1. Основные понятия, определения и категории безопасности автоматизированных систем. Классификация угроз. Свойства и категории информационных систем. Основные требования к защите распределительных систем.

Под информационной безопасностью понимается защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

Защита информации – комплекс мероприятий, направленных на обеспечение информационной безопасности.

Стандартизированные определения

Безопасность информации (данных)— состояние защищенности информации (данных), при котором обеспечены её (их) конфиденциальность, доступность и целостность.

Информационная безопасность— защита конфиденциальности, целостности и доступности информации.

1. Конфиденциальность: свойство информационных ресурсов, в том числе информации, связанное с тем, что они не станут доступными и не будут раскрыты для неуполномоченных лиц.

2. Целостность: неизменность информации в процессе ее передачи или хранения.

3. Доступность: свойство информационных ресурсов, в том числе информации, определяющее возможность их получения и использования по требованию уполномоченных лиц.

В качестве стандартной модели безопасности часто приводят модель из трёх категорий:

• конфиденциальность (англ. confidentiality)— состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на нее право;

• целостность (англ. integrity)— избежание несанкционированной модификации информации;

• доступность (англ. availability)— избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа.

Классификация угроз

Нарушение физической целостности- Уничтожение (искажение)

Нарушение логической структуры - Искажение структуры

Нарушение содержания - Несанкционированная модификация

Нарушение конфиденциальности - Несанкционированное получение

Нарушение права собственности - Присвоение чужого права

Информационная система определяется следующими свойствами:

• любая информационная система может быть подвергнута анализу, построена и управляема на основе общих принципов построения систем;

• информационная система является динамичной и развивающейся;

• при построении информационной системы необходимо использовать системный подход;

• выходной продукцией информационной системы является информация, на основе которой принимаются решения;

• информационную систему следует воспринимать как человеко-компьютерную систему обработки информации.

Категории информационной безопасности.

1. Конфеденциальность — гарантия того что конкретная информация доступа толку доступна тому кругу лиц для кого она предназначена

2. Целосность — гарантия того, что информация существует в текущий момент времени в её исходном виде.

3. Аутентичность — гарантия того что источником информации яв-ся именно то лицо которое заявлено как ее автор.

4. Аппелируемость - гарантия того, что при необходимости можно будет доказать что автором являеться именно заявленный человек, а не кто нибудь другой.

5. Надежность — гарантия того что система ведет себя нормально как запланировано

6. Точность — это гарантия точного и полного выполнения всех команд системой

7. Контроль доступа — гарантия того что различные группы пользователей в отдельные моменты времени имеют различный доступ к информационным объектам и эти разграничения постоянно выполняються

8. Контролируемость — гарантия того что в любой момент времени может быть выполнена полноценная проверка любой компаненты системы.

9. Контроль идентификации — гарантия того что пользователь входя в систему являеться именно тем, за кого он себя выдает.

10. Устойчивость к умышленным сбоям — гарантия того что при умышленном внесении ошибок в заранее определенных пределах система будет вести себя как запланированно.

Требования к защите - необходимость обеспечения :

1. конфеденциальности данных

2. Целостности и точного хранения информации и программного обеспечения

3. Доступности данных тех средств и служб для тех кто имеет право доступа.

4. Состояния всех направлений деятельности действий законодательства политики безопасности, организации должносным инструкциямм и морально-этическим нормам.

2. Стандарты и рекомендации в области информационной безопасности - «Оранжевая книга» (Основные элементы политики безопасности, подотчетность,

гарантированность, документация)

Основные цели и средства

Политики

Политики безопасности должны быть подробными, четко определёнными и обязательными для компьютерной системы. Есть две основных политики безопасности:

• Мандатная политика безопасности — обязательные правила управления доступом напрямую основанные на индивидуальном разрешении, разрешении на доступ к информации и уровне конфиденциальности запрашиваемой информации. Другие косвенные факторы являются существенными и окружающими. Эта политика также должна точно соответствовать закону, главной политике и прочим важным руководствам, в которых устанавливаются правила.

  • Маркирование — системы предназначенные для обязательной мандатной политики безопасности должны предоставлять и сохранять целостность меток управления доступом и хранить метки, если объект перемещён.

• Дискреционная политика безопасности — предоставляет непротиворечивый набор правил для управления и ограничения доступа, основанный на идентификации тех пользователей, которые намерены получить только необходимую им информацию.

Ответственность

Индивидуальная ответственность в независимости от политики должна быть обязательной. Есть три требования по условиям ответственности:

• Аутентификация — процесс используемый для распознавания индивидуального пользователя.

• Авторизация — проверка разрешения индивидуальному пользователю на получение информации определённого рода.

• Аудит — контролируемая информация должна избирательно храниться и защищаться в мере, достаточной для отслеживания действий аутентифицированного пользователя, затрагивающих безопасность.

Гарантии

Компьютерная система должна содержать аппаратные и/или программные механизмы, которые могут независимо определять обеспечивается ли достаточная уверенность в том, что система исполняет указанные выше требования. В добавок, уверенность должна включать гарантию того, что безопасная часть системы работает только так, как запланировано. Для достижения этих целей необходимо два типа гарантий и соответствующих им элементов:

• Механизмы гарантий

  • Операционная гарантия — уверенность в том, что реализация спроектированной системы обеспечивает осуществление принятой стратегии защиты системы. Сюда относятся системная архитектура, целостность системы, анализ скрытых каналов, безопасное управление возможностями и безопасное восстановление.

  • Гарантия жизненного цикла — уверенность в том, что система разработана и поддерживается в соответствии с формализованными и жестко контролируемыми критериями функционирования. Сюда относятся тестирование безопасности, задание на проектирование и его проверка, управление настройками и соответствие параметров системы заявленным.

• Гарантии непрерывной защиты — надёжные механизмы, обеспечивающие непрерывную защиту основных средств от преступных и/или несанкционированных изменений.

Документирование

В каждом классе есть дополнительный набор документов, который адресован разработчикам, пользователям и администраторам системы в соответствии с их полномочиями. Эта документация содержит:

• Руководство пользователя по особенностям безопасности.

• Руководство по безопасным средствам работы.

• Документация о тестировании.

• Проектная документация