Informační bezpečnost. Přednáškový kurz. Přednáška: Informační bezpečnost a její složky

Informační bezpečnost by měla být založena na systematickém přístupu. Systematický přístup spočívá v tom, že všechny prostředky používané k zajištění bezpečnosti informací by měly být považovány za jediný soubor vzájemně souvisejících opatření. Jedním z principů ochrany informací je princip „přiměřené dostatečnosti“, který zní: stoprocentní ochrana za žádných okolností neexistuje, proto je třeba usilovat nikoli o teoreticky maximální dosažitelnou úroveň ochrany informací, ale o minimum nutné v daných konkrétních podmínkách a na dané úrovni možné ohrožení.

Informační bezpečnost lze podmíněně rozdělit na ochranu:

před ztrátou a zničením;

před neoprávněným přístupem.

2. Ochrana informací před ztrátou a zničením

Ke ztrátě informací může dojít z následujících důvodů:

porucha počítače;

odpojení nebo výpadek napájení;

poškození paměťových médií;

chybné akce uživatelů;

působení počítačových virů;

neoprávněné úmyslné jednání druhých.

Těmto příčinám lze předejít redundance dat, tj. vytváření jejich záloh. Rezervace zahrnují:

zálohovací software, který je součástí většiny operačních systémů. Například MS Backup, Norton Backup;

vytváření archivů na externích paměťových médiích.

V případě ztráty lze informace obnovit. To je ale možné pouze v případě, že:

po odstranění souboru nebyly do uvolněného místa zapsány nové informace;

pokud soubor nebyl fragmentován, tzn. (Proto byste měli pravidelně provádět defragmentaci pomocí například nástroje Defragmentace disku, který je součástí operačního systému Windows).

Zotavení vyrobeno následujícím softwarem:

Obnovit smazání z balíčku obslužné programy DOS;

Vymazat z Norton Utilites.

Pokud mají data pro uživatele zvláštní hodnotu, můžete je použít ochranu před zničením:

přiřadit vlastnost souborů Pouze pro čtení (pouze pro čtení);

použít speciální software pro ukládání souborů po odstranění, simulující odstranění. Například Norton Protected Recycle Bin (chráněný koš). .

Úniky dat jsou hlavní hrozbou pro bezpečnost dat. napájecí systém- výpadky proudu, přepětí a poklesy napětí atd. Ztrátě informací je v takových případech možné téměř úplně předejít využitím zdrojů nepřerušitelný zdroj energie. Poskytují normální fungování počítač, i když je vypnutý kvůli přepnutí na napájení z baterie.

Ochrana informací před neoprávněným přístupem

Neautorizovaný přístup- jedná se o čtení, změnu nebo zničení informací bez příslušného oprávnění.

Hlavní ukázkové cesty neoprávněný příjem informací:

krádež paměťových médií;

kopírování informačních nosičů s překonáním ochranných opatření;

přestrojit se za registrovaného uživatele;

mystifikace (převlek pod systémové požadavky);

využívání nedostatků operačních systémů a programovacích jazyků;

zachycování elektronického záření;

zachycení akustického záření;

fotografování na dálku;

používání odposlouchávacích zařízení;

zlomyslně deaktivovat bezpečnostní mechanismy.

Pro ochrana informací proti neoprávněnému přístupu platí:

Organizační akce.

Technické prostředky.

Software.

Kryptografie.

1. Organizační akce zahrnout:

přístupový režim;

uložení médií a zařízení v trezoru (diskety, monitor, klávesnice);

omezení přístupu osob do počítačových místností.

2. Technické prostředky zahrnují různé hardwarové metody ochrany informací:

filtry, síta pro zařízení;

klíč pro zamknutí klávesnice;

autentizační zařízení – pro čtení otisků prstů, tvaru ruky, duhovky, rychlosti a technik psaní atd.

3. Software ochrana informací spočívá ve vývoji speciálního softwaru, který by neumožnil cizí osobě přijímat informace ze systému. Mezi softwarové nástroje patří:

přístup pomocí hesla;

uzamknout obrazovku a klávesnici pomocí kombinace kláves;

použití finančních prostředků ochrana heslem BIOS (basic input-output system - basic input-output system).

4. Pod kryptografickým způsobem zabezpečení informací znamená jejich zašifrování, když jsou zadány do počítačového systému. Podstata této ochrany spočívá v tom, že na dokument je aplikována určitá metoda šifrování (klíč), po jejímž uplynutí se dokument stává konvenčními prostředky nečitelný. Čtení dokumentu je možné s přítomností klíče nebo s použitím adekvátního způsobu čtení. Pokud je v procesu výměny informací pro šifrování a čtení použit stejný klíč, pak je kryptografický proces symetrický. Nevýhodou je přenos klíče spolu s dokladem. Proto INTERNET využívá asymetrické kryptografické systémy, kde se nepoužívá jeden, ale dva klíče. Pro práci se používají 2 klíče: jeden je veřejný (veřejný - veřejný) a druhý je uzavřený (osobní - soukromý). Klíče jsou konstruovány tak, že zprávu zašifrovanou jednou polovinou lze dešifrovat pouze druhou polovinou. Vytvořením páru klíčů společnost široce distribuuje veřejný klíč, zatímco soukromý klíč je bezpečně uložen.

Oba klíče jsou určitou kódovou sekvencí. Veřejný klíč je zveřejněn na serveru společnosti. Každý může zakódovat jakoukoli zprávu pomocí veřejného klíče a pouze vlastník soukromého klíče může po zakódování číst.

Zásada dostatečnosti ochrany. Mnoho uživatelů, kteří obdrží veřejný klíč někoho jiného, ​​je chce přijmout a používat, studuje algoritmus šifrovacího mechanismu a pokouší se vytvořit metodu dešifrování zprávy, aby mohl rekonstruovat soukromý klíč. Principem dostatečnosti je kontrola počtu kombinací privátního klíče.

Koncept elektronický podpis. Pomocí elektronického podpisu může klient komunikovat s bankou a vydávat příkazy k převodu svých prostředků na účty jiných osob nebo organizací. Pokud potřebujete vytvořit elektronický podpis, měli byste pomocí speciálního programu (obdrženého od banky) vytvořit stejné 2 klíče: soukromý (zůstává klientovi) a veřejný (přenesený do banky).

Ochrana čtení odneseno:

na úrovni DOS úvodem pro soubor atributů Hidden (hidden);

šifrování.

Ochrana proti zápisu odneseno:

nastavení vlastnosti Pouze pro čtení pro soubory (pouze pro čtení);

zákaz zápisu na disketu pohybem nebo vylomením páčky;

zákaz nahrávání přes nastavení BIOSu- "disk není nainstalován"

Při ochraně informací často vyvstává problém spolehlivého zničení dat z následujících důvodů:

když smazání informací není zcela vymazáno;

i po zformátování diskety nebo disku lze data obnovit pomocí speciálních nástrojů pro zbytkové magnetické pole.

Pro spolehlivé mazání se používají speciální obslužné programy, které mažou data opakovaným zápisem náhodné sekvence nul a jedniček na místo mazaných dat.

Ochrana síťových informacíINTERNET

Při práci na internetu je třeba mít na paměti, že pokud jsou zdroje World Wide Web přístupné každému klientovi, mohou být stejné zdroje jeho počítačového systému za určitých podmínek přístupné každému, kdo má potřebné prostředky. . Pro soukromého uživatele tato skutečnost nehraje zvláštní roli, ale je nutné si ji uvědomit, aby se předešlo jednáním porušujícím zákony zemí, ve kterých se internetové servery nacházejí. Mezi takové akce patří dobrovolné nebo nedobrovolné pokusy narušit výkon počítačových systémů, pokusy o proniknutí do chráněných systémů, používání a distribuce programů, které narušují výkon počítačových systémů (zejména počítačové viry). Při práci na World Wide Web je třeba pamatovat na to, že absolutně všechny akce jsou zaznamenávány a zaznamenávány speciálním softwarem a informace o legálních i nelegálních akcích se nutně někde shromažďují. K výměně informací na internetu by se tedy mělo přistupovat jako k běžné korespondenci pomocí pohlednic. Informace volně obíhají oběma směry, ale obecně jsou dostupné všem účastníkům informačního procesu. To platí pro všechny internetové služby otevřené masám.

Nicméně i v normálu poštovní služby Spolu s pohlednicemi existují poštovní obálky. Používání poštovních obálek v korespondenci neznamená, že partneři mají co skrývat. Jejich použití odpovídá dlouholeté historické tradici a zavedeným morálním a etickým standardům komunikace. Potřeba podobných „obalů“ na ochranu informací existuje na internetu. Internet dnes není pouze komunikačním prostředkem a univerzálním referenčním systémem - kolují v něm smluvní a finanční závazky, které je potřeba chránit jak před nahlížením, tak před falšováním, je zřejmá. Od roku 1999 se INTERNET stal silným prostředkem pro zabezpečení maloobchodního obratu, což vyžaduje ochranu údajů o kreditních kartách a dalších elektronických platebních prostředcích.

Principy ochrany informací na internetu vycházejí z definice informací, které jsme formulovali v první kapitole této příručky. Informace jsou produktem interakce dat a metod jim adekvátních.. Pokud jsou během komunikačního procesu data přenášena prostřednictvím otevřených systémů (a Internet je jedním z nich), nelze ani teoreticky vyloučit přístup k nim neoprávněným osobám. Podle toho se systémy ochrany zaměřují na druhou složku informací – metody. Jejich princip fungování je založen na odstranění nebo alespoň ztížení výběru adekvátní metoda převést data na informace.

Informatizace společensko-politických, ekonomických a vojenských aktivit země a v důsledku toho rychlý rozvoj informační systémy jsou provázeny výrazným nárůstem zásahů do informací jak od cizích států, tak od kriminálních živlů a občanů, kteří k nim nemají přístup. V současné situaci je nepochybně jednou z priorit právního státu řešení hlubokého rozporu mezi skutečnou a nezbytnou úrovní ochrany informačních potřeb jednotlivce, společnosti i samotného státu, zajištěním jejich informační bezpečnosti. pro učitele a studenty vysokých škol v oboru "Informační bezpečnost", bezpečnostní specialisty, manažery a vedoucí pracovníky společností.

Artemov, AV - Informační bezpečnost. Kurz přednášek ke čtení online

Recenzent:

Kandidát ekonomických věd, docent katedry podnikání a marketingu, Federální státní rozpočtová vzdělávací instituce vyššího odborného vzdělávání „Státní univerzita – UNPK“ N.A. Lebeděv

A. V. Artěmov, Ph.D.

Informační bezpečnost jako určující složka ruské národní bezpečnosti

Studijní otázky:

1. Místo informační bezpečnosti v národním bezpečnostním systému Ruska: koncepce, struktura a obsah.

2. Hlavní směrné dokumenty upravující problematiku bezpečnosti informací.

3. Moderní hrozby informační bezpečnosti v Rusku

Otázka 1. Místo informační bezpečnosti v systému národní bezpečnosti Ruska: koncepce, struktura a obsah

Informatizace společensko-politických, ekonomických a vojenských aktivit země a v důsledku toho prudký rozvoj informačních systémů jsou doprovázeny výrazným nárůstem zásahů do informací jak ze strany cizích států, tak od kriminálních živlů a občanů, kteří nemají přístup k němu. V současné situaci je nepochybně jedním z prvořadých úkolů právního státu řešení hlubokého rozporu mezi skutečnou a nezbytnou úrovní ochrany informačních potřeb jednotlivce, společnosti i samotného státu, zajištěním jejich informační bezpečnosti. V čem v rámci informační bezpečnosti (IS) jednotlivce, společnosti, státu a moderních automatizovaných a telekomunikačních systémů pochopil stavu bezpečnosti informační prostředí odpovídající zájmům (potřebám) jednotlivce, společnosti a státu v informační sféra, která zajišťuje jejich formování, využití a možnosti rozvoje bez ohledu na přítomnost vnitřních a vnějších hrozeb.

Je definována informační bezpečnost schopnost státu (společnosti, jednotlivce):

- poskytovat s určitou pravděpodobností dostatečné a chráněné informační zdroje a informační toky pro zachování jejich životnosti a životaschopnosti, udržitelného fungování a rozvoje;

- odolat informační nebezpečí a hrozby, negativní informační dopady na individuální i veřejné vědomí a psychiku lidí, ale i na počítačové sítě a další technické zdroje informací;

– rozvíjet osobní a skupinové dovednosti a dovednosti bezpečného chování;

- udržovat stálou připravenost k adekvátním opatřením v informační konfrontaci, bez ohledu na to, komu je ukládána.

Žádná oblast života moderní společnost nemůže fungovat bez rozvinuté informační struktury. Národní informační zdroj je dnes jedním z hlavních zdrojů hospodářské a vojenské síly státu. Informace pronikající do všech sfér státní činnosti získávají specifické politické, věcné a nákladové vyjádření. V této souvislosti je to stále důležitější problémy s bezpečností informací Ruská Federace jako nedílný prvek národní bezpečnosti a ochrana informací se stává jedním z prioritních úkolů státu.

V každé zemi je informační bezpečnosti přikládán zvláštní význam. Tento úkol prochází ve svém vývoji mnoha etapami v závislosti na potřebách státu, možnostech, způsobech a prostředcích získávání informací (zejména zpravodajských), právním režimu státu a jeho skutečné snaze zajistit ochranu informací. .

Důležitou etapou utváření a zdokonalování takového systému u nás bylo období 70.–80. let. Od počátku 70. let. Ve zpravodajské činnosti předních zemí světa začalo rozsáhlé využívání techniky technického průzkumu. Osmdesátá léta, ve znamení rychlého vědeckotechnického pokroku, zejména ve vojenské oblasti, dala nový impuls k dalšímu budování schopností technických prostředků zahraniční rozvědky: až 70 % zpravodajských informací bylo v té době získáváno pomocí technické prostředky.

Současná situace si vyžádala zlepšení systému opatření proti cizím zpravodajským službám. Úkol národního významu a jeden z nich základní části v obecném systému opatření k uchování státního a úředního tajemství byl odpor k technickému zpravodajství.

Do začátku 90. let. ve vojensko-politické a vědecko-technické sféře došlo ke kvalitativním změnám, které si v mnoha ohledech vynutily revizi státní politiky v oblasti ochrany informací jako celku.

Za prvé, informační technologie zásadně změnily objem a důležitost informací obíhajících v technických prostředcích jejich přenosu a zpracování. Za druhé, de facto státní monopol na informační zdroje se stal v Rusku minulostí, zejména právo občana vyhledávat, přijímat a šířit informace bylo ústavně uznáno. Za třetí, dřívější administrativní mechanismus pro řízení informační bezpečnosti se stal neefektivním a zároveň objektivně vzrostla potřeba mezirezortní koordinace v této oblasti. Za čtvrté, v souvislosti s rostoucím zapojením Ruska do mezinárodní dělby práce, posilováním ekonomických, kulturních, humanitárních kontaktů s jinými státy, mnoha restriktivními režimovými opatřeními, která usnadňují ochranu informací, např. systém regionů uzavřených cizí občané, se staly nepřijatelné.

V současných podmínkách, s přihlédnutím k uvažovaným hrozbám pro informační bezpečnost jednotlivce, společnosti a státu, je důležité zvažovat problémy a úkoly zajištění informační bezpečnosti, která je nedílnou součástí zajištění bezpečnosti státu každého stavu světového společenství v nové etapě jejího vývoje - etapě formování informační společnosti. Známým charakteristickým rysem takové společnosti je zřejmá podmíněnost ekonomického, sociálního, vědeckého a celého rozvoje země plošným zaváděním nových informačních technologií, které zajišťují efektivní informatizaci společnosti, která následně zajišťuje informační bezpečnost společnosti včetně poskytování kvalitních informací, informačních produktů, služeb a znalostí, které jsou dnes nejdůležitějším strategickým zdrojem země. Informatizace jednotlivce, společnosti je nejdůležitějším, strategickým směrem činnosti státu, který určuje stabilní a bezpečný sociálně-ekonomický a politický rozvoj a priority ve všech oblastech, včetně informací a aktivit ve světovém společenství. To potvrzují praktické kroky předních zemí světa a Ruska, což je potvrzeno jejich přijetím řady regulačních právních aktů a dalších dokumentů:

- 2000 - "Okinawská charta globální informační společnosti" (podepsána prezidentem jménem Ruska);

– 2000 Koncepcí národní bezpečnosti Ruské federace (schválenou dekretem prezidenta republiky ve znění ze dne 1. 10. 2000);

- 2000 - Federální cílové programy "Rozvoj jednotného vzdělávacího informačního prostředí (2001-2005)", " Elektronické Rusko»;

- 25. července 2007 - program "Strategie rozvoje informační společnosti v Rusku" (přijatý Radou bezpečnosti Ruské federace);

- 2002 - Federální cílový program "Elektronické Rusko na léta 2002-2010" (schválený nařízením vlády Ruska ze dne 28. ledna 2002 č. 65);

- 2007 „Strategie rozvoje informační společnosti v Rusku“ (schválena 25. července 2007 Radou bezpečnosti Ruské federace) a další.

Otázka 2. Hlavní směrné dokumenty upravující otázky bezpečnosti informací

S ohledem na Koncepci národní bezpečnosti Ruska, schválenou výnosem prezidenta Ruské federace ze dne 17. prosince 1997 č. 1300 (ve znění z 10. ledna 2000), která odráží tzv. „Okinawskou chartu globální informační společnosti“ “, lze tvrdit, že v něm je systém ruských národních zájmů určen kombinací následujících hlavních zájmů:

osobnosti - spočívají ve skutečném poskytování ústavních práv a svobod, osobní bezpečnosti, ve zvyšování kvality a úrovně života, ve fyzickém, duchovním a duševním rozvoji;

- společnosti - zahrnují posílení demokracie, dosažení a udržení sociálního smíru, zvýšení tvůrčí aktivity obyvatelstva a duchovní obrodu Ruska;

- státy - spočívají v ochraně ústavního pořádku, suverenity a územní celistvosti Ruska, v nastolení politické, hospodářské a sociální stability, v bezpodmínečném provádění zákonů a udržování práva a pořádku, v rozvoji mezinárodní spolupráce na bázi partnerství.

Koncepce definuje ruské národní zájmy v informační sféře.

národní zájmy Ruska určují potřebu zaměřit úsilí společnosti a státu na řešení určitých problémů. Tyto jsou:

- dodržování ústavních práv a svobod občanů v oblasti získávání informací a jejich výměny;

– ochrana národních duchovních hodnot; - propagace národního, kulturního dědictví, morálky a veřejné morálky;

- Zajištění práva občanů na spolehlivé informace;

– rozvoj moderních telekomunikačních technologií. Systematická aktivita státu při plnění těchto úkolů umožní Ruské federaci stát se jedním z center světového rozvoje 21. století. Zároveň je nepřijatelné používat informace k manipulaci masového vědomí. Je nutné chránit státní informační zdroj před únikem důležitých politických, ekonomických, vědeckých, technických a vojenských informací.

V souladu s touto Koncepcí nejdůležitější Úkoly údržby IS jsou:

– vytvoření nezbytné rovnováhy mezi potřebou volné výměny informací a přijatelnými omezeními jejich šíření;

- zlepšení informační struktury, urychlení rozvoje nových informačních technologií a jejich široká distribuce, sjednocení prostředků vyhledávání, sběru, ukládání, zpracování a analýzy informací s přihlédnutím ke vstupu Ruska do globální informační infrastruktury;

– rozvoj vhodného regulačního právního rámce a koordinace s vedoucí úlohou Federální agentury pro vládní komunikace a informace pod prezidentem Ruské federace, činností federálních vládních orgánů a dalších orgánů, řešení problému poskytování informační bezpečnosti;

– rozvoj tuzemského odvětví telekomunikací a informační média, jejich přednost před zahraniční analogy distribuce na domácím trhu;

– ochrana státního informačního zdroje především v orgánech federální vlády a v podnicích obranného komplexu.

Doktrína informační bezpečnosti Ruské federace z 9. 9. 2001 č. Pr-1895 je soubor oficiálních názorů na cíle, cíle, principy a hlavní směry zajišťování informační bezpečnosti Ruské federace. Slouží jako základ pro:

– za formování státní politiky v oblasti informační bezpečnosti Ruské federace;

– příprava návrhů na zlepšení právní, metodické, vědecké, technické a organizační podpory informační bezpečnosti;

– rozvoj cílených programů pro zajištění informační bezpečnosti Ruské federace.

Podle struktury se Nauka skládá ze 4 oddílů a 11 kapitol. V první sekci" Informační bezpečnost Ruské federace" daný je zdůrazněna koncepce informační bezpečnosti, národní zájmy jednotlivce, společnosti a státu v informační sféře. V Doktríně jsou specifikovány podrobněji než v Koncepci národní bezpečnosti.

Strategické a aktuální úkoly vnitřní a zahraniční politiky státu k zajištění informační bezpečnosti jsou formovány na základě následujících zájmů na informacích:

- osobnosti - spočívají v uskutečňování ústavních práv člověka a občana na přístup k informacím, využívání informací v zájmu výkonu činností nezakazovaných zákonem, tělesného, ​​duchovního a duševního rozvoje, jakož i v ochrana informací, která zajišťuje osobní bezpečnost;

- společnosti - mají zajišťovat zájmy jednotlivce v této oblasti, posilování demokracie, vytváření právního sociálního státu, dosahování a udržování sociálního smíru, při duchovní obnově Ruska;

- státy - mají vytvářet podmínky pro harmonický rozvoj rus informační infrastruktura realizace ústavních práv a svobod člověka a občana v oblasti získávání informací a jejich využívání za účelem zajištění nedotknutelnosti ústavního pořádku, suverenity a územní celistvosti Ruska, politické, hospodářské a sociální stability, v bezpodmínečném ustanovení právního řádu, rozvoj rovnocenné a vzájemně výhodné mezinárodní spolupráce.

Jsou určeny typy hrozeb IS a jejich zdroje. Jsou také na rozdíl od Koncepce národní bezpečnosti podrobně specifikovány.

Ve druhé části "Metody pro zajištění bezpečnosti informací":

– jsou stanoveny obecné metody pro zajištění IS Ruské federace;

– jsou odhaleny rysy poskytování informační bezpečnosti Ruské federace v různých oblastech veřejného života;

– je určena mezinárodní spolupráce v oblasti informační bezpečnosti.

Ve třetí části „Hlavní ustanovení státní politiky pro zajištění informační bezpečnosti Ruské federace“ obsahuje:

– zásady zajišťování státní politiky;

– prvořadá opatření pro realizaci státní politiky zajištění informační bezpečnosti Ruské federace.

Čtvrtý oddíl Organizační základ systému informační bezpečnosti Ruské federace“ fixuje hlavní funkce systému informační bezpečnosti a jeho organizační základ.

Proces informatizace moderní společnosti vede k prudkému nárůstu hodnoty určitých informací a ztrátám, které mohou nastat v případě jejich úniku, modifikace nebo zničení. V tomto ohledu se stává obzvláště aktuální problém zajištění bezpečnosti informací.

Pojem bezpečnosti v informační sféře je velmi široký. V obecném smyslu pod informační bezpečnost porozumět zabezpečení informací před neoprávněnými pokusy o jejich získání, úpravou, zničením a zpožděním přístupu. Informační bezpečnost by měla zajistit dosažení následujících cílů:

Integrita dat - ochrana před selháním vedoucím ke ztrátě informací a také neoprávněnému vytvoření nebo zničení dat;

Důvěrnost informací;

Mezi důvody vedoucí ke ztrátě nebo nechtěné změně informací patří:

1) Neoprávněný přístup k údajům (náhodný nebo úmyslný):

Kopírování, zkreslování, ničení nebo falšování informací;

Seznámení se outsidery s důvěrnými informacemi.

2) Nesprávná práce software, který vede ke ztrátě nebo poškození dat:

Chyby v aplikačním nebo síťovém softwaru;

Infekce systémů počítačovými viry.

3) Technické poruchy zařízení způsobené:

Výpadek proudu;

selhání diskové systémy a systémy pro archivaci dat;

Porušení provozu serverů, pracovních stanic, síťové karty, modemy;

Selhání kabeláže.

4) Chyby servisního personálu nebo uživatelů.

5) Nesprávné uložení informací.

Ve výpočetní technice koncept bezpečnostní je velmi široká. Zahrnuje jak spolehlivost počítače, tak bezpečnost cenných dat a ochranu informací před změnou neoprávněnými osobami a zachování korespondenčního tajemství v elektronické komunikaci. Samozřejmě, že ve všech civilizovaných zemích zákony hlídají bezpečnost občanů, ale ve sféře počítačová věda praxe vymáhání práva je stále nedostatečně rozvinutá a legislativní proces nedrží krok s rozvojem technologií. Spolehlivost počítačových systémů je proto z velké části založena na opatřeních vlastní ochrany.

Bezpečnost informačního systému- jedná se o systém organizačních a technických opatření zaměřených na předcházení hrozbám, tj. událostem nebo akcím, které narušují normální fungování počítačového systému nebo práva občanů, podniků a státu na informace.

Opatření k zajištění bezpečnosti počítačového systému by měla zahrnovat všechny možné hrozby a obvykle zahrnují fyzickou ochranu serveru, prostředky pro obnovu systémů a dat po poruchách a prostředky ochrany před neoprávněným přístupem.

Rozhodně, řešení na jednom místě problémy informační bezpečnosti, s výjimkou všech výše uvedených důvodů: fyzická ochrana dat a systémových programů, ochrana před neoprávněným přístupem k datům přenášeným po komunikačních linkách a umístěným na discích - ne.

V současné době byly vyvinuty a úspěšně aplikovány různé metody a nástroje, které minimalizují riziko ztráty nebo nežádoucí úpravy dat. Neexistuje však jediný přístup k jejich klasifikaci.

Tedy například právní, technické a organizační aspekty informační bezpečnosti.

k právním krokům zahrnují: vývoj předpisů, které implikují správní a trestní odpovědnost za krádež informací, porušování autorských práv programátorů a všechny ty typy počítačových zločinů, které byly dříve probírány.

K technickým opatřením zahrnují: ochranu před neoprávněným přístupem do systému; antivirový software; záloha a archivace zvláště důležitých dokumentů; organizace lokálních počítačových sítí s možností přerozdělení zdrojů v případě výpadku jednotlivých vazeb; instalace ochranných systémů proti poruchám v napájecí síti; jakož i vybavení prostor zabezpečovacím systémem.

Pod organizační opatření se týká především výběru zaměstnanců společnosti a také zajištění toho, aby neověřené osoby neměly přístup k chráněným informacím. Patří sem například vybavování místností systémem kombinační zámky aby do této místnosti mohla vstoupit pouze osoba, která zná kód, který otevírá dveře.

Existují další přístupy ke klasifikaci nástrojů bezpečnosti informací:

- fyzická ochrana znamená: ochrana kabelového systému, napájecí systémy, archivační nástroje, disková pole atd.

Fyzická ochrana zahrnuje zejména:

a) zajištění bezpečnosti prostor, kde jsou servery instalovány, s ohledem na požadavky na spolehlivost budov, teplotu a vlhkost, dostupnost hasicích zařízení;

b) opatření k omezení fyzického přístupu k počítačové systémy a síťovou infrastrukturu třetích stran, které mohou zastavit, restartovat a dokonce znovu nainstalovat server, krást pevné disky, nainstalovat průzkumné vybavení a software.

c) prostředky ochrany před výpadky napájení - od nepřerušitelných zdrojů napájení až po opatření pro účinné uzemnění a ochranu před úderem blesku.

- ochranný software: antivirové programy, systémy diferenciace pravomocí, software pro kontrolu přístupu;

Softwarové nástroje a metody ochrany jsou aktivněji a šířeji využívány k ochraně informací v osobní počítače A počítačové sítě zavádění takových ochranných funkcí, jako je diferenciace a kontrola přístupu ke zdrojům; registrace a analýza probíhajících procesů, událostí, uživatelů; prevence možných destruktivních dopadů na zdroje; kryptografická ochrana informace; identifikace a autentizace uživatelů a procesů atd.

V současné době je největší podíl v této skupině opatření v systémech zpracování ekonomických informací speciální softwarové balíčky nebo jednotlivé programy součástí softwaru za účelem realizace úkolů ochrany informací.

- technologické prostředky ochrany informací je soubor činností, které jsou organicky integrovány do technologických procesů konverze dat. Mezi nimi:

Tvorba archivních kopií médií;

Ruční popř automatické ukládání zpracovávané soubory během externí paměť počítač;

Registrace uživatelů počítačových zařízení v časopisech;

Automatická registrace uživatelského přístupu k určitým zdrojům;

Vypracování speciálních návodů pro provádění všech technologických postupů atp.

- k právním a morálním a etickým opatřením a opravným prostředkům zahrnovat zákony a předpisy platné v dané zemi, které upravují pravidla pro nakládání s informacemi a odpovědnost za jejich porušení; normy chování, jejichž dodržování přispívá k ochraně informací.

- administrativní ochranná opatření: kontrola přístupu do prostor, vývoj bezpečnostní strategie společnosti, havarijní plány atd.

Organizační a administrativní prostředky ochrany jsou redukovány na regulaci přístupu k informacím a výpočetním zdrojům, funkčním procesům systémů zpracování dat, na regulaci personálních činností apod. Jejich cílem je ztížit nebo eliminovat možnost realizace bezpečnostních hrozeb do největší rozsah. Nejtypičtější organizační a administrativní prostředky:

Vytvoření režimu kontrolních bodů na území, kde se nacházejí zařízení na zpracování informací;

Výroba a vydávání speciálních průkazů;

Náborové činnosti související se zpracováním dat;

Povolit zpracování a přenos důvěrných informací pouze důvěryhodným úředníkům;

Ukládání magnetických a jiných paměťových médií představujících určité tajemství, jakož i registračních deníků v trezorech nepřístupných neoprávněným osobám;

Organizace ochrany před instalací odposlouchávacích zařízení v prostorách spojených se zpracováním informací;

Organizace účetnictví pro použití a zničení dokumentů (nosičů) s důvěrnými informacemi;

Rozvoj popis práce a pravidla pro práci s počítačovými prostředky a informační pole;

Diferenciace přístupu k informacím a výpočetním zdrojům úředníků v souladu s jejich funkčními povinnostmi.

Jakákoli z uvažovaných klasifikací je spíše podmíněná. Moderní technologie se vyvíjejí směrem k syntéze různých prostředků ochrany a dosažení požadované úrovně zabezpečení je možné pouze při optimální kombinaci organizačních, softwarových, hardwarových, fyzických a dalších způsobů ochrany, tedy v případě systematického přístup k řešení problému informační bezpečnosti.

Přednáška č. 1

Informační bezpečnost - schopnost systému zpracování poskytnout stanovenou dobu pro splnění určitých požadavků na zpracování z hlediska pravděpodobnosti výskytu událostí, vyjádřených únikem ztracené nebo nezákonné úpravy dat, která má pro ně nějakou hodnotu vlastníků. Přitom se má za to, že zdrojem těchto akcí mohou být jak náhodné dopady, tak dopad lidského torpédoborce.

Automatizovaný systém zpracování informací (AS) - organizační a technický systém, který je souborem vzájemně souvisejících součástí:

1. 
   Prostředky výpočetní techniky a komunikace.
2. 
   Metody a algoritmy pro zpracování dat (software (software)).
3. 
   Pole a databáze prezentované na jakémkoli médiu.
4. 
   Personál a uživatelé výpočetní techniky.

1. 
   Předměty informačních vztahů:
2. 
   Státní a vládní agentury.
3. 
   Státní obchodní organizace právnické osoby).
4. 
   Občané (jednotlivci).

1. 
   Informační zdroje.
2. 
   Uživatelé (spotřebitelé) informací.
3. 
   Vlastníci (vlastníci) informací.
4. 
   Fyzické nebo právnické osoby, od kterých jsou informace shromažďovány.
5. 
   Vlastníci AS a účastníci procesu zpracování informací.

1. 
   Důvěrnost. Vlastnost označující, že k informacím mají přístup pouze oprávnění uživatelé a uživatelé, které poskytuje systém zpracování informací.
2. 
   Integrita. Vlastnost informací, že za prvé, že informace mohou měnit pouze oprávnění uživatelé, a za druhé, že informace jsou konzistentní a odrážejí reálná situace věcí.
3. 
   Dostupnost. Vlastnost systému, ve kterém obíhají informace, vyznačující se schopností poskytovat včasný a neomezený přístup k informacím uživatelům, kteří mají příslušné oprávnění k přístupu k nim.

Přístup k informacím:

1. 
   Seznámení s informacemi včetně kopírování.
2. 
   Úprava informací.
3. 
   Zničení informací.

Předmět systému – aktivní součást systému (uživatel nebo proces), jejíž akce ve vztahu k objektům jsou regulovány pravidly řízení přístupu.

Systémový objekt - pasivní součást systému (zařízení, disk, adresář, soubor), k níž je přístup regulován pravidly řízení přístupu.

Neoprávněný přístup (UAS) – přístup subjektu k objektu obcházení pravidel řízení přístupu zavedených v systému.

vetřelec - entita, která se omylem, neznalostí nebo zlým úmyslem pokusila nebo pokusila o neoprávněný přístup k objektům systému.

Autentizace – autentizace subjektu nebo objektu.

Identifikace – přiřazení názvu subjektu nebo objektu systému.

Ověření – kontrola integrity některých informací.

Ochrana Trvanlivost - pravděpodobnost nepřekonání ochrany útočníkem po určitou dobu.

Přednáška č. 2

Základní metody zajištění informační bezpečnosti

„Služba zabezpečení sítě“ je mechanismus pro ochranu informací zpracovávaných v distribuovaných počítačových systémech a sítích.

„Inženýrské a technické“ metody mají za cíl zajistit ochranu informací na technické kanály, například ochrana proti odposlechu elektromagnetická radiace nebo řečové informace.

„Právní“ a „organizační“ metody informační bezpečnosti vytvářejí regulační rámec pro organizaci různých činností souvisejících s informační bezpečností.

„Teoretické metody“ pro zajištění informační bezpečnosti si kladou 2 úkoly:

1. 
   Formalizace různých druhů procesů souvisejících s informační bezpečností, například formální model řízení přístupu v AS, umožňuje popsat všechny toky informací přecházející od subjektů k objektům a naopak, a tím tyto informace účinně chránit.
2. 
   Důsledné zdůvodnění správnosti a přiměřenosti systémů informační bezpečnosti. Takový úkol vyvstává například při certifikaci systému podle úrovně informační bezpečnosti.

Pod ohrožení Je obvyklé chápat potenciální události nebo akce, které by mohly poškodit něco zájmu.

IS hrozba – potenciálně možné akce, které mohou narušit důvěrnost, celistvost nebo dostupnost informací, jakož i možnost ovlivňování složek AU, což vede k jejich rozpadu, ztrátě nebo selhání funkcí.

Klasifikace hrozeb IS může být provedena podle následujících kritérií:

1. 
   Stupeň záměru :
   1. 
      Náhodný. Nedbalost personálu nebo náhodné jednání.
   2. 
      Záměrný. Akce útočníka.
2. 
   V závislosti na zdroji ohrožení:
   1. 
      Ohrožení přírodního prostředí.
   2. 
      Lidské hrozby.
   3. 
      Hrozby ze strany autorizovaného softwaru nebo hardwaru. Nesprávná manipulace.
   4. 
      Hrozby od neautorizovaného softwaru nebo hardwaru. Viry, odposlouchávací zařízení, skryté kamery atd.
3. 
   Podle pozice zdroje ohrožení :
   1. 
      Ohrožení, jejichž zdroj se nachází mimo kontrolované pásmo. Vzdálené natáčení zvuku nebo videa.
   2. 
      Ohrožení, jejichž zdroj se nachází uvnitř kontrolovaného pásma.
4. 
   Podle stupně dopadu na reproduktory :
   1. 
      Pasivní.
   2. 
      Aktivní.

1. 
   Porušením tří základních vlastností chráněných informací :
   1. 
      Důvěrnost.
   2. 
      Integrita.
   3. 
      Dostupnost.

Model ochranného systému:

1. 
   Organizační opatření a opatření fyzické bezpečnosti.
2. 
   .
3. 
   Řízení přístupu.
4. 
   4.1. kryptografické metody.
   1. 
      Metody obvodové ochrany.
   2. 
      Logování a auditování.

Obecně tyto metody používané v podniku zahrnují následující:

1. 
   Nasazení řídicího systému a vymezení fyzického přístupu k prvkům AS.
2. 
   Zřízení služby ostrahy a fyzické ostrahy.
3. 
   Vytváření mechanismů pro kontrolu pohybu zaměstnanců a návštěvníků, například pomocí video dohledu nebo přístupových karet.
4. 
   Tvorba a implementace předpisů, pracovních náplní a dalších regulačních dokumentů.
5. 
   Regulace práce s médii obsahujícími důvěrné informace.

Klasifikace autentizačních metod:

1. 
   Metody založené na znalosti subjektu nějaké tajné informace. Klasický příklad: Ověřování heslem. Tyto metody jsou nejběžnější.
2. 
   Metody založené na vlastnictví nějakého jedinečného předmětu subjektem. Například: elektronický klíč, přístupová karta atd.
3. 
   Metody založené na skenování biometrických charakteristik člověka. Například: skenování otisků prstů, skenování duhovky, skenování lidské tváře, jednoduché a podtržení klávesnice.

Ověřování heslem

Obecné schéma ověřování hesla:

1. 
   Zadání ID uživatele.
2. 
   Kontrola, zda takový identifikátor v systému existuje.
   1. 
      Pokud existuje, provede se procedura ověření.
   2. 
      Pokud je postup úspěšný, dojde k autorizaci.
   3. 
      V případě selhání autentizační procedury je dáno několik pokusů o opětovné zadání.

Výhody a nevýhody systému hesel

1. 
   Relativní snadnost implementace. Systémy hesel zpravidla nevyžadují další hardware.
2. 
   Tradiční. Mechanismy ochrany heslem jsou většině uživatelů známé.
3. 
   Hesla odolná proti prolomení bývají nepoužitelná.

Existují 3 typy hrozeb:

Doporučení pro praktickou implementaci systémů hesel

1. 
   Nastavení minimální délky hesla. Toto doporučení komplikuje kompletní hledání hesla.
2. 
   Zvýšení výkonu heslové abecedy. Toto doporučení komplikuje vyčerpávající vyhledávání.
3. 
   Kontrola a prověřování hesel pro různé podmínky. Toto doporučení znesnadňuje uhodnutí hesla pomocí slovníku.
4. 
   Nastavení maximální doby platnosti hesla (heslo měňte například každé 2 týdny). Vypršení platnosti hesla omezuje dobu, kterou může útočník strávit hádáním hesla.
5. 
   Filtrování prostřednictvím protokolu historie hesel. Tento mechanismus zabraňuje opětovnému použití hesel, která mohla být dříve kompromitována.
6. 
   Omezení počtu pokusů o zadání hesla. Toto doporučení ztěžuje interaktivní hádání hesla.
7. 
   Časový limit při zadání špatného hesla. Tento mechanismus také komplikuje interaktivní výběr.
8. 
   Zabraňte uživateli ve výběru hesla a automaticky vygenerujte heslo. Toto doporučení zaručuje sílu vygenerovaných hesel, nicméně uživatelé mohou mít problémy si je zapamatovat.

Posouzení síly systémů hesel

A je mohutnost abecedy parametru. Počet písmen, která lze použít k vytvoření hesla.

L je délka hesla.

S=A^L je počet hesel délky L, která lze sestavit z abecedy A.

V je průměrná rychlost hádání hesla.

T je maximální doba platnosti hesla.

P - pravděpodobnost uhodnutí hesla po určitou dobu.

P = (V*T)/S = (V*T)/(A^L)

Obvykle se za známé hodnoty považuje průměrná rychlost hádání hesla V a doba jeho platnosti v systému T. V tomto případě nastavením maximální pravděpodobnosti hrubé síly V během její platnosti můžeme vypočítat požadovanou mohutnost prostoru pro hesla.

S = A^L = (V*T)/P

Snížení rychlosti hádání hesla V snižuje možnost uhodnutí hesla. Z toho zejména vyplývá, že pokud se výběr hesel provádí výpočtem HASH funkcí, pak použití pomalé funkce pro výpočet HASH funkce zajistí větší bezpečnost systému hesel.

Metody ukládání a přenosu hesel

1. 
   V otevřeném. Nedoporučuje se pro skladování a přenos, a to ani s jinými ochrannými mechanismy.
2. 
   Ve formě odpovídajících hodnot HASH. Tento mechanismus je vhodný pro kontrolu hesel, protože hodnoty HASH jsou téměř jednoznačně spojeny s heslem, ale pro útočníka jsou málo zajímavé.
3. 
   V zašifrované podobě. Hesla lze zašifrovat pomocí některého kryptografického algoritmu, přičemž šifrovací klíč může být uložen buď na jednom z trvalých prvků systému, nebo na vyměnitelném médiu.

1. 
   Při registraci nového uživatele do systému nebo změně hesla pro stávajícího uživatele se z tohoto hesla vypočítá hodnota jednosměrné HASH funkce, která se následně zanese do databáze (H = h(M)-> do databáze).
2. 
   Když se uživatel pokusí přihlásit do systému, hodnota HASH se vypočítá ze zadaného hesla (H' = h(M')), poté se výsledná hodnota porovná s hodnotou v databázi. Pokud jsou tyto dvě hodnoty stejné, je heslo zadáno správně a uživatel je v systému autorizován (H = H' - heslo je správné).

Pod kontrolou přístupu je zvykem rozumět stanovení pravomocí subjektů pro následnou kontrolu oprávněného použití zdrojů (objektů) dostupných v systému. Existují dva hlavní typy řízení přístupu:

1. 
   diskreční. D - řízení přístupu mezi pojmenovanými objekty a pojmenovanými subjekty v systému. V praxi je toto rozlišení nejčastěji realizováno pomocí matice přístupových práv.
2. 
   mandát. M - obvykle implementováno jako kontrola přístupu podle úrovní utajení. Pravomoci každého uživatele jsou nastaveny v souladu s maximálním stupněm utajení, do kterého je připuštěn, přičemž všechny prostředky AS musí být klasifikovány v souladu se stejnými stupni utajení.

1. 
   Jednoduché bezpečnostní pravidlo. Subjekt s úrovní zabezpečení X(s) může číst informace z objektu s úrovní zabezpečení X(0), pouze pokud X(0) nepřekročí X(s). Jmenuje se: No Read Up.
2. 
   Další nemovitost(*-nemovitost). Subjekt s úrovní zabezpečení X(s) může zapisovat data do objektu s úrovní zabezpečení X(0) pouze v případě, že X(s) nepřekračuje X(0. Říká se tomu: No Write Down).

Pokud v případě diskrečního řízení přístupu určuje přístupová práva ke zdroji pro uživatele vlastník tohoto zdroje, pak v případě povinného řízení přístupu je úroveň zabezpečení nastavena z vnějšku systému. Povinná diferenciace je chápána jako povinná, je přísnější.

Přednáška č. 4

Kryptografická transformace informací

Základní definice:

Kryptologie- věda, která studuje matematické metody ochrany informací jejich transformací. Kryptologie se dělí na 2 oblasti:

1. 
   Kryptografie. Zkoumá metody pro transformaci informací, aby byla zajištěna jejich důvěrnost a autentičnost. Pravost informace spočívá v pravosti jejich autorství a celistvosti.
2. 
   Kryptoanalýza. Kombinuje matematické metody pro porušení důvěrnosti a autenticity bez znalosti tajných klíčů.

1. 
   Přenos důvěrných informací prostřednictvím nezabezpečených komunikačních kanálů.
2. 
   Stanovení pravosti přenášených zpráv.
3. 
   Ukládání informací na média v zašifrované podobě.

Abeceda je konečná množina symbolů používaných ke kódování informací.

Text je uspořádaná množina znaků z abecední množiny.

kryptografický systém (šifra) je rodina T vratné převody otevřeného textu na šifrovaný text. Prvek této rodiny může být spojen s určitým číslem jedna ku jedné k, nazývaný šifrovací klíč. Proměny Tk je zcela určeno odpovídajícím algoritmem ( T) a klíč k.

Klíč- nějaký, konkrétní tajný stav parametrů algoritmu konverze kryptografických dat, poskytující výběr jedné možnosti z množiny možných stavů pro tento algoritmus. Utajení klíče by mělo zajistit nemožnost převodu šifrovaného textu na prostý text, zatímco samotný algoritmus může být zveřejněn a široce známý.

Klíčový prostorK– sada možných hodnot klíče (K = A^L).

Klíč A Heslo- některé tajné informace, rozdíl spočívá v použití těchto výrazů. Heslo se používá pro ověřování a klíč pro šifrování informací.

Koncepční rozdíl kódování A šifrování:

Období kódování obecněji jde o převod informací z jedné formy do druhé, například z analogové na digitální. Šifrování – speciální případšifrování slouží především k zajištění důvěrnosti informací.

Šifrování dat je proces přeměny otevřených dat na uzavřená (šifrovaná) a dešifrování je obrácený proces.

Dešifrování– transformace uzavřených dat na data otevřená bez znalosti tajný klíč.

Odolnost vůči kryptoměnám- vlastnost šifry, která určuje její odolnost vůči rozluštění. Obvykle je tato charakteristika určena dobou potřebnou pro šifrování.

Proces kryptografického uzavírání dat lze provádět hardwarově i softwarově. Hardwarová implementace má vyšší výpočetní rychlost, ale zpravidla vyšší cenu. Výhody implementace softwaru spočívá ve flexibilitě nastavení algoritmu. Bez ohledu na způsob implementace existují pro moderní kryptografické informační bezpečnostní systémy následující požadavky:

Přednáška č. 6

Tři kritické vlastnosti Vernamovy šifry (poznámková šifra):

1. 
   Klíč musí být skutečně náhodný.
2. 
   Musí mít stejnou velikost jako zadaný prostý text.
3. 
   Použijte pouze 1x a po použití zničte.

V praxi je možné jednou fyzicky přenést informační nosič s dlouhým, skutečně náhodným klíčem a poté odesílat zprávy podle potřeby, na tom je založena myšlenka šifry notebooků. Při osobní schůzce je kryptografovi dodán zápisník, jehož každá stránka obsahuje klíč, přijímající strana má úplně stejný zápisník. Použité stránky jsou zničeny, pokud existují dva nezávislé kanály, ve kterých je pravděpodobnost zachycení informace nízká, ale nenulová, taková šifra je také užitečná. Na jednom kanálu může být přenášena zašifrovaná věta a jiným způsobem klíč, aby bylo možné zprávu dešifrovat, je nutné poslouchat oba kanály současně.

Vernamova šifra je nejbezpečnější možný kryptosystém a omezení, která klíč musí splňovat, jsou tak silná, že praktické využití tato šifra se obtížně implementuje, proto se používá pouze pro přenos zpráv s nejvyšším utajením.

DES ( Data Šifrování Standard )

V roce 1972 zahájil americký Národní úřad pro standardy program na ochranu komunikací a počítačových dat. Jedním z cílů programu bylo vyvinout jediný kryptografický standard. V roce 1973 úřad zveřejnil požadavky na kryptografický algoritmus:

1. 
   Algoritmus musí poskytovat vysokou úroveň zabezpečení.
2. 
   Algoritmus musí být plně definovaný a snadno pochopitelný.
3. 
   Zabezpečení algoritmu by mělo být založeno pouze na utajení klíče a nemělo by záviset na utajení podrobností samotného algoritmu.
4. 
   Algoritmus musí být dostupný všem uživatelům.
5. 
   Algoritmus by měl umožnit přizpůsobení různým aplikacím.
6. 
   Algoritmus by měl umožnit ekonomickou implementaci ve formě elektronických zařízení.
7. 
   Algoritmus musí poskytovat možnost ověření.
8. 
   Algoritmus musí být povolen pro export.

DES je kombinovaná bloková šifra a šifruje data v 64bitových blocích (každý 8 bajtů). Na jedné straně algoritmu je zadáno 64 bitů prostého textu, na druhé straně je výstupem 64 bitů šifrovaného textu, DES je symetrický algoritmus. Délka klíče je 56 bitů. Na nejjednodušší úrovni je algoritmus pouze kombinací 2 základních metod šifrování:

1. 
   Permutace.
2. 
   Náhrady.

Vícenásobná aplikace jednoho stupně je dána dosažením určité úrovně lavinového účinku (cca 50 %).

Příklady: Triple DES, DES s nezávislými podklíči, DES X, GDES (generalizované DES).

Přednáška č. 7

Algoritmy s veřejné klíče

Koncept kryptografie s veřejným klíčem byl představen Diffem a Halmanem a nezávisle Merklem v roce 1976. Jejich přínosem pro kryptografii bylo přesvědčení, že klíče lze používat ve dvojicích (šifrovací klíč a dešifrovací klíč) a že nemusí být možné odvodit jeden klíč od druhého.

Od roku 1976 bylo navrženo mnoho kryptografických algoritmů s veřejným klíčem, mnohé z nich nejsou bezpečné a mnohé nejsou vhodné pro praktickou implementaci, buď používají příliš dlouhý klíč, nebo je délka šifrovaného textu mnohem větší než délka šifrovaného textu. prostý text.

INFORMAČNÍ ZABEZPEČENÍ ODBORNÝCH ČINNOSTÍ

Požitková Taťána Alexandrovna

Student 5. ročníku, Katedra komoditních věd a organizace řízení obchodních podniků, TSU, Togliatti

E-pošta: Kykyha [e-mail chráněný] yandex . en

Kharlamová Valentina Vladimirovna

Umění. Přednášející katedry "Nauka o zboží a organizace řízení obchodních podniků"TSU, Togliatti

Informace (z lat. informatio - vysvětlení, prezentace) - od poloviny dvacátého století obecný vědecký koncept zahrnující výměnu informací mezi lidmi, člověkem a automatem, automat a automat, výměnu signálů v živočišný a rostlinný svět, přenos znaků z buňky do buňky, z organismu do těla; jeden ze základních pojmů kybernetiky.

Informační bezpečnost je soubor opatření zaměřených na zajištění bezpečnosti informací.

Podle standardů bezpečnosti informací je hlavní věcí v každé společnosti:

Stanovit účel zajištění ochrany informací počítačových systémů;

· Získat nejúčinnější systém řízení bezpečnosti informací;

· Vypočítat souhrn kvantitativních i kvalitativních ukazatelů, pokud odpovídají stanoveným cílům;

· Aplikace všech opatření k zajištění bezpečnosti informací, neustálé sledování aktuálního stavu systému;

· Aplikujte pokyny pro správu zabezpečení, které umožňují spravedlivé posouzení zavedené bezpečnosti informací.

Pro subjekty využívající informační systémy jsou důležité tyto vlastnosti informačních zdrojů: důvěrnost, dostupnost a integrita.

Důvěrnost je ochrana informací před neoprávněným přístupem. Jinými slovy, existují přístupová práva – existují informace. Příkladem může být nezveřejňování mezd pracovníků organizací.

Dostupnost je kritériem charakterizovaným rychlým nalezením potřebných informací.

Integrita je pravdivost a relevance informací, jejich ochrana před neoprávněným přístupem a zničením (změnami). Integrita je nejdůležitějším aspektem informační bezpečnosti, pokud jde například o formulaci léčiv, předepsané lékařské výkony, průběh technologického procesu - pokud je narušena integrita informací všech těchto příkladů, může to vést k nenapravitelné následky.

Po analýze hlavních vlastností informačních zdrojů je pro uživatele IS nejdůležitější dostupnost.

O půl kroku pozadu v důležitosti je integrita – protože informace nemá smysl, pokud nejsou pravdivé nebo zkreslené.

Kromě tří hlavních rysů bezpečnostních modelů existují i ​​další, ne vždy povinné:

apelabilita - nemožnost odmítnutí autorství;

odpovědnost - uznání subjektu přístupu a evidence jeho jednání;

Autenticita nebo autenticita - vlastnost, která zaručuje, že předmět nebo zdroj je shodný s deklarovaným. Znak, který zaručuje, že informace je totožná s deklarovanou.

Bezpečnost informací může být v různé míře narušena akcemi nazývanými hrozby. Jsou rozděleny do následujících kategorií:

2. Akce prováděné hackery. Tedy lidé profesionálně zapojení do počítačových zločinů. Hackeři používají metodu útoku DOS. Tato hrozba neoprávněného vstupu může být nástrojem ke zničení dat, použití důvěrných informací k nelegálním účelům, stejně jako ke krádeži finančních prostředků z účtů atd. Útok typu DOS (zkráceně Denial of Service - „odepření služby“) je útok zvenčí na síťové uzly organizace, které jsou odpovědné za její efektivní provoz (poštovní servery). Hackeři masivně posílají datové pakety do těchto uzlů, což s sebou nese jejich přetížení, čímž je na nějakou dobu vyřadí z provozuschopného stavu. Což v důsledku vede k porušování obchodních procesů, ztrátě zákazníků, pověsti atd.

3.Počítačové viry, malware. Široce se používá k infiltraci e-mailů, hostitelů firemní síť, na samotné médium a správce informací, což může vést ke ztrátě dat, krádeži informací. Kvůli virům je pracovní postup pozastaven, ztracen pracovní doba. Je důležité zdůraznit, že virus může útočníkům poskytnout částečnou nebo úplnou kontrolu nad aktivitami organizace.

4.Spam. Až donedávna bylo spam možné připisovat menším obtěžujícím faktorům, ale nyní se stal jednou z hlavních hrozeb pro informace: spam způsobuje zaměstnancům pocit psychické nepohody, jeho odstranění z e-mailových schránek zabere hodně času, což může vést k vymazání důležitých informací, korespondence. A to je zase ztráta informací, ztráta zákazníků.

5. "Přirozené hrozby." Kromě vnitřních faktorů mohou bezpečnost informací ovlivnit i faktory vnější: nesprávné ukládání informací, krádeže médií, vyšší moc atd.

Lze vyvodit závěr: moderní svět přítomnost dobře vyvinutého systému informační bezpečnosti je jednou z hlavních podmínek konkurenceschopnosti a dokonce životaschopnosti každé společnosti.

Aby byla zajištěna nejúplnější bezpečnost informací, měly by v systému fungovat různé ochranné nástroje, to znamená, že by měly být aplikovány současně a pod centralizovanou kontrolou.

V současné době existuje mnoho způsobů, jak zajistit bezpečnost informací:

prostředky pro šifrování informací uložených v počítačích a přenášených po sítích;

Prostředky šifrování důležitá informace uloženy na PC;

· firewally;

nástroje pro filtrování obsahu;

· zařízení antivirová ochrana;

· systémy detekce zranitelností sítí a analyzátory síťových útoků.

Jakýkoli z výše uvedených prostředků lze použít jak samostatně, tak v kombinaci s jinými. Tím se rozšiřuje spektrum ochrany informací, což je nepochybně pozitivní faktor.

Komplex 3A. Identifikace a autorizace jsou hlavními prvky informační bezpečnosti. Když se pokusíte získat přístup k jakýmkoli chráněným informacím, identifikace určí, zda jste oprávněným uživatelem sítě. Účel autorizace, určit, které informační zdroje daný uživatel má přístup. Administrační funkcí je poskytnout uživateli samostatné pokročilé schopnosti, určit rozsah akcí, které jsou pro něj možné v rámci této sítě.

Systémy šifrování informací umožňují minimalizovat ztráty v případě neoprávněného přístupu k datům, stejně jako zachycení informací během přenosu nebo přenosu přes síťových protokolů. hlavním cílem tato metoda ochrana má zajistit zachování důvěrnosti. Na šifrovací systémy se vztahují požadavky, jako je vysoká úroveň utajení zámku (tj. šifrovací síla) a zákonnost použití.

Firewall funguje jako ochranná bariéra mezi sítěmi, kontroluje a chrání před neoprávněným vstupem do sítě nebo naopak odstraněním datových paketů z ní. Firewally kontrolují každý paket dat s příchozí a odchozí IP adresou proti základně povolených adres.

Je důležité kontrolovat a filtrovat příchozí a odchozí e-maily, aby bylo možné zachovat a chránit důvěrné informace. Skenování příloh a e-mailových zpráv samotných na základě pravidel stanovených organizací pomáhá chránit zaměstnance před spamem a organizaci před odpovědností v soudních sporech.

Administrátor, stejně jako jiný oprávněný uživatel, může mít právo sledovat všechny změny informací na serveru díky technologii kontroly integrity obsahu pevný disk(kontrola integrity). To umožňuje odhalit neoprávněný přístup, kontrolovat jakékoli akce s informacemi (úpravy, smazání atd.) a také identifikovat aktivitu virů. Kontrola se provádí na základě analýzy kontrolní součty soubory (CRC_sums).

Antivirové technologie v současnosti umožňují odhalit téměř všechny viry a škodlivé programy metodou porovnání ukázkového kódu v antivirové databázi s kódem podezřelého souboru. Podezřelé soubory mohou být umístěny do karantény, ošetřeny nebo odstraněny. Antivirové programy lze instalovat na souborové a poštovní servery, firewally, na pracovní stanice běžící pod běžnými operačními systémy (Windows, Unix a Linux_systems, Novell) na různých typech procesorů.

Spamové filtry výrazně snižují neproduktivní mzdové náklady spojené s čištěním spamových souborů, snižují zátěž serveru a zlepšují psychologické zázemí v týmu. Spamové filtry navíc snižují riziko napadení novými viry, protože často připomínají spam a jsou odstraněny.

Aby se organizace chránila před přírodními hrozbami, musí vytvořit a implementovat plán na prevenci a odstranění mimořádné události(požár, povodeň). Hlavním způsobem ochrany dat je zálohování.

Existuje mnoho prostředků technickou ochranu informace z neoprávněného přístupu (UAS): jednorázové zámky, plastové identifikační karty, plomby, optické a infračervené systémy, laserové systémy, zámky (mechanické, elektromechanické, elektronické), video zabezpečovací a řídicí systémy.

Politika informační bezpečnosti je soubor pravidel, zákonů, doporučení a praktických zkušeností, které určují manažerská a návrhová rozhodnutí v oblasti informační bezpečnosti. PIB je nástroj, pomocí kterého probíhá správa, ochrana, distribuce informací v systému. Politika by měla definovat chování systému v různých situacích.

Program bezpečnostní politiky obsahuje Další kroky vytváření nástrojů informační bezpečnosti:

1. Hledání informací a technických zdrojů, které je třeba chránit;

2. Rozšíření celé sady potenciálně možné hrozby a kanály úniku informací;

3. Posouzení zranitelnosti a rizik informací v přítomnosti mnoha hrozeb a kanálů úniku;

4. Diagnostika požadavků na systém ochrany;

5. Výběr nástrojů informační bezpečnosti a jejich charakteristika;

6. Provádění a organizace využívání vybraných opatření, metod a prostředků ochrany;

7. Implementace systému řízení integrity a ochrany.

Hodnocení současné situace je rozděleno do dvou systémů: je to „výzkum zdola nahoru“ a „výzkum shora dolů“. První vychází z toho, že služba informační bezpečnosti je na základě všech známých typů útoků v praxi aplikuje, aby prověřila, zda je tento útok možný od skutečného pachatele.

Metoda shora dolů je podrobnou studií všech existujících schémat pro ukládání a zpracování informací. Prvním krokem metody je určit, které informační toky by měly být chráněny. Následně je analyzován aktuální stav systému informační bezpečnosti, aby se určily implementované metody ochrany, v jakém rozsahu a na jaké úrovni jsou implementovány. Ve třetí fázi se provádí klasifikace všech informačních objektů do skupin v souladu s jejich důvěrností.

Poté je nutné zjistit, jak vážné škody mohou být způsobeny při napadení informačního objektu. Tento krok se nazývá „výpočet rizika“. Počítá se možné poškození z útoku, pravděpodobnost takového útoku a jejich součin. Obdržená odpověď je možným rizikem.

V nejdůležitější a rozhodující fázi probíhá samotný vývoj podnikové bezpečnostní politiky, která poskytne nejúplnější ochranu před možnými riziky. Je ale potřeba počítat s problémy, které mohou nastat při zavádění bezpečnostní politiky. Mezi takové problémy patří zákony země a mezinárodního společenství, etické normy, vnitřní požadavky organizace.

Po vytvoření takové politiky bezpečnosti informací se vypočítá její ekonomická hodnota.

Na konci vývoje je program schválen vedením společnosti a podrobně zdokumentován. Poté by měla následovat aktivní implementace všech složek uvedených v plánu. Přepočet rizik a následně úprava bezpečnostní politiky společnosti se provádí nejčastěji každé dva roky.

Samotný PIB je formalizován ve formě dokumentovaných požadavků na informační systém. Existují tři úrovně těchto dokumentů (také nazývané podrobné):

Dokumentace nejvyšší úroveň Politiky informační bezpečnosti ukazují postavení organizace k činnostem v oblasti informační bezpečnosti, její připravenost plnit státní i mezinárodní požadavky v této oblasti. Mohou se například jmenovat: „Koncept IS“, „Zásady IS“, „ technická norma IB“ atd. Dokumenty nejvyšší úrovně lze vydávat ve dvou formách – pro externí a interní použití.

Dokumenty střední úrovně se zabývají určitými aspekty informační bezpečnosti. Popisuje požadavky na tvorbu a provoz nástrojů informační bezpečnosti na specifické straně informační bezpečnosti.

Dokumenty nižší úrovně obsahují pravidla a předpisy práce, administrační manuály, provozní pokyny pro služby soukromé bezpečnosti informací.

Etapy životní cyklus informační systémy se dělí na: strategické plánování, analýzu, návrh, implementaci, implementaci (iniciaci) a provoz. Zvažme každou fázi podrobně:

1. Počáteční fáze (strategické plánování).

V první fázi je určen rozsah systému a stanoveny okrajové podmínky. K tomu je nutné identifikovat všechny vnější objekty, se kterými bude vyvinutý systém interagovat, určit povahu této interakce. Ve fázi strategického plánování jsou definovány všechny funkce a jsou uvedeny popisy nejdůležitějších z nich.

2. Fáze objasnění.

Ve fázi zdokonalování je analyzována aplikační oblast a je vyvíjen architektonický základ informačního systému. Je potřeba popsat většinu funkčnosti systému a vzít v úvahu vztah mezi jednotlivými komponentami. Na konci zdokonalovací fáze jsou analyzována architektonická řešení a způsoby eliminace hlavních rizik v programu.

3. Fáze návrhu.

V této fázi je vytvořen hotový výrobek připravený k předání uživateli. Po dokončení návrhu se určí výkon výsledného softwaru.

4. Fáze předání do provozu (iniciace).

Fáze je přímý přenos softwaru k uživateli. Při použití vyvinutého systému jsou často identifikovány různé problémy, které vyžadují další práci a úpravy produktu. Na konci této fáze zjišťují, zda byly cíle stanovené pro vývojáře dosaženy či nikoliv.

5. Vyřazení z provozu a likvidace. Výsledkem této fáze je přenos dat do nového IS.

Jakýkoli informační systém může zůstat maximálně užitečný po dobu 3-7 let. Dále je třeba jej upgradovat. Můžeme tedy konstatovat, že téměř každý tvůrce čelí problému modernizace zastaralých informačních systémů.

Pro řešení problému zajištění informační bezpečnosti je důležité využívat legislativní, organizační a softwarová a hardwarová opatření. Nepozornost alespoň jednoho z aspektů tohoto problému může vést ke ztrátě nebo úniku informací, jejichž cena a role v životě moderní společnosti nabývají na významu.

Bibliografie:

1.V.A. Ignatiev, Informační bezpečnost moderního komerčního podniku / V.A. Ignatiev - M: Stary Oskol: TNT, 2005. - 448 s.

2.Domarev VV, Bezpečnost informačních technologií. Metodika tvorby ochranných systémů (kap. 8) / TID Dia Soft / - 2002. [Elektronický zdroj]. - Režim přístupu. – URL: http://www.kpnemo.ws/ebook/2010/08/10/domarev_vv_bezopasnost_informatsionnyih_tehnologiy_metodologiya_sozdaniya_sistem_zaschityi (vstup 15/11/2012)

3. Zhuk E.I., Conceptual foundations of information security [Elektronický zdroj] // Elektronická vědecká a technická publikace "Science and Education", 2010. - č. 4. - Režim přístupu. - URL: http://techno-new.developer.stack.net/doc/143237.html (přístup 20.11.2012)

4.Medveděv N.V., Standardy a politika informační bezpečnosti automatizované systémy// Bulletin MSTU im. N.E. Bauman. Ser. Instrumentace. - 2010. - č. 1. - S. 103-111.

5. Základy informační bezpečnosti: Učebnice / O.A. Akulov, D.N. Badanin, E.I. Zhuk a další - M .: Vydavatelství MSTU im. N.E. Bauman, 2008. - 161 s.

6.Filin S.A., Informační bezpečnost / S.A. Sova. - Alfa-Press, 2006. - 412 s.

7.Jarochkin V.I. Informační bezpečnost: Učebnice pro vysokoškoláky. - 3. vyd. - M.: Akademický projekt: Triksta, 2005 - 544 s.