Рассматривая особенности организации системы информационной безопасности, необходимо отметить ее многоаспектность, включающую в себя правовое, инженерно- техническое, организационное обеспечение, а также организацию управления защитой информации.
Под информационной безопасностью в общем случае понимают свойство процесса информатизации, характеризующее состояние защищенности личности, общества и государства от возможных негативных последствий информатизации.
Под безопасностью автоматизированной системы обработки информации понимают ее свойство, выражающееся в способности противодействовать попыткам нанесения ущерба владельцам и пользователям системы при различных возмущающих (умышленных и неумышленных) воздействиях на нее, то есть защищенность системы от случайного или преднамеренного вмешательства в нормальный процесс ее функционирования, а также от попыток хищения, модификации или разрушения ее компонентов.
Помимо мер организационно-управленческого характера, серьезную общепрофилактическую роль в борьбе с указанными преступлениями и другими правонарушениями в условиях автоматизации могут играть меры технического характера по защите машинной информации от несанкционированного доступа. При этом защита информации должна быть реализована как в правоохранительных автоматизированных системах (с особой тщательностью – в АСУ, АБД, ИПС оперативно-розыскного назначения), так и в народнохозяйственных вычислительных центрах, где необходимо предупреждать возможность внесения подлогов в информационные массивы и машинные программы обработки учетно-экономических данных.
Для организации системы защиты информации необходимо ответить на следующие вопросы: от чего, что и как надо защищать (какими методами и средствами)?
При практической отработке подходов к решению проблем безопасности информации всегда следует исходить из того, что конечной целью применения любых мер противодействия угрозам является защита владельца и (или) законных пользователей от нанесения им материального или морального вреда, а в нашем случае – и от несанкционированного доступа к государственной и служебной тайне.
Различают внешнюю и внутреннюю безопасность. Внешняя безопасность включает в себя защиту от стихийных бедствий, проникновения злоумышленников извне с целью хищения, получения доступа к носителям информации или вывода электронных систем обработки из строя. Предметом внутренней безопасности является обеспечение надежной и удобной работы электронных систем обработки, целостности программ и данных обслуживающих компьютеров.
В настоящее время существует два основных подхода к проблеме обеспечения защиты информации. Назовем их условно фрагментарный и комплексный.
Главным достоинством (и главным недостатком) фрагментарного подхода является его высокая избирательность относительно конкретной угрозы. Это обусловливает еще один основной его недостаток – локальность действия. Другими словами, эти меры обеспечивают эффективную защиту конкретных объектов от конкретной угрозы, но не более того. Даже небольшое видоизменение угрозы ведет к потере эффективности защиты.
Особенностью комплексного подхода является создание защищенной среды обработки информации, объединяющей разнородные меры противодействия угрозам (правовые, организационные, технические и др.). Этот способ реализации защиты информации определяется ее спецификой, другими объективными и субъективными факторами.
Очевидно, что реализация защищенной информационной среды позволяет гарантировать определенный уровень противодействия преступным посягательствам и оказать существенное влияние на обстановку совершения преступления.
Целостность компьютерной информации может быть нарушена и без непосредственного участия человека, что выражается:
- в повреждении или выходе из строя компьютерного оборудования в результате нестабильности системы электропитания, стихийных бедствий либо неблагоприятных условий эксплуатации;
- выходе из строя магнитных носителей информации;
- неполадках кабельных систем, вызывающих сохранение неверной информации либо снижение производительности сети;
- программных и аппаратных сбоях, возникающих в результате некорректной работы прикладного программного обеспечения либо операционных систем.
Отметим, что составными элементами системы защиты информации являются правовые (законодательные), морально-этические, административные, физические и технические (аппаратные и программные) меры.
К правовым мерам защиты относятся действующие в стране законы, указы и другие нормативные акты, регламентирующие правила обращения с информацией и ответственность за их нарушения.
К морально-этическим мерам противодействия относятся всевозможные нормы поведения, которые традиционно сложились или складываются в окружающем обществе по мере развития и распространения информации. Эти нормы бывают как неписаные (например, общепризнанные нормы честности, патриотизма), так и оформленные в некий свод (устав) правил или предписаний. В частности, при обработке информации на компьютерных системах считается неэтичным производить умышленные или неумышленные действия, которые нарушают: работу компьютерных систем, целостность хранимой и обрабатываемой информации, интересы других законных пользователей, вызывают неоправданные затраты ресурсов (машинного времени, памяти, каналов связи) и т. д.
Административные меры защиты – это меры организационного характера. Они включают в себя: разработку правил обработки информации; охранные мероприятия, осуществляемые при проектировании, строительстве и оборудовании зданий (помещений), защиту от установки прослушивающей аппаратуры и т. п.; мероприятия, осуществляемые при подборе и подготовке персонала (проверка новых сотрудников, ознакомление их с порядком работы с конфиденциальной информацией, мерами ответственности за нарушение правил ее обработки; создание условий, при которых персоналу было бы невыгодно допускать злоупотребления, и т. д.); организацию надежного пропускного режима; организацию учета, хранения, использования и уничтожения документов и носителей с конфиденциальной информацией; распределение режимов доступа (профилей полномочий, паролей и т. п.); организацию подготовки и в необходимых случаях проведение скрытого контроля за работой персонала; мероприятия, осуществляемые при проектировании, разработке, ремонте и модификации оборудования и программного обеспечения компьютерных систем; сертификацию используемых технических и программных средств, строгое санкционированное рассмотрение и утверждение их изменений, проверку на удовлетворение требований защиты, документальное отражение изменений.
Физические меры защиты включают в себя разного рода механические, электро- или электронно-механические устройства и сооружения, специально предназначенные для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации.
Технические (аппаратно-программные) средства защиты – электронные устройства и специальные программы для ПК, которые выполняют (самостоятельно или в комплексе с другими) функции защиты (идентификацию и аутентификацию пользователей, разграничение доступа к ресурсам, регистрацию событий, криптографическую защиту информации и т. д.).
Таким образом, обеспечение компьютерной безопасности можно классифицировать на инженерно-техническое и организационное.
Инженерно-техническое обеспечение защиты информации – это совокупность специальных органов, технических средств и мероприятий по их использованию в интересах обеспечения безопасности учреждения.
Организационное обеспечение – это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к конфиденциальной информации становятся невозможными или существенно затрудняются из-за проведения организационных мероприятий.
Организационное обеспечение компьютерной безопасности включает в себя организационно-административные, организационно-технические и организационно-экономические мероприятия.
Очевидно, что в структурах с низким уровнем дисциплины и этики ставить вопрос о защите информации просто бессмысленно. В таких подразделениях надо решать прежде всего правовые и организационные вопросы.
Административные меры используются тогда, когда другие меры и средства защиты недоступны (по финансовым или техническим причинам). Однако это не означает, что систему необходимо строить исключительно на основе административных методов, так как они имеют следующие недостатки:
- низкая надежность без соответствующей поддержки со стороны физических, технических и программных средств (люди склонны к нарушению любых установленных правил, если их можно нарушить);
- применение для защиты только административных мер обычно приводит к параличу деятельности всей организации или как минимум автоматизированной системы обработки данных (совершенно невозможно работать, не нарушая инструкций) из-за ряда дополнительных неудобств, связанных с большим объемом рутинной формальной деятельности.
Рассматривая самый распространенный и прогрессивный метод обработки информации – с помощью автоматизированных систем на базе персональных компьютеров, необходимо отметить, что проблема умышленных нарушений функционирования автоматизированных систем обработки информации различного назначения в настоящее время является одной из самых актуальных.
При использовании автоматизированных систем обработки информации можно выделить три основные причины нарушений: безответственность, самоутверждение и корыст-ный интерес пользователей.
Способы предотвращения этих нарушений вытекают также из природы побудительных мотивов – соответствующей подготовки пользователей, а также поддержания здорового рабочего климата в коллективе, подбора персонала, своевременного обнаружения потенциальных злоумышленников и принятия необходимых мер. Первый из них – задача руководителей органов и учреждений, второй – постоянная аналитическая работа по оценке состояния безопасности и повышению ответственности за нее всех сотрудников. Только сочетание этих способов представляет собой реальную возможность не исправлять нарушения и не расследовать преступления, а устранять их причины.
Собственно механизм реализации защиты информации подразумевает два основных способа. При первом – механизмы защиты не реализованы в программном и аппаратном обеспечении. Защита информации при хранении, обработке или передаче обеспечивается дополнительными программными или аппаратными средствами, не входящими в состав самой системы. Этот способ называется «добавленной» защитой, ибо средства защиты служат дополнением к основным программным или аппаратным средствам.
Второй способ защиты – так называемая встроенная защита. Суть ее сводится к тому, что механизмы защиты являются неотъемлемой частью автоматизированной системы обработки информации. Механизмы защиты в нем обычно реализованы в виде отдельных компонентов данной системы, распределены по другим компьютерным системам (то есть в некотором компоненте обрабатывающей системы есть часть, отвечающая за поддержание его защиты). При этом средства защиты составляют единый механизм, который отвечает за обеспечение безопасности всей автоматизированной системы, обрабатывающей информацию. Основное достоинство этого способа – надежность и оптимальность, объясняющиеся тем, что средства защиты и механизмы их поддержки разрабатываются и реализовываются одновременно с системой обработки информации. В результате взаимосвязь средств защиты с различными компонентами системы теснее, чем при добавленной защите. Однако данная защита обладает жестко фиксированным набором функций, не позволяющим расширять или сокращать их.
Остановимся подробнее на совершенствовании системы организации защиты от утечки информации, передаваемой, обрабатываемой и принимаемой субъектами системы самыми распространенными способами: передача сообщений по телекоммуникационным системам; обработка информации с помощью ПК; обмен документами.
При осмотре приобретенных (закупленных, полученных централизованно) или возвращенных после ремонта устройств необходимо попросить поставщика (продавца, мастера по ремонту) проверить их работоспособность и принцип действия при включенных в этот момент других радиоэлектронных приборах. При наличии подозрительных сигналов на компьютерах, измерительных устройствах и других приборах зафиксировать их и четко определить, как изменились свойства устройств после их возможной доработки злоумышленником (например, из обычного сотового телефона он стал «двойником»).
Для предотвращения несанкционированного доступа к информации персонального компьютера и возможности ее похищения, модификации, копирования или изменения (порчи) необходимо рассматривать и возможность заражения программных продуктов и информационных файлов ПК компьютерными вирусами.
Компьютерный вирус – набор команд, который производит и распространяет свои копии в компьютерных системах и (или) компьютерных сетях и преднамеренно выполняет некоторые действия, нежелательные для законных пользователей информационных систем.
Таким образом, в защите информации персональных компьютеров от несанкционированного доступа можно выделить три основных направления:
- первое ориентируется на недопущение нарушителя к вычислительной среде и основывается на специальных технических средствах опознавания пользователя;
- второе связано с защитой вычислительной среды и основывается на создании специального программного обеспечения по защите информации:
- третье направление предполагает использование специальных средств защиты информации ПК от несанкционированного доступа.
Поможем написать любую работу на аналогичную тему