Защита информационной системы

     - доступность информации, т.е. свойство системы (среды, средств и технологий ее обработки), в которой циркулирует информация, характеризующаяся способностью обеспечивать своевременный беспрепятственный доступ субъектов к интересующим их данным и готовностью соответствующих автоматизированных служб к выполнению поступающих от субъектов запросов;

- целостность информации, т.е. свойство информации, заключающееся в ее существовании в неискаженном виде (неизменном по отношению к некоторому фиксированному состоянию). Точнее говоря, субъектов интересует обеспечение более широкого свойства - достоверности информации, которое складывается из адекватности (полноты и точности)

     отображения состояния предметной области и  целостности информации, т.е. ее неискаженности;

     - конфиденциальность информации - субъективно определяемая (предписываемая) характеристика (свойство) информации, указывающая на необходимость введения ограничений на круг субъектов, которые имеют доступ к данной информации, и обеспечиваемая способностью системы (среды) сохранять указанную информацию в тайне от субъектов, не имеющих полномочий на доступ к ней. Объективные предпосылки подобного ограничения доступности информации для одних субъектов заключены в необходимости защиты законных интересов других субъектов информационных отношений. 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

2. Основные  понятия

     Дадим несколько определений. Защита информации - это средства обеспечения безопасности информации. Безопасность информации - защита информации от утечки, модификации  и утраты. По существу, сфера безопасности информации - не защита информации, а  защита прав собственности на нее  и интересов субъектов информационных отношений. Утечка информации - ознакомление постороннего лица с содержанием  секретной информации. Модификация  информации - несанкционированное изменение  информации, корректное по форме и  содержанию, но другое по смыслу. Утрата информации - физическое уничтожение  информации.

     Цель  защиты информации - противодействие  угрозам безопасности информации. Угроза безопасности информации - действие или  событие, которое может привести к разрушению, искажению или несанкционированному использованию информационных ресурсов (т.е. к утечке, модификации и утрате), включая хранимую, передаваемую и  обрабатываемую информацию, а также  программные и аппаратные средства. Поэтому для обеспечения безопасности информации необходима защита всех сопутствующих  компонентов информационных отношений (т.е. компонентов информационных технологий и автоматизированных систем, используемых субъектами информационных отношений):

• оборудования (технических средств);
• программ (программных средств);
• данных (информации);
• персонала.

С этой целью в соответствующих организациях и на соответствующих объектах строится система защиты. Система защиты - это совокупность (комплекс) специальных мер правового (законодательного) и административного характера, организационных мероприятий, физических и технических (программно-аппаратных) средств защиты, а также специального персонала, предназначенных для обеспечения безопасности

     информации, информационных технологий и автоматизированной системы в целом. Для построения эффективной системы защиты необходимо провести следующие работы:

     1) определить угрозы безопасности  информации;

     2) выявить возможные каналы утечки  информации и несанкционированного  доступа (НСД) к защищаемым  данным;

     3) построить модель потенциального  нарушителя;

     4) выбрать соответствующие меры, методы, механизмы и средства защиты;

     5) построить замкнутую, комплексную,  эффективную систему защиты, проектирование  которой начинается с проектирования  самих автоматизированных систем  и технологий.

     При проектировании существенное значение придается предпроектному обследованию объекта. На этой стадии:

• устанавливается наличие секретной (конфиденциальной) информации в разрабатываемой АИТУ, оценивается уровень ее конфиденциальности и объем;
• определяются режимы обработки информации (диалоговый, телеобработка и режим реального времени), состав комплекса технических средств и т.д.;
• анализируется возможность использования имеющихся на рынке сертифицированных средств защиты информации;
• определяется степень участия персонала, функциональных служб, специалистов и вспомогательных работников объекта автоматизации в обработке информации, характер их взаимодействия между собой и со службой безопасности;
• определяются мероприятия по обеспечению режима секретности на стадии разработки.

           Для создания эффективной системы защиты разработан ряд стандартов.     Главная задача стандартов информационной безопасности –

создать основу для взаимодействия между  производителями, потребителями и  экспертами по квалификации продуктов  информационных технологий. Каждая из этих групп имеет свои интересы и  взгляды на проблему информационной безопасности.

     Наиболее  значимыми стандартами информационной безопасности являются (в хронологическом  порядке): Критерии безопасности компьютерных систем Министерства обороны США («Оранжевая книга»), Руководящие документы Гостехкомиссии России, Европейские критерии безопасности информационных технологий, Федеральные критерии безопасности информационных технологий США, Канадские критерии безопасности компьютерных систем и Единые критерии безопасности информационных технологий.

 

3. Угрозы безопасности

 

     Основными видами угроз безопасности информационных технологий и информации (угроз интересам  субъектов информационных отношений) являются:

     - стихийные бедствия и аварии (наводнение, ураган, землетрясение, пожар и т.п.);

     - сбои и отказы оборудования (технических средств) АИТУ;

     - последствия ошибок проектирования и разработки компонентов АИТУ (аппаратных средств, технологии обработки информации, программ, структур данных и т.п.);

     - ошибки эксплуатации (пользователей, операторов и другого персонала);

     - преднамеренные действия нарушителей и злоумышленников (обиженных лиц из числа персонала, преступников, шпионов, диверсантов и т.п.).

     Угрозы  безопасности можно классифицировать по различным признакам. По результатам  акции: 1) угроза утечки; 2) угроза модификации; 3) угроза утраты. По нарушению свойств  информации: а) угроза нарушения конфиденциальности обрабатываемой информации; б) угроза нарушения целостности обрабатываемой информации; в) угроза нарушения работоспособности  системы (отказ в обслуживании), т.е. угроза доступности. По природе возникновения: 1) естественные; 2) искусственные.

     Естественные  угрозы - это угрозы, вызванные воздействиями на АИТУ и ее элементы объективных физических процессов или стихийных природных явлений.

         Искусственные угрозы - это угрозы АИТУ, вызванные деятельностью человека. Среди них, исходя и мотивации действий, можно выделить:

а) непреднамеренные (неумышленные, случайные) угрозы,   вызванные

ошибками  в проектировании АИТУ и ее элементов, ошибками в программном обеспечении, ошибками в действиях персонала  и т.п.; б) преднамеренные (умышленные) угрозы, связанные с корыстными устремлениями  людей (злоумышленников). Источники  угроз по отношению к информационной технологии могут быть внешними или  внутренними (компоненты самой АИТУ - ее аппаратура, программы, персонал).

     Основные  непреднамеренные искусственные угрозы АИТУ (действия, совершаемые людьми случайно, по незнанию, невнимательности или халатности, из любопытства, но без злого умысла):

     1) неумышленные действия, приводящие  к частичному или полному отказу  системы или разрушению аппаратных, программных, информационных ресурсов  системы (неумышленная порча оборудования, удаление, искажение файлов с  важной информацией или программ, в том числе системных и  т.п.);

     2) неправомерное включение оборудования  или изменение режимов работы  устройств и программ;

     3) неумышленная, порча носителей информации;

     4) запуск технологических программ, способных при некомпетентном  использовании вызывать потерю  работоспособности системы (зависания  или зацикливания) или необратимые  изменения в системе (форматирование  или реструктуризацию носителей  информации, удаление данных и  т.п.);

     5) нелегальное внедрение и использование  неучтенных программ (игровых, обучающих,  технологических и др., не являющихся  необходимыми для выполнения  нарушителем своих служебных  обязанностей) с последующим необоснованным  расходованием ресурсов (загрузка  процессора, захват оперативной  памяти и памяти на внешних  носителях);

     6) заражение компьютера вирусами;

     7) неосторожные действия, приводящие  к разглашению конфиденциальной  информации или делающие ее  общедоступной; 

     8) разглашение, передача или утрата  атрибутов разграничения доступа  (паролей, ключей шифрования, идентификационных  карточек, пропусков и т.п.).

     9) проектирование архитектуры системы,  технологии обработки данных, разработка  прикладных программ с возможностями,  представляющими угрозу для работоспособности  системы и безопасности информации;

     10) игнорирование организационных  ограничений (установленных правил) при ранге в системе;

     11) вход в систему в обход средств  зашиты (загрузка посторонней операционной  системы со сменных магнитных  носителей и т.п.);

     12) некомпетентное использование, настройка  или неправомерное отключение  средств защиты персоналом службы  безопасности;

     13) пересылка данных по ошибочному  адресу абонента (устройства);

     14) ввод ошибочных данных;

     15) неумышленное повреждение каналов  связи.

     Основные  преднамеренные искусственные угрозы характеризуются возможными путями умышленной дезорганизации работы, вывода системы из строя, проникновения  в систему и несанкционированного доступа к информации:

     а) физическое разрушение системы (путем  взрыва, поджога и т.п.) или вывод  из строя всех или отдельных наиболее важных компонентов компьютерной системы (устройств, носителей важной системной  информации, лиц из числа персонала  и т.п.);

     б) отключение или вывод из строя  подсистем обеспечения функционирования вычислительных систем (электропитания, охлаждения и вентиляции, линий связи  и т.п.);

в) действия по дезорганизации функционирования системы (изменение режимов работы устройств  или программ, забастовка, саботаж  персонала,

постановка  мощных активных радиопомех на частотах работы устройств системы и т.п.);

     г) внедрение агентов в число  персонала системы (в том числе, возможно, и в административную группу, отвечающую за безопасность);

     д) вербовка (путем подкупа, шантажа и т.п.) персонала или отдельных пользователей, имеющих определенные полномочия;

     е) применение подслушивающих устройств, дистанционная фото- и видеосъемка  и т.п.;

     ж) перехват побочных электромагнитных, акустических и других излучений  устройств и линий связи, а  также наводка активных излучений  на вспомогательные технические  средства, непосредственно не участвующие  в обработке информации (телефонные линии, сети питания, отопления и  т.п.);