Значение информации в современном мире. Важность вопроса обеспечения безопасного функционирования информационных систем.

Стр 1 из 5Следующая ⇒

Для развития человеческого общества необходимы материальные, инструментальные, энергетические и другие ресурсы, в том числе и информационные. Настоящее время характеризуется небывалым ростом объема информационных потоков. Это относится практически к любой сфере деятельности человека. Наибольший рост объема информации наблюдается в промышленности, торговле, финансово-банковской и образовательной сферах. Например, в промышленности рост объема информации обусловлен увеличением объема производства, усложнением выпускаемой продукции, используемых материалов, технологического оборудования, расширением внешних и внутренних связей экономических объектов в результате концентраии и специализации производства.

Информация представляет собой один из основных, решающих факторов, который определяет развитие технологии и ресурсов в целом. В связи с этим, очень важно понимание не только взаимосвязи развития индустрии информации, компьютеризации, информационных технологий с процессом информатизации, но и определение уровня и степени влияния процесса информатизации на сферу управления и интеллектуальную деятельность человека.

Современная информационная система представляет собой сложную систему, состоящую из большого числа компонентов различной степени автономности, которые связаны между собой и обмениваются данными. Практически каждый компонент может подвергнуться внешнему воздействию или выйти из строя.

Опасные воздействия на компьютерную информационную систему можно подразделить на случайные и преднамеренные. Анализ опыта проектирования, изготовления и эксплуатации информационных систем показывает, что информация подвергается различным случайным воздействиям на всех этапах цикла жизни системы.

Особо следует остановиться на угрозах, которым могут подвергаться компьютерные сети. Основная особенность любой компьютерной сети состоит в том, что ее компоненты распределены в пространстве. Связь между узлами сети осуществляется физически с помощью сетевых линий и программно с помощью механизма сообщений. При этом управляющие сообщения и данные, пересылаемые между узлами сети, передаются в виде пакетов обмена. Компьютерные сети характерны тем, что против них предпринимают так называемые удаленные атаки. Нарушитель может находиться за тысячи километров от атакуемого объекта, при этом нападению может подвергаться не только конкретный компьютер, но и информация, передающаяся по сетевым каналам связи.

Понятие информации. Информационные процессы и системы.

Информация – это знания или сведения о ком-либо или о чем-либо, воспринимаемые человеком или специальными устройствами как отражение фактов материального мира в процессе коммуникации. Эти сведения можно собирать, хранить, передавать, обрабатывать, использовать.

Информационные процессы — процессы, связанные с поиском, хранением, передачей, обработкой и использованием информации.

- Поиск информации - это извлечение хранимой информации.

- Хранение информации - это способ распространения информации в пространстве и времени.

- В процессе передачи информации обязательно участвуют источник и приемник информации: первый передает информацию, второй ее получает. Между ними действует канал передачи информации - канал связи.

- Обработка информации - преобразование информации из одного вида в другой, осуществляемое по строгим формальным правилам.

- Информация используется при принятии решений.

Информационная система - это хранилище информации, снабженное процедурами ввода, поиска и размещения и выдачи информации. Наличие таких процедур - главная особенность информационных систем, отличающих их от простых скоплений информационных материалов.

По масштабу информационные системы подразделяются на следующие группы:

-одиночные;

-групповые;

-корпоративные.

По сфере применения информационные системы обычно подразделяются на четыре группы:

-системы обработки транзакций;

-системы принятия решений;

-информационно-справочные системы;

-офисные информационные системы.

Информационные ресурсы и технологии.

Информационные ресурсы — в широком смысле совокупность данных, организованных для эффективного получения достоверной информации. Отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных, других информационных системах).

Информационные технологии — процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов; приёмы, способы и методы применения средств вычислительной техники при выполнении функций сбора, хранения, обработки, передачи и использования данных; ресурсы, необходимые для сбора, обработки, хранения и распространения информации.

Угрозы безопасности информации. Составляющие информационной безопасности.

Угрозы безопасности информации — это некая совокупность факторов и условий, которые создают опасность в отношении защищаемой информации.

Естественные угрозы:

-стихийные бедствия;

-пожары;

-наводнения;

-техногенные аварии;

-другие явления, не зависящие от человека.

Искусственные преднамеренные угрозы:

-кража (копирование) документов;

-подслушивание переговоров;

-несанкционированный доступ к информации;

-перехват информации;

-внедрение (вербовка) инсайдеров;

-фальсификация, подделка документов;

-диверсии;

-хакерские атаки и т.п.

Искусственные непреднамеренные угрозы:

-ошибки пользователей;

-неосторожность;

-невнимательность;

-любопытство и т.п.

Основные составляющие информационной безопасности: обеспечение доступности, целостности и конфиденциальности информационных ресурсов и поддерживающей инфраструктуры.

-Доступность - это возможность за приемлемое время получить требуемую информационную услугу.

-Под целостностью подразумевается актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения.

-Конфиденциальность - это защита от несанкционированного доступа к информации.

Угрозы безопасности информации. Сервисы безопасности.

Основными сервисами безопасности являются следующие:

-Конфиденциальность - предотвращение пассивных атак для передаваемых или хранимых данных.

- Аутентификация - подтверждение того, что информация получена из законного источника, и получатель действительно является тем, за кого себя выдает.

- Целостность - сервис, гарантирующий, что информация при хранении или передаче не изменилась.

- Невозможность отказа - невозможность, как для получателя, так и для отправителя, отказаться от факта передачи.

- Контроль доступа - возможность ограничить и контролировать доступ к системам и приложениям по коммуникационным линиям.

- Доступность - результатом атак может быть потеря или снижение доступности того или иного сервиса. Данный сервис предназначен для того, чтобы минимизировать возможность осуществления DoS-атак.

Неформальная модель нарушителя.

Тайнопись

Тайнописью называются приемы, с помощью которых содержание написанного скрывалось от тех, кто не должен был прочитать текст.

Начиная с самых древних времен, человечество обменивалось информацией, отсылая друг другу бумажные письма. В Древнем Великом Новгороде необходимо был сворачивать свои берестяные грамоты словами наружу — только таким образом они могли перевозиться и храниться, в противном случае они разворачивались самопроизвольно из-за изменения уровня влажности. Это было похоже на современные почтовые карточки, в которых текст, как известно, также открыт для чужих взоров

План защиты информации.

План защиты информации

• Раздел 1. Состав и структура информационной подсистемы и характер угроз информационной безопасности организации.

• Раздел 2. Меры по предотвращению утечки информации ограниченного распространения и доступа.

• Раздел 3. Меры по предотвращению утраты информации ограниченного распространения и доступа.

• Раздел 4. План проверок и тренировок по защите информации.

Первый раздел должен содержать анализ путей утечки и утраты информации, цели и задачи защиты информации, основные мероприятия, проводимые в этих целях. Второй и третий разделы целесообразно разделить на две части: в первой излагаются меры по предотвращению утечки или утраты информации по линиям «техническое устройство – техническое устройство» и «персонал – техническое устройство»; во второй – предотвращение утечки информации через персонал и внешнее окружение. Дополнительно может быть разработан план дезинформации потенциальных конкурентов или же соответствующие мероприятия включаются в другие разделы плана защиты информации.

К плану защиты информации не следует относиться как к панацее от всех неожиданностей. В зависимости от интенсивности деятельности организации и освоения новой, более конкурентной продукции, могут составляться разовые планы на период усиления информационного функционирования предприятия или повышенной информационной уязвимости.

План обеспечения непрерывной работы и восстановления.

План ОНиВД банка разработан в соответствии с Указанием Банка России от 01.01.2001 г. «О внесении изменений в Положение Банка России от 01.01.2001 г. «Об организации внутреннего контроля в кредитных организациях и банковских группах», ФЗ от 01.01.2001 г. №68-ФЗ «О защите населения и территорий от чрезвычайных ситуаций природного и техногенного характера», Постановлением Правительства РФ от 01.01.2001 г. № 000 «О классификации чрезвычайных ситуаций природного и техногенного характера», другими нормативно-правовыми документами и внутренними документами банка.

План ОНиВД разработан применительно к крупномасштабным непредвиденным обстоятельствам, сопоставимым по длительности и силе воздействия, размерам возможных материальных потерь и негативным последствиям нематериального характера с чрезвычайной ситуацией муниципального характера. А именно - зона чрезвычайной ситуации не выходит за пределы г. Пскова, при этом:

- количество пострадавших от 10 до 50 человек;

- либо размер материального ущерба от 0, 1 млн. руб. до 5, 0 млн. руб.

К данным непредвиденным обстоятельствам относятся:

1) Ураган - ветер разрушительной силы и значительной продолжительности, скорость которого превышает 32 м/с;

2) Эпидемия - массовое, прогрессирующее во времени и пространстве в пределах определенного региона распространение инфекционной болезни людей, значительно превышающее обычно регистрируемый на данной территории уровень заболеваемости;

3) Режим чрезвычайного положения. Чрезвычайное положение означает вводимый в соответствии с Конституцией Российской Федерации и Федеральным конституционным законом на всей территории Российской Федерации или в ее отдельных местностях особый правовой режим деятельности органов государственной власти, органов местного самоуправления, организаций независимо от организационно-правовых форм и форм собственности, их должностных лиц, общественных объединений, допускающий установленные Федеральным конституционным законом отдельные ограничения прав и свобод граждан Российской Федерации, иностранных граждан, лиц без гражданства, прав организаций и общественных объединений, а также возложение на них дополнительных обязанностей;

4) Террористический акт - совершение взрыва, поджога или иных действий, устрашающих население и создающих опасность гибели человека, причинения значительного имущественного ущерба либо наступления иных тяжких последствий, в целях воздействия на принятие решения органами власти или международными организациями, а также угроза совершения указанных действий в тех же целях.

В случае возникновения непредвиденных обстоятельств меньшего масштаба, вызванных вышеперечисленными факторами, либо возникших самостоятельно, в Плане ОНиВД банка предусмотрены отдельные модули:

1) Выход из строя технических средств;

2) Сбои в работе автоматизированных информационных систем;

3) Нарушение коммунальной инфраструктуры;

4) Перебои в электроснабжении;

5) Непредвиденный дефицит ликвидности (в настоящем документе под дефицитом ликвидности понимается дефицит ликвидности, возникший в результате реализации какого-либо непредвиденного обстоятельства из данного Плана, либо комбинация нескольких непредвиденных обстоятельств);

6) Риск потери деловой репутации (в настоящем документе под риском потери деловой репутации понимается риск потери деловой репутации, возникший в результате реализации какого-либо непредвиденного обстоятельства из данного Плана, либо комбинация нескольких непредвиденных обстоятельств, либо в результате появления в СМИ, Интернет и т. д. недостоверной/порочащей банк информации).

38) Меры обеспечения непрерывной работы и восстановления работоспособности ИС.

Непрерывность процесса функционирования АС (автоматизированная система) и своевременность восстановления ее работоспособности достигается:

проведением специальных организационных мероприятий и разработкой организационно-распорядительных документов по вопросам обеспечения НРВ вычислительного процесса;
строгой регламентацией процесса обработки информации с применением ЭВМ и действий персонала системы, в том числе в кризисных ситуациях;
назначением и подготовкой должностных лиц, отвечающих за организацию и осуществление практических мероприятий по обеспечению НРВ информации и вычислительного процесса;
четким знанием и строгим соблюдением всеми должностными лицами, использующими средства вычислительной техники АС, требований руководящих документов по обеспечению НРВ;
применением различных способов резервирования аппаратных ресурсов, эталонного копирования программных и страхового копирования информационных ресурсов системы;
эффективным контролем за соблюдением требований по обеспечению НРВ должностными лицами и ответственным;
постоянным поддержанием необходимого уровня защищенности компонентов системы, непрерывным управлением и административной поддержкой корректного применения средств защиты;
проведением постоянного анализа эффективности принятых мер и применяемых способов и средств обеспечения НРВ, разработкой и реализацией предложений по их совершенствованию.

Содержание стандарта ISO/IEC 17799.

ISO/IEC 17799 — стандарт информационной безопасности, опубликованный в 2005 году организациями ISO и IEC. Он озаглавлен Информационные технологии — Технологии безопасности — Практические правила менеджмента информационной безопасности (англ. Information technology - Security techniques - Code of practice for information security management). Текущая версия стандарта является переработкой версии, опубликованной в2000 году, которая являлась полной копией Британского стандарта BS 7799-1: 1999.

Стандарт предоставляет лучшие практические советы по менеджменту информационной безопасности для тех, кто отвечает за создание, реализацию или обслуживание систем менеджмента информационной безопасности. Информационная безопасность определяется стандартом как «сохранение конфиденциальности (уверенности в том, что информация доступна только тем, кто уполномочен иметь такой доступ), целостности (гарантии точности и полноты информации и методов её обработки) и доступности (гарантии в том, что уполномоченные пользователи имеют доступ к информации и связанным ресурсам)».

Текущая версия стандарта состоит из следующих основных разделов:

· Политика безопасности (Security policy)

· Организация информационной безопасности (Organization of information security)

· Управление ресурсами (Asset management)

· Безопасность человеческих ресурсов (Human resources security)

· Физическая безопасность и безопасность окружения (Physical and environmental security)

· Управление передачей данных и операционной деятельностью (Communications and operations management)

· Контроль доступа (Access control)

· Разработка и обслуживание систем (Information systems acquisition, development and maintenance)

· Управление расследованием инцидентов информационной безопасности (Information security incident management)

· Управление непрерывностью бизнеса(Business continuity management)

· Соответствие требованиям (Compliance)

12 3 4 5 Следующая ⇒