21. Методы и средства (способы) защиты, применяемые в вс. Классификация.
На организацию и функционирование механизма защиты принципиальное значение оказывает формальная неопределенность проблемы защиты: несанкционированное использование информации связано главным образом, со злоумышленными действиями, которые в общем случае являются неформальными.
Следовательно, надежная и регулярная защита данных в современных ИВС и АСОД не могут быть обеспечены чисто формальными средствами. Она не может быть абсолютной.
В результате на практике проблемы защиты информации оказываются значительно более широкими и сложными в плане решаемых задач и не сводятся к простому разграничению доступов в БД и шифрованию данных.
Классификация методов защиты данных:
1 Управление.
2. Препятствия
3. Маскировка.
4. Регламентация.
5. Побуждение
6. Принуждение.
УПРАВЛЕНИЕ – представляет собой регулирование использования всех ресурсов системы в рамках установленного технологического цикла обработки и передачи данных, где в качестве ресурсов рассматриваются комплекс технических средств (КТС) , ОС, прикладные программы, БД и др. элементы данных.
ПРЕПЯТСТВИЯ – это образования или структура, преграждающие физически нарушителю путь к защищаемым данным.
МАСКИРОВКА – представляет собой метод защиты данных путем их криптографического закрытия.
РЕГЛАМЕНТАЦИЯ – это метод защиты который заключается в разработке и реализации в процессе функционирования ИВС комплексов мероприятия, создающих такие условия технологического цикла обработки данных, при которых минимизируется риск НСД к данным.
Регламентация охватывает: 1) структурное построение ИВС; 2) технологию обработки данных; 3) организацию работы пользователей и персонала ВС-мы.
ПОБУЖДЕНИЕ- это создание такой обстановки и таких условий, при которых правила обращения с защищенными данными регулируются моральными и нравственными нормами.
ПРИНУЖДЕНИЕ – включает угрозу материальной, административной и уголовной ответственности за нарушение правил обращения защищенными данными.
Вывод: На основе данных методов строятся средства защиты информации.
Классификация средств защиты данных:
Средства защиты данных делятся на 2 группы:
1. неформальные средства защиты (НФСЗ)
2. формальные средства защиты (ФСЗ)
К НФСЗ относятся:
1.1-организационные средства защиты
1.2.-законодательные
1.3. морально-этические
К ФСЗ относятся:
2.1. - физические средства защиты
2.2. - аппаратные
2.3. - программные
2.4. – криптографические
В свою очередь физические средства защиты и аппаратные средства защиты объединяются – это технические средства защиты.
Криптографические средства защиты строятся на базе аппаратных средств защиты и программных средств защиты.
22.Организационные средства защиты информации в современных вс и асод.
К ОРГАНИЗАЦИОННЫМ СРЕДСТВАМ ЗАЩИТЫ относятся организационно-технические и организационно-правовые мероприятия, осуществляемые в процессе создания и эксплуатации ИВС и АСОД, построенных на их основе
Организационные мероприятия лежащие в основе организационных средств защиты, охватывают все структурные элементы ИВС и системы защиты на всех этапах их жизненного цикла:
1) строительство помещений, в которых будет размещаться данная система.
2) проектирование системы
3) монтаж и наладка оборудования
4) испытание и проверка при вводе в опытную эксплуатацию
5) эксплуатация (модернизация, перестройка)
6) демонтаж
При этом организованные мероприятия играют двоякую роль в механизме защиты:
1. с одной стороны, позволяют частично или полностью перекрывать значительную часть каналов утечки информации.
2. С другой стороны обеспечивает объединение всех используемых в ИВС средств в целостный механизм защиты.
Организационные меры базируются на законодательных и нормативных документах по безопасности информации. Они должны охватывать все основные пути сохранения информационных ресурсов с максимальной эффективностью.
Организационные мероприятия включают следующие принципы организации работ, которые способствуют обеспечению безопасности данных:
1. максимизация данных, доступная персоналу, т.е. каждый сотрудник должен знать только те детали технологического процесса обеспечения безопасности, которые необходимы ему для выполнения своих обязанностей.
2 минимизация связей персонала
Организация технологического цикла сбора, обработки и передачи данных по мере возможности должно исключать или минимизировать контакты обслуживающего персонала.
3. минимизация доступных данных
Требует ограничения количества данных, которые могут быть доступны персоналу и пользователям
4.дублирование контроля.
Контроль важнейших операция нельзя поручать одному сотруднику.
Организованные мероприятия включают:
I. ограничение физического доступа к объектам ИВС и АСОД, построенных на их базе, и реализацию режимных мер
II. ограничение возможности перехвата информации в следствии существования физических полей.
III ограничение доступа к информационным ресурсам и другим элементам АСОД путем криптографического закрытия каналов передачи данных, путем выявления и уничтожения программ закладок (специальные программы, которые как правило, являются резидентом: они ведут статистику: что запускалось, когда запускалось, когда; отслеживают нажатые клавиши; отслеживают работу пользователя; выполняют функцию как шпионы; работают скрытно)
IV создание твердых копий важных с точки зрения внедрения вирусных программ или просто вирусов (в масштабах лаборатории, отдела…)
Законодательные меры позволяют сдерживать потенциальных преступников (злоумышленников), причем под ЗАКОНОДАТЕЛЬНЫМИ МЕРАМИ понимаются законодательные акты, которыми регламентируются правила использования данных ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.
Морально-этические нормы защиты – это всевозможные нормы, которые традиционно сложились по мере развития информатизации общества. Данные нормы не являются обязательными. Однако их несоблюдение ведет к потере престижа отдельного человека, авторитета и престижа группы лиц, и даже целых организаций. Морально-этические нормы могут быть неписанными:
-общепринятые нормы честности;
-оформление в качестве свода правил и предписаний кодекса