Информационная безопасность

1.1 Предмет защиты. Свойства информации. Информация - это результат отражения и обработки в человеческом сознании многообразия окружающего мира. Это сведения об окружающих человека предметах, явлениях природы, деятельности других людей. Сведения, которыми обменивается человек через машину с другим человеком или машиной и являются предметом защиты. Однако, защите подлежит та информация, которая имеет цену. Для оценки требуется распределение информации на категории не только в соответствии с ее ценностью, но и важностью.

Жизненно-важная, незаменимая информация, наличие которой необходимо для функционирования организаций. Важная информация, которая может быть заменена или восстановлена, но процесс восстановления очень труден и связан с большими затратами. Полезная информация - это информация, которую трудно восстановить, однако организация может эффективно функционировать и без нее. Несущественная информация. Известно следующее распределение информации по уровню важности:

Модель предмета защиты: В соответствии с описанными принципами деления, информацию, обрабатываемую в автоматизированных системах обработки данных (АСОД) для иллюстрации можно представить по категориям важности и секретности в виде пирамиды, состоящей из нескольких слоев по вертикали. Вершиной пирамиды является наиболее важная информация, а фундаментом - несущественная информация, но связанная с обработкой более важной информации. Каждый слой данной пирамиды, поделенный на части по горизонтали, отражает принцип деления информации по функциональному признаку и полномочиям ее пользователей.

Безопасность информации в АСО интерпретируется как опасность ее несанкционированного получения за все время нахождения в АСО, а также безопасность действий, для осуществления которых используется информация. У информации в АСО есть свой жизненный цикл:

Безопасные технологии - это технологии, которые не наносят материального ущерба субъектам, имеющим прямое или косвенное отношение к ним. Субъектом может быть государство, физические лица и др. Технология - это совокупность методов переработки (преобразование исходного сырья, какими-либо средствами с целью получения конечной продукции).

Для правильного построения системы защиты необходимо определить: Виды воздействия на информацию. Что из себя представляет автоматизированная система. Какие существуют угрозы безопасности автоматизированных систем. Меры противодействия угрозам безопасности. Принцип построения систем защиты.

Виды воздействия на информацию: 1) Блокирование информации. Пользователь не может получить доступ к информации. При отсутствии доступа, сама информация не теряется. Причины: – отсутствие оборудования – отсутствие специалиста – отсутствие ПО 2) Нарушение целостности. Причины: – утеря информации – выход из строя носителя – искажения: нарушение смысловой значимости нарушение логической связанности потеря достоверности

3) Нарушение конфиденциальности. С информацией ознакомляются субъекты, которым это не положено. Уровень допуска к информации определяет ее владелец. Нарушение конфиденциальности может произойти из-за неправильной работы системы, ограничения доступа или наличия побочного канала доступа. 4) Несанкционированное тиражирование. Под защитой понимается защита авторских прав и прав собственности на информацию.

Типовые структуры автоматизированных систем и объекты защиты в них. АСОИ - организационно-технические системы, представляющие собой совокупность компонентов: – Технические средства обработки и передачи данных – Системное и прикладное ПО – Информация на различных носителях – Персонал и пользователи системы

Типовые структуры АС: 1. Автономные рабочие станции (АРС). Один или несколько ПК, не связанных между собой. На любом из них пользователи работают раздельно во времени. Обмен информацией осуществляется через сменные носители. Объекты защиты в автономных рабочих станциях (АРС): – АРС – сменные носители информации – пользователи и обслуживающий персонал – устройства визуального представления информации – источники побочного электромагнитного излучения и наводок ЛВС - создаются для коллективной обработки информации или совместного использования ресурса. Оборудование размещено в пределах одного помещения, здания или группы близкорасположенных зданий.

2. Локальные системы коллективного пользования (ЛСКП). Структура ЛСКП: – без выделенного сервера или одноранговой сети. Не требует централизованного управления; любой пользователь делает доступными свои данные; используется однотипная ОС. – с выделенным сервером.

Требует централизованного административного управления; на РС и серверах могут быть установлены: – многотерминальные системы на базе малых и больших компьютеров. Основные ресурсы сосредоточены на сервере; РС - это терминалы; общее руководство осуществляет администратор; на центральном компьютере и РС используются различные ОС. – многосегментные ЛС - состоят из нескольких сегментов, любой из которых является сетью с выделенным сервером. Объединение осуществляется через мост, в качестве которого может использоваться либо выделенный сервер, либо специальной устройство. Любым сегментом управляет свой администратор. В любом сегменте может использоваться своя ОС. – смешанные сети - включают все вышерассмотренные системы. Объекты защиты: все рабочие станции (РС) сервер и центральный компьютер локальные каналы связи реквизиты доступа

3. Глобальные системы коллективного пользования (ГСКП). ГСКП - совместная обработка информации и совместное использование ресурсов. Отличия от ЛСКП: – Могут находиться на значительном удалении друг от друга. – Каналы связи не принадлежат собственнику системы. – Каналы связи являются коммутируемыми и взаимосвязанными. – Для использования каналов связи необходимо устройство сопряжения. – Подобные системы открыты и подключиться к ним могут все желающие. Объекты защиты: – РС – глобальные каналы связи – информация, передаваемая по глобальным каналам связи – информация о реквизитах доступа в ГСКП.

Угрозы безопасности информации и их классификация. Угроза - это потенциально возможное событие, действие, процесс или явление, которое может привести к понятию ущерба чьим-либо интересам. Нарушение безопасности - это реализация угрозы. Естественные угрозы - это угрозы, вызванные воздействием на АС объективных физических процессов, стихийных природных явлений, не зависящих от человека. Естественные делятся на: природные (стихийные бедствия, магнитные бури, радиоактивное излучение, осадки) технические. Связаны надежностью технических средств, обработки информации и систем обеспечения.

Искусственные делят на: непреднамеренные - совершенные по незнанию и без злого умысла, из любопытности или халатности преднамеренные

Каналы проникновения в систему и их классификация: По способу: – прямые – косвенные По типу основного средства для реализации угрозы: – человек – аппаратура – программа По способу получения информации: – физический – электромагнитный – информационный

Меры противодействия угрозам: 1. Правовые и законодательные. Законы, указы, нормативные акты, регламентирующие правила обращения с информацией и определяющие ответственность за нарушение этих правил. 2. Морально-этические. Нормы поведения, которые традиционно сложились или складываются в обществе по мере распространения вычислительной техники. Невыполнение этих норм ведет к падению авторитета, престижа организации, страны, людей. 3. Административные или организационные. Меры организационного характера, регламентирующие процессы функционирования АС, деятельность персонала с целью максимального затруднения или исключения реализации угроз безопасности: – организация явного или скрытого контроля за работой пользователей – организация учета, хранения, использования, уничтожения документов и носителей информации. – организация охраны и надежного пропускного режима – мероприятия, осуществляемые при подборе и подготовке персонала – мероприятия по проектированию, разработке правил доступа к информации – мероприятия при разработке, модификации технических средств

4. Физические. Применение разного рода технических средств охраны и сооружений, предназначенных для создания физических препятствий на путях проникновения в систему. 5.Технические. Основаны на использовании технических устройств и программ, входящих в состав АС и выполняющих функции защиты: – средства аутентификации – аппаратное шифрование – другие

Принципы построения систем защиты: Принцип системности - системный подход предполагает необходимость учета всех взаимосвязанных и изменяющихся во времени элементов, условий и факторов, существенно значимых для понимания и решения проблемы обеспечения безопасности. Принцип компетентности - предполагает построение системы из разнородных средств, перекрывающих все существующие каналы реализации угрозы безопасности и не содержащих слабых мест на стыке отдельных компонентов. Принцип непрерывной защиты - защита должна существовать без разрыва в пространстве и времени. Это непрерывный целенаправленный процесс, предполагающий не только защиту эксплуатации, но и проектирование защиты на стадии планирования системы.

Принцип разумной достаточности. Вложение средств в систему защиты должно быть построено таким образом, чтобы получить максимальную отдачу. Принцип гибкости управления и применения. При проектировании системы защита может получиться либо избыточной, либо недостаточной. Система защиты должна быть легко настраиваема. Принцип открытости алгоритмов и механизмов защиты. Знание алгоритма механизма защиты не позволяет осуществить взлом системы. Принцип простоты применения защитных мер и средств. Все механизмы защиты должны быть интуитивно понятны и просты в использовании. Пользователь должен быть свободен от выполнения малопонятной много объемной рутиной работы и не должен обладать специальными знаниями.

Модель элементарной защиты. Прочность защитной преграды является достаточной, если ожидаемое время преодоления ее нарушителем больше времени жизни предмета защиты, или больше времени обнаружения и блокировки его доступа при отсутствии путей скрытого обхода этой преграды.

Модель многозвенной защиты

Модель многоуровневой защиты.