Информационная безопасность
В качестве элементов безопасности информационных систем выделяют:
1) компьютерная безопасность – обеспечивается комплексом технологических и административных мер, применяемых к аппаратным средствам компьютера с целью обеспечения доступности, целостности и конфиденциальности связанных с ними ресурсов;
2) безопасность данных достигается защитой данных от неавтоматизированных случайных или возможных по халатности разрушений;
3) безопасное программное обеспечение – общесистемные и прикладные программы, осуществляющие безопасную обработку данных и безопасно расходующие ресурсы системы;
4) безопасность коммуникаций – обеспечивается посредством определения подлинности коммуникаций за счет предотвращения предоставления неавторизованным лицам критической информации;
Информационная безопасность является важнейшим аспектом государственной безопасности.
В Республике Беларусь в 2001 году принят закон «Об информационной безопасности и об уголовной ответственности за нарушение информационной безопасности, в том числе и через Интернет».
1 февраля 2010 г Указ № 60 «О мерах по совершенствованию использования национального сегмента сети Интернет».
Вопрос №2 Организационные меры информационной безопасности
Основными задачами системы информационной безопасности является:
1. управление доступом пользователей к ресурсам информационной системы;
2. защита данных, передаваемых по каналам связи;
3. регистрация, сбор, хранение, обработка и выдача сведений обо всех событиях, происходящих в системе и имеющих отношение к ее безопасности;
4. контроль работы пользователя со стороны администрации;
5. контроль и поддержание целостности критичных ресурсов системы и среды исполнения прикладных программ;
6. обеспечение замкнутой среды проверенного программного обеспечения с целью защиты от внедрения опасных программ и вирусов;
7. управление средствами системы защиты.
Существует два подхода к обеспечению информационной безопасности:
— фрагментарный – направлен на противодействие четко определенным угрозам в заданных условиях;
— комплексный – ориентирован на создание защищающей среды обработки информации, объединяет в единый комплекс разнородные меры противодействия угрозам.
Комплексного подхода придерживается большинство государственных и крупных коммерческих организаций. Этот подход нашел свое отражение в стандартах информационной безопасности. Комплексный подход основан на разработке конкретной политики безопасности информационной системы.
Для обеспечения информационной безопасности используются законодательные, административные и программно-технические меры.
К законодательным мерам относятся законы, нормативы, стандарты, руководящие документы.
К административным мерам относятся действия общественного характера, предпринимаемые руководством предприятия, и конкретные меры безопасности, направленные на работу с людьми.
К организационным мерам относятся управление персоналом, средства физической защиты, поддержание работоспособности системы, реагирование на нарушения безопасности, проведение восстановительных работ.
К программно-техническим мерам –
• применение защитных виртуальных частных сетей (VPN) для защиты информации, передаваемым по открытым каналам связи,
• применение межсетевых экранов для защиты корпоративной сети от внешних угроз,
• управление доступом на уровне пользователей и защита от несанкционированного доступа к информации;
гарантированная идентификация пользователей путем применения смарт-карт, ключей для USB-портов и других средств аутентификации;
Существуют следующие универсальные способы защиты информации:
идентификация – процесс распознавания элементов системы обычно с помощью заранее определенного идентификатора или другой уникальной информации, которая определяется однозначно для каждого объекта или субъекта системы;
аутентификация – проверка подлинности процесса, устройства или другого компонента системы, а также проверка целостности и авторства данных при их хранении и передаче;
авторизация – предоставление субъекту прав на доступ к объекту;
контроль доступа – ограничение возможности использования ресурсов системы программами, процессами или другими системами в соответствии с правилами разграничения доступа.
Для аутентификации пользователей применяются:
• Парольные системы (самый простой и распространенный способ)
• Системы PKI (криптографические сертификаты), носителями которых являются USB-ключи или смарт-карты.
Системы одноразовых паролей - токены
• Биометрические системы
• СИСТЕМЫ ОДНОРАЗОВЫХ ПАРОЛЕЙ
•
Данная технология основана на том, что пароль пользователя не постоянен и изменяется с течением времени специальным устройством (аппаратным или программным) - токеном. Данное решение широко используется в системах удаленного доступа, в том числе системах клиент-банк, для аутентификации пользователей при доступе из недоверенной среды (Интернет-кафе, бизнес-центры, и т.д.).
OTP-токен — мобильное персональное устройство, принадлежащее определенному пользователю, генерирующее одноразовые пароли, используемые для аутентификации данного пользователя.
• OTP-токены имеют небольшой размер и выпускаются в виде : карманного калькулятора; брелока; смарт-карты; устройства, комбинированного с USB-ключом; специального программного обеспечения для карманных компьютеров.
• Примера OTP -решений - линейка RSA SecurID, ActivCard Token,комбинированный USB-ключ Aladdin eToken NG-OTP
• Существует 4 способа разграничения доступа:
• 1. физическое – субъекты обращаются к физически различным объектам: однотипным устройствам, наборам данных на различных носителях, программам;
• 2. временное – субъекты с различными правами доступа получают доступ в различные промежутки времени;
• 3. логическое – субъекты получают доступ к объектам в рамках единой операционной среды, но под контролем средств разграничения доступа: разделение оригинала, копий;
• 4. криптографическое – все объекты хранятся в зашифрованном виде.
• Права доступа определяются наличием ключа для расшифрования объекта.
Для организации непрерывного процесса обеспечения информационной безопасности определяются
• Политика информационной безопасности;
• Программа информационной безопасности;
• Служба информационной безопасности;
• Проекты информационной безопасности
Под политикой безопасности понимается совокупность документированных решений, принимаемых руководством организации и направленных на защиту информации и ассоциированных с ней ресурсов.
Политику безопасности целесообразно рассматривать на трех уровнях детализации.
• К верхнему уровню относятся решения, затрагивающие организацию в целом.
• На верхний уровень выносится управление защитными ресурсами и координация использования этих ресурсов, выделение специального персонала для защиты критически важных систем и взаимодействие с другими организациями, обеспечивающими или контролирующими режим безопасности
• К среднему уровню можно отнести вопросы, касающиеся отдельных аспектов информационной безопасности, но важные для различных эксплуатируемых организацией систем.
• Примеры таких вопросов –
• отношение к передовым (но, возможно, недостаточно проверенным) технологиям, доступ в Internet (как совместить свободу доступа к информации с защитой от внешних угроз?),
• использование домашних компьютеров,
• применение пользователями неофициального программного обеспечения и т.д.
• Политика безопасности нижнего уровня относится к конкретным информационным сервисам.