Информационная безопасность экономических систем

Информационные угрозы экономическим объектам

Угрозы безопасности информационным объектам подразделяются на 4 группы:

1. Угрозы конфиденциальности данных и программ.

2. Угрозы целостности данных, программ, аппаратуры.

3. Угрозы доступности данных.

4. Угрозы отказа от выполнения транзакций (Транзакция — это передача сообщений с подтверждением об их пе­редаче и приеме ). Возникают в том случае, когда легальный пользователь передает или принимает платежные документы, а потом отрицает это, чтобы снять с себя ответствен­ность.

Угрозы могут быть обусловлены: 1) естественными факторами (стихийные бедствия — пожар, наводне­ние, ураган, молния и другие причины); 2) человеческими факторами, которые в свою очередь подразделяются на: пассивные угрозы (угрозы, носящие случайный, неумышленный характер - это угрозы, связанные с ошибками процесса подготов­ки, обработки и передачи информации; с нецеленаправ­ленной "утечкой умов", знаний, информации); активные угрозы (угрозы, обусловленные умышленными, пред­намеренными действиями людей - это угрозы, связанные с переда­чей, искажением и уничтожением научных открытий, изобретений, секретов производства и т.д.); 3) человеко-машинными и машинными факторами, подразделяющи­мися на: пассивные угрозы (э то угрозы, связанные с ошибками процесса проектирования, разработки и изготовления систем и их компонент; с ошибками в работе аппаратуры из-за некачественного ее изготовления; с ошибками процесса подготовки и обработки информации); активные угрозы (это угрозы, связанные с несанкционирован­ным доступом к ресурсам автоматизированной информационной системы).

Способы воздействия угроз на информационные объекты подразде­ляются на 5: 1) И нформационные способы 2) Программно-математические способы 3) Физические способы 4) Радиоэлектронные способы 5) Организационно-правовые способы включают: невыполнение требований законодательства и задержки в принятии необходимых нормативно-правовых положений в информационной сфере; неправомерное ограничение доступа к документам, содержащим важную для граждан и организаций информацию. Аналогично подразделяются и способы защиты от информационных угроз.

Информационная безопасность: состояние защищенности информационного пространства, обеспе­чивающее его формирование и развитие в интересах граждан, орга­низаций и государства; состояние инфраструктуры, при котором информация используется строго по назначению и не оказывает негативного воздействия на систему при ее использовании; состояние информации, при котором исключается или существенно затрудняется нарушение таких ее свойств, как секретность, целост­ность и доступность.

Понятие информационной безопасности в узком смысле этого слова подразумевает: надежность работы компьютера; сохранность ценных данных; защиту информации от внесения в нее изменений неуполномочен­ными лицами; сохранение тайны переписки в электронной связи.

Конфиденциальность компьютерной информации — это свойство информации быть известной только допущенным и прошедшим провер­ку (авторизацию) субъектам системы (пользователям, программам, про­цессам и т.д.). Безопасность информационной системы достигается обеспечением конфиденциальности обрабатываемой ею информации, а также целост­ности и доступности ресурсов системы. Систему обеспечения безопасности информации можно разбить на следующие подсистемы: компьютерную безопасность; безопасность данных; безопасное программное обеспечение; безопасность коммуникаций. К объектам информационной безопасности на предприятии относят: информационные ресурсы, содержащие сведения, отнесенные к коммерческой тайне, и конфиденциальную информацию, представ­ленную в виде информационных массивов и баз данных; средства и системы информатизации. Среди организационных мероприятий по обеспечению безо­пасности информации важное место занимает охрана объекта, на котором расположена защищаемая АИТ (территория здания, помещения, хранилища информационных носителей). Функционирование системы защиты информации от не­санкционированного доступа, как комплекса программно-технических средств и организационных (процедурных) реше­ний, предусматривает: учет, хранение и выдачу пользователям информационных носителей, паролей, ключей; ведение служебной информации (генерация паролей, клю­чей, сопровождение правил разграничения доступа); оперативный контроль за функционированием систем за­щиты секретной информации; контроль соответствия общесистемной программной среды эталону; приемку включаемых в АИТ новых программных средств; контроль за ходом технологического процесса обработки фи­нансово-кредитной информации путем регистрации анализа действий пользователей; сигнализацию опасных событий и т.д.

Создание базовой системы защиты информации в АИТ осно­вывается на следующих принципах: Комплексный подход к построению системы защиты при веду­щей роли организационных мероприятий, Разделение и минимизация полномочий по доступу к обрабаты­ваемой информации и процедурам обработки, Полнота контроля и регистрации попыток несанкционирован­ного доступа, Обеспечение надежности системы защиты, Обеспечение контроля за функционированием системы защиты, “Прозрачность” системы защиты информации для общего, прикладного программного обеспечения и пользователей АИТ, Экономическая целесообразность использования системы защи­ты.

Проблема создания системы защиты информации включает в себя две взаимно дополняющие задачи. 1. Разработка системы защиты информации (ее синтез). 2. Оценка разработанной системы защиты информации. (экспертный путь с помощью сертификации средств защиты информации и аттестации системы защиты информа­ции в процессе ее внедрения).

Рассмотрим основное содержание представленных средств и методов защиты информации, которые составляют основу меха­низмов защиты. Методы: Препятствие — метод физического преграждения пути зло­умышленнику к защищаемой информации (к аппаратуре, носите­лям информации и т.д.); Управление доступам — метод защиты информации регулирова­нием использования всех ресурсов компьютерной информацион­ной системы (идентификация пользователей, персонала и ресурсов систе­мы; опознание объекта или субъекта по предъявленному им идентификатору; проверка полномочий; реагирование при попытках несанкционированных действий.). Маскировка — метод защиты информации путем ее криптогра­фического закрытия. При передаче информации по каналам свя­зи большой протяженности этот метод является единственно на­дежным. Регламентация - метод защиты информации, создающий такие условия автоматизированной обработки, хранения и передачи за­щищаемой информации, при которых возможности несанкциони­рованного доступа к ней сводились бы к минимуму. Принуждение — пользователи и персонал системы вынуждены соблюдать правила обработки, пе­редачи и использования защищаемой информации под угрозой ма­териальной, административной или уголовной ответственности. Побуждение — побуждает пользо­вателя и персонал системы не разрушать установленные порядки за счет соблюдения сложившихся моральных и этических норм.

К основным средствам защиты, используемым для создания механизма защиты, относятся следующие: Технические средства реализуются в виде электрических, элек­тромеханических и электронных устройств. Вся совокупность тех­нических средств делится на аппаратные (устройства, встраиваемые непосредственно в вычислительную технику) и физические (автономные уст­ройства и системы). Программные средства представляют из себя программное обеспечение, специально предназначенное для выполнения функ­ций защиты информации. Организационные средства защиты представляют собой орга­низационно-технические и организационно-правовые мероприя­тия, осуществляемые в процессе создания и эксплуатации вычис­лительной техники, аппаратуры телекоммуникаций для обеспече­ния защиты информации. Морально-этические средства защиты реализуются в виде все­возможных норм, которые сложились традиционно или складыва­ются по мере распространения вычислительной техники и средств связи в обществе. Законодательные средства защиты определяются законода­тельными актами страны, которыми регламентируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил. Все рассмотренные средства защиты разделены на формальные (выполняющие защитные функции строго по заранее предусмот­ренной процедуре без непосредственного участия человека) и не­формальные (определяются целенаправленной деятельностью чело­века либо регламентируют эту деятельность).

Для реализации мер безопасности используются различные ме­ханизмы шифрования (криптографии). Криптография — это наука об обеспечении секретности и/или аутентичности (подлинности) пе­редаваемых сообщений. Методу преобразования в криптографической системе соответ­ствует использование специального алгоритма. Действие такого алгоритма запускается уникальным числом, или битовой последо­вательностью, обычно называемым шифрующим ключом. Шифрование может быть симметричным (использование одного и того же секретного ключа для де/шифрования) и асимметричным (разные ключи, дешифр. - секретный). Наряду с шифрованием используются и другие механизмы безопасности: Механизмы цифровой подписи основываются на алгоритмах ассиметричного шифрования и включают две процедуры: форми­рование подписи отправителем и ее опознавание (верификацию) получателем. Механизмы контроля доступа осуществляют проверку полномо­чий объектов АИТ (программ и пользователей) на доступ к ресур­сам сети. Механизмы обеспечения целостности данных применяются как к отдельному блоку, так и к потоку данных. Различают одностороннюю и взаимную аутентификацию. В первом случае один из взаимодействующих объектов проверяет подлинность другого, тогда как во втором случае проверка является взаимной. Механизмы постановки графика, называемые также механизма­ми заполнения текста, используются для реализации засекречива­ния потока данных. Они основываются на генерации объектами АИТ фиктивных блоков, их шифровании и организации передачи по каналам сети (нейтрализуется возможность получения информации посредством наблюдения за внешними характеристи­ками потоков, циркулирующих по каналам связи). Механизмы управления маршрутизацией обеспечивают выбор маршрутов движения информации по коммуникационной сети та­ким образом, чтобы исключить передачу секретных сведений по скомпрометированным (небезопасным) физически ненадежным каналам. Механизмы арбитража обеспечивают подтверждение характери­стик данных, передаваемых между объектами АИТ, третьей сторо­ной (арбитром). В АИТ при организации безопасности данных используется комбинация нескольких механизмов.

Дата добавления: 2014-01-13