Тема 2. Государственная система информационной

ИНФОРМАЦИОННАЯ

БЕЗОПАСНОСТЬ

Тема 1: Основные понятия и определения информационной безопасности

Информатизация социально-политической, экономической и военной деятельности страны и, как следствие, бурное развитие информационных систем сопровождаются существенным ростом посягательств на информацию как со стороны иностранных государств, так и со стороны преступных элементов и граждан, не имеющих доступа к ней. Несомненно, в создавшейся обстановке одной из первоочередных задач, стоящих перед правовым государством, является разрешение глубокого противоречия между реально существующим и необходимым уровнем защищенности информационных потребностей личности, общества и самого государства, обеспечение их ИБ.

Термин " информационная безопасность" может иметь различный смысл и трактовку в зависимости от контекста. В данном курсе под информационной безопасностью мы будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

ГОСТ " Защита информации. Основные термины и определения" вводит понятие информационной безопасности как состояние защищенности информации, при котором обеспечены ее конфиденциальность, доступность и целостность.

· Конфиденциальность – состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право.

· Целостность – состояние информации, при котором отсутствует любое ее изменение либо изменение осуществляется только преднамеренно субъектами, имеющими на него право;

· Доступность – состояние информации, при котором субъекты, имеющие право доступа, могут реализовывать его беспрепятственно.

Информационная безопасность определяется способностью государства (общества, личности):

– обеспечить с определенной вероятностью достаточные и защищенные информационные ресурсы и информационные потоки для поддержания своей жизнедеятельности и жизнеспособности, устойчивого функционирования и развития;

– противостоять информационным опасностям и угрозам, негативным информационным воздействиям на индивидуальное и общественное сознание и психику людей, а также на компьютерные сети и другие технические источники информации;

– вырабатывать личностные и групповые навыки и умения безопасного поведения;

– поддерживать постоянную готовность к адекватным мерам в информационном противоборстве, кем бы оно ни было навязано.

Ни одна сфера жизни современного общества не может функционировать без развитой информационной структуры. Национальный информационный ресурс является сегодня одним из главных источников экономической и военной мощи государства. Проникая во все сферы деятельности государства, информация приобретает конкретное политическое, материальное и стоимостное выражение. На этом фоне все более актуальный характер приобретают вопросы обеспечения ИБ Российской Федерации как неотъемлемого элемента национальной безопасности, а защита информации превращается в одну из приоритетных государственных задач.

В любой стране ИБ придается особое значение. В своем развитии эта задача проходит множество этапов в зависимости от потребностей государства, возможностей, методов и средств добывания сведений (в частности, разведки), правового режима государства и реальных его усилий по обеспечению защиты информации.

Угрозы информационной безопасности – совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации. Атакой называется попытка реализации угрозы, а тот, кто предпринимает такую попытку, - злоумышленником. Потенциальные злоумышленники называются источниками угрозы.

Угроза является следствием наличия уязвимых мест или уязвимостей в информационной системе. Уязвимости могут возникать по разным причинам, например, в результате непреднамеренных ошибок программистов при написании программ.

Угрозы можно классифицировать по нескольким критериям:

· по свойствам информации (доступность, целостность, конфиденциальность), против которых угрозы направлены в первую очередь;

· по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);

· по способу осуществления (случайные/преднамеренные, действия природного/техногенного характера);

· по расположению источника угроз (внутри/вне рассматриваемой ИС).

Обеспечение информационной безопасности является сложной задачей, для решения которой требуется комплексный подход. Выделяют следующие уровни защиты информации:

1. законодательный – законы, нормативные акты и прочие документы РФ и международного сообщества;

2. административный – комплекс мер, предпринимаемых локально руководством организации;

3. процедурный уровень – меры безопасности, реализуемые людьми;

4. программно-технический уровень – непосредственно средства защиты информации.

Законодательный уровень является основой для построения системы защиты информации, так как дает базовые понятия предметной области и определяет меру наказания для потенциальных злоумышленников. Этот уровень играет координирующую и направляющую роли и помогает поддерживать в обществе негативное (и карательное) отношение к людям, нарушающим информационную безопасность.

При анализе проблематики, связанной с информационной безопасностью, необходимо учитывать специфику данного аспекта безопасности, состоящую в том, что информационная безопасность есть составная часть информационных технологий – области, развивающейся беспрецедентно высокими темпами. Здесь важны не столько отдельные решения (законы, учебные курсы, программно-технические изделия), находящиеся на современном уровне, сколько механизмы генерации новых решений, позволяющие жить в темпе технического прогресса.

К сожалению, современная технология программирования не позволяет создавать безошибочные программы, что не способствует быстрому развитию средств обеспечения ИБ. Следует исходить из того, что необходимо конструировать надежные системы (информационной безопасности) с привлечением надежных компонентов (программ).

Предметом нашего рассмотрения являются автоматизированные системы. Под автоматизированной системой обработки информации (АС) мы будем понимать совокупность следующих объектов:

1. средств вычислительной техники;

2. программного обеспечения;

3. каналов связи:

4. информации на различных носителях;

5. персонала и пользователей системы.

Информационная безопасность АС рассматривается как состояние системы, при котором:

1. Система способна противостоять дестабилизирующему воздействию внутренних и внешних угроз.

2. Функционирование и сам факт наличия системы не создают угроз для внешней среды и для элементов самой системы.

Методы обеспечения информационной безопасности (рис. 1) весьма разнообразны.

Сервисы сетевой безопасности представляют собой механизмы защиты информации, обрабатываемой в распределённых вычислительных системах и сетях. Инженерно-технические методы ставят своей целью обеспечение защиты информации от утечки по техническим каналам - например, за счёт перехвата электромагнитного излучения или речевой информации. Правовые и организационные методы защиты информации создают нормативную базу для организации различного рода деятельности, связанной с обеспечением информационной безопасности.

Рис 1.

Теоретические методы обеспечения информационной безопасности, в свою очередь, решают две основных задачи. Первая из них - это формализация разного рода процессов, связанных с обеспечением информационной безопасности. Так, например, формальные модели управления доступом позволяют строго описать все возможные информационные потоки в системе - а значит, гарантировать выполнение требуемых свойств безопасности. Отсюда непосредственно вытекает вторая задача - строгое обоснование корректности и адекватности функционирования систем обеспечения информационной безопасности при проведении анализа их защищённости. Такая задача возникает, например, при проведении сертификации автоматизированных систем по требованиям безопасности информации.

Федеральные законы

№ закона	Дата принятия	Название закона
149-ФЗ	27 июля 2006 г.	№ 149-ФЗ «Об информации, информационных технологиях и о защите информации» (с изм. и доп., вступ. в силу с 01.09.2015)
152-ФЗ	27 июля 2006 г.	№ 152-ФЗ «О персональных данных» (с изм. и доп., вступ. в силу с 01.09.2015)

Уголовная ответственность

Уголовная ответственность, которую могут нести граждане РФ за " преступления в сфере компьютерной информации" (Глава 28 УК РФ):

Статья 272. Неправомерный доступ к компьютерной информации.

1. Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, - наказывается штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет.

2. То же деяние, совершенное группой лиц по предварительному сговору или организованной группой, либо лицом с использованием своего служебного положения, а равно имеющим доступ к ЭВМ, системе ЭВМ или их сети, - наказывается штрафом в размере от пятисот до восьмисот минимальных размеров оплаты труда или в размере заработной платы, или иного дохода осужденного за период от пяти до восьми месяцев, либо исправительными работами на срок от одного года до двух лет, либо арестом на срок от трех до шести месяцев, либо лишением свободы на срок до пяти лет.

Статья 273. Создание, использование и распространение вредоносных программ для ЭВМ.

1. Создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами, - наказываются лишением свободы на срок до трех лет со штрафом в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев.

2. Те же деяния, повлекшие по неосторожности тяжкие последствия, - наказываются лишением свободы на срок от трех до семи лет.

Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.

1. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ, если это деяние причинило существенный вред, - наказывается лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет, либо обязательными работами на срок от ста восьмидесяти до двухсот сорока часов, либо ограничением свободы на срок до двух лет.

2. То же деяние, повлекшее по неосторожности тяжкие последствия, - наказывается лишением свободы на срок до четырех лет.

Безопасности

В общем случае под угрозой принято понимать потенциально возможное событие, действие, процесс или явление, которое может привести к нанесению ущерба чьим-либо интересам. В свою очередь, угроза информационной безопасности автоматизированной системы - это возможность реализации воздействия на информацию, обрабатываемую в АС, приводящего к нарушению конфиденциальности, целостности или доступности этой информации, а также возможность воздействия на компоненты АС, приводящего к их утрате, уничтожению или сбою функционирования.

Классификация угроз может быть проведена по множеству признаков. Приведём наиболее распространённые из них.

1. По природе возникновения принято выделять естественные и искусственные угрозы.

Естественными принято называть угрозы, возникшие в результате воздействия на АС объективных физических процессов или стихийных природных явлений, не зависящих от человека (пожары, наводнения, пунами, землетрясения и т.д.). И скусственные угрозы вызваны действием человеческого фактора.

2. По степени преднамеренности выделяют случайные и преднамеренные угрозы.

Случайные угрозы бывают обусловлены халатностью или непреднамеренными ошибками персонала (непреднамеренный ввод ошибочных данных, неумышленную порчу оборудования). Преднамеренные угрозы обычно возникают в результате направленной деятельности злоумышленника (проникновение злоумышленника на охраняемую территорию с нарушением установленных правил физического доступа).

3. В зависимости от источника угрозы принято выделять:

- Угрозы, источником которых является природная среда. Примеры - пожары, наводнения и другие стихийные бедствия.

- Угрозы, источником которых является человек. Примером может служить внедрение агентов в ряды персонала АС со стороны конкурирующей организации.

- Угрозы, источником которых являются санкционированные программно-аппаратные средства. Пример - некомпетентное использование системных утилит.

- Угрозы, источником которых являются несанкционированные программно-аппаратные средства. Например, внедрение в систему кейлогеров.

4. По положению источника угрозы выделяют:

-Угрозы, источник которых расположен вне контролируемой зоны. Примеры - перехват побочных электромагнитных излучений (ПЭМИН) или перехват данных, передаваемых по каналам связи: дистанционная фото- и видеосъемка; перехват акустической информации с использованием направленных микрофонов.

- Угрозы, источник которых расположен в пределах контролируемой зоны. Примерами могут служить применение подслушивающих устройств или хищение носителей, содержащих конфиденциальную информацию.

5. По степени воздействия на АС выделяют пассивные и активные угрозы. Пассивные угрозы при реализации не осуществляют никаких изменений в составе и структуре АС. Реализация активных угроз, напротив, нарушает структуру автоматизированной системы.

Примером может служить несанкционированное копирование файлов с данными.

6. По способу доступа к ресурсам АС выделяют:

- Угрозы, использующие стандартный доступ. Пример -несанкционированное получение пароля путём подкупа, шантажа, угроз или физического насилия по отношению к законному обладателю.

- Угрозы, использующие нестандартный путь доступа. Пример - использование недекларированных возможностей средств зашиты.

Критерии классификации угроз можно продолжать, однако на практике чаше всего используется следующая основная классификация угроз, основывающаяся на трёх введённых ранее базовых свойствах защищаемой информации:

1. Угрозы нарушения конфиденциальности информации, в результате реализации которых информация становится доступной субъекту, не располагающему полномочиями для ознакомления с ней.

2. Угрозы нарушения целостности информации, к которым относится любое злонамеренное искажение информации, обрабатываемой с использованием АС.

3. Угрозы нарушения доступности информации, возникающие в тех случаях, когда доступ к некоторому ресурсу АС для легальных пользователей блокируется.

К основным угрозам безопасности информации относят:

Непреднамеренные угрозы

Стихийные бедствия и аварии. Примерами угроз этой группы могут служить пожар, наводнение, землетрясение и т.д. При их воздействии ЭВМ подвергаются физическому разрушению, при этом информация утрачивается, или доступ к ней становится невозможным.

Отказы технических средств (аппаратных средств ЭВМ, систем электропитания, кабельной системы и т.д.) – нарушение работоспособности технических средств, приводящее к невозможности выполнения ими своих функций.

Сбои технических средств – временное нарушение работоспособности технических средств, следствием чего может быть неправильное выполнение ими в этот момент своих функций.

Нарушения работоспособности технических средств приводят к уничтожению и искажению данных.

К ошибкам при разработке технических и программных средств относят:

- системные, обусловленные неправильным пониманием ЭВМ требований задачи и условий ее реализации;

- алгоритмические, связанные с неправильной формулировкой задач, неполным учетом всех условий решения задач;

- программные, возникающие вследствие описок и ошибок при составлении программ;

- технологические, возникающие при подготовке программной документации и фиксировании ее в памяти ЭВМ.

Ошибки эксплуатации технических и программных средств пользователями по статистике составляют более 50 % всех случаев нарушения безопасности информации. Ошибки определяются:

- психофизическими характеристиками человека (усталостью и снижением работоспособности со временем, неправильной интерпретацией данных);

- характером человека (небрежностью, безразличием, безответственностью);

- уровнем знаний, умений и навыков человека (квалификацией, знанием инструкций и нормативов и т.д.).

- Преднамеренные угрозы

- Преднамеренные угрозы расцениваются как компьютерные правонарушения и преступления.

Компьютерные преступления— это предусмотренные уголовным законодательством общественно опасные действия, в которых объектом или средством преступного посягательства является компьютерная информация.

Одним из видов преднамеренных угроз безопасности информации является несанкционированный доступ и перехват компьютерной информации.

Несанкционированный доступ к информации– это доступ к информации, нарушающий установленные правила разграничения доступа.

Этот вид компьютерных угроз включает в себя следующие виды компьютерных преступлений:

- кража времени — незаконное использование компьютерной системы или сети с намерением неуплаты;

- хакинг (от англ. hacking – подделка), или «компьютерный абордаж»— доступ в компьютер или сеть без права на то (обычно используется хакерами для проникновения в чужие информационные сети);

- перехват — перехват информации по акустическим или визуальным каналам при помощи технических средств, без права на то.

Хакером (от англ. hack) называют злоумышленника, использующего обширные компьютерные знания для осуществления несанкционированного доступа в компьютерные сети.

Распространенным видом угроз компьютерной безопасности является изменение информации с помощью вредительских программ.

Вредительская программа— программа для ЭВМ, заведомо приводящая к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети.

Серьезной угрозой безопасности информации является спам.

Спам– это анонимная массовая незапрошенная рассылка электронных почтовых сообщений.

Спам способствует распространению вредоносных программ, отнимает время на просмотр и последующее удаление сообщений, при этом нередко удаляется важная корреспонденция. Как частные лица, так и организации становятся жертвами мошеннических схем, реализуемых спамерами.

К категории преднамеренных угроз безопасности относятся и компьютерные мошенничества.

Компьютерные мошенничества– это получение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием компьютерной системы.

Различают, например:

- компьютерные мошенничества с банкоматами;

- компьютерные подделки (мошенничества и хищения из компьютерных систем путем создания поддельных устройств (карточек и пр.);

- мошенничество с игровыми автоматами;

- компьютерные мошенничества и хищения, связанные с платежными средствами (около 45 % всех преступлений, связанных с использованием ЭВМ);

- телефонное мошенничество (доступ к телекоммуникационным услугам путем посягательства на протоколы и процедуры компьютеров, обслуживающих телефонные системы).

Чрезвычайно распространенным видом преднамеренных угроз безопасности информации в современном обществе является незаконное копирование информации. К нему относят, например, незаконное копирование, распространение или опубликование компьютерных игр и другого программного обеспечения, защищенного законом.

Самыми частыми и самыми опасными (с точки зрения размера ущерба) являются непреднамеренные ошибки штатных пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы.

Иногда такие ошибки и являются собственно угрозами (неправильно введенные данные или ошибка в программе, вызвавшая крах системы), иногда они создают уязвимые места, которыми могут воспользоваться злоумышленники (таковы обычно ошибки администрирования). По некоторым данным, до 65% потерь - следствие непреднамеренных ошибок.

Самый радикальный способ борьбы с непреднамеренными ошибками - максимальная автоматизация и строгий контроль.

Другие угрозы доступности классифицируем по компонентам ИС, на которые нацелены угрозы:

· отказ пользователей;

· внутренний отказ информационной системы;

· отказ поддерживающей инфраструктуры.

Обычно применительно к пользователям рассматриваются следующие угрозы:

· нежелание работать с информационной системой (чаще всего проявляется при необходимости осваивать новые возможности и при расхождении между запросами пользователей и фактическими возможностями и техническими характеристиками);

· невозможность работать с системой в силу отсутствия соответствующей подготовки (недостаток общей компьютерной грамотности, неумение интерпретировать диагностические сообщения, неумение работать с документацией и т.п.);

· невозможность работать с системой в силу отсутствия технической поддержки (неполнота документации, недостаток справочной информации и т.п.).

Основными источниками внутренних отказов являются:

· отступление (случайное или умышленное) от установленных правил эксплуатации;

· выход системы из штатного режима эксплуатации в силу случайных или преднамеренных действий пользователей или обслуживающего персонала (превышение расчетного числа запросов, чрезмерный объем обрабатываемой информации и т.п.);

· ошибки при (пере)конфигурировании системы;

· отказы программного и аппаратного обеспечения;

· разрушение данных;

· разрушение или повреждение аппаратуры.

По отношению к поддерживающей инфраструктуре рекомендуется рассматривать следующие угрозы:

· нарушение работы (случайное или умышленное) систем связи, электропитания, водо- и/или теплоснабжения, кондиционирования;

· разрушение или повреждение помещений;

· невозможность или нежелание обслуживающего персонала и/или пользователей выполнять свои обязанности (гражданские беспорядки, аварии на транспорте, террористический акт или его угроза, забастовка и т.п.).

Весьма опасны так называемые " обиженные" сотрудники - нынешние и бывшие. Как правило, они стремятся нанести вред организации-" обидчику", например:

· испортить оборудование;

· встроить логическую бомбу, которая со временем разрушит программы и/или данные;

· удалить данные.

Опасны, разумеется, стихийные бедствия и события, воспринимаемые как стихийные бедствия, - пожары, наводнения, землетрясения, ураганы. По статистике, на долю огня, воды и тому подобных " злоумышленников " (среди которых самый опасный - перебой электропитания) приходится 13% потерь, нанесенных информационным системам.

На втором месте по размерам ущерба (после непреднамеренных ошибок и упущений) стоят кражи и подлоги. В большинстве случаев виновниками оказывались штатные сотрудники организаций, отлично знакомые с режимом работы и мерами защиты. Это еще раз подтверждает опасность внутренних угроз, хотя говорят и пишут о них значительно меньше, чем о внешних.

С целью нарушения статической целостности злоумышленник (как правило, штатный сотрудник) может:

· ввести неверные данные;

· изменить данные.

Конфиденциальную информацию можно разделить на предметную и служебную. Служебная информация (например, пароли пользователей) не относится к определенной предметной области, в информационной системе она играет техническую роль, но ее раскрытие особенно опасно, поскольку оно чревато получением несанкционированного доступа ко всей информации, в том числе предметной.

Даже если информация хранится в компьютере или предназначена для компьютерного использования, угрозы ее конфиденциальности могут носить некомпьютерный и вообще нетехнический характер.

Угрозу перехвата данных следует принимать во внимание не только при начальном конфигурировании ИС, но и, что очень важно, при всех изменениях.

Перехват данных - очень серьезная угроза, и если конфиденциальность действительно является критичной, а данные передаются по многим каналам, их защита может оказаться весьма сложной и дорогостоящей. Технические средства перехвата хорошо проработаны, доступны, просты в эксплуатации, а установить их, например на кабельную сеть, может кто угодно, так что эту угрозу нужно принимать во внимание по отношению не только к внешним, но и к внутренним коммуникациям.

Таким образом, обеспечение информационной безопасности есть совокупность деятельности по недопущению вреда свойствам объекта безопасности, обусловливаемым информацией и информационной инфраструктурой, и субъектов, а также средств этой деятельности.

Деятельность по обеспечению информационной безопасности — комплекс планируемых и проводимых в целях защиты информационных ресурсов мероприятий, направленных на ликвидацию угроз информационной безопасности и минимизацию возможного ущерба, который может быть нанесен объекту безопасности вследствие их реализации.

Под субъектами обеспечения информационной безопасности понимаются государственные органы, предприятия, должностные лица, структурные подразделения, принимающие непосредственное участие в организации и проведении мероприятий по обеспечению информационной безопасности.

Средства осуществления деятельности по обеспечению информационной безопасности — это системы, объекты, способы, методы и механизмы, предназначенные для непосредственного решения задач обеспечения информационной безопасности.

Организационные меры обеспечения безопасности информации

Задачи по обеспечению информационной безопасности сводятся к минимизации ущерба, а также к прогнозированию и предотвращению угроз безопасности.

Защита информации представляет собой принятие организационных, аппаратно-программных и правовых мер, направленных на обеспечение целостности, конфиденциальности, доступности информации.

К организационным мерам относят:

- организацию охраны помещений и ЭВМ (система охраны включает в себя инженерные конструкции, охранную сигнализацию, средства наблюдения, систему доступа на объект и т.д.);

- организацию разграничения доступа к информационным ресурсам;

- контроль над качеством работы, профессиональный отбор, обучение и стимулирование персонала ЭВМ;

- организацию труда пользователей,

- обеспечение противопожарной защиты и температурно-влажностного режима;

- контроль износа и старения устройств, а также правильности их эксплуатации и т.д.

Аппаратно-программные меры обеспечения безопасности информации

Основными аппаратно-программными меры повышения сохранности информации являются:

- резервирование (дублирование) информации,

- блокировка ошибочных операций,

- идентификация и аутентификация пользователей,

- использование средств антивирусной защиты,

- применение межсетевых экранов,

- контентная фильтрация почтовых сообщений,

- криптографическое преобразование данных и др.

Резервирование информации является одним из самых эффективных методов обеспечения сохранности информации. Для записи резервных копий ценной информации используют различные виды дисков, флэш-накопители, другие компьютеры в сети.

Для блокировки ошибочных операций используются аппаратно-программные средства, с помощью которых может быть заблокирована запись в определенные области внешних запоминающих устройств. С этой же целью устанавливаются специальные атрибуты файлов, в том числе и атрибут, запрещающий запись в файлы; используется режим обязательного подтверждения выполнения опасных операций, таких как уничтожение файлов, разметка или форматирование носителей информации и др.

Идентификацияи аутентификация пользователей обеспечивает разграничение доступа к информации.

Идентификация позволяет субъекту назвать себя, т.е. представить системе некие уникальные признаки – идентификаторы. Посредством аутентификации вторая сторона устанавливает подлинность субъекта на основе сравнения с эталонными идентификаторами, т.е. убеждается, что субъект действительно тот, за кого он себя выдает.

Идентификаторами субъекта могут служить:

- секретная символьная информация (пароль, секретный ключ, личный идентификационный номер и т.п.);

- специальные устройства (например, личная пластиковая карточка);

- биометрические признаки (узор радужной оболочки и сетчатки глаз, отпечатки пальцев, форма и размеры лица, особенности голоса и т.д.).

Большое значение для обеспечения безопасности информации имеет использование антивирусных программ.

Брандмауэр, или файрвол, межсетевой экран(от нем. Brandmauer, англ. firewall – противопожарная стена) – система, предназначенная для предотвращения несанкционированного доступа к компьютеру из сети.

Брандмауэр анализирует данные, поступающие в компьютер из Интернета, и отправляемые компьютером в Интернет. Он выявляет информацию, поступающую из опасного источника или кажущуюся подозрительной, и блокирует ее прием.

На сегодняшний день существуют две основных категории брандмауэров:

- программные (например, брандмауэр Windows, Outpost Firewall PRO, ZoneAlarm Pro, ZoneAlarm Free Firewall);

- Программы, предназначенные для контентной фильтрации почтовых сообщений, отфильтровывают нежелательные сообщения в процессе приема электронной почты.

Большую роль в защите информации играет криптография.

Криптография(от греч. kryptos – тайный и grapho – пишу) – наука о математических принципах, средствах и методах преобразования информации для защиты ее от несанкционированного доступа, а также обеспечения целостности информации, подлинности авторства и невозможности отказа от авторства.

С помощью криптографии возможно, например, шифрование данных и реализация электронной подписи.

Шифрование— это процесс преобразования открытого сообщения в шифрованное сообщение (криптограмму) с помощью определенных правил, содержащихся в ключе.

В зависимости от структуры используемых ключей методы шифрования подразделяются на две группы:

- симметричноешифрование (зашифрование и расшифрование проводится с использованием одного и того же секретного ключа);

- асимметричное шифрование (зашифрование и расшифрование проводится с использованием ключевой пары, состоящей из открытого и закрытого ключа).

Правовые меры обеспечения безопасности информации

К правовым мерам безопасности информации относятся:

- разработка норм ответственности за компьютерные правонарушения и преступления,

- защита авторских прав программистов,

- совершенствование систем уголовного и гражданского законодательства РФ в сфере обеспечения информационной безопасности.

Программы являются объектом охраны авторского права, т.е. у любой программы есть автор и именно он определяет права на ее использование третьими лицами. Об этом свидетельствует Раздел VII «Права на результаты интеллектуальной деятельности и средства индивидуализации» Части 4 Гражданского Кодекса РФ и Федеральный Закон «Об информации, информационных технологиях и о защите информации».

Для оповещения о своих правах разработчик программы должен указать в заголовке:

- наименование (имя) правообладателя, год первого выпуска программы в свет.

Программы по их юридическому статусу можно разделить на три категории:

- бесплатные (англ. Freeware) — программы, лицензионное соглашение которых не требует каких-либо выплат правообладателю;

- условно-бесплатные (англ. Shareware) — программы, распространяемые бесплатно с целью продвижения их на рынке, и представляющие собой чаще всего ограниченную по возможностям, сроку действия версию или версию с встроенным напоминанием о необходимости оплаты использования программы;

- коммерческие (англ. Commercial Software) — программы, распространяемые за деньги, с четко оговоренными правами на их использование и гарантиями производителя.

Современные АИС обладают следующими основными признаками:

· наличием информации различной степени конфиденциальности;

· необходимостью криптографической защиты информации различной степени конфиденциальности при передаче данных;

· иерархичностью полномочий субъектов доступа и программ к АРМ, файл-серверам, каналам связи и информации системы;

· организацией обработки информации в диалоговом режиме, в режиме разделения времени между пользователями и в режиме реального времени;

· обязательным управлением потоками информации как в локальных сетях, так и при передаче по каналам связи на далекие расстояния;

· необходимостью регистрации и учета попыток несанкционированного доступа, событий в системе и документов, выводимых на печать;

· обязательным обеспечением целостности программного обеспечения и информации в АИС;

· наличием средств восстановления системы защиты информации;

· обязательным учетом магнитных носителей;

· наличием физической охраны средств вычислительной техники и магнитных носителей.

Организационные мероприятия и процедуры, используемые для решения проблемы безопасности информации, решаются на всех этапах проектирования и в процессе эксплуатации АИС.

Существенное значение при проектировании придается предпроектному обследованию объекта. На этой стадии выполняются следующие действия:

12 3 4 5 6 7 8 9 10 Следующая ⇒