!2. Организационно-технологические меры защиты целостности информации на машинных носителях.

Организационно-технологические меры защиты целостности информации на МНИ делят на:1) организационные меры по поддержке целостности информации, хранящейся на МНИ;2) технологические меры контроля целостности битовых последовательностей на МНИ.

В свою очередь, организационные меры разделяются на две группы: 1) создание резервных копий информации, хранимой на МНИ: создание резервных копий информации, хранимой на МНИ, должно быть обязательной регулярной процедурой, периодичность которой зависит от технологии обработки информации, в частности от объема вводимых данных, важности информации, возможности повторного ввода. Для создания резервных копий могут использоваться как стандартные утилиты, которые сохраняют выбранные файлы или каталоги, так и специализированные системы резервного копирования, адаптированные к конкретной АС.; 2) обеспечение правильных условий хранения и эксплуатации МНИ: для хранения архивных данных выбирают, те носители, которые при заданном объеме копируемой информации и предполагаемом сроке хранения оптимальны по цене единицы хранимой информации.

Для обеспечения контроля целостности информации чаще всего применяют циклический контрольный код. В основе данного подхода лежит понятие полинома или многочлена.

Под целостностью данных понимают отсутствие ненадлежащих изменений: ни одному пользователю АС, в том числе и авторизованному, не должны быть разрешены такие изменения данных, которые повлекут за собой их разрушение или потерю.

Существуют следующие теоретические принципы целостности данных: 1) корректность транзакций: пользователь не должен модифицировать данные произвольно, а только определенными способами, так, чтобы сохранялась целостность данных; 2) аутентификация пользователей: изменение данных может осуществляться только специально аутентифицированными для этой цели пользователями; 3) минимизация привилегий: принцип, согласно которому следует минимизировать назначаемые привилегии в строгом соответствии с содержанием выполняемой задачи, распространяется в равной мере как на процессы, так и на пользователей системы; 4) разграничение функциональных обязанностей: организация работы с данными так, что в каждой из ключевых стадий, составляющих единый критически важный процесс, необходимо участие различных пользователей; один пользователь не может выполнить весь процесс целиком; 5) аудит произошедших событий: пользователи, как правило, имеют несколько больше привилегий, чем им необходимо для выполнения конкретного действия в данный момент времени. А это открывает возможности для злоупотреблений. Аудит произошедших событий - превентивная мера в отношении потенциальных нарушителей; 6) объективный контроль: контроль целостности данных имеет смысл лишь тогда, когда эти данные отражают реальное положение вещей; 7) управление передачей привилегий: если схема назначения привилегий неадекватно отражает организационную структуру предприятия или не позволяет администраторам безопасности манипулировать ею для обеспечения эффективности производственной деятельности, защита провоцирует попытки обойти ее там, где она мешает "нормальной" работе; 8) обеспечение непрерывной работоспособности: защиту от сбоев, стихийных бедствий и других форс-мажорных обстоятельств; 9) простота использования защитных механизмов: обеспечение эффективного применения механизмов обеспечения безопасности. На практике зачастую, предусмотренные в системе механизмы безопасности некорректно используются или полностью игнорируются системными администраторами по причинам: неправильно выбранные производителем конфигурационные параметры по умолчанию обеспечивают слабую защиту; плохо разработанные интерфейсы управления защитой усложняют использование даже простых средств безопасности; имеющиеся средства безопасности не обеспечивают адекватный уровень контроля за системой; реализация механизмов безопасности плохо соответствует сложившемуся у администраторов интуитивному их пониманию; отдельные средства защиты плохо интегрированы в общую схему безопасности; администраторы недостаточно осведомлены о важности применения конкретных механизмов защиты и их особенностях.