По дисциплине «Безопасность и управление доступом в ИС»

1. Информация как коммерческая тайна 2

Федеральным законом «Об информации, информатизации и защите информации» от 25.01.95 № 24-ФЗ гарантируется право собственника информации на ее использование и защиту от до­ступа к ней других лиц (организаций). Если доступ к информации ограничивается, то такая информация является конфиденциальной. Конфиденциальная информация может содержать государствен­ную или коммерческую тайну.

Коммерческую тайну могут содержать сведения, принадлежа­щие частному лицу, фирме, корпорации и т.д. Государственную тайну могут содержать сведения, принадлежащие государству (государственному учреждению). В соответствии с Законом РФ «О государственной тайне» от 21.07.93 № 5485-1 сведениям, пред­ставляющим ценность для государства, может быть присвоена одна из трех возможных степеней секретности. В порядке возрастания ценности (важности) информации ей может быть присвоена сте­пень (гриф) «Секретно», «Совершенно секретно» или «Особой важности». В государственных учреждениях менее важной инфор­мации может быть присвоен гриф «Для служебного пользования». Для обозначения ценности конфиденциальной коммерческой информации используются три категории:

• «Коммерческая тайна — строго конфиденциально»;

• «Коммерческая тайна — конфиденциально»;

• «Коммерческая тайна».

Используется и другой подход к градации ценности коммер­ческой информации:

• «Строго конфиденциально — строгий учет»;

• «Строго конфиденциально»;

• «Конфиденциально».

2. Персональные данные (понятие, субъекты обращения персональных данных) 2

Различные субъекты информационных отношений по отношению к определенной информации могут выступать в качестве (возможно одновременно) [16. 23]:

• источников (поставщиков) информации;

• пользователей (потребителей) информации;

• собственников (владельцев, распорядителей) информации;

• физических и юридических лиц, о которых собирается информация;

• владельцев систем сбора и обработки информации и участников процессов обработки и передачи информации и т.д.

Возникает сложная система взаимоотношений между этими субъектами права собственности. Информация как объект права собственности копируема за счет материального носителя. Как следствие, информация как объект права собственности легко перемещается перемещаться к другому субъекту права собственности без очевидного (заметного) нарушения права собственности на информации. Перемещение материального объекта к другому субъекту права собственности неизбежно, и, как правило, влечет за собой утрату этого объекта первоначальным субъектом права собственности, т.е. происходит очевидное нарушение его права собственности.

Право собственности включает три полномочия собственника, составляющих содержание (элементы) права собственности: право распоряжения, право владения, права пользования. Но для необходимости рассмотрения информации как предмета защиты информации, необходимо рассмотреть особенности информации как объекта права собственности.

Субъект права собственности на информацию может передать часть своих прав (распоряжение), не теряя их, другим субъектам, «хранителю», т.е. владельцу материального носителя информации (владение или пользование) или пользователю (пользование и, может быть, владение).

Для информации право распоряжения подразумевает исключительное право определять, кому эта информация может быть предоставлена. Право владения подразумевает иметь эту информацию в неизменном виде. Право пользования подразумевает право использовать эту информацию в своих интересах.

Таким образом, к информации, кроме субъекта права собственности на эту информацию, могут иметь доступ другие субъекты права собственности, как законно, санкционировано (субъекты права на элементы собственности), так и незаконно, несанкционированно. Таким образом, цель защиты информации, заключается еще и в защите прав собственности на нее.

3. Виды доступа к информации 1

Доступ к инф. можно четко разграничить в зависимости от вида инф и вида субъектов. Поэтому, рассматриваются след. вида доступа:

1. Обязательное довидение

2.Свободный доступ

3.Предоставление инф. по запросу юридич. лиц

4.Предоствление инф. по запросу физич. лиц

1-Обязательное доведение касается принятых законов, инф. об угрозе общественной безоп., о реквизитах организации, о перечне официал. документов.

2-Свобод. доступ-инф., когда на сервере органа власти выстовляется инф. (законно-проекте)

4. Виды отношений между субъектами по степени ограничения доступа к информации 1

Когда субъект обращается за инф. визникает различные отнош. м/д субъектами:

1. Лиц по отнош.к гос-ву.

2.Гос-во по отнош. к лицам

3.Физич. лиц по отнош. к организациям

4.Юридич. лиц по отнош. к физич. лицам

Наример, когда лицо обрщается в органы гос. власти, ограничения на доступ м.б. связано со служеб. тайной, персональным данным. Когда гос-во обращается к физич. и юридич. лицам, ограничения м.б. персональные данные, банковская тайна.Когда фихич. лица обращаются к юридич. огранич. могут касаться профессиональной тайны.

5. Информационная безопасность (причины появления, подходы к определению понятия) 2

Информационная безопасность, объекты информационной безопасности

Под информационной безопасностью (ИБ) понимается состояние защищенности национальных интересов страны (жизненно важных интересов личности, общества и государства на сбалансированной основе) в информационной сфере от внутренних и внешних угроз.

Следующие факторы, наряду с задачами построения гражданского общества в Российской Федерации как информационного общества с возрастанием роли информационных ресурсов и технологий в развитии граждан, общества и государства в XXI веке, выводят вопросы информационной безопасности на первый план в системе обеспечения национальной безопасности:

• национальные интересы, угрозы им и обеспечение защиты от этих угроз выражаются, реализуются и осуществляются через информацию и информационную сферу;

• человек и его права, информация и информационные системы и права на них — это основные объекты не только информационной

безопасности, но и основные элементы всех объектов безопасности во всех ее областях;

• решение задач национальной безопасности связано с использованием информационного подхода как основного научно-практического метода;

проблема национальной безопасности имеет ярко выраженный информационный характер.

6. Информационная безопасность (понятие, направления ИБ) 2

Информационная безопасность, объекты информационной безопасности

Под информационной безопасностью (ИБ) понимается состояние защищенности национальных интересов страны (жизненно важных интересов личности, общества и государства на сбалансированной основе) в информационной сфере от внутренних и внешних угроз.

Выделяют следующие направления защиты информации:

правовая защита — это специальные законы, другие нормативные акты, правила, процедуры и мероприятия, обеспечивающие защиту информации на правовой основе;

организационная защита — это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающая или ослабляющая нанесение ка кого-либо ущерба исполнителям;

инженерно-техническая защита — это использование различных технических средств, препятствующих нанесению ущерба коммерческой деятельности

7. Классификация угроз информационной безопасности 2

Знание возможных угроз информационной безопасности, а также уязвимых мест системы защиты, необходимо для того, чтобы выбрать наиболее экономичные и эффективные средства обеспечения безопасности.

Угрозы информационной безопасности классифицируются по нескольким признакам:

·                     по составляющим информационной безопасности (доступность, целостность, конфиденциальность), против которых, в первую очередь, направлены угрозы;

·                     по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, персонал);

·                     по характеру воздействия (случайные или преднамеренные, действия природного или техногенного характера);

·                     по расположению источника угроз (внутри или вне рассматриваемой информационной системы).

8. Характеристика угроз безопасности информационных и телекоммуникационных средств и систем 2

Угрозами безопасности информационных и телекоммуникационных средств и систем, как уже развернутых, так и создаваемых на территории России, могут являться:

- противоправные сбор и использование информации;

- нарушения технологии обработки информации;

- внедрение в аппаратные и программные изделия компонентов, реализующих функции, не предусмотренные документацией на эти изделия;

- разработка и распространение программ, нарушающих нормальное функционирование информационных и информационно-телекоммуникационных систем, в том числе систем защиты информации;

- уничтожение, повреждение, радиоэлектронное подавление или разрушение средств и систем обработки информации, телекоммуникации и связи;

- воздействие на парольно-ключевые системы защиты автоматизированных систем обработки и передачи информации;

- компрометация ключей и средств криптографической защиты информации;

- утечка информации по техническим каналам;

- внедрение электронных устройств для перехвата информации в технические средства обработки, хранения и передачи информации по каналам связи, а также в служебные помещения органов государственной власти, предприятий, учреждений и организаций независимо от формы собственности;

- уничтожение, повреждение, разрушение или хищение машинных и других носителей информации;

- перехват информации в сетях передачи данных и на линиях связи, дешифрование этой информации и навязывание ложной информации;

- использование несертифицированных отечественных и зарубежных информационных технологий, средств защиты информации, средств информатизации, телекоммуникации и связи при создании и развитии российской информационной инфраструктуры;

- несанкционированный доступ к информации, находящейся в банках и базах данных;

- нарушение законных ограничений на распространение информации.

9. Внутренние источники угроз информационной безопасности, их характеристика 2

К внутренним источникам относятся:

1. критическое состояние отечественных отраслей промышленности;

2. неблагоприятная криминогенная обстановка, сопровождающаяся тенденциями сращивания государственных и криминальных структур винформационной сфере, получения криминальными структурами доступа к конфиденциальной информации, усиления влияния организованной преступности на жизнь общества, снижения степени защищенности законных интересов граждан, общества и государства в информационной сфере;

3. недостаточная координация деятельности федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации по формированию и реализации единой государственной политики в области обеспечения информационной безопасности Российской Федерации;

4. недостаточная разработанность нормативной правовой базы, регулирующей отношения винформационной сфере, а также недостаточная правоприменительная практика;

5. неразвитость институтов гражданского общества и недостаточный государственный контроль за развитием информационного рынка России;

6. недостаточное финансирование мероприятий по обеспечению информационной безопасности Российской Федерации;

7.недостаточная экономическая мощь государства;

8. снижение эффективности системы образования и воспитания, недостаточное количество квалифицированных кадров в области обеспечения информационной безопасности; 

9. недостаточная активность федеральных органов государствен-ной власти, органов государственной власти субъектов Российской Федерации в информировании общества о своей деятельности, в разъяснении принимаемых решений, в формировании открытых государственных ресурсов и развитии системы доступа к ним граждан;

10. отставание России от ведущих стран мира по уровню информатизации федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации и органов местного самоуправления, кредитно-финансовой сферы, промышленности, сельского хозяйства, образования, здравоохранения, сферы услуг и быта граждан

10. Внешние источники угроз информационной безопасности, их характеристика 2

К внешним источникам относятся:

1. деятельность иностранных политических, экономических, военных, разведывательных и информационных структур, направленная против интересов Российской Федерации в информационной сфере;

2. стремление ряда стран к доминированию и ущемлению интересов России в мировом информационном пространстве, вытеснению ее с внешнего и внутреннего информационных рынков;

3. обострение международной конкуренции за обладание инфор-мационными технологиями и ресурсами;

4. деятельность международных террористических организаций;

5. увеличение технологического отрыва ведущих держав мира и наращивание их возможностей по противодействию созданию конкурентоспособных российских информационных технологий;

6. деятельность космических, воздушных, морских и наземных технических и иных средств (видов) разведки иностранных государств;

7. разработка рядом государств концепций информационных войн, предусматривающих создание средств опасного воздействия на информационные сферы других стран мира, нарушение нормального функционирования информационных и телекоммуникационных сис-тем, сохранности информационных ресурсов, получение несанкционированного доступа к ним.

11. Принципы обеспечения информационной безопасности 2

Принцип системности.

Системный подход к защите компьютерных систем предполагает необходимость взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов при всех видах информационной деятельности и информационного проявления.

При обеспечении ИБ ОС необходимо учитывать все слабые и наиболее уязвимые места системы, а так же характер, возможные объекты и направления атак на систему со стороны нарушителя, пути проникновения распределенной системы и НСД к информации.

Принцип комплексности.

Для обеспечения защиты имеется широкий спектр мер, методов и средств защиты компьютерных систем. Комплексное их использование предполагает согласование разнородных средств при построении целостной системы защиты, перекрывающие все существующие каналы угроз и не содержащие слабых мест на стыках отдельных её компонентов.

Принцип непрерывности защиты.

ЗИ это не разовое мероприятие и не конкретная совокупность проведенных мероприятий и установленных средств защиты, а непрерывный направленный процесс предполагающий принятие соответствующих мер на всех этапах существования АС. Разработка системы защиты должна вестись параллельно обработке самой защищаемой системы.

Разумная достаточность.

Важно правильно выбрать тот уровень защиты при котором затраты риск и размер возможного ущерба были бы приемлемы и не создавали неудобств пользователю.

Гибкость системы защиты.

Часто приходится создавать систему защиты в условиях большой неопределенности поэтому принятые меры и средства защиты особенно в начальный период их эксплуатации могут оказывать как чрезмерный так и недостаточный уровень защиты. Для обеспечения уровня варьирования защищенности средство защиты должно обладать определенной гибкостью особенно если средство необходимо установить на работающую систему не нарушая процесса её нормального функционирования.

Принцип простоты применения средств защиты.

Механизмы защиты должны быть интуитивно понятны и просты в применении. Применение средств защиты не должно быть связано со знанием каких либо языков или требовать дополнительных затрат на её применение, а так же не должно требовать выполнения рутинных малопонятных операций.

12. Задачи обеспечения информационной безопасности 3

Первый вид задач — собственно механизмы защиты.

1. Введение избыточности элементов системы. Под избыточностью

понимается включение в состав элементов системы дополнительных

компонентов сверх минимума, который необходим для выполнения ими

всего множества своих функций. Избыточные элементы функционируют

одновременно с основными, что позволяет создавать системы, устойчивые

относительно внешних и внутренних дестабилизирующих воздействий.

Различают избыточность организационную (т. е. введение дополнительной

численности людей), аппаратурную (введение дополнительных технических

устройств), программно-алгоритмическую (введение дополнительных

алгоритмов и программ), информационную (создание дополнительных

информационных массивов), временную (выделение дополнительного

времени для проведения обработки информации) и т. п.

2. Резервирование элементов системы. Резервирование, как

разновидность задач зашиты информации, в некотором смысле

противоположно введению избыточности: вместо введения в активную

работу дополнительных элементов, наоборот — часть элементов выводится

из работы и держится в резерве на случай непредвиденных ситуаций.

Резервироваться могут практически все элементы АСОД, причем различают

два основных вида резервирования, которые получили названия горячего

и холодного. Горячим называется такое резервирование, когда выводимые

в резерв элементы находятся в рабочем состоянии и способны включаться

в работу сразу, т. е. без проведения дополнительных операций

включения и подготовки к работе; холодным — когда резервные элементы

находятся в таком состоянии, что для перевода в рабочее состояние

требуются дополнительные операции (процедуры).

3. Регулирование доступа к элементам системы. Регулирование доступа,

по определению, заключается в том, что доступ на территорию (в

помещение, к техническим средствам, к программам, к массивам (базам)

данных и т. п.) будет предоставлен лишь при условии предъявления

некоторой заранее обусловленной идентифицирующей информации.

64

4. Регулирование использования элементов системы. Регулирование

использования, по определению, заключается в том, что осуществление

запрашиваемых процедур (операций) производится лишь при условии

предъявления некоторых заранее обусловленных полномочий.

5. Маскировка информации. Заключается в том, что защищаемые данные

преобразуются или маскируются иным способом таким образом, что

преобразованные данные в явном виде могут быть доступными лишь при

предъявлении некоторой специальной информации, называемой ключом

преобразования.

6. Контроль элементов системы. Данный класс задач предполагает целый

ряд проверок: соответствия элементов системы заданному их составу,

текущего состояния элементов системы, работоспособности элементов

системы, правильности функционирования элементов системы, состояния

существенно значимых параметров внешней среды .и т. п.

7. Регистрация сведений. Под регистрацией как классом задач защиты

информации понимается фиксация всех тех сведений о фактах, событиях и

ситуациях, которые возникают в процессе функционирования АСОД, знание

которых необходимо для эффективной защиты информации.

8. Уничтожение информации. Под уничтожением как классом защиты

информации понимается осуществление процедур своевременного

уничтожения (или полного вывода из системы обработки) тех элементов

информации (или других компонентов системы), которые больше не нужны

для функционирования АСОД и дальнейшее нахождение которых в АСОД

может отрицательно .сказаться на защищенности информации. Наиболее

типичной процедурой данного класса является уничтожение так

называемой остаточной информации, т. е. информации, остающейся на

регистрах, полях оперативного ЗУ и других устройствах после решения

соответствующей задачи обработки данных в АСОД. Ненужной может

оказаться информация на отдельных носителях (МЛ, МД), некоторые

программные модули, контрольные распечатки, выданные документы и т.

п.

9. Сигнализация. Одним из важнейших положений концептуального подхода

к защите информации является активность защиты, что обеспечивается

созданием функционально самостоятельной системы защиты и

осуществлением регулярного управления ее функционированием. Во всякой

же системе управления непременно должна быть обратная связь, по

которой будет поступать информация (сигналы) о состоянии управляемых

объектов и процессов. Процедуры генерирования, передачи и отображения

(выдачи) этих сигналов и составляют содержание рассматриваемого

класса задач.

10. Реагирование. Вторым важнейшим признаком активности системы

защиты является наличие возможностей реагирования на проявление

дестабилизирующих факторов с целью предотвращения или по крайней мере

снижения степени воздействия их на информацию. Характерным примером

такого реагирования может служить противодействие попыткам

несанкционированного получения информации злоумышленником

13. Функции обеспечения информационной безопасности 3

Основные функции защиты:

1.Предупр-е возникновения условий, непосредственного появления, разл. детабилиз-х факторов.

2.Обнаруж-е этих факторов.

3.Предупр. возд-я на инф. факторов, угрожающихзащите, обнаруж. локализация и ликвидация последствий.

Исходя из функций и принципов, форм-ся задачи, кот выполняет общие функции и управляют механизмами защиты.

В любом случае задачи должны:

1.Планир-ть защиты(разграничить программу выполнения защиты)

2.Управлять защитой инф-ии (орг-о реагировать на непред-е ситуации)

3.Осущ-ть календарно-плановое рук-во(собирать нформацию, как выполнять план защиты, как изменять условия, анализир-ть эту информацию и корректировать план)

4.Обеспечение повседневной деятельности всех подразделений и лиц, кот. раб-т с защитой инф-ии.

14. Методы обеспечения информационной безопасности 2

Минимизация ущерба от аварий и стихийных бедствий

Стихийные бедствия и аварии могут причинить огромный ущерб объектам информационных систем. Предотвратить стихийные бедствия человек пока не в силах, но уменьшить последствия таких явлений во многих случаях удается. Минимизация последствий аварий и стихийных бедствий для объектов информационных систем может быть достигнута путем:

• правильного выбора места расположения объекта;

• учета возможных аварий и стихийных бедствий при разработке и эксплуатации системы;

• организации своевременного оповещения о возможных стихийных бедствиях;

• обучение персонала борьбе со стихийными бедствиями и авариями, методам ликвидации их последствий.

Дублирование информации 

Для блокирования (парирования) случайных угроз безопасности информации в компьютерных системах должен быть решен целый комплекс задач. Дублирование информации является одним из самых эффективных способов обеспечения целостности информации. Оно обеспечивает защиту информации как от случайных угроз, так и от преднамеренных воздействий.

Повышение надежности информационной системы 

Под надежностью понимается свойство системы выполнять возложенные на нее задачи в определенных условиях эксплуатации. При наступлении отказа информационная система не может выполнять все предусмотренные документацией задачи, т.е. переходит из исправного состояния в неисправное. Если при наступлении отказа информационная система способна выполнять заданные функции, сохраняя значения основных, характеристик в пределах, установленных технической документацией, то она находится в работоспособном состоянии.

Создание отказоустойчивых информационных систем 

Отказоустойчивость – это свойство информационной системы сохранять работоспособность при отказах отдельных устройств, блоков, схем. Известны три основных подхода к созданию отказоустойчивых систем:

• простое резервирование;

• помехоустойчивое кодирование информации;

• создание адаптивных систем.

Оптимизация взаимодействия пользователей и обслуживающего персонала 

Одним из основных направлений защиты информации в информационных системах от непреднамеренных угроз являются сокращение числа ошибок пользователей и обслуживающего персонала, а также минимизация последствий этих ошибок. Для достижения этих целей необходимы:

• научная организация труда;

• воспитание и обучение пользователей и персонала;

• анализ и совершенствование процессов взаимодействия человека с системой.

• научная организация труда предполагает:

• оборудование рабочих мест;

• оптимальный режим труда и отдыха;

• дружественный интерфейс (связь, диалог) человека с системой.

Методы и средства защиты информации от традиционного шпионажа и диверсий 

Для защиты объектов информационных ресурсов от угроз данного класса должны быть решены следующие задачи [15, 21, 23]:

• создание системы охраны объекта;

• организация работ с конфиденциальными информационными ресурсами на объекте;

• противодействие наблюдению;

• противодействие подслушиванию;

• защита от злоумышленных действий персонала.

Объект, на котором производятся работы с ценной конфиденциальной информацией, имеет, как правило, несколько рубежей защиты:

• контролируемая территория;

• здание:

• помещение;

• устройство, носитель информации;

• программа;

• информационные ресурсы.

противодействия его использованию (обнаружитель, блокиратор).

Методы и средства защиты от электромагнитных излучений и наводок 

Все методы защиты от электромагнитных излучений и наводок можно разделить на пассивные и активные.

Защита информации от несанкционированного доступа 

Для осуществления НСДИ злоумышленник может не применять никаких аппаратных или программных средств. Он осуществляет НСДИ, используя [14, 15, 23]:

• знания о информационной системе и умения работать с ней;

• сведения о системе защиты информации;

• сбои, отказы технических и программных средств;

• ошибки, небрежность обслуживающего персонала и пользователей.

Для защиты информации от НСД создается система разграничения доступа к информации. Получить несанкционированный доступ к информации при наличии системы разграничения доступа (СРД) возможно только при сбоях и отказах системы, а также используя слабые места в комплексной системе защиты информации.

15. Стандарты информационной безопасности 2

Принятый в 1998 году базовый стандарт информационной безопасности ISO 15408, безусловно, очень важен для российских разработчиков. Тем более что в текущем, 2001 году Госстандарт планирует подготовить гармонизованный вариант этого документа. Международная организация по стандартизации (ISO) приступила к разработке Международного стандарта по критериям оценки безопасности информационных технологий для общего использования "Common Criteria" ("Общие критерии оценки безопасности ИТ") в 1990 году. В его создании участвовали: Национальный институт стандартов и технологии и Агентство национальной безопасности (США), Учреждение безопасности коммуникаций (Канада), Агентство информационной безопасности (Германия), Агентство национальной безопасности коммуникаций (Голландия), органы исполнения Программы безопасности и сертификации ИТ (Англия), Центр обеспечения безопасности систем (Франция). После окончательного утверждения стандарта ему был присвоен номер ISO 15408.

• ISO/IEC 17799:2005 — «Информационные технологии — Технологии безопасности — Практические правила менеджмента информационной безопасности». Международный стандарт, базирующийся на BS 7799-1:2005.

• ISO/IEC 27000 — Словарь и определения.

• ГОСТ Р 50922-2006 — Защита информации. Основные термины и определения.

• Р 50.1.053-2005 — Информационные технологии. Основные термины и определения в области технической защиты информации.

• ГОСТ Р 51188—98 — Защита информации. Испытание программных средств на наличие компьютерных вирусов. Типовое руководство.

• ГОСТ Р 51275-2006 — Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения.

• ГОСТ Р ИСО/МЭК 15408-1-2008 — Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель.

• ГОСТ Р ИСО/МЭК 15408-2-2008 — Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности.

• ГОСТ Р ИСО/МЭК 15408-3-2008 — Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Требования доверия к безопасности.

• ГОСТ Р ИСО/МЭК 15408 — «Общие критерии оценки безопасности информационных технологий» — стандарт, определяющий инструменты и методику оценки безопасности информационных продуктов и систем; он содержит перечень требований, по которым можно сравнивать результаты независимых оценок безопасности — благодаря чему потребитель принимает решение о безопасности продуктов. Сфера приложения «Общих критериев» — защита информации от несанкционированного доступа, модификации или утечки, и другие способы защиты, реализуемые аппаратными и программными средствами.

• ГОСТ Р ИСО/МЭК 17799 — «Информационные технологии. Практические правила управления информационной безопасностью». Прямое применение международного стандарта с дополнением — ISO/IEC 17799:2005.

• ГОСТ Р ИСО/МЭК 27001 — «Информационные технологии. Методы безопасности. Система управления безопасностью информации. Требования». Прямое применение международного стандарта — ISO/IEC 27001:2005.

• ГОСТ Р 51898-2002 — Аспекты безопасности. Правила включения в стандарты.

16. Классификация угроз безопасности информационных систем 1

Угрозы, которые не связаны с преднамеренными действиями злоумышленников и реализуются в случайные моменты времени, называют случайным или непреднамеренными.

Реализация угроз этого класса приводит к наибольшим потерям информации (по статистическим данным – до 80% от ущерба, наносимого информационным ресурсам любыми угрозами). При этом могут происходить уничтожение, нарушение целостности и доступности информации. Реже нарушается конфиденциальность информации, однако при этом создаются предпосылки для злоумышленного воздействия на информацию.

Второй класс угроз безопасности информации составляют преднамеренно создаваемые угрозы.

Данный класс угроз изучен недостаточно, очень динамичен и постоянно пополняется новыми угрозами. Угрозы этого класса в соответствии с их физической сущностью и механизмами реализации могут быть распределены по пяти группам:

• традиционный или универсальный шпионаж и диверсии;

• несанкционированный доступ к информации;

• электромагнитные излучения и наводки;

• модификация структур информационных систем;

• вредительские программы.

17. Угрозы доступности и средства защиты доступности 1

Перечислим основные угрозы доступности информации.

            Отказ пользователей. Под пользователями в данном случае мы понимаем широкий круг персонала, работающего с системой: операторы, программисты, администраторы и т.д.

            Непреднамеренные ошибки. Непреднамеренная ошибка может вызвать непосредственно порчу данных или средств доступа либо создать условия для реализации другой угрозы, например вторжения злоумышленника.

            Нежелание работать с информационной системой. Причиной нежелания может, например, быть необходимость освоения новых возможностей системы или несоответствие системы запросам пользователей.

            Невозможность работать с системой. Причиной невозможности работать с системой может быть как отсутствие соответствующей подготовки персонала, так и отсутствие необходимой документации по системе.

Рассмотрим основные средства защиты доступности информации.

            Правильная организация  труда. Многие проблемы возникают благодаря не совсем продуманному распределению обязанностей.  

            Подготовка и подбор кадров, в том числе и системных администраторов, в задачу которых будет входить конфигурирование системы.

            Тщательная и полная разработка информационной системы, в том числе удовлетворяющего работников пользовательского интерфейса.

            Тщательное тестирование информационной системы, в том числе и на предмет критических ситуаций (при большой нагрузке, больших объемах обрабатываемой информации и т.п.), и на предмет ввода заведомо неправильной информации.

            Резервное копирование данных, позволяющее в любой момент восстановить поврежденные данные с минимальными потерями. Под резервным копированием следует понимать не только непосредственное создание резервных копий, но и такие механизмы как зеркалирование и кластеризация (объединение нескольких СУБД в кластеры).

            Наличие резервного оборудования, помещений, подготовка персонала к действию на случай нештатных ситуаций.

            Средства защиты каналов связи, например от воздействия внешнего электромагнитного излучения.

18. Угрозы целостности и средства защиты целостности 1

Нарушение целостности информационной базы может произойти  по причинам, по которым может произойти и нарушение доступности информации. Например, ошибка оператора может привести к тому, что данные перестанут отражать реально-существующие отношения в предметной области.  Аналогично  к нарушению целостности могут привести и внутренние отказы ИС, и любые внешние случайны или намеренные воздействия. В свою очередь нарушение целостности может, в конце концов, привести и к нарушению доступа к данным. Если в информационном хранилище содержится информация о платежах, которые произвело предприятия, а номер месяца, в котором произведен данный платеж, окажется большим 12, то следствие может быть каким угодно, начиная от выдачи неверных данных и заканчивая сбоем в работе всей системы. Все зависит от того, какие алгоритмы обработки данных используются в информационной системе.  

Основными средствами защиты целостности информации в ИС являются

            Транзакционные механизмы, позволяющие восстановить целостность данных в случае незначительных сбоев (см. Глава 5).

            Контроль ввода данных. Много ошибок можно было бы избежать, если программы не пропускала бы заведомо противоречивые данные.

            Использование средств защиты целостности СУБД

            Резервное копирование данных.

            Периодическое тестирование системы на предмет нарушения целостности.

 

19. Угрозы конфиденциальности и средства защиты конфиденциальности 1

Определение

Под правилами разграничения доступа будем понимать совокупность положений, регламентирующих права доступа лиц и процессов к единицам информации.

Выполнение правил разграничения доступа возможно при наличии системы разграничения доступа, о которой мы будем говорить в главе 5.

Можно выделить два вида конфиденциальной информации: служебная и предметная. К служебной информации в частности относятся имена и пароли пользователей.  Зная служебную информацию можно получить доступ к предметной информации.

Несанкционированный доступ к информации возможен:

            При отсутствии системы разграничения доступа.

            При ошибках в системе разграничения доступа.

            При сбое/отказе программного или аппаратного обеспечения.

            При ошибочных действиях пользователей или обслуживающего персонала.

            При фальсификации полномочий.

            При использовании специальной аппаратуры и ПО.

Вот довольно полный перечень  способов несанкционированного получения информации:

            Использование подслушивающих устройств (закладок).

            Использование дистанционного фотографирования.

            Перехват электромагнитного излучения.

            Принудительное электромагнитное излучение (подсветка).

            Маскировка под запросы системы.

            Перехват звуковых волн. Современные технические средства позволяют улавливать звук на большом расстоянии.

            Восстановление текста напечатанного принтером.

            Хищение носителей информации и производственных отходов (анализ бумажных отходов является одним из эффективных приемов добычи информации, которым всегда пользовались разведки всего мира).

            Считывание данных с компьютеров пользователей. Доступ может быть и непосредственный, и  путем подключения к устройствам внешней памяти, и посредством удаленной консоли.

            Считывание остаточной информации из памяти (оперативной или внешней) системы.

            Копирование носителей информации с преодолением средств защиты.

            Маскировка под зарегистрированного  пользователя.

            Использование программных ловушек (имитация окон аутентификации и т.п.).

            Вывод из строя механизма защиты с дальнейшим доступом к том или иному источнику информации.

Идентификация и аутентификация

Важным средством защиты объектов безопасности является идентификация и аутентификация. Идентификация  это передаче субъекта (пользователя или процесса) системе своего имени (идентификатора).  На этапе аутентификации происходит проверка подлинности переданного имени. 

Разграничение доступа

Разграничение доступа является одним из  основных способов сохранения конфиденциальности информации и является дополнением таких процедур как идентификация и аутентификация.

Шифрование

Одним из наиболее мощных средств обеспечения конфиденциальности является шифрование. Например, для портативных компьютеров шифрование является единственным способом соблюдения конфиденциальности.  Используют два основных способа шифрования: симметричное и ассиметричное. В первом случае один и тот же ключ используется и для шифрования и для расшифровки. В России разработан и существует стандарт для такого шифрования ГОСТ 28147-89.  При передаче шифрованного сообщения между отправителем и получателем и тот и другой должны иметь в своем распоряжении один и тот ключ. При этом, разумеется, ключ следует содержать в тайне. Когда два человека имеют в своем распоряжении один и тот же ключ, то возрастает вероятность, что ключ попадет и в третьи руки. Кроме этого, получатель не может доказать третьему лицу, что полученное зашифрованное сообщение написано отправителем, так  как и сам получатель при желании мог сгенерировать такое сообщение.

Электронная подпись

Электронная подпись решает проблему идентификации передаваемых данных. Электронная подпись представляет собой некоторую вставку в данные (документ), зашифрованную закрытым ключом. При этом сами данные могут быть как в зашифрованном,  так и в открытом виде.  В состав электронной подписи обычно входит  информация, идентифицирующая как передаваемые данные (например, контрольная сумма, позволяющая проверить целостность данных),  так и того, кто передает эти данные (некий личный идентификатор известный получателю).  В качестве параметра, определяющего правильность производимой расшифровки, в электронной подписи может содержаться в частности и сам открытый ключ, которым эта подпись расшифровывается.

Туннелирование

Под туннелированием понимается сетевая технология передачи информации путем обертывания пакетов одного протокола в пакеты другого протокола. Иногда туннелированиеиспользуют для того, чтобы передавать через сеть пакеты, принадлежащие протоколу, который не поддерживается в данной сети. Туннелирование наряду с криптографическими методами  дает высокий уровень защиты передаваемой сети информации. Примером использование сетевых туннелей может служить информационные системы «клиент-банк».

20. Характеристика средств защиты конфиденциальности (идентификация и аутентификация, шифрование) 1

Идентификация и аутентификация

Важным средством защиты объектов безопасности является идентификация и аутентификация. Идентификация  это передаче субъекта (пользователя или процесса) системе своего имени (идентификатора).  На этапе аутентификации происходит проверка подлинности переданного имени. Подтвердить свою подлинность субъект может следующими тремя способами:

            Посредством передачи пароля.

            Посредством некоторого устройства аутентификации, например электронной карточки.

            Посредством некоторого неотъемлемого от субъекта признака (отпечаток пальцев, рисунок сетчатки глаза, последовательность байтов, однозначно идентифицирующих процесс).

При парольной аутентификации важным является защита пароля от попадания в руки злоумышленников. Получить пароль можно из различных источников:

            У владельца пароля. Иногда для хранения паролей используется обычная записная книжка или файл, откуда случайно или намеренно пароль может попасть злоумышленнику. Иногда пароля сообщают сослуживца, наконец, пароль можно подсмотреть. Пароль можно получить посредством программ – шпионов, которые перехватывают функции ввода и передают пароль злоумышленникам. Поэтому должен быть строгий контроль над программным обеспечением, работающим в системе. Пароль можно просто подобрать, ориентируясь на трафаретное мышление большинства людей (год рождения, фамилии и имена близких и т.п.). Существуют даже программы, которые подбирают пароль на основе некоторых трафаретных шаблонов.

            Пароль может быть перехвачен при передаче по сети.

Для защиты парольного входа используются следующие методы:

            Требования к паролям:

            Установка минимальной длины паролей (обычно не менее 6).

            Пароль должен быть составлен из символов разного регистра, знаков препинания, цифр.

            Для каждого пароля должен быть установлен промежуток, по истечению которого пароль должен быть сменен.  

            Защита файлов, где хранятся пароли.

            Использование программ – генераторов паролей.

            Использование одноразовых паролей. Пользователю известен только ключ, при вводе которого каждый раз генерируется новый пароль, который и передается системе.  Таким образом, по сети каждый раз передается разный пароль. Разумеется, зная ключ и алгоритм генерации можно сгенерировать нужный пароль.       

            Использование сервера аутентификации. Наиболее известным сервером аутентификации является Kerberos.

Несколько слов следует сказать о биометрических способах аутентификации. Эти методы основываются на физиологических и поведенческих признаках человека. Физиологический подход может основываться на таких параметрах как отпечатки пальцев, геометрия рук или сетчатки глаз и т.д. К поведенческим признакам относят, например, динамика работы с клавиатурой, подпись и др. Принцип использования биометрических показателей заключается в следующем: в начале создается база данных с биометрическими данными.  При аутентификации (и одновременно идентификации) программа сканирует базу данных шаблонов в поисках соответствующего шаблона. Обычно биометрический способ аутентификации является лишь одним из этапов полной аутентификации и комбинируется также с парольным подходом.