasama nito.
Posibilidad ng pagsasara sa kaso ng emergency.
Ang mga espesyalista na kasangkot sa sistema ng proteksyon ay dapat na ganap na maunawaan ang mga prinsipyo ng pagpapatakbo nito at, sa kaganapan ng mahihirap na sitwasyon, tumugon nang sapat sa kanila.
Ang buong sistema ng pagproseso ng impormasyon ay dapat protektahan.
Ang mga nag-develop ng sistema ng seguridad ay hindi dapat kabilang sa mga kinokontrol ng system na ito.
Ang sistema ng seguridad ay dapat magbigay ng katibayan ng kawastuhan ng operasyon nito.
Ang mga taong kasangkot sa pagtiyak ng seguridad ng impormasyon ay dapat magkaroon ng personal na responsibilidad.
Maipapayo na hatiin ang mga protektadong bagay sa mga grupo upang ang isang paglabag sa proteksyon sa isa sa mga grupo ay hindi makakaapekto sa seguridad ng iba.
Ang isang maaasahang sistema ng seguridad ay dapat na ganap na masuri at pare-pareho.
Ang proteksyon ay nagiging mas epektibo at nababaluktot kung pinapayagan nito ang administrator na baguhin ang mga parameter nito.
Ang mga sistema ng seguridad ay dapat na idinisenyo na may pag-aakalang ang mga user ay gagawa ng mabibigat na pagkakamali at sa pangkalahatan ay may pinakamasamang intensyon.
Ang pinakamahalaga at kritikal na mga desisyon ay dapat gawin ng mga tao.
Ang pagkakaroon ng mga mekanismo ng seguridad ay dapat na itago, kung maaari, mula sa mga gumagamit na ang trabaho ay sinusubaybayan.

Hardware at software para sa seguridad ng impormasyon

Sa kabila ng katotohanan na ang mga modernong operating system para sa mga personal na computer, tulad ng Windows 2000, Windows XP at Windows NT, ay may sariling mga subsystem ng seguridad, ang kaugnayan ng paglikha ng mga karagdagang tool sa seguridad ay nananatili. Ang katotohanan ay ang karamihan sa mga system ay hindi kayang protektahan ang data na matatagpuan sa labas ng mga ito, halimbawa sa panahon ng pagpapalitan ng impormasyon sa network.

Ang mga tool sa seguridad ng impormasyon ng hardware at software ay maaaring nahahati sa limang grupo:

Mga sistema ng pagkakakilanlan ng gumagamit (pagkilala) at pagpapatunay (pagpapatunay).
Mga sistema ng pag-encrypt ng data ng disk.
Mga sistema ng pag-encrypt para sa data na ipinadala sa mga network.
Electronic data authentication system.
Mga tool sa pamamahala ng susi sa cryptographic.

1. Mga sistema ng pagkakakilanlan at pagpapatunay ng user

Ginagamit ang mga ito upang paghigpitan ang pag-access ng mga random at ilegal na gumagamit sa mga mapagkukunan ng computer system. Ang pangkalahatang algorithm para sa pagpapatakbo ng mga naturang system ay upang makakuha ng impormasyon ng pagkakakilanlan mula sa user, i-verify ang pagiging tunay nito, at pagkatapos ay bigyan (o hindi bigyan) ang user na ito ng kakayahang magtrabaho kasama ang system.

Kapag nagtatayo ng mga sistemang ito, ang problema sa pagpili ng impormasyon batay sa kung saan isinasagawa ang mga pamamaraan ng pagkakakilanlan ng gumagamit at pagpapatunay. Ang mga sumusunod na uri ay maaaring makilala:

lihim na impormasyon na mayroon ang user (password, secret key, personal identifier, atbp.); dapat tandaan ng gumagamit ang impormasyong ito o ang mga espesyal na paraan ng imbakan ay maaaring gamitin para dito;
mga physiological parameter ng isang tao (fingerprint, iris pattern, atbp.) o mga katangian ng pag-uugali (mga tampok ng pagtatrabaho sa isang keyboard, atbp.).

Ang mga sistemang batay sa unang uri ng impormasyon ay isinasaalang-alang tradisyonal. Ang mga sistema na gumagamit ng pangalawang uri ng impormasyon ay tinatawag biometric. Dapat pansinin na mayroong isang umuusbong na kalakaran ng mabilis na pag-unlad ng mga biometric identification system.

2. Mga sistema ng pag-encrypt ng data ng disk

Upang gawing walang silbi ang impormasyon sa isang kalaban, tinatawag ang isang hanay ng mga paraan ng pagbabagong-anyo ng data kriptograpiya[mula sa Griyego kryptos- nakatago at grapho- Nagsusulat ako].

Ang mga sistema ng pag-encrypt ay maaaring magsagawa ng mga cryptographic na pagbabago ng data sa antas ng file o sa antas ng disk. Kasama sa mga programa ng unang uri ang mga archiver tulad ng ARJ at RAR, na nagpapahintulot sa paggamit ng mga cryptographic na pamamaraan upang protektahan ang mga archive na file. Ang isang halimbawa ng pangalawang uri ng system ay ang Diskreet encryption program, bahagi ng sikat na Norton Utilities software package, Best Crypt.

Ang isa pang tampok ng pag-uuri ng mga sistema ng pag-encrypt ng data ng disk ay ang paraan ng kanilang operasyon. Batay sa paraan ng pagpapatakbo, ang mga sistema ng pag-encrypt ng data ng disk ay nahahati sa dalawang klase:

"transparent" na mga sistema ng pag-encrypt;
mga system na partikular na tinatawag para magsagawa ng pag-encrypt.

Sa mga transparent na sistema ng pag-encrypt (on-the-fly encryption), ang mga pagbabagong cryptographic ay isinasagawa sa real time, nang hindi napapansin ng gumagamit. Halimbawa, nagsusulat ang isang user ng isang dokumentong inihanda sa isang text editor sa isang protektadong disk, at ini-encrypt ito ng sistema ng seguridad sa panahon ng proseso ng pagsulat.

Ang mga sistema ng pangalawang klase ay karaniwang mga utility na dapat na partikular na tawagan upang magsagawa ng pag-encrypt. Kabilang dito, halimbawa, ang mga archiver na may built-in na proteksyon ng password.

Karamihan sa mga system na nag-aalok upang magtakda ng password para sa isang dokumento ay hindi naka-encrypt ng impormasyon, ngunit nangangailangan lamang ng isang password kapag ina-access ang dokumento. Kasama sa mga ganitong sistema ang MS Office, 1C at marami pang iba.

3. Mga sistema ng pag-encrypt para sa data na ipinadala sa mga network

Mayroong dalawang pangunahing paraan ng pag-encrypt: pag-encrypt ng channel at pag-encrypt ng terminal (subscriber).

Kung sakali pag-encrypt ng channel Ang lahat ng impormasyong ipinadala sa channel ng komunikasyon, kabilang ang impormasyon ng serbisyo, ay protektado. Ang paraan ng pag-encrypt na ito ay may sumusunod na kalamangan - ang pag-embed ng mga pamamaraan ng pag-encrypt sa layer ng link ng data ay nagbibigay-daan sa paggamit ng hardware, na tumutulong na mapabuti ang pagganap ng system. Gayunpaman, ang pamamaraang ito ay mayroon ding mga makabuluhang disadvantages:

ang pag-encrypt ng data ng serbisyo ay nagpapalubha sa mekanismo para sa pagruruta ng mga packet ng network at nangangailangan ng pag-decrypt ng data sa mga intermediate na aparato ng komunikasyon (mga gateway, repeater, atbp.);
ang pag-encrypt ng impormasyon ng serbisyo ay maaaring humantong sa paglitaw ng mga istatistikal na pattern sa naka-encrypt na data, na nakakaapekto sa pagiging maaasahan ng proteksyon at nagpapataw ng mga paghihigpit sa paggamit ng mga cryptographic algorithm.

Terminal (subscriber) encryption nagbibigay-daan sa iyo upang matiyak ang pagiging kumpidensyal ng data na ipinadala sa pagitan ng dalawang subscriber. Sa kasong ito, ang nilalaman lamang ng mga mensahe ang protektado, ang lahat ng impormasyon ng serbisyo ay nananatiling bukas. Ang kawalan ay ang kakayahang pag-aralan ang impormasyon tungkol sa istruktura ng pagpapalitan ng mensahe, tulad ng nagpadala at tatanggap, ang oras at kundisyon ng paglilipat ng data, at ang dami ng inilipat na data.

4. Electronic data authentication system

Kapag nagpapalitan ng data sa mga network, ang problema sa pagpapatunay ng may-akda ng dokumento at ang dokumento mismo ay lumitaw, i.e. pagtatatag ng pagiging tunay ng may-akda at pagsuri na walang mga pagbabago sa natanggap na dokumento. Upang patotohanan ang data, ginagamit ang isang code ng pagpapatunay ng mensahe (imit insertion) o isang electronic signature.

Imitovinsert nabuo mula sa payak na data sa pamamagitan ng isang espesyal na pagbabagong-anyo ng pag-encrypt gamit ang isang lihim na susi at ipinadala sa channel ng komunikasyon sa dulo ng naka-encrypt na data. Ang pagpapasok ng pagpapanggap ay na-verify ng tatanggap, na may hawak ng lihim na susi, sa pamamagitan ng pag-uulit sa pamamaraan na dati nang isinagawa ng nagpadala sa natanggap na pampublikong data.

Elektronikong digital na lagda kumakatawan sa isang medyo maliit na halaga ng karagdagang impormasyon sa pagpapatotoo na ipinadala kasama ng pinirmahang teksto. Ang nagpadala ay bumubuo ng isang digital na lagda gamit ang pribadong key ng nagpadala. Bine-verify ng tatanggap ang lagda gamit ang pampublikong susi ng nagpadala.

Kaya, upang ipatupad ang mga imitasyon, ang mga prinsipyo ng simetriko na pag-encrypt ay ginagamit, at upang ipatupad ang isang elektronikong lagda, ang asymmetric na pag-encrypt ay ginagamit. Pag-aaralan namin ang dalawang sistema ng pag-encrypt na ito nang mas detalyado sa ibang pagkakataon.

5. Cryptographic key na mga tool sa pamamahala

Ang seguridad ng anumang cryptosystem ay tinutukoy ng mga cryptographic key na ginamit. Kung ang pamamahala ng susi ay hindi secure, ang isang umaatake ay maaaring makakuha ng pangunahing impormasyon at makakuha ng ganap na access sa lahat ng impormasyon sa isang system o network.

Ang mga sumusunod na uri ng key management function ay nakikilala: pagbuo, pag-iimbak, at pamamahagi ng mga susi.

Pamamaraan pangunahing henerasyon para sa simetriko at asymmetric na mga cryptosystem ay magkaiba. Upang makabuo ng mga susi para sa simetriko na mga cryptosystem, ginagamit ang mga tool sa hardware at software para sa pagbuo ng mga random na numero. Ang pagbuo ng susi para sa mga asymmetric na cryptosystem ay mas kumplikado, dahil ang mga susi ay dapat may ilang mga katangiang pangmatematika. Tatalakayin natin ang isyung ito nang mas detalyado kapag nag-aaral ng simetriko at walang simetrya na mga cryptosystem.

Function imbakan nagsasangkot ng pag-aayos ng ligtas na pag-iimbak, pagtatala at pagtanggal ng pangunahing impormasyon. Upang matiyak ang secure na imbakan ng mga susi, naka-encrypt ang mga ito gamit ang iba pang mga susi. Ang diskarte na ito ay humahantong sa konsepto ng isang pangunahing hierarchy. Ang pangunahing hierarchy ay karaniwang may kasamang master key (ibig sabihin, isang master key), isang key encryption key, at isang data encryption key. Dapat tandaan na ang pagbuo at pag-iimbak ng master key ay isang kritikal na isyu sa cryptographic na seguridad.

Pamamahagi- ang pinakamahalagang proseso sa pangunahing pamamahala. Dapat tiyakin ng prosesong ito ang pagiging kumpidensyal ng mga susi na ipinamamahagi, pati na rin ang mabilis at tumpak. Ang mga susi ay ipinamamahagi sa mga gumagamit ng network sa dalawang paraan:

gamit ang direktang pagpapalitan ng mga session key;
gamit ang isa o higit pang mga pangunahing sentro ng pamamahagi.

Listahan ng mga dokumento

TUNGKOL SA MGA LIHIM NG ESTADO. Batas ng Russian Federation ng Hulyo 21, 1993 No. 5485-1 (tulad ng sinusugan ng Federal Law ng Oktubre 6, 1997 No. 131-FZ).
TUNGKOL SA IMPORMASYON, IMPORMASYON AT IMPORMASYON PROTEKSYON. Pederal na Batas ng Russian Federation ng Pebrero 20, 1995 No. 24-FZ. Pinagtibay ng State Duma noong Enero 25, 1995.
SA LEGAL NA PROTEKSYON NG MGA PROGRAMA PARA SA MGA ELECTRONIC COMPUTING MACHINE AT DATABASE. Batas ng Russian Federation ng Pebrero 23, 1992 No. 3524-1.
TUNGKOL SA ELECTRONIC DIGITAL SIGNATURE. Pederal na Batas ng Russian Federation ng Enero 10, 2002 No. 1-FZ.
TUNGKOL SA COPYRIGHT AT KAUGNAY NA KARAPATAN. Batas ng Russian Federation ng Hulyo 9, 1993 No. 5351-1.
TUNGKOL SA MGA KOMUNIKASYON NG FEDERAL GOBYERNO AT MGA KATAWAN NG IMPORMASYON. Batas ng Russian Federation (tulad ng sinusugan ng Decree of the President ng Russian Federation na may petsang Disyembre 24, 1993 No. 2288; Federal Law na may petsang Nobyembre 7, 2000 No. 135-FZ.
Mga regulasyon sa akreditasyon ng mga laboratoryo sa pagsubok at mga katawan ng sertipikasyon para sa mga kagamitan sa seguridad ng impormasyon ayon sa mga kinakailangan sa seguridad ng impormasyon / Komisyon sa Teknikal ng Estado sa ilalim ng Pangulo ng Russian Federation.
Mga tagubilin sa pamamaraan para sa pagmamarka ng mga sertipiko ng pagsang-ayon, ang kanilang mga kopya at paraan ng sertipikasyon ng seguridad ng impormasyon / Komisyon sa Teknikal ng Estado sa ilalim ng Pangulo ng Russian Federation.
Mga regulasyon sa sertipikasyon ng mga bagay sa impormasyon ayon sa mga kinakailangan sa seguridad ng impormasyon / Komisyon sa Teknikal ng Estado sa ilalim ng Pangulo ng Russian Federation.
Ang mga regulasyon sa sertipikasyon ng seguridad ng impormasyon ay nangangahulugang ayon sa mga kinakailangan sa seguridad ng impormasyon: na may mga karagdagan alinsunod sa Dekreto ng Pamahalaan ng Russian Federation ng Hunyo 26, 1995 No. 608 "Sa sertipikasyon ng mga paraan ng seguridad ng impormasyon" / Komisyon ng Teknikal ng Estado sa ilalim ng Pangulo ng ang Russian Federation.
Mga regulasyon sa paglilisensya ng estado ng mga aktibidad sa larangan ng seguridad ng impormasyon / Komisyon sa Teknikal ng Estado sa ilalim ng Pangulo ng Russian Federation.
Mga awtomatikong sistema. Proteksyon laban sa hindi awtorisadong pag-access sa impormasyon. Pag-uuri ng mga awtomatikong sistema at mga kinakailangan para sa proteksyon ng impormasyon: Guiding document / State Technical Commission sa ilalim ng Pangulo ng Russian Federation.
Ang konsepto ng pagprotekta sa mga kagamitan sa computer at mga awtomatikong sistema mula sa hindi awtorisadong pag-access sa impormasyon: Guiding document / State Technical Commission sa ilalim ng Pangulo ng Russian Federation.
Mga pasilidad sa kompyuter. Mga firewall. Proteksyon laban sa hindi awtorisadong pag-access sa impormasyon. Mga tagapagpahiwatig ng seguridad laban sa hindi awtorisadong pag-access sa impormasyon: Guiding document / State Technical Commission sa ilalim ng Pangulo ng Russian Federation.
Mga pasilidad sa kompyuter. Proteksyon laban sa hindi awtorisadong pag-access sa impormasyon. Mga tagapagpahiwatig ng seguridad laban sa hindi awtorisadong pag-access sa impormasyon: Guiding document / State Technical Commission sa ilalim ng Pangulo ng Russian Federation.
Proteksyon ng impormasyon. Mga espesyal na palatandaan ng proteksyon. Pag-uuri at pangkalahatang mga kinakailangan: Guiding document / State Technical Commission sa ilalim ng Pangulo ng Russian Federation.
Proteksyon laban sa hindi awtorisadong pag-access sa impormasyon. Mga tuntunin at kahulugan: Guiding document / State Technical Commission sa ilalim ng Pangulo ng Russian Federation.

Ang mga mag-aaral, nagtapos na mga estudyante, mga batang siyentipiko na gumagamit ng base ng kaalaman sa kanilang pag-aaral at trabaho ay lubos na magpapasalamat sa iyo.

Nai-post sa http://www.allbest.ru/

Panimula

2. Mga sistema ng seguridad ng impormasyon

3. Mga mapagkukunan ng impormasyon ng limitadong pamamahagi at mga banta sa mga mapagkukunan. Access ng tauhan sa kumpidensyal na impormasyon

Konklusyon

Panimula

Sa simula pa lamang ng kasaysayan ng tao, bumangon ang pangangailangang magpadala at mag-imbak ng impormasyon.

Simula sa paligid ng ika-17 siglo, sa panahon ng pag-unlad ng produksyon ng makina, ang problema ng mastering enerhiya ay dumating sa unahan. Una, ang mga pamamaraan ng pag-master ng enerhiya ng hangin at tubig ay napabuti, at pagkatapos ay pinagkadalubhasaan ng sangkatauhan ang thermal energy.

Sa pagtatapos ng ika-19 na siglo, nagsimula ang mastery ng elektrikal na enerhiya, at naimbento ang electric generator at electric motor. At sa wakas, sa kalagitnaan ng ika-20 siglo, pinagkadalubhasaan ng sangkatauhan ang atomic energy noong 1954, ang unang nuclear power plant ay inilagay sa operasyon sa USSR.

Ang mastery ng enerhiya ay nagpapahintulot sa paglipat sa mass machine production ng mga consumer goods. Isang industriyal na lipunan ang nilikha. Sa panahong ito mayroon ding mga makabuluhang pagbabago sa mga paraan ng pag-iimbak at pagpapadala ng impormasyon.

Sa lipunan ng impormasyon, ang pangunahing mapagkukunan ay impormasyon. Ito ay sa batayan ng pagkakaroon ng impormasyon tungkol sa isang malawak na iba't ibang mga proseso at phenomena na ang anumang aktibidad ay maaaring mabisa at mahusay na binuo.

Ito ay mahalaga hindi lamang upang makabuo ng isang malaking bilang ng mga produkto, ngunit upang makabuo ng mga tamang produkto sa isang tiyak na oras. Sa ilang mga gastos at iba pa. Samakatuwid, sa lipunan ng impormasyon, hindi lamang ang kalidad ng pagkonsumo ay tumataas, kundi pati na rin ang kalidad ng produksyon; ang isang tao na gumagamit ng teknolohiya ng impormasyon ay may mas mahusay na mga kondisyon sa pagtatrabaho, ang trabaho ay nagiging malikhain, intelektwal, at iba pa.

Sa kasalukuyan, ang mga binuo na bansa sa mundo (USA, Japan, Western European na mga bansa) ay aktwal na pumasok sa lipunan ng impormasyon. Ang iba, kabilang ang Russia, ay nasa pinakamalapit na diskarte dito.

Bilang pamantayan para sa pag-unlad ng lipunan ng impormasyon, tatlo ang maaaring piliin: ang pagkakaroon ng mga computer, ang antas ng pag-unlad ng mga network ng computer at ang bilang ng mga taong nagtatrabaho sa globo ng impormasyon, pati na rin ang paggamit ng mga teknolohiya ng impormasyon at komunikasyon sa kanilang pang-araw-araw na gawain. .

Ang impormasyon ngayon ay mahal at dapat protektahan. Ang napakalaking paggamit ng mga personal na computer, sa kasamaang-palad, ay naging nauugnay sa paglitaw ng mga self-replicating program ng virus na nakakasagabal sa normal na operasyon ng computer, sirain ang istraktura ng file ng mga disk at makapinsala sa impormasyong nakaimbak sa computer.

Ang impormasyon ay pagmamay-ari at ginagamit ng lahat ng tao nang walang pagbubukod. Ang bawat tao ay nagpapasya para sa kanyang sarili kung anong impormasyon ang kailangan niyang matanggap, kung anong impormasyon ang hindi dapat makuha sa iba, atbp. Madali para sa isang tao na mag-imbak ng impormasyon na nasa kanyang ulo, ngunit ano ang gagawin kung ang impormasyon ay ipinasok sa "utak ng isang makina" kung saan maraming tao ang may access.

1. Proteksyon ng impormasyon at seguridad ng impormasyon

Proteksyon ng impormasyon

Ang problema sa paglikha ng isang sistema ng seguridad ng impormasyon ay kinabibilangan ng dalawang pantulong na gawain: 1) pagbuo ng isang sistema ng seguridad ng impormasyon (ang synthesis nito); 2) pagtatasa ng binuo na sistema ng seguridad ng impormasyon. Ang pangalawang problema ay malulutas sa pamamagitan ng pagsusuri sa mga teknikal na katangian nito upang matukoy kung ang sistema ng proteksyon ng impormasyon ay nakakatugon sa hanay ng mga kinakailangan para sa mga sistemang ito. Ang gawaing ito ay kasalukuyang nalutas halos eksklusibo ng mga eksperto sa pamamagitan ng sertipikasyon ng mga tool sa seguridad ng impormasyon at sertipikasyon ng sistema ng seguridad ng impormasyon sa proseso ng pagpapatupad nito.

Isaalang-alang natin ang pangunahing nilalaman ng ipinakita na mga pamamaraan ng seguridad ng impormasyon, na bumubuo sa batayan ng mga mekanismo ng seguridad.

Ang mga balakid ay mga paraan ng pisikal na pagharang sa landas ng umaatake patungo sa protektadong impormasyon (kagamitan, storage media, atbp.).

Ang kontrol sa pag-access ay isang paraan ng pagprotekta ng impormasyon sa pamamagitan ng pag-regulate ng paggamit ng lahat ng mapagkukunan ng isang sistema ng impormasyon sa computer (mga elemento ng database, software at hardware). Kasama sa kontrol sa pag-access ang mga sumusunod na tampok ng seguridad:

pagkakakilanlan ng mga gumagamit, tauhan at mapagkukunan ng system (pagtatalaga ng isang personal na pagkakakilanlan sa bawat bagay);

pagkakakilanlan (authentication) ng isang bagay o paksa ng identifier na ipinakita nito;

pag-verify ng awtoridad (pagsuri sa pagsunod sa araw ng linggo, oras ng araw, hiniling na mga mapagkukunan at pamamaraan sa mga itinatag na regulasyon);

pahintulot at paglikha ng mga kondisyon sa pagtatrabaho sa loob ng itinatag na mga regulasyon;

pagpaparehistro (pag-log) ng mga kahilingan sa mga protektadong mapagkukunan;

pagpaparehistro (alarm, shutdown, pagkaantala ng trabaho, pagtanggi ng kahilingan) sa kaso ng mga pagtatangka ng hindi awtorisadong aksyon.

Ang masking ay isang paraan ng pagprotekta sa impormasyon sa pamamagitan ng cryptographic na pagsasara nito. Ang pamamaraang ito ay malawakang ginagamit sa ibang bansa kapwa sa pagproseso at pag-iimbak ng impormasyon, kabilang ang mga floppy disk. Kapag nagpapadala ng impormasyon sa mga channel ng komunikasyon sa malayuan, ang pamamaraang ito ay ang tanging maaasahan.

Ang regulasyon ay isang paraan ng proteksyon ng impormasyon na lumilikha ng mga kondisyon para sa awtomatikong pagproseso, pag-iimbak at paghahatid ng protektadong impormasyon kung saan mababawasan ang posibilidad ng hindi awtorisadong pag-access dito.

Ang pamimilit ay isang paraan ng proteksyon kung saan ang mga user at tauhan ng system ay napipilitang sumunod sa mga patakaran para sa pagproseso, paglilipat at paggamit ng protektadong impormasyon sa ilalim ng banta ng materyal, administratibo o kriminal na pananagutan.

Ang inducement ay isang paraan ng proteksyon na naghihikayat sa gumagamit at mga tauhan ng system na huwag labagin ang itinatag na kaayusan sa pamamagitan ng pagsunod sa mga itinatag na pamantayang moral at etikal (parehong regulated at hindi nakasulat).

Ang isinasaalang-alang na mga pamamaraan ng pagtiyak ng seguridad ay ipinatupad sa pagsasanay sa pamamagitan ng paggamit ng iba't ibang paraan ng proteksyon, tulad ng teknikal, software, organisasyon, lehislatibo at moral at etikal. Kabilang sa mga pangunahing proteksyong ginagamit upang lumikha ng mekanismo ng seguridad ang mga sumusunod.

Ang mga teknikal na paraan ay ibinebenta sa anyo ng mga de-koryenteng, electromechanical at elektronikong aparato. Ang buong hanay ng mga teknikal na paraan ay nahahati sa hardware at pisikal. Karaniwang nauunawaan ang hardware bilang kagamitan o device na nakikipag-interface sa mga katulad na kagamitan sa pamamagitan ng karaniwang interface. Halimbawa, isang sistema para sa pagtukoy at paghihigpit sa pag-access sa impormasyon (sa pamamagitan ng mga password, recording code at iba pang impormasyon sa iba't ibang card). Ang mga pisikal na paraan ay ipinatupad sa anyo ng mga autonomous na aparato at sistema. Halimbawa, mga kandado sa mga pinto kung saan matatagpuan ang mga kagamitan, mga bar sa mga bintana, hindi maaabala na mga supply ng kuryente, mga kagamitan sa alarma sa seguridad ng electromechanical. Kaya, mayroong mga panlabas na sistema ng seguridad (Raven, GUARDWIR, FPS, atbp.), mga sistema ng ultrasonic (Cyclops, atbp.), mga sistema ng pagkagambala ng beam (Pulsar 30V, atbp.), mga sistema ng telebisyon (VM216, atbp. ), mga sistema ng radar ( "VITIM", atbp.), equipment tamper detection system, atbp.

Ang mga tool sa software ay software na partikular na idinisenyo upang magsagawa ng mga function ng seguridad ng impormasyon. Ang pangkat ng mga tool na ito ay kinabibilangan ng: isang mekanismo ng pag-encrypt (ang cryptography ay isang espesyal na algorithm na na-trigger ng isang natatanging numero o bit sequence, karaniwang tinatawag na isang encryption key; pagkatapos ay ang naka-encrypt na teksto ay ipinapadala sa mga channel ng komunikasyon, at ang tatanggap ay may sariling susi upang i-decrypt ang impormasyon), isang mekanismo ng digital na lagda, mga mekanismo ng access control, mga mekanismo para sa pagtiyak ng integridad ng data, mga mekanismo ng pag-iiskedyul, mga mekanismo ng kontrol sa pagruruta, mga mekanismo ng arbitrasyon, mga programang anti-virus, mga programa sa pag-archive (halimbawa, zip, rar, arj, atbp.), proteksyon para sa input at output ng impormasyon, atbp.

Ang organisasyonal na paraan ng proteksyon ay mga pang-organisasyon, teknikal at organisasyon-legal na mga hakbang na isinasagawa sa proseso ng paglikha at pagpapatakbo ng teknolohiya ng computer at kagamitan sa telekomunikasyon upang matiyak ang seguridad ng impormasyon. Ang mga hakbang sa organisasyon ay sumasaklaw sa lahat ng mga elemento ng istruktura ng kagamitan sa lahat ng mga yugto ng kanilang siklo ng buhay (pagbuo ng mga lugar, disenyo ng isang sistema ng impormasyon sa computer para sa pagbabangko, pag-install at pag-commissioning ng mga kagamitan, paggamit, pagpapatakbo).

Ang moral at etikal na paraan ng proteksyon ay ipinapatupad sa anyo ng lahat ng uri ng mga pamantayan na tradisyonal na binuo o binuo habang ang teknolohiya ng computer at komunikasyon ay lumaganap sa lipunan. Ang mga pamantayang ito ay kadalasang hindi sapilitan bilang mga hakbang sa pambatasan, ngunit ang hindi pagsunod sa mga ito ay kadalasang humahantong sa pagkawala ng awtoridad at prestihiyo ng isang tao. Ang pinakamahalagang halimbawa ng naturang mga pamantayan ay ang Code of Professional Conduct para sa mga Miyembro ng US Computer Users Association.

Ang mga pambatasang remedyo ay tinutukoy ng mga pambatasan na gawain ng bansa, na kumokontrol sa mga patakaran para sa paggamit, pagproseso at paghahatid ng pinaghihigpitang impormasyon at nagtatatag ng mga parusa para sa paglabag sa mga panuntunang ito.

Ang lahat ng itinuturing na paraan ng proteksyon ay nahahati sa pormal (pagsagawa ng mga tungkuling proteksiyon nang mahigpit ayon sa isang paunang natukoy na pamamaraan nang walang direktang partisipasyon ng tao) at impormal (na tinutukoy ng may layuning aktibidad ng tao o kinokontrol ang aktibidad na ito).

Sa kasalukuyan, ang pinakamabigat na problema sa seguridad (kahit sa mga system na iyon kung saan hindi na kailangang mag-imbak ng lihim na impormasyon, at sa mga computer sa bahay) ay mga virus. Samakatuwid, dito tatalakayin natin ang mga ito nang mas detalyado. Ang isang computer virus ay isang espesyal na isinulat na maliit na programa na maaaring "mag-attribute" sa sarili nito sa iba pang mga programa (ibig sabihin, "makahawa" sa kanila), at magsagawa din ng iba't ibang mga hindi gustong aksyon sa computer (halimbawa, mga corrupt na file o mga talahanayan ng paglalaan ng file sa disk , "bara" RAM, atbp.).

Ang pangunahing paraan ng proteksyon laban sa mga virus ay ang pag-archive. Hindi ito mapapalitan ng ibang mga pamamaraan, bagama't pinapataas nila ang kabuuang antas ng proteksyon. Ang pag-archive ay dapat gawin araw-araw. Kasama sa pag-archive ang paglikha ng mga kopya ng mga ginamit na file at sistematikong pag-update ng mga binagong file. Ginagawa nitong posible hindi lamang upang makatipid ng puwang sa mga espesyal na disk ng archive, ngunit din upang pagsamahin ang mga grupo ng mga nakabahaging file sa isang archive file, na ginagawang mas madaling maunawaan ang pangkalahatang archive ng mga file. Ang pinaka-mahina na mga talahanayan ay ang mga talahanayan ng paglalaan ng file, ang pangunahing direktoryo at ang bootsector. Inirerekomenda na pana-panahong kopyahin ang mga file sa isang espesyal na floppy disk. Ang kanilang reserbasyon ay mahalaga hindi lamang para sa proteksyon laban sa mga virus, kundi pati na rin para sa seguro sa kaso ng mga sitwasyong pang-emergency o mga aksyon ng ibang tao, kabilang ang iyong sariling mga pagkakamali.

Para sa mga layuning pang-iwas, upang maprotektahan laban sa mga virus, inirerekumenda:

nagtatrabaho sa write-protected floppy disk;

pagliit ng mga panahon ng pagkakaroon ng diskette para sa pagre-record;

dibisyon ng mga floppy disk sa mga partikular na responsableng user;

paghihiwalay ng ipinadala at papasok na mga floppy disk;

paghihiwalay ng imbakan ng mga bagong natanggap na programa at mga dati nang ginamit;

pagsuri sa bagong natanggap na software para sa pagkakaroon ng virus gamit ang mga programa sa pagsubok;

pag-iimbak ng mga programa sa iyong hard drive sa naka-archive na form.

Upang maiwasan ang paglitaw ng mga virus sa computer, kailangan mo munang sundin ang mga sumusunod na hakbang:

huwag muling isulat ang software mula sa ibang mga computer kung kinakailangan, kung gayon ang mga hakbang na nakalista sa itaas ay dapat gawin;

huwag payagan ang mga hindi awtorisadong tao na magtrabaho sa computer, lalo na kung sila ay gagana sa kanilang sariling mga floppy disk;

huwag gumamit ng mga dayuhang floppy disk, lalo na sa mga laro sa kompyuter.

Ang mga sumusunod na karaniwang error ng user na humahantong sa impeksyon sa virus ay maaaring matukoy:

kakulangan ng wastong sistema ng pag-archive ng impormasyon;

paglulunsad ng nagresultang programa nang hindi muna sinusuri ito para sa impeksyon at nang hindi nagtatakda ng maximum na mode ng proteksyon ng hard drive gamit ang mga access control system at paglulunsad ng isang resident guard;

pag-reboot ng system kung mayroong naka-install na floppy disk sa drive A (sa kasong ito, sinusubukan ng BIOS na mag-boot mula sa floppy disk na ito, at hindi mula sa hard drive; bilang isang resulta, kung ang floppy disk ay nahawaan ng isang boot virus, ang hard drive ay nahawahan);

pagpapatakbo ng lahat ng uri ng antivirus program, nang hindi nalalaman ang mga uri ng diagnostic ng parehong mga virus ng iba't ibang antivirus program;

pagsusuri at pagbawi ng mga programa sa isang nahawaang operating system.

Sa kasalukuyan, ang pinakasikat na mga produkto ng anti-virus sa Russia ng DialogScience JSC ay:

polyphage Aidstest (ang polyphage ay isang programa na nagsasagawa ng mga kabaligtaran na aksyon sa mga ginagawa ng isang virus kapag na-infect ang isang file, ibig sabihin, sinusubukan nitong ibalik ang file);

Auditor Adinf;

healing block AdinfExt;

polyphage para sa "polymorphics" Doctor Web.

May mga filter program na nagsusuri kung ang mga file (sa disk na tinukoy ng user) ay naglalaman ng kumbinasyon ng mga byte na espesyal para sa isang partikular na virus. Ang espesyal na pagproseso ng mga file, disk, direktoryo ay ginagamit din - pagbabakuna: paglulunsad ng mga programa ng bakuna na gayahin ang kumbinasyon ng mga kondisyon kung saan ang isang partikular na uri ng virus ay nagsisimulang gumana at nagpapakita mismo. Ang isang halimbawa ng isang resident virus protection program ay ang VSAFF program mula sa Carmel Central Point Software. Ang CRCLIST at CRCTEST program ay maaaring irekomenda bilang mga programa para sa maagang pagsusuri ng isang computer virus.

Seguridad ng impormasyon.

Ang impormasyon mula sa punto ng view ng seguridad ng impormasyon ay may mga sumusunod na kategorya: pagiging kumpidensyal ng impormasyon - isang garantiya na ang partikular na impormasyon ay magagamit lamang sa lupon ng mga tao kung kanino ito nilayon; Ang paglabag sa kategoryang ito ay tinatawag na pagnanakaw o pagsisiwalat ng integridad ng impormasyon ng impormasyon - isang garantiya na ang impormasyon ay umiiral na ngayon sa orihinal nitong anyo, iyon ay, walang mga hindi awtorisadong pagbabago ang ginawa sa panahon ng pag-iimbak o paghahatid nito; Ang paglabag sa kategoryang ito ay tinatawag na falsification ng isang mensahe - isang garantiya na ang pinagmumulan ng impormasyon ay eksaktong taong ipinahayag bilang may-akda nito; Ang paglabag sa kategoryang ito ay tinatawag ding falsification, ngunit nasa may-akda na ng mensahe, ang apela ng impormasyon ay isang garantiya na, kung kinakailangan, posible na patunayan na ang may-akda ng mensahe ay ang ipinahayag na tao, at walang sinuman iba ay maaaring; Ang pagkakaiba sa pagitan ng kategoryang ito at ng nauna ay kapag pinalitan ang may-akda, may ibang sumusubok na mag-claim na siya ang may-akda ng mensahe, at kapag nilabag ang kakayahang umapela, ang may-akda mismo ay sumusubok na "tanggihan" ang kanyang mga salita, na kanyang sabay pirma.

May kaugnayan sa mga sistema ng impormasyon, ang ibang mga kategorya ay nalalapat: pagiging maaasahan - isang garantiya na ang sistema ay kumikilos sa normal at abnormal na mga mode tulad ng nakaplanong katumpakan - isang garantiya ng tumpak at kumpletong pagpapatupad ng lahat ng mga command na kontrol sa pag-access - isang garantiya na ang iba't ibang grupo ng mga tao ay may iba't ibang access sa mga bagay ng impormasyon, at ang mga paghihigpit sa pag-access ay patuloy na sinusunod - isang garantiya na ang isang buong pagsusuri ng anumang bahagi ng software package ay maaaring isagawa anumang oras - isang garantiya na ang kliyente ay kasalukuyang konektado sa system; na sinasabi niyang lumalaban sa mga sinadyang pagkabigo ay isang garantiya na kung ang mga pagkakamali ay sadyang ipinakilala sa loob ng mga limitasyon ng mga paunang napagkasunduan na mga pamantayan, ang sistema ay kikilos bilang napagkasunduan nang maaga.

2. Mga sistema ng seguridad ng impormasyon

Seguridad ng paghahatid ng impormasyon sa Internet. I-encrypt ang impormasyon gamit ang mga pampubliko at pribadong key. Digital na lagda.

Sa modernong Russian Internet, ang karamihan sa mga gumagamit nito, kabilang ang mga corporate, ay gumagamit ng pandaigdigang network, pangunahin bilang isang malaking database, isang malawak na mapagkukunan ng impormasyon, kung saan maaari mong maginhawa at mabilis na makahanap ng anumang impormasyon na interesado, o magbigay ng isang malawak na madla. impormasyon tungkol sa iyong sarili, iyong mga produkto o serbisyo.

Ang isa sa mga dahilan para sa estadong ito ay, sa aming opinyon, ang kawalan ng tiwala sa mga kinatawan ng negosyo sa seguridad ng paghahatid ng impormasyon sa pamamagitan ng Internet. Ito ay para sa kadahilanang ito na ang isang fax o courier ay madalas na ginagamit kung saan ang mga kakayahan ng Internet ay maaaring matagumpay na magamit.

Isaalang-alang natin kung aling mga lugar ng proteksyon at ang kaukulang mga teknikal na paraan ngayon ang nakakaakit ng pinakamalaking atensyon mula sa mga developer at consumer.

Proteksyon mula sa hindi awtorisadong pag-access (AT) ng mga mapagkukunan ng mga stand-alone at naka-network na PC. Ang function na ito ay ipinatupad ng software, firmware at hardware, na tatalakayin sa ibaba gamit ang mga partikular na halimbawa.

Pinoprotektahan ang mga server at indibidwal na gumagamit ng Internet mula sa mga malisyosong hacker na tumagos mula sa labas. Para sa layuning ito, ang mga espesyal na firewall (mga firewall) ay ginagamit, na kamakailan ay lalong lumaganap (tingnan ang PC World, No. 11/2000, p. 82).

Ang proteksyon ng lihim, kumpidensyal at personal na impormasyon mula sa pagbabasa ng mga hindi awtorisadong tao at ang may layuning pagbaluktot nito ay kadalasang isinasagawa gamit ang cryptographic na paraan, na tradisyonal na inilalaan sa isang hiwalay na klase. Kasama rin dito ang pagkumpirma sa pagiging tunay ng mga mensahe gamit ang electronic digital signature (EDS). Ang paggamit ng mga cryptosystem na may mga pampublikong susi at mga digital na lagda ay may magagandang prospect sa pagbabangko at sa larangan ng electronic commerce. Ang ganitong uri ng proteksyon ay hindi tinalakay sa artikulong ito.

Sa mga nagdaang taon, ang proteksyon ng software laban sa iligal na pagkopya gamit ang mga electronic key ay naging laganap na. Sa pagsusuring ito tinalakay din ito gamit ang mga tiyak na halimbawa.

Proteksyon laban sa pagtagas ng impormasyon sa pamamagitan ng mga side channel (sa pamamagitan ng mga power supply circuit, electromagnetic radiation mula sa isang computer o monitor). Dito, ginagamit ang mga napatunayang paraan, tulad ng pagprotekta sa silid at paggamit ng isang generator ng ingay, pati na rin ang isang espesyal na seleksyon ng mga monitor at mga bahagi ng computer na may pinakamaliit na zone ng radiation sa hanay ng dalas na pinaka-maginhawa para sa malayuang pagkuha at pag-decode ng signal ng mga umaatake.

Ang proteksyon laban sa mga spy device na direktang naka-install sa mga bahagi ng computer, pati na rin ang mga sukat ng radiation zone, ay isinasagawa ng mga espesyal na organisasyon na may kinakailangang mga lisensya mula sa mga karampatang awtoridad.

Walang alinlangan tungkol sa mga pakinabang ng Internet na nauugnay sa bilis ng pagpapalitan ng impormasyon, pag-save ng mga mapagkukunan sa malayong distansya at internasyonal na pagpapalitan ng impormasyon, kaginhawahan sa pagpapatakbo ng mga programa ng aplikasyon na nag-automate ng iba't ibang mga proseso ng negosyo sa pagitan ng mga malalayong tanggapan ng kumpanya, sangay, mga kasosyo, mga kliyente, empleyado na may mga laptop PC na matatagpuan sa labas ng kanilang opisina.

Ang lahat ng mga pagkakataong ito, siyempre, ay maaaring makabuluhang bawasan ang oras at gastos sa pananalapi ng isang kumpanya at makabuluhang mapataas ang kahusayan ng negosyo nito.

Ang mas makabuluhang kahusayan ay maaaring makamit sa pamamagitan ng paggamit ng Internet sa inter-corporate information exchange, sa mga system tulad ng B2B portal o isang Internet trading system.

Sa kasamaang palad, sa ngayon ang mga pagkakataon sa Internet na ito ay hindi sapat na hinihiling, at isa sa mga pangunahing dahilan para dito ay tiyak na dahilan ng kawalan ng tiwala ng Negosyo sa Internet mula sa punto ng view ng seguridad ng paggamit nito.

Kadalasan kailangan nating harapin ang dalawang sukdulan, magkasalungat na pananaw.

Ang una ay ang pagtanggi sa problema sa seguridad tulad nito, at bilang kinahinatnan ng kakulangan o kawalan ng naaangkop na mga hakbang sa seguridad kapag nagpapadala ng lubos na mahalagang impormasyon sa pamamagitan ng Internet. Ang pamamaraang ito ay madalas na nagtatapos sa malubhang problema at pagkalugi sa pananalapi.

Ang pangalawang pananaw ay ang Internet ay lubhang mapanganib, at walang mga hakbang sa seguridad ang makakatulong na mapanatili ang integridad ng impormasyong ipinadala sa Internet.

Sa palagay ko, ang pinaka-makatuwirang paraan sa sitwasyong ito ay ang prinsipyong "Golden Mean", kung saan ginagamit ng kumpanya ang Internet upang malutas ang mga problema sa telekomunikasyon nito, habang sinusunod ang naaangkop na mga hakbang sa seguridad.

Maaaring kabilang sa mga naturang hakbang ang: ang iyong sariling pagsusuri ng iyong imprastraktura ng telekomunikasyon mula sa punto ng seguridad, ang pagkuha at pag-install ng naaangkop na kagamitang pang-proteksiyon at pagsasanay ng iyong mga espesyalista. Ang isa pang diskarte ay ang pagsali ng mga propesyonal mula sa mga kumpanyang humaharap sa problemang ito sa pag-aayos at pagpapanatili ng iyong sistema ng seguridad.

Sa merkado ng Russia, ang mga aktibidad sa larangan ng seguridad ng impormasyon ay kinokontrol ng State Technical Commission ng Russian Federation at FAPSI. At tanging ang mga kumpanyang lisensyado mula sa mga istrukturang ito ang may karapatang makisali sa seguridad ng impormasyon sa Russia.

Tulad ng para sa mga produkto na maaaring magamit para sa proteksyon, mayroong isang sistema ng sertipikasyon para sa kanila, na, sa pagtatasa ng kanilang kalidad, ay nagtatalaga sa kanila ng naaangkop na klase ng proteksyon. Ang mga produktong ginagamit upang protektahan ang mga network at computer mula sa direktang pagtagos ng mga hindi awtorisadong gumagamit ay pinatunayan ng State Technical Commission at tinatawag na mga produkto para sa proteksyon laban sa hindi awtorisadong pag-access (ATP). Kasama sa mga naturang produkto ang "Mga Firewall", Proxy server, atbp.

Ang paggamit ng mga naturang sistema, na may tamang pagsasaayos, ay maaaring makabuluhang bawasan ang panganib ng hindi awtorisadong pag-access sa mga protektadong mapagkukunan.

Ang proteksyon laban sa hindi awtorisadong pag-access sa mga mapagkukunan ng computer ay isang kumplikadong problema na kinabibilangan ng paglutas ng mga sumusunod na isyu gamit ang mga teknikal na paraan:

pagkakakilanlan at pagpapatunay ng gumagamit sa pag-login;

pagsubaybay sa integridad ng seguridad ng impormasyon, mga programa at data;

paghihigpit ng pag-access ng gumagamit sa mga mapagkukunan ng PC;

pagharang sa paglo-load ng OS mula sa mga floppy disk at CD-ROM;

pagpaparehistro ng mga aksyon ng user at program.

Ang epekto ng naturang screen ay maaaring ipakita gamit ang halimbawa ng ViPNet personal firewall na ginawa ng kumpanyang InfoTeKS. Maaaring mai-install ang firewall na ito sa parehong server at workstation. Gamit ang mga kakayahan nito, maaari mong ayusin ang trabaho sa paraang maaaring ma-access ng may-ari ng computer ang anumang bukas na mapagkukunan ng INTERNET, ngunit kung sinubukan ng isang tao mula sa labas ng mundo na i-access ang kanyang computer, hinaharangan ng system ang naturang pagtatangka at aabisuhan ang may-ari tungkol dito. . Susunod, maaari kang makakuha ng impormasyon mula sa system tungkol sa kung aling IP address ang sinubukan mong makakuha ng access.

Ang isa pang kategorya ng mga produkto ay idinisenyo para sa pag-aayos ng ligtas na pagpapalitan ng impormasyon at, siyempre, ang pinaka-maaasahan mula sa isang punto ng seguridad. Ang mga produktong ito ay karaniwang binuo batay sa cryptography, at ang regulasyon sa lugar na ito ay isinasagawa ng Federal Agency for Government Communications and Information. Ang mga naturang produkto ay may kakayahang protektahan ang data gamit ang pag-encrypt, hindi lamang ang data na nakaimbak sa hard drive, kundi pati na rin ang data na ipinadala sa mga network, kabilang ang Internet.

Kaya, posibleng protektahan ang parehong mga mensaheng email at pagpapalitan ng impormasyon sa pagitan ng mga subscriber online. Ang mga system na nagpapahintulot sa iyo na magpadala ng anumang data sa Internet sa isang ligtas na paraan ay tinatawag na VPN (Virtual Private Network). Ang VPN ay isang virtual network na may palitan ng impormasyon na ganap na sarado mula sa labas ng access sa pamamagitan ng bukas na Internet. Kaya naman tinawag itong pribado.

Ang impormasyon ay pinananatiling lihim sa mga naturang sistema, bilang panuntunan, gamit ang pag-encrypt. Pag-encrypt i.e. Ang pag-convert ng bukas na data sa pribado (naka-encrypt) na data ay isinasagawa gamit ang mga espesyal, kadalasang mga software key. Ang pangunahing isyu sa seguridad sa naturang mga sistema ay ang isyu ng pangunahing istraktura. Paano at saan nabuo ang susi, kung saan ito nakaimbak, paano ito ipinapadala, at kung kanino ito magagamit.

Sa ngayon, dalawang uri lamang ng mga algorithm ng pag-encrypt ang kilala: simetriko (klasikal) at asymmetric (mga algorithm ng pag-encrypt ng pampublikong key). Ang bawat isa sa mga sistemang ito ay may mga kalamangan at kahinaan nito.

Kapag gumagamit ng simetriko algorithm, ang parehong key ay ginagamit upang i-encrypt at i-decrypt ang impormasyon. Yung. kung gusto ng mga user na A at B na lihim na makipagpalitan ng impormasyon, dapat nilang gawin ang mga sumusunod na aksyon: ine-encrypt ng user A ang impormasyon (plaintext) gamit ang isang key at inilipat ang nagreresultang ciphertext sa user B, na gumagamit ng parehong key upang matanggap ang plaintext.

Gayunpaman, ang mga symmetric encryption algorithm ay may isang disbentaha: bago makipagpalitan ng kumpidensyal na impormasyon, ang dalawang gumagamit ay kailangang magpalitan ng isang karaniwang susi, ngunit sa mga kondisyon kung saan ang mga gumagamit ay hiwalay at medyo marami sa kanila, mayroong malaking abala sa pamamahagi ng mga susi. Bilang karagdagan, dahil ang mga key na ito ay karaniwang binubuo ng isang tiyak na Formation Center, kilala ang mga ito sa sentrong ito. Upang malutas ang problemang ito, nilikha ang cryptography na may mga asymmetric key.

Ang pangunahing ideya ng asymmetric key cryptography ay ang paggamit ng key pair. Ang una - isang walang simetrya na pampublikong key - ay magagamit sa lahat at ginagamit ng lahat na magpapadala ng mga mensahe sa may-ari ng susi. Ang pangalawa - isang lihim na asymmetric key (pribadong key) - ay kilala lamang ng may-ari at sa tulong nito ang mga mensaheng naka-encrypt sa pampublikong key na ipinares sa kanya ay na-decryption. Kaya, ang lihim na bahagi ng susi ay nabuo at iniimbak nang direkta ng subscriber, at hindi magagamit ng sinuman. Ang pinaka-modernong mga sistema ay gumagamit ng pinagsamang sistema ng susi, na parehong may mataas na pagtutol ng isang simetriko na susi at ang hindi naa-access sa gitna at ang kakayahang umangkop ng isang sistemang walang simetriko. Halimbawa, ang system na nilikha ng kumpanya ng InfoTeKS sa ilalim ng trademark ng ViPNet ay may mga katulad na katangian. Binibigyang-daan ka ng system na ito na: kung paano maglipat ng anumang data, kabilang ang mail, mga file, pagsasalita, video, atbp. sa pamamagitan ng Internet sa isang ligtas na paraan, at protektahan ang mga mapagkukunan ng network ng organisasyon, kabilang ang mga server, workstation at maging ang mga mobile na computer na nag-a-access sa Internet saanman sa mundo mula sa hindi awtorisadong pag-access.

3. Mga mapagkukunan ng impormasyon ng limitadong pamamahagi at mga banta sa mga mapagkukunan

Ang mga mapagkukunan ng impormasyon ay mga dokumento at hanay ng mga dokumento sa mga sistema ng impormasyon (mga aklatan, archive, pondo, data bank, deposito, imbakan ng museo, atbp.).

Sa buong nakaraang ika-20 siglo. Sa kasaysayan ng pag-unlad ng sibilisasyon ng tao, ang pangunahing paksa ng paggawa ay nanatiling materyal na bagay. Ang mga aktibidad sa labas ng materyal na produksyon at serbisyo ay malamang na mahulog sa kategorya ng mga hindi produktibong gastos. Ang kapangyarihang pang-ekonomiya ng isang estado ay nasusukat sa pamamagitan ng mga materyal na yaman nito. Bumalik sa huling bahagi ng 70s, ang chairman ng programa sa pagbuo ng patakaran sa larangan ng mga mapagkukunan ng impormasyon, Propesor sa Harvard University A. Osttinger ay sumulat na ang oras ay darating na ang impormasyon ay magiging parehong pangunahing mapagkukunan bilang mga materyales at enerhiya, at, samakatuwid, kaugnay nito Ang parehong mga kritikal na katanungan ay dapat buuin para sa mapagkukunan: sino ang nagmamay-ari nito, sino ang interesado dito, gaano ito naa-access, posible bang gamitin ito sa komersyo? Ang Pangulo ng US Academy of Sciences, si F. Hendler, ay bumalangkas ng kaisipang ito tulad ng sumusunod: “Ang ating ekonomiya ay hindi nakabatay sa likas na yaman, kundi sa mga isipan at sa aplikasyon ng siyentipikong kaalaman.” Sa kasalukuyan, mayroong isang pakikibaka para sa kontrol sa pinakamahalaga sa lahat ng mga mapagkukunan na kilala hanggang sa kasalukuyan - pambansang mapagkukunan ng impormasyon.

“Hindi kami pumupunta sa ibang bansa para samantalahin ang mas mababang gastos. Ipinakilala namin ang aming mga sarili doon dahil may mga intelektwal na reserba doon, at dapat naming harangin ang mga ito upang matagumpay na makipagkumpetensya."

Ang terminong "mga mapagkukunan ng impormasyon" ay nagsimulang malawakang ginagamit sa siyentipikong panitikan pagkatapos ng paglalathala ng sikat na monograp ni G.R. Gromov "Pambansang mapagkukunan ng impormasyon: mga problema ng pagsasamantala sa industriya". Ngayon ay wala pa itong malinaw na interpretasyon, sa kabila ng katotohanan na ang konseptong ito ay isa sa mga susi sa problema ng informatization ng lipunan. Samakatuwid, ang problema sa pag-unawa sa kakanyahan ng isang mapagkukunan ng impormasyon bilang isang anyo ng paglalahad ng data at kaalaman, ang papel nito sa mga prosesong panlipunan, pati na rin ang mga pattern ng pagbuo, pagbabago at pagpapakalat ng iba't ibang uri ng mapagkukunan ng impormasyon sa lipunan ay mahalaga.

Upang matiyak ang pag-activate at epektibong paggamit ng mga mapagkukunan ng impormasyon ng lipunan, kinakailangan na isagawa ang "electronization" ng mga pondo ng impormasyon. Ayon sa akademikong si A. Ershov, ito ay tiyak na "ang pag-load at pag-activate ng pondo ng impormasyon ng sangkatauhan sa pandaigdigang network ng computer na, sa katunayan, nakasalalay ang gawain ng impormasyon sa teknikal na nilalaman nito."

Ang mga aktibong mapagkukunan ng impormasyon ay bahagi ng mga mapagkukunan na binubuo ng impormasyon na magagamit para sa awtomatikong paghahanap, pag-iimbak at pagproseso: pormal at napanatili sa media ng computer sa anyo ng mga gumaganang programa, propesyonal na kaalaman at kasanayan, teksto at mga graphic na dokumento, pati na rin ang anumang iba pang makabuluhang data na posibleng ma-access sa komersyal na batayan ng mga gumagamit ng pambansang fleet ng computer. Ang pambansa at pandaigdigang mapagkukunan ng impormasyon ay mga kategoryang pang-ekonomiya.

Mula dito maaari nating tapusin na ang kahusayan ng paggamit ng mga mapagkukunan ng impormasyon ay ang pinakamahalagang tagapagpahiwatig ng kultura ng impormasyon ng lipunan.

Ang mga pangunahing kalahok sa merkado ng mga serbisyo ng impormasyon ay:

Mga producer ng impormasyon;

Mga nagbebenta ng impormasyon (nagtitinda, Nagtitinda);

Mga user ng impormasyon (mga user) o subscriber

Ngayon, ang pinakakaraniwang paraan ng pag-access sa mga mapagkukunan ng impormasyon ay mga network ng computer, at ang pinaka-progresibong paraan upang makakuha ng impormasyon ay ang online mode (online - interactive, dialogue mode). Pinapayagan nito ang gumagamit, sa pamamagitan ng pag-log in sa isang network ng computer, na makakuha ng access sa "malaking computer" (Host computer) at mga mapagkukunan ng impormasyon nito sa isang direktang mode ng pag-uusap, na ipinatupad sa real time.

Kasama sa mga gumagamit ng ganitong uri ang parehong mga huling mamimili ng impormasyon at mga intermediate na nagbibigay ng mga serbisyo sa kanilang mga kliyente sa paglutas ng mga problema sa impormasyon (mga espesyal na sentro ng impormasyon na may access sa ilang online system, o mga propesyonal na espesyalista na nakikibahagi sa mga bayad na serbisyo ng impormasyon sa mga kliyente at mga consumer ng impormasyon).

Ang merkado ng mga serbisyo sa online na impormasyon ay kinabibilangan ng mga sumusunod na pangunahing mga segment:

Mga computerized na sistema ng reserba at mga serbisyo ng impormasyong pinansyal;

Mga database (DBs) na naglalayon sa mass consumer;

Mga propesyonal na database.

Sa mga database, ang mga sumusunod na uri ay karaniwang nakikilala:

Teksto (buong teksto, abstract, bibliograpiko, mga diksyunaryo);

Mga numerical at tabular na database;

Mga notice board.

Ang ganitong mga database ay nakaimbak din sa CD-ROM, floppy disk at magnetic tape. Sa ibaba, gayunpaman, pag-uusapan natin ang tungkol sa mga database na naa-access online - "mga propesyonal na online na database."

Kabilang sa mga producer ng impormasyon ang parehong mga organisasyon na kumukuha at nag-publish ng impormasyon (mga ahensya ng balita, mass media, mga tanggapan ng editoryal ng mga pahayagan at magasin, mga publisher, mga tanggapan ng patent) at mga organisasyon na propesyonal na nasangkot sa pagproseso nito sa loob ng maraming taon (pagpili ng impormasyon, pag-index, pag-upload sa mga database sa anyo ng mga buong teksto, maikling abstract, atbp.).

Mga banta sa mga mapagkukunan.

Ang mga banta sa mga mapagkukunan ng impormasyon ay maaaring karaniwang uriin:

1). Ayon sa layunin ng pagpapatupad ng pagbabanta:

Mga banta sa pagiging kumpidensyal:

Pagnanakaw (pagkopya) ng impormasyon at paraan ng pagproseso nito (media);

Pagkawala (hindi sinasadyang pagkawala, pagtagas) ng impormasyon at paraan ng pagproseso nito (media);

Mga banta sa availability:

Pag-block ng impormasyon;

Pagkasira ng impormasyon at paraan ng pagproseso nito (media);

mga banta sa integridad:

Pagbabago (distortion) ng impormasyon;

Pagtanggi sa pagiging tunay ng impormasyon;

Pagpataw ng maling impormasyon, panlilinlang

Sa kasong ito:

Ang Pagnanakaw at Pagkasira ng impormasyon ay nauunawaan na katulad ng inilalapat sa materyal na mahahalagang mapagkukunan. Pagkasira ng impormasyon sa computer - pagbubura ng impormasyon sa memorya ng computer.

Ang pagkopya ng impormasyon ay ang pag-uulit at permanenteng pag-imprenta ng impormasyon sa isang computer o ibang medium.

Ang pinsala ay isang pagbabago sa mga katangian ng isang daluyan ng imbakan, kung saan ang kondisyon nito ay makabuluhang lumala, ang isang makabuluhang bahagi ng mga kapaki-pakinabang na katangian nito ay nawala at ito ay nagiging ganap o bahagyang hindi angkop para sa nilalayon nitong paggamit.

Pagbabago ng impormasyon - paggawa ng anumang mga pagbabago, maliban sa mga nauugnay sa adaptasyon ng isang computer program o database para sa impormasyon sa computer.

Ang pagharang sa impormasyon ay isang hindi awtorisadong pagharang sa pag-access ng user sa impormasyong hindi nauugnay sa pagkasira nito;

Hindi awtorisadong pagsira, pagharang, pagbabago, pagkopya ng impormasyon - anumang hindi pinahihintulutan ng batas, ang may-ari o karampatang gumagamit ng mga tinukoy na aksyon na may impormasyon.

Panlilinlang (pagtanggi sa pagiging tunay, pagpapataw ng maling impormasyon) - sinadyang pagbaluktot o pagtatago ng katotohanan upang linlangin ang taong namamahala sa ari-arian, at sa gayon ay makuha mula sa kanya ang boluntaryong paglilipat ng ari-arian, pati na rin ang komunikasyon ng sadyang mali impormasyon para sa layuning ito.

2) Batay sa prinsipyo ng epekto sa mga carrier ng impormasyon - ang sistema ng pagproseso at paghahatid ng impormasyon (APS):

Paggamit ng access ng isang nanghihimasok (attacker, ASOI user, proseso) sa isang bagay (sa isang meeting room, sa isang data file, isang channel ng komunikasyon, atbp.);

Paggamit ng mga tago na channel - gamit ang memorya, memorya, mga landas ng paghahatid ng impormasyon na nagpapahintulot sa dalawang magkakaugnay na proseso (lehitimo at ipinakilala ng isang umaatake) na makipagpalitan ng impormasyon sa paraang humahantong sa pagkawala ng impormasyon.

3) Sa likas na katangian ng epekto sa pagproseso ng impormasyon at sistema ng paghahatid:

Mga aktibong banta na nauugnay sa nagkasala na nagsasagawa ng anumang mga aksyon (pagkopya, hindi awtorisadong pag-record, pag-access sa mga set ng data, mga programa, pagbawi ng password, atbp.);

Ang mga passive na pagbabanta ay isinasagawa ng gumagamit na nagmamasid sa anumang mga epekto ng mga proseso ng daloy ng impormasyon at pinag-aaralan ang mga ito.

4) Batay sa pagkakaroon ng isang mapagsamantalang error sa seguridad, ang banta ay maaaring dahil sa isa sa mga sumusunod na dahilan:

Kakulangan - hindi pagsunod sa rehimen ng seguridad para sa pagprotekta sa zone ng seguridad.

Mga error sa administrative control - mode ng seguridad;

Mga error sa mga algorithm ng programa, sa mga koneksyon sa pagitan ng mga ito, atbp., na lumitaw sa yugto ng pagdidisenyo ng mga programa o isang hanay ng mga programa at dahil sa kung saan ang mga programang ito ay maaaring magamit nang ganap na naiiba kaysa sa inilarawan sa dokumentasyon.

Mga error sa pagpapatupad ng mga algorithm ng programa (mga error sa coding), mga koneksyon sa pagitan ng mga ito, atbp., na lumitaw sa mga yugto ng pagpapatupad, pag-debug at maaaring magsilbi bilang isang mapagkukunan ng mga hindi dokumentadong katangian.

5) Sa paraan ng pag-impluwensya sa target ng pag-atake (na may aktibong impluwensya):

Direktang epekto sa target ng pag-atake (kabilang ang paggamit ng mga pribilehiyo), halimbawa: direktang pag-access sa audibility at visibility, sa isang set ng data, programa, serbisyo, channel ng komunikasyon, atbp., sinasamantala ang anumang error;

Epekto sa system ng mga pahintulot (kabilang ang privilege hijacking). Sa kasong ito, ang mga hindi awtorisadong aksyon ay isinasagawa patungkol sa mga karapatan ng gumagamit sa object ng pag-atake, at ang pag-access sa mismong object ay isinasagawa sa isang legal na paraan;

Hindi direktang epekto (sa pamamagitan ng ibang mga user):

- "pagbabalatkayo". Sa kasong ito, iniaangkop ng gumagamit sa kanyang sarili sa ilang paraan ang mga kapangyarihan ng isa pang gumagamit, na nagpapanggap sa kanya;

- "bulag na paggamit". Sa pamamaraang ito, pinipilit ng isang user ang isa pa na gawin ang mga kinakailangang aksyon (para sa sistema ng seguridad ay hindi sila mukhang hindi awtorisado, dahil ginagawa sila ng isang user na may karapatang gawin ito), at maaaring hindi sila alam ng huli. . Maaaring gamitin ang isang virus upang ipatupad ang banta na ito (ginagawa nito ang mga kinakailangang aksyon at iuulat ang kanilang mga resulta sa taong nagpakilala nito).

Ang huling dalawang pamamaraan ay lubhang mapanganib. Upang maiwasan ang mga naturang aksyon, kinakailangan ang patuloy na pagsubaybay sa parehong bahagi ng mga administrator at operator sa pagpapatakbo ng ASOI sa kabuuan, at sa bahagi ng mga user sa kanilang sariling mga set ng data.

6) Ayon sa paraan ng pag-impluwensya sa ASOI:

Sa interactive na mode - sa panahon ng pangmatagalang trabaho sa programa;

Sa batch mode - pagkatapos ng pangmatagalang paghahanda sa pamamagitan ng mabilis na pagpapatupad ng isang pakete ng mga naka-target na programa ng aksyon.

Kapag nagtatrabaho sa system, ang gumagamit ay palaging nakikitungo sa ilan sa mga programa nito. Ang ilang mga programa ay idinisenyo sa paraang mabilis na maimpluwensyahan ng gumagamit ang pag-usad ng kanilang pagpapatupad sa pamamagitan ng pagpasok ng iba't ibang mga utos o data, habang ang iba ay idinisenyo sa paraang ang lahat ng impormasyon ay dapat na matukoy nang maaga. Kasama sa una, halimbawa, ang ilang mga utility, mga programa sa pamamahala ng database, pangunahin ang mga programang nakatuon sa gumagamit. Pangunahing kasama sa huli ang mga program ng system at application na nakatuon sa pagsasagawa ng ilang mahigpit na tinukoy na pagkilos nang walang paglahok ng user.

Kapag gumagamit ng mga programa ng unang klase, ang epekto ay mas mahaba sa oras at, samakatuwid, ay may mas mataas na posibilidad ng pagtuklas, ngunit mas nababaluktot, na nagpapahintulot sa iyo na mabilis na baguhin ang pagkakasunud-sunod ng mga aksyon. Ang epekto ng paggamit ng mga pangalawang-klase na programa (halimbawa, paggamit ng mga virus) ay panandalian, mahirap i-diagnose, mas mapanganib, ngunit nangangailangan ng maraming paunang paghahanda upang mahulaan ang lahat ng posibleng kahihinatnan ng interbensyon nang maaga.

7) Sa pamamagitan ng bagay ng pag-atake:

ASOI sa pangkalahatan: sinusubukan ng isang umaatake na tumagos sa system upang magsagawa ng anumang hindi awtorisadong pagkilos. Karaniwang ginagamit nila ang "masquerade", pagharang ng password o pamemeke, pag-hack o pag-access sa ASOI sa pamamagitan ng isang network;

Ang mga bagay ng ASOI ay data o mga programa sa RAM o sa panlabas na media, ang mga device mismo ng system, parehong panlabas (disk drive, network device, terminal) at panloob (RAM, processor), mga channel ng paghahatid ng data. Ang epekto sa mga object ng system ay karaniwang naglalayong i-access ang kanilang mga nilalaman (paglabag sa pagiging kompidensiyal o integridad ng naproseso o nakaimbak na impormasyon) o pag-abala sa kanilang pag-andar (halimbawa, pagpuno sa buong RAM ng computer ng walang kahulugan na impormasyon o pag-load sa processor ng computer ng isang gawain na may walang limitasyong pagpapatupad oras);

Ang mga paksa ng ASOI ay mga processor ng gumagamit. Ang layunin ng naturang mga pag-atake ay alinman sa direktang epekto sa pagpapatakbo ng processor - ang pagsususpinde nito, pagbabago ng mga katangian (halimbawa, priyoridad), o isang baligtad na epekto - ginagamit ng umaatake ang mga pribilehiyo at katangian ng isa pang proseso para sa kanyang sariling mga layunin. Ang epekto ay maaaring sa mga proseso ng user, system, network;

Mga channel ng paghahatid ng data - pakikinig sa channel at pagsusuri sa graph (daloy ng mensahe); pagpapalit o pagbabago ng mga mensahe sa mga channel ng komunikasyon at mga relay node; pagbabago ng topology at mga katangian ng network, paglipat at pagtugon sa mga panuntunan.

8) Sa pamamagitan ng pag-atake na ginamit:

Paggamit ng karaniwang software;

Paggamit ng mga espesyal na binuo na programa.

9) Ayon sa estado ng target ng pag-atake.

Ang object ng pag-atake ay naka-imbak sa disk, magnetic tape, RAM o anumang iba pang lugar sa isang passive state. Sa kasong ito, ang epekto sa bagay ay karaniwang isinasagawa gamit ang pag-access;

Ang object ng pag-atake ay nasa isang estado ng paghahatid sa isang linya ng komunikasyon sa pagitan ng mga node ng network o sa loob ng isang node. Kasama sa epekto ang alinman sa pag-access sa mga fragment ng ipinadalang impormasyon (halimbawa, pagharang ng mga packet sa isang network repeater), o simpleng pag-eavesdrop gamit ang mga tago na channel;

Ang target ng pag-atake (proseso ng user) ay nasa estado ng pagpoproseso.

Ipinapakita ng klasipikasyon sa itaas ang kahirapan sa pagtukoy ng mga posibleng banta at kung paano ipatupad ang mga ito.

Access ng tauhan sa kumpidensyal na impormasyon.

Ang pahintulot na ma-access ang kumpidensyal na impormasyon ng isang kinatawan ng ibang kumpanya o negosyo ay pormal na ginawa ng isang resolusyon ng isang awtorisadong opisyal sa isang order (o liham, pangako) na isinumite ng interesadong tao. Ang resolusyon ay dapat magsaad ng mga partikular na dokumento o impormasyon kung saan pinahihintulutan ang pag-access. Kasabay nito, ang pangalan ng empleyado ng kumpanya ay ipinahiwatig, na nagpapakilala sa kinatawan ng ibang kumpanya sa impormasyong ito at responsable para sa kanyang trabaho - sa lugar ng kumpanya.

Dapat mong sundin ang panuntunan na ang lahat ng taong may access sa ilang mga dokumento at mga lihim ng kalakalan ay nakarehistro. Ito ay nagbibigay-daan para sa mataas na antas ng suporta sa impormasyon para sa analytical na gawain upang matukoy ang mga posibleng channel para sa pagkawala ng impormasyon.

Kapag nag-oorganisa ng pag-access para sa mga empleyado ng kumpanya sa mga kumpidensyal na hanay ng mga elektronikong dokumento at database, kinakailangang tandaan ang likas na multi-stage nito. Ang mga sumusunod na pangunahing sangkap ay maaaring makilala:

* access sa isang personal na computer, server o workstation;

* access sa computer storage media na nakaimbak sa labas ng computer;

* Direktang pag-access sa mga database at mga file.

Ang pag-access sa isang personal na computer, server o workstation na ginagamit upang iproseso ang kumpidensyal na impormasyon ay kinabibilangan ng:

* pagpapasiya at regulasyon ng unang pinuno ng kumpanya ng komposisyon ng mga empleyado na may karapatan sa pag-access (pagpasok) sa lugar kung saan matatagpuan ang kaukulang kagamitan sa computer at kagamitan sa komunikasyon;

* regulasyon ng unang pinuno ng pansamantalang rehimen para sa pagkakaroon ng mga taong ito sa tinukoy na lugar; personal at pansamantalang pag-record (pag-record) ng pinuno ng isang departamento o lugar ng aktibidad ng kumpanya ng pagkakaroon ng pahintulot at ang panahon ng trabaho ng mga taong ito sa ibang mga oras (halimbawa, sa gabi, katapusan ng linggo, atbp. );

* pag-aayos ng seguridad ng mga lugar na ito sa oras ng pagtatrabaho at hindi pagtatrabaho, pagtukoy ng mga patakaran para sa pagbubukas ng mga lugar at pag-off ng seguridad teknikal na paraan ng impormasyon at mga alarma; pagpapasiya ng mga patakaran para sa pag-aarmas ng mga lugar; regulasyon ng pagpapatakbo ng tinukoy na teknikal na paraan sa mga oras ng pagtatrabaho;

* organisasyon ng kinokontrol (kung kinakailangan, kontrol sa pag-access) sa pagpasok at paglabas mula sa tinukoy na lugar;

* pag-aayos ng mga aksyon ng seguridad at mga tauhan sa matinding sitwasyon o sa kaso ng mga aksidente ng kagamitan at lugar;

* pag-aayos ng pag-alis ng mga materyal na asset, computer at papel na imbakan ng media mula sa tinukoy na lugar; kontrol sa mga personal na gamit na dinadala at inilabas ng mga tauhan.

Sa kabila ng katotohanan na sa pagtatapos ng araw ng trabaho, ang kumpidensyal na impormasyon ay dapat ilipat sa flexible media at burahin mula sa hard drive ng computer, ang mga lugar kung saan matatagpuan ang mga kagamitan sa computer ay napapailalim sa proteksyon. Ito ay ipinaliwanag sa pamamagitan ng katotohanan na, una, madaling mag-install ng ilang uri ng pang-industriyang espionage tool sa isang hindi nababantayan na computer, at pangalawa, ang isang umaatake ay maaaring gumamit ng mga espesyal na pamamaraan upang maibalik ang nabura na kumpidensyal na impormasyon sa hard drive (gumanap ng "pagkolekta ng basura" ).

Ang pag-access sa computer storage media ng kumpidensyal na impormasyong nakaimbak sa labas ng computer ay kinabibilangan ng:

* pag-aayos ng accounting at pagbibigay ng malinis na computer storage media sa mga empleyado;

* organisasyon ng pang-araw-araw na naitala na paghahatid sa mga empleyado at pagtanggap ng media na may naitala na impormasyon (pangunahin at backup) mula sa mga empleyado;

* pagpapasiya at regulasyon ng unang tagapamahala ng komposisyon ng mga empleyado na may karapatang magpatakbo ng kumpidensyal na impormasyon gamit ang mga computer na naka-install sa kanilang mga lugar ng trabaho at tumanggap ng nakarehistrong computer storage media mula sa serbisyo ng CD;

* pag-aayos ng isang sistema para sa pagtatalaga ng media ng imbakan ng computer sa mga empleyado at pagsubaybay sa kaligtasan at integridad ng impormasyon, na isinasaalang-alang ang dinamika ng mga pagbabago sa komposisyon ng naitala na impormasyon;

* pag-aayos ng pamamaraan para sa pagsira ng impormasyon sa media, ang pamamaraan at mga kondisyon para sa pisikal na pagkasira ng media;

* pag-aayos ng pag-iimbak ng computer media sa serbisyo ng CD sa oras ng pagtatrabaho at walang pasok, pagsasaayos ng pamamaraan para sa paglikas ng media sa matinding sitwasyon;

* pagpapasiya at regulasyon ng unang tagapamahala ng komposisyon ng mga empleyado na, para sa mga layunin na kadahilanan, ay hindi nagbibigay ng teknikal na media para sa pag-iimbak sa serbisyo ng CD sa pagtatapos ng araw ng trabaho, na nag-aayos ng espesyal na seguridad para sa mga lugar at mga computer ng mga empleyadong ito . Ang gawain ng mga empleyado ng serbisyo ng CD at ang kumpanya sa kabuuan na may computer storage media sa labas ng computer ay dapat na organisahin sa pamamagitan ng pagkakatulad sa papel na kumpidensyal na mga dokumento.

Ang pag-access sa mga kumpidensyal na database at mga file ay ang huling yugto ng pag-access ng empleyado ng kumpanya sa isang computer. At kung ang empleyadong ito ay isang umaatake, maaari nating ipagpalagay na matagumpay niyang nalampasan ang pinakamalubhang hadlang sa pagprotekta sa protektadong elektronikong impormasyon. Sa huli, maaari niyang dalhin lamang ang computer o alisin ang hard drive mula dito at dalhin ito nang hindi "na-hack" ang database.

Karaniwan, ang pag-access sa mga database at file ay kinabibilangan ng:

* pagpapasiya at regulasyon ng unang tagapamahala ng komposisyon ng mga empleyado na pinapayagan na magtrabaho sa ilang mga database at mga file; kontrol ng access system ng database administrator;

* pagbibigay ng pangalan sa mga database at file, pagtatala sa memorya ng computer ng mga pangalan ng mga user at operator na may karapatang ma-access ang mga ito;

* accounting ng komposisyon ng database at mga file, regular na pagsuri ng availability, integridad at pagkakumpleto ng mga elektronikong dokumento;

* pagpaparehistro ng pag-login sa database, awtomatikong pagpaparehistro ng username at oras ng pagtatrabaho; pagpapanatili ng orihinal na impormasyon;

* pagpaparehistro ng mga pagtatangka ng hindi awtorisadong pagpasok sa database, pagpaparehistro ng mga maling aksyon ng user, awtomatikong paghahatid ng signal ng alarma sa seguridad at awtomatikong pagsara ng computer;

* pagtatatag at hindi regular na pagbabago sa mga user name, array at file (mga password, code, classifier, keyword, atbp.), lalo na sa madalas na pagbabago ng mga tauhan;

* pagsara ng computer sa kaso ng mga paglabag sa sistema ng kontrol sa pag-access o pagkabigo ng sistema ng seguridad ng impormasyon;

* mekanikal (na may susi o iba pang device) na humaharang sa isang nakadiskonekta ngunit naka-load na computer sa mga maikling pahinga sa trabaho ng user. Mga code, password, keyword, key, cipher, espesyal na produkto ng software, hardware, atbp. Ang mga katangian ng sistema ng seguridad ng impormasyon sa isang computer ay binuo, binago ng isang dalubhasang organisasyon at indibidwal na dinadala sa atensyon ng bawat gumagamit ng isang empleyado ng organisasyong ito o isang tagapangasiwa ng system. Ang mga gumagamit ay hindi pinapayagang gumamit ng kanilang sariling mga code.

Dahil dito, ang mga pamamaraan para sa pagpasok at pag-access ng mga empleyado sa kumpidensyal na impormasyon ay kumpletuhin ang proseso ng pagsasama ng empleyadong ito sa mga taong aktwal na nagmamay-ari ng mga lihim ng kumpanya. Simula noon, ang patuloy na pakikipagtulungan sa mga tauhan na may mahalagang at kumpidensyal na impormasyon sa kanilang pagtatapon ay naging napakahalaga.

Konklusyon

Ang katatagan ng mga tauhan ay ang pinakamahalagang kinakailangan para sa maaasahang seguridad ng impormasyon ng isang kumpanya. Ang paglipat ng mga espesyalista ay ang pinakamahirap na kontrolin ang channel para sa pagkawala ng mahalaga at kumpidensyal na impormasyon. Gayunpaman, hindi posible na ganap na maiwasan ang mga tanggalan ng empleyado. Ang isang masusing pagsusuri sa mga dahilan para sa pagpapaalis ay kinakailangan, sa batayan kung saan ang isang programa ay iginuhit at ipinatupad upang maalis ang mga kadahilanang ito. Halimbawa, ang pagtaas ng suweldo, pag-upa ng pabahay para sa mga empleyado malapit sa kumpanya at pagpapabuti ng sikolohikal na klima, pagtanggal sa mga manager na umaabuso sa kanilang opisyal na posisyon, atbp.

Listahan ng ginamit na panitikan

seguridad sa proteksyon ng impormasyon

1. Zabelin E.I. Seguridad ng impormasyon sa Internet - mga serbisyo para sa negosyo

Orihinal na artikulo: http://www.OXPAHA.ru/view.asp?2280.

2. Lingguhang "Computerworld", #22, 1999 // Open Systems Publishing House http://www.osp.ru/cw/1999/22/061.htm

3. A. Dmitriev Mga sistema ng seguridad ng impormasyon. PC World magazine, #05, 2001 // Open Systems Publishing House. http://www.osp.ru/pcworld/2001/05/010.htm

4. Mga serbisyo sa seguridad mula sa Novell. Mga module ng pag-encrypt. http://novell.eureca.ru/

5. Paula Scherik. 10 tanong tungkol sa pag-encrypt sa NT 4.0 http://www.osp.ru/win2000/2001/05/050.htm

Na-post sa Allbest.ru

Mga katulad na dokumento

Ang problema sa seguridad ng impormasyon. Mga tampok ng proteksyon ng impormasyon sa mga network ng computer. Mga banta, pag-atake at mga channel ng pagtagas ng impormasyon. Pag-uuri ng mga pamamaraan at paraan ng pagtiyak ng seguridad. Arkitektura ng network at proteksyon nito. Mga pamamaraan para sa pagtiyak ng seguridad ng network.

thesis, idinagdag noong 06/16/2012

Seguridad ng impormasyon, mga bahagi ng sistema ng proteksyon. Mga salik na nagpapabagal. Pag-uuri ng mga banta sa seguridad ng impormasyon ayon sa pinagmulan ng paglitaw at likas na katangian ng mga layunin. Mga pamamaraan para sa kanilang pagpapatupad. Mga antas ng proteksyon ng impormasyon. Mga yugto ng paglikha ng mga sistema ng proteksyon.

pagtatanghal, idinagdag noong 12/22/2015

Mga pangunahing channel ng pagtagas ng impormasyon. Pangunahing pinagmumulan ng kumpidensyal na impormasyon. Mga pangunahing bagay ng proteksyon ng impormasyon. Pangunahing gawain sa pagbuo at pagpapabuti ng sistema ng seguridad ng impormasyon. Modelo ng proteksyon sa seguridad ng impormasyon ng JSC Russian Railways.

course work, idinagdag noong 09/05/2013

Mga uri ng panloob at panlabas na intensyonal na banta sa seguridad ng impormasyon. Pangkalahatang konsepto ng proteksyon at seguridad ng impormasyon. Ang mga pangunahing layunin at layunin ng seguridad ng impormasyon. Ang konsepto ng pagiging posible sa ekonomiya ng pagtiyak ng kaligtasan ng impormasyon ng negosyo.

pagsubok, idinagdag noong 05/26/2010

Mga kinakailangan sa impormasyon: pagkakaroon, integridad at pagiging kumpidensyal. Ang modelo ng CIA bilang seguridad ng impormasyon, batay sa pagprotekta sa pagkakaroon, integridad at pagiging kumpidensyal ng impormasyon. Direkta at hindi direktang pagbabanta, paraan ng pagprotekta sa impormasyon.

pagtatanghal, idinagdag noong 01/06/2014

Istraktura at tampok ng Linux OS, kasaysayan ng pag-unlad nito. Seguridad ng impormasyon: konsepto at mga dokumento ng regulasyon, mga direksyon ng pagtagas ng impormasyon at proteksyon nito. Pagkalkula ng paglikha ng isang sistema ng seguridad ng impormasyon at pananaliksik ng pagiging epektibo nito.

course work, idinagdag noong 01/24/2014

Sistema ng pagbuo ng rehimen ng seguridad ng impormasyon. Mga problema sa seguridad ng impormasyon ng lipunan. Mga tool sa seguridad ng impormasyon: mga pangunahing pamamaraan at sistema. Proteksyon ng impormasyon sa mga network ng computer. Mga probisyon ng pinakamahalagang gawaing pambatasan ng Russia.

abstract, idinagdag noong 01/20/2014

Konsepto at pangunahing mga prinsipyo ng seguridad ng impormasyon. Ang konsepto ng seguridad sa mga awtomatikong sistema. Mga Batayan ng batas ng Russia sa larangan ng seguridad ng impormasyon at proteksyon ng impormasyon, mga proseso ng paglilisensya at sertipikasyon.

kurso ng mga lektura, idinagdag 04/17/2012

Konsepto, layunin at layunin ng seguridad ng impormasyon. Mga banta sa seguridad ng impormasyon at mga paraan para ipatupad ang mga ito. Pamamahala ng pag-access sa impormasyon at mga sistema ng impormasyon. Pagprotekta sa mga network at impormasyon kapag nagtatrabaho sa Internet. Ang konsepto ng isang elektronikong lagda.

pagsubok, idinagdag noong 12/15/2015

Ang pinakamahalagang aspeto ng pagtiyak ng seguridad ng impormasyon. Teknikal na paraan ng pagproseso ng impormasyon, ang media ng dokumentasyon nito. Mga karaniwang paraan upang makakuha ng hindi awtorisadong impormasyon. Ang konsepto ng isang elektronikong lagda. Pagprotekta sa impormasyon mula sa pagkasira.