3. Широке застосування компьютерної техніки в різних сферах діяльності, бурхливий розвиток комп’ютерних мереж робить все більш актуальними питання

захисту інформації від несанкціонованого доступу, оскільки наслідки цього можуть бути непередбачувані.

Незважаючи на те, що захист інформації в комп’ютерних мережах пов’язаний з цілим рядом комплексних заходів, як чисто технічних, так і організаційних, без шифрування інформації неможливо побудувати надійну систему її захисту.

Ускладнити чи унеможливити читання даних сторонніми особами дозволяє шифрування даних.

Шифрування - це перетворення даних у форму, яка не дає можливості безпосереднього сприйняття зашифрованої інформації.

Шифрування здійснюється з використанням криптографічного ключа. З використанням ключа здійснюється і зворотна процедура - дешифрування (повернення інформації до первинного вигляду).

Використовують два основних методи криптографії (шифрування) даних - симетричний та асиметричний.

Симетрйчні алгоритми шифрування - у криптографії - алгоритми, які застосовуються при шифруванні інформації. Особливість симетричних алгоритмів шифрування полягає у тому, що ключ шифрування та розшифрування однаковий, тобто з його допомогою (на відміну від асиметричних алгоритмів шифрування) можна як зашифрувати, так і розшифрувати (відновити) повідомлення.

Симетричні алгоритми шифрування можна розділити на потокові та блочні алгоритми шифрування. Потокові алгоритми шифрування послідовно обробляють текст повідомлення. Блочні алгоритми працюють з блоками фіксованого розміру. Як правило, довжина блоку дорівнює 64 бітам, але, в алгоритмі AES використовуються блоки довжиною 128 біт.

Симетричні алгоритми шифрування не завжди використовуються самостійно. В сучасних криптоситемах, використовуються комбінації симетричних та асиметричних алгоритмів, для того, аби отримати переваги обох схем. До таких систем належить SSL, PGP та GPG. Асиметричні алгоритми використовуються для розповсюдження ключів швидших симетричних алгоритмів.

До деяких відомих, поширених алгоритмів з гарною репутацією належать: Twofish, Serpent, AES (або Рейндайль), MD5, DES, 3DES, RSA, Blowfish, CAST5, RC4, TDES (3DES), та IDEA.

При вивченні даного питання студенти неодмінно повинні звернути увагу на поняття «швидкість шифрування».

В основному, симетричні алгоритми шифрування вимагають менше обчислень, ніж асиметричні. На практиці, це означає, що якісні асиметричні алгоритми в сотні або в тисячі разів повільніші за якісні симетричні алгоритми. Недоліком симетричних алгоритмів є необхідність мати секретний ключ з обох боків передачі інформації. Так як ключі є предметом можливого перехоплення, їх необхідно часто змінювати та передавати по безпечних каналах передачі інформації під час розповсюдження.

Методи виправлення помилок і шифрування даних:

Коли дані передаються через телекомунікаційний канал або комп'ютерну мережу, потенційно існує три небезпеки:

- відмови або збою апаратного забезпечення;

- несанкціонованого доступу до системи тих, хто «підслуховує»;

- прямого втручання когось, хто посилає помилкові повідомлення в лінію, видаючи себе зовсім за іншого користувача (внаслідок чого приймає повідомлення думає, що його відправили, маючи санкціонований доступ до системи).

Шифрування є мало не єдиним способом запобігання комп'ютерному «підслуховуванню» (оскільки парольний захист не може бути абсолютно надійним: «взломщик» може обійти введення пароля, підібрати пароль

експериментально або зробити що-небудь ще в цьому ж напрямі. Шифрування ж припускає«перемішування» інформації з одного боку каналу зв'язку, передачу зашифрованих даних, потім розшифровку в приймаючому вузлі лінії зв'язку.

Розрізняють відкриті і таємні ключі. При цьому таємний ключ використовується або на стороні отримувача, або на стороні відправника.

Якщо таємний ключ використовується для шифрування інформації (на стороні відправника), то говорять про цифровий підпис.

Ключ - це набір символів, сформований довільним чином з доступних у системі шифрування символів. Довжина такого ключа може коливатись від 16 до 128 біт.

У практику бізнесу увійшла також удосконалена система шифрування, що має назву цифровий сертифікат. Цифровий сертифікат пов’язує ім’я з відкритим ключем. Він створюється для того, щоб можна було виявити несанкціоновану заміну імені або відкритого ключа. До складу сертифікату входять: ім’я, відкритий ключ і підпис, Найрозповсюдженішим стандартом, що описує формат сертифікатів відкритих ключів, є стандарт Х.509, за яким цифровий підпис ставиться вповноваженим сертифікаційним центром.

4. Операційна система є найважливішим програмним забезпеченням кожної ІС. Основи стандартів у сфері захисту операційних систем були закладені "Критеріями оцінки надійних комп’ютерних систем. Цей документ, виданий в США 1983 року національним центром комп’ютерної безпеки (NCSC - National Computer Security Center), називають "оранжевою книгою".

Студенти повинні знати основні методи захисту операційних систем:

1. Паролі та облікові записи користувачів. Компанія RSA Security під час вибору паролів рекомендує:

- використовувати пароль завдовжки не менше 10 символів;

- суміщати в паролі символи верхнього і нижнього регістру, цифри та

інтервали;

- не використовувати один символ більше двох разів;

- уникати слів, які мають змістовне значення;

- уникати використання особистої інформації;

- запам’ятовувати, а не записувати пароль.

2. Групова політика. Під час реалізації групової політики є можливість об’єднання користувачів у групи, закріпивши за всіма учасниками групи певні (однакові) права доступу до даних.

5. Необхідність захисту апаратних засобів обґрунтовується наступними засадами:

- будь-який механічний або електронний пристрій рано чи пізно

- відмовить;

- якість електричної енергії, необхідної дня живлення апаратних засобів, завжди може стати нижчою, ніж це допустимо.

В зв’язку з цим використовуються такі способи захисту:

1. Резервування апаратних засобів

2. Використання технології RAID

3. Резервування даних

6. Одним з напрямків захисту інформації в інформаційних системах є технічний захист інформації (ТЗІ). У свою чергу, питання ТЗІ розбиваються на два великих класи завдань: захист інформації від несанкціонованого доступу (НСД) і захисту інформації від витоку технічними каналами. Під НСД звичайно мається на увазі доступ до інформації, що порушує встановлену в інформаційній системі політику розмежування доступу. Під технічними каналами розглядаються канали сторонніх електромагнітних випромінювань і наведень (ПЕМІН), акустичні канали, оптичні канали й ін.

Студенти повинні знати, що захист від НСД може здійснюватися в різних складових інформаційної системи:

- прикладне й системне програмне забезпечення (ПЗ);

- апаратна частина серверів і робочих станцій;

- комунікаційне устаткування й канали зв'язку;

- периметр інформаційної системи.

Для захисту інформації на рівні прикладного й системного ПЗ використовуються:

- системи розмежування доступу до інформації;

- системи ідентифікації й аутентифікации;

- системи аудита й моніторингу;

- системи антивірусного захисту.

Для захисту інформації на рівні апаратного забезпечення

використовуються:

- апаратні ключі;

- системи сигналізації;

- засоби блокування пристроїв і інтерфейсів вводу-виводу інформації.

У комунікаційних системах використовуються наступні засоби мереженого захисту інформації:

міжмережеві екрани (Firewall) — для блокування атак із зовнішнього середовища (Cisco PIX Firewall, Symantec Enterprise FirewallTM, Contivity Secure Gateway і Alteon Switched Firewall від компанії Nortel Networks). Вони управляють

проходженням мереженого трафіка відповідно до правил (policies) безпеки. Як правило, міжмережеві екрани встановлюються на вході мережі й розділяють внутрішні (частки) і зовнішні (загального доступу) мережі;

системи виявлення вторгнень (IDS - Intrusion Detection System) — для виявлення спроб несанкціонованого доступу як ззовні, так і усередині мережі, захисту від атак типу "відмова в обслуговуванні" (Cisco Secure IDS, Intruder Alert і NetProwler від компанії Symantec). Використовуючи спеціальні механізми, системи виявлення вторгнень здатні запобігати шкідливим діям, що дозволяє значно знизити час простою в результаті атаки й витрати на підтримку працездатності мережі;

засоби створення віртуальних приватних мереж (VPN - Virtual Private Network) — для організації захищених каналів передачі даних через незахищене середовище (Symantec Enterprise VPN, Cisco IOS VPN, Cisco VPN concentrator). Віртуальні приватні мережі забезпечують прозоре для користувача з’єднання локальних мереж, зберігаючи при цьому конфіденційність і цілісність інформації шляхом її дінамічного шифрування;

засоби аналізу захищеності - для аналізу захищеності корпоративної

мережі й виявлення можливих каналів реалізації погроз інформації (Symantec

••

Enterprise Security Manager, Symantec NetRecon). їхнє застосування дозволяє запобігти можливим атакам на корпоративну мережу, оптимізувати витрати на захист інформації й контролювати поточний стан захищеності мережі.

Для захисту периметра інформаційної системи створюються:

- системи охоронної й пожежної сигналізації;

- системи цифрового відеоспостереження;

- системи контролю й керування доступом (СККД).

Захист інформації від її витоку технічними каналами зв’язку забезпечується наступними засобами й заходами:

- використанням екранованого кабелю й прокладкою проводів і кабелів в екранованих конструкціях;

- установкою на лініях зв'язку високочастотних фільтрів;

- побудовою екранованих приміщень ("капсул");

- використанням екранованого устаткування;

- установкою активних систем зашумлення.

ТЕСТОВІ ЗАВДАННЯ

1. Під безпекою інформаційної системи розуміють:

а) властивість, що полягає в здатності системи забезпечити конфіденційність і цілісність інформації;

б) сукупність організаційних, інженерно-технічних заходів, засобів та методів технічного, криптографічного захисту інформації;

в) захист даних або програмного забезпечення інформаційної системи, коли відбувається доступ, при якому вони читаються, а , можливо, й розголошуються деякою особою.

г) сукупність єдиної системи класифікації та кодування інформації, уніфікованих систем документації, схем інформаційних потоків, сформованих для безпеки інформаційної системи.

2. Які із цих видів інформаційних загроз не існують:

а) пасивні; б) активні; в) глобальні; г) штучні.

3. Які із загроз інформаційної системи мають на меті порушення нормального функціонування інформаційної системи шляхом цілеспрямованої дії на її компоненти:

а) пасивні; б) активні; в) глобальні; г) штучні.

4. До ненавмисних дій, що представляють загрозу для безпеки інформаційної системи відносять:

а) дистанційна фото - та відео зйомка;

б) розкриття шифрів криптозахисту інформації;

в) ушкодження носіїв інформації;

г) зараження комп’ютера вірусами.

5. До способів неавторизованого доступу до інформації не відносять:

а) використання спільних паролей; в) угадування пароля;

б) логічне визначення пароля; г) перехоплення пароля.

6. Який із методів неавторизованого доступу до інформації є традиційним:

а) угадування пароля; в) використання спільних паролів;

б) перехоплення пароля; г) логічне визначення пароля.

7. До систем захисту інформації на рівні прикладного та системного ПЗ не відносять:

а) системи ідентифікації та автентифікації;

б) системи антивірусного захисту;

в) системи розмежування доступу до інформації;

г) системи сигналізації.

8. Політика, процедури та технічні заходи, що використовуються для попередження несанкціонованого доступу, змін чи ушкодження ІС:

а) безпека;

б) антивірусне програмне забезпечення;

в) відмовостійкість;

г) вірус.

9. Загальні засоби контролю - це:

а) унікальні для кожного комп’ютеризованого додатку;

б) всі методи, політики та процедури, що гарантують захист активів організації;

в) такі, що встановлюють структуру контролю проекту, безпеки та використання комп’ютерних систем за всією організацією;

г) жодне з визначень не підходить.

10. Засоби контролю поділяються на:

а) кількісні та якісні;

б) загальні та прикладні;

в) загальні та реалізації;

г) програмного забезпечення та реалізації.

11. Які засоби контролю належать до загальних засобів:

а) вводу, обробки та програмного забезпечення;

б) виводу, безпеки даних та комп’ютерних операцій;

в) виводу, обробки та вводу;

г) програмного забезпечення, безпеки даних та комп’ютерних операцій.

12. Які засоби контролю належать до прикладних засобів:

а) вводу, обробки та програмного забезпечення;

б) виводу, безпеки даних та комп’ютерних операцій;

в) виводу, обробки та вводу;

г) програмного забезпечення, безпеки даних та комп’ютерних операцій.

13. Авторизація належить до:

а) засобів контролю вводу;

б) засобів контролю програмного забезпечення;

в) засобів контролю обробки;

г) засобів контролю комп’ютерних операцій.

ПИТАННЯ ДЛЯ САМОКОНТРОЛЮ

1. Дайте визначення поняттю «захист інформації».

2. Якими нормативно-правовими документами реалізовується право на захист інформації.

3. Для чого потрібен сервіс безпеки та які його види.

4. Наведіть основні механізми порушень безпеки даних.

5. Яким чином шифрування використовується в системи забезпечення захисту інформації.

6. Перелічить основні методи захисту операційних систем.

7. Для чого потрібен технічний захист інформації і яким чином він реалізується.

8. Назвіть, які засоби мереженого захисту інформації використовуються у комунікаційних системах.

9. Якими засобами й заходами забезпечується захист інформації від її витоку технічними каналами зв'язку.

10.Які системи використовуються при захисті інформації на рівні прикладного й системного програмного забезпечення.

ГЛОСАРІЙ

Захист інформації - сукупність засобів, методів, організаційних заходів щодо попередження можливих випадкових або навмисних впливів природного чи штучного характеру, наслідком яких може бути нанесення збитків чи шкоди власникам інформації або її користувачам, інформаційному простору.

Несанкціонований доступ - доступ до інформації з порушенням посадових повноважень співробітника, доступ до закритої для публічного доступу інформації з боку осіб, котрі не мають дозволу на доступ до цієї інформації. Також іноді несанкціонованим доступом називають одержання доступу до

інформації особою, що має право на доступ до цієї інформації в обсязі, що перевищує необхідний для виконання службових обов’язків.

Комп’ютерний вірус — комп'ютерна програма, яка має здатність до прихованого саморозмноження. Одночасно зі створенням власних копій віруси можуть завдавати шкоди: знищувати, пошкоджувати, викрадати дані, знижувати або й зовсім унеможливлювати подальшу працездатність операційної системи комп'ютера. Розрізняють файлові, завантажувальні та макро-віруси. Можливі також комбінації цих типів.

Логічна бомба - це код, що поміщається в деяку легальну програму. Він влаштований таким чином, що при певних умовах “вибухає”. Умовою для включення логічної бомби може бути наявність або відсутність деяких файлів, певний день тижня або певна дата, а також запуск додатку певним користувачем.

Сервіс безпеки - це сукупність механізмів, процедур та інших заходів управління для зменшення ризиків, пов’язаних із загрозою втрати або розкриття даних.

Шифрування інформації - це перетворення даних у форму, яка не дає можливості безпосереднього сприйняття зашифрованої інформації.

ЛІТЕРАТУРА

Основна: 1, 2, 3, 4, 5, 10

Додаткова: 3, 4, 5, 6, 7, 11, 13

Основна:

1. Береза А.М. Основи створення інформаційних систем: Навч. посібник.- 2-ге вид., перероб. і доп.- К.: КНЕУ, 2001. - 214 с.

2. Вовчак І.С. Інформаційні системи та комп’ютерні технології в менеджменті. - Тернопіль: Карт-бланки, 2001. - 344 с.

3. Гордієнко І.В. Інформаційні системи і технології в менеджменті: Навч.- метод. посібник для самост. вивч. дисц. - 2-ге вид., перероб. і доп. -К.:КНЕУ, 2003.-259 с.

4. Інформаційні системи в менеджменті: Навч. посібник для студентів ВНЗ / Кутідзе Л.С., Куреда Н.М., Олійник О.М., Головань О.О., Коваленко Н.М., - Запоріжжя: ЗНУ, 2005. - 357с.

5. Інформаційні системи в менеджменті: Навчальний посібник / А.Є.Батюк,

З.П.Двуліт, К.М.Обельовська, І.М.Огородник. Л.П.Фабрі. - Львів: Національний університет „Львівська політехніка”, „Інтелект-Захід” 2004. - 520 с.

6. Новак В. О., Симоненко Ю. Г., Бондар В. П., Матвеев В.В. Інформаційні системи в менеджменті. Підручник. - К.: Каравела, 2008. - 486 с.

7. Новак В.О. Інформаційне забезпечення менеджменту. Навч. посібник. - К.: Каравела, 2008. - 592 с.

8. Новаківський І.С. Інформаційні системи в менеджменті: системний підхід. - К: ЦУЛ, 2007. - 196 с.

9. Сергеев В.И., Григорьев М.Н., Уваров С.А. Логистика. Информационные системы и технологии. — М.: Альфа-Пресс, 2008. - 608 с.

Ю.Титаренко O.K. Информационные технологии управления. - М.:

ЮНИТИ-ДАНА, 2007.-439 с.

Додаткова:

1. Автоматизация управления предприятием / В. В. Баронов и др.— М.: ИНФРА-М, 2000. — 239 с.

2. Бородакий Ю.В., Лободинський Ю.Г. Информационные технологии: Методы, процессы, системы. - М.: Радио и связь, 2002. - 456 с.

3. Бажин И.И. Информационные системы менеджмента. - М.: ГУВШЭ, 2002. - 688 с.

4. Балдин К.В., Уткин В.Б. Информационные системы в экономике. - 5-е изд. — М.: Дашков и К, 2008. - 395 с.

5. Галузинський Г. П., Гордієнко І. В. Перспективні технологічні засоби оброблення інформації: Посібник для самостійного вивчення дисципліни — К:

КНЕУ, 2002. - 280 с.

6. Грабауров В. А. Информационные технологии для менеджеров. - М.: Финансы и статистика, 2002. - 368 с.

7. Гринберг А.С., Король И.А. Информационный менеджмент: Учеб. пособие для вузов. — М.: ЮНИТИ-ДАНА, 2003. -415 с.

8. Гужва В. М. Інформаційні системи і технології на підприємствах: Навч. посібник. — К.: КНЕУ, 2001. - 400 с.

9. Електронна комерція: Навч. посібник / Береза А.М., Козак І.А., Левченко Ф.А. та ін. — К.: КНЕУ, 2002. - 326 с.

10.Інформаційні системи і технології в економіці: Навч. посіб. / За ред. B.C. Пономаренка. - К.: ВЦ "Академія”, 2002. - 542 с.

11.Информационные технологии управления: Учеб. пособие для вузов / Под ред. проф. Г.А. Титоренко. - 2-е изд., доп. — М.: ЮНИТИ - ДАНА, 2003. -439 с.

12.Кулицький С.П. Основи організації інформаційної діяльності у сфері управління: Навч. посіб. - К.: МАУП, 2002. - 224 с.

13.Маслов В.П. Інформаційні системи і технології в економіці: Навч. посібник. — К.: Слово, 2003. - 264 с.

14.Макарова М.В Електронна комерція. Навчальний посібник. — Київ: ВЦ Академія, 2002. - 272 с.

15.Меджибовська Н.С. Електронна комерція: Навчальний посібник. - Київ: ЦНЛ, 2004. - 384 с.

Інтернет джерела:

1.Проблеми впровадження ERP-систем, бюджетування [Електронний ресурс] Режим доступу: http://www.intalev.ua/

2.ERP в Україні [Електронний ресурс] Режим доступу: http ://www. ефи a. com/

З .Intelligent enterprise [Електронний ресурс] Режим доступу: http://www.iemag.ru/

4.Business intelligence - effective data mining & analysis [Електронний ресурс] Режим доступу: http://www.olap.ru/

5.Портал ERP EXPERT [Електронний ресурс] Режим доступу: http ://erpexpert. com.ua/

6.Авторский сайт в сфере логистики "logistics-gr" [Електронний ресурс] Режим доступу: http://www.logistics-gr.com/index.php /

7.BYTE Россия: специализированное издание [Електронний ресурс] Режим доступу: http://www.bytemag.ru/

8.0фиційний сайт SAP [Електронний ресурс] Режим доступу: http://www.sap.com/cis/index.epx

9.0фиційний сайт Microsoft [Електронний ресурс] Режим доступу: http://www.microsoft.com/uk-ua/default.aspx

10. Epicor Software Corporation [Електронний ресурс] Режим доступу: http://www.epicor.com/uk/Pages/default.aspx

11. Статті про системи автоматизації [Електронний ресурс] Режим доступу: http://corpis.narod.ru/html/Cisl .html

12. Сайт IT сообщества [Електронний ресурс] Режим доступу: http ://citforum .ги/

Навчально-методичне видання (українською мовою)

Ганза Ірина Володимирівна Бурма Тетяна Григорівна Чкан Анна Сергіївна

інформаційні системи в менеджменті

Навчально-методичний посібник до самостійного вивчення курсу для студентів

освітньо-кваліфікаційного рівня «магістр» спеціальності 8.18010016 «Бізнес-адміністрування»

Рецензент Є. В. Маказаи Відповідальний за випуск ДГ. Бікулов

Коректор АС. Чкан