Основные понятия безопасности информации

     Одной из важных проблем информационной безопасности является организация защиты электронных данных и электронных документов. Для их кодирования, с целью удовлетворения требованиям обеспечения безопасности данных от несанкционированных воздействий на них, используется электронная цифровая подпись (ЭЦП).

     Цифровая подпись представляет последовательность символов. Она зависит от самого сообщения и от секретного ключа, известного только подписывающему это сообщение. Первый отечественный стандарт ЭЦП появился в 1994 году. Вопросами использования ЭЦП в России занимается Федеральное агентство по информационным технологиям (ФАИТ).

     Технические средства защиты используются в различных ситуациях, входят в состав физических средств защиты и программно-технических систем, комплексов и устройств доступа, видеонаблюдения, сигнализации и других видов защиты. В простейших ситуациях для защиты персональных компьютеров от несанкционированного запуска и использования имеющихся на них данных предлагается устанавливать устройства, ограничивающие доступ к ним, а также работать со съёмными жёсткими магнитными и магнитооптическими дисками, самозагружающимися компакт дисками, флеш-памятью и др.

     Для охраны объектов с целью защиты людей, зданий, помещений, материально-технических средств и информации от несанкционированных воздействий на них, широко используют системы и меры активной безопасности. Общепринято для охраны объектов применять системы управления доступом (СУД). Подобные системы обычно представляют собой автоматизированные системы и комплексы, формируемые на основе программно-технических средств.

     В большинстве случаев для защиты информации, ограничения несанкционированного доступа к ней, в здания, помещения и к другим объектам приходится одновременно использовать программные и технические средства, системы и устройства.

     В качестве технического средства защиты применяют различные электронные ключи, например, HASP (Hardware Against Software Piracy), представляющие аппаратно-программную систему защиты программ и данных от нелегального использования и пиратского тиражирования. Электронные ключи Hardlock используются для защиты программ и файлов данных. В состав системы входит собственно Hardlock, крипто-карта для программирования ключей и программное обеспечение для создания защиты приложений и связанных с ними файлов данных.

     К основным программно-техническим мерам, применение которых позволяет решать проблемы обеспечения безопасности ИР, относятся:

     - аутентификация пользователя и установление его идентичности;

     - управление доступом к БД;

     - поддержание целостности данных;

     - защита коммуникаций между клиентом и сервером;

     - отражение угроз, специфичных для СУБД и др.

     Поддержание целостности данных подразумевает наличие не только программно-аппаратных средств поддержки их в рабочем состоянии, но и мероприятия по защите и архивированию ИР, дублированию их и т.п. Наибольшую опасность для информационных ресурсов, особенно организаций, представляет несанкционированное воздействие на структурированные данные - БД. В целях защиты информации в БД важнейшими являются следующие аспекты информационной безопасности (европейские критерии):

     - условия доступа (возможность получить некоторую требуемую информационную услугу);

     - целостность (непротиворечивость информации, её защищённость от разрушения и несанкционированного изменения);

     - конфиденциальность (защита от несанкционированного прочтения).

     Эти аспекты являются основополагающими для любого программно-технического обеспечения, предназначенного для создания условий безопасного функционирования данных в компьютерах и компьютерных информационных сетях. Контроль доступа - это процесс защиты данных и программ от их использования объектами, не имеющими на это права.

     Управление доступом служит для контроля входа/выхода работников и посетителей организации через автоматические проходные (турникеты, арочные металодетекторы). Контроль их перемещения осуществляется с помощью систем видеонаблюдения. В управление доступом входят устройства и (или) системы ограждения для ограничения входа на территорию (охрана периметров). Используются также методы визуализации (предъявление вахтёру соответствующих документов) и автоматической идентификации входящих/выходящих работников и посетителей.

     К мерам, обеспечивающим сохранность традиционных и нетрадиционных носителей информации и, как следствие, самой информации относят технологии штрихового кодирования. Эта известная технология широко используется при маркировке различных товаров, в том числе документов, книг и журналов.

     В организациях применяют удостоверения, пропуска, читательские билеты и т.п., в том числе в виде пластиковых карт или ламинированных карточек, содержащих идентифицирующие пользователей штрих-коды. Для проверки штрих-кодов используют сканирующие устройства считывания бар-кодов - сканеры. Они преобразуют считанное графическое изображение штрихов в цифровой код. Кроме удобства, штрих-коды обладают и отрицательными качествами: дороговизна используемой технологии, расходных материалов и специальных программно-технических средств; отсутствие механизмов полной защиты документов от стирания и пропажи.

     Для защиты информации в информационных компьютерных сетях используют специальные программные, технические и программно-технические средства. С целью защиты сетей и контроля доступа в них используют: фильтры пакетов, запрещающие установление соединений, пересекающих границы защищаемой сети; фильтрующие маршрутизаторы, реализующие алгоритмы анализа адресов отправления и назначения пакетов в сети; шлюзы прикладных программ, проверяющие права доступа к программам.

     В качестве устройства, препятствующего получению злоумышленником доступа к информации, используют Firewalls (англ. “огненная стена” или “защитный барьер” - брандмауэр). Такое устройство располагают между внутренней локальной сетью организации и Интернетом. Оно ограничивает трафик, пресекает попытки несанкционированного доступа к внутренним ресурсам организации. Это внешняя защита. Современные брандмауэры могут “отсекать” от пользователей корпоративных сетей незаконную и нежелательную для них корреспонденцию, передаваемую по электронной почте. При этом ограничивается возможность получения избыточной информации и так называемого “мусора” (спама).

     Другим техническим устройством эффективной защиты в компьютерных сетях является маршрутизатор. Он осуществляет фильтрацию пакетов передаваемых данных. В результате появляется возможность запретить доступ некоторым пользователям к определённому “хосту”, программно осуществлять детальный контроль адресов отправителей и получателей. Так же можно ограничить доступ всем или определённым категориям пользователей к различным серверам, например, ведущим распространение противоправной или антисоциальной информации (пропаганда секса, насилия и т.п.).

     Защита может осуществляться не только в глобальной сети или локальной сети организации, но и отдельных компьютеров. Для этой цели создаются специальные программно-аппаратные комплексы.

     Таким образом, методов парирования угроз достаточно много. Наиболее важными являются следующие:

     - экономические: введение системы коэффициентов и надбавок; страхование оборудования и информации; возмещение убытков и компенсация ущерба.

     - организационные: физическая защита и организация охраны; подбор и работа с персоналом; организация инструктажа персонала; выбор и работа с партнерами; контроль выполнения требований по защите; противопожарная охрана; организация взаимодействия с компетентными органам.

     Для комплексной защиты информации, объектов и людей на различных предприятиях рекомендуется разрабатывать и внедрять соответствующие мероприятия. Комплексно мероприятия по обеспечению сохранности и защиты информации, объектов и людей включают организационные, физические, социально-психологические мероприятия и инженерно-технические средства защиты. Организационные мероприятия предполагают объединение всех составляющих безопасности. Во всём мире основную угрозу информации организации представляют её сотрудники, оказывающиеся психически неуравновешенными, обиженными или неудовлетворенными характером их работы, зарплатой, взаимоотношениями с коллегами и руководителями.

     Социально-психологические мероприятия также относятся к организационным. Они включают регулярное проведение организационных мероприятий по недопущению отрицательных воздействий и явлений, по созданию работникам комфортных условий и нормального психологического климата. С этой целью в штат некоторых организаций входит психолог.

     Физические мероприятия примыкают к организационным. Они заключаются в применении человеческих ресурсов, специальных технических средств и устройств, обеспечивающих защиту от проникновения злоумышленников на объект, несанкционированного использования, порчи или уничтожения ими материальных и людских ресурсов. Такими человеческими ресурсами являются лица ведомственной или вневедомственной охраны и вахтеры, отдельные, назначаемые руководством организации, сотрудники.

     В качестве технических средств используются решётки на окна, ограждения, металлические двери, турникеты, металодетекторы и др. Программно-технические средства включают различные системы ограничения доступа на объект, сигнализации и видеонаблюдения.

     Для комплексного обеспечения безопасности объекты оборудуются системами связи, диспетчеризации, оповещения, контроля и управления доступом; охранными, пожарными, телевизионными и инженерными устройствами и системами; охранной, пожарной сигнализацией и автоматикой. Успешному обеспечению безопасности способствуют заблаговременные мероприятия по выявлению и идентификации возможных угроз (опознание, предвидение, оценка, уменьшение вредного влияния на человека/среду обитания).

      Заключение 

     Важно знать, что характерной особенностью электронных данных является возможность легко и незаметно искажать, копировать или уничтожать их. Поэтому необходимо организовать безопасное функционирование данных в любых информационных системах, т.е. защищать информацию. Защищённой называют информацию, не изменившую в процессе передачи, хранения и сохранения достоверность, полноту и целостность данных.

     Несанкционированные воздействия на информацию, здания, помещения и людей могут быть вызваны различными причинами и осуществляться с помощью разных методов воздействия. Подобные действия могут быть обусловлены стихийными бедствиями (ураганы, ливни, наводнения, пожары, взрывы и др.), техногенными катастрофами, террористическими актами и т.п. Борьба с ними обычно весьма затруднена из-за в значительной степени непредсказуемости таких воздействий.

     Наибольший ущерб информации и информационным системам наносят неправомерные действия сотрудников и компьютерные вирусы. Для защиты информации в компьютерах и информационных сетях широко используются разнообразные программные и программно-технические средства защиты. Они включают различные системы ограничения доступа на объект, сигнализации и видеонаблюдения. Для защиты информации от утечки в компьютерных сетях используют специальное техническое средство - Firewalls, располагаемое между внутренней локальной сетью организации и Интернетом. Другим устройством эффективной защиты в компьютерных сетях является маршрутизатор. Он осуществляет фильтрацию пакетов передаваемых данных и, тем самым, появляется возможность запретить доступ некоторым пользователям к определённому “хосту”, программно осуществлять детальный контроль адресов отправителей и получателей и др.

     Охрана и безопасность объектов, людей и информации достигается взаимодействием специальных радиоэлектронных приборов, устройств и электрооборудования, в т.ч. пожарной и охранной сигнализации, средств технической и инженерной защиты, специально подготовленного персонал и транспорта. В качестве технических средств используются решётки на окна, ограждения, металлические двери, турникеты, металодетекторы и др.

     К наиболее практикуемым способам защиты информации относится её кодирование, предполагающее использование криптографических методов защиты информации. Оно не спасает от физических воздействий, но в остальных случаях служит надёжным средством. Другой метод предполагает использование устройств, ограничивающих доступ к объектам и данным. Ведущее место среди них занимают биометрические системы. Они позволяют идентифицировать человека по присущим ему специфическим статическим и динамическим признакам (отпечаткам пальцев, роговице глаза, форме руки, лицу, генетическому коду, запаху, голосу, почерку, поведению и др.).

     Комплексно мероприятия по обеспечению сохранности и защиты информации, объектов и людей включают организационные, физические, социально-психологические мероприятия и инженерно-технические средства защиты.