Информационная безопасность и ее составляющие

 

Процесс информатизации современного общества приводит к резкому увеличению ценности определенной информации и убытков, которые могут иметь место в случае ее утечки, моди­фикации или уничтожения. В связи с этим особенно актуаль­ной становится проблема обеспечения информационной без­опасности.

Понятие безопасности в информационной сфере является весьма широким. В общем смысле под информационной безопас­ностью понимают защищенность информации от попыток не­санкционированного ее получения, модификации, разрушения и задержек доступа. Информационная безопасность должна обес­печивать достижение следующих целей:

- целостность данных — защиту от сбоев, ведущих к потере информации, а также неавторизованного создания или уничтожения данных;

- конфиденциальность информации;

- доступность для всех авторизованных пользователей.

К числу причин, приводящих к потере или нежелательному изменению информации можно отнести следующие:

1) Несанкционированный доступ к данным (случайный или умышленный):

- копирование, искажение, уничтожение или подделка ин­формации;

- ознакомление посторонних лиц с конфиденциальной ин­формацией.

2) Некорректная работа программного обеспечения, приводя­щая к потере или порче данных:

- ошибки в прикладном или сетевом ПО;

- заражение систем компьютерными вирусами.

3) Технические сбои оборудования, вызванные:

- отключением электропитания;

- отказом дисковых систем и систем архивации данных;

- нарушением работы серверов, рабочих станций, сетевых карт, модемов;

- сбоями кабельной системы.

4) Ошибки обслуживающего персонала или пользователей.

5) Неправильное хранение информации.

В вычислительной технике понятие безопасности является весьма широким. Оно подразумевает и надежность работы компьютера, и сохранность ценных данных, и защиту информации от внесения в нее изменений неуполномоченными лицами, и сохранение тайны переписки при электронной связи. Разумеется, во всех цивилизованных странах на страже безопасности граждан стоят законы, но в сфере вычислительной техники правоприменительная практика пока развита недостаточно, а законотворческий процесс не успевает за развитием технологий. Поэтому надежность работы компьютерных систем во многом опирается на меры самозащиты.

Безопасность информационной системы - это система организационных и технических мероприятий, нацеленных на предотвращение угроз, то есть событий или действий, нарушающих нормальное функционирование компьютерной системы или права граждан, предприятий и государства на обладание информацией.

Мероприятия, обеспечивающие безопасность компьютерной системы, должны предусматривать все возможные угрозы и обычно включают в себя физическую защиту сервера, средства восстановления систем и данных после отказов и средства защиты от несанкционированного доступа.

Конечно, универсального решения проблемы информацион­ной безопасности, исключающего все перечисленные причины: физическую защиту данных и системных программ, защиту от несанкционированного доступа к данным, передаваемым по ли­ниям связи и находящимся на накопителях, — нет.

В настоящее время разработаны и успешно применяются различные методы и средства, позволяющие свести к минимуму риск потери или нежелательной модификации данных. Однако единого подхода к их классификации не существует.

Так, например, выделяют юридические, технические и орга­низационные аспекты обеспечения безопасности информации.

К юридическим мерам относятся: разработка нормативных актов, подразумевающих административную и уголовную ответ­ственность за хищение информации, нарушение авторских прав программистов и все те виды компьютерных преступлений, ко­торые были оговорены ранее.

К техническим мерам относятся: защита от несанкциониро­ванного доступа к системе; программные средства борьбы с ви­русами; резервное копирование и архивирование особо важных документов; организация локальных вычислительных сетей с возможностью перераспределения ресурсов, в случае выхода из строя отдельных звеньев; установка систем защиты от сбоев в сети электропитания; а также оснащение помещений системой охранной сигнализации.

Под организационными мерами понимается в первую очередь подбор сотрудников компании, а также обеспечение того, чтобы непроверенные лица не допускались к охраняемой информации. Сюда относится, например, оборудование помещений системой кодовых замков, чтобы в данную комнату мог войти только че­ловек, который знает код, открывающий дверь.

Существуют и другие подходы к классификации средств за­щиты информации:

- средства физической защиты: средства защиты кабельной системы, систем электропитания, средства архивации, дис­ковые массивы и т. д.

Физическая защита, в частности, включает в себя:

а) обеспечение безопасности помещений, где установлены серверы с учетом требований к надежности зданий, температуре и влажности, наличию средств пожаротушения;

б) мероприятия по ограничению физического доступа к компьютерным системам и сетевой инфраструктуре посторонних лиц, которые могут остановить, перезагрузить и даже переустановить сервер, украсть жесткие диски, установить разведывательную аппаратуру и программное обеспечение.

в) средства защиты от сбоев в электропитании – от источников бесперебойного питания до мероприятий по эффективному заземлению и защите от ударов молний.

- программные средства защиты: антивирусные программы, системы разграничения полномочий, программные средст­ва контроля доступа;

Программные средства и методы защиты активнее и шире других применяются для защиты информации в персональных компьютерах и компьютерных сетях, реализуя такие функции за­щиты, как разграничение и контроль доступа к ресурсам; регист­рация и анализ протекающих процессов, событий, пользователей; предотвращение возможных разрушительных воздействий на ре­сурсы; криптографическая защита информации; идентификация и аутентификация пользователей и процессов и др.

В настоящее время наибольший удельный вес в этой группе мер в системах обработки экономической информации составля­ют специальные пакеты программ или отдельные программы, включаемые в состав программного обеспечения с целью реали­зации задач по защите информации.

- технологические средства защиты информации - это комплекс мероприятий, органично встраиваемых в технологические про­цессы преобразования данных. Среди них:

• создание архивных копий носителей;

• ручное или автоматическое сохранение обрабатываемых файлов во внешней памяти компьютера;

• регистрация пользователей компьютерных средств в жур­налах;

• автоматическая регистрация доступа пользователей к тем или иным ресурсам;

• разработка специальных инструкций по выполнению всех технологических процедур и др.

- к правовым и морально-этическим мерам и средствам защиты относятся действующие в стране законы, нормативные акты, рег­ламентирующие правила обращения с информацией и ответствен­ность за их нарушение; нормы поведения, соблюдение которых способствует защите информации.

- административные меры защиты: контроль доступа в поме­щения, разработку стратегии безопасности фирмы, планов действий в чрезвычайных ситуациях и т. д.

Организационно-административные средства защитысводят­ся к регламентации доступа к информационным и вычислитель­ным ресурсам, функциональным процессам систем обработки дан­ных, к регламентации деятельности персонала и др. Их цель - в наибольшей степени затруднить или исключить возможность ре­ализации угроз безопасности. Наиболее типичные организацион­но-административные средства:

• создание контрольно-пропускного режима на территории, где располагаются средства обработки информации;

• изготовление и выдача специальных пропусков;

• мероприятия по подбору персонала, связанного с обработ­кой данных;

• допуск к обработке и передаче конфиденциальной инфор­мации только проверенных должностных лиц;

• хранение магнитных и иных носителей информации, представляющих определенную тайну, а также регистрационных журналов в сейфах, недоступных для посторонних лиц;

• организация защиты от установки прослушивающей аппа­ратуры в помещениях, связанных с обработкой информации;

• организация учета использования и уничтожения докумен­тов (носителей) с конфиденциальной информацией;

• разработка должностных инструкций и правил по работе с компьютерными средствами и информационными массивами;

• разграничение доступа к информационным и вычислитель­ным ресурсам должностных лиц в соответствии с их функциональ­ными обязанностями.

Любая из рассмотренных классификаций достаточно услов­на. Современные технологии развиваются в направлении синте­за различных средств защиты, и достижение требуемого уровня безопасности возможно лишь при оптимальном сочетании орга­низационных, программных, аппаратных, физических и других методов защиты, т. е. в случае реализации системного подхода к решению проблемы информационной безопасности.