Методы и средства обеспечения информационной безопасности организации (фирмы)

Методами обеспечения защиты информации являются следующие: препятствие, управление до­ступом, маскировка, регламентация, принуждение и побуждение.

Препятствие — метод физического преграж­дения пути злоумышленнику к защищаемой ин­формации (к аппаратуре, носителям информации и т. п.).

Управление доступом — метод защиты инфор­мации регулированием использования всех ре­сурсов автоматизированной информационной системы организации (фирмы). Управление до­ступом включает следующие функции защиты:

· идентификацию пользователей, персонала и ресурсов информационной системы (присвое­ние каждому объекту персонального идентифи­катора);

· аутентификацию (установление подлиннос­ти) объекта или субъекта по предъявленному им идентификатору;

· проверку полномочий (проверка соответ­ствия дня недели, времени суток, запрашивае­мых ресурсов и процедур установленному рег­ламенту);

· разрешение и создание условий работы в пределах установленного регламента;

· регистрацию (протоколирование) обраще­ний к защищаемым ресурсам;

· реагирование (сигнализация, отключение, задержка работ, отказ в запросе) при попытках несанкционированных действий.

Маскировка — метод защиты информации в автоматизированной информационной системе путем ее криптографического закрытия.

Регламентация — метод защиты информации, создающий такие условия автоматизированной обработки, хранения и передачи информации, при которых возможность несанкционированно­го доступа к ней сводилась бы к минимуму.

Принуждение — такой метод защиты инфор­мации, при котором пользователи и персонал системы вынуждены соблюдать правила обработ­ки, передачи и использования защищаемой ин­формации под угрозой материальной, админи­стративной или уголовной ответственности.

Побуждение — такой метод защиты информа­ции, который побуждает пользователей и персо­нал системы не нарушать установленные правила за счет соблюдения сложившихся моральных и этических норм.

Указанные выше методы обеспечения инфор­мационной безопасности организации (фирмы) реализуются на практике применением различ­ных механизмов защиты, для создания которых используются следующие основные средства: фи­зические, аппаратные, программные, аппаратно-программные, криптографические, организаци­онные, законодательные и морально-этические.

Физические средства защиты предназначены для внешней охраны территории объектов, защи­ты компонентов автоматизированной информа­ционной системы предприятия и реализуются в виде автономных устройств и систем.

Наряду с традиционными механическими сис­темами при доминирующем участии человека разрабатываются и внедряются универсальные • автоматизированные электронные системы фи­зической защиты, предназначенные для охраны территорий, охраны помещений, организации пропускного режима, организации наблюдения; системы пожарной сигнализации; системы пред­отвращения хищения носителей.

Элементную базу таких систем составляют различные датчики, сигналы от которых обраба­тываются микропроцессорами, электронные ин­теллектуальные ключи, устройства определения биометрических характеристик человека и т. д.

Для организации охраны оборудования, входяще­го в состав автоматизированной информационной системы предприятия, и перемещаемых носителей информации (дискеты, магнитные ленты, распе­чатки) используются:

· различные замки (механические, с кодовым набором, с управлением от микропроцессора, ра­диоуправляемые), которые устанавливают на входные двери, ставни, сейфы, шкафы, устройства и блоки системы;

· микровыключатели, фиксирующие откры­вание или закрывание дверей и окон;

· инерционные датчики, для подключения которых можно использовать осветительную сеть, телефонные провода и проводку телевизионных антенн;

· специальные наклейки из фольги, которые наклеиваются на все документы, приборы, узлы и блоки системы для предотвращения их выноса из помещения. При любой попытке вынести за пре­делы помещения предмет с наклейкой специаль­ная установка (аналог детектора металлических объектов), размещенная около выхода, подает сигнал тревоги;

· специальные сейфы и металлические шка­фы для установки в них отдельных элементов автоматизированной информационной системы (файл-сервер, принтер и т. п.) и перемещаемых носителей информации.

Для нейтрализации утечки информации по электромагнитным каналам используют экрани­рующие и поглощающие материалы и изделия. При этом:

· экранирование рабочих помещений, где ус­тановлены компоненты автоматизированной ин­формационной системы, осуществляется путем покрытия стен, пола и потолка металлизирован­ными обоями, токопроводящей эмалью и штукатуркой, проволочными сетками или фольгой, ус­тановкой загородок из токопроводящего кирпи­ча, многослойных стальных, алюминиевых или из специальной пластмассы листов;

· для защиты окон применяют металлизи­рованные шторы и стекла с токопроводящим слоем;

· все отверстия закрывают металлической сеткой, соединяемой с шиной заземления или настенной экранировкой;

· на вентиляционных каналах монтируют предельные магнитные ловушки, препятствую­щие распространению радиоволн.

Для защиты от наводок на электрические цепи узлов и блоков автоматизированной информацион­ной системы используют:

· экранированный кабель для внутристоечного, внутриблочного, межблочного и наружного монтажа;

· экранированные эластичные соединители (разъемы), сетевые фильтры подавления электро­магнитных излучений;

· провода, наконечники, дроссели, конденса­торы и другие помехоподавляющие радио- и электроизделия;

· на водопроводных, отопительных, газовых и других металлических трубах помещают разде­лительные диэлектрические вставки, которые осуществляют разрыв электромагнитной цепи.

Для контроля электропитания используются электронные отслеживатели — устройства, кото­рые устанавливаются в местах ввода сети пере­менного напряжения. Если шнур питания пере­резан, оборван или перегорел, кодированное по­слание включает сигнал тревоги или активирует телевизионную камеру для последующей записи событий.

Для обнаружения внедренных «жучков» наи­более эффективным считается рентгеновское об­следование. Однако реализация этого метода свя­зана с большими организационными и техничес­кими трудностями.

Применение специальных генераторов шумов для защиты от хищения информации с компью­теров путем съема ее излучений с экранов дис­плеев оказывает неблагоприятное воздействие на организм человека, что приводит к быстрому об­лысению, снижению аппетита, головным болям, тошноте. Именно поэтому они достаточно редко применяются на практике.

Аппаратные средства защиты — это различ­ные электронные, электромеханические и другие устройства, непосредственно встроенные в блоки автоматизированной информационной системы или оформленные в виде самостоятельных уст­ройств и сопрягающиеся с этими блоками.

Они предназначены для внутренней защиты структурных элементов средств и систем вычис­лительной техники: терминалов, процессоров, периферийного оборудования, линий связи и т. д.

Основные функции аппаратных средств защиты:

· запрещение несанкционированного (неав­торизованного) внешнего доступа (удаленного пользователя, злоумышленника) к работающей автоматизированной информационной системе;

· запрещение несанкционированного внут­реннего доступа к отдельным файлам или базам данных информационной системы, возможного в результате случайных или умышленных действий обслуживающего персонала;

· защита активных и пассивных (архивных) файлов и баз данных, связанная с необслужива­нием или отключением автоматизированной ин­формационной системы;

· защита целостности программного обеспе­чения.

Эти задачи реализуются аппаратными средст­вами защиты информации с использованием ме­тода управления доступом (идентификация, ау­тентификация и проверка полномочий субъектов системы, регистрация и реагирование).

Для работы с особо ценной информацией ор­ганизации (фирмы) производители компьюте­ров могут изготавливать индивидуальные диски с уникальными физическими характеристиками, не позволяющими считывать информацию. При этом стоимость компьютера может возрасти в не­сколько раз.

Программные средства защиты предназначе­ны для выполнения логических и интеллектуальных функций защиты и включаются либо в со­став программного обеспечения автоматизиро­ванной информационной системы, либо в состав средств, комплексов и систем аппаратуры кон­троля.

Программные средства защиты информации являются наиболее распространенным видом за­щиты, обладая следующими положительными свойствами: универсальностью, гибкостью, про­стотой реализации, возможностью изменения и развития. Данное обстоятельство делает их одно­временно и самыми уязвимыми элементами за­щиты информационной системы предприятия.

В настоящее время создано большое количе­ство операционных систем, систем управления базами данных, сетевых пакетов и пакетов при­кладных программ, включающих разнообразные средства защиты информации.

С помощью программных средств защиты ре­шаются следующие задачи информационной без­опасности:

· контроль загрузки и входа в систему с помо­щью персональных идентификаторов (имя, код, пароль и т. п.);

· разграничение и контроль доступа субъек­тов к ресурсам и компонентам системы, внеш­ним ресурсам;

· изоляция программ процесса, выполняемо­го в интересах конкретного субъекта, от других субъектов (обеспечение работы каждого пользо­вателя в индивидуальной среде);

· управление потоками конфиденциальной информации с целью предотвращения записи на носители данных несоответствующего уровня (грифа) секретности;

· защита информации от компьютерных ви­русов;

· стирание остаточной конфиденциальной информации в разблокированных после выпол­нения запросов полях оперативной памяти ком­пьютера;

· стирание остаточной конфиденциальной информации на магнитных дисках, выдача про­токолов о результатах стирания;

· обеспечение целостности информации пу­тем введения избыточности данных;

· автоматический контроль над работой поль­зователей системы на базе результатов протоко­лирования и подготовка отчетов по данным запи­сей в системном регистрационном журнале.

В настоящее время ряд операционных систем изначально содержит встроенные средства бло­кировки «повторного использования». Для дру­гих типов операционных систем существует до­статочно много коммерческих программ, не го­воря уже о специальных пакетах безопасности, реализующих аналогичные функции.

Применение избыточных данных направлено на предотвращение появления в данных случайных ошибок и выявление неавторизованных мо­дификаций. Это может быть применение кон­трольных сумм, контроль данных на чет-нечет, помехоустойчивое кодирование и т. д.

Часто практикуется хранение в некотором за­щищенном месте системы сигнатур важных объ­ектов системы. Например, для файла в качестве сигнатуры может быть использовано сочетание байта защиты файла с его именем, длиной и да­той последней модификации. При каждом обра­щении к файлу или в случае возникновения по­дозрений текущие характеристики файла сравни­ваются с эталоном.

Свойство ревизуемости системы контроля до­ступа означает возможность реконструкции со­бытий или процедур. Средства обеспечения реви­зуемости должны выяснить, что же фактически случилось. Здесь речь идет о документировании исполняемых процедур, ведении журналов реги­страции, а также о применении четких и недву­смысленных методов идентификации и проверки.

Следует отметить, что задачу контроля досту­па при одновременном обеспечении целостности ресурсов надежно решает только шифрование ин­формации.

Список литературы.

Виноградов В. Г. Научное предвидение. — М., 1989.

Герасимов И. Д. Научное исследование. — М., 1982.

Жариков Е. Н. Научный поиск. — М., 1990.

Кузнецов И. Н. Научные работы: методика подготов­ки и оформления. — Минск, 2000. Логика научного исследования. — М., 1988.

Лукашевич В. К. Научный метод. — М., 1991.

Методологические проблемы социологического исследования. — М., 1989.

Методология развития научного знания. — М., 1990.

Методология в сфере теории и практики. — Новосибирск, 1988.

Методологические проблемы научного знания. — Минск, 1993.

Методы системного педагогического исследования. — Л., 1990.

Олейников В. В. Делайте бизнес надежным и безопас­ным. — Рыбинск, 1997.

Основы научного исследования: Учебное пособие. — М., 1989.

Петров Ю. А. Теория познания. — М., 1988.

Плэтт В. Стратегическая разведка. — М., 1997.

Предпринимательство и безопасность. — М., 1991.

Проблемы методологии научного познания. — М., 1981.

Проблемы методологии социального познания. — М., 1990.

Роль методологии в развитии науки. — Новосибирск, 1988.

Ронин Р. Своя разведка. — Минск, 1997.

Рузавин Г. И. Научная теория: логико-методологический анализ. — М., 1990.

Системные исследования. — М., 1995.

Скалкова Я. Методология и методика педагогических исследований. — М., 1989.

Современная логика и методология науки. — М., 1987.

Штофф В. А. Проблемы методологии научного познания, — М., 1994.

Экономическая безопасность предприятия (фирмы). — Минск, 1998.

Юдин Э. Г. Системный подход и принципы деятельности. — М., 1990.

Ярочкин В., Шевцова Т. Словарь терминов и определений по безопасности и защите информации. — М., 1996.

Дата добавления: 2015-05-07