Защита информации

1. Предмет, основные понятия

 

"По-настоящему защищенной  можно считать лишь систему, которая выключена, замурована в бетонный корпус, заперта в помещении со свинцовыми стенами и охраняется вооруженным караулом, - но и в этом случае сомнения не оставляют меня". Юджин Х. Спаффорд

 

Развитие общества в последнее  время явно приобрело так называемый постиндустриальный характер. То есть на смену промышленным (индустриальным) приоритетам в развитии производства и других сфер жизнедеятельности человека приходит информационная экономика как новая система взглядов, ценностей, законов и правил, сопровождающая глобальную информатизацию общества. Уже говорят об "информационной эре", в истории цивилизации, к которому человечество приблизилось достаточно близко, чтобы ощутить необходимость регламентации и урегулирования многих проблем, возникших в связи  с информационным обменом и производством новых информационных ресурсов.

К такой проблеме можно отнести  обострившийся в последнее время  вопрос защиты информации, ставшей  одновременно и более уязвимой, и значимой для многих отраслей экономики и политики. Информатизация общества, которая заключается в распространении и внедрении новейших информационных технологий и средств информационно-вычислительной техники, связи и телекоммуникаций, за счет чего информация перестает быть абстрактной, и обретает стоимость и принадлежность определенным субъектам. Информации в современных условиях присущи все свойства товара и собственности, которые являются основными компонентами экономики, что делает её (информацию) объектом интересов самого различного характера (коммерческого, социального, криминального и пр.).

Совсем недавно появились такие  словосочетания, как "информационная безопасность", "критичная информация", "коммерческая тайна" и пр. Все эти понятия раскрывают сущность проблемы под единым названием "защита информации".

Понимание проблемы информационной безопасности начинается с представления о существующих видах угроз, которым может подвергаться информация, а также факторах и обстоятельствах, оказывающих влияние на состояние информационной безопасности.

В условиях острой конкурентной борьбы между предприятиями, фирмами и банками информация становится чрезвычайно критичным элементом, так как существенно затруднен контроль за её циркуляцией, обработкой, хранением и использованием. Недостаточно развито нормативно-правовое поле обеспечения сохранности конфиденциальных сведений, и практически невозможно сразу установить факт и канал утечки информации. Критичность информации обуславливается еще и хорошо развитым технико-технологическим обеспечением злоумышленников ввиду того, что существует целая отрасль в промышленности, осуществляющая разработку и производство специальных средств и технологий, направленных на нарушение защитных мер и несанкционированный доступ к информации.

Под понятием "критичная информация" понимается информация, несанкционированное копирование, хищение, разглашение (распространение, опубликование), модификация, уничтожение или использование которой может нанести существенный моральный или материальный ущерб её собственнику или владельцу, а также третьей стороне, интересы которой данная информация затрагивает.

 

 

2. Угрозы безопасности информации и каналы утечки информации

 

Основными типами угроз информации, осуществляемыми путем преднамеренного или непреднамеренного воздействия на неё являются следующие.

1. Преднамеренные воздействия: 

• перехват (в случае реализации данного вида угроз становится возможным копирование, чтение, разглашение или использование сведений закрытого характера);
• хищение (в этом случае злоумышленнику представляются широчайшие возможности осуществления своих намерений);
• модификация (угрозы данного типа осуществляются путем несанкционированного доступа и чреваты уничтожением информации или её фальсификацией);
• разрушение (угрозы данного типа имеют, как правило, одноразовый характер проявления).

2. Непреднамеренные воздействия:

• отказы и сбои устройств или программ;
• угрозы, проявляемые в результате неаккуратности или непрофессионализма сотрудников при обработке, хранении или передаче информации;
• стихийные бедствия.

Под информационной безопасностью  понимается такое состояние информационных систем, при котором угрозы либо отсутствуют вообще, либо приняты соответствующие эффективные меры по их нейтрализации. К самым общим и наиболее часто обнаруживаемым источникам угроз относятся:

• люди;
• документы;
• публикации;
• технические носители;
• технические средства обеспечения производственной и трудовой деятельности;
• продукция;
• промышленные и производственные отходы.

Кроме того, критичная информация может несанкционированно передаваться:

• путем хищения носителей (магнитных дисков, лент, документов и пр.); негласного просмотра информации, отображенной на экране монитора ЭВМ;
• подключения к устройствам передачи, обработки и хранения информации специально разработанных аппаратных средств; внедрения резидентных программ;
• регистрации и анализа побочных электромагнитных излучений средств электронно-вычислительной техники, связи и телекоммуникаций;
• установки подслушивающих и передающих устройств и т.д.

Защита информации представляет собой  комплекс регулярно используемых средств и методов, принимаемых мер и осуществляемых мероприятий с целью систематического обеспечения требуемой надежности информации, генерируемой, хранящейся и обрабатываемой на каком-либо объекте какой-либо информационной системы, а также передаваемой по каким-либо каналам. Защита должна носить системный характер, то есть для получения наилучших результатов все разрозненные виды защиты информации должны быть объединены в систему. Она должна представлять собой механизм взаимодействующих элементов, предназначенных для выполнения задач по обеспечению информационной безопасности. Комплексная система защиты информации, включает в себя:

• организационную защиту информации;
• правовую защиту информацию;
• программно-аппаратную защиту информации;
• инженерно-техническую защиту информации.

Качество (надежность и эффективность) защиты зависит не только от видов  составляющих системы, но и от их полноты, которая может быть обеспечена только при учете всех факторов и обстоятельств, сопутствующих функционированию информационной системы. Поэтому комплексная система защиты информации призвана объединить логические и технологические составляющие защиты, учитывая все факторы, которые оказывают или могут оказывать влияние на качество защиты.

Комплексная система защиты информации предназначена обеспечивать, с одной стороны, организацию и обеспечение надежных механизмов защиты, а с другой - управление механизмами защиты информации. В связи с этим, кроме принятия организационных мер и внедрения программно-аппаратных и инженерно-технических средств, руководством должна предусматриваться организация четкой и отлаженной системы управления защитой информации на предприятии.

Множество требований к комплексной системе защиты информации не ограничивается только описанными. В большинстве случаев они предъявляются с учетом условий и параметров работы конкретных информационных систем и стоящих перед ними функциональных задач.

Защита информации подразумевает так же защиту авторских, патентных и прочих прав собственников и владельцев информации, защиту сведений личного характера от несанкционированного разглашения или использования и защиту государственной тайны, что способствует укреплению и поддержанию в России как экономической, так и социально-политической стабильности.

 

3. Создание политики безопасности

Политика безопасности – это  комплекс превентивных мер по защите конфиденциальных данных и информационных процессов на предприятии. Политика безопасности включает в себя требования в адрес персонала, менеджеров и технических служб. Основные напрвления разработки политики безопасности:

• определение какие данные и насколько серьезно необходимо защищать,
• определение кто и какой ущерб может нанести фирме в информационном аспекте,
• вычисление рисков и определение схемы уменьшения их до приемлимой величины.

Существуют две системы оценки текущей ситуации в области информационной безопасности на предприятии. Они получили образные названия "исследование снизу вверх" и "исследование сверху вниз". Первый метод достаточно прост, требует намного меньших капитальных вложений, но и обладает меньшими возможностями. Он основан на известной схеме : "Вы – злоумышленник. Ваши действия ?". То есть служба информационной безопасности, основываясь на данных о всех известных видах атак, пытается применить их на практике с целью проверки, а возможно ли такая атака со стороны реального злоумышленника.

Метод "сверху вниз" представляет собой, наоборот, детальный анализ всей существующей схемы хранения и обработки информации. Первым этапом этого метода является, как и всегда, определение, какие информационные объекты и потоки необходимо защищать. Далее следует изучение текущего состояния системы информационной безопасности с целью определения, что из классических методик защиты ифнормации уже реализовано, в каком объеме и на каком уровне. На третьем этап производится классификация всех информационных объектов на классы в соответствии с ее конфиденциальностью, требованиями к доступности и целостности (неизменности).

Далее следует выяснение насколько  серьезный ущерб может принести фирме раскрытие или иная атака  на каждый конкретный информационный объект. Этот этап носит название "вычисление рисков". В первом приближении риском называется произведение "возможного ущерба от атаки" на "вероятность такой атаки". Существует множество схем вычисления рисков, остановимся на одной из самых простых.

Ущерб от атаки может быть представлен  неотрицательным числом в приблизительном  соответствии со следующей таблицей :

Величина ущерба	Описание
0	Раскрытие ифнормации принесет ничтожный  моральный и финансовый ущерб фирме
1	Ущерб от атки есть, но он незначителен, основные финансовые операции и положение фирмы на рынке не затронуты
2	Финансовые операции не ведутся в течение некоторого времени, за это время фирма терпит убытки, но ее положение на рынке и количество клиентов изменяются минимально
3	Значительные потери на рынке и  в прибыли. От фирмы уходит ощутимая часть клиентов
4	Потери очень значительны, фирма на период до года теряет положение на рынке. Для восстановления положения требуются крупные финансовые займы.
5	Фирма прекращает существование

Вероятность атаки представляется неотрицательным числом в приблизительном соответствии со следующей таблицей :

Вероятность	Средняя частота появления
0	Данный вид атаки отсутствует
1	реже, чем раз в год
2	около 1 раза в год
3	около 1 раза в месяц
4	около 1 раза в неделю
5	практически ежедневно

Необходимо отметить, что классификацию  ущерба, наносимого атакой, должен оценивать владелец информации, или работающий с нею персонал. А вот оценку вероятности появления атаки лучше доверять техническим сотрудникам фирмы.

Следующим этапом составляется таблица  рисков предприятия. Она имеет следующий  вид :

Описание атаки	Ущерб	Вероятность	Риск (=Ущерб*Вероятность)
Спам (переполнение почтового ящика)	1	4	4
Копирование жесткого диска  из центрального офиса	3	1	3
...	...	...	2
Итого :			9

На этапе анализа таблицы  рисков задаются некоторым максимально  допустимым риском, например значением 7. Сначала проверяется каждая строка таблицы на не превышение риска этого значения. Если такое превышение имеет место, значит, данная строка – это одна из первоочередных целей разработки политики безопасности. Затем производится сравнение удвоенного значения (в нашем случае 7*2=14) с интегральным риском (ячейка "Итого"). Если интегральный риск превышает допустимое значение, значит, в системе набирается множество мелких огрешностей в системе безопасности, которые в сумме не дадут предприятию эффективно работать. В этом случае из строк выбираются те, которые дает самый значительный вклад в значение интегрального риска и производится попытка их уменьшить или устранить полностью.

На самом ответственном этапе  производится собственно разработка политики безопасности предприятия, которая обеспечит надлежащие уровни как отдельных рисков, так и интегрального риска. При ее разработке необходимо, однако, учитывать объективные проблемы, которые могут встать на пути реализации политики безопасности. Такими проблемами могут стать законы страны и международного сообщества, внутренние требования корпорации, этические нормы общества.

После описания всех технических и  административных мер, планируемых к реализации, производится расчет экономической стоимости данной программы. В том случае, когда финансовые вложения в программу безопасности являются неприемлимыми или просто экономически невыгодными по сравнению с потенциальным ущербом от атак, производится возврат на уровень, где мы задавались максимально допустимым риском 7 и увеличение его на один или два пункта.