17.13Усиленная аутентификация

Одним из важных компонентов концепции межсетевых экранов является аутентификация (проверка подлинности пользователя). Прежде чем пользователю будет предоставлено право воспользоваться тем или иным сервисом, необходимо убедиться, что он действительно тот, за кого себя выдает.

Одним из способов аутентификации является использование стандартных паролей. Однако эта схема наиболее уязвима с точки зрения безопасности - пароль может быть перехвачен и использован другим лицом. Многие инциденты в сети Internet произошли отчасти из-за уязвимости традиционных паролей. Злоумышленники могут наблюдать за каналами в сети Internet и перехватывать передающиеся в них открытым текстом пароли, поэтому схему аутентификации с традиционными паролями следует признать устаревшей.

Для преодоления этого недостатка разработан ряд средств усиленной аутентификации; смарт-карты, персональные жетоны, биометрические механизмы и т.п. Хотя в них задействованы разные механизмы аутентификации, общим для них является то, что пароли, генерируемые этими устройствами, не могут быть повторно использованы нарушителем, наблюдающим за установлением связи. Поскольку проблема с паролями в сети Internet является постоянной, межсетевой экран для соединения с Internet, не располагающий средствами усиленной аутентификации или не использующий их, теряет всякий смысл.

Ряд наиболее популярных средств усиленной аутентификации, применяемых в настоящее время, называются системами с одноразовыми паролями. Например, смарт–карты или жетоны аутентификации генерируют информацию, которую хост-компьютер использует вместо традиционного пароля Результатом является одноразовый пароль, который, даже если он будет перехвачен, не может быть использован злоумышленником под видом пользователя для установления сеанса с хост- компьютером.

Так как межсетевые экраны могут централизовать управление доступом в сети, они являются подходящим местом для установки программ или устройств усиленной аутентификации. Хотя средства усиленной аутентификации могут использоваться на каждом хост-компьютере, более практично их размещение на межсетевом экране.

17.14Применение межсетевых экранов для организации виртуальных корпоративных сетей

Некоторые межсетевые экраны позволяют организовать виртуальные корпоративные сети. Несколько локальных сетей, подключенных к глобальной сети, объединяются в одну виртуальную корпоративную сеть. Передача данных между этими локальными сетями производиться прозрачным образом для пользователей локальных сетей. Конфиденциальность и целостность передаваемой информации должны обеспечиваться при помощи средств шифрования, использование цифровых подписей. При передаче данных может шифроваться не только содержимое пакета, но и некоторые поля заголовка.

18Правовое обеспечение безопасности ис.

18.1Предмет законодательства

Для создания и поддержания необходимого уровня защищенности объектов ИС разрабатывается система правовых норм, регулирующих отношения сотрудников в сфере безопасности, определяются основные направления деятельности в данной области, формируются органы обеспечения безопасности и механизмы контроля их деятельности.

Основными принципами обеспечения безопасности являются законность, достаточность, соблюдение баланса личных интересов и предприятия, взаимная ответственность персонала и руководства взаимодействие с государственными правоохранительными органами.

Правовые или законодательные основы обеспечения безопасности ИС составляют Конституция РФ, Законы РФ, Кодексы, указы и другие нормативные акты, регулирующие отношения в области информации.

Предметами правового регулирования в этом плане являются:

1. Правовой режим информации, средств информатики, индустрии информатизации и систем информационных услуг в условиях риска, средства и формы защиты информации.

2. Правовой статус участников правоотношений в процессах информатизации (определение права на информацию, гарантий и защиты прав и установления ответственности в зависимости от ролей субъектов в процессе информатизации).

3. Порядок отношений субъектов с учетом их правового статуса на различных стадиях и уровнях процесса функционирования информационных структур и систем.

Законодательство по информационной безопасности можно представить как неотъемлемую часть всей системы законов Российской Федерации, в том числе:

— Конституционное законодательство. Нормы, касающиеся вопросов информатизации, входят в них как составные элементы.

— Общие основные законы (о собственности, недрах, земле, о правах граждан, гражданстве, налогах), включают нормы по вопросам информатизации.

— Законы по организации управления, касающиеся отдельных структур хозяйства, экономики, системы государственных органов и определяющие их статус. Они включают отдельные нормы по вопросам информации. Наряду с общими вопросами информационного обеспечения деятельности конкретного органа эти нормы должны устанавливать обязанность органа по формированию и актуализации систем и массивов (банков) информации.

— Специальные законы, полностью относящиеся к конкретным сферам отношений, отраслям хозяйства, процессам. В их число входят законы по информатизации. Именно состав и содержание этих законов образуют специальное законодательство как основу правового обеспечения информатизации и защиту информации.

— Подзаконные нормативные акты в области информатизации.

— Правоохранительное законодательство РФ, содержащее нормы ответственности за правонарушения в области информатизации.

Специальное законодательство в области информатизации представляется совокупностью законов. В их составе особое место принадлежит базовому закону «Об информации, информатизации и защите информации», который закладывает основы правового определения всех важнейших компонентов процесса информатизации:

• информатизации и информационных систем;

• субъектов — участников процесса;

• правоотношений производителей — потребителей информационной продукции, владельцев информации;

• обработчиков и потребителей на основе отношение собственности при обеспечении гарантий интересов граждан и государства.

Другой закон — "Об охране прав граждан в условиях информатизации" — отвечает мировой практике защиты интересов отдельной личности; права на личную жизнь в части, связанной с информацией, обеспечивают механизмы и процедуры правовой защиты информации, принадлежащей гражданам, информации о гражданах, информации, потребляемой гражданами в связи с реализацией их права и обязанностей; ответственность государства и других структур общества за соблюдение прав и интересов граждан России, иностранных граждан.

Вопросы правового режима информации с ограниченным доступом реализуются в двух самостоятельных законах «О государственной тайне» и «О коммерческой тайне».

В 1992 г.был принят специальный закон «О правовой охране программ для ЭВМ и баз данных». Одновременно с указанным законом был принят Закон РФ «О правовой охране технологии интегральных микросхем». Оба закона устанавливают охрану соответствующих объектов с помощью норм авторского права, включая в перечень объектов авторского права наряду с традиционными базы данных, технологии интегральных микросхем и программы для ЭВМ.

К правовому обеспечению относятся и такие формы как составление договоров на проведение работ и на оказание информационных услуг. Здесь правовая гарантия предусматривается определенными условиями ответственности за нарушение сторонами принятых обязательство (помимо возмещения убытков возможны штрафные санкции).

Помимо этих гарантий стороны могут прибегнуть к страхованию убытков. Тогда они в договоре определяют, какая именно сторона заключает договор страхования со страховой компанией, а также случаи возникновения убытков, подлежащих страхованию. Как правило, страхование берет на себя исполнитель, но тогда страховая сумма учитывается при определении цены договора.