- •Теоретические основы компьютерной безопасности
- •Содержание
- •Федеральный закон об электронной подписи n 63-фз от 6 апреля 2011 года 81 список сокращений
- •Основные определения
- •Информация
- •Федеральный закон российской федерации от 27 июля 2006 г. №149-фз «об информации, информационных технологиях и о защите информации»
- •Парольные системы для защиты от нсд к информации
- •Общие подходы к построению парольных систем
- •Выбор паролей
- •Организация иб
- •Анализ угроз иб
- •Построение систем защиты от угрозы нсд
- •Защита на уровне представления или криптографические методы защиты информации
- •Концепция ас
- •Сопряжение симметричной и ассиметричной системы
- •Схемы рассылки ключей диффи - хэлмана
- •Протоколы
- •Схемы применимости скзи
- •Эцп от 10 января 2002 года n 1-фз
- •Инфраструктура открытых ключей
- •Стенография
- •Принципы обеспечения целостности
- •Модель контроля целостности биба
- •Модификация модели биба
- •Теория модели безопасности, монитор безопасности
- •Проблема безопасностей моделей
- •Защита памяти
- •Предотвращение неисправностей по в ас, построение сз от угроз отказа доступа, защита от сбоев па среды
- •Дискреционная модель управления доступом
- •Модель хру
- •Дискреционная модель управления доступом
- •Ролевое управление доступом
- •Оранжевая книга – требования tcb
- •Дерево ролей
- •Модель доменов и типов
- •Информационные модели безопасности
- •Модель распространения прав доступа take-grant
- •Расширенная модель take - grant
- •Федеральный закон об электронной подписи n 63-фз от 6 апреля 2011 года
Федеральный закон российской федерации от 27 июля 2006 г. №149-фз «об информации, информационных технологиях и о защите информации»
Проблема защиты машинных носителей информации (МНИ) в АС, решается в основном за счет организационно-режимных мер, делающих невозможным или существенно ограничивающим доступ злоумышленников к МНИ и документальным материалам АС.
Методы несанкционированного доступа к МНИ по сути дела совпадают с методами преодоления обычных средств защиты от физического проникновения в локализованное защищаемое пространство. В связи с этим одним из наиболее надежных подходов является их физическая защита. В то же время защита МНИ имеет специфику, определяемую их реализацией и организацией.
Независимо от типа носителя, данные на носителях хранятся блоками (секторами, кластерами и т.п.). Как известно, для доступа к данным МНИ существуют два основных способа:
последовательный доступ, когда блоки записываются друг за другом и для чтения следующего нужно пройти все предыдущие;
прямой (произвольный) доступ, отличающийся тем, что блоки записываются и читаются в произвольном порядке.
Например, дисковые накопители являются устройствами произвольного доступа, накопители на магнитной ленте - последовательного доступа.
Кроме этого, МНИ характеризуются:
различными физическими принципами реализации;
объемом хранимой информации;
многообразием конкретных реализаций носителей различными производителями.
В силу данных условий задача получения злоумышленником доступа к информации на машинном носителе может быть представлена как последовательность следующих подзадач:
Выбор соответствующего заданному носителю привода;
Запуск соответствующего приводу комплекта программ (операционная система, драйверы привода и т.п.);
Обеспечение порядка использования программ и привода для считывания в память компьютерной системы содержимого носителя информации.
Злоумышленник не может получить доступ к информации на машинном носителе в двух случаях:
Когда злоумышленнику недоступен сам носитель;
Когда злоумышленнику доступен носитель, но отсутствуют соответствующие средства взаимодействия с носителем.
Следует отметить, что в настоящее время разработаны МНИ (например, Zip фирмы Iomega) с встроенными в сам носитель средствами защиты, т.е. для обращения к такому накопителю задается пароль доступа, и в результате прочитать или вообще получить доступ к содержимому носителя нельзя ни на каком другом приводе.
Однако наиболее типична ситуация, когда в защищаемой АС используются распространенные МНИ, а значит, у потенциального злоумышленника существует возможность получить на своем приводе доступ. В этом случае практически единственным выходом являются организационные меры защиты - меры общего характера, затрудняющие доступ злоумышленников к конфиденциальной информации вне зависимости от способа обработки информации и каналов утечки.
Основными задачами обеспечения информационной безопасности АС от угрозы раскрытия конфиденциальности на уровне МНИ являются:
Исключение прохождения носителей по технологическим участкам, не обусловленным производственной необходимостью;
Предупреждение непосредственного доступа к носителям персонала, не отвечающего за операции с носителями (минимизация доступа), предупреждение утраты или хищения носителей информации.
Первая задача решается за счет рациональной организации производственного процесса движения носителей информации, обеспечивающего целенаправленное распределение носителей по технологическим участкам, вторая - за счет четкой и обоснованной регламентации порядка обращения с носителями.
Регламентация порядка обращения с носителями предусматривает выполнение комплекса мер:
Запись информации (создание носителей с информацией) на рабочих местах, обеспечивающих условия для предотвращения утечки по техническим каналам и физической сохранности носителей.
Постановку на учет МНИ с простановкой соответствующей маркировки на зарегистрированном носителе. Одним из элементов маркировки должен быть гриф секретности информации, хранящейся на данном носителе.
Передачу МНИ между подразделениями организации, эксплуатирующей АС, под расписку.
Вынос МНИ за пределы организации только с разрешения уполномоченных лиц.
Хранение МНИ в условиях, исключающих несанкционированный доступ посторонних. Надлежащие условия хранения должны быть обеспечены для всех учтенных носителей, независимо от того, находятся ли они в эксплуатации или нет.
Уничтожение МНИ, которые утратили свои эксплуатационные характеристики или не используются из-за перехода на новый тип носителя, специально организованными комиссиями согласно актам, утверждаемым уполномоченными лицами. Перед уничтожением конфиденциальная информация должна быть по возможности гарантированно удалена.
Передачу в ремонт средств вычислительной техники без МНИ, которые могут содержать конфиденциальную информацию (без накопителей на жестких дисках и т.п.). В случае ремонта МНИ конфиденциальная информация на них должна быть гарантированно удалена. Если удалить информацию невозможно, решение о ремонте принимается руководителем соответствующего подразделения, а ремонт осуществляется в присутствии лица, ответственного за сохранность информации на данном носителе.
Периодический контроль контролирующими подразделениями соблюдения установленных правил обращения с носителями и их физической сохранности.
В соответствии с данными условиями можно установить требования, выдвигаемые к обслуживающему персоналу АС. Лицам, эксплуатирующим и обслуживающим АС, запрещается:
Сообщать, кому бы то ни было в какой бы ни было форме, если это не вызвано служебной необходимостью, любые сведения о характере работы, выполняемой в АС; о порядке защиты, учета и хранения МНИ, о системе охраны и пропускном режиме объекта.
Использовать для работы с конфиденциальной информацией незарегистрированные МНИ.
Хранить на МНИ информацию с более высокой степенью секретности, чем определено для него в момент регистрации.
Работать с неучтенными экземплярами конфиденциальных документов, полученных в ходе обращений в АС, и передавать их другим сотрудникам.
Выносить из помещений, где установлены средства вычислительной техники (СВТ) АС, без разрешения ответственных за режим в этих помещениях: МНИ, содержащие конфиденциальные данные, подготовленные в АС документы, а также другую документацию, отдельные блоки, аппаратуру и иное оборудование.
Вносить в помещения, где расположены СВТ АС, постороннее имущество и материалы, в том числе кинофотоаппаратуру и радиоаппаратуру.
Принимать и передавать МНИ и документы без соответствующей расписки в учетных документах, знакомить с ними других сотрудников без разрешения соответствующих должностных лиц.
Делать на этикетках МНИ или на их упаковках пометки и надписи, раскрывающие содержание этих носителей.
Уничтожать МНИ и документы без санкции соответствующего должностного лица и оформления в установленном порядке.
Проводить в АС обработку конфиденциальной информации и выполнять другие работы, не обусловленные заданиями, поступающими запросами и инструкциями по эксплуатации АС, а также знакомиться с содержанием МНИ и документами по вопросам, не имеющим отношения к служебным обязанностям.