Тема 6. Обеспечение информационной безопасностиКис

22. .Что входит в понятие информационной безопасностиКис?

Подбезопасностью ИСпонимается защищенность системы отслучайно-го или преднамеренного вмешательства в нормальный процесс еефункциони-рования, от попыток хищения (несанкционированного получения)информации,модификации или физического разрушения ее компонентов. Иначе говоря,этоспособность противодействовать различным возмущающим воздействиямнаИС.

Интерес к вопросам защиты информации повышается, что связано своз-растанием роли информационных ресурсов в конкурентной борьбе,расширени-ем использования сетей, а следовательно, и несанкционированного доступакхранимой и передаваемойинформации.

Подугрозой безопасности информациипонимаются события илидей-ствия, которые могут привести к искажению, несанкционированномуиспользо-ванию или даже разрушению информационных ресурсов управляемойсистемы,а также программных и аппаратныхсредств.

Факторы, способствующие повышению уязвимостиинформации:

• увеличение объемов информации, накапливаемой, хранимой иобрабатыва-емой с помощью компьютеров и других средствавтоматизации;

• сосредоточениевединыхБДинформацииразличногоназначенияипри-надлежности;

• расширение круга пользователей, имеющих непосредственный доступ кре-сурсамКИС;

• усложнение режимов работы технических средств ИС (широкоевнедрениемультипрограммного режима и режима разделениявремени);

• автоматизация межмашинного обмена информацией, в том числе наболь-ших расстояниях (использование компьютерныхсетей).

Средиугроз безопасности информациивыделяют:

• Случайные, илинепреднамеренные, т. е. выход из строяаппаратныхсредств, неправильные действия работников ИС или ее пользователей,непред-намеренные ошибки в ПО и т.д.

• Умышленные, преследующие цель нанесения ущерба управляемойсистемеили пользователям. Это делается нередко ради получения личнойвыгоды.Угрозы подразделяются также навнутренние(возникающие внутриуправляе-мой организации) ивнешние. Внутренние угрозы чаще всего определяютсясо-циальной напряженностью и тяжелым моральным климатом. Внешниеугрозымогут определяться злонамеренными действиями конкурентов,экономически-ми условиями и другими причинами (например, стихийнымибедствиями).

Система информационной безопасности должна выполнятьследующие

функции:

• регистрацию и учет пользователей, носителей информации,информацион-ныхмассивов;

• обеспечение целостности системного и прикладного ПО иобрабатываемойинформации;

• защиту коммерческой тайны, в том числе с использованиемсертифициро-ванных средствкриптозащиты;

• создание защищенного электронного документооборота сиспользованиемсертифицированных средств криптопреобразования и электроннойцифровойподписи;

• централизованное управление системой защитыинформации;

• реализацию на рабочем месте администратора информационнойбезопасно-сти;

• обеспечение защищенного удаленного доступа мобильныхпользователейна основе использования технологий виртуальных частных сетей(VPN);

• управлениедоступом;

• обеспечение эффективной антивируснойзащиты.

Показатель защищенности ИС– характеристика средств системы,влия-ющая на защищенность и описываемая определенной группой требований,ва-рьируемых по уровню и глубине в зависимости от классазащищенности.

Класс защищенности ИС– определенная совокупность требованийпозащите средств ИС от несанкционированного доступа кинформации.

Если реальное состояние перекрывает угрозы в полной мере, системабез-опасностисчитаетсянадежнойинетребуетдополнительныхмер.Такуюси-стемуможноотнестикклассусистемсполнымперекрытиемугрозиканаловутечкиинформации.Впротивномслучаесистемабезопасностинуждаетсявдополнительных мерахзащиты.

Чем класс безопасности выше, тем более жесткие требованияпредъявля-ются ксистеме.

Применительно к средствам защиты от несанкционированного доступакинформацииопределенысемьклассовзащищенности(1–7)средстввычисли-тельной техники и девять классов (1А, 1Б, 1В, 1Г, 1Д, 2А, 2Б, 3А, 3Б) дляавто-матизированных систем. Для вычислительной техники самым низкимявляетсяседьмой класс, а для автоматизированных систем –3Б.

Политика безопасностиосновывается на законах, правилах и практиче-ском опыте, которые используются для управления, защиты ираспределенияконфиденциальнойинформации.