Программно-технические способы и средства обеспечения информационной безопасности.
Методы и средства обеспечения информационной безопасности
Информационная безопасность. Виды угроз и защита информации
Информация играет особую роль в процессе развития цивилизации. Владение информационными ресурсами и рациональное их использование создают условия оптимального управления обществом. И напротив, искажение информации, блокирование ее получения, использование недостоверных данных ведут к ошибочным решениям. Одним из главных факторов, обеспечивающих эффективность в управлении различными сферами общественной жизни, является правильное использование информации различного характера. Темпы прогресса сегодняшнего, а тем более завтрашнего дня в значительной мере зависят от состояния дел в области информационно-вычислительного обслуживания важнейших сфер деятельности — науки, техники, производства и управления. Особенно актуальна проблема использования экономической информации в сфере управления материальным производством, где рост информационного потока находится в квадратичной зависимости от промышленного потенциала страны. В свою очередь, быстрое развитие процессов автоматизации, использование компьютеров во всех сферах современной жизни, помимо несомненных преимуществ, повлекли появление ряда специфичных проблем. Одна из них — необходимость обеспечения эффективной защиты информации. Исходя из этого создание правовых норм, закрепляющих права и обязанности граждан, коллективов и государства на информацию, а также защита этой информации становятся важнейшим аспектом информационной политики государства. Представляют интерес сведения о проблемах защиты данных, приведших к материальным потерям в компаниях США:. Бурное развитие и распространение компьютерных систем и информационных сетей, обслуживающих банки и биржи, сопровождается ростом правонарушений, связанных с кражами и неправомочным доступом к данным, хранящимся в памяти компьютеров и передаваемым по линиям связи. Компьютерные преступления происходят сегодня во всех странах мира и распространены во многих областях человеческой деятельности. Они характеризуются высокой скрытностью, сложностью сбора улик по установленным фактам их совершения и сложностью доказательства в суде подобных дел. Правонарушения в сфере компьютерной информации могут совершаться в форме:. Совершают компьютерные преступления, как правило, высококвалифицированные системные и банковские программисты, специалисты в области телекоммуникационных систем. Нешуточную угрозу информационным ресурсам представляют хакеры и крэкеры, проникающие в компьютерные системы и сети путем взлома программного обеспечения защиты. Крэкеры, кроме того, могут стереть или изменить данные в информационном банке в соответствии со своими интересами. За последние десятилетия в странах бывшего СССР появилась мощная генерация высокоподготовленных потенциальных хакеров, работавших в организациях и ведомствах, занимавшихся информационным пиратством на государственном уровне для использования полученной с Запада информации в военных и экономических интересах. Что же крадут хакеры? Потенциальным объектом может служить любая информация, заложенная в ЭВМ, проходящая по вычислительным сетям или находящаяся на носителях ЭВМ и способная принести прибыль хакеру или его работодателю. Особо ценной является информация по банковским сделкам и кредитам, проводимая по электронной почте, а также сделки на бирже. Большой интерес представляют для хакеров программные продукты, оценивающиеся на современном рынке в тысячи, а то и в миллионы долларов. Для многих фирм получение информации с помощью внедрения к конкурентам хакера-программиста — дело наиболее простое и прибыльное. Внедрять соперникам спецтехнику, постоянно контролировать их офис на излучение с помощью специальной аппаратуры — дело дорогостоящее и опасное. К тому же фирма-конкурент при обнаружении технических средств может в ответ затеять игру, давая ложную информацию. Таким образом, всевозрастающая опасность компьютерной преступности, прежде всего в финансово-кредитной сфере, определяет важность обеспечения безопасности автоматизированных информационных систем. Под безопасностью автоматизированной информационной системы организации учреждения понимается ее защищенность от случайного или преднамеренного вмешательства в нормальный процесс функционирования, а также от попыток хищения, модификации или разрушения ее компонентов. Безопасность системы достигается обеспечением конфиденциальности обрабатываемой ею информации, а также целостности и доступности компонентов и ресурсов системы. Конфиденциальность компьютерной информации — это свойство информации быть известной только допущенным и прошедшим проверку авторизацию субъектам системы пользователям, программам, процессам и т. Целостность компонента ресурса системы — свойство компонента ресурса быть неизменным в семантическом смысле при функционировании системы. Доступность компонента ресурса системы — свойство компонента ресурса быть доступным для использования авторизованными субъектами системы в любое время. Безопасность системы обеспечивается комплексом технологических и административных мер, применяемых в отношении аппаратных средств, программ, данных и служб с целью обеспечения доступности, целостности и конфиденциальности связанных с компьютерами ресурсов; сюда же относятся и процедуры проверки выполнения системой определенных функций в строгом соответствии с их запланированным порядком работы. Компьютерная безопасность обеспечивается комплексом технологических и административных мер, применяемых в отношении аппаратных средств компьютера с целью обеспечения доступности, целостности и конфиденциальности связанных с ним ресурсов. Безопасность данных достигается защитой данных от неавторизованных, случайных, умышленных или возникших по халатности модификаций, разрушений или разглашения. Безопасное программное обеспечение представляет собой общецелевые и прикладные программы и средства, осуществляющие безопасную обработку данных в системе и безопасно использующие ресурсы системы. Безопасность коммуникаций обеспечивается посредством аутентификации телекоммуникаций за счет принятия мер по предотвращению предоставления неавторизованным лицам критичной информации, которая может быть выдана системой в ответ на телекоммуникационный запрос. В современном мире информационные ресурсы стали одним из мощных рычагов экономического развития предприятий фирм , играющих важную роль в предпринимательской деятельности. В информационных и автоматизированных системах управления предприятием фирмой на первый план выступает обеспечение эффективного решения задач маркетингового управления, т. Это относится как к самодеятельному индивиду, так и к неофициальной группировке, специально созданной для решения каких-то щекотливых, не пользующихся всеобщим одобрением задач. Такая же проблема возникает и тогда, когда по какой-либо причине персоне надо скрываться от различных служб коммерческого, государственного, криминального, политического рода. Типичным нелегалом можно стать и намеренно, и вынужденно. В любом, однако, случае необходимо знать хотя бы минимум стандартных тактик безопасности, чтобы удачно проскочить этот период, не потеряв по явной глупости физической или психической свободы, а порой самой жизни. Уровень используемых мер страховки сильно зависит как от степени желаемой конспирации человека или группы , так и от ситуации, среды и, разумеется, от возможностей самих страхующихся. Отдельные приемы личной безопасности должны стать естественной привычкой и выполняться вне зависимости от потребностей сиюминутной ситуации. Представленное здесь не исчерпывает возможных средств обыденной страховки, критерием для применения которых всегда являются высокое мнение о противнике и, конечно, здравый смысл самих страхующихся. В рискованные авантюры, имеющие отношение к делу, встревать только при разрешении свыше. Контакты в собственной среде нельзя рассматривать как гарантированно безопасные. Лучшей гарантией успеха является обычно подстраховка, и потому любые действия желательно осуществлять с учетом всех возможных неприятностей со стороны противника или случайно подвернувшихся свидетелей. Уровень требуемых в конкретных случаях мер безопасности зависит от желаемой степени конспиративности контакта, от степени легальности его участников и возможного контроля его чужаками. Организация проведения любого мероприятия, в том числе совещаний и переговоров, связана с его подготовкой. Не существует единых безошибочных правил в этом направлении. Однако рекомендуется следующий вариант схемы такой подготовки: На начальном этапе планирования определяется тема или вопросы, которые желательно обсудить, и возможные участники делового разговора. Кроме того, выбирается наиболее удачный момент, и только потом договариваются о месте, времени встречи и организации охраны предприятия как правило, такие разговоры ведутся тет-а-тет, конфиденциально, без участия посторонних лиц. Когда совещание уже назначено, составляется план его проведения. Сначала следует определить стоящие перед предпринимателем цели, а затем разрабатывать стратегию их достижения и тактику ведения беседы. Такой план — это четкая программа действий по подготовке и проведению конкретной беседы. Планирование позволяет смягчить, нейтрализовать влияние неожиданно появившихся новых фактов или непредвиденных обстоятельств на ход беседы. В план включаются ответственные за выполнение каждого пункта плана и следующие мероприятия по организации безопасности совещания переговоров: Контроль состояния напитков, закусок и других угощений для этих целей используют тренированных собак. Зачистка помещений зала переговоров и смежных комнат перед проведением переговоров на предмет извлечения подслушивающих и взрывных устройств. Недопущение прослушивания разговоров организаторов мероприятия и гостей в помещениях и по телефону. Разработка запасных вариантов проведения переговоров на частной квартире, в гостинице, в автомобиле, на катере, в бане сауне и т. Данный перечень мероприятий не является исчерпывающим. Он может быть существенно расширен и конкретизирован в зависимости от условий объекта охраны, характера мероприятия и других условий, оговоренных с клиентом. К числу общих задач, которые решаются при проведении совещания переговоров или других массовых мероприятий, относятся: В ходе рабочего этапа охраны сотрудники службы безопасности охранного предприятия должны точно выполнять свои обязанности, оговоренные на стадии подготовки. Это особо важно в целях предупреждения проникновения посторонних на охраняемый объект и исключения минирования автотранспорта участников совещания переговоров ;. На заключительном этапе проведения мероприятия требуется сохранение бдительности сотрудниками службы безопасности охранного предприятия , несмотря на внешне кажущуюся незначительность происходящих событий на объекте, которые могут быть весьма обманчивы. Проверка объекта после завершения мероприятия может быть связана с не меньшим риском для жизни, чем работа на предыдущих этапах. В этот период проводится окончательная зачистка объекта по той же методике, что и в ходе подготовительных мероприятий. При этом обязательно производится поиск лиц, которые могут спрятаться на объекте, или пострадавших от преступников, которым требуется медицинская помощь. Пристальное внимание обращается на забытые предметы и вещи. Подвергаются контрольному досмотру сувениры и подарки, врученные руководителю организации фирмы , другим участникам мероприятия. Все, обнаруженное охраной на объекте, не принадлежащее сотрудникам организации фирмы , подлежит передаче клиенту или администрации охраняемого помещения вместе с одним экземпляром описи. Второй экземпляр описи с подписью лица, принявшего вещи на хранение, находится в службе безопасности охранном предприятии. Во избежание недоразумений рекомендуется сдать администрации арендуемые помещения по акту приема-сдачи объекта, что будет способствовать поддержанию имиджа фирмы. Поэтому стоит прислушаться к советам профессионалов. При проведении деловых встреч необходимо обязательно закрывать окна и двери. Желательно, чтобы комнатой для переговоров служило изолированное помещение, например холл. Конкуренты, если захотят, могут без труда прослушать разговоры, расположившись в соседних помещениях, например в квартире этажом выше или ниже. Времена, когда разведчики всех стран, и народов сверлили дырки в потолках и стенах, давно прошли — особо чувствительные микрофоны позволяют получать необходимую информацию почти беспрепятственно. Для переговоров необходимо выбирать помещения с изолированными стенами, познакомиться с соседями, проживающими этажом выше и ниже; выяснить, не сдают ли они свою квартиру комнату посторонним людям. Стоит превратить соседей в союзников, но при этом учесть, что они могут вести двойную игру или незаметно превратиться из доброжелателей в шантажистов. Активность конкурентов зависит, прежде всего, от серьезности их намерений. Деловой человек должен попросить своих родственников приглашать домой только хорошо знакомых людей, по возможности контролировать их поведение. Во время приема гостей должны быть закрыты двери домашнего офиса на ключ, а чтобы не соблазнять детей, видеомагнитофон и компьютер должны быть в доступном для них месте. Компьютер, естественно, должен быть без рабочих программ и конфиденциальной информации. Накануне деловой встречи один из сотрудников фирмы или друг предпринимателя, которому он полностью доверяет, должен оставить автомобиль в условленном месте. Через несколько минут после этого деловой человек пересаживается из своей машины в оставленную и, нигде не останавливаясь, едет на переговоры. При этом следует не забыть взять доверенность на право управления чужим автомобилем! Во время переговоров автомобиль обязательно должен быть в движении, а его окна плотно закрыты. На остановках например, у светофора конфиденциальные вопросы лучше не обсуждать. Для прослушивания бесед могут быть использованы два типа микрофонов — остронаправленные и встроенные. Первые позволяют снимать информацию на расстоянии до километра в пределах прямой видимости. Встроенные микрофоны действуют так же, как и радиозакладки. Для эффективной борьбы с остронаправленными микрофонами все время необходимо перемещаться, резко меняя направление движения, используя при этом общественный транспорт, организуя контрнаблюдение — с помощью службы безопасности или нанятых агентов частных детективных фирм. Статичное положение позволяет контролировать разговоры в общих ресторанных залах. Поэтому для проведения подобных деловых встреч необходим надежный метрдотель. В удобное для предпринимателя время и неожиданно для конкурентов резервируется столик или отдельный кабинет, который, в свою очередь, должен находиться под надежным контролем службы безопасности фирмы. Попытки заглушить разговор звуками ресторанного оркестра, как, кстати, и шумом воды, малоэффективны. Бронирование гостиничного номера для переговоров необходимо проводить скрытно. После начала деловой встречи сотрудники службы безопасности должны держать под контролем не только соседей, но и всех людей, проживающих этажом выше и ниже. Все вышеизложенные методы и контрмеры эффективны при условии хорошей организации дезинформации окружающих о времени и характере планируемых совещаний переговоров. Когда круг сотрудников, посвященных в полный перечень запланированных мероприятий максимально узок и каждый из участвующих в них знает ровно столько, сколько это необходимо по кругу его обязанностей, тогда можно рассчитывать на успех в любом деле. Общая классификация угроз автоматизированной информационной системе объекта выглядит следующим образом: Угрозы конфиденциальности данных и программ. Реализуются при несанкционированном доступе к данным например, к сведениям о состоянии счетов клиентов банка , программам или каналам связи. Информация, обрабатываемая на компьютерах или передаваемая по локальным сетям передачи данных, может быть снята через технические каналы утечки. При этом используется аппаратура, осуществляющая анализ электромагнитных излучений, возникающих при работе компьютера. Такой съем информации представляет собой сложную техническую задачу и требует привлечения квалифицированных специалистов. С помощью приемного устройства, выполненного на базе стандартного телевизора, можно перехватывать информацию, выводимую на экраны дисплеев компьютеров с расстояния в тысячу и более метров. Определенные сведения о работе компьютерной системы извлекаются даже в том случае, когда ведется наблюдение за процессом обмена сообщениями без доступа к их содержанию. Угрозы целостности данных, программ, аппаратуры. Целостность данных и программ нарушается при несанкционированном уничтожении, добавлении лишних элементов и модификации записей о состоянии счетов, изменении порядка расположения данных, формировании фальсифицированных платежных документов в ответ на законные запросы, при активной ретрансляции сообщений с их задержкой. Несанкционированная модификация информации о безопасности системы может привести к несанкционированным действиям неверной маршрутизации или утрате передаваемых данных или искажению смысла передаваемых сообщений. Целостность аппаратуры нарушается при ее повреждении, похищении или незаконном изменении алгоритмов работы. Возникают в том случае, когда объект пользователь или процесс не получает доступа к законно выделенным ему службам или ресурсам. Эта угроза реализуется захватом всех ресурсов, блокированием линий связи несанкционированным объектом в результате передачи по ним своей информации или исключением необходимой системной информации. Эта угроза может привести к ненадежности или плохому качеству обслуживания в системе и, следовательно, потенциально будет влиять на достоверность и своевременность доставки платежных документов. Возникают в том случае, когда легальный пользователь передает или принимает платежные документы, а потом отрицает это, чтобы снять с себя ответственность. Оценка уязвимости автоматизированной информационной системы и построение модели воздействий предполагают изучение всех вариантов реализации перечисленных выше угроз и выявление последствий, к которым они приводят. Это угрозы, связанные с ошибками процесса проектирования, разработки и изготовления систем и их компонентов здания, сооружения, помещения, компьютеры, средства связи, операционные системы, прикладные программы и др. Это угрозы, связанные с несанкционированным доступом к ресурсам автоматизированной информационной системы внесение технических изменений в средства вычислительной техники и средства связи, подключение к средствам вычислительной техники и каналам связи, хищение различных видов носителей информации: Основными типовыми путями утечки информации и несанкционированного доступа к автоматизированным информационным системам, в том числе через каналы телекоммуникации, являются следующие: Возможными каналами преднамеренного несанкционированного доступа к информации при отсутствии защиты в автоматизированной информационной системе могут быть: Способы воздействия угроз на объекты информационной безопасности подразделяются на информационные, программно-математические, физические, радиоэлектронные и организационно-правовые. Угрозы безопасности программного обеспечения. Обеспечение безопасности автоматизированных информационных систем зависит от безопасности используемого в них программного обеспечения и, в частности, следующих видов программ:. Программы могут порождать проблемы двух типов: Чем выше уровень подготовки программиста, тем более неявными даже для него становятся допускаемые им ошибки и тем более тщательно и надежно он способен скрыть умышленные механизмы, разработанные для нарушения безопасности системы. В современном мире программы могут быть товаром, приносящим немалую прибыль, особенно тому, кто первым начнет тиражировать программу в коммерческих целях и оформит авторские права на нее. Программы могут становиться также объектом атаки, имеющей целью модифицировать эти программы некоторым образом, что позволило бы в будущем провести атаку на другие объекты системы. Особенно часто объектом атак такого рода становятся программы, реализующие функции защиты системы. Рассмотрим несколько типов программ и приемы, которые наиболее часто используются для атак программ и данных. Использование люков для проникновения в программу — один из простых и часто используемых способов нарушения безопасности автоматизированных информационных систем. Люком называется не описанная в документации на программный продукт возможность работы с этим программным продуктом. Сущность использования люков состоит в том, что при выполнении пользователем некоторых не описанных в документации действий он получает доступ к возможностям и данным, которые в обычных условиях для него закрыты в частности, выход в привилегированный режим. Люки чаще всего являются результатом забывчивости разработчиков. В качестве люка может быть использован временный механизм прямого доступа к частям продукта, созданный для облегчения процесса отладки и не удаленный по ее окончании. Неопределенный ввод — частная реализация прерывания. То есть в общем случае захватчик может умышленно пойти на создание в системе некоторой нестандартной ситуации, которая бы позволила ему выполнить необходимые действия. Например, он может искусственно вызвать аварийное завершение программы, работающей в привилегированном режиме, с тем, чтобы перехватить управление, оставшись в этом привилегированном режиме. Смысл этой защиты состоит в том, чтобы гарантированно отсекать всякую вероятность обработки неопределенного ввода и разного рода нестандартных ситуаций в частности, ошибок и тем самым не допускать нарушения безопасности компьютерной системы даже в случае некорректной работы с программой. Таким образом, люк или люки может присутствовать в программе ввиду того, что программист: Люк — первый шаг к атаке системы, возможность проникнуть в компьютерную систему в обход механизмов защиты. Существуют программы, реализующие, помимо функций, описанных в документации, и некоторые другие функции, в документации не описанные. Этим условием может быть, например, наступление определенной даты или обнаружение файла с определенным именем. В банковских системах ежедневно производятся тысячи операций, связанных с безналичными расчетами, переводами сумм, отчислениями и т. При обработке счетов используются целые единицы рубли, центы , а при исчислении процентов нередко получаются дробные суммы. Обычно величины, превышающие половину рубля цента , округляются до целого рубля цента , а величины менее половины рубля цента просто отбрасываются. Под скрытыми каналами подразумеваются программы, передающие информацию лицам, которые в обычных условиях эту информацию получать не должны. В тех системах, где ведется обработка критичной информации, программист не должен иметь доступа к обрабатываемым программой данным после начала эксплуатации этой программы. Из факта обладания некоторой служебной информацией можно извлечь немалую выгоду, хотя бы элементарно продав эту информацию например, список клиентов конкурирующей фирме. Достаточно квалифицированный программист всегда может найти способ скрытой передачи информации; при этом программа, предназначенная для создания самых безобидных отчетов, может быть немного сложнее, чем того требует задача. Если захватчик имеет возможность доступа к компьютеру во время работы интересующей его программы, скрытым каналом может стать пересылка критичной информации в специально созданный в оперативной памяти компьютера массив данных. Скрытые каналы наиболее применимы в ситуациях, когда захватчика интересует даже не содержание информации, а, допустим, факт ее наличия например, наличие в банке расчетного счета с определенным номером. Большинство методов нарушения безопасности направлено на то, чтобы получить доступ к данным, не допускаемый системой в нормальных условиях. Однако не менее интересным для захватчиков является доступ к управлению самой компьютерной системой или изменение ее качественных характеристик, например, получить некоторый ресурс процессор, устройство ввода-вывода в монопольное использование или спровоцировать ситуацию клинча для нескольких процессов. Это может потребоваться для того, чтобы явно использовать компьютерную систему в своих целях хотя бы для бесплатного решения своих задач либо просто заблокировать систему, сделав ее недоступной другим пользователям. Компьютерные вирусы являются квинтэссенцией всевозможных методов нарушения безопасности. Захватчики это знают и активно используют данное обстоятельство. Разумеется, в чистом виде описанные выше приемы встречаются достаточно редко. Гораздо чаще в ходе атаки используются отдельные элементы разных приемов. Угрозы информации в компьютерных сетях. Сети компьютеров имеют много преимуществ перед совокупностью отдельно работающих компьютеров, в их числе можно отметить: Вместе с тем при использовании компьютерных сетей возникают серьезные проблемы обеспечения информационной безопасности. Можно отметить следующие из них. В силу совместного использования большого количества ресурсов различными пользователями сети, возможно, находящимися на большом расстоянии друг от друга, сильно повышается риск несанкционированного доступа, так как в сети его можно осуществить проще и незаметнее. Администратор или оператор отдельной системы или подсети должен контролировать деятельность пользователей, находящихся вне пределов его досягаемости. Соединение нескольких систем в сеть увеличивает уязвимость всей системы в целом, поскольку каждая информационная система настроена на выполнение своих специфических требований безопасности, которые могут оказаться несовместимыми с требованиями на других системах. Легкая расширяемость сетей ведет к тому, что определить границы сети подчас бывает сложно, так как один и тот же узел может быть доступен для пользователей различных сетей. Более того, для многих из них не всегда можно точно определить, сколько пользователей имеют доступ к определенному узлу сети и кто они. В сетях один и тот же набор данных или сообщение может передаваться через несколько промежуточных узлов, каждый из которых является потенциальным источником угрозы. Кроме того, ко многим современным сетям можно получить доступ с помощью коммутируемых линий связи и модема, что во много раз увеличивает количество возможных точек атаки. Многие атаки на сеть могут осуществляться без получения физического доступа к определенному узлу — с помощью сети из удаленных точек. В этом случае идентификация нарушителя может оказаться очень сложной. Кроме того, время атаки может оказаться слишком малым для принятия адекватных мер. С одной стороны, сеть — это единая система с едиными правилами обработки информации, а с другой — совокупность обособленных систем, каждая из которых имеет свои собственные правила обработки информации. Поэтому, с учетом двойственности характера сети, атака на сеть может осуществляться с двух уровней: При верхнем уровне атаки на сеть злоумышленник использует свойства сети для проникновения на другой узел и выполнения определенных несанкционированных действий. При нижнем уровне атаки на сеть злоумышленник использует свойства сетевых протоколов для нарушения конфиденциальности или целостности отдельных сообщений или потока в целом. Вусловиях информатизации особую опасность представляют также такие способы несанкционированного доступа к конфиденциальной информации, как копирование, подделка, уничтожение. При несанкционированном доступе к конфиденциальной информации копируют: Используются следующие способы копирования: В условиях конкуренции подделка, модификация и имитация приобретают большие масштабы. Злоумышленники подделывают доверительные документы, позволяющие получить определенную информацию, письма, счета, бухгалтерскую и финансовую документацию; подделывают ключи, пропуска, пароли, шифры и т. В автоматизированных информационных системах к подделке относят, в частности, такие злонамеренные действия, как фальсификация абонент-получатель подделывает полученное сообщение, выдавая его за действительное в своих интересах , маскировка абонент-отправитель маскируется под другого абонента с целью получения им охраняемых сведений. Особую опасность представляет уничтожение информации в автоматизированных базах данных и базах знаний. Значительное место в преступлениях против автоматизированных информационных систем занимают саботаж, взрывы, разрушения, вывод из строя соединительных кабелей, систем кондиционирования. Методами обеспечения защиты информации являются следующие: Препятствие — метод физического преграждения пути злоумышленнику к защищаемой информации к аппаратуре, носителям информации и т. Управление доступом включает следующие функции защиты:. Маскировка — метод защиты информации в автоматизированной информационной системе путем ее криптографического закрытия. Принуждение — такой метод защиты информации, при котором пользователи и персонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности. Побуждение — такой метод защиты информации, который побуждает пользователей и персонал системы не нарушать установленные правила за счет соблюдения сложившихся моральных и этических норм. Указанные выше методы обеспечения информационной безопасности организации фирмы реализуются на практике применением различных механизмов защиты, для создания которых используются следующие основные средства: Физические средства защиты предназначены для внешней охраны территории объектов, защиты компонентов автоматизированной информационной системы предприятия и реализуются в виде автономных устройств и систем. Наряду с традиционными механическими системами при доминирующем участии человека разрабатываются и внедряются универсальные автоматизированные электронные системы физической защиты, предназначенные для охраны территорий, охраны помещений, организации пропускного режима, организации наблюдения; системы пожарной сигнализации; системы предотвращения хищения носителей. Элементную базу таких систем составляют различные датчики, сигналы от которых обрабатываются микропроцессорами, электронные интеллектуальные ключи, устройства определения биометрических характеристик человека и т. Для организации охраны оборудования, входящего в состав автоматизированной информационной системы предприятия, и перемещаемых носителей информации дискеты, магнитные ленты, распечатки используются: При любой попытке вынести за пределы помещения предмет с наклейкой специальная установка аналог детектора металлических объектов , размещенная около выхода, подает сигнал тревоги;. Для нейтрализации утечки информации по электромагнитным каналам используют экранирующие и поглощающие материалы и изделия. Для защиты от наводок на электрические цепи узлов и блоков автоматизированной информационной системы используют: Для контроля электропитания используются электронные отслеживатели — устройства, которые устанавливаются в местах ввода сети переменного напряжения. Если шнур питания перерезан, оборван или перегорел, кодированное послание включает сигнал тревоги или активирует телевизионную камеру для последующей записи событий. Однако реализация этого метода связана с большими организационными и техническими трудностями. Применение специальных генераторов шумов для защиты от хищения информации с компьютеров путем съема ее излучений с экранов дисплеев оказывает неблагоприятное воздействие на организм человека, что приводит к быстрому облысению, снижению аппетита, головным болям, тошноте. Именно поэтому они достаточно редко применяются на практике. Аппаратные средства защиты — это различные электронные, электромеханические и другие устройства, непосредственно встроенные в блоки автоматизированной информационной системы или оформленные в виде самостоятельных устройств и сопрягающиеся с этими блоками. Они предназначены для внутренней защиты структурных элементов средств и систем вычислительной техники: Эти задачи реализуются аппаратными средствами защиты информации с использованием метода управления доступом идентификация, аутентификация и проверка полномочий субъектов системы, регистрация и реагирование. Для работы с особо ценной информацией организации фирмы производители компьютеров могут изготавливать индивидуальные диски с уникальными физическими характеристиками, не позволяющими считывать информацию. При этом стоимость компьютера может возрасти в несколько раз. Программные средства защиты предназначены для выполнения логических и интеллектуальных функций защиты и включаются либо в состав программного обеспечения автоматизированной информационной системы, либо в состав средств, комплексов и систем аппаратуры контроля. Программные средства защиты информации являются наиболее распространенным видом защиты, обладая следующими положительными свойствами: Данное обстоятельство делает их одновременно и самыми уязвимыми элементами защиты информационной системы предприятия. В настоящее время создано большое количество операционных систем, систем управления базами данных, сетевых пакетов и пакетов прикладных программ, включающих разнообразные средства защиты информации. С помощью программных средств защиты решаются следующие задачи информационной безопасности: Для других типов операционных систем существует достаточно много коммерческих программ, не говоря уже о специальных пакетах безопасности, реализующих аналогичные функции. Применение избыточных данных направлено на предотвращение появления в данных случайных ошибок и выявление неавторизованных модификаций. Это может быть применение контрольных сумм, контроль данных на чет-нечет, помехоустойчивое кодирование и т. Часто практикуется хранение в некотором защищенном месте системы сигнатур важных объектов системы. Например, для файла в качестве сигнатуры может быть использовано сочетание байта защиты файла с его именем, длиной и датой последней модификации. При каждом обращении к файлу или в случае возникновения подозрений текущие характеристики файла сравниваются с эталоном. Свойство ревизуемости системы контроля доступа означает возможность реконструкции событий или процедур. Средства обеспечения ревизуемости должны выяснить, что же фактически случилось. Здесь речь идет о документировании исполняемых процедур, ведении журналов регистрации, а также о применении четких и недвусмысленных методов идентификации и проверки. Следует отметить, что задачу контроля доступа при одновременном обеспечении целостности ресурсов надежно решает только шифрование информации. Главная В избранное Наш E-MAIL Прислать материал Нашёл ошибку Вниз. Альтернативная медицина Астрономия и Космос Биология Военная история Геология и география Государство и право Деловая литература Домашние животные Домоводство Здоровье История Компьютеры и Интернет Кулинария Культурология Литературоведение Медицина Научная литература - прочее Педагогика Политика Психология Религиоведение Сад и огород Самосовершенствование Сделай сам Спорт Технические науки Транспорт и авиация Учебники Физика Философия Хиромантия Хобби и ремесла Шпаргалки Эзотерика Юриспруденция Языкознание. Обеспечение безопасности и защиты информации Безопасность информационной работы Информация играет особую роль в процессе развития цивилизации. Представляют интерес сведения о проблемах защиты данных, приведших к материальным потерям в компаниях США: Правонарушения в сфере компьютерной информации могут совершаться в форме: Информационная безопасность организации учреждения Под безопасностью автоматизированной информационной системы организации учреждения понимается ее защищенность от случайного или преднамеренного вмешательства в нормальный процесс функционирования, а также от попыток хищения, модификации или разрушения ее компонентов. Систему обеспечения безопасности системы можно разбить на следующие подсистемы: К объектам информационной безопасности на предприятии фирме относят: Элементы системы безопасности Уровень используемых мер страховки сильно зависит как от степени желаемой конспирации человека или группы , так и от ситуации, среды и, разумеется, от возможностей самих страхующихся. Типичны следующие виды безопасности: Внешняя в ходе общения с посторонними ; Внутренняя при контактировании в своей среде и группе ; Локальная в различных ситуациях и действиях. Рассмотрим все это немного подробнее. Не порождать какой-либо неприязни в соседях, сослуживцах и знакомых, а вызывать у них симпатию: Выяснить собственные уязвимости и знать, как можно здесь подстраховаться: Внутренняя безопасность Контакты в собственной среде нельзя рассматривать как гарантированно безопасные. Локальная безопасность Лучшей гарантией успеха является обычно подстраховка, и потому любые действия желательно осуществлять с учетом всех возможных неприятностей со стороны противника или случайно подвернувшихся свидетелей. Общие правила прямого общения. Организация встреч Уровень требуемых в конкретных случаях мер безопасности зависит от желаемой степени конспиративности контакта, от степени легальности его участников и возможного контроля его чужаками. Встреча вместе с клиентом гостей, прибывающих на встречу. Согласование действий основной охраны и телохранителей приглашенных лиц. Охрана одежды, вещей гостей и их машин на прилегающей территории. Предупреждение инцидентов между гостями на встрече. Выявление подозрительных лиц, находящихся на мероприятии или в смежных помещениях. Установление постов по фиксации и наблюдению за лицами: При этом особое внимание обращается на следующие вопросы: Проанализируем, где еще деловой человек может провести важную деловую встречу? Защита информационных объектов Виды угроз информационным объектам Общая классификация угроз автоматизированной информационной системе объекта выглядит следующим образом: Угрозы могут быть обусловлены: К информационным способам относятся: Обеспечение безопасности автоматизированных информационных систем зависит от безопасности используемого в них программного обеспечения и, в частности, следующих видов программ: Целью атаки могут быть и сами программы по следующим причинам: Разделение совместно используемых ресурсов. Комбинация различных программно-аппаратных средств. Сложность управления и контроля доступа к системе. Нарушение потока сообщений может привести к утечке информации и даже потере контроля над сетью. Различают пассивные и активные угрозы нижнего уровня, специфические для сетей. Активные угрозы нарушение целостности или доступности ресурсов и компонентов сети — несанкционированное использование устройств, имеющих доступ к сети для изменения отдельных сообщений или потока сообщений. Методы и средства обеспечения информационной безопасности организации фирмы Методами обеспечения защиты информации являются следующие: Управление доступом включает следующие функции защиты: При любой попытке вынести за пределы помещения предмет с наклейкой специальная установка аналог детектора металлических объектов , размещенная около выхода, подает сигнал тревоги; специальные сейфы и металлические шкафы для установки в них отдельных элементов автоматизированной информационной системы файл-сервер, принтер и т. Основные функции аппаратных средств защиты: Главная В избранное Наш E-MAIL Прислать материал Нашёл ошибку Верх.
В современном социуме информационная сфера имеет две составляющие [2]: Соответственно, в общем случае информационную безопасность общества государства можно представить двумя составными частями: Также важным аспектом информационной безопасности является определение и классификация возможных угроз безопасности. Безопасность информации данных англ. Безопасность информации данных определяется отсутствием недопустимого риска, связанного с утечкой информации по техническим каналам, несанкционированными и непреднамеренными воздействиями на данные и или на другие ресурсы автоматизированной информационной системы, используемые в автоматизированной системе. Безопасность информации при применении информационных технологий англ. Статистика защиты информации показывает, что защищать нужно не только секретную информацию, но и связанную с ней не секретную. Рекомендуется всюду, где возможно, эти слова заменять признаками предмета, например:. Системный подход к описанию информационной безопасности предлагает выделить следующие составляющие информационной безопасности [10]:. Ниже в данном разделе подробно будет рассмотрена каждая из составляющих информационной безопасности. Целью реализации информационной безопасности какого-либо объекта является построение Системы обеспечения информационной безопасности данного объекта СОИБ. Для построения и эффективной эксплуатации СОИБ необходимо [3]:. Как видно из последнего этапа работ, процесс реализации СОИБ непрерывный и циклично после каждого пересмотра возвращается к первому этапу, повторяя последовательно все остальные. Так СОИБ корректируется для эффективного выполнения своих задач защиты информации и соответствия новым требованиям постоянно обновляющейся информационной системы. В Российской Федерации к нормативно-правовым актам в области информационной безопасности относятся [11]:. Подробнее списки и содержание указанных нормативных документов в области информационной безопасности обсуждаются в разделе Информационное право. В зависимости от приложения деятельности в области защиты информации в рамках государственных органов власти или коммерческих организаций , сама деятельность организуется специальными государственными органами подразделениями , либо отделами службами предприятия. Для описания технологии защиты информации конкретной информационной системы обычно строится так называемая Политика информационной безопасности или Политика безопасности рассматриваемой информационной системы. Политика безопасности информации в организации англ. Политика безопасности информационно-телекоммуникационных технологий англ. Для построения Политики информационной безопасности рекомендуется отдельно рассматривать следующие направления защиты информационной системы [10]:. При этом по каждому из перечисленных выше направлений Политика информационной безопасности должна описывать следующие этапы создания средств защиты информации:. Политика информационной безопасности оформляется в виде документированных требований на информационную систему. Документы обычно разделяют по уровням описания детализации процесса защиты. Документы верхнего уровня Политики информационной безопасности отражают позицию организации к деятельности в области защиты информации, её стремление соответствовать государственным, международным требованиям и стандартам в этой области. К среднему уровню относят документы, касающиеся отдельных аспектов информационной безопасности. Это требования на создание и эксплуатацию средств защиты информации, организацию информационных и бизнес-процессов организации по конкретному направлению защиты информации. Подобные документы обычно издаются в виде внутренних технических и организационных политик стандартов организации. Все документы среднего уровня политики информационной безопасности конфиденциальны. В политику информационной безопасности нижнего уровня входят регламенты работ, руководства по администрированию, инструкции по эксплуатации отдельных сервисов информационной безопасности. В литературе предлагается следующая классификация средств защиты информации. В каждом конкретном случае организационные мероприятия носят специфическую для данной организации форму и содержание, направленные на обеспечение безопасности информации в конкретных условиях. Обеспечение информационной безопасности предприятия возможно только при системном и комплексном подходе к защите. Полноценная ИБП подразумевает непрерывный контроль всех важных событий и состояний, влияющих на безопасность данных и осуществляется круглогодично. Информационная безопасность предприятия достигается целым комплексом организационных и технических мер, направленных на защиту корпоративных данных. Технические меры заключаются в использовании аппаратных и программных средств контроля доступа, мониторинга утечек, антивирусной защиты, межсетевого экранирования, защиты от электромагнитных излучений и прочее. С оценки имущества начинается процесс обеспечения информационной безопасности, определения информационных активов организации, факторов, угрожающих этой информации, и ее уязвимости, значимости общего риска для организации. В зависимости от имущества и будет составляться программу защиты этих активов. После того, как риск будет выявлен и будет составлена его количественная оценка, можно будет выбрать рентабельную контрмеру для уменьшения этого риска. Получив вышеуказанные политики и процедуры, каждая из них исследуется на предмет значимости, правомерности, завершенности и актуальности, так как политики и процедуры должны соответствовать цели, определенной в документе. После оценки необходимо заняться разработкой политик и процедур, которые определяют предполагаемое состояние безопасности и перечень необходимых работ. Реализация политики безопасности заключается в реализации технических средств и средств непосредственного контроля, а так же в подборе штата безопасности. Могут потребоваться изменения в конфигурации систем, находящихся вне компетенции отдела безопасности, поэтому в проведении программы безопасности должны участвовать системные и сетевые администраторы. При применении любых новых систем безопасности нужно располагать квалифицированным персоналом. Организация не может обеспечить защиту секретной информации, не привлекая своих сотрудников. Сотрудники должны знать, почему вопросы безопасности так важны, должны быть обучены выявлению и защите секретной информации. Он определяет состояние информационной безопасности внутри организации, создание соответствующих политик и процедур, приведение в действие технических средств контроля и обучение персонала. Материал из Википедии — свободной энциклопедии. Текущая версия страницы пока не проверялась опытными участниками и может значительно отличаться от версии , проверенной 1 декабря ; проверки требуют 43 правки. У этого термина существуют и другие значения, см. На странице обсуждения могут быть пояснения. Рекомендуется всюду, где возможно, эти слова заменять признаками предмета, например: Вы можете помочь Википедии, добавив информацию для других стран и регионов. ООО ТИД Диа Софт, ЮНИТИ-ДАНА, Закон и право, Обеспечение информационной безопасности предприятий торговли, торговых сетей и их инфраструктуры: Информационная безопасность и защита информации 3-е изд. Для улучшения этой статьи желательно: Статьи с нерабочими ссылками с июня Страницы, использующие волшебные ссылки ISBN Википедия: Статьи к полной переработке Википедия: Нет источников с сентября Википедия: Статьи без источников тип: Статьи с утверждениями без источников более 14 дней Википедия: Глобализировать Статьи со ссылками на Викиучебник Википедия: Ссылка на Викиучебник непосредственно в статье Википедия: Статьи с невикифицированным списком литературы. Навигация Персональные инструменты Вы не представились системе Обсуждение Вклад Создать учётную запись Войти. Пространства имён Статья Обсуждение. Просмотры Читать Текущая версия Править Править вики-текст История. В других проектах Викисклад. Эта страница последний раз была отредактирована 25 июня в Текст доступен по лицензии Creative Commons Attribution-ShareAlike ; в отдельных случаях могут действовать дополнительные условия. Свяжитесь с нами Политика конфиденциальности Описание Википедии Отказ от ответственности Разработчики Соглашение о cookie Мобильная версия. Эта статья должна быть полностью переписана. Информационная безопасность в Викиучебнике. Информационная безопасность на Викискладе.
Состав камеди вумен имена и фото мужчин
Как написать анкету на работу образец
3 года кошке сколькопо человеческому мерке
Guess whos back перевод
Где находится в мичуринске магазин