Методы защиты информации

Опыт защиты информации показывает, что эффек­тивной может быть только комплексная защита. Комплексный подход к построению системы защиты означает оптимальное сочетание программных средств, аппаратных средств и организационных методов защиты. Организационные методы играют существенную роль в создании надежного механизма защиты информации, так как возможности несанкционированного использования конфиденциальных сведений в значительной мере обусловливаются злоумышленными действиями, нерадивостью, небрежностью и халатностью пользователей или персонала защиты.

Влияния этих аспектов практически невозможно избежать только с помощью технических средств. Для этого необходима совокупность организационно-правовых и организационно-технических методов, которые исключали или сводили к минимуму возможность возникновения атак на конфиденциальную информацию. Организационные (процедурные) меры обеспечения безопасности – это конкретные правила работы сотрудников предприятия. К основные организационным методам относятся следующие мероприятия:

- организация режима и охраны с целью: исключения возможности тайного проникновения посторонних лиц; обеспечения удобства контроля прохода и перемещения сотрудников и посетителей; создания отдельных производственных зон с самостоятельными системами доступа; контроля соблюдения временного режима труда и пребывания на территории персонала и др.;

- организация работы с сотрудниками: подбор и расстановка персонала, обучение правилам работы с конфиденциальной информацией, ознакомление с мерами ответственности за нарушение правил защиты;

- организация использования технических средств сбора, обработки, накопления и хранения конфиденциальной информации;

- организация работы по анализу внутренних и внешних угроз конфиденциальной информации и выработке мер по обеспечению ее защиты;

- организация работы по проведению систематического контроля за работой персонала, порядком учета, хранения и уничтожения документов и технических носителей.

- организация работы с документами и документированной информацией, включая организацию разработки и использования документов и носителей конфиденциальной информации, их учет, и выполнение, возврат, хранение и уничтожение;

Организационные методы, используемые для решения проблемы безопасности информации, решаются на всех этапах проектирования и в процессе эксплуатации информационных систем. На стадии предпроектного обследования объекта с целью обеспечения безопасности выполняются следующие действия:

- определяется наличие конфиденциальной информации, рассчитывается ее объем, класс и уровень защиты;

- устанавливаются режимы обработки информации, состав комплекса технических средств, общесистемные программные средства и пр.;

- выявляется степень участия персонала, функциональных служб и других задействованных лиц в процессе обработки информации, определяется характер их взаимодействия между собой и со службой безопасности;

- вводятся мероприятия по обеспечению режима секретности на стадии разработки информационной системы.

В процессе функционирования системы защиты информации от несанкционированного доступа выполняются следующие организационные мероприятия:

- контроль за ведением служебной информации (генерацией паролей, правилами разграничения доступа и пр.);

- контроль за ходом технологического процесса;

- контроль за хранением и выдачей информационных носителей;

- оперативный контроль за функционированием системы безопасности;

- контроль соответствия общесистемной программной среды эталону.

Основу механизма защиты информации составляют используемые методы защиты (рис. 6.6).

Дадим им краткие пояснения:

- препятствия - методы физической преграды к информационным ресурсам;

- управление доступом - метод защиты, основанный на регулировании использования ресурсов информационной системы; метод включает: идентификацию пользователей, опознание объекта по предъявленному идентификатору, проверку полномочий, разрешение и создание условий в пределах установленного регламента, протоколирование обращений к защищенным ресурсам, реагирование при попытках несанкционированного доступа;

- маскировка - метод криптографической защиты информации;

- регламентация - метод защиты, создающий условия для автоматизированной обработки, хранения и передачи информации, при котором несанкционированный доступ сводился бы к минимальному;

- принуждение - метод защиты путем соблюдения пользователями и персоналом правил работы с информацией под угрозой ответственности: материальной, административной или уголовной;

- побуждение - метод защиты, который побуждает пользователя и персонал не нарушать установленные правила за счет сложившихся моральных и этических норм.

При создании системы защиты информации в автоматизированных информационных системах руководствуются следующими принципами:

- использование комплексного подхода к построению системы защиты при ведущей роли организационных мероприятий;

- разделение и минимизация полномочий по доступу к информации и процедурам обработки: предоставление строго определенных полномочий, достаточных для успешного выполнения регламентированных обязанностей;

- контроль и регистрация попыток несанкционированного доступа к информационным ресурсам: идентификация каждого пользователя и протоколирование его действий;

- обеспечение надежности системы защиты, при возникновении в системе сбоев, отказов, несанкционированных вторжений и пр.;

- обеспечение контроля за функционированием системы защиты, т.е. создание средств и методов для проведения контроля;

- прозрачность системы защиты для общего и прикладного программного обеспечения и санкционированных пользователей;

- экономическая целесообразность системы защиты, ее стоимость должна быть меньше возможного ущерба.

Рассмотренные методы защиты информации на практике реализуются за счет использования различных средств защиты. Комплексные решения позволяют пользователю практически решить ряд важных проблем защиты, как для малого, так и для крупного бизнеса:

- устранить возможность нарушения рядовым пользователем сети правил корпоративной безопасности;

- построить единую многоступенчатую двухфакторную систему аутентификации для всех подсистем корпоративной системы защиты информации интегрированную с системой контроля физического доступа;

- реализовать все возможности защищенных виртуальных сетей;

- получить удобный инструментарий для администрирования безопасности сети.

Дата добавления: 2014-01-06