Основные составляющие информационной безопасности.

Принципы защиты информации.

Основные программно-технологические меры обеспечения защиты информации.

Ключевые слова:информационная безопасность, защита информации,VPN,IIS,Apache,Unicode,SSl,ASP, переполнение буфера, механизм доступа, привилегии, неприемлемый ущерб. Правовая информация, целостность данных, компьютерное преступление, криптография, отказ в обслуживании, тестирование защиты, безопасный код, вредоносный код, вирус, конфиденциальность, опасные функции, червь, хакер и др.

С развитием Интернета и удаленной связи между базами данных и приложениями, удаленными друг от друга, разрушение системы становится катастрофой для пользователей. Применение мер защиты информации, стало задачей каждого современного разработчика программного обеспечения. В 90-х годах. при отсутствии защиты были осуществлены самые громкие компьютерные преступления. Даже на уровне государства защита данных становиться стратегической государственной задачей. В связи с этим разработана доктрина информационной безопасности России.

Принципы защиты конфиденциальной информации в ИТУ заключаются в соблюдении требований мер безопасности по критериям оранжевой книги. В январе 1981 года в соответствии с директивой министра обороны США N 5215.1 с целью определения пригодности предлагаемых различными разработчиками компьютерных систем был создан Центр компьютерной безопасности министерства обороны США. Позднее, в сентябре 1985 года, этот центр был переименован в Национальный центр компьютерной безопасности (National Computer Security Center; NCSC). Интерпретация оранжевой книги выпущена в США в 1987 году.

Оценка ИТУ осуществляется на основании стандарта, известного как Критерии оценки пригодности компьютерных систем министерства обороны (Department of Defence Trusted Computer System Evaluation Criteria;TCSEC), установленного в 1983 году директивой министра обороны N5200.28-STD. Требования TCSEC, предъявляемые к ИТУ в процессе оценивания, условно можно разделить на четыре типа - требования проведения последовательной политики безопасности (security policy), требования ведения учета использования продукта (accounts), требования доверия к продукту (assurance) и требования к документации на продукт.

Согласно TCSEC, для оценивания компьютерных систем выделено четыре основных группы безопасности, которые в свою очередь делятся на классы безопасности:

• группа Д - Minimal Protection (минимальная защита) - объединяет компьютерные системы, не удовлетворяющие требованиям безопасности высших классов. В данном случае группа и класс совпадают;

• группа С - Discretionary Protection (избирательная защита) - объединяет системы, обеспечивающие набор средств защиты, применяемых пользователем, включая средства общего контроля и учета субъектов и их действий. Эта группа имеет два класса;

• группа В - Mandatory Protection (полномочная защита) - имеет три класса;

• группа А - Verified Protection (проверяемая защита) - объединяет системы, характерные тем, что для проверки реализованных в системе средств защиты обрабатываемой или хранимой информации применяются формальные методы. Обязательным требованием является полная документированность всех аспектов проектирования, разработки и исполнения систем. Выделен единственный класс.

Структура управления ИТУ в организации включает процедурный, законодательный и административный уровни информационной безопасности. Процедурный уровень включает управление персоналом, физическую защиту, реагировние на нарушение безопасности, планирование восстановительных работ, выполнение работ по поддержке пользователей и ИТУ.

Законодательный уровень включает административные положения и воздействия, соблюдение лицензионных правил пользования программно-техническими комплексами, направляющие и координирующие меры безопасности.

Административный уровень сключает союлюдение политики безопасности, обеспечение базы соблюдения законов и обучения персонала, исполнение ролей и контактов при контроле мер безопасности, 22 админитративнызх решения по безопасности (книга автора [10]).

Темы лекций.

1.Основные составляющие информационной безопасности.

2.Принципы защиты информации.

3.Основные программно-технологические меры обеспечения защиты информации.

4.22 способа обеспечения корпоративной безопасности.

5.Механизмы защищенного доступа. Криптография. Небезопасные конструкции Тэгов.

Темы для доклада на семинаре:

1. Безопасные методы работы в сети Интернет.

2. Уровень законодательства в ИТ.

Темы практических занятий:

1. Протоколирование и аудит ИТУ.

Задания для самостоятельной работы.

1. Попробуйте защитить свой компьютер от спама.