Понятие безопасности информационных систем

Глава 10. ЗАЩИТА ИНФОРМАЦИИ

Развитие информационных систем и технологий приводит к их уязвимости. Этому способствуют такие факторы, как постоянно возрастающие объемы обрабатываемых данных, расширение круга пользователей, имеющих доступ к информационным ресурсам, недостаточный уровень защиты аппаратных и программных средств компьютеров, а также коммуникационных систем и др. Учитывая эти факты, безопасность информации в процессе ее сбора, хранения, обработки и передачи приобретает исключительно важное значение.

Под безопасностью информации принято понимать ее способность сохранять неизменность свойств при внешних воздействиях. Сюда относятся:

доступность информации- т.е. способность обеспечивать своевременный и беспрепятственный доступ к ней;
целостность информации — способность существовать в неискаженном виде (включает физическую целостность данных, логическую структуру и содержание);
конфиденциальность информации — т.е. способность системы сохранять информацию втайне от тех, кто не имеет полномочий на доступ к ней.

Нарушение безопасности информации может нанести ущерб тому или иному субъекту информационных отношений.

Создание всеобщего информационного пространства, породила необходимость решения комплексной проблемы защиты информации. Напомним, что информация может являться предметом собственности, может составлять государственную, служебную или коммерческую тайну и подлежит защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации. В РФ в основу организации работы с информацией положен «Федеральный закон об информации, информатизации и защите информации» от 10 января 2003 г. № 15-ФЗ. Защитить информацию — это значит:

обеспечить физическую целостность информации, т.е. не допустить искажений или уничтожения элементов информации;
не допустить подмены (модификации) элементов информации при сохранении ее целостности;
не допустить несанкционированного получения информации лицами или процессами, не имеющими на это соответствующих полномочий;
быть уверенным в том, что передаваемые владельцем информации ресурсы будут использоваться только в соответствии с обговоренными сторонами условиями.

Статистика свидетельствует, что основными причинами нарушений информационной безопасности являются : стихийные бедствия и аварии, сбои и отказы оборудования, последствия ошибок проектирования, ошибки эксплуатации, преднамеренные действия нарушителей и злоумышленников.

Современные компьютерные системы и сети являются весьма сложными объектами (подверженными влиянию чрезвычайно большого числа факторов), поэтому формализовать задачу описания единого и полного множества угроз не представляется возможным. В этой связи применяют разные базовые признаки классификации угроз безопасности. Например.

1. По природе возникновения (объективные природные явления, не зависящие от человека, и субъективные действия, вызванные деятельностью человека).

2. По степени преднамеренности (ошибки персонала и преднамеренное действие, для получения несанкционированного доступа к информации).

3. По степени воздействия на компьютерные системы (пассивные угрозы — сбор и хищение информации, активные угрозы — внедрение программных или аппаратных закладок и вирусов для модификации информации или дезорганизации работы).

4. По способу доступа к ресурсам КС (получение паролей и прав доступа, обход средств защиты, использование недокументированных возможностей операционной системы и др.).

5. По текущему месту расположения информации в компьютерной системе(внешние запоминающие устройства, оперативная память, монитор или иное отображающее устройство и т.д.).

Процессы по нарушению надежности информации можно подразделить на случайные и злоумышленные (преднамеренные). В первом случае их источниками являются ошибочные действия людей, технические сбои и др., во втором случае — злоумышленные. Проблема защиты информации в системах электронной обработки возникла практически одновременно с их созданием. Особенно широк размах компьютерных преступлений в системах обработки финансово-банковской информации. Надо признать, что, несмотря на разработку сложнейших средств защиты, колоссальные финансовые затраты, любая компьютерная система защиты пока еще не является полностью надежной от ее взлома.

Причинами случайных воздействий при функционировании компьютерных систем могут быть:

отказы и сбои аппаратуры (особенно серверов хранения информации и элементов, в которых осуществляется преобразование данных);
помехи в каналах и на линиях связи (от воздействия внешней среды);
аварийные ситуации;
схемные и системотехнические ошибки и просчеты разработчиков и производителей ПК;
алгоритмические и программные ошибки;
ошибки человека при работе с ПК.

Злоумышленные или преднамеренные угрозы — результат активного воздействия человека на объекты и процессы по самым различным причинам (материальный интерес, желание навредить, развлечение и др.). Лиц, которые используют свои знания для несанкционированного доступа к информационным ресурсам, к получению конфиденциальной и секретной информации, называют хакерами.

Заметим, что любая система защиты увеличивает время доступа к информации, поэтому построение защищенных компьютерных систем не ставит целью надежно защититься от всех классов угроз. Уровень системы защиты — это компромисс между понесенными убытками от потери конфиденциальности информации, с одной стороны, и убытками от усложнения, удорожания компьютерной системы и увеличения времени доступа к ресурсам от введения систем защиты, с другой стороны.

Методы защиты информации

Для обеспечения безопасности информации в личных компьютерах и особенно в офисных системах и компьютерных сетях проводятся различные мероприятия, объединяемые понятием «система защиты информации».

Система защиты информации — это совокупность организационных (административных) и технологических мер, программно-технических средств, правовых и морально-этических норм, направленных на противодействие угрозам нарушителей с целью сведения до минимума возможного ущерба пользователям и владельцам системы.

Организационно-административные средства защиты сводятся к регламентации доступа к информационным и вычислительным ресурсам, функциональным процессам систем обработки данных, к регламентации деятельности персонала и др. Их цель — в наибольшей степени затруднить или исключить возможность реализации угроз безопасности.

Наиболее типичные организационно-административные средства:

создание контрольно-пропускного режима на территории, где располагаются средства обработки информации;
мероприятия по подбору персонала, связанного с обработкой данных;
хранение носителей информации, представляющих тайну, в сейфах, не доступных для посторонних лиц;
организация защиты от установки прослушивающей аппаратуры в помещениях, связанных с обработкой информации;
организация учета использования и уничтожения документов (носителей) с конфиденциальной информацией;
разработка должностных инструкций и правил по работе с компьютерными средствами и информационными массивами и др.

Технические средства защиты призваны создать некоторую физически замкнутую среду вокруг объекта и элементов защиты. В этом случае предусматриваются:

физическая защита элементов информационных систем (кодовые замки, охранная сигнализация и др.);
ограничение электромагнитного излучения (путем экранирования помещений);
автономные источники электропитания; дублирование информации.

Программные средства и методы защиты активнее и шире других применяются для защиты информации в персональных компьютерах и компьютерных сетях, реализуя такие функции защиты:

разграничение и контроль доступа к ресурсам (при этом права доступа определяются руководителем организации и прописываются системным администратором, а процедура проверки прав доступа включает авторизацию и аутентификацию: авторизация предполагает проверку уровня доступа к объекту, а аутентификация — проверку подлинности пользователя);
регистрация и анализ протекающих процессов, событий, пользователей;
предотвращение возможных разрушительных воздействий на ресурсы.

Технологические средства защиты информации — это комплекс мероприятий, органично встраиваемых в технологические процессы преобразования данных. Среди них:

создание архивных копий носителей;
ручное или автоматическое сохранение обрабатываемых файлов во внешней памяти компьютера;
регистрация пользователей компьютерных средств в журналах;
автоматическая регистрация доступа пользователей к тем или иным ресурсам;
разработка специальных инструкций по выполнению всех технологических процедур и др.

К правовым мерам и средствам защитыотносятся действующие в стране законы, нормативные акты, регламентирующие правила обращения с информацией и ответственность за их нарушение; нормы поведения и др.

По содержанию различают преступления экономические, против общественных интересов и против частных интересов.

По способу совершения компьютерных преступлений различают:

несанкционированный доступ и перехват информации;
изменение компьютерных данных;
компьютерное мошенничество;
незаконное копирование программ и баз данных;
компьютерный саботаж.

Основным методом правового обеспечения является уголовная и административная ответственность.

Статьи к прочтению:

004. Безопасность информационных систем — Антон Карпов

Похожие статьи: