2. Методы и средства обеспечения информационной безопасности

Требования по безопасности к современным ИС и ИТ:

• наличие информации различной степени конфиденциальности;

• обеспечение криптографической защиты информации при передаче данных;

• иерархичность полномочий доступа к программам и компонентам ИС и ИТ (к файл-серверам, каналам связи и т.п.);

• управление информационными потоками в локальных сетях и при передаче по каналам связи;

• наличие механизма регистрации и учета попыток несанкционированного доступа, событий в ИС и документов, выводимых на печать;

• целостность программного обеспечения и информации в ИТ;

• наличие средств восстановления системы защиты;

• учет магнитных носителей;

• физическая охрана средств вычислительной техники и магнитных носителей;

• наличие специальной службы информационной безопасности системы.

Методы и средства обеспечения безопасности информации в ИС (рис.1).

Рис.1. Методы и средства обеспечения безопасности информации

Препятствие — физическое преграждение пути злоумышленнику к информации (к аппаратуре, носителям информации и т.д.).

Управление доступом — регулирование использования всех ресурсов ИС и ИТ. Включает следующие функции защиты:

• идентификация пользователей, персонала и ресурсов системы;

• аутентификация для опознания, установления подлинности пользователя по предъявленному идентификатору;

• проверка полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту);

• разрешение и создание условий работы в пределах регламента;

• регистрация (протоколирование) обращений к защищаемым ресурсам;

• реагирование (сигнализация, отключение, отказ в запросе и т.п.) при попытках несанкционированных действий.

Шифрование — криптографический метод защиты информации.

Противодействие атакам вредоносных программ — комплекс разнообразных организационных мер и использование антивирусных программ. Цели принимаемых мер: уменьшение вероятности инфицирования АИС; выявление фактов заражения системы; уменьшение последствий информационных инфекций; локализация или уничтожение вирусов; восстановление информации в ИС.

Регламентация — создание условий, при которых нормы и стандарты по защите выполняются в наибольшей степени.

Принуждение — метод защиты, при котором пользователи и персонал ИС вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.

Побуждение — метод защиты, который побуждает пользователей и персонал ИС не нарушать правила за счет соблюдения сложившихся моральных и этических норм.

Технические средства подразделяются на аппаратные и физические.

Аппаратные средства — устройства, встраиваемые в вычислительную технику или сопрягаемые с ней по стандартному интерфейсу.

Физические средства - различные инженерные устройства и сооружения, препятствующие физическому проникновению злоумышленников на объекты защиты и осуществляющие защиту от противоправных действий персонала, материальных средств, финансов, информации. Примеры: замки на дверях, решетки на окнах, средства электронной охранной сигнализации и т.п.

Программные средства — специализированные программы и программные комплексы для защиты информации в ИС, в том числе программные средства для реализации механизма шифрования (криптографии). Криптография — это наука об обеспечении секретности и/или аутентичности (подлинности) передаваемых сообщений.

Организационные средства (мероприятия) осуществляют регламентацию производственной деятельности в ИС и взаимоотношений исполнителей на нормативно-правовой основе.

Законодательные средства определяются законодательными актами, которые регламентируют правила пользования, обработки и передачи информации ограниченного доступа и устанавливают меру ответственности за их нарушение.

Морально-этические средства защиты включают всевозможные нормы поведения. Морально-этические нормы могут быть неписаные (например, честность), либо оформленные в некий свод (устав) правил или предписаний. Как правило, в организации они считаются обязательными для исполнения. Характерный пример - «Кодекс профессионального поведения членов Ассоциации пользователей ЭВМ США».