Основні поняття безпеки інформації
Зміст
Введення
1. Загальні положення безпеки інформації
2. Джерела загроз безпеки інформації, їх класифікація
3. Методи парирування загроз
Висновок
Список використовуваних інформаційних джерел
Введення
Використання автоматизованих систем у всіх сферах діяльності людини, заснованих на застосуванні сучасних інформаційно-комунікаційних технологій, висунуло цілу низку проблем перед розробниками і користувачами цих систем. Одна з найбільш гострих проблем - проблема інформаційної безпеки, яку необхідно забезпечувати, контролювати, а також створювати умови для її управління.
Практично вся сучасна інформація готується або може бути досить легко перетворять на машиночитаемую форму. Характерною особливістю такої інформації є можливість сторонніх осіб легко і непомітно спотворити, скопіювати або знищити її. Ця обставина викликає необхідність організації безпечного функціонування даних у будь-яких інформаційних системах. Такі заходи називають захистом інформації або інформаційною безпекою.
Протиправні дії з інформацією не тільки зачіпають інтереси держави, суспільства і особистості, але роблять негативні, а часом трагічні та катастрофічні впливу на будинки, приміщення, особисту безпеку обслуговуючого персоналу і користувачів інформації. Подібні дії відбуваються також через стихійних лих, техногенних катастроф і терористичних актів.
Головною метою будь-якої системи забезпечення інформаційної безпеки (далі - ІБ) є створення умов функціонування підприємства, запобігання погроз його безпеки, захист законних інтересів підприємства від протиправних посягань, недопущення розкрадання фінансових коштів, розголошення, втрати, витоку, спотворення і знищення службової інформації, забезпечення в рамках виробничої діяльності всіх підрозділів підприємства.
Більш детальний розгляд цієї проблеми дозволяє сформулювати основні завдання будь-якої системи ІБ підприємства [10]:
- Необхідність віднесення певної інформації до категорії обмеженого доступу (службової або комерційної таємниці);
- Прогнозування і своєчасне виявлення загроз безпеки інформаційних ресурсів, причин і умов, що сприяють нанесенню фінансового, матеріального і морального збитку, порушення його нормального функціонування та розвитку;
- Створення умов функціонування з найменшою вірогідністю реалізації загроз безпеці інформаційних ресурсів і нанесення різних видів збитків;
- Створення механізму та умов оперативного реагування на загрози ІБ і прояву негативних тенденцій у функціонуванні, ефективне припинення зазіхань на ресурси на основі правових, організаційних і технічних заходів і засобів забезпечення безпеки;
- Створення умов для максимально можливого відшкодування та локалізації збитків, спричинених неправомірними діями фізичних та юридичних осіб, ослаблення негативного впливу наслідків порушення ІБ.
Актуальність теми полягає в тому, що проблеми інформаційної безпеки мають не тільки місцеві (приватні) і державні, а й геополітичні аспекти. Це комплексна проблема, тому її рішення розглядається на різних рівнях: законодавчому, адміністративному, процедурному і програмно-технічному.
Таким чином, мета роботи - вивчити види та джерела загроз інформаційної безпеки, виділивши основні методи їх парирування.
У відповідності з метою, у роботі поставлені і послідовно вирішені наступні завдання:
- Розкрити сутність поняття «безпека інформації»;
- Виділити основні види загроз ІБ на основі класифікації їх джерел;
- Вивчити основні напрями і методи парирування загроз ІБ.
При виконанні роботи використовувалися нормативно-правові акти РФ, навчальні посібники та підручники з інформатики та інформаційних технологій, монографії та наукові статті в періодичних виданнях.
1. Загальні положення безпеки інформації
Як тільки на Землі з'явилися люди, вони почали збирати, осмислювати, обробляти, зберігати і передавати різноманітну інформацію. Людство (соціум) постійно має справу з інформацією.
Точного наукового визначення поняття "інформація" немає. Вважається, що існує більше 300 тлумачень цього терміна.
У будь-якому випадку слово "Інформація" походить від латинського "informatio", що означає роз'яснення, освідомлення, зміст повідомлення, зведення з урахуванням їх передачі в просторі та часі.
Комп'ютерні технічні пристрої сприймають інформацію за формою її подання, як: текстову, графічну, числову (цифрову), звукову, відео (статичну і динамічну), мультимедійну (комбіновану), а також: оптичну і електромагнітну.
За змістом інформацію поділяють на: економічну, правову, технічну, соціальну, статистичну, організаційну і т.д. Зміст інформації звичайно визначає її призначення.
Певний інтерес представляє "наукова інформація" (англ. "Scientific information", SI) - це логічно організована інформація, що отримується в процесі наукових досліджень. Вона відображає явища і закони природи, суспільства і мислення. Фахівці відзначають, що всі досягнення в галузі інформації прямо стосуються науки. Різновидом наукової інформації є науково-технічна інформація.
"Науково-технічна інформація" (англ. "Science and technical information", STI) виникає в результаті науково-технічного розвитку суспільства. Вона зафіксована у документах і необхідна керівникам, науковим, інженерним і технічним працівникам, а також студентів в процесі їхньої життєдіяльності і включає статті та тези, монографії, автореферати та дисертації, реферати та анотації і т.п.
Якими ж властивостями володіє інформація? Якщо її розглядати як певний фізичний об'єкт, то інформацію можна:
1) створювати (генерувати),
2) передавати (транслювати),
3) зберігати і зберігати,
4) обробляти (переробляти).
Оскільки інформація представляє інтерес для різних категорій користувачів, то основним призначенням інформації є її використання. При цьому виділяють такі її властивості, як: адресність, актуальність, можливість кодування, висока швидкість збору, обробки та передачі, достатність, достовірність, багаторазовість використання, правова коректність, повнота, своєчасність.
Слово "безпека" латинського походження - secure (securus). Потім в англійській мові воно отримало написання "security".
Загальновідомо, що "безпека" - це відсутність небезпеки; стан діяльності, при якій з певною ймовірністю виключено заподіяння шкоди здоров'ю людини, будівель, приміщень та матеріально-технічних засобів у них.
Під безпекою інформації (Information security) або інформаційною безпекою розуміють захищеність інформації і підтримуючої інфраструктури від випадкових або навмисних впливів природного або штучного характеру, здатних завдати шкоди власникам і користувачам інформації і підтримує її структурі.
При розгляді проблем, пов'язаних із забезпеченням безпеки, використовують поняття "несанкціонований доступ" - це неправомірне звернення до інформаційних ресурсів з метою їх використання (читання, модифікації), а також псування або знищення. Дане поняття також пов'язане з поширенням різного роду комп'ютерних вірусів.
У свою чергу "санкціонований доступ" - це доступ до об'єктів, програм і даних користувачів, що мають право виконувати певні дії (читання, копіювання тощо), а також повноваження та права користувачів на використання ресурсів і послуг, визначених адміністратором обчислювальної системи.
Захищеної вважають інформацію, не зазнала незаконних змін у процесі передачі, зберігання та збереження, не змінила такі властивості, як достовірність, повнота і цілісність даних.
Під термінами "захист інформації" та "інформаційна безпека" мається на увазі сукупність методів, засобів і заходів, спрямованих на виключення спотворень, знищення і несанкціонованого використання накопичуваних, оброблюваних і збережених даних.
Згідно статті 3 ФЗ РФ «Про безпеку» від 05.03.1992г. № 2446-1 «Загроза безпеки - сукупність умов та факторів, що створюють небезпеку життєво важливим інтересам особистості, суспільства і держави.
Реальна і потенційна загроза об'єктів безпеки, що виходить від внутрішніх і зовнішніх джерел небезпеки, визначає зміст діяльності щодо забезпечення внутрішньої і зовнішньої безпеки »
У відповідності ж з визначенням словника російської мови С.І. Ожегова під загрозою розуміється «намір завдати фізичної, матеріальної чи іншої шкоди суспільним або особистим інтересам, можлива небезпека».
У сучасній літературі більшість авторів публікацій загрозу безпеки інформації ототожнюють або з характером (видом, способом) дестабілізуючого впливу на інформацію, або з наслідками (результатами) такого впливу у вигляді збитків, понесених суб'єктом у результаті порушення його прав.
Категорія «збиток» справедлива тільки в тому випадку, коли можна довести, що вона заподіяна, тобто діяння, що приводять до збитку, можна кваліфікувати в термінах правових актів як склад злочину.
Тому при визначенні загроз безпеки інформації в цьому випадку доцільно враховувати вимоги чинного кримінального права (Кримінальний кодекс РФ, 1996р.), Що визначає склад злочину.
У даному випадку до таких злочинів можна віднести:
- Розкрадання - вчинені з корисливою метою протиправні безплатне вилучення і (або) звернення чужого майна на користь винного чи інших осіб, які заподіяли збитки власнику чи власнику майна;
- Копіювання комп'ютерної інформації - повторення і сталий запечатление інформації на машинному чи іншому носії;
- Знищення - зовнішній вплив на майно, в результаті якого воно припиняє своє фізичне існування або приводиться в повну непридатність для використання за цільовим призначенням.
- Знищення комп'ютерної інформації - стирання її в пам'яті ЕОМ;
- Пошкодження - зміна властивостей майна, при якому істотно погіршується його стан, втрачається значна частина його корисних властивостей і воно стає повністю або частково непридатним для цільового використання;
- Модифікація комп'ютерної інформації - внесення будь-яких змін, пов'язаних з адаптацією програми для ЕОМ або баз даних;
- Блокування комп'ютерної інформації - штучне ускладнення доступу користувачів до інформації, не пов'язане з її знищенням;
- Несанкціоноване знищення, блокування, модифікація, копіювання інформації - будь-які не дозволені законом, власником або компетентним користувачем зазначені дії з інформацією;
- Обман (заперечення автентичності, нав'язування неправдивої інформації) - навмисне викривлення або приховування істини з метою ввести в оману особа, у веденні якого знаходиться майно, і таким чином добитися від нього добровільної передачі майна, а також повідомлення з цією метою неправдивих відомостей.
Узагальнюючи викладене, надалі під погрозами будемо розуміти потенційну або реально існуючу небезпеку вчинення будь-якого діяння (дії або бездіяльності), спрямованого проти об'єкта захисту, який завдає шкоди власникові (володільцеві, користувачеві) інформаційних ресурсів, що проявляється в небезпеці спотворення та / або втрати інформації , або неправомірного її використання.
2. Джерела загроз безпеки інформації, їх класифікація
Загрози самі по собі не виявляються. Всі загрози можуть бути реалізовані тільки при наявності яких-небудь слабких місць - вразливостей, властивих об'єкту інформатизації. Уразливість - якась слабкість, яку можна використовувати для порушення інформаційної автоматизованої системи або яка міститься в ній. (ДСТУ ISO 7498-2-99 «Інформаційна технологія. Взаємозв'язок відкритих систем. Базова еталонна модель. Частина 1. Архітектура захисту інформації»). Особливу увагу при розгляді ІБ повинна приділятися джерел загроз, в якості яких можуть виступати як суб'єкти (особа), так і об'єктивні прояви. Причому самі джерела загроз можуть знаходитися як всередині об'єкта інформатизації - внутрішні, так і поза ним - зовнішні.
В якості джерел загроз можуть бути: дії суб'єкта (антропогенні джерела загроз); технічні засоби (техногенні джерела загрози); стихійні джерела.
До антропогенним джерел загроз належать суб'єкти, дії яких можуть бути кваліфіковані як умисні чи випадкові злочину. До техногенних джерел загроз належать джерела, що визначаються технократичної діяльністю людини і розвитком цивілізації. До стихійних джерел загроз відносяться стихійні лиха або інші обставини, які неможливо або можливо передбачити, але неможливо запобігти при сучасному рівні людського знання і можливостей. Однак найбільшої шкоди інформації та інформаційних систем наносять неправомірні дії співробітників і комп'ютерні віруси. Американські фахівці стверджують, що до 85% випадків промислового шпигунства ведеться силами співробітників компанії, в якій це відбувається. У 2005 р. більш третини фінансових втрат і втрат даних в організаціях відбувалося з вини їх власних співробітників. Вирішення цих проблем належить до компетенції адміністрації та служби безпеки організації. При цьому рекомендується шифрувати навіть внутрішньофірмову листування.
Віруси представляють широко поширене явище, що відбивається на більшості користувачів комп'ютерів, особливо працюючих в мережах і з неліцензійним програмним забезпеченням. Віруси з'явилися в результаті створення самозапускающіхся програм. Зовнішня схожість цих програм з біологією і медициною за характером впливу на програмно-технічні засоби сприяла появі таких термінів, як: вірус, зараження, лікування, профілактика, щеплення, доктор і ін Процес впровадження вірусом своєї копії в іншу програму (системну область диска і т.д.) називається зараженням, а програма або інший об'єкт - зараженими. Віруси - це клас програм, незаконно проникають у комп'ютери користувачів і завдають шкоди їх програмного забезпечення, інформаційних файлів і навіть технічних пристроїв, наприклад, жорсткому магнітному диску. З розвитком мережевих інформаційних технологій віруси стали представляти реальну загрозу для користувачів мережевих і локальних комп'ютерних систем.
Віруси проникають і в кишенькові персональні комп'ютери (КПК) Перша троянська програма для КПК (Backdoor.WinCE.Brador.a - утиліта прихованого дистанційного доступу) виявлена в серпні 2004 року. Вона може додавати, видаляти файли на КПК, а також пересилати їх автору вірусу. Програма-вірус зазвичай складається з унікальної послідовності команд - сигнатур (знаків) і поводжень, що дозволяє створювати виявляють їх програми-антивіруси. Деякі віруси не мають унікальних сигнатур і поведінки і можуть видозмінювати самих себе (поліморфні). Все більшу роль в області несанкціонованих впливів на інформацію, будівлі, приміщення, особисту безпеку користувачів та обслуговуючий персонал грають помилкові (в т.ч. випадкові) і навмисні дії людей.
Типовими причинами порушення безпеки на об'єкті є: помилки індивідів або неточні їх дії; несправність і (або) відмова використовуваного обладнання; непередбачувані і неприпустимі зовнішні прояви; несправність і (або) відсутність необхідних засобів захисту; випадкові і навмисні впливу на інформацію, що захищаються елементи устаткування , людини і навколишнє середовище.
Встановлено, що помилкові дії людей становлять 50-80%, а технічних засобів - 15-25% порушень безпеки об'єктів і даних. Помилкові і несанкціоновані дії людей пояснюються недостатньою їх дисциплінованістю та підготовленістю до роботи, небезпечною технологією і недосконалістю використовуваної ними техніки. Відомо, що число пов'язаних з людським фактором техногенних аварій і катастроф доходить до двох третин від загальної їх кількості. Негативні інформаційні соціально-психологічні впливу, в т.ч. дискомфорт, людина отримує і в процесі роботи з величезними масивами даних. Крім стресу, він стає жертвою інформаційних перевантажень, інформаційного шуму і т.п.
Аналіз загроз ІБ показує, що вони також можуть бути розділені на два види: внутрішні і зовнішні. Внутрішні загрози безпеки об'єкта захисту: некваліфікована корпоративна політика з організації інформаційних технологій та управління безпекою корпорації; відсутність належної кваліфікації персоналу по забезпеченню діяльності та управління об'єктом захисту; навмисні і ненавмисні дії персоналу щодо порушення безпеки; техногенні аварії та руйнування, пожежі.
Зовнішні загрози безпеки об'єкта захисту: негативні впливи недобросовісних конкурентів і державних структур; навмисні і ненавмисні дії зацікавлених структур та осіб (збір інформації, шантаж, спотворення іміджу, загрози фізичного впливу та інших); витік конфіденційної інформації з носіїв інформації та обумовлених каналів зв'язку; несанкціоноване проникнення на об'єкт захисту; несанкціонований доступ до носіїв інформації і обумовленим каналах зв'язку з метою розкрадання, спотворення, знищення, блокування інформації; стихійні лиха та інші форс-мажорні обставини; навмисні і ненавмисні дії системних інтеграторів і постачальників послуг із забезпечення безпеки, постачальників технічних і програмних продуктів, кадрів.
При комплексному підході до аналізу загроз ІБ об'єкта інформатизації необхідно провести: опис об'єкта; класифікацію джерел загроз; класифікацію вразливостей; класифікацію методів реалізації загроз; ранжування актуальних атак; класифікацію методів парирування загроз.
Структурований опис об'єкта інформатизації, представлене у вигляді типових структурних компонентів інформаційної системи та зв'язків між ними, що характеризують напрямки циркуляції і параметри потоків інформації в сукупності з текстовими поясненнями, дозволяє виявити точки можливого застосування погроз або розкрити існуючі уразливості.
Аналіз та оцінка можливостей реалізації загроз повинні бути засновані на побудові моделі загроз, класифікації, аналізі та оцінки джерел загроз, вразливостей і методів реалізації. Моделювання процесів порушення інформаційної безпеки може здійснюватися на основі розгляду логічного ланцюжка: загроза - джерело загрози - метод реалізації - уразливість - наслідки. Кожен компонент аналізованої логічного ланцюжка доцільно описується з необхідною подробицею.
Загрози класифікуються за можливості нанесення шкоди при порушенні цілей інформаційної безпеки; джерела загроз - за типом і місцем розташування носія загрози; вразливості - за належністю до джерела вразливостей, можливим проявам. Класифікація атак представляє собою сукупність можливих варіантів дій джерела загроз певними методами реалізації з використанням вразливостей, які призводять до реалізації цілей атаки. Мета атаки може не збігатися з метою реалізації загроз і бути спрямована на отримання проміжного результату, необхідного для досягнення надалі реалізації загрози. У випадку розбіжності цілей атаки з метою реалізації загрози сама атака розглядається як етап підготовки до вчинення дій, спрямованих на погрози, тобто як «підготовка до скоєння» протиправної дії. На основі проведеної класифікації, ранжирування, аналізу та визначення актуальних загроз, джерел загроз і вразливостей визначаються варіанти можливих атак, які дозволяють оцінити стан інформаційної безпеки та оптимізувати вибір методів парирування загроз.
3. Методи парирування загроз
Засоби і методи захисту інформації зазвичай ділять на дві великі групи: організаційні та технічні. Під організаційними маються на увазі законодавчі, адміністративні та фізичні, а під технічними - апаратні, програмні і криптографічні заходи, спрямовані на забезпечення захисту об'єктів, людей та інформації. З метою організації захисту об'єктів використовують системи охорони та безпеки об'єктів - це сукупність взаємодіючих радіоелектронних приладів, пристроїв і електроустаткування, засобів технічного та інженерного захисту, спеціально підготовленого персоналу, а також транспорту, що виконують названу функцію. При цьому використовуються різні методи, що забезпечують санкціонованим особам доступ до об'єктів і ІР. До них відносять аутентифікацію та ідентифікацію користувачів.
Аутентифікація - це метод незалежного від джерела інформації встановлення автентичності інформації на основі перевірки достовірності її внутрішньої структури ("це той, ким назвався?").
Авторизація - в інформаційних технологіях це надання певних повноважень особі або групі осіб на виконання деяких дій в системі обробки даних. ("Чи має право виконувати цю діяльність?"). За допомогою авторизації встановлюються і реалізуються права доступу до ресурсів.
Ідентифікація - це метод порівняння предметів або осіб за їх характеристиками, шляхом розпізнавання з предметів або документів, визначення повноважень, пов'язаних з доступом осіб в приміщення, до документів і т.д. ("Це той, ким назвався і має право виконувати цю діяльність?").
У сучасних інформаційних технологіях для ефективного використання цих методів, крім фізичних заходів охорони об'єктів, широко застосовуються програмно-технічні засоби, засновані на використанні біометричних систем, криптографії та ін
Ефективність захисту інформації в значній мірі залежить від своєчасності виявлення і виключення впливів на неї, а, при необхідності, відновлення програм, файлів, інформації, працездатності комп'ютерних пристроїв і систем. Важливою складовою виконання подібні дії є програмні та технічні засоби захисту.
Програмні засоби захисту - це найпоширеніший метод захисту інформації в комп'ютерах та інформаційних мережах. Зазвичай вони застосовуються при утрудненні використання деяких інших методів і засобів. Перевірка автентичності користувача звичайно здійснюється операційною системою. Користувач ідентифікується своїм ім'ям, а засобом аутентифікації служить пароль.
Програмні засоби захисту представляють комплекс алгоритмів і програм спеціального призначення і загального забезпечення роботи комп'ютерів та інформаційних мереж. Вони націлені на: контроль і розмежування доступу до інформації, виняток несанкціонованих дій з нею, управління охоронними пристроями і т.п. Програмні засоби захисту мають універсальністю, простотою реалізації, гнучкістю, адаптивністю, можливістю налаштування системи та ін
Широко застосовуються програмні засоби для захисту від комп'ютерних вірусів. Для захисту машин від комп'ютерних вірусів, профілактики і "лікування" використовуються програми-антивіруси, а також засоби діагностики та профілактики, що дозволяють не допустити потрапляння вірусу в комп'ютерну систему, лікувати заражені файли і диски, виявляти і запобігати підозрілі дії. Антивірусні програми оцінюються по точності виявлення та ефективному усунення вірусів, просте використання, вартість, можливості працювати в мережі.
Найбільшою популярністю користуються програми, призначені для профілактики зараження, виявлення та знищення вірусів. Серед них вітчизняні антивірусні програми DrWeb (Doctor Web) І. Данилова і AVP (Antiviral Toolkit Pro) Є. Касперського. Вони мають зручним інтерфейсом, засобами сканування програм, перевірки системи при завантаженні і т.д. У Росії використовуються і закордонні антивірусні програми.
Абсолютно надійних програм, які гарантують виявлення і знищення будь-якого вірусу, не існує. Тільки багаторівнева оборона здатна забезпечити найбільш повний захист від вірусів. Важливим елементом захисту від комп'ютерних вірусів є профілактика. Антивірусні програми застосовують одночасно з регулярним резервуванням даних та профілактичними заходами. Разом ці заходи дозволяють значно знизити ймовірність зараження вірусом.
Основними заходами профілактики вірусів є:
1) застосування ліцензійного програмного забезпечення;
2) регулярне використання декількох постійно оновлюваних антивірусних програм для перевірки не тільки власних носіїв інформації при перенесенні на них сторонніх файлів, але і будь-яких "чужих" дискет і дисків з будь-якою інформацією на них, в т.ч. і переформатований;
3) застосування різних захисних засобів при роботі на комп'ютері в будь-інформаційному середовищі (наприклад, в Інтернеті). Перевірка на наявність вірусів файлів, отриманих по мережі;
4) періодичне резервне копіювання найцінніших даних і програм.
Одним з найбільш відомих способів захисту інформації є її кодування (шифрування, криптографія). Воно не рятує від фізичних впливів, але в решті випадків служить надійним засобом. Код характеризується: завдовжки - числом знаків, що використовуються при кодуванні та структурою - порядком розташування символів, використовуваних для позначення класифікаційної ознаки. Засобом кодування служить таблиця відповідності (наприклад кодова таблиця ASCII).
Загальні методи криптографії існують давно. Вона вважається потужним засобом забезпечення конфіденційності і контролю цілісності інформації. Поки альтернативи методам криптографії немає. Стійкість криптоалгоритму залежить від складності методів перетворення. Питаннями розробки, продажу і використання засобів шифрування даних і сертифікації засобів захисту даних займається Гостехкомиссией РФ. Якщо використовувати 256 і більше розрядні ключі, то рівень надійності захисту даних складе десятки і сотні років роботи суперкомп'ютера. Для комерційного застосування досить 40 -, 44-розрядних ключів.
Однією з важливих проблем інформаційної безпеки є організація захисту електронних даних та електронних документів. Для їх кодування, з метою задоволення вимог забезпечення безпеки даних від несанкціонованих впливів на них, використовується електронний цифровий підпис (ЕЦП).
Цифровий підпис послідовність символів. Вона залежить від самого повідомлення і від секретного ключа, відомого тільки підписувачу це повідомлення. Перший вітчизняний стандарт ЕЦП з'явився в 1994 році. Питаннями використання ЕЦП в Росії займається Федеральне агентство з інформаційних технологій (ФАІТ).
Технічні засоби захисту використовуються в різних ситуаціях, входять до складу фізичних засобів захисту та програмно-технічних систем, комплексів і пристроїв доступу, відеоспостереження, сигналізації та інших видів захисту. У найпростіших ситуаціях для захисту персональних комп'ютерів від несанкціонованого запуску і використання наявних на них даних пропонується встановлювати пристрої, що обмежують доступ до них, а також працювати зі знімними жорсткими магнітними і магнитооптическими дисками, самозагрузчик компакт дисками, флеш-пам'яттю і ін
Для охорони об'єктів з метою захисту людей, будівель, приміщень, матеріально-технічних засобів та інформації від несанкціонованих впливів на них, широко використовують системи та заходи активної безпеки. Загальноприйнято для охорони об'єктів застосовувати системи управління доступом (СУД). Подібні системи зазвичай являють собою автоматизовані системи та комплекси, що формуються на основі програмно-технічних засобів.
У більшості випадків для захисту інформації, обмеження несанкціонованого доступу до неї, в будівлі, приміщення і до інших об'єктів доводиться одночасно використовувати програмні і технічні засоби, системи і пристрої.
В якості технічного засобу захисту застосовують різні електронні ключі, наприклад, HASP (Hardware Against Software Piracy), що представляють апаратно-програмну систему захисту програм і даних від нелегального використання і піратського тиражування. Електронні ключі Hardlock використовуються для захисту програм і файлів даних. До складу системи входить власне Hardlock, крипто-карта для програмування ключів та програмне забезпечення для створення захисту додатків і пов'язаних з ними файлів даних.
До основних програмно-технічним заходам, застосування яких дозволяє вирішувати проблеми забезпечення безпеки ІР, відносяться:
- Аутентифікація користувача та встановлення її ідентичності;
- Управління доступом до БД;
- Підтримка цілісності даних;
- Захист комунікацій між клієнтом і сервером;
- Відображення загроз, специфічних для СУБД і ін
Підтримка цілісності даних передбачає наявність не тільки програмно-апаратних засобів підтримки їх в робочому стані, але й заходи щодо захисту та архівації ІР, дублювання їх і т.п. Найбільшу небезпеку для інформаційних ресурсів, особливо організацій, представляє несанкціоноване вплив на структуровані дані - БД. З метою захисту інформації в БД найважливішими є наступні аспекти інформаційної безпеки (європейські критерії):
- Умови доступу (можливість отримати деяку необхідну інформаційну послугу);
- Цілісність (несуперечність інформації, її захищеність від руйнування і несанкціонованого зміни);
- Конфіденційність (захист від несанкціонованого прочитання).
Ці аспекти є основоположними для будь-якого програмно-технічного забезпечення, призначеного для створення умов безпечного функціонування даних у комп'ютерах і комп'ютерних інформаційних мережах. Контроль доступу - це процес захисту даних і програм від їх використання об'єктами, які не мають на це права.
Управління доступом служить для контролю входу / виходу працівників і відвідувачів організації через автоматичні прохідні (турнікети, арочні металодетекторами). Контроль їх переміщення здійснюється за допомогою систем відеоспостереження. В управління доступом входять пристрої і (або) системи огорожі для обмеження входу на територію (охорона периметрів). Використовуються також методи візуалізації (пред'явлення вахтеру відповідних документів) та автоматичної ідентифікації вхідних / виходять працівників та відвідувачів.
До заходів, які забезпечують збереження традиційних і нетрадиційних носіїв інформації і, як наслідок, самої інформації відносять технології штрихового кодування. Ця відома технологія широко використовується при маркуванні різних товарів, у тому числі документів, книг і журналів.
В організаціях застосовують посвідчення, перепустки, читацькі квитки тощо, в тому числі у вигляді пластикових карт або ламінованих карток, що містять ідентифікують користувачів штрих-коди. Для перевірки штрих-кодів використовують скануючі пристрої зчитування бар-кодів - сканери. Вони перетворять лічене графічне зображення штрихів в цифровий код. Крім зручності, штрих-коди мають і негативними якостями: дорожнеча використовуваної технології, витратних матеріалів та спеціальних програмно-технічних засобів; відсутність механізмів повного захисту документів від стирання і пропажі.
Для захисту інформації в інформаційних комп'ютерних мережах використовують спеціальні програмні, технічні та програмно-технічні засоби. З метою захисту мереж і контролю доступу в них використовують: фільтри пакетів, що забороняють встановлення з'єднань, що перетинають кордони мережі, що захищається; фільтруючі маршрутизатори, що реалізують алгоритми аналізу адрес відправлення та призначення пакетів в мережі; шлюзи прикладних програм, перевіряючі права доступу до програм.
Як пристрій, що перешкоджає отриманню зловмисником доступу до інформації, використовують Firewalls (англ. "вогненна стіна" або "захисний бар'єр" - брандмауер). Такий пристрій розташовують між внутрішньою локальною мережею організації та Інтернетом. Воно обмежує трафік, присікає спроби несанкціонованого доступу до внутрішніх ресурсів організації. Це зовнішня захист. Сучасні брандмауери можуть "відсікати" від користувачів корпоративних мереж незаконну і небажану для них кореспонденцію, передану по електронній пошті. При цьому обмежується можливість отримання надлишкової інформації і так званого "сміття" (спаму).
Іншим технічним пристроєм ефективного захисту в комп'ютерних мережах є маршрутизатор. Він здійснює фільтрацію пакетів даних для передачі. У результаті з'являється можливість заборонити деяким користувачам до певного "хосту", програмно здійснювати детальний контроль адрес відправників та одержувачів. Так само можна обмежити доступ всім або певним категоріям користувачів до різних серверів, наприклад, провідним поширення протиправної або антисоціальної інформації (пропаганда сексу, насильства тощо).
Захист може здійснюватися не тільки в глобальній мережі або локальної мережі організації, але і окремих комп'ютерів. Для цієї мети створюються спеціальні програмно-апаратні комплекси.
Таким чином, методів парирування загроз досить багато. Найбільш важливими є наступні:
- Економічні: запровадження системи коефіцієнтів і надбавок; страхування обладнання та інформації; відшкодування збитків і компенсація збитку.
- Організаційні: фізичний захист та організація охорони; підбір і робота з персоналом; організація інструктажу персоналу; вибір і робота з партнерами; контроль виконання вимог по захисту; протипожежна охорона; організація взаємодії з компетентними органам.
Для комплексного захисту інформації, об'єктів і людей на різних підприємствах рекомендується розробляти та впроваджувати відповідні заходи. Комплексно заходи щодо забезпечення збереження та захисту інформації, об'єктів і людей включають організаційні, фізичні, соціально-психологічні заходи та інженерно-технічні засоби захисту. Організаційні заходи передбачають об'єднання всіх складових безпеки. У всьому світі основну загрозу інформації організації представляють її співробітники, що опиняються психічно неврівноваженими, скривдженими або незадоволеними характером їх роботи, зарплатою, відносинами з колегами і керівниками.
Соціально-психологічні заходи також відносяться до організаційних. Вони включають регулярне проведення організаційних заходів щодо недопущення негативних впливів і явищ, по створенню працівникам комфортних умов і нормального психологічного клімату. З цією метою у штат деяких організацій входить психолог.
Фізичні заходи примикають до організаційних. Вони полягають у застосуванні людських ресурсів, спеціальних технічних засобів та пристроїв, що забезпечують захист від проникнення зловмисників на об'єкт, несанкціонованого використання, псування або знищення ними матеріальних і людських ресурсів. Такими людськими ресурсами є особи відомчої або позавідомчої охорони і вахтери, окремі, призначувані керівництвом організації, співробітники.
В якості технічних засобів використовуються грати на вікна, огородження, металеві двері, турнікети, металодетекторами та ін Програмно-технічні засоби включають різні системи обмеження доступу на об'єкт, сигналізації та відеоспостереження.
Для комплексного забезпечення безпеки об'єкти обладнуються системами зв'язку, диспетчеризації, оповіщення, контролю і управління доступом; охоронними, пожежними, телевізійними і інженерними пристроями і системами; охоронної, пожежної сигналізацією і автоматикою. Успішному забезпечення безпеки сприяють завчасні заходи щодо виявлення та ідентифікації можливих загроз (впізнання, передбачення, оцінка, зменшення шкідливого впливу на людину / середовище проживання).
Висновок
Важливо знати, що характерною особливістю електронних даних є можливість легко і непомітно спотворювати, копіювати або знищувати їх. Тому необхідно організувати безпечне функціонування даних у будь-яких інформаційних системах, тобто захищати інформацію. Захищеної називають інформацію, не змінила в процесі передачі, зберігання та збереження достовірність, повноту і цілісність даних.
Несанкціоновані дії на інформацію, будівлі, приміщення і людей можуть бути викликані різними причинами і здійснюватися за допомогою різних методів впливу. Подібні дії можуть бути обумовлені стихійними лихами (урагани, зливи, повені, пожежі, вибухи тощо), техногенними катастрофами, терористичними актами тощо Боротьба з ними зазвичай дуже ускладнена через значною мірою непередбачуваності таких впливів.
Найбільший збиток інформації та інформаційних систем наносять неправомірні дії співробітників і комп'ютерні віруси. Для захисту інформації в комп'ютерах та інформаційних мережах широко використовуються різноманітні програмні та програмно-технічні засоби захисту. Вони включають різні системи обмеження доступу на об'єкт, сигналізації та відеоспостереження. Для захисту інформації від витоку в комп'ютерних мережах використовують спеціальний технічний засіб - Firewalls, яка розташовується між внутрішньою локальною мережею організації та Інтернетом. Іншим пристроєм ефективного захисту в комп'ютерних мережах є маршрутизатор. Він здійснює фільтрацію пакетів даних для передачі і, тим самим, з'являється можливість заборонити деяким користувачам до певного "хосту", програмно здійснювати детальний контроль адрес відправників та одержувачів та ін
Охорона і безпека об'єктів, людей та інформації досягається взаємодією спеціальних радіоелектронних приладів, пристроїв і електроустаткування, в т.ч. пожежної та охоронної сигналізації, засобів технічного та інженерного захисту, спеціально підготовленого персонал і транспорту. В якості технічних засобів використовуються грати на вікна, огородження, металеві двері, турнікети, металодетекторами та ін
До найбільш практикуються способам захисту інформації належить її кодування, що припускає використання криптографічних методів захисту інформації. Воно не рятує від фізичних впливів, але в решті випадків служить надійним засобом. Інший метод передбачає використання пристроїв, що обмежують доступ до об'єктів та даних. Провідне місце серед них займають біометричні системи. Вони дозволяють ідентифікувати людину по властивих йому специфічним статичним і динамічним ознаками (відбиткам пальців, рогівці очі, формою руки, особі, генетичним кодом, запаху, голосу, почерку, поведінки та ін.)
Комплексно заходи щодо забезпечення збереження та захисту інформації, об'єктів і людей включають організаційні, фізичні, соціально-психологічні заходи та інженерно-технічні засоби захисту.
Список використовуваних інформаційних джерел
Аверченко В.І. Аудит інформаційної безпеки органів виконавчої влади - Брянськ.: БГТУ, 2007. - 100 с.;
Аверченко В.І. Захист персональних даних в організації: монографія - Брянськ: БГТУ, 2008. - 124 с.;
Аверченко В.І. Розробка системи технічного захисту інформації - Брянськ.: БГТУ, 2008. - 187 с.;
Інформатика: учеб. / під ред. проф. Н. В. Макарової. - М.: Фінанси і статистика, 2002. - 768 с.
Копилов В.А. Інформаційне право: Підручник. - 2-е вид., Перераб. і доп. - М.: МАУП, 2002. - 512 с.
Лозбінев Ф.Ю. Основи інформатизації управління: навчальний посібник. - Брянськ, ЦНТІ, 2000. - 132 с.;
Лозбінев Ф.Ю. Основи оптимального управління економічними процесами: навчальний посібник. - Брянськ, ЦНТІ, 2001. - 124 с.;
Торокін А.А. Основи інженерно-технічного захисту інформації. - М.: «Ось-89», 1998 р. - 336 с.;
Пайк М. Інтернет в оригіналі - СПб.: Санкт-Петербург, 1996. - 640 с.