Информационная безопасность в cals-системах

6.1. <!--mstheme-->Основные понятия и определения

<!--mstheme-->

Для виртуального предприятия, действующего в рамках единого информационного пространства (ЕИП), информационные ресурсы играют определяющую роль, поэтому обеспечение их безопасности является важнейшей задачей.

Задачи обеспечения информационной безопасности в CALS-системах близки к аналогичным задачам в других автоматизированных системах (АС) обработки информации, для решения которых в настоящий момент уже существует законодательная и нормативная база, а также организационно-технические решения. Тем не менее, в отличие от защиты информации в отдельной организации, защита информации в виртуальном предприятии имеет свою специфику. В качестве главных особенностей можно указать:

- географически распределенная структура;

- разнородность используемых программно-технических решений;

- необходимость защиты информации и интеллектуальной собственности, принадлежащей нескольким владельцам.

Под информационной безопасностью виртуального предприятия (далее предприятия) понимается состояние защищенности его интересов от существующих и вероятных внешних и внутренних угроз информационным ресурсам.

Информационными ресурсами являются:

- технические средства автоматизации (компьютерная техника и средства связи);

- электронные носители всех видов;

- информация в виде файлов и баз данных на электронных носителях;

- хранилища машиночитаемых и бумажных носителей (архивы и библиотеки);

- знания персонала.

Цель мер по обеспечению информационной безопасности - сократить возможный экономический и моральный ущерб предприятия, связанный с повреждением или неправомерным использованием информационных ресурсов.

Обеспечение информационной безопасности (ИБ) представляет собой сложный комплекс технических, юридических и организационных проблем.

Основой для системного решения задач обеспечения ИБ являются: анализ возможных рисков, политика информационной безопасности (ИБ) и план обеспечения ИБ.

Анализ рисков - первый и необходимый этап в решении задачи ЗИ и проводится с целью выявления перечня потенциально возможных угроз интересам предприятия, событий и возможного ущерба, которые могут возникнуть в результате реализации таких рисков.

На основе результатов анализа рисков разрабатывается политика безопасности – документ, содержащий принципы деятельности предприятия в отношении проблем ИБ. Политика безопасности содержит ранжированный перечень угроз, принимаемых во внимание, классификацию защищаемых информационных ресурсов, определяет желаемый уровень защищенности, описывает организационные решения, необходимые для решения задач ИБ.

На основе утвержденной политики безопасности разрабатывается план обеспечения информационной безопасности, содержащий конкретные организационно-технические решения и планы работ по их внедрению и реализации.

Задачами обеспечения информационной безопасности (ИБ) и соответственно функциями системы обеспечения информационной безопасности (СОИБ) являются:

- пресечение и выявление попыток уничтожения или подмены (фальсификации) информации;

- пресечение и выявление попыток несанкционированной модификации информации;

- пресечение и выявление попыток несанкционированного получения информации;

- ликвидация последствий успешной реализации перечисленных угроз;

- выявление и нейтрализация проявившихся и потенциально возможных дестабилизирующих факторов и каналов утечки информации;

- выявление и нейтрализация причин проявления дестабилизирующих факторов и возникновения каналов утечки информации;

- <!--mstheme-->определение лиц, виновных в проявлении дестабилизирующих факторов и возникновении каналов утечки информации, и привлечение их к определенного вида ответственности.

6.2. <!--mstheme-->Технологии построения защищенной сети виртуального предприятия<!--mstheme-->

Основой единого информационного пространства (ЕИП) виртуального предприятия является совокупность сетей входящих в него организаций и открытых сетей - Интернет. Соответственно, необходимо обеспечить:

- защиту сетей внутри организаций;

- управление доступом во внутренние сети организаций из открытых сетей;

- управление доступом из внутренних сетей в открытые сети;

- обеспечить безопасный обмен данными между внутренними сетями организаций через открытые сети.

Для защиты от несанкционированного доступа (НСД) к данным в рамках локальной сети организации и отдельных компьютерах применяются специальные программно-технические средства, обеспечивающие управление доступом к данным на основе имеющихся у пользователей полномочий.

Базовый набор функций комплекса средств защиты от НСД включает в себя:

- идентификацию и аутентификацию (проверку принадлежности субъекту доступа предъявленного идентификатора) пользователя в начале сеанса работы;

- обеспечение доступа к данным и возможности запуска программ в соответствии с заданным списком полномочий и разрешений;

- контроль целостности используемого программного обеспечения и данных;

- протоколирование выполняемых действий.

Часть упомянутых функций выполняют некоторые современные операционные системы компьютеров, например Microsoft Windows/NT, но эти функции могут отсутствовать, в этом случае должны обеспечиваться дополнительными средствами.

Идентификация и аутентификация пользователей может выполняться путем ввода имени и пароля, использования смарт-карт (интеллектуальных пластиковых карт) и средств считывания данных с карт, подключаемых к компьютеру, специальных жетонов, хранящих уникальный код и т.д. В особо ответственных приложениях применяются средства идентификации, основанные на распознавании физических характеристик субъекта доступа (голоса, отпечаток пальца, радужной оболочки глаза и др.).

Дата добавления: 2014-01-20