Методы и средства построения систем информационной безопасности

Важность вопросов защиты информации приводит к необходимости создания в рамках информационных систем специальных подсистем называемых системами информационной безопасности. Конечно, этими вопросами занимаются специалисты по защите информации, но общие принципы построения систем информационной безопасности должны быть известны и специалистам по государственному управлению.

Создание систем информационной безопасности (СИБ) в ИС основывается на следующих принципах:

1. Системный подход к построению СИБ (оптимальное сочетание взаимосвязанных организационных, программных, аппаратных, физических и др. методов и средств).

2. Принцип непрерывного развития системы (обоснование и реализация наиболее рациональных методов совершенствования СИБ; непрерывное выявление недостатков СИБ; учет все новых угроз безопасности информации).

3. Принцип разделения и минимизации полномочий (предоставление работникам ИС минимума строго определенных полномочий, достаточных для выполнения ими своих служебных обязанностей).

4. Принцип полноты контроля и регистрации (точное установление идентичности каждого пользователя и протоколирование его действий)

5. Принцип надежности системы защиты (невозможность снижения уровня надежности при сбоях и отказах системы, ошибках пользователей и преднамеренных действиях взломщиков).

6. Принцип контроля за функционированием СИБ (постоянная проверка работоспособности СИБ).

7. Принцип борьбы с вредоносными программами

8. Принцип экономической целесообразности (затраты на разработку и реализацию СИБ не должны превышать возможного ущерба)

В рамках комплекса средств и ресурсов, используемых системой информационной безопасности выделяют основные составляющие, называемые различными типами обеспечения.

Работа СИБ должна быть обеспечена использованием специальных средств и ресурсов:

1. Правовое обеспечение (законодательные акты, положения, инструкции и т.д.)

2. Организационное обеспечение (служба безопасности: режим, охрана).

3. Информационное обеспечение (параметры, показатели, инф.обеспечение расчетных задач Службы безопасности)

4. Техническое обеспечение (Тех.средства защиты информации и тех.средства СИБ)

5. Программное обеспечение (информационные и расчетные программы оценки наличия угроз и борьбы с ними, а также ПО СИБ)

6. Математическое обеспечение (мат.методы и алгоритмы)

7. Лингвистическое обеспечение (спец.языки общения специалистов и пользователей в сфере обеспечения ИБ)

8. Нормативно-методическое обеспечение (нормы и регламенты деятельности органов, служб и средств, обеспечивающих ИБ, а также работы пользователей).

Общие подходы к обеспечению информационной безопасности могут быть конкретизированы в виде отдельных методов. Рассмотрим классификацию этих методов.

Методы обеспечения безопасности в ИС разделяются на формальные и неформальные методы.

Формальные методы бывают двух типов:

* технические (физические (препятствия) или аппаратные (управление доступом)); * программные (шифрование, антивирусная борьба)

Препятствие – физическое преграждение пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.д.).

Управление доступом – регулирование использования всех ресурсов ИС.

- идентификация пользователей, персонала и ресурсов системы (присвоение объектам персональных идентификаторов);

- опознание (установление подлинности) объектов (субъектов) по предъявленным идентификаторам;

- проверка полномочий (проверка соответствия идентификатора текущему времени, запрашиваемых ресурсов и процедур);

- разрешение и создание условий работы в пределах полномочий;

- регистрация (протоколирование) обращений к защищаемым ресурсам;

-реагирование (сигнализация, отключение, задержка работ, отказ в запросе и т.д.) при попытках несанкционированных действий.

Механизмы шифрования ­– криптографическое закрытие информации.

Использование закрытых секретных ключей.

Использование открытых ключей.

Алгоритмы шифрования:

- DES (Data Encryption Standard), Rainbow (США).

Разработан фирмой IBM для собственных нужд, но после проверки АНБ США рекомендован в качестве федерального стандарта. Гибкость, но малая длина ключа.

- Гост 28147-89 (Россия). Большая надежность, но сложность реализации.

Использование открытых ключей.

RSA (несколько открытых ключей шифрования, но закрытый ключ расшифровки)

Электронная подпись (закрытый ключ шифрования, но открытый ключ расшифровки).

Противодействие атакам вредоносных программ предусматривает организационные меры и использование специальных (например, антивирусных) программ, целью которых является:

- предварительное уменьшения возможности инфицирования и его последствий;

- выявление фактов инфицирования системы;

- локализация и уничтожение вирусов;

- восстановление информации и работоспособности системы.

Неформальные методы бывают трех типов:

*Организационные (регламентация)

*Законодательные (принуждение)

*Морально-этические (побуждение).

Регламентация – создание условий эффективной эксплуатации ИС, при которых нормы и стандарты по защите информации выполняются в наибольшей степени.

Принуждение – метод защиты, вынуждающий пользователей и персонал ИС выполнять правила под угрозой материальной, административной и уголовной ответственности.

Побуждение ­– метод защиты, связанный с добровольным выполнением правил за счет соблюдения моральных и этических норм (Кодекс поведения членов Ассоциации пользователей ЭВМ США).

Дата добавления: 2013-12-13