Существуют и другие относящиеся к безопасности ситуации, которые не соответствуют описанной выше модели сетевой безопасности. Общую модель этих ситуаций можно проиллюстрировать следующим образом:
Рис. 1.9. Модель безопасности информационной системы
Данная модель иллюстрирует концепцию безопасности информационной системы, с помощью которой предотвращается нежелательный доступ. Хакер, который пытается осуществить незаконное проникновение в системы, доступные по сети, может просто получать удовольствие от взлома, а может стараться повредить информационную систему и/или внедрить в нее что-нибудь для своих целей. Например, целью хакера может быть получение номеров кредитных карточек, хранящихся в системе.
Другим типом нежелательного доступа является размещение в вычислительной системе чего-либо, что воздействует на прикладные программы и программные утилиты, такие как редакторы, компиляторы и т.п. Таким образом, существует два типа атак:
- Доступ к информации с целью получения или модификации хранящихся в системе данных.
- Атака на сервисы, чтобы помешать использовать их.
Вирусы и черви - примеры подобных атак. Такие атаки могут осуществляться как с помощью дискет, так и по сети.
Сервисы безопасности, которые предотвращают нежелательный доступ, можно разбить на две категории:
- Первая категория определяется в терминах сторожевой функции. Эти механизмы включают процедуры входа, основанные, например, на использовании пароля, что позволяет разрешить доступ только авторизованным пользователям. Эти механизмы также включают различные защитные экраны (firewalls), которые предотвращают атаки на различных уровнях стека протоколов TCP/IP, и, в частности, позволяют предупреждать проникновение червей, вирусов, а также предотвращать другие подобные атаки.
- Вторая линия обороны состоит из различных внутренних мониторов, контролирующих доступ и анализирующих деятельность пользователей.
Одним из основных понятий при обеспечении безопасности информационной системы является понятие авторизации - определение и предоставление прав доступа к конкретным ресурсам и/или объектам.
В основу безопасности информационной системы должны быть положены следующие основные принципы:
- Безопасность информационной системы должна соответствовать роли и целям организации, в которой данная система установлена.
- Обеспечение информационной безопасности требует комплексного и целостного подхода.
- Информационная безопасность должна быть неотъемлемой частью системы управления в данной организации.
- Информационная безопасность должна быть экономически оправданной.
- Ответственность за обеспечение безопасности должна быть четко определена.
- Безопасность информационной системы должна периодически переоцениваться.
- Большое значение для обеспечения безопасности информационной системы имеют социальные факторы, а также меры административной, организационной и физической безопасности.
