1. Информация как объект защиты. Цели защиты информации.

Информация- это сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления. Защите подлежит внутренняя, конфиденциальная и секретная информация. Внутренняя информация - информация о компании, которая еще не была опубликована. Информация конфиденциальная - служебная, профессиональная, промышленная, коммерческая. К секретной информации относится информация, содержащая государственную тайну - информация, несанкционированное распространение которой может нанести ущерб интересам государственных органов, организациям, субъектам и стране в целом.

Цели защиты информации:

• предотвращение хищения, утечки, искажения, утраты и подделки информации;

• предотвращение несанкционированных действий по уничтожению, модификации, копированию и блокированию информации;

• реализация права на государственную тайну и конфиденциальную информацию.

2. Информационная безопасность. Понятие. Аспекты. Угрозы информационной безопасности.

• Конфиденциальность: Обеспечение доступа к информации только авторизованным пользователям.

• Целостность: Обеспечение достоверности и полноты информации и методов ее обработки.

• Доступность: Обеспечение доступа к информации и связанным с ней активам авторизованных пользователей по мере необходимости.

Методы и средства защиты информации:

• организационно-правовые;

• инженерно-технические;

• криптографические;

• программно-аппаратные.

Угрозы: угрозы стихийных бедствий, техногенных катастроф и деятельность людей, непреднамеренные ошибки персонала (нарушители) или преднамеренные действия (злоумышленники), приводящие к нарушениям безопасности.

• Противоправный сбор и использование информации;

• Нарушения технологии обработки информации;

• Внедрение аппаратных и программных закладок, нарушающих нормальное функционирование ИС;

• Создание и распространение вредоносных программ;

• Уничтожение и повреждение ИС и каналов связи;

• Компрометация ключей и средств криптографической защиты;

• Утечка информации по техническим каналам;

• Внедрение устройств для перехвата информации;

• Хищение, повреждение, уничтожение носителей информации;

• Несанкционированный доступ в ИС, базы и банки данных.

3. Меры по формированию режима информационной безопасности. Принципы системы защиты.

Формирование режима информационной безопасности - проблема комплексная. Меры по ее решению можно разделить на три уровня:

• законодательно-правовой;

• административный (организационный);

• программно-технический.

Законодательно-правовой уровень включает комплекс законодательных и иных правовых актов, устанавливающих правовой статус субъектов информационных отношений, субъектов и объектов защиты, методы, формы и способы защиты, их правовой статус.

Административный уровень включает комплекс взаимокоординируемых мероприятий и технических мер, реализующих практические механизмы защиты в процессе создания и эксплуатации систем защиты информации.

Программно-технический уровень включает три подуровня: физический, технический (аппаратный) и программный.

Под принципами защиты информациипонимаются основные идеи и важнейшие рекомендации по вопросам организации и осуществлению работ для эффективной защиты конфиденциальной информации.

Правовое регулирование защиты информацииопирается на принципы информационного права.

Организационные методы защитыпредполагают проведение организационно-технических и организационно-правовых мероприятий.

Принципы защиты информации от ТСР (технические средства разведки)

• активная защита информации -целенаправленное навязывание разведке ложных представлений об объекте и его устремлениях, соответственно замыслу защиты;

• убедительная защита информации - принцип, состоящий в оправданности замысла и мер защиты условиям и обстановке.

4. Аппаратно-программные средства защиты информации. Системы шифрования дисковых данных и данных, передаваемых по сетям.

• Системы идентификации (распознавания) и аутентификации (проверки подлинности) пользователей. Применяются для ограничения доступа случайных и незаконных пользователей к ресурсам компьютерной системы.

• Системы шифрования дисковых данных. Чтобы сделать информацию бесполезной для противника, используется совокупность методов преобразования данных, называемая криптографией.

Системы шифрования могут осуществлять криптографические преобразования данных на уровне файлов или на уровне дисков.

• Системы шифрования данных, передаваемых по сетям.Различают два основных способа шифрования: канальное шифрование и оконечное (абонентское) шифрование.

В случае канального шифрования защищается вся информация, передаваемая по каналу связи, включая служебную. Оконечное (абонентское) шифрование позволяет обеспечить конфиденциальность данных, передаваемых между двумя абонентами.

5. Аппаратно-программные средства защиты информации. Системы аутентификации электронных данных.

• Системы аутентификации электронных данных.

При обмене данными по сетям возникает проблема аутентификации автора документа и самого документа, т.е. установление подлинности автора и проверка отсутствия изменений в полученном документе. Для аутентификации данных применяют код аутентификации сообщения (имитовставку) или электронную подпись.

• Средства управления криптографическими ключами.

Безопасность любой криптосистемы определяется используемыми криптографическими ключами. В случае ненадежного управления ключами злоумышленник может завладеть ключевой информацией и получить полный доступ ко всей информации в системе или сети.

Имитовставка вырабатывается из открытых данных посредством специального преобразования шифрования с использованием секретного ключа и передается по каналу связи в конце зашифрованных данных. Имитовставка проверяется получателем, владеющим секретным ключом, путем повторения процедуры, выполненной ранее отправителем, над полученными открытыми данными.

Электронная цифровая подписьпредставляет собой относительно небольшое количество дополнительной аутентифицирующей информации, передаваемой вместе с подписываемым текстом. Отправитель формирует цифровую подпись, используя секретный ключ отправителя. Получатель проверяет подпись, используя открытый ключ отправителя.

6. Причины взлома систем защиты информации (то, что выделено курсивом учить не обязательно, просто для пояснения)

1. Отсутствие возможности контроля со стороны руководства

Является главной причиной большинства удачных взломов. В условиях разделения труда руководитель не может и да и не должен знать всех нюансов программирования, всех тонкостей и нюансов защиты программного обеспечения. Поэтому в большинстве случаев, данная серьезная задача переходит к рядовому программисту, который и приступает к ее исполнению. Зачастую защита разрабатывается по принципу "лишь бы что", а все ее достоинства существуют лишь в отчете для совета директоров. В этих условиях руководитель не может хоть сколько-нибудь серьезно контролировать качество разработки защиты, ее взломостойкость и надежность. Это слепое доверие как раз и приводит к легкому взлому ПО за 1-2 минуты.

2. Нехватка специальных знаний

Защита программного обеспечения это отрасль разработки ПО, требующая специальных знаний, умений и навыков. Как мы уже говорили выше, почти всегда защиту программ поручают людям не имеющим для этого достаточной квалификации, а то и вовсе знакомой с этой отраслью знаний понаслышке. В результате поиска информации в интернете, они получают ряд информации, и начинают применять ее на практике, порой не осознавая, что данная информация уже давно устарела. В результате программа получается защищена легкой, можно сказать, классической защитой, взлом которой уже многократно разобран во всех статьях.

3. Низкая квалификация программистов

Данный пункт в чем-то близок к пункту 2. Но в данном случае речь идет, не о нехватке специальных знаний, а о банальной низкой квалификации разработчиков. Данная категория людей получив задание на разработку защиты, не продумывают ее грамотную реализацию, не пытаются получить хоть немного специальных знаний для ее улучшения. Они делают простейшую защиту, которая удаляется за несколько минут даже начинающими взломщиками.

4. Пренебрежение защитой со стороны руководства

Данная причина часто процветает среди разработчиков специализированного программного обеспечения. Она основывается на том, что данных программный продукт нужен лишь небольшой группе лиц, и соответственно, они считают, что его взлом не имеет смысла. Они зачастую забывают стоимости своего продукта, порой это большие деньги, и наличии получающего все большее распространение "коммерческого взлома", когда потребитель предпочитает заплатить часть суммы за взлом, чем за покупку лицензии. Так же не стоит забывать о достаточно жесткой конкуренции в наши дни, есть слухи, что некоторые компании платят за взлом ПО конкурирующей фирмы, а затем выкладывают его в сети в общий доступ, тем самым доводя фирму до банкротства. Руководство является отправной точкой в разработке программного продукта и обеспечении его защиты, пренебрежение защитой со стороны руководства порой ведет к колоссальным убыткам компании.

5. Отсутствие энтузиазма у программистов

Эта причина относится к факту, что желание почти любого наемного работника "работать как можно меньше, денег получать как можно больше". В результате этой данности и при отсутствии возможности контроля со стороны руководства, разработка защиты напоминает комедию. По факту на защиту тратится большое количество времени, а в результате получается простейший тип защиты, легко взламываемый новичками

необходимость лицензионного ПО

1. Использование нелицензионных программ противозаконно.

Вы подвергаете себя и свою фирму риску быть привлеченными к юридической ответственности.

• Защита интеллектуальной собственности становится приоритетной государственной задачей

• Крупные компьютерные фирмы создали специальную ассоциацию для борьбы с пиратством

• Совместно с правоохранительными органами проводятся регулярные рейды

• Вынесено уже более сотни приговоров в различных регионах

За нарушение авторских прав, согласно действующему законодательству, лицо может быть привлечено к уголовной, административной и гражданской ответственности.

Нелицензионное программное обеспечение в офисе — это:

• самый элементарный повод для «наезда» со стороны правоохранительных органов.

• удобный шанс для расправы с Вами Ваших конкурентов.

• Приговоры по ст. 146 УК выносятся как в отношении пользователей, так и в отношении лиц, занимающихся установкой нелицензионных программ

• даже если лишение свободы назначается директорам фирм условно, многотысячных штрафов в пользу правообладателей никто из них не минует

• последствия в виде судимости подрывают репутацию, затрудняют выезд за границу, приносят массу проблем

2. Надежность и защищенность.

Пираты не отвечают за качество продукта. В один прекрасный день Вы рискуете потерять всю информацию. Заниматься ее восстановлением никто не будет

Даже маленькая фирма за год своей работы накапливает довольно значительный объем информации — потеря баз данных в результате «ошибок» взломщиков или вирусных заражений равноценна пожару. А если этот пожар произойдет как раз перед сдачей отчетности…?

Фирмы-производители устанавливают защиту на программу, в результате взлома которой может потеряться часть программного кода, и продукт перестает работать

Фактор надежности имеет вполне конкретное денежное выражение. В большинстве компаний отказ информационных систем означает приостановку основной деятельности предприятия, а, следовательно, прямые денежные потери. Обычно такие потери, даже за несколько часов простоя, превышают стоимость необходимых лицензий.

3. Оперативная техническая поддержка фирмы-разработчика.

Пиратская продукция не оказывает поддержку линии консультаций. Элементарные вопросы, связанные с использованием программы, могут превратиться в неразрешимую проблему. Легальные пользователи имеют право воспользоваться технической поддержкой от производителя, которая поможет разрешить возникшие проблемы. Сотрудники технической поддержки обладают не только квалификацией, но и имеют достаточный опыт в решении тех или иных вопросов.

4. Необходимая литература.

К пиратским версиям не прилагается документация. Отсутствие подробного Руководства пользователя вынуждает нанимать для сопровождения сложной программы «умельца», который вытянет с Вас суммы, превосходящие стоимость легальной программы

5. Установка обновлений.

Легальным пользователям такие обновления предоставляются бесплатно, а об их выпуске приходят оперативные уведомления. Фирма «1С» разработала систему технологического сопровождения своих продуктов. Она отслеживает все изменения в законодательстве и доводит их до сведения всех пользователей. Эта функция доступна только лицензионным пользователям. Любой бухгалтер, являющийся лицензионным пользователем «1 С», может формировать в полном объеме как бухгалтерскую, так и налоговую отчетность по формам, действующим на момент сдачи, а также получать ответы на все вопросы, связанные с работой программы

6. Только пользователи лицензионного программного обеспечения имеют возможность оформить Подписку (Subscription).

Подписка дает возможность постоянно использовать самые последние версии программного обеспечения с максимумом функциональных возможностей, которые помогут Вам решать поставленные задачи эффективнее конкурентов, использующих пиратское ПО и получающих новые версии только после официального выхода продукта и появления его на пиратских развалах

7. Престиж вашей компании.

Лицензирование используемого программного обеспечения становится как бы пропуском в круг цивилизованных руководителей, работающих по мировым стандартам. Говоря «Я использую только лицензионные программы», вы демонстрируете современность и надежность компании, подчеркиваете заботу об эффективной организации труда сотрудников, уважение к интеллектуальной собственности, что особенно важно при сотрудничестве с международными организациями, т. к. использование пиратского программного обеспечения не допустимо.

8. Соответствие требованиям ISO.

Если вашей компании необходима сертификация на соответствие требованиям международных стандартов ISO, то работа с лицензионным программным обеспечением является обязательным требованием для ее прохождения.

9. Уверенность в завтрашнем дне.