75

1. Информационная безопасность

Не существует абсолютной защиты. Всякая защита измеряется временем и стоимостью взлома.

Информация – сведения об окружающем мире и протекающих в нем процессов, воспринимаемые непосредственно человеком или специальными устройствами.

Информационная безопасность – защищенность информационной системы от случайного или преднамеренного вмешательства, наносящего ущерб владельцам или пользователям информации.

На практике важны 3 аспекта информационно безопасности:

1. Доступность – возможность за разумное время получить информационную услугу.

2. Целостность – актуальность и непротиворечивость информации при ее защищенности от разрушения и несанкционированного вмешательства (воздействия).

3. Конфиденциальность

Компоненты АИС можно разбить на следующие групы:

-Аппаратные средства (компьютеры и их составные части)

-Программное обеспечение

-Данные, хранимые временно или постоянно на различных носителях

-Персонал (обслуживающий и пользователи)

2. Основные угроза информационной безопасности Опасное воздействие на ис делят на случайное и преднамеренное:

Случайные - Причинами случайных воздействий являются аварии из-за стихийных бедствий или технических причин, отказы и сбои аппаратуры, ошибки в ПО, ошибки в работе персонала, помехи в линиях связи из-за воздействия внешней среды.

Преднамеренное воздействие – целенаправленное действие нарушителя. В качестве нарушителя может быть: служащие, посетитель, конкурент, наемник, действия которых могут быть обусловлены разными мотивами – недовольство карьерой, взяткой, любопытство, конкурентной борьбой, стремлением самоутвердиться любой ценой.

Гипотетический портрет потенциального нарушителя:

1. Квалификация нарушителя на уровне разработчика системы

2. Нарушитель – как постороннее лицо, так и законный пользователь

3. Нарушителям известна информация о принципах работы системы

4. Нарушитель выбирает наиболее слабое звено в защите

Наиболее распространенным и многообразным видом компьютерных нарушений является несанкционированный доступ (НСД). Он может осуществляться через:

-человека (хищение носителя информации, чтение информации с экрана или клавиатуры, чтение информации из распечатки)

-программы (перехват паролей, дешифровка зашифрованной информации, копирование информации с носителя)

-аппаратуру (подключение специальных аппаратных средств, обеспечивающих доступ, перехват электромагнитных излучений, особенно опасен компьютерный доступ в компьютерных сетях, из-за удаленных атак).

3. Меры по обеспечению информационной безопасности, принципы надежной системы защиты

Формирование режима безопасности – проблема комплексная. Меры по ее решению можно подразделить на 5 уровней:

1. Законодательный (законы, норм акты, стандарты и т. д.)

2. Морально-этический (всевозможные нормы поведения, несоблюдение которых ведет к падению престижа человека или целой организации)

3. Административный (действия общего характера, предпринимаемые руководством)

4. Физический (механические, электро-, электронно-механические и др.)

5. Аппаратно-программный (электронные устройства и специальные программы защиты)

Надежные системы защиты должна соответствовать следующим критериям:

1. Стоимость средств защиты должна быть меньше, чем размеры возможного ущерба

2. Каждый пользователь должен иметь минимальный набор привилегий, необходимых для работы

3. Защита тем более эффективна, чем проще пользователю с ней работать.

4. Возможность отключения в экстренных случаях

5. Специалисты, имеющие отношение к системе защиты должны полностью представлять принципы ее функционирования, чтобы иметь возможность адекватно реагировать в затруднительных (конфликтных между человеком и системой) ситуациях

6. Под защитой должна находиться вся система обработки информации

7. Разработчики системы защиты не должны быть в числе тех, кого она контролирует

8. Система защиты должна представлять доказательства корректности своей работы

9. Лица, обеспечивающие информационную безопасность должны нести личную ответственность

10. Объекты защиты целесообразно делить на группы, так чтобы нарушение защиты в одной не влияло на безопасность других

11. Надежная система защиты должна быть полностью протестирована и согласована

12. Система защиты должна разрабатываться исходя из предположения, что пользователи будут совершать серьезные ошибки, и вообще имеют наихудшие намерения. Наиболее важные и критические решения должны приниматься человеком

13. Существование механизмов защиты должно быть скрыто от пользователей, работа которых находится под контролем

Аппаратно-программные средства защиты