- •1.Что называется информационной безопасностью и какие данные называются критическими?
- •3. Какие четыре уровня защиты компьютерных и информационных ресурсов вы можете назвать?
- •4. Перечислите признаки, свидетельствующие о наличии уязвимых мест в информационной безопасности?
- •5. Перечислите меры защиты инф.Безоп.?
- •6. Какие меры предпринимают по защите целостности информации, защите системных программ?
- •7. Что включает в себя защита компьютерных программ?
- •8. Что подразумевает физическая безопасность и какие меры предпринимаются для ее обеспечения?
- •9. Назовите цель онрв и его основные положения?
- •10. Назовите основные компоненты системы информационной безопасности, которые должны быть предусмотрены в онрв.
- •12. Законодательная основа информационной безопасности, статьи и пр.
- •14. Основные принципы защиты информации на административном уровне?
- •15. Средства Разграничения доступа.
- •16. Что такое cgi процедуры, их назначения?
- •17. Чем опасна программа, полученная из ненадежного источника, какие вы знаете средства контроля над такими программами?
- •18. Как осуществляется защита web-серверов?
- •19. Методы, применяемые в открытых сетях для подтверждения и проверки подлинности субъектов.
- •20. Криптографическая защита корпоративных потоков данных.
- •21. Влияние сетевой архитектуры на обеспечение безопасности данных.
- •22. Чем определяется концепция обеспечения безопасности асои.
- •23. В чем состоит избирательная политика безопасности способом управления доступом.
- •24. Организационные меры безопасности асои.
- •25. Физические, правовые и морально-этические меры безопасности.
- •26. Программно-технические средства защиты асои.
- •32. Сетевые платежные системы.
- •33. Дублирование информации.
- •34. Повышение надежности кс.
- •35. Создание отказоустойчивых кс.
23. В чем состоит избирательная политика безопасности способом управления доступом.
Политика безопасности определяется способом управления доступом, определяющим порядок доступа к объектам системы. Различают два основных вида политики безопасности: избирательную и полномочную
Избирательное (или дискреционное) управление доступом характеризуется заданным администратором множеством разрешенных отношений доступа (например, в виде троек логических отношений или ключей «объект, субъект, тип доступа»). Обычно для описания свойств избирательного управления доступом применяют математическую модель на основе матрицы доступа.
Матрица доступа представляет собой матрицу, в которой столбец соответствует объекту системы, а строка - субъекту. На пересечении столбца и строки матрицы указывается тип разрешенного доступа субъекта к объекту. Обычно выделяют такие типы доступа субъекта к объекту, как "доступ на чтение", "доступ на запись", "доступ на исполнение" и тому подобное. Матрица доступа является самым простым подходом к моделированию систем управления доступом. Однако она является основой для более сложных моделей, более адекватно описывающих реальные АСОИ.
Избирательная политика безопасности широко применяется в АСОИ коммерческого сектора, так как ее реализация соответствует требованиям коммерческих организаций по разграничению доступа и подотчетности, а также имеет приемлемую стоимость.
Полномочная политика безопасности основана на полномочном (мандатном) способе управления доступом.
Полномочное (или мандатное) управление доступом характеризуется совокупностью правил предоставления доступа, определенных на множестве атрибутов безопасности субъектов и объектов, например, в зависимости от метки или ключа конфиденциальности информации и уровня допуска пользователя. Полномочное управление доступом подразумевает, что:
все субъекты и объекты системы однозначно идентифицированы;
каждому объекту системы присвоена метка конфиденциальности информации, определяющая ценность содержащейся в нем информации;
каждому субъекту системы присвоен определенный уровень допуска, определяющий максимальное значение метки конфиденциальности информации объектов, к которым субъект имеет доступ;
каждый субъект информирован, что все его запросы к информации фиксируются, в том числе и санкционированные.
Чем важнее объект, тем выше его метка конфиденциальности. Поэтому наиболее защищенными оказываются объекты наиболее высокими значениями метки конфиденциальности.
Основным назначением полномочной политики безопасности является регулирование доступа субъектов системы к объектам различными уровнями конфиденциальности. Поэтому, предотвращение утечки информации с верхних уровней должностной иерархии на нижние запрещается программно-техническими решениями, а также применяется блокирование возможных проникновений (информационных запросов) с нижних уровней на верхние уровни.
Помимо управления доступом субъектов к объектам системы проблема защиты информации имеет еще один аспект. Для получения информации о каком-либо объекте системы совсем необязательно искать пути несанкционированного доступа к нему. Необходимую информацию можно получить, наблюдая за обработкой требуемого объекта, то есть используя каналы утечки информации, системе всегда существуют информационные потоки. Поэтому администратору необходимо классифицировать и определить, какие информационные потоки в системе являются "легальными" и не ведут к утечке информации, а какие ведут к утечке. Поэтому в дипломной работе возникает необходимость разработки правил, регламентирующих управление информационными потоками в системе.
Обычно управление информационными потоками разрабатывается на этапе проектирования ЭИС, а концептуально применяется в рамках избирательной полномочной политики, дополняя их и способствуя повышению надежности системы защиты. Системы управления информационными потоками, как правило, не являются адаптивными, а проектируются по жесткой (программной) структуре.
Избирательное и полномочное управление доступом, а также управление информационными потоками являются тем фундаментом, на котором строится вся система защиты.