Безопастные технологии

Содержание  работы: 

Введение

1. Виртуальные защищенные сети. Назначение.  Принцип действия
2. Государственная система управления открытыми ключами
3. Права и обязанности субъектов информационных отношений по защите информации

Список  литературы 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

Введение

     Рассматривая  информацию как товар, можно сказать, что информационная безопасность в  целом может привести к значительной экономии средств, в то время как  ущерб, нанесенный ей, приводит к материальным затратам. Например, раскрытие технологии изготовления оригинального продукта приведет к появлению аналогичного продукта, но от другого производителя, и как следствие нарушения  информационной безопасности, владелец технологии, а может быть и автор, потеряют часть рынка и т.д. С  другой стороны, информация является субъектом  управления, и ее изменение может  привести к катастрофическим последствиям в объекте управления.

     Информационная  безопасность является одной из главных  проблем, с которой сталкивается современное общество. Причиной обострения этой проблемы является широкомасштабное использование автоматизированных средств накопления, хранения» обработки  и передачи информации.

     Информационная  безопасность в глобальной сети Интернет также является одной из проблем, с которой столкнулось современное  общество в процессе массового использования  автоматизированных средств ее обработки.

     При работе в Интернете следует иметь  в виду, что насколько ресурсы  Всемирной сети открыты каждому  клиенту, настолько же и ресурсы  его компьютерной системы могут  быть при определенных условиях открыты  всем, кто обладает необходимыми средствами.

     Для частного пользования этот факт не играет особой роли, но знать о нем  необходимо, чтобы не допускать действий, нарушающих законодательства тех стран, на территории которых расположены  серверы Интернета. К таким действиям  относятся вольные или невольные  попытки нарушить работоспособность  компьютерных систем, попытки взлома защищенных систем, использование и  распространение программ, нарушающих работоспособность компьютерных систем.

1. Виртуальные защищенные сети. Назначение.  Принцип действия

         В связи с широким распространением Internet, intranet, extranet при

разработке  и применении распределенных информационных сетей и систем одной из самых  актуальных задач является решение  проблем информационной безопасности.

     В последнее десятилетие в связи  с бурным развитием Internet и сетей  коллективного доступа в мире произошел качественный скачок в  распространении и доступности  информации. Пользователи получили дешевые  и доступные каналы связи. Стремясь к экономии средств, предприятия  используют такие каналы для передачи критичной коммерческой информации. Однако принципы построения Internet открывают  злоумышленникам возможности кражи  или преднамеренного искажения  информации. Не обеспечена достаточно надежная защита от проникновения нарушителей  в корпоративные и ведомственные  сети.

     Для эффективного противодействия сетевым  атакам и обеспечения возможности  активного и безопасного использования  в бизнесе открытых сетей в  начале 90-х годов родилась и активно  развивается концепция построения защищенных виртуальных частных  сетей – VPN (Virtual Private Networks).

     В основе концепции построения защищенных виртуальных частных сетей VPN лежит  достаточно простая идея: если в  глобальной сети есть два узла, которые  хотят обменяться информацией, то для  обеспечения конфиденциальности и  целостности передаваемой по открытым сетям информации между ними необходимо построить виртуальный туннель, доступ к которому должен быть чрезвычайно  затруднен всем возможным активным и пассивным внешним наблюдателям. Термин «виртуальный» указывает  на то, что соединение между двумя  узлами сети не является постоянным (жестким) и существует только во время прохождения  трафика по сети.

     Преимущества, получаемые компанией при формировании таких виртуальных туннелей, заключаются, прежде всего, в значительной экономии средств.

     Защищенной  виртуальной сетью (VPN) называют объединение  локальных сетей и отдельных  компьютеров через открытую внешнюю  среду передачи информации в единую виртуальную корпоративную сеть, обеспечивающую безопасность циркулирующих  данных. При подключении корпоративной  локальной сети к открытой сети возникают  угрозы безопасности двух основных типов:

     несанкционированный доступ к корпоративным данным в  процессе их передачи по открытой сети;

     несанкционированный доступ к внутренним ресурсам корпоративной  локальной сети, получаемый злоумышленником  в результате несанкционированного входа в эту сеть.

     Защита  информации в процессе передачи по открытым каналам

     связи основана на выполнении следующих основных функций:

     аутентификации  взаимодействующих сторон;

     криптографическом закрытии (шифровании) передаваемых данных;

     проверке  подлинности и целостности доставленной информации.

     Для этих функций характерна взаимосвязь  друг с другом. Их реализация основана на использовании криптографических  методов защиты информации.

     Для защиты локальных сетей и отдельных  компьютеров от несанкционированных  действий со стороны внешней среды  обычно используют межсетевые экраны, поддерживающие безопасность информационного  взаимодействия путем фильтрации двустороннего  потока сообщений, а также выполнения функций посредничества при обмене информацией. Межсетевой экран располагают  на стыке между локальной и  открытой сетью. Для защиты отдельного удаленного компьютера, подключенного  к открытой сети, программное обеспечение  межсетевого экрана устанавливают  на этом же компьютере, и такой межсетевой экран называется персональным.

Защита  информации в процессе ее передачи по открытым каналам основана на построении защищенных виртуальных каналов  связи, называемых криптозащищенными  туннелями. Каждый такой туннель  представляет собой соединение, проведенное  через открытую сеть, по которому передаются криптографически защищенные пакеты сообщений.

     Создание  защищенного туннеля выполняют  компоненты виртуальной сети, функционирующие  на узлах, между которыми формируется  туннель. Эти компоненты принято  называть инициатором и терминатором туннеля. Инициатор туннеля инкапсулирует (встраивает) пакеты в новый пакет, содержащий наряду с исходными данными  новый заголовок с информацией  об отправителе и получателе. Хотя все передаваемые по туннелю пакеты являются пакетами IP, инкапсулируемые  пакеты могут принадлежать к протоколу  любого типа, включая пакеты немаршрутизируемых протоколов, таких, как NetBEUI. Маршрут  между инициатором и терминатором туннеля определяет обычная маршрутизируемая сеть IP, которая может быть и сетью  отличной от Интернет. Терминатор туннеля  выполняет процесс обратный инкапсуляции – он удаляет новые заголовки  и направляет каждый исходный пакет  в локальный стек протоколов или  адресату в локальной сети.

     Сама  по себе инкапсуляция никак не влияет на защищенность пакетов сообщений, передаваемых по туннелю. Но благодаря  инкапсуляции появляется возможность  полной криптографической защиты инкапсулируемых  пакетов. Конфиденциальность инкапсулируемых  пакетов обеспечивается путем их криптографического закрытия, то есть зашифровывания, а целостность и  подлинность – путем формирования цифровой подписи. Поскольку существует большое множество методов криптозащиты данных, очень важно, чтобы инициатор  и терминатор туннеля использовали одни и те же методы и могли согласовывать  друг с другом эту информацию.

     Кроме того, для возможности расшифровывания  данных и проверки цифровой подписи  при приеме инициатор и терминатор туннеля должны поддерживать функции  безопасного обмена ключами. Ну и  наконец, чтобы туннели создавались  только между уполномоченными пользователями, конечные стороны взаимодействия требуется  аутентифицировать.

     Технология  виртуальных частных сетей VPN позволяет  эффективно решать задачи, связанные  с циркуляцией конфиденциальной информации по каналам связи. Она  обеспечивает связь между сетями, а также между удаленным пользователем  и корпоративной сетью с помощью  защищенного канала (туннеля), «проложенного» в общедоступной сети Internet.

     Таким образом, на современном этапе развития, в условиях, когда филиалы одного и того же предприятия находятся  на значительном удалении друг от друга, потребность в оперативном и  надежном обмене информацией стала  наиболее острой. Использование дорогих  высокопропускных каналов связи  не всегда оказывается целесообразным и экономически выгодным. Развитие же средств связи, особенно недорогих  и наиболее доступных (например, Internet), приводит к тому, что их практическое использование, особенно предприятиями, становится все более массовым. В  этих условиях становится заманчивым их использование для передачи ценной корпоративной информации, убытки от потери или искажения которой  могут пагубно сказаться на деятельности компании. Поэтому использование  защищенных виртуальных частных  сетей VPN с учетом всех их достоинств становится все более актуальным и жизненно необходимым.

     Концепция таких сетей позволяет организовывать столь необходимый обмен информацией  внутри компании и с клиентами  при наилучшем сочетании производительности, оперативности, защищенности и стоимости. Надо предположить, что такие технологии, как VPN, будут активно развиваться, совершенствоваться и приобретать  все более массовый характер.

     Какова  бы ни была система защиты информации в конкретной организации, главное - помнить два основных правила.

     Первое: комплексная защита информации - это  прежде всего совокупность принятых в компании мер по защите, а не набор продуктов. Нельзя списывать  со счетов и то, что в обеспечении  информационной безопасности участвует  каждый сотрудник компании.

     Второе: основа любой системы защиты - люди. От того, насколько грамотно персонал настроит эксплуатируемые системы, как он готов реагировать на инциденты  в области безопасности, зависит  защищенность предприятия в целом.

     Что же касается технологий и конкретных средств защиты информации, то использование  антивирусов, межсетевых экранов и  механизмов разграничения доступа  обеспечивает лишь минимально необходимый  уровень защищенности, а применение дополнительных механизмов защиты должно определяться экономической целесообразностью. 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

2. Государственная  система управления  открытыми ключами

     Государственная система управления открытыми ключами  предназначена для обеспечения  возможности получения всеми  заинтересованными организациями  и физическими лицами информации об открытых ключах и их владельцах в Республике Беларусь и представляет собой систему взаимосвязанных и аккредитованных в ней поставщиков услуг.

     Основными функциями Государственной системы  управления открытыми ключами являются:

      регистрация владельцев личных ключей;

      издание, распространение и хранение сертификатов открытых ключей и списков отозванных сертификатов открытых ключей;

      создание  и сопровождение баз данных действующих  и отозванных сертификатов открытых ключей;

      внесение  сертификатов открытых ключей в базу данных действующих сертификатов открытых ключей;

      обеспечение доступности баз данных действующих  и отозванных сертификатов открытых ключей;

      отзыв сертификатов открытых ключей;

      достоверное подтверждение принадлежности открытого  ключа определенной организации или физическому лицу;

      хранение  карточек открытых ключей.

     Порядок функционирования Государственной  системы управления открытыми ключами  определяется положением о ней, утверждаемым совместным постановлением Совета Министров  Республики Беларусь и Национального  банка Республики Беларусь, если иное не предусмотрено Президентом Республики Беларусь.

     Аккредитацию  поставщиков услуг в Государственной  системе управления открытыми ключами  и контроль за соблюдением условий  аккредитации осуществляет Национальный банк Республики Беларусь.

     Условия аккредитации поставщиков услуг  в Государственной системе управления открытыми ключами, порядок проведения аккредитации и осуществления контроля за соблюдением ее условий устанавливаются  Национальным банком Республики Беларусь.

     Национальный  банк Республики Беларусь обеспечивает взаимодействие Государственной системы  управления открытыми ключами с  поставщиками услуг иностранных государств. 

3. Права и обязанности субъектов информационных отношений по защите информации

     Основным содержанием  информационных правоотношений являются:

           права, обязанности  и ответственность субъектов правоотношений при осуществлении информационной деятельности;

           поведение (действие, бездействие) субъектов при осуществлении информационной деятельности (приобретение прав на информацию, передача имущественных прав, купля-продажа информационных объектов, тиражирование и распространение информационных продуктов и т.д.).

     К объектам информационных правоотношений относятся:

      документированная информация;

      информационные  ресурсы;

      информационные  продукты;

      информационные  услуги;

информационные  системы;

      средства  и механизмы обеспечения информационной безопасности.

         Классификацию информационных правоотношений можно проводить либо по виду информации, либо на основе анализа информационных процессов в информационной сфере.

     По  виду информации информационные правоотношения можно подразделить на три большие  группы, имеющие общий характер:

      правоотношения  по поводу информации, которая находится  в гражданском обороте (имущественные  отношения);

          правоотношения по поводу информации, которая находится в административном обороте (регулирование общественных отношений, в том числе и в информационной сфере);

          правоотношения по поводу информации, которая находится в общественном (публичном) обороте (сведения информационного характера или массовая информация).

     В зависимости от того, в какой области  информационной сферы субъекты вступают в информационные правоотношения, им присущи различные права и  обязанности, а информационные процессы строятся по разным схемам.

     Информационные  правоотношения, возникающие при  осуществлении поиска, получения  и потребления информации.

     В этой области потребители информации реализуют свое конституционное право на поиск и получение информации любого вида и формы представления за исключением информации ограниченного доступа, порядок получения которой регламентируется особо. Они несут гражданско-правовую, административно-правовую и уголовную ответственность за неправомерное использование полученной информации. Потребители вступают в правоотношения с производителями информации. Производители подразделяются на два класса – государственные организации и органы местного самоуправления, действующие в соответствии с возложенными на них обязанностями по производству и распространению информации или авторы произведений и собственники информационных объектов. Производители обязаны предоставлять информацию, в указанных законом случаях, и несут ответственность за ее достоверность, полноту и своевременность предоставления.

     Информационные  правоотношения, возникающие при  производстве, передаче и распространении  информации, информационных ресурсов, информационных продуктов, информационных услуг.

     Данная  группа информационных правоотношений регулируется в зависимости от вида и формы производимой и распространяемой информации и степени ее открытости.

     Информационные  правоотношения в  области открытой информации носят  гражданско-правовой и административно-правовой характер. Основные правоотношения, возникающие при обороте открытой информации, связаны защитой личных неимущественных, личных имущественных прав и прав собственности на информационные объекты. Часть правоотношений, которые возникают при осуществлении органами государственной власти и местного самоуправления обязанностей по информированию потребителя и лицензированию коммерческих организаций, регулируется нормами административно-правового характера.

     У производителей открытой информации могут  возникать следующие права и  обязанности:

      право на создание произведений науки и  литературы;

право интеллектуальной собственности на результаты творческой деятельности и  право вещной собственности на документированную  информацию, отражающую эти результаты;

ограничение права на создание документированной  информации ограниченного доступа;

ограничение права на создание вредной, опасной  для общества информации;

обязанность по созданию информационных ресурсов в соответствии с установленной  компетенцией и предоставления информации из них потребителям информации;

          обязанность исполнения условий авторских договоров;

          ответственность за непредоставление информации;

ответственность за недостоверность создаваемой  информации, недоброкачественную и  ложную информацию и дезинформацию;

ответственность за качество информационных ресурсов, информационных продуктов, предоставления информационных услуг;

ответственность за создание и распространение контрафактных  экземпляров.

     Данный  перечень прав и обязанностей производителей информации не является исчерпывающим  и может быть расширен для конкретных информационных правоотношений.

     Информационные  правоотношения в области массовой информации носят конституционно-правовой и административно-правовой характер.

     У производителей массовой информации могут  возникать следующие права и  обязанности:

право на создание массовой информации;

право на защиту чести и достоинства;

право интеллектуальной собственности на распространяемые СМИ результаты творческой деятельности;

обязанность по достоверному, оперативному, полному  информированию населения (пользователей  Интернет);

обязанность по обеспечению гарантий свободы  слова, ограничение права на распространение  информации ограниченного доступа;

ограничение права на распространение вредной, опасной для общества информации;

ответственность за недостоверность создаваемой  информации, за недоброкачественную  и ложную информацию и дезинформацию, за введение цензуры.

     Информационные  правоотношения в области создания и распространения официальных  документов носят конституционно-правовой и административно-правовой характер.

     У производителей официальных документов могут возникать следующие обязанности:

обязанность по производству и распространению (или обеспечению распространения) нормативных правовых актов в  соответствии с установленной компетенцией;

обязанность за предоставление информации из таких  документов;

ответственность за создание официальных документов неудовлетворительного качества.

     Информационные  правоотношения в  области обязательно  представляемой документированной  информации регулируются нормами административно-правового  характера.

     Они возникают при подготовке отчетной и иной представляемой информации, а также выполнении органами исполнительной власти и местного самоуправления своих обязанностей по формированию информационных ресурсов обязательно представляемой документированной информации.

     У производителей обязательно представляемой документированной информации могут  возникать следующие обязанности:

обязанность подготовки и представления обязательных документов;

обязанность по созданию информационных ресурсов, содержащих обязательно представляемую информацию;

ответственность за использование этой информации исключительно  для исполнения установленных законом  функций и задач;

ответственность за недостоверность предоставляемой  информации, за недоброкачественную  и ложную информацию и дезинформацию.

     Информационные  правоотношения в области информации ограниченного доступа носят  административно-правовой и уголовно-правовой характер.

     Производство, передача и распространение информации ограниченного доступа, формирование и использование информационных ресурсов с такой информацией  осуществляются в условиях доступа  к ней специально подготовленных и официально допущенных лиц. Деятельность данных лиц строго регламентирована, а за неправомерные действия с  такой информацией, в зависимости  от тяжести деяния, наступает административная или уголовная ответственность.

     У производителей обязательной информации ограниченного доступа могут  возникать следующие обязанности:

обязанность по установлению состава информации ограниченного доступа;

обязанность по установлению информации, которая  не может относиться к категории  ограниченного доступа;

ограничение имущественных прав при отнесении  созданной автором информации к  государственной тайне;

обязанность лицензирования деятельности по обработке  информации ограниченного доступа;

обязанность по установлению ограничений по доступу  к информации ограниченного доступа;

обязанность по обеспечению защиты информации и  информационных ресурсов, содержащих такую информацию, от несанкционированного доступа;

ответственность за нарушение условий ограниченного  доступа, за разглашение информации ограниченного доступа.

     Информационные  правоотношения, возникающие при  создании и применении информационных систем, их сетей, средств обеспечения.

     В этой области информационные правоотношения между участниками регулируются в основном нормами гражданско-правового характера. Целью правового регулирования является защита личных неимущественных, личных имущественных прав и прав собственности на информационные системы, средства их обеспечения и сети. В отдельных случаях правовое регулирование осуществляется нормами административно-правового характера - при проектировании и эксплуатации государственных информационных систем и средств их обеспечения, а также при лицензировании организаций разработчиков. Создатели и субъекты, обеспечивающие эксплуатацию таких объектов, несут гражданско-правовую, административно-правовую и уголовную ответственность за создание недоброкачественных технологий и некачественную их эксплуатацию.