Организационное обеспечение

Организационное обеспечение имеет своей задачей формирование поли­тики безопасности на корпоративном уровне – в организациях, на предприятиях, в учреждениях и т.д.

К организационным мерам по защите информации относятся обеспечение особого режима допуска на территории (в помещения), где может быть осуществлен доступ к информации (материальным носителям информации), а также разграничение доступа к информации по кругу лиц и характеру информации (з-н «Об информации, информатизации и защите информации»).

Организационные мероприятия по защите включа­ют в себя совокупность действий по подбору и провер­ке персонала, участвующего в подготовке и эксплуа­тации программ и информации, строгое регламентирование процесса разработки и функцио­нирования ИС.

Комплекс мероприятий по защите информации содержит:

• обучение персонала, изучение соответствующих документов;

• установление особого режима конфиденциальности, что, в свою очередь подразумевает:

  • организацию охраны помещений, в которых содержатся носители конфиденциальной информации;

  • установление режима работы в помещениях, в которых содержатся носители конфиденциальной информации (в т.ч. пропускного режима);

  • закрепление технических средств обработки конфиденциальной информации за сотрудниками, определение персональной ответственности за их сохранность;

  • установление порядка пользования носителями конфиденциальной информации (учет, хранение, передача другим должностным лицам, уничтожение, отчетность);

  • организацию ремонта технических средств обработки конфиденциальной информации;

Требования устанавливаемого на предприятии особого режима конфиденциальности оформляются в виде организационно-распорядительных документов и доводятся для ознакомления до сотрудников предприятия.

• осуществление контроля за соблюдением установленного режима конфиденциальности

По результатам проверок специалистами по защите информации проводится необходимый анализ с составлением отчета, который включает:

• вывод о соответствии проводимых на предприятии мероприятий установленным требованиям;

• оценка реальной эффективности применяемых на предприятии мер защиты информации и предложения по их совершенствованию.

Обеспечение и реализация перечисленных выше мероприятий потребует создания на предприятии соответствующих органов защиты информации.

Созданием органов защиты информации на предприятии завершается построение системы защиты информации, под которой понимается совокупность органов защиты информации или отдельных исполнителей, используемые ими средства защиты информации, а также объекты защиты, организованные и функционирующие по правилам, установленным соответствующими правовыми, организационно-распорядительными и нормативными документами по защите информации.

Программно-техническое обеспечение

Программно-техническое обеспечение призвано осуществлять конкрет­ные меры безопасности на уровне компьютерных систем и сетей, которые пред­писаны принятой корпоративной политикой безопасности.

К техническим (программно-техническим) мерам по защите информации относятся меры по использованию средств защиты информации, в том числе криптографических, а также систем контроля доступа и регистрации фактов доступа к информации (з-н «Об информации, информатизации и защите информации»).

Техническими названы такие средства, которые реализуются в виде электри­ческих,  электромеханических,   элект­ронных устройств.  

Всю  совокупность технических средств принято делить на аппаратные и физические.

Под аппаратными средствами защиты понимают устройства,  внедряемые не­посредственно  в  аппаратуру обработки данных,  или устройства,  которые сопрягаются с  ней по стандар­тному интерфейсу.

Сущность аппаратной или схемной защиты состо­ит в том, что в устройствах и технических средствах об­работки информации предусматривается наличие спе­циальных технических решений, обеспечивающих защиту и контроль информации, (экраниру­ющие устройства, локализующие электромагнитные излучения или схемы проверки информации на чет­ность, осуществляющей контроль за правильностью пе­редачи информации между различными устройствами ИС).

Физическими средствами названы такие, которые реализуются в виде автономных устройств и систем (электронно-механическое оборудование охранной сигнализации и наблюдения, охранное освещение, охранное телевидение, замки на дверях, ре­шетки на окнах, заборы и т.п.).

Программные методы защиты – это совокупность алгоритмов и программ, обеспечивающих разграниче­ние доступа и исключение несанкционированного ис­пользования информации.

Очевидно, что такое деление средств защиты достаточно условно, т.к. на практике они часто взаимодействуют и реализуются в комплексе в виде программно-аппаратных модулей с широким спектром возможностей.

В настоящее время на рынке представлено большое разнообразие программно-технических средств защиты информации (СЗИ), которые условно можно разделить на несколько групп:

• средства, обеспечивающие разграничение доступа к информации в автоматизированных системах;

• средства, обеспечивающие защиту информации при передаче ее по каналам связи;

• средства, обеспечивающие защиту от утечки информации по различным физическим полям, возникающим при работе технических средств автоматизированных систем;

• средства, обеспечивающие защиту от воздействия программ-вирусов;

• материалы и устройства, обеспечивающие безопасность хранения, транспортировки носителей информации и защиту их от копирования.

Основное назначение средств защиты первой группы – разграничение доступа к локальным и сетевым информационным ресурсам автоматизированных систем. СЗИ этой группы обеспечивают:

• идентификацию и аутентификацию пользователей автоматизированных систем;

• разграничение доступа зарегистрированных пользователей к информационным ресурсам;

• регистрацию действий пользователей;

• защиту загрузки операционной системы с внешних носителей информации;

• контроль целостности СЗИ и информационных ресурсов.

Идентификация – опознание по имени (от англ. identification).

Аутентификация – установление подлинности (от англ. authentification).

Авторизация — процесс предоставления определенному лицу прав на выполнение некоторых действий (как правило − следующий шаг системы после аутентификации).

В качестве идентификаторов пользователей применяются, как правило, условные обозначения в виде набора символов. Для аутентификации пользователей применяются пароли. После идентификации обычно производится аутентификация

В большинстве ИС используется механизм иденти­фикации и аутентификации на основе схемы иденти­фикатор пользователя / пароль.

Ввод значений идентификатора пользователя и его пароля осуществляется по запросу СЗИ с клавиатуры. Многие современные СЗИ используют и другие типы идентификаторов – магнитные карточки, радиочастотные бесконтактные карточки, смарт-карточки, электронные таблетки Touch Memory и другие. Отдельно – в качестве идентификатора индивидуальные биологические параметры (отпечаток пальца или ладони, радужная оболочка глаза, размер руки, форма лица), присущих каждому человеку.

Разграничение доступа зарегистрированных пользователей к информационным ресурсам осуществляется СЗИ в соответствии с установленными для пользователей полномочиями. Как правило, СЗИ обеспечивают разграничение доступа к гибким и жестким дискам, логическим дискам, папкам, файлам, устройствам. Полномочия пользователей устанавливаются с помощью специальных настроек СЗИ. По отношению к информационным ресурсам средствами защиты могут устанавливаться такие полномочия, как разрешение чтения, записи, создания, запуска исполняемых файлов и другие.

Системы защиты информации предусматривают ведение специального журнала, в котором регистрируются определенные события, связанные с действиями пользователей, например запись (модификация) файла, запуск программы, вывод на печать и другие, а также попытки несанкционированного доступа к защищаемым ресурсам и их результат.

Особо стоит отметить наличие в СЗИ защиты загрузки операционной системы с внешних носителей и т.п.), которая обеспечивает защиту самих средств защиты от "взлома" с использованием специальных технологий.

Контроль целостности средств защиты и защищаемых файлов заключается в подсчете и сравнении контрольных сумм файлов. При этом используются различной сложности алгоритмы подсчета контрольных сумм.

К СЗИ второй группы – для защиты информации при передаче ее по каналам связи – применяются криптографические средства и программные средства, реализующие методы стеганографии.

Криптография – система изменения информации с целью сделать ее непонятной для непосвященных лиц.

Стеганография – система изменения информации с целью скрытия самого факта существования секретного сообщения.

Криптографические методы защиты информации – это специальные методы шифрования, кодирования или иного преобразования информации, в результате которого ее содержание становится недоступным без предъявления ключа криптограммы и обратного преобразования.

Методы стеганографии скрывают сам факт передачи секретной информации, при этом для повышения уровня ее защиты от вскрытия секретная информация может дополнительно шифроваться.

Методы стеганографии предполагают, что сам факт какого-то обмена информации не скрывается.

К следующей, третьей группе СЗИ, относятся средства для защиты информации от утечки по физическим полям, использующие следующие методы и средства защиты:

• электромагнитное экранирование устройств или помещений, в которых расположена вычислительная техника;

• средства по обнаружению и локализации специальных технических средств негласного получения информации, для выявления естественных и искусственно созданных каналов утечки информации, а также для контроля качества защиты информации (детекторы поля, программно-аппаратные комплексы, предназначенные для скрытного обнаружения диктофонов в случае их несанкционированного использования, например, в офисе или в зале заседаний)

К специальным техническим средствам негласного получения информации, прежде всего, относят:

• радиомикрофоны;

• телефонные радиоретрансляторы;

• радиостетоскопы;

• скрытые видеокамеры с передачей информации по радиоканалу;

• технические средства систем пространственного высокочастотного облучения;

• радиомаяки систем слежения за перемещением объектов;

• несанкционированно включенные радиостанции и радиотелефоны;

• технические средства обработки информации, работа которых сопровождается возникновением побочных электромагнитных излучений (элементы ПЭВМ, факсы, ксероксы, некоторые типы телефонных аппаратов и т.п.).

• активная радиотехническая маскировка с использованием широкополосных генераторов шумов.

Радикальным способом защиты информации от утечки по физическим полям является электромагнитное экранирование технических устройств и помещений, однако это способ требует значительных капитальных затрат и практически не применяется.

Четвертую группу средств защиты информации составляют средства, обеспечивающие защиту от воздействия программ-вирусов.

Пятая группа СЗИ, в которую входят материалы и устройства, обеспечивающие безопасность хранения, транспортировки носителей информации и защиту их от копирования. В основном это специальные тонкопленочные материалы с изменяющейся цветовой гаммой или голографические метки, которые наносятся на документы и предметы (в том числе и на элементы компьютерной техники автоматизированных систем), а также разнообразные устройства, обеспечивающие безопасное хранение, транспортировку носителей информации.