Лекция 14 Обеспечение безопасности информационных систем

14.1. Угрозы информационной безопасности

Под угрозой информационной безопасности понимается возможность осуществления действия, направленного против объекта защиты, проявляющаяся в опасности искажений и потерь информации.

Самыми частыми и опасными (с точки зрения размера ущерба) являются не­преднамеренные ошибки пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы. Иног­да такие ошибки приводят к прямому ущербу (неправильно введенные данные, ошибка в программе, вызвавшая остановку или разрушение системы). Иногда они создают слабые места, которыми могут воспользоваться злоумышленники (тако­вы обычно ошибки администрирования).

Рис.1 Источники нарушения безопасности

Угрозы информационной безопасности можно разделить на два класса:

• конструктивный, когда основной целью несанкционированного доступа является получение копии конфиденциальной информации, т.е. можно говорить о разведывательном характере воздействия

• деструктивный,, когда несанкционированный доступ приводит к потере (изменению) данных или прекращению сервиса.

В общем случае источники угроз определить нелегко. Они могут варьироваться от неавторизован­ных вторжений злоумышленников до компьютерных вирусов, при этом весьма существенной угрозой безопасности являются человеческие ошибки.

14.2. Понятие информационной безопасности

Под информационной безопасностью (ИБ) понимается защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздей­ствий естественного или искусственного характера, направленных на нанесение ущерба владельцам или пользователям информации и поддерживающей инфра­структуры.

ИБ является одним из важнейших аспектов инте­гральной безопасности независимо от рассматриваемого уровня - национально­го, отраслевого, корпоративного или персонального.

ИБ представляет собой многогранную сферу дея­тельности, в которой успех возможен только при систематическом, комплексном подходе.

В обеспечении ИБ нуждаются три основные кате­гории субъектов:

• государственные организации,

• коммерческие структуры,

• отдель­ные граждане.

Основные категории ИБ:

• доступность (возможность за приемлемое время получить требуемую ин­формационную услугу);

• целостность (актуальность и непротиворечивость информации, ее защищен­ность от разрушения и несанкционированного изменения);

• конфиденциальность (защита от несанкционированного ознакомления).

14.3. Обеспечения информационной безопасности

Существует два подхода к проблеме обеспечения ИБ: фрагментар­ный и комплексный.

Фрагментарный подход направлен на противодействие четко определенным угрозам в заданных условиях. В качестве примеров реализации такого подхода можно указать отдельные средства управления доступом, автономные средства шифрования, специализированные антивирусные программы и т.п.

Достоинством такого подхода является высокая избирательность к конкретной угрозе. Существенным недостатком данного подхода является отсутствие единой защищенной среды обработки информации. Фрагментарные меры защиты ин­формации обеспечивают защиту конкретных объектов только от конкретной угрозы. Даже небольшое видоизменение угрозы ведет к потере эффективности за­щиты.

Комплексный подход ориентирован на создание защищенной среды обработки информации, объединяющей в единый комплекс разнородные меры проти­водействия угрозам. Организация защищенной среды обработки информации по­зволяет гарантировать определенный уровень безопасности, что является не­сомненным достоинством комплексного подхода. К недостаткам этого подхода относятся: ограничения на свободу действий пользователей, чувствитель­ность к ошибкам установки и настройки средств защиты, сложность управления.

Комплексного подхода придерживаются большинство государственных и круп­ных коммерческих предприятий и учреждений. Этот подход нашел свое отра­жение в различных стандартах.

Комплексный подход к проблеме обеспечения безопасности основан на разра­ботанной для конкретной информационной системы политике безопасности. Политика безопасности регламентирует эффективную работу средств защиты ИС. Она охватывает все особенности процесса обработки информации, определяя поведение системы в различных ситуациях.

Для обеспечения ИБ существуют следующие меры:

• законодательного (законы, нормативные акты, стандарты и т.п.);

• административно-организационного (действия общего характера, предпри­нимаемые руководством организации, и конкретные меры безопасности, на­правленные на работу с людьми);

• программно-технического (конкретные технические меры).