Идентифицируемость.

Идентификация и аутентификация.

Идентификация и аутентификация выполняют следующие функции. Во-первых, устанавливают личность индивидуума, во-вторых, доказывают, что индивидуум является именно тем, за кого себя выдает. Аутентификация использует любую комбинацию трех вещей:

• то, что вы знаете (пароль или PIN-код);

• то, что вы имеете (смарт-карта или бейдж);

• то, чем вы являетесь (отпечаток пальца или снимок сетчатки глаза).

Можно выбрать один элемент из этого списка, но лучше использовать их комбинацию. Двухфакторная аутентификация гораздо сильнее, чем однофакторная, поскольку каждый фактор имеет свои слабые места. Идентификация и аутентификация применяются в системе управления доступом к файлам в компьютерных системах, обеспечивающей конфиденциальность и целостность этих файлов. Идентификация и аутентификация очень важна для работы механизмов шифрования и цифровых подписей. В этом случае идентификационные данные передаются удаленному пользователю, который подтверждает свою подлинность на локальном уровне, а затем эти сведения доставляются в нужное место.

Аудит.

Аудит позволяет фиксировать происходящие события. Записи аудита связывают пользователя с действиями, которые он выполняет в системе. Без надежной службы идентификации и аутентификации аудит становится бесполезным, поскольку нет гарантии, что зафиксированные действия на самом деле выполнены указанным лицом. В компьютерных системах аудит ведется с помощью журналов, в которые записываются действия пользователя. Если служба идентификации и аутентификации работает должным образом, то эти события можно отождествить с определенным пользователем. Электронные журналы аудита тоже необходимо защищать от любых изменений.

4. Политика. Важность политики. Определение различных политик. Информационная политика. Политика безопасности.

Необходимость и важность политики.

Политика устанавливает правила, которые определяют конфигурацию систем, действия служащих организации в обычных условиях и в случае непредвиденных обстоятельств. Таким образом, политика выполняет две основные функции:

1. определяет безопасность внутри организации;

2. определяет место каждого служащего в системе безопасности.

Цель. Каждая политика и процедура имеют четко определенную цель, которая ясно описывает, почему создана та или иная политика или процедура, и какую выгоду от этого надеется получить организация.

Область. Каждая политика и процедура имеет раздел, описывающий ее сферу приложения. Например, политика безопасности применяется ко всем компьютерным и сетевым системам. Информационная политика применяется ко всем служащим.

Ответственность. В разделе об ответственности определяются лица, ответственные за соблюдение политик или процедур. Этот человек должен быть надлежащим образом обучен и знать все требования политики.

Информационная политика.

Выявление секретной информации:

• определение секретной информации должно быть тщательно и четко сформулировано в политике и донесено до служащих.

Классифицирование:

• Двух или трех уровней классификации обычно достаточно для любой организации:

- Общий уровень

- Конфиденциальная информация

- Для служебного пользования

Хранение секретной информации:

• Управление доступом к файлам

Передача в секретной информации:

• Если секретные данные передаются через электронную почту, то устанавливается обязательное шифрование файлов, вложенных в сообщение, либо тела сообщения.

Уничтожение секретной информации:

• Существуют коммерческие программы, которые стирают данные с магнитных носителей без возможности их восстановления.