Надіслати свою хорошу роботу в базу знань просто. Використовуйте форму, розташовану нижче

Студенти, аспіранти, молоді вчені, які використовують базу знань в своє навчання і роботи, будуть вам дуже вдячні.

Розміщено на http://www.allbest.ru/

1. Основні поняття захисту інформації та інформаційної безпеки

інформаційна безпека захист

Захист інформації  - це діяльність щодо запобігання витоку інформації, що захищається, несанкціонованих і ненавмисних дій на захищає інформацію.

об'єкт захисту  - інформація, носій інформації або інформаційний процес, щодо яких необхідно забезпечувати захист відповідно до поставленої мети захисту інформації.

Мета захисту інформації -  це бажаний результат захисту інформації. Метою захисту інформації може бути запобігання шкоди власнику, власнику, користувачеві інформації в результаті можливого витоку інформації і / або несанкціонованого і ненавмисного впливу на інформацію.

Ефективність захисту інформації -  ступінь відповідності результатів захисту інформації поставленої мети.

Захист інформації від витоку  - діяльність щодо запобігання неконтрольованого розповсюдження інформації, що захищається від її розголошення, несанкціонованого доступу (НСД) до інформації, що захищається і отримання інформації, що захищається зловмисниками.

Захист інформації від розголошення  - діяльність щодо запобігання несанкціонованого доведення захищається інформації до неконтрольованого кількості одержувачів інформації.

Захист інформації від несанкціонованого доступу  - діяльність щодо запобігання отримання інформації, що захищається зацікавленим суб'єктом з порушенням встановлених правовими документами чи власником або власником інформації прав або правил доступу до інформації, що захищається. Зацікавленим суб'єктом, що здійснює НСД до інформації, що захищається, може виступати держава, юридична особа, група фізичних осіб, в т. Ч. Громадська організація, окрема фізична особа.

Система захисту інформації - сукупність органів і / або виконавців, використовувана ними техніка захисту інформації, а також об'єкти захисту, організовані і функціонують за правилами, встановленими відповідними правовими, організаційно-розпорядчими та нормативними документами щодо захисту інформації.

під інформаційною безпекою  розуміють захищеність інформації від незаконного ознайомлення, перетворення і знищення, а також захищеність інформаційних ресурсів від впливів, спрямованих на порушення їх працездатності. Природа цих впливів може бути найрізноманітнішою.

Це і спроби проникнення зловмисників, і помилки персоналу, і вихід з ладу апаратних і програмних засобів, і стихійні лиха (землетрус, ураган, пожежа) і т. П.

сучасна автоматизована система  (АС) обробки інформації  являє собою складну систему, що складається з великого числа компонентів різного ступеня автономності, які пов'язані між собою і обмінюються даними. Практично кожен компонент може піддатися зовнішньому впливу або вийти з ладу. компоненти АС  можна розбити на наступні групи:

- апаратні засоби  - комп'ютери та їх складові частини;

- програмне забезпечення  - придбані програми, вихідні, об'єктні, завантажувальні модулі; ОС і системні програми, утиліти, діагностичні програми і т. Д .;

- дані  - збережені тимчасово і постійно, на магнітних носіях, друковані, архіви, системні журнали і т. Д .;

- персонал -  обслуговуючий персонал і користувачі.

Однією з особливостей забезпечення інформаційної безпеки в АС є те, що таким абстрактним поняттям, як інформація, об'єкти і суб'єкти системи, відповідають фізичні уявлення в комп'ютерному середовищі:

- для подання інформації -- машинні носії інформації  у вигляді зовнішніх пристроїв комп'ютерних систем, оперативної пам'яті, файлів, записів і т. д .;

- об'єктам системи  - пасивні компоненти системи, що зберігають, які беруть або передають інформацію. Доступ до об'єкту означає доступ до міститься в ньому інформації;

- суб'єктам системи -  активні компоненти системи, які можуть стати причиною потоку інформації від об'єкта до суб'єкта або зміни стану системи. В якості суб'єктів можуть виступати користувачі, активні програми і процеси.

2. базові властивостейа інформації стосовно ІБ

Конфіденційність даних - це статус, наданий даними і визначає необхідний ступінь їх захисту. Конфіденційна інформація повинна бути відома тільки допущеним і які пройшли перевірку (авторизованим) суб'єктам системи (користувачам, процесам, програмам). Для інших суб'єктів системи ця інформація повинна бути невідомою.

Встановлення градацій важливості захисту інформації, що захищається (об'єкта захисту) називають категорірованія захищається.

під цілісністю інформації  розуміється властивість інформації зберігати свою структуру і / або вміст в процесі передачі і зберігання. Цілісність інформації забезпечується в тому випадку, якщо дані в системі не відрізняються в семантичному відношенні від даних у вихідних документах, т. Е. Якщо не відбулося їх випадкового або навмисного спотворення або руйнування. Забезпечення цілісності даних є однією з складних завдань захисту інформації.

Достовірність інформації -  властивість інформації на виході системи відповідати інформації, що надійшла на її вхід. Кількісно Д. і. оцінюється такими показниками, як напрацювання на інформаційну помилку, інтенсивність інформаційних помилок, ймовірність безпомилковості ... властивість інформації, що виражається в суворій приналежності суб'єкту, який є її джерелом, або тому суб'єкту, від якого ця інформація прийнята.

Юридична значимість інформації  оз начає, що документ, який є носієм інформації, має юридичну силу.

доступність даних. Робота користувача з даними можлива тільки в тому випадку, якщо він має до них доступ.

Доступ до інформації --  отримання суб'єктом можливості ознайомлення з інформацією, в тому числі за допомогою технічних засобів. Суб'єкт доступу до інформації -  учасник правовідносин в інформаційних процесах.

Оперативність доступу до інформації  - це здатність інформації або деякого інформаційного ресурсу бути доступними для кінцевого користувача відповідно до його оперативними потребами.

власник інформації  - суб'єкт, в повному обсязі реалізує повноваження володіння, користування, розпорядження інформацією відповідно до законодавчими актами.

власник інформації  - суб'єкт, який здійснює володіння і користування інформацією і який реалізує повноваження розпорядження в межах прав, встановлених законом та / або власником інформації.

Користувач (споживач) інформації - суб'єкт, що користується інформацією, отриманою від її власника, власника або посередника відповідно до встановленими правами і правилами доступу до інформації або з їх порушенням.

Право доступу до інформації ~  сукупність правил доступу до інформації, встановлених правовими документами чи власником або власником інформації.

Правило доступу до інформації  - сукупність правил, що регламентують порядок і умови доступу суб'єкта до інформації, і її носіїв.

Розрізняють санкціонований і несанкціонований доступ до інформації.

санкціонований доступ  до інформації - це доступ до інформації, що не порушує встановлені правила розмежування доступу. Правила розмежування доступу служать для регламентації права доступу до компонентів системи.

Несанкціонований доступ  до інформації - порушення встановлених правил розмежування доступу. Особа або процес, які здійснюють несанкціонованого доступу до інформації, є порушниками правил розмежування доступу. НСД є найбільш поширеним видом комп'ютерних порушень.

Відповідальним за захист комп'ютерної системи від несанкціонованого доступу до інформації є адміністратор захисту.

3. Ідентифікація, аутентифікація, авторизація

Ідентіфікаторсуб'єкта - деяка інформація, що ідентифікує суб'єкт. Суб'єкт, який має зареєстрований ідентифікатор, є законним (легальним) суб'єктом. Ідентифікація суб'єкта -  це процедура розпізнавання суб'єкта за його ідентифікатором. Ідентифікація виконується при спробі суб'єкта увійти в систему (мережу). аутентифікація суб'єкта  - це перевірка достовірності суб'єкта з даними ідентифікатором. Процедура аутентифікації встановлює, чи є суб'єкт саме тим, ким він себе оголосив. авторизація суб'єкта  - це процедура надання законному суб'єкту, що успішно пройшов ідентифікацію та аутентифікацію, відповідних повноважень і доступних ресурсів системи (мережі).

4. Аналіз загроз інформаційній безпеці

під загрозою  (В загальному сенсі) зазвичай розуміють потенційно можлива подія (вплив, процес або явище), яке може привести до нанесення збитку чиїмось інтересам. Надалі під загрозою безпеки  АС обробки інформації будемо розуміти можливість впливу на АС, яке прямо або побічно може завдати шкоди її безпеки.

Класифікація можливих загроз інформаційної безпеки АС може бути проведена за наступними базовим ознаками.

За природою виникнення:

природні загрози, викликані впливами на АС об'єктивних фізичних процесів або стихійних природних явищ;

штучні загрози  безпеки АС, викликані діяльністю людини.

За ступенем навмисності прояви:

загрози, викликані помилками або халатністю  персоналу, наприклад некомпетентне використання засобів захисту, введення помилкових даних і т. п .;

загрози навмисного дії, Наприклад дії зловмисників.

За безпосереднього джерела загроз:

природне середовище, Наприклад стихійні лиха, магнітні бурі та ін .;

людина, Наприклад вербування шляхом підкупу персоналу, розголошення конфіденційних даних і т. П .;

санкціоновані програмно-апаратні засоби, Наприклад видалення даних, відмова в роботі ОС;

несанкціоновані програмно-апаратні засоби, Наприклад зараження комп'ютера вірусами з деструктивними функціями.

Відповідно до положення джерела загроз:

поза контрольованої зони АС,  наприклад перехоплення даних, переданих по каналах зв'язку, перехоплення побічних електромагнітних, акустичних та інших випромінювань пристроїв;

в межах контрольованої зони АС, Наприклад застосування підслуховуючих пристроїв, розкрадання роздруківок, записів, носіїв інформації і т. П .;

безпосередньо в АС,  наприклад некоректне використання ресурсів АС.

За ступенем залежності від активності АС:

незалежно від активності АС,  наприклад розтин шифрів криптозахисту інформації;

тільки в процесі обробки даних,  наприклад загрози виконання і розповсюдження програмних вірусів.

За ступенем впливу на АС:

пасивні загрози, Які при реалізації нічого не змінюють у структурі та змісті АС, наприклад загроза копіювання секретних даних;

активні загрози, Які при впливі вносять зміни в структуру і зміст АС, наприклад впровадження троянських коней і вірусів.

По етапах доступу користувачів або програм до ресурсів

загрози, які проявляються на етапі доступу до ресурсів АС,  наприклад загрози несанкціонованого доступу в АС;

загрози, які проявляються після дозволу доступу до ресурсів АС,  наприклад загрози несанкціонованого або некоректного використання ресурсів АС.

За способом доступу до ресурсів АС:

загрози, які здійснюються з використанням стандартного шляху доступу до ресурсів АС,  наприклад незаконне отримання паролів і інших реквізитів розмежування доступу з подальшою маскуванням під зареєстрованого користувача;

загрози, які здійснюються з використанням прихованого нестандартного шляху доступу до ресурсів АС, наприклад несанкціонований доступ до ресурсів АС шляхом використання недокументованих можливостей ОС.

За поточним місцем розташування інформації, що зберігається і оброблюваної в АС:

загрози доступу до інформації, що знаходиться на зовнішніх запам'ятовуючих пристроях, Наприклад несанкціоноване копіювання секретної інформації з жорсткого диска;

загрози доступу до інформації, що знаходиться в оперативній пам'яті, Наприклад читання залишкової інформації з оперативної пам'яті, доступ до системної області оперативної пам'яті з боку прикладних програм;

загрози доступу до інформації, що циркулює в лініях зв'язку,наприклад незаконне підключення до ліній зв'язку з подальшим введенням помилкових повідомлень або модифікацією переданих повідомлень, незаконне підключення до ліній зв'язку з метою прямої підміни законного користувача з подальшим введенням дезінформації та нав'язуванням неправдивих повідомлень;

загрози доступу до інформації, Яка відображається на терміналі або друкується на принтері , наприклад запис інформації, що відображається на приховану відеокамеру.

причинами випадкових впливівпри експлуатації АС можуть бути:

· Аварійні ситуації через стихійних лих і відключень електроживлення;

· Відмови і збої апаратури;

· Помилки в програмному забезпеченні;

· Помилки в роботі обслуговуючого персоналу і користувачів;

· Перешкоди в лініях зв'язку через впливів зовнішнього середовища.

Помилки в ПО є поширеним видом комп'ютерних порушень. ПО серверів, робочих станцій, маршрутизаторів і т. Д. Написано людьми, тому воно практично завжди містить помилки. Чим вище складність подібного ПО, тим більша ймовірність виявлення в ньому помилок і вразливостей. Більшість з них не представляють ніякої небезпеки, деякі ж можуть привести до серйозних наслідків, таких як отримання зловмисником контролю над сервером, непрацездатність сервера, несанкціоноване використання ресурсів (використання комп'ютера як плацдарм для атаки і т. П.). Зазвичай подібні помилки усуваються за допомогою пакетів оновлень, регулярно випускаються виробником ПО. Своєчасна установка таких пакетів є необхідною умовою безпеки інформації.

навмисні загрозипов'язані з цілеспрямованими діями порушника. Як порушника може бути службовець, відвідувач, конкурент, найманець і т. Д.

5. Несанкціонованого доступу до інформації. Способи отримання несанкціонованого доступу

Несанкціонований доступ- найбільш поширений і різноманітний вид комп'ютерних порушень. Суть НСД полягає в отриманні користувачем (порушником) доступу до об'єкта в порушення правил розмежування доступу, встановлених відповідно до прийнятої в організації політикою безпеки. НСД використовує будь-яку помилку в системі захисту і можливий при нераціональному виборі засобів захисту, їх некоректної встановлення та налаштування. НСД може бути здійснений як штатними засобами АС, так і спеціально створеними апаратними та програмними засобами.

Основні канали НСД, через які порушник може отримати доступ до компонентів АС і здійснити розкрадання, модифікацію і / або руйнування інформації:

· Штатні канали доступу до інформації при їх використанні порушниками, а також законними користувачами поза межами їх повноважень;

· Технологічні пульти управління;

· Лінії зв'язку між апаратними засобами АС;

· Побічні електромагнітні випромінювання від апаратури, ліній зв'язку, мереж електроживлення і заземлення та ін.

З усього розмаїття способів і прийомів НСД зупинимося на наступних поширених і пов'язаних між собою порушення:

· Перехоплення паролів;

· «Маскарад»;

· Незаконне використання привілеїв.

перехоплення паролів  здійснюється спеціально розробленими програмами. При спробі законного користувача увійти в систему програма-перехоплювач імітує на екрані дисплея логуватись користувача, які відразу пересилаються власнику програми-перехоплювача, після чого на екран виводиться повідомлення про помилку і управління повертається ОС.

«Маскарад»  - це виконання будь-яких дій одним користувачем від імені іншого користувача, що володіє відповідними повноваженнями. Метою «маскараду» є приписування будь-яких дій іншому користувачеві або привласнення повноважень і привілеїв іншого користувача. Прикладами реалізації «маскараду» є:

· Вхід в систему під ім'ям і паролем іншого користувача;

· Передача повідомлень в мережі від імені іншого користувача.

«Маскарад» особливо небезпечний в банківських системах електронних платежів, де неправильна ідентифікація клієнта через «маскараду» зловмисника може привести до великих збитків законного клієнта банку.

Незаконне використання привілеїв. Більшість систем захисту встановлюють певні набори привілеїв для виконання заданих функцій. Кожен користувач отримує свій набір привілеїв: звичайні користувачі - мінімальний, адміністратори - максимальний. Несанкціонований захоплення привілеїв, наприклад за допомогою «маскараду», призводить до можливості виконання порушником певних дій в обхід системи захисту. Слід зазначити, що незаконне захоплення привілеїв можливий або при наявності помилок в системі захисту, або через недбалість адміністратора при управлінні системою і призначення привілеїв.

Прийнято вважати, що незалежно від конкретних видів загроз або їх проблемно-орієнтованої класифікації АС задовольняє потреби експлуатують її осіб, якщо забезпечуються наступні важливі властивості інформації і систем її обробки: конфіденційність, цілісність і доступність.

Іншими словами, відповідно до існуючих підходами вважають, що інформаційна безпека АС забезпечена в разі, якщо для інформаційних ресурсів в системі підтримуються певні рівні:

· Конфіденційності (неможливості несанкціонованого отримання будь-якої інформації);

· Цілісності (неможливості несанкціонованого або випадкового її модифікації);

· Доступності (можливості за розумний час отримати необхідну інформацію).

7. Загальні критерії безпеки

Загальні критерії - це сукупність самостійних, але взаємопов'язаних частин.

Подання і загальна модель -  визначає загальну концепцію і принципи оцінки безпеки ІТ, загальну модель оцінки, а також конструкції для формування цілей безпеки ІТ, для вибору і визначення вимог безпеки ІТ і для опису специфікацій високого рівня для виробів і систем. Крім того, в ній наведено категорії користувачів із зазначенням на різні частини ОК, де представлені їхні інтереси до критеріїв оцінки безпеки.

Вимоги до функцій безпеки -  встановлює набір функціональних компонентів як стандартний шлях вираження функціональних вимог до об'єктів оцінки.

Вимоги гарантії безпеки -  включає компоненти вимог гарантії оцінки, згруповані в сімейства і класи, а також рівні гарантії оцінки, які визначають ранжування за ступенем задоволення вимог, визначає також критерії оцінки для профілів захисту  і завдань з безпеки.

Зумовлені профілі захисту - містять приклади профілів захисту, що включають функціональні вимоги безпеки і вимоги гарантії оцінки, які були ідентифіковані в початкових умовах (ITSEC, СТСРЕС, FC, TCSEC), а також вимоги, не представлені в початкових умовах.

8. Концепції загальних критеріїв

Відповідно до концепції ОК вимоги безпеки об'єкта оцінки поділяються на дві категорії: функціональні вимоги і вимоги гарантованості.

В функціональних вимогах ОК  описані ті функції об'єкта оцінки, які забезпечують безпеку ІТ. Наприклад, функціональні вимоги включають вимоги ідентифікації, встановлення достовірності (аутентифікації) користувачів, протоколювання (аудиту) та ін.

вимоги гарантованості  відображають якості об'єкта оцінки, що дають підставу для впевненості в тому, що необхідні заходи безпеки об'єкта реалізовані правильно і ефективні. Гарантованість виходить на основі вивчення призначення, структури та функціонування об'єкта оцінки.

В ОК функціональні вимоги і вимоги гарантованості представлені в одному і тому ж загальному стилі і використовують одну і ту ж організацію і термінологію.

термін клас  використовується для найбільш загальної угруповання вимог безпеки. Всі члени класу поділяють спільний намір при відміну в охопленні цілей безпеки.

Члени класу названі родинами.  Сімейство - угруповання наборів вимог безпеки, які забезпечують виконання певної частини цілей безпеки, але можуть відрізнятися в акценті або жорсткості.

Члени сімейства названі компонентами.  Компонент описує певний набір вимог безпеки - найменший набір вимог безпеки для включення в структури, певні в ОК.

Компоненти побудовані з елементів.  Елемент - найнижчий і неподільний рівень вимог безпеки, на якому проводиться оцінка їх задоволення.

Організація вимог безпеки в ОК по ієрархії клас-семейство- компонент-елемент  допомагає споживачеві правильно визначити компоненти, як тільки будуть ідентифіковані загрози безпеки об'єкта оцінки.

9. Основні поняттяполітики безпеки

Політика безпеки - набір законів, правил і норм поведінки, що визначають, як організація обробляє, захищає і поширює інформацію. Наприклад, правила визначають, в яких випадках користувач має право оперувати з певними наборами даних і чим надійніше система, тим суворіше і різноманітніше повинна бути політика безпеки. Залежно від сформульованої політики можна вибирати конкретні механізми, що забезпечують безпеку системи. Політика безпеки - це активний компонент захисту, що включає в себе аналіз можливих загроз і вибір заходів протидії.

Політика безпеки визначає стратегію управління областю ІБ, а також міру уваги і кількість ресурсів, які вважає за доцільне виділити керівництво. Політика безпеки структурована на основі аналізу ризиків, які визнаються реальними для ІС організації.

Коли проводиться аналіз ризиків і визначається стратегія захисту стану програм, реалізацію якої повинна забезпечити ІБ. Визначення порядку контролю визначає програма.

Політика безпеки зазвичай оформляється у вигляді документів, що включають такі розділи, як опис проблем, області застосування, позиції організації, розподіл ролей і обов'язків, санкції і т.д.

Опис проблем.Інформація, що циркулює в рамках локальної мережі є критично важливою. Локальна мережа дозволяє користувачам спільно використовувати програми і дані, що збільшує загрозу безпеці, тому кожен комп'ютер, що входить в мережу потребує сильнішою захисту. Ці підвищені заходи безпеки і є темою даного документа.

Область застосування.   У сферу дії даної політики потрапляють всі апаратні, програмні та інформаційні ресурси, що входять в локальну мережу підприємства.

позиція організації.   Основні цілі - забезпечення цілісності, доступності та конфіденційності даних, а також їх повноти та актуальності.

10. распределеніе ролей і обов'язків

керівники підрозділів  відповідають за доведення положень політики безпеки до користувачів і за контакти з ними.

Адміністратори локальної мережі  забезпечують безперервне функціонування мережі і відповідають за реалізацію технічних заходів, необхідних для проведення в життя політики безпеки.

адміністратори сервісів  відповідають за конкретні послуги, і зокрема за побудову захисту відповідно до загальної політикою безпеки.

користувачі працюють з локальною мережею відповідно до політики безпеки, підкоряються розпорядженням осіб, що відповідають за окремі аспекти безпеки, доводять до відома керівництво про всі підозрілі ситуаціях.

Санкції.  Порушення політики безпеки може піддати локальну мережу і циркулює в ній інформацію неприпустимого ризику. Випадки порушення безпеки з боку персоналу повинні оперативно розглядатися керівництвом для прийняття дисциплінарних заходів аж до звільнення.

Керуючі заходи забезпечення інформаційної безпеки

Головною метою заходів, що вживаються на управлінському рівні, є формування програми робіт в області інформаційної безпеки і забезпечення її виконання шляхом виділення необхідних ресурсів і здійснення регулярного контролю стану справ. Основою цієї програми є багаторівнева політика безпеки, що відображає комплексний підхід організації до захисту своїх ресурсів і інформаційних активів.

З практичної точки зору політики безпеки можна розділити на три рівня : Верхній, середній і нижній.

Верхній рівень  політики безпеки визначає рішення, що зачіпають організацію в цілому. Ці рішення носять досить загальний характер і виходять, як правило, від керівництва організації.

Такі рішення можуть включати в себе наступні елементи:

* Формулювання цілей, які переслідує організація в області інформаційної безпеки, визначення загальних напрямків у досягненні цих цілей;

* Формування або перегляд комплексної програми забезпечення інформаційної безпеки, визначення відповідальних осіб за просування програми;

* Забезпечення матеріальної бази для дотримання законів і правил;

* Формулювання управлінських рішень з питань реалізації програми безпеки, які повинні розглядатися на рівні організації в цілому.

Середній рівень політики безпеки визначає вирішення питань, що стосуються окремих аспектів інформаційної безпеки, але важливих для різних систем, експлуатованих організацією. Приклади таких питань - ставлення до доступу в Internet (проблема поєднання свободи отримання інформації з захистом від зовнішніх загроз), використання домашніх комп'ютерів і т. Д.

нижчий рівень політики безпеки відноситься до конкретних сервісам. Вона включає два аспекти - цілі і правила їх досягнення, тому її часом важко відокремити від питань реалізації. На відміну від двох верхніх рівнів, розглянута політика повинна бути більш детальної, т. Е. При проходженні політиці безпеки нижнього рівня необхідно дати відповідь, наприклад, на такі питання:

* Хто має право доступу до об'єктів, підтримуваним сервісом;

* Як організований віддалений доступ до сервісу.

11. Структура політики безпеки

Зазвичай політика безпеки включає базову політику безпеки, спеціалізовані політики безпеки і процедурні політики безпеки.

Основні положення політики безпеки організації описуються в наступних документах:

1. Огляд політики безпеки - розкриває мету політики безпеки, описує структуру, детально викладає, хто і за що відповідає;

2. Знайомство з базою політики безпеки - визначає дозволені й заборонені дії, а також необхідні засоби управління;

3. Керівництво по архітектурі безпеки - описує реалізацію механізмів безпеки в комп'ютерній архітектурі, використовуваної в мережі організації.

Головним компонентом політики безпеки організації є базова політика безпеки.

12. процедури безпеки

Процедури безпеки є необхідним і важливим доповненням до політиків безпеки. Політики безпеки тільки описують, що має бути захищене і які основні правила захисту. Процедури безпеки визначають, як захистити ресурси і які механізми виконання політики, т. Е. Як реалізовувати політики безпеки.

По суті процедури безпеки являють собою покрокові інструкції для виконання оперативних завдань. Часто процедура є тим інструментом, за допомогою якого політика перетворюється в реальну дію.

Процедури безпеки детально визначають дії, які потрібно зробити при реагуванні на конкретні події; забезпечують швидке реагування в критичній ситуації; допомагають усунути проблему єдиної точки відмови в роботі.

Багато процедури, пов'язані з безпекою, повинні бути стандартними засобами в будь-якому підрозділі. Як приклади можна вказати процедури для резервного копіювання та позасистемного зберігання захищених копій, а також процедури для виведення користувача з активного стану і / або архівування логіна і пароля користувача, що застосовуються відразу, як тільки даний користувач звільняється з організації.

13 . Основні поняття криптографічного захисту інформації

під шифром  розуміють сукупність оборотних перетворень безлічі відкритих даних на безліч зашифрованих даних, що задаються ключем і алгоритмом криптографічного перетворення. Існує безліч різних криптографічних алгоритмів. Призначення цих алгоритмів - захист інформації. Захищати ж інформацію доводиться від різних загроз і різними способами. Щоб забезпечити надійну і адекватний захист за допомогою криптоалгоритма (КА), потрібно розуміти, які бувають КА і який тип алгоритму краще пристосований для вирішення конкретного завдання.

хешування

симетричне шифруваннявикористовує один і той же ключ як для зашифровування, так і для розшифрування інформації.

Симетричне шифрування підрозділяється на два види: блочне  і потокове, Хоча слід зазначити, що в деяких класифікаціях вони не розділяються і вважається, що потокове шифрування - це шифрування блоків одиничної довжини.

блочне шифруванняхарактеризується тим, що інформація попередньо розбивається на блоки фіксованої довжини (наприклад, 64 або 128 біт). При цьому в різних КА або навіть в різних режимах роботи одного і того ж алгоритму блоки можуть шифруватися як незалежно один від одного, так і «зі зчепленням», т. Е. Коли результат шифрування поточного блоку даних залежить від значення попереднього блоку або від результату шифрування попереднього блоку.

потокове шифруваннязастосовується, перш за все, тоді, коли інформацію неможливо розбити на блоки - скажімо, є якийсь потік даних, кожен символ яких потрібно зашифрувати і відправити, не чекаючи інших даних, достатніх для формування блоку. Алгоритми поточного шифрування шифрують дані побитно або посимвольний.

асиметричне шифрування

Електронний цифровий підпис (ЕЦП)використовується для надійного підтвердження цілісності та авторства даних.

1 4 . Симетричні криптосистеми шифрування

У симетричних криптоалгоритмах для зашифровування і розшифрування повідомлення використовується один і той же блок інформації (ключ). Хоча алгоритм впливу на передані дані може бути відомий стороннім особам, але він залежить від секретного ключа, яким повинні володіти тільки відправник і одержувач. Симетричні криптоалгоритми виконують перетворення невеликого блоку даних (1 біт або 32--128 біт) в залежності від секретного ключа таким чином, що прочитати вихідне повідомлення можна тільки знаючи цей секретний ключ.

Симетричні криптосистеми дозволяють на основі симетричних криптоалгоритмів кодувати і декодувати файли довільної довжини.

Характерна особливість симетричних блокових криптоалгоритмів --- перетворення блоку вхідної інформації фіксованої довжини і отримання результуючого блоку того ж обсягу, але недоступного для прочитання стороннім особам, які не володіють ключем.

Криптоалгоритм вважається ідеально стійким, якщо для про-читання зашифрованого блоку даних необхідний перебір всіх можливих ключів до тих пір, поки розшифроване повідомлення не опиниться осмисленим. У загальному випадку стійкість блокового шифру залежить тільки від довжини ключа і зростає експоненціально з її ростом. Ідеально стійкі криптоалгоритми повинні задовольняти ще одного важливого вимогу. Ключ, яким вироблено це перетворення, при відомих результат-ном і зашифрованому значеннях блоку можна дізнатися тільки шляхом повного перебору його значень.

15 . Асиметричні криптоалгоритми шифрування

асиметричне шифруванняхарактеризується застосуванням двох типів ключів: відкритого - для зашифровування інформації та секретного - для її розшифрування. Секретний і відкритий ключі пов'язані між собою досить складним співвідношенням.

Криптоалгоритм RSA запропонували в 1978 р Він став першим алгоритмом з відкритим ключем, який може працювати як в режимі шифрування даних, так і в режимі електронного цифрового підпису. Надійність алгоритму RSA грунтується на складності факторизації великих чисел

В асиметричній криптосистеме RSA кількість використовуваних ключів пов'язано з кількістю абонентів лінійною залежністю (в системі з N користувачів використовуються 2N ключів), а не квадратичної, як в симетричних системах.

Слід зазначити, що швидкодія RSA істотно нижче швидкодії DES, а програмна і апаратна реалізація криптоалгоритма RSA набагато складніше, ніж DES. Тому криптосистема RSA, як правило, використовується при передачі невеликого обсягу повідомлень.

16 . Електронна цифровая підпис і функції хешування

Електронний цифровий підпис  (ЕЦП) використовується для надійного підтвердження цілісності та авторства даних.

хешування- це метод криптографічного захисту, що представляє собою контрольне перетворення інформації: з даних необмеженого розміру шляхом виконання криптографічних перетворень обчислюється хеш-значення фіксованої довжини, однозначно відповідне вихідними даними.

Алгоритм хешування можна описати таким чином.

Крок 1. Ініціалізація регістра хеш-значення. Якщо довжина повідомлення не перевищує 256 біт - перехід до кроку 3, якщо перевищує - перехід до кроку 2.

Крок 2. ітеративна обчислення хеш-значення блоків хешіруемих даних по 256 біт з використанням зберігається в регістрі хеш-значення попереднього блоку. Обчислення включає в себе наступні дії:

* Генерацію ключів шифрування на основі блоку хешіруемих даних;

* Зашифровування зберігається в регістрі хеш-значення в вигляді чотирьох блоків по 64 біта за алгоритмом ГОСТ 28147--89 в режимі простої заміни;

* Перемішування результату.

Обчислення робиться до тих пір, поки довжина необроблених вхідних даних не стане менше або дорівнює 256 біт. В цьому випадку - перехід до кроку 3.

Крок 3. Доповнення бітовими нулями необробленої частини повідомлення до 256 біт. Обчислення хеш-значення аналогічно кроку 2. В результаті в регістрі виявляється шукане хеш-значення.

17 . Аутентифікація, авторизація та администрювання дій користувачів

Ідентифікатор суб'єкта - деяка інформація, однозначно ідентифікує його. Це може бути число або рядок символів, які називають цей суб'єкт.

ідентифікація  - процедура розпізнавання користувача за його ідентифікатором (імені). Ця функція виконується, коли користувач робить спробу увійти в мережу.

аутентифікація  - процедура перевірки автентичності заявленого користувача, процесу або пристрою. Ця перевірка дозволяє достовірно переконатися, що користувач (процес або пристрій) є саме тим, ким себе оголошує.

Ідентифікація та аутентифікація є взаємопов'язаними процесами розпізнавання і перевірки дійсності суб'єктів (користувачів). Саме від них залежить подальше рішення системи: чи можна дозволити доступ до ресурсів системи конкретного користувача або процесу. Після ідентифікації і аутентифікації суб'єкта виконується його авторизація.

авторизація  - процедура надання суб'єкту певних повноважень і ресурсів в даній системі. Іншими словами, авторизація встановлює сферу його дії і доступні йому ресурси. Якщо система не може надійно відрізнити авторизоване особа від неавторизованого, то конфіденційність і цілісність інформації в цій системі можуть бути порушені.

адміністрування  - реєстрація дій користувача в мережі, включаючи його спроби доступу до ресурсів.

Залежно від пропонованих суб'єктом сутностей процеси аутентифікації можуть бути розділені на основі:

* знання чого-небудь. Прикладами можуть служити пароль, персональний ідентифікаційний код PIN, а також приватні та публічні ключі.

* володіння чимось. Зазвичай це магнітні картки, смарт-карти, сертифікати та пристрої;

* будь-яких невід'ємних характеристик. Ця категорія включає методи, що базуються на перевірці біометричних характеристик користувача (голосу, райдужної оболонки і сітківки ока, відбитків пальців, геометрії долоні і ін.).

18 . Аутентифікація на основі паролів

Базовий принцип «єдиного входу» передбачає достатність одноразового проходження користувачем процедури аутентифікації для доступу до всіх мережевих ресурсів. Тому в сучасних операційних системах передбачається централізована служба аутентифікації, яка виконується одним з серверів мережі і використовує для своєї роботи базу даних (БД). У цій БД зберігаються облікові дані про користувачів мережі, що включають ідентифікатори і паролі користувачів, а також іншу інформацію.

Процедуру простий аутентифікації користувача в мережі можна представити таким чином. Користувач при спробі логічного входу в мережу набирає свій ідентифікатор і пароль. Ці дані надходять для обробки на сервер аутентифікації. В БД, що зберігається на сервері аутентифікації, за ідентифікатором користувача знаходиться відповідний запис. З неї витягується пароль і порівнюється з тим паролем, який ввів користувач. Якщо вони співпали, то аутентифікація пройшла успішно - користувач отримує легальний статус і отримує ті права і ресурси мережі, які визначені для його статусу системою авторизації.

Схеми аутентифікації, засновані на традиційних багаторазових паролі, не володіють достатньою безпекою. Такі паролі можна перехопити, розгадати, підглянути або просто вкрасти. Більш надійними є процедури аутентифікації на основі одноразових паролів.

Суть схеми одноразових паролів - використання різних паролів при кожному новому запиті на надання доступу. Одноразовий динамічний пароль дійсний тільки для одного входу в систему, і потім його дія закінчується. Навіть якщо його перехопили, він буде марний. Динамічний механізм завдання пароля - один з кращих способів захисту процесу аутентифікації від загроз ззовні. Зазвичай системи аутентифікації з одноразовими паролями використовуються для перевірки віддалених користувачів.

Генерація одноразових паролів може здійснюватися апаратним або програмним способом.

19 . Загрози безпеці ОС

Загрози безпеці ОС можна класифікувати по різним аспектам їх реалізації.

1. За мети атаки:

* Несанкціоноване читання інформації;

* Несанкціонованих змін інформації;

* Несанкціоноване знищення інформації;

* Повне або часткове руйнування ОС.

2. За принципом дії на операційну систему.

* Використання відомих (легальних) каналів отримання інформації; наприклад загроза несанкціонованого читання файлу, доступ користувачів до якого визначено некоректно, т. е. дозволений доступ користувачеві, якому згідно з політикою безпеки доступ повинен бути заборонений;

* Використання прихованих каналів отримання інформації; наприклад загроза використання зловмисником недокументованих можливостей ОС;

* Створення нових каналів отримання інформації за допомогою програмних закладок.

3. За типом використовуваної зловмисником уразливості захисту:

* Неадекватна політика безпеки, в тому числі і помилки адміністратора системи;

* Помилки і недокументовані можливості програмного забезпечення ОС, в тому числі і так звані люки - випадково або навмисно вбудовані в систему «службові входи», що дозволяють обходити систему захисту;

* Раніше впроваджена програмна закладка.

4. За характером впливу на операційну систему:

* Активний вплив - несанкціоновані дії зловмисника в системі;

* Пасивне вплив - несанкціоноване спостереження зловмисника за процесами, що відбуваються в системі.

Загрози безпеці ОС можна також класифікувати за такими ознаками, як: спосіб дій зловмисника, ис-пользуемие кошти атаки, об'єкт атаки, спосіб впливу на об'єкт атаки, стан атакується об'єкта ОЗ на момент атаки.

ОС може піддатися таким типовим атакам:

* Скануванню файлової системи. Зловмисник переглядає файлову систему комп'ютера і намагається прочитати (або скопіювати) всі файли поспіль. Рано чи пізно виявляється хоча б одна помилка адміністратора. В результаті зловмисник отримує доступ до інформації, який повинен бути йому заборонений;

* Підбору пароля. Існують кілька методів підбору паролів користувачів:

Тотальний перебір;

Тотальний перебір, оптимізований за статистикою зустрічається символів або за допомогою словників;

Підбір пароля з використанням знань про користувача (його імені, прізвища, дати народження, номера телефону і т. Д.);

* Крадіжці ключової інформації. Зловмисник може підглянути пароль, що набирається користувачем, або відновити набирається користувачем пароль по рухах його рук на клавіатурі. Носій з ключовою інформацією (смарт-карта) може бути просто вкрадено;

* Збірці сміття. У багатьох ОС інформація, знищена користувачем, не знищується фізично, а позначається як знищена (так званий сміття). Зловмисник відновлює цю інформацію, переглядає її і копіює його цікавлять фрагменти;

* Перевищення повноважень. Зловмисник, скориставшись помилками в програмному забезпеченні ОС або політики безпеки, отримує повноваження, що перевищують ті, які йому надані відповідно до політики безпеки. Зазвичай це досягається шляхом запуску програми від імені іншого користувача;

* Програмним закладок. Програмні закладки, впроваджувані в ОС, не мають істотних відмінностей від інших класів програмних закладок;

* Жадібним програмами - це програми, навмисно захоплюючі значну частину ресурсів комп'ютера, в результаті чого інші програми не можуть виконуватися або виконуються вкрай повільно. Запуск жадібної програми може привести до краху ОС.

20 . Поняття захищеної ОС

Операційну систему називають захищеною, якщо вона передбачає засоби захисту від основних класів загроз. Захищена ОС обов'язково повинна містити засоби розмежування доступу користувачів до своїх ресурсів, а також засоби перевірки достовірності користувача, що починає роботу з ОС. Крім того, захищена ОС повинна містити засоби протидії випадковому або навмисному виведення ОЗ з ладу.

Якщо ОС передбачає захист не від усіх основних класів загроз, а тільки від деяких, таку ОС називають частково захищеною.

Підходи до побудови захищених ОС

Існують два основні підходи до створення захищених ОС - фрагментарний і комплексний. При фрагментарному підході спочатку організується захист від однієї загрози, потім від іншого і т. Д. Прикладом фрагментарного підходу може служити ситуація, коли за основу береться незахищена ОС, на неї встановлюються антивірусний пакет, система шифрування, система реєстрації дій користувачів і т. Д.

При застосуванні фрагментарного підходу підсистема захисту ОС являє собою набір розрізнених програмних продуктів, як правило, від різних виробників. Ці програмні засоби працюють незалежно один від одного, при цьому практично неможливо організувати їх тісний контакт. Крім того, окремі елементи такої підсистеми захисту можуть функціонувати належним чином в присутності один одного, що призводить до різкого зниження надійності системи.

При комплексному підході захисні функції вносяться в ОС на етапі проектування архітектури ОС і є її невід'ємною частиною. Окремі елементи підсистеми захисту, створеної на основі комплексного підходу, тісно взаємодіють один з одним при вирішенні різних завдань, пов'язаних з організацією захисту інформації, тому конфлікти між її окремими компонентами практично неможливі. Як правило, підсистему захисту ОС, створену на основі комплексного підходу, проектують так, щоб окремі її елементи були замінні. Відповідні програмні модулі можуть бути замінені іншими модулями.

21 . Основні функції підсистеми захисту ОС

Підсистема захисту ОС виконує такі основні функції.

1. Ідентифікація і аутентифікація. Жоден користувач не може почати роботу з ОС, що не идентифицировав себе і не надавши системі аутентифицирующей інформацію, яка підтверджує, що користувач дійсно є тим, ким він себе заявляє.

2. Розмежування доступу. Кожен користувач системи має доступ тільки до тих об'єктів ОС, до яких йому надано доступ відповідно до поточної політикою безпеки.

3. Аудит. ОС реєструє в спеціальному журналі події, потенційно небезпечні для підтримки безпеки системи.

4. Управління політикою безпеки. Політика безпеки повинна постійно підтримуватися в адекватному стані, т. Е. Має гнучко реагувати на зміни умов функціонування ОС. Управління політикою безпеки здійснюється адміністраторами системи з використанням відповідних засобів, вбудованих в ОС.

5. Криптографічні функції. Захист інформації немислима без використання криптографічних засобів захисту. Шифрування використовується в ОС при зберіганні і передачі по каналах зв'язку паролів користувачів і деяких інших даних, критичних для безпеки системи.

6. Мережеві функції. Сучасні ОС, як правило, працюють не ізольовано, а в складі локальних і / або глобальних комп'ютерних мереж. ОС комп'ютерів, що входять в одну мережу, взаємодіють між собою для вирішення різних завдань, в тому числі і завдань, що мають пряме відношення до захисту інформації.

2 2. Розмежування доступу до  об'єктах ОС

Основними поняттями процесу розмежування доступу до об'єктів ОС є об'єкт доступу, метод доступу до об'єкта і суб'єкт доступу.

об'єктом доступу  (Або просто об'єктом) називають будь-який елемент ОС, доступ до якого користувачів та інших суб'єктів доступу може бути довільно обмежений. Можливість доступу до об'єктів ОС визначається не тільки архітектурою ОС, але і поточною політикою безпеки. Під об'єктами доступу розуміють як ресурси обладнання, так і програмні ресурси, тобто все те, доступ до чого контролюється.

методом доступу  до об'єкта називається операція, певна для об'єкта. Тип операції залежить від об'єктів. Наприклад, процесор може тільки виконувати команди, сегменти пам'яті можуть бути записані і прочитані, зчитувач магнітних карт може тільки читати, а для файлів можуть бути визначені методи доступу «читання», «запис» і «додавання».

суб'єктом доступу  називають будь-яку сутність, здатну ініціювати виконання операцій над об'єктами (звертатися до об'єктів за деякими методам доступу). Зазвичай вважають, що безліч суб'єктів доступу і безліч об'єктів доступу не перетинаються. Іноді до суб'єктів доступу відносять процеси, що виконуються в системі. Однак логічніше вважати суб'єктом доступу саме користувача, від імені якого виконується процес. Природно, під суб'єктом доступу на увазі не фізичне користувача, що працює з комп'ютером, а «логічного» користувача, від імені якого виконуються процеси ОС.

Таким чином, об'єкт доступу - це те, до чого здійснюється доступ, суб'єкт доступу - це той, хто здійснює доступ, і метод доступу - це те, як здійснюється доступ.

23 аудит

Процедура аудиту стосовно ОС полягає в реєстрації в спеціальному журналі, званому журналом аудиту або журналом безпеки, подій, які можуть становити небезпеку для ОС. Користувачі системи, які мають право читання журналу аудиту, називаються аудиторами.

До числа подій, які можуть становити небезпеку для ОС, зазвичай відносять такі:

* Вхід або вихід із системи;

* Операції з файлами (відкрити, закрити, перейменувати, видалити);

* Звернення до віддаленої системи;

* Зміну привілеїв чи інших атрибутів безпеки.

Вимоги до аудиту .   Підсистема аудиту ОС повинна відповідати таким вимогам.

1. Додавати записи в журнал аудиту може тільки ОС.

2. Редагувати або видаляти окремі записи в журналі аудиту не може жоден суб'єкт доступу, в тому числі і сама ОС.

3. Переглядати журнал аудиту можуть тільки користувачі, що володіють відповідною привілеєм.

4. Очищати журнал аудиту можуть тільки користувачі-ауді-тори. Після очищення журналу в нього автоматично вноситься запис про те, що журнал аудиту було очищено, із зазначенням часу очищення журналу та імені користувача, очистити журнал. ОС повинна підтримувати можливість збереження журналу аудиту перед очищенням в іншому файлі.

5. Коли журнал аудиту ОС аварійно завершує роботу ( «зависає»). Після перезавантаження працювати з системою можуть тільки аудитори. ОС переходить до звичайного режиму роботи тільки після очищення журналу аудиту.

політика аудиту   - це сукупність правил, що визначають, які події повинні реєструватися в журналі аудиту. Для забезпечення надійного захисту ОС в журналі аудиту повинні обов'язково реєструватися наступні події:

* Спроби входу / виходу користувачів з системи;

подібні документи

Поняття інформаційної безпеки, поняття і класифікація, види загроз. Характеристика засобів і методів захисту інформації від випадкових загроз, від загроз несанкціонованого втручання. Криптографічні методи захисту інформації та міжмережеві екрани.

курсова робота, доданий 30.10.2009


Зовнішні загрози інформаційній безпеці, форми їх прояву. Методи і засоби захисту від промислового шпигунства, його цілі: отримання інформації про конкурента, знищення інформації. Способи несанкціонованого доступу до конфіденційної інформації.

контрольна робота, доданий 18.09.2016


Поняття, значення та напрями інформаційної безпеки. Системний підхід до організації інформаційної безпеки, захист інформації від несанкціонованого доступу. Засоби захисту інформації. Методи і системи інформаційної безпеки.

реферат, доданий 15.11.2011


Цілі інформаційної безпеки. Джерела основних інформаційних загроз для Росії. Значимість безпеки інформації для різних фахівців з позиції компанії і зацікавлених осіб. Методи захисту інформації від навмисних інформаційних загроз.

презентація, доданий 27.12.2010


Аналіз ризиків інформаційної безпеки. Оцінка існуючих і планованих засобів захисту. Комплекс організаційних заходів забезпечення інформаційної безпеки і захисту інформації підприємства. Контрольний приклад реалізації проекту і його опис.

дипломна робота, доданий 19.12.2012


Основні поняття захисту інформації та інформаційної безпеки. Класифікація та зміст, джерела і причини виникнення можливих загроз інформації. Основні напрямки захисту від інформаційної зброї (впливу), сервіси мережевої безпеки.

реферат, доданий 30.04.2010


Основні поняття в сфері інформаційної безпеки. Характер дій, що порушують конфіденційність, достовірність, цілісність і доступність інформації. Способи здійснення загроз: розголошення, витоку інформації і несанкціонованого доступу до неї.

презентація, доданий 25.07.2013


Види загроз інформаційної безпеки. Основні напрямки та заходи щодо захисту електронної інформації. Атакуючі кошти інформаційного впливу. Інформаційний кримінал, тероризм. Захисні дії, що відносяться до інформаційної безпеки.

реферат, доданий 27.12.2011


Система формування режиму інформаційної безпеки. Завдання інформаційної безпеки суспільства. Засоби захисту інформації: основні методи і системи. Захист інформації в комп'ютерних мережах. Положення найважливіших законодавчих актів Росії.

реферат, доданий 20.01.2014


Поняття і основні принципи забезпечення інформаційної безпеки. Поняття захищеності в автоматизованих системах. Основи законодавства РФ в області інформаційної безпеки і захисту інформації, процеси ліцензування та сертифікації.

Персональні комп'ютери, системи управління і мережі на їх основі швидко входять в усі сфери людської діяльності (наприклад, військова, комерційна, банківська, наукові дослідження і т.д.). Широко використовуючи комп'ютери і мережі на їх основі для обробки, зберігання та передачі інформації необхідно її надійно захищати від можливості доступу до неї сторонніх осіб, її втрати або спотворення. Згідно зі статистичними даними, більше 80% компаній несуть фінансові збитки через порушення цілісності та конфіденційності використовуваних даних.

Крім інформації, що становить державну або комерційну таємницю, існує інформація, що представляє собою інтелектуальну власність. До такої інформації можна віднести результати наукових досліджень, програми, що забезпечують функціонування комп'ютера, ігрові програми, аудіо та відео. Вартість такої інформації в світі становить кілька трильйонів доларів на рік. Її несанкціоноване копіювання знижує доходи компаній і авторів, зайнятих в її розробці.

Ускладнення методів і засобів організації машинної обробки, повсюдне використання глобальної мережі Інтернет призводить до того, що інформація стає все більш уразливою. Цьому сприяють такі чинники, як постійно зростаючі обсяги оброблюваних даних, накопичення і зберігання даних в обмежених місцях, постійне розширення кола користувачів, що мають доступ до ресурсів, програм і даних, недостатній рівень захисту апаратних і програмних засобів комп'ютерів і комунікаційних систем і т.д.

З огляду на всі ці фактори, захист інформації в процесі її збору, зберігання і передачі набуває винятково важливого значення.

Основні поняття інформаційної безпеки.

Розглянемо ряд визначень, які використовуються при описі засобів і методів захисту інформації в системах автоматизованої обробки, побудованих на основі засобів обчислювальної техніки.

Комп'ютерна система (КС) - організаційно-технічна система, що представляє сукупність наступних компонентів:

Технічні засоби обробки і передачі даних;

Методи і алгоритми обробки у вигляді відповідного програмного забезпечення;

Дані (інформація на різних носіях і знаходиться в процесі обробки);

Користувачі (люди, які використовують КС з метою задоволення інформаційних потреб);

Об'єкт (будь-який елемент КС, доступ до якого може бути довільно обмежений);

Суб'єкт (будь-яка сутність, здатна ініціювати виконання операцій над об'єктом - користувачі, процеси).

Інформаційна безпека - стан КС, при якому вона здатна протистояти дестабілізуючого впливу зовнішніх і внутрішніх інформаційних загроз і при цьому не створювати таких же загроз для елементів самої КС і зовнішнього середовища.

Конфіденційність інформації - властивість інформації бути доступною тільки обмеженому колу кінцевих користувачів та інших суб'єктів доступу, які пройшли відповідну перевірку і допущених до її використання.

Цілісність інформації - властивість зберігати свою структуру і зміст в процесі зберігання, використання та передачі.

Достовірність інформації - властивість, що виражається в суворій приналежності інформації суб'єкту, який є її джерелом.

Доступ до інформації - можливість суб'єкта здійснювати певні дії з інформацією.

Санкціонований доступ до інформації - доступ з виконанням правил розмежування доступу до інформації.

Несанкціонований доступ до інформації (НСД) - доступ з порушенням правил розмежування доступу суб'єкта до інформації, з використанням штатних засобів, що надаються КС (програмного або апаратного забезпечення).

Правила розмежування доступу - регламентування прав доступу суб'єкта до певного компоненту системи.

Ідентифікація - отримання від суб'єкта доступу до відомостей, що дозволяє виділити його з безлічі суб'єктів (ім'я, серійний або обліковий номер і т.д.).

Аутентифікація - отримання від суб'єкта відомостей, що підтверджують, що ідентифікований суб'єкт є тим, за кого себе видає (пароль, біометричні параметри і т.д.).

Загроза інформаційної безпеки КС - можливість впливу на інформацію, оброблювану КС, з метою її спотворення, знищення, копіювання або блокування, а також можливість впливу на компоненти КС, що призводять до збою їх функціонування.

Уразливість КС - будь-яка характеристика, яка може привести до реалізації загрози.

Атака КС - дії зловмисника, що вживаються з метою виявлення уразливості КС і діставання несанкціонованого доступу до інформації.

Безпечна чи захищена КС - КС, забезпечена засобами захисту для протидії загрозам безпеки.

Комплекс засобів захисту - сукупність апаратних і програмних засобів, що забезпечують інформаційну безпеку.

Політика безпеки - сукупність норм і правил, що регламентують роботу засобів захисту від заданої множини загроз.

Дискреційна модель розмежування доступу - спосіб розмежування доступу суб'єктів до об'єктів, при якому права доступу задаються деяким переліком прав доступу суб'єкта до об'єкта. Реалізація даної моделі є матрицею, рядками якої є суб'єкти, а стовпцями - об'єкти; елементи матриці характеризують набір прав доступу.

Повноважна модель розмежування доступу - спосіб розмежування доступу суб'єктів до об'єктів, при якому кожному об'єкту ставиться у відповідність рівень секретності, а кожному суб'єкту - рівень довіри до нього. При цьому суб'єкт може отримати доступ до об'єкта, якщо його рівень довіри не менше рівня секретності об'єкта.

під інформаційною безпекою   розуміють стан захищеності оброблюваних, збережених і переданих даних від незаконного ознайомлення, перетворення і знищення, а також стан захищеності інформаційних ресурсів від впливів, спрямованих на порушення їх працездатності.

Природа цих впливів може бути найрізноманітнішою. Це і спроби проникнення зловмисників, і помилки персоналу, і вихід з ладу апаратних і програмних засобів, стихійні лиха (землетрус, ураган, пожежа і т.п.). Основні загрози безпеки в корпоративних комп'ютерних мережах докладно аналізуються в розділі 2.

Інформаційна безпека комп'ютерних систем і мереж досягається прийняттям комплексу заходів щодо забезпечення конфіденційності, цілісності, достовірності, юридичної значущості інформації, оперативності доступу до неї, а також щодо забезпечення цілісності та доступності інформаційних ресурсів і компонентів системи або мережі. Перераховані базові властивості інформації потребують більш повному тлумаченні.

Конфіденційність інформації - це її властивість бути доступною тільки обмеженому колу користувачів інформаційної системи, в якій циркулює дана інформація. По суті, конфіденційність інформації - це її властивість бути відомою тільки допущеним і які пройшли перевірку суб'єктів системи (користувачам, процесам, програмам). Для інших суб'єктів системи інформація повинна бути невідомою.

під цілісністю інформації   розуміється її властивість зберігати свою структуру і / або вміст в процесі передачі і зберігання. Цілісність інформації забезпечується в тому випадку, якщо дані в системі не відрізняються в семантичному відношенні від даних у вихідних документах, тобто якщо не відбулося їх випадкового або навмисного спотворення або руйнування.

Достовірність інформації   - властивість, що виражається в суворій приналежності інформації суб'єкту, який є її джерелом, або тому суб'єкту, від якого вона прийнята.

Юридична значимість інформації   означає, що документ, який є носієм інформації, має юридичну силу.

під доступом до інформації розуміється ознайомлення з інформацією і її обробка, зокрема копіювання, модифікація або знищення. Розрізняють санкціонований і несанкціонований доступ до інформації. Санкціонований доступ до інформації   чи не порушує встановлені правила розмежування доступу.

Несанкціонований доступ   характеризується порушенням встановлених правил розмежування доступу. Особа або процес, які здійснюють несанкціонований доступ до інформації, є порушниками таких правил розмежування доступу. Несанкціонований доступ - найбільш поширений вид комп'ютерних порушень.

Правила розмежування доступу   служать для регламентації права доступу до компонентів системи.

Оперативність доступу до інформації   - це здатність інформації або деякого інформаційного ресурсу бути доступними кінцевому користувачеві відповідно до його оперативними потребами.

Цілісність ресурсу або компонента системи   - це його властивість бути незмінним в семантичному сенсі при функціонуванні системи в умовах випадкових або навмисних спотворень або руйнівних впливів.

Доступність ресурсу або компонента системи   - це його властивість бути доступним законним користувачам системи. З допуском до інформації та ресурсів системи пов'язана група таких понять, як ідентифікація, аутентифікація, авторизація.

З кожним об'єктом системи (мережі) пов'язують деяку інформацію (число, рядок символів), що ідентифікує об'єкт. Ця інформація є ідентифікатором   об'єкта системи (мережі). Об'єкт, який має зареєстрований ідентифікатор, вважається законним (легальним ).

ідентифікація об'єкта   - це процедура розпізнавання об'єкта за його ідентифікатором. Виконується при спробі об'єкта увійти в систему (мережу).

Наступний етап взаємодії системи з об'єктом - аутентифікація. аутентифікація об'єкта   - це перевірка достовірності об'єкта з даними ідентифікатором. Процедура аутентифікації встановлює, чи є об'єкт саме тим, ким він себе оголосив.

Після ідентифікації і аутентифікації об'єкта виконують авторизацію.

авторизація об'єкта   - це процедура надання законному об'єкту, що успішно пройшов ідентифікацію та аутентифікацію, відповідних повноважень і доступних ресурсів системи (мережі).

під загрозою безпеки   для системи (мережі) розуміються можливі дії, які прямо або побічно можуть завдати шкоди її безпеки. збиток безпеки   має на увазі порушення стану захищеності інформації, що міститься і обробляти в системі (мережі).

З поняттям загрози безпеки тісно пов'язане поняття уразливості комп'ютерної системи (мережі). уразливість системи   (Мережі) - це будь-яка характеристика комп'ютерної системи, використання якої може привести до реалізації загрози.

Атака на комп'ютерну систему   (Мережа) - це дії, що робляться зловмисником з метою пошуку та використання тієї чи іншої уразливості системи. Таким чином, атака - це реалізація загрози безпеки.

Протидія загрозам безпеки - мета, яку покликані виконати засоби захисту комп'ютерних систем і мереж. Безпечна чи захищена система   - це система із засобами захисту, які успішно і ефективно протистоять загрозам безпеки.

Комплекс засобів захисту   являє собою сукупність програмних і технічних засобів мережі. Комплекс засобів захисту створюється і підтримується відповідно до прийнятої в даній організації політикою забезпечення інформаційної безпеки системи.

Політика безпеки   - це сукупність норм, правил і практичних рекомендацій, що регламентують роботу засобів захисту комп'ютерної системи (мережі) від заданої множини загроз безпеки.

Корпоративні мережі відносяться до розподілених комп'ютерних систем, що здійснюють автоматизовану обробку інформації. Проблема забезпечення інформаційної безпеки є центральною для таких комп'ютерних систем. Забезпечення безпеки корпоративної мережі передбачає організацію протидії будь-якому несанкціонованому вторгненню в процес функціонування корпоративної мережі, а також спробам модифікації, розкрадання, виведення з ладу або руйнування її компонентів, тобто захист всіх компонентів корпоративної мережі (апаратних засобів, програмного забезпечення, даних і персоналу).

Існують два підходи до проблеми забезпечення безпеки корпоративної мережі: «фрагментарний» і комплексний.

« Частковий » підхід   спрямований на протидію чітко визначеним загрозам в заданих умовах. Як приклади реалізації такого підходу можна вказати: окремі засоби управління доступом, автономні засоби шифрування, спеціалізовані антивірусні програми і т.п. Гідність цього підходу полягає у високій вибірковості до конкретної загрози. Істотним недоліком його є відсутність єдиної захищеної середовища обробки інформації. Фрагментарні заходи захисту інформації забезпечують захист конкретних об'єктів корпоративної мережі тільки від конкретної загрози. Навіть невелике видозміна загрози веде до втрати ефективності захисту.

Комплексний підхід   орієнтований на створення захищеного середовища обробки інформації в корпоративній мережі, що зводить воєдино різнорідні заходи протидії загрозам. Організація захищеного середовища обробки інформації дозволяє гарантувати певний рівень безпеки корпоративної мережі, що можна віднести до безперечних достоїнств комплексного підходу. До його недоліків відносяться обмеження на свободу дій користувачів корпоративної мережі, чутливість до помилок установки і настройки засобів захисту, складність управління.

Комплексний підхід застосовують для захисту корпоративних мереж великих організацій або невеликих корпоративних мереж, що виконують відповідальні завдання або обробних особливо важливу інформацію. Порушення безпеки інформації в корпоративних мережах великих організацій може завдати величезної матеріальної шкоди, як самим організаціям, так і їх клієнтам. Тому такі організації змушені приділяти особливу увагу гарантіям безпеки і реалізовувати комплексний захист. Комплексного підходу дотримується більшість державних і великих комерційних підприємств і установ. Цей підхід знайшов своє відображення в різних стандартах.

Комплексний підхід до проблеми забезпечення безпеки заснований на розробленій для конкретної корпоративної мережі політики безпеки.

Визначення і цілі інформаційної безпеки.

У бесідах з фахівцями щодо захисту інформації найчастіше виявляється, що погляди і термінологія в цій щодо нової області розрізняються іноді майже до протилежних. При прямому питанні про визначення інформаційної безпеки можна почути такі різнорівневі терміни, як "захист даних", "контроль використання", "боротьба з хакерами" і т.д.

Тим часом існують сформовані визначення самої інформаційної безпеки і примикає до неї кола понять. Іноді вони розрізняються у різних фахівців (або шкіл). Трапляється, в визначеннях просто використовують синоніми, іноді - міняються місцями навіть цілі групи понять. Тому спочатку необхідно чітко визначитися, про що ж буде йти мова в даній статті. Хоча обидва автори отримували освіту в області інформаційної безпеки абсолютно незалежно один від одного, проте їх визначення і поняття практично збігаються, тому було вирішено використовувати саме цей підхід. Для всієї області знань, яка охоплюється цією книгою, буде використовуватися термін "інформаційна безпека". Іноді, особливо в класифікації зарубіжних агентств по найму на роботу, "інформаційна безпека" розглядається як один з підрозділів загальної безпеки, поряд з такими поняттями як "комп'ютерна безпека", "мережева безпека", "безпека телекомунікацій", "безпека даних".

На наш погляд, поняття "інформаційна безпека" більш широке, так як охоплює все, що взаємодіє з інформацією, і всі перераховані вище поняття - це підрозділи або окремі напрямки інформаційної безпеки.

Інформаційна безпека - це комплекс заходів, що забезпечує для охоплюється їм інформації наступні фактори:

• конфіденційність - можливість ознайомитися з інформацією (саме з даними або відомостями, що несуть смислове навантаження, а не з послідовністю біт їх представляють) мають в своєму розпорядженні тільки ті особи, хто володіє відповідними повноваженнями;
• цілісність - можливість внести зміну в інформацію (знову йдеться про смисловому вираженні) повинні мати тільки ті особи, хто на це уповноважений;
• доступність - можливість отримання авторизованого доступу до інформації з боку уповноважених осіб до відповідного санкціонований для роботи період часу.

Іноді можна зустріти визначення перерахованих факторів у варіанті від противного, наприклад розголошення або розкриття, модифікація (зміна або спотворення) і знищення або блокування. Головне, щоб не було спотворено зміст, закладений в зазначених визначеннях.

Це не повний список факторів, виділені саме ці три поняття, оскільки вони зазвичай зустрічаються практично у всіх визначеннях інформаційної безпеки і не викликають суперечок. На наш погляд, необхідно включити додаткові фактори і зрозуміти відмінність між ними, а саме:

• облік, т. е. все значимі дії особи, виконувані ним в рамках, контрольованих системою безпеки (навіть якщо вони не виходять за рамки певних для цієї особи правил), повинні бути зафіксовані і проаналізовані;
• неотрекаемость або апелліруемость (характерно для організацій, в яких функціонує обмін електронними документами з юридичної, фінансової або іншої значимістю), т. е. обличчя, що направило інформацію іншій особі, не може відректися від факту направлення інформації, а особа, яка отримала інформацію, не може відректися від факту її отримання.

Відмінність між двома цими факторами, можливо, видиме не відразу, полягає в наступному. Облік зазвичай ведеться засобами електронних реєстраційних журналів, які використовуються в основному тільки уповноваженими службами, і його основна відмінність - в регулярності аналізу цих журналів. Апелліруемость забезпечується засобами криптографії (електронно-цифровим підписом), і її характерна риса - можливість використання в якості доказового матеріалу в зовнішніх інстанціях, наприклад в суді, при наявності відповідного законодавства.

Механізми інформаційної безпеки

Перераховані об'єктивні чинники або цілі інформаційної безпеки забезпечуються застосуванням наступних механізмів або принципів:

• політика - набір формальних (офіційно затверджених або традиційносклалися) правил, які регламентують функціонування механізму інформаційної безпеки;
• ідентифікація - визначення (розпізнавання) кожного учасника процесу інформаційної взаємодії перед тим як до нього будуть застосовані якісь би там не було поняття інформаційної безпеки;
• аутентифікація - забезпечення впевненості в тому, що учасник процесу обміну інформацією ідентифікований вірно, т. е. справді є тим, чий ідентифікатор він подав;
• контроль доступу - створення і підтримання набору правил, що визначають кожному учаснику процесу інформаційного обміну дозвіл на доступ до ресурсів і рівень цього доступу;
• авторизація - формування профілю прав для конкретного учасника процесу інформаційного обміну (аутентифицированного або анонімного) з набору правил контролю доступу;
• аудит і моніторинг - регулярне відстеження подій, що відбуваються в процесі обміну інформацією, з реєстрацією та аналізом визначених значущих або підозрілих подій. Поняття "аудит" та "моніторинг" при цьому не однакові, так як перший передбачає аналіз подій постфактум, а друге наближене до режиму реального часу;
• реагування на інциденти - сукупність процедур або заходів, які проводяться при порушенні або підозрі на порушення інформаційної безпеки;
• управління конфігурацією - створення і підтримання функціонування середовища інформаційного обміну в працездатному стані і відповідно до вимог інформаційної безпеки;
• управління користувачами - забезпечення умов роботи користувачів в середовищі інформаційного обміну відповідно до вимог інформаційної безпеки.

В даному випадку під користувачами розуміються всі, хто використовує дану інформаційне середовище, в тому числі і адміністратори;
  управління ризиками - забезпечення відповідності можливих втрат від порушення інформаційної безпеки потужності захисних засобів (тобто витрат на їх побудову);
  забезпечення стійкості - підтримка середовища інформаційного обміну в мінімально допустимому працездатному стані і відповідність вимогам інформаційної безпеки в умовах деструктивних зовнішніх або внутрішніх впливів.

Таким чином, перераховано те, за рахунок чого досягаються певні вище цілі інформаційної безпеки (в деяких джерелах описані принципи, наприклад, аутентифікація, переносяться в цілі). На наш погляд, аутентифікація сама по собі не може бути метою інформаційної безпеки. Вона є лише методом визначення учасника інформаційного обміну, щоб далі визначити, яка, наприклад, політика щодо конфіденційності або доступності повинна бути застосована до даного учаснику.

Інструментарій інформаційної безпеки

Тепер розглянемо, які існують засоби або інструменти, якими реалізовані описані принципи або механізми. Природно, що навести повний список тут просто неможливо - він в значній мірі залежить від конкретної ситуації, в світлі якої розглядається той чи інший аспект інформаційної безпеки. Крім того, можливо, хто-небудь захоче перемістити деякі пункти зі списку механізмів в список засобів або навпаки. Наші міркування мають такий базис. Наприклад, персонал займається аудитом, який забезпечує облік. Значить, персонал - це засіб, аудит - механізм, а облік - мета. Або паролі, що забезпечують аутентифікацію, зберігаються в зашифрованому вигляді, аутентифікація передує, наприклад, дозволу на модифікацію. Значить, криптографія - засіб захисту паролів, паролі використовуються для механізму аутентифікації, аутентифікація передує забезпечення цілісності.

Перелічимо основні засоби (інструменти) інформаційної безпеки:

• персонал - люди, які будуть забезпечувати втілення в життя інформаційної безпеки у всіх аспектах, тобто розробляти, впроваджувати, підтримувати, контролювати і виконувати;
• нормативне забезпечення - документи, які створюють правове простір для функціонування інформаційної безпеки;
• моделі безпеки - схеми забезпечення інформаційної безпеки, закладені в дану конкретну інформаційну систему або середовище;
• криптографія - методи і засоби перетворення інформації в вигляд, що утруднює або робить неможливим несанкціоновані операції з нею (читання і / або модифікацію), разом з методами і засобами створення, зберігання і поширення ключів - спеціальних інформаційних об'єктів, що реалізують ці санкції;
• антивірусне забезпечення - засіб для виявлення і знищення шкідливого коду (вірусів, троянських програм і т. п.);
• міжмережеві екрани - пристрої контролю доступу з іншої інформаційної мережі в іншу;
• сканери безпеки - пристрої перевірки якості функціонування моделі безпеки для даної конкретної інформаційної системи;
• системи виявлення атак - пристрої моніторингу активності в інформаційному середовищі, іноді з можливістю прийняття самостійної участі у зазначеній активної діяльності;
• резервне копіювання - збереження надлишкових копій інформаційних ресурсів на випадок їх можливої \u200b\u200bвтрати або пошкодження;
• дублювання (резервування) - створення альтернативних пристроїв, необхідних для функціонування інформаційного середовища, призначених для випадків виходу з ладу основних пристроїв;
• аварійний план - набір заходів, призначених для втілення в життя, в разі якщо події відбуваються або відбулися не так, як було визначено правилами інформаційної безпеки;
• навчання користувачів - підготовка активних учасників інформаційного середовища для роботи в умовах відповідності вимогам інформаційної безпеки.

Можливо, деякі поняття надто укрупнені (криптографія), деякі, навпаки, деталізовані (сканери). Основною метою цього списку ставилося показати типовий набір, характерний для підприємства, яке розвиває у себе службу інформаційної безпеки.

Основні напрямки інформаційної безпеки

Тепер залишилося розглянути основні напрямки інформаційної безпеки, які іноді розрізняють між собою. Власне, на наш погляд їх всього два - фізична і комп'ютерна безопасность.Однако, з огляду на наявні відмінності у визначеннях, можна охарактеризувати їх наступним чином.

Фізична безпека - забезпечення схоронності самого обладнання, призначеного для функціонування інформаційного середовища, контроль доступу людей до цього устаткування. Додатково сюди може бути включено поняття захисту самих користувачів інформаційного середовища від фізичного впливу зловмисників, а також захисту інформації невіртуального характеру (твердих копій - роздруківок, службових телефонних довідників, домашніх адрес співробітників, зіпсованих зовнішніх носіїв і т. П.).

Комп'ютерна безпека (мережева безпека, телекомунікаційна безпеку, безпеку даних) - забезпечення захисту інформації в її віртуальному вигляді. Можливо виділяти етапи знаходження інформації в середовищі, і за цими принципами розділяти, наприклад, комп'ютерну (на місці створення, збереження або обробки інформації) і мережеву (при пересиланні) безпеку, але це, в принципі, порушує комплексну картину безпеки. Єдине, з чим логічно було б погодитися, - це термін безпеку даних, чи то пак, безпеку даних в рамках даної програми. Справа в тому, що в конкретному програмному комплексі модель безпеки може бути реалізована таким чином, що це вимагатиме окремого спеціаліста (або навіть служби) по її підтримці. У цьому випадку можливо розділити поняття безпеку даних (конкретного додатка) і безпеку мережі (решти інформаційного середовища).

Наступний етап передбачає створення умов, щоб ми говорили на одній мові, т. Е. Введення основного набору визначень.

Термінологія

Отже, для того, щоб говорити зрозумілою всім мовою, необхідно ввести ряд визначень. Список навмисно дещо розширено, ніж необхідно для даної книги, в тому сенсі що не всі зазначені тут терміни будуть використовуватися далі по тексту. З одного боку, це зроблено спеціально на допомогу тим, хто буде в подальшому самостійно створювати нормативні, методичні та інші матеріали з інформаційної безпеки. Деякі з цих документів, які, можливо, будуть носити складний або технічний характер, обов'язково потрібно випереджати розділом визначень щоб уникнути різночитань і спотворення сенсу. В цьому випадку можна буде взяти за основу цей розділ і або використовувати визначення, наведені тут, або при необхідності модифікувати їх.

Ретельна формулювання подібних визначень дуже багато важить, коли організація, що починає роботу з розвитку інформаційної безпеки, вступає в якісь формалізовані (наприклад, договірні) відносини з суб'єктами, які мають слабке уявлення про предмет (наприклад, зі своїми клієнтами, партнерами або постачальниками). Справа в тому, що іноді навіть прості і здаються очевидними поняття, такі як інформація або пароль, можуть сприйматися по-різному і в подальшому стати предметами спору. З іншого боку, читачеві немає необхідності запам'ятовувати всі зазначені тут терміни для успішного освоєння матеріалу статті. У міру необхідності при подальшому використанні необхідні визначення будуть повторені, можливо, в більш спрощеному варіанті.

Інформацією будемо називати дані, представлені в тому чи іншому вигляді, придатному для зберігання, обробки та / або передачі. Стосовно до інформаційної безпеки з практичної точки зору зручно виділити наступні форми інформації:

• електронна (електричні сигнали, області намагнічування і т. п.);
• друкована (роздруківки, книги і т. п.);
• візуальна (зображення на екрані монітора, слайди, плакати і т. п.);
• аудиальная (розмова людей, звукові автоінформатори і т. п.).

об'єктом будемо називати власне інформаційний ресурс, т. е. якийсь цілісний набір інформації, до якого входять дані, об'єднані спільною темою, завданням, способом обробки і т. п.
суб'єктом - користувача інформації або процес, який обробляє даний набір інформації (об'єкт) і враховується, стосовно до даного розгляду, в момент того чи іншого використання об'єкта.
Отже, об'єкт -   це якийсь пасивний, а суб'єкт - активний учасник процесу обміну інформацією.
Інформаційна система -   це якийсь потенційно відкритий набір суб'єктів, що впливають на набір об'єктів, причому суб'єкти однієї системи зазвичай мають спільну мету або цілі.
Інформаційний простір -   це сукупність інформаційних систем, що взаємодіють між собою, причому одна частина цих систем може мати інші, в тому числі прямо протилежні, інтереси, ніж інша.
Правила інформаційної безпеки - список дозволених і / або заборонених дій для суб'єктів інформаційної системи. Такі правила можуть бути визначені не тільки для людини (користувача, адміністратора і т. Д.), Але і для процесу (наприклад, процесу надання доступу на межсетевом екрані).
Права (англ. Rights) - набір дозволених дій (правил) для даного суб'єкта, частина профілю суб'єкта.

Несанкціонованим будемо вважати таку дію, яке виробляється суб'єктом (або частиною суб'єкта), для якого дана дія не визначено як дозволене (або визначено як заборонене) правилами інформаційної безпеки.

Засіб роботи з інформацією -   пристрій інформаційного забезпечення, за допомогою якого проводиться або забезпечується робота в інформаційній системі.
Загроза -   можливість реалізації порушення того чи іншого правила інформаційної безпеки.
Уразливість (англ. Vulnerability) - незахищеність або помилка в об'єкті або інформаційній системі, яка призводить або може призвести до виникнення загрози.
атака - практична реалізація загрози або спроба її реалізації з використанням тієї або іншої уразливості.
аварія -   незлоумишленное подія неординарного характеру, що несе деструктивний вплив на об'єкт або інформаційну систему.
Користувач - людина, суб'єкт інформаційної системи, що виконує в ній бізнес-функції, т. е. використовує об'єкт з метою виробництва.
Адміністратор - людина, суб'єкт інформаційної системи, що створює умови для роботи в ній користувачів.
контролер -   суб'єкт (не обов'язково людина!) інформаційної системи, що контролює використання інформаційної системи користувачами і адміністраторами відповідно до зумовленими правилами (правилами інформаційної безпеки).
зловмисник -   людина, суб'єкт інформаційної системи, який переслідує корисливі або деструктивні цілі, що суперечать бізнес-цілям системи.
Ідентифікатор (ім'я, логін) -   набір символів, який представляє унікальне найменування даного об'єкта або суб'єкта в даній (в іншій системі ім'я може повторитися) інформаційній системі. Дозволяє однозначно ідентифікувати користувача при вході його в систему, визначити його права в ній, фіксувати дії і т. П.
Пароль (англ. Password) -   секретна послідовність символів, пов'язана з суб'єктом і відома тільки йому, що дозволяє його аутентифицировать, т. е. підтвердити відповідність реальної суті суб'єкта висунутій їм при вході ідентифікатором.

Профіль (англ. Profde) -   набір установок і конфігурацій, специфічний для даного суб'єкта чи об'єкта і визначає його роботу в інформаційній системі.
Шифрування (англ. Encryption) -   процес приведення інформації в форму, при якій неможливо або суттєво ускладнено витяг з неї осмислених даних без володіння специфічними додатковими знаннями (ключем).
Дешифрування (розшифрування) (англ. Decryption) -   процес, зворотний процесу шифрування, т. е. відновлення за допомогою відповідного ключа інформації у вихідній формі, що дозволяє витягти з неї смислові дані.
криптоаналіз -   набір методів і засобів для виконання (або сам процес) дешифрування інформації без володіння необхідним ключем.
Електронний документ - набір даних в електронному поданні, який може бути шляхом стандартних перетворень представлений в зрозумілому людині вигляді, в тому числі як документ на папері; є неподільною одиницею обміну інформацією, т. е. він може бути переданий (отриманий) або не переданий (не отримана) тільки цілком; складається з елементів, які називаються реквізитами документа.
Закритий ключ (приватний ключ, секретний ключ) - секретна послідовність байт, призначена для формування суб'єктом електронного цифрового підпису для електронних документів.
Відкритий ключ (публічний ключ) -   сукупність електронних даних, пов'язана з закритим ключем і призначена для перевірки електронно-цифрового підпису у електронних документів. Відкритий ключ повинен бути в розпорядженні перевіряє боку.

В цьому розділі навмисне дається не зовсім повне визначення закритого і відкритого ключів. Дані визначення скоріше найбільш прикладні, так як зазначені ключі найчастіше використовуються для електронного цифрового підпису. Ці терміни необхідно вводити в тих випадках, коли розподіляється відповідальність за збереження секретних ключів і виникає необхідність своєчасного подання відкритих. Детально використання всіх видів ключів, а також шифрування і алгоритмам ЕЦП присвячена частина Кданной книги.

Електронний цифровий підпис (ЕЦП) (англ. Digital signature) -   блок даних певного формату, що формується на основі закритого ключа, що знаходиться в розпорядженні тільки уповноваженого суб'єкта, однозначно зіставляється з конкретним електронним документом і використовується для перевірки автентичності (авторства) і цілісності даного електронного документа.
Коректна електронний цифровий підпис - електронний цифровий підпис електронного документа, що дає позитивний результат при її перевірці відповідним відкритим ключем.
Модель безпеки -   набір принципів, схем і механізмів (іноді із зазначенням конкретних засобів і інструментів), призначених для забезпечення інформаційної безпеки в даній конкретній інформаційній системі.
Помилка - ненавмисна, що не планована заздалегідь акція (у вигляді дії або бездіяльності), що здійснюються суб'єктом (користувачем або процесом), яка представляє або може представляти загрозу інформаційній безпеці.
Шкідлива програма - виконуваний програмний модуль, скрипт, макрос або інший програмний код, створений з метою порушення інформаційної безпеки. Завданням шкідливої \u200b\u200bпрограми ставиться: мінімально - несанкціоноване використання частини інформаційних ресурсів, максимально - придбання повного контролю над об'єктом або інформаційною системою з метою її подальшого несанкціонованого використання. До шкідливим програмам відносять віруси і троянські програми.
вірус - шкідлива програма, основною властивістю якої є можливість автоматичного розмноження (можливо, з самомодіфікаціі) і поширення на нові інформаційні системи без контролю з боку творця. Зазвичай основною метою вірусів є виконання деструктивних дій, хоча зустрічаються віруси, створені для розваги. Найчастіше ніякої матеріальної вигоди творець вірусу від його функціонування не отримує, але іноді, наприклад, в рамках промислової конкурентної боротьби, створення вірусів може бути оплачено замовником.
Троянська програма, троян, троянський кінь (англ. Trojari) -   шкідлива програма, найчастіше включає в себе клавіатурний шпигун і виконує несанкціоновані користувачем і недокументовані дії, часом навіть з функціями віддаленого управління з боку зловмисника, створена з метою навмисного порушення інформаційної безпеки даної системи. Часто при цьому троянські програми маскують несанкціоновану діяльність виконанням ряду корисних для користувача документованих дій.

З розвитком мережевих технологій з'явилися троянські програми, що проникають в систему за принципом комп'ютерних вірусів. Подібні гібриди використовують з метою зловмисника властивості і першого і другого класу шкідливих програм. Найбільш складні з них, будучи "випущені на свободу" де-небудь в мережі підприємства і розмножуючись як звичайний вірус, можуть з часом дістатися до своєї основної мети, яка, можливо, добре захищена від прямих атак ззовні. Після цього троян виконує своє завдання щодо порушення безпеки і інформує творця про те, що його завдання виполнена.Прімітівние варіанти троянських програм можуть робити дрібні капості типу розсилки від імені користувача, необережно що запустив програму, погроз або лайки іншим користувачам мережі.

Закладка (апаратна, програмна) - шкідлива функціональність (програма), реалізована як одна з прихованих функцій системи або об'єкта. На відміну від троянських програм, що потрапляють в систему ззовні, створюється в переважній більшості розробниками системи. Додатково зустрічаються терміни - "задні двері", люк (англ. Trapdoor - недокументированная функція, закладена розробником при створенні системи / об'єкта і не ліквідована з яких-небудь причин, логічна бомба - спрацьовування функції відбувається при виконанні певних умов).
Довірче стан системи -   стан, при якому поведінка системи в плані інформаційної безпеки точно відповідає специфікації, в системі не функціонують шкідливі програми, не було і не існує можливості несанкціонованого доступу до даних на читання і / або модифікацію.
ПІН -    персональний ідентифікаційний номер, цифровий ідентифікатор, який присвоюється об'єкту або суб'єкту. Іноді використовується як аналог пароля, наприклад, в системах пластикових карт.
Токен (англ. Token) -   в загальному випадку носій даних, параметрів безпеки свого власника. Зазвичай якийсь зовнішній незалежний носій, призначений для зберігання довгих паролів, криптографічних ключів та іншої інформації з безпеки, яку людина не здатна зберігати в своїй пам'яті. Доступ до даних токена додатково може бути захищений паролем або ПІН;
Системний сміття (англ. System garbage) - набір даних, що використовуються системою або об'єктом для роботи і не призначений для стороннього аналізу, але з яких-небудь причин потрапив в розпорядження третіх осіб. Цікавим є для зловмисників, так як може зберігати дані про особливості функціонування системи, непряму інформацію про конфіденційних даних або навіть паролі і криптографічні ключі.
У зв'язку з цим терміном необхідно згадати поняття дамп пам'яті (англ. Memory dump) - "знімок"   стану оперативної пам'яті пристрою, який використовується для з'ясування причин збоїв при виході системи з ладу. Зазвичай створюється і зберігається у вигляді файлу на дисковому носії. У разі потрапляння до зловмисників може завдати дуже серйозної шкоди безпеці системи.
Стороннє програмне забезпечення -   програмне забезпечення, яке не авторизоване до використання в даному інформаційному просторі і не зареєстрована уповноваженими службами.

Ряд використовуваних далі термінів, безпосередньо не пов'язаних з інформаційною безпекою, перенесені в Глосарій, з тим щоб не захаращувати дану главу занадто великою кількістю інформаціі.Дополнітельно необхідно відзначити появу в тексті слів "організація", "корпорація", які є синонімами слова "підприємство" в сенсі тематики даної книги. Крім того, будуть зустрічатися терміни "бізнес-процес", "бізнес-логіка". В даному випадку слово "бізнес" означає "те, що зумовлено цілями виробництва даного підприємства".

Завдання і принципи організації служби інформаційної безпеки

У цьому розділі мова піде про необхідні бюрократичних процесах формування служби безпеки на підприємстві, призначених, скоріше, для керівників служби або для тих, хто професійно займається стратегією і тактикою структурного розвитку організації. Тому читачі, більш цікавляться технічними аспектами, можуть сміливо переходити до глави 4 - створення служби безопасноти.

Для тих, хто все-таки вирішить прочитати цю главу, відзначимо, що вирішення питань і проблем, що описуються тут, може виявитися корисним для запобігання виробничих конфліктів і неузгодженостей, які можуть виникнути в силу специфіки функціонування служби інформаційної безпеки.

Завдання служби інформаційної безпеки

Незважаючи на, здавалося б, пряму очевидність завдань служби інформаційної безпеки ( "служба безпеки повинна забезпечувати безпеку - що ж ще?"), Виникає безліч питань, що не кидаються в очі на перший погляд. Розіб'ємо ці питання або проблеми на наступні групи:

• розміщення служби інформаційної безпеки;
• взаємодія її з іншими службами;
• ієрархія підпорядкування.

Інакше кажучи, слід визначити, де в штатній структурі підприємства повинна розміщуватися служба інформаційної безпеки, як вона буде взаємодіяти з іншими підрозділами (особливо з підрозділом інформаційних технологій), скільки начальників повинно стояти між керівником служби безпеки і директором підприємства.

Існує ряд рекомендацій з питань розміщення, взаємодії та підпорядкування служби безпеки, як просунуті, в основному західні, орієнтовані на електронний світ, так і старі, ще радянські, які прийшли від перших відділів. На наш погляд, ці процедури дуже залежать від безлічі факторів конкретного підприємства, можливо навіть таких, як склалися неформальні взаємини між співробітниками. Якщо на перше місце на підприємстві ставиться ефективність роботи служби інформаційної безпеки, то такі аспекти неможливо не враховувати. Щоб не окреслювати жорстких рамок для всього цього, пропонуємо просто розглянути проблеми і відповісти для себе на ці запитання. З отриманих відповідей стане ясно, як і де повинна розташовуватися служба інформаційної безпеки на організаційному дереві підприємства.

Чим повинна займатися служба безпеки?

• Адмініструвати наявні засоби безпеки (міжмережеві екрани, антивірусні пакети, системи виявлення атак і ін.)?
• Розробляти моделі і схеми захисту інформації, приймати рішення про придбання нових засобів безпеки?
• Контролювати роботу користувачів інформаційного простору підприємства?
• Яких груп - тільки кінцевих користувачів або також і адміністраторів систем?
• Куди спрямований основний фокус уваги служби - на внутрішніх користувачів (за статистикою найбільше порушень інформаційної безпеки - як навмисне, так і не знаючи, - виникає зсередини підприємства) або на захист від доступу з зовнішнього інформаційного простору?

Без сумніву, питання інформаційної безпеки повинні враховуватися в кожному з перерахованих пунктів. Однак прикладне застосування може бути різним і залежати від безлічі причин, які зазвичай не передбачені західними рекомендаціями, наприклад таких як нестача кваліфікованого персоналу.

Прикладом різних рішень можуть бути дві наступні ситуації: служба інформаційної безпеки тільки робить аналіз ситуації, розробку моделі і приймає рішення про необхідність придбання засоби захисту, а його адміністрування проводиться в рамках звичайної роботи підрозділу інформаційних технологій. Протилежний варіант - придбання засобів захисту проводиться в рамках загальної стратегії розвитку інформаційних технологій підприємства, а конкретні роботи зі встановлення та обслуговування засоби захисту виробляє служба інформаційної безпеки.

Як відбувається взаємодія зі службою інформаційних технологій, а саме з адміністраторами мереж і систем?

• Фахівці інформаційної безпеки мають повний контроль над інформаційною системою, рівний прав адміністратора системи.
• Фахівці з безпеки беруть часткова участь в адмініструванні системи, наприклад в налаштуванні прав користувачів.
• Фахівці з безпеки мають доступ в інформаційній системі до всіх об'єктів, але мають право тільки читати відомості про них.
• Фахівці інформаційної безпеки не мають доступу в систему, використовують для контролю роботи адміністраторів реєстраційні журнали, конфігураційні звіти і т. П.

Всі ці варіанти вказані навмисно, так як питання взаємовідносин служби безпеки і, скажімо, адміністратора локальної мережі може бути дуже напруженим, особливо якщо служба тільки створюється, а адміністратор вже кілька років виконував свої функції.

• Як бути, якщо адміністратор дійсно чесно працює довгий час, а фахівці з безпеки тільки прийшли в організацію, але вимагають значних прав в системі для себе і обмеження прав адміністратора? Що робити, якщо адміністратор в цьому випадку вирішив покинути організацію?
• А що якщо кваліфікація фахівців з безпеки по конкретній інформаційній системі значно нижче, ніж у адміністратора, і вони можуть, при наявності певних прав, внести перешкоди в роботу системи?
• Що якщо система влаштована таким чином, що для того, щоб контролювати адміністратора, необхідний повний контроль над всією системою?

Питань більше, ніж відповідей, рішення необхідно приймати з урахуванням всіх цих проблем.

Можливо, болючий процес передачі або розподілу прав доведеться розтягнути на тривалий період, поки фахівці служби безпеки не придбають відповідний досвід, а адміністратори поступово не звикнуть до часткового, а потім і повного контролю.

Скільки ступенів прийняття рішення з питань інформаційної безпеки має існувати?

Якщо керівник служби інформаційної безпеки безпосередньо підпорядкований директору підприємства і вносить проекти рішень безпосередньо, то це дає можливість зловживання своїм становищем (так як топ-менеджер швидше за все не дуже компетентний в інформаційних технологіях, але на слово "безпека" реагує негайним візуванням всіх документів). якщо процес узгодження рішення надто розподілений по керівникам і розтягнутий в часі, є ризик, що станеться запізнювання в прийнятті життєво важливого рішення (втім, ак і для будь-якої іншої служби). Крім того, якщо представники точок узгодження не компетентні в питанні безпеки, то багато часу непродуктивно буде витрачено на з'ясування проблем і узгодження думок.

• Погоджено чи процес прийняття рішення з інформаційної безпеки з загальною стратегією розвитку інформаційних технологій?
• Чи не будуть в інформаційному просторі підприємства встановлені засоби захисту, які внесуть перешкоди в роботу інших інформаційних систем?

В даному випадку існують конкретні рекомендації, які радять підпорядковувати службу інформаційної безпеки не безпосередньо директору, а якомусь комітету з безпеки, в якому будуть присутні, з одного боку, фахівці, здатні оцінити якість пропонованого рішення, з іншого - керівники, здатні затвердити прийняте рішення до обов'язковому виконанню.