- •Актуальность проблемы обеспечения безопасности информационных технологий Место и роль информационных систем в управлении бизнес-процессами
- •Основные причины обострения проблемы обеспечения безопасности информационных технологий
- •Защита информационных технологий как процесс управления рисками. Сложность количественной оценки рисков
- •Особенности современных автоматизированных систем как объектов защиты
- •Основные понятия в области безопасности информационных технологий Что такое безопасность информационных технологий
- •Информация и информационные отношения
- •Субъекты информационных отношений, их безопасность
- •Цель защиты автоматизированной системы и циркулирующей в ней информации
- •Угрозы безопасности информационных технологий Уязвимость основных структурно-функциональных элементов распределённых автоматизированных систем
- •Угрозы безопасности информации, автоматизированных систем и субъектов информационных отношений
- •Источники угроз безопасности
- •Классификация угроз безопасности
- •Классификация каналов проникновения в автоматизированную систему и утечки информации
- •Неформальная модель нарушителя
- •Виды мер и основные принципы обеспечения безопасности информационных технологий Виды мер противодействия угрозам безопасности
- •Достоинства и недостатки различных видов мер защиты
- •Основные принципы построения системы обеспечения безопасности информации в автоматизированной системе
- •Правовые основы обеспечения безопасности информационных технологий Введение
- •Защищаемая информация
- •Лицензирование
- •Сертификация средств защиты и аттестация объектов информатизации
- •Новое поколение нормативно-технических документов (гост р исо/мэк 15408-2008)
- •Часть 2 рд содержит универсальный систематизированный каталог функциональных требований безопасности и предусматривает возможность их детализации и расширения по определённым правилам.
- •Специальные требования и рекомендации по технической защите конфиденциальной информации
- •Юридическая значимость электронных документов с электронной подписью
- •Ответственность за нарушения в сфере защиты информации
- •Государственная система защиты информации Введение
- •Государственная система защиты информации
- •Организация защиты информации в системах и средствах информатизации и связи
- •Контроль состояния защиты информации
- •Финансирование мероприятий по защите информации
- •Основные защитные механизмы, реализуемые в рамках различных мер и средств защиты Основные механизмы защиты информационных систем
- •Разграничение доступа зарегистрированных пользователей к ресурсам автоматизированной системы
- •Регистрация и оперативное оповещение о событиях безопасности
- •Криптографические методы защиты информации
- •Контроль целостности программных и информационных ресурсов
- •Обнаружение атак
- •Защита периметра компьютерных сетей
- •Управление механизмами защиты
- •Страхование информационных рисков
- •Организационная структура системы обеспечения безопасности информационных технологий Понятие технологии обеспечения (управления) безопасности информации и ресурсов в автоматизированной системе
- •Цели создания системы обеспечения информационной безопасности
- •Регламентация действий пользователей и обслуживающего персонала автоматизированной системы
- •Политика безопасности организации
- •Основные организационные и организационно-технические мероприятия по созданию и обеспечению функционирования комплексной системы защиты
- •Распределение функций по обеспечению безопасности информационных технологий
- •Система организационно-распорядительных документов по обеспечению безопасности информационных технологий
- •Документы , регламентирующие правила парольной и антивирусной защиты Инструкция по организации парольной защиты
- •Инструкция по организации антивирусной защиты
- •Документы, регламентирующие порядок допуска к работе и изменения полномочий пользователей автоматизированной системы Допуск сотрудников подразделений к работе с ас
- •Обеспечение и контроль физической целостности и неизменности конфигурации аппаратно-программных средств автоматизированной системы
- •Регламентация процессов обслуживания и осуществления модификации аппаратных и программных средств автоматизированной системы
- •Процедура внесения изменений в конфигурацию аппаратных и программных средств защищённых серверов и рабочих станций
- •Регламентация процессов разработки, испытания, опытной эксплуатации, внедрения и сопровождения задач Основы процессов разработки, испытания, опытной эксплуатации, внедрения и сопровождения задач
- •Взаимодействие подразделений на этапах проектирования, разработки, испытания и внедрения новых автоматизированных подсистем
- •Назначение, возможности, и основные защитные механизмы межсетевых экранов Введение
- •Мэ - основные сведения
- •Классификация мэ
- •Варианты расположения мэ
- •Политика безопасности и мэ
- •Недостатки мэ
- •Что такое «HoneyNet»?
Информация и информационные отношения
Под информацией будем понимать сведения о фактах, событиях, процессах и явлениях, о состоянии объектов (об их свойствах, характеристиках) в некоторой предметной области, необходимые для оптимизации принимаемых решений в процессе управления этими объектами.
Информационные ресурсы — отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных, других информационных системах).
Отметим некоторые, важные для нас свойства информации:
■ существование в виде данных (в кодированном виде). Информация может существовать в различных формах в виде совокупностей некоторых кодовых знаков (символов, знаков, сигналов и т.п.) на носителях различных типов. Информация - это смысл (семантика), а данные - это код - носитель смысла (синтаксис). Информация существует в виде данных, то есть всегда закодирована;
■ неисчерпаемость ресурса (при копировании информации ничего не убывает);
■ потенциальная полезность при монопольном владении, позволяющая получить определённую выгоду в экономической, политической, военной или иной области (отсюда и смысл введения ограничений на распространение данной информации, то есть - тайны).
Субъекты информационных отношений, их безопасность
В дальнейшем под субъектами информационных отношений будем понимать:
государство (в целом или отдельные его ведомства, органы и организации);
общественные или коммерческие организации (объединения) и предприятия (юридические лица),
отдельных граждан (физические лица).
В процессе своей деятельности субъекты могут находиться друг с другом в разного рода отношениях, в том числе, касающихся вопросов получения, хранения, обработки, распространения и использования определённой информации. Такие отношения между субъектами будем называть информационными отношениями, а самих участвующих в них субъектов — субъектами информационных отношений.
Различные субъекты по отношению к определённой информации могут (возможно, одновременно) выступать в качестве (в роли):
источников (поставщиков) информации;
потребителей (пользователей) информации;
собственников, владельцев, обладателей, распорядителей информации и систем ее обработки;
физических и юридических лиц, о которых собирается информация;
участников процессов обработки и передачи информации и т.д.
Для успешного осуществления своей деятельности по управлению объектами некоторой предметной области субъекты информационных отношений могут быть заинтересованы в обеспечении:
своевременного доступа (за приемлемое для них время) к необходимой им информации и определенным автоматизированным службам (услугам);
конфиденциальности (сохранения в тайне) определенной частиинформации;
достоверности (полноты, точности, адекватности, целостности)информации и защиты от навязывания им ложной (недостоверной,искаженной) информации (то есть от дезинформации);
защиты части информации от незаконного ее тиражирования (защиты авторских прав, прав интеллектуальной собственности, прав собственника информации);
разграничения ответственности за нарушения законных прав (интересов) других субъектов информационных отношений и установленных правил обращения с информацией;
возможности осуществления непрерывного контроля и управления процессами обработки и передачи информации и т.д.
Будучи заинтересованным в обеспечении хотя бы одного из вышеназванных свойств и возможностей, субъект информационных отношений является уязвимым, то есть потенциально подверженным нанесению ему ущерба (прямого или косвенного, морального или материального) посредством воздействия на критичную для него информацию, её носители и процессы её обработки либо посредством неправомерного использования такой информации. Поэтому все субъекты информационных отношений в той или иной степени (в зависимости от размеров ущерба, который им может быть нанесён) заинтересованы в обеспечении своей информационной безопасности. Об этом же самом, только другими словами, сказано в первой части стандарта ГОСТ Р ИСО/МЭК 15408-2008 «Информационная технология. Методы обеспечения безопасности. Критерии оценки безопасности информационных технологий»
Понятия безопасности и их взаимосвязь (ГОСТ Р ИСО/МЭК 15408-1-2008)
Для обеспечения законных прав и удовлетворения перечисленных выше интересов субъектов информационных отношений (т.е. обеспечения информационной безопасности субъектов) необходимо постоянно поддерживать (обеспечивать, защищать) следующие необходимые субъектам свойства информации и систем её обработки:
доступность информации - такое свойство системы (средств и технологий обработки, инфраструктуры, в которой циркулирует информация), которое характеризует способность обеспечивать своевременный доступ субъектов к интересующей их информации и соответствующим автоматизированным службам всегда, когда в обращении к ним возникает необходимость (готовность к обслуживанию поступающих от субъектов запросов);
целостность информации — такое свойство информации, которое заключается в ее существовании в неискаженном виде (неизменном по отношению к некоторому фиксированному ее состоянию). Точнее говоря, субъектов интересует обеспечение более широкого свойства - достоверности информации, которое складывается из адекватности (полноты и точности) отображения состояния предметной области и непосредственно целостности информации, то есть ее неискаженности. Однако, мы ограничимся только рассмотрением вопросов обеспечения целостности информации, так как вопросы адекватности отображения выходят далеко за рамки проблемы безопасности ИТ;
конфиденциальность информации — такую субъективно определяемую (приписываемую собственником) характеристику (свойство) информации, которая указывает на необходимость введения ограничений на круг субъектов, имеющих доступ к данной информации, и обеспечиваемую способностью системы (инфраструктуры) сохранять указанную информацию в тайне от субъектов, не имеющих прав на доступ к ней.Объективные предпосылки подобного ограничения доступности информации для одних субъектов заключены в необходимости защиты законных интересов других субъектов информационных отношений.
Поскольку в нашем случае (речь об информационной безопасности) ущерб субъектам информационных отношений может быть нанесён только опосредованно, через определённую информацию и её носители, то закономерно возникает заинтересованность субъектов в защите этой информации, её носителей, процессов и систем её обработки.
Отсюда следует, что в качестве объектов, подлежащих защите с целью обеспечения безопасности субъектов информационных отношений, должны рассматриваться: информация, любые её носители (отдельные компоненты и АС в целом) и процессы её обработки (передачи).
Вместе с тем, говоря о защите АС, всегда следует помнить, что уязвимыми, в конечном счёте, являются именно заинтересованные в обеспечении определённых свойств информации и систем её обработки субъекты (информация, равно как и средства её обработки, не имеют своих интересов, которые можно было бы ущемить). Поэтому, под безопасностью АС или циркулирующей в ней информации, всегда следует понимать косвенное обеспечение безопасности соответствующих субъектов, участвующих в процессах автоматизированного информационного взаимодействия.
Термин «безопасность информации» нужно понимать как защищённость информации от нежелательного для соответствующих субъектов информационных отношений её разглашения (нарушения конфиденциальности), искажения или утраты (нарушенияцелостности, фальсификации) или снижения степени доступности (блокирования) информации, а также незаконного её тиражирования (неправомерного использования).
Поскольку субъектам информационных отношений ущерб может бьггь нанесён также посредством воздействия на процессы и средства обработки критичной для них информации, то становится очевидным необходимость обеспечения защиты системы обработки и передачи данной информации от несанкционированного вмешательства в процесс её функционирования, а также от попыток хищения, незаконной модификации и/или разрушения любых компонентов данной системы.
Под «безопасностью автоматизированной системы» (системы обработки информации, компьютерной системы) следует понимать защищённость всех её компонентов (технических средств, программного обеспечения, данных, пользователей и персонала) от разного рода нежелательных для соответствующих субъектов воздействий. Надо отметить, что пользователи и персонал системы также являются заинтересованными в обеспечении безопасности субъектами (внутренними).
Безопасность любого компонента (ресурса) АС складывается из обеспечения трёх его свойств: конфиденциальности, целостности и доступности.
Конфиденциальность компонента (ресурса) АС заключается в том, что он доступен только тем субъектам (пользователям, программам, процессам), которым предоставлены на то соответствующие полномочия.
Целостность компонента (ресурса) АС предполагает, что он может быть модифицирован только субъектом, имеющим для этого соответствующие права. Целостность является одним из условий корректности (неизменности, работоспособности) компонента в любой момент времени.
Доступность компонента (ресурса) АС означает, что имеющий соответствующие полномочия субъект может без особых проблем получить своевременный доступ к необходимому компоненту системы.
Кроме того, для защиты субъектов от пиратства и разграничения их ответственности необходимо обеспечивать следующие свойства информационной инфраструктуры:
неотказуемость субъектов от выполненных критичных действий;
защиту от неправомерного тиражирования открытой информации.
Так же необходимо различать понятия «информационная безопасность» и «безопасность информации», которые до недавнего времени воспринимались как синонимы. Под информационной безопасностью понимается защищённость общества и личности от деструктивного информационного воздействия (пропаганды, агрессивной рекламы, низкопробных видов искусства и т.п.), а подбезопасностью информации понимается состояние защищённости информации от угроз.