Защита информации в экономических информационных системах. 3

     Введение 

     Актуальность  проблемы защиты информации связана  с ростом возможностей вычислительной техники. Развитие средств, методов  и форм автоматизации процессов  обработки информации, массовость применения ПЭBM резко повышают уязвимость информации.

     Потребность в обеспечении безопасности связана  с тем, что существует множество  субъектов и структур, весьма заинтересованных в чужой информации и готовых  заплатить за это высокую цену. А ведь существуют и, соответственно, приобретаются устройства для несанкционированного доступа к информации и по другим каналам: проникновение в информационные системы, перехват и дешифровка сообщений  и т.д.

     Целью данной работы является обоснование  необходимости защиты информации в  экономических информационных системах, подробный анализ организации системы  защиты информации в экономических  информационных системах и ее эффективности.

     Для достижения поставленной цели необходимо решить следующие задачи: изучить  теоретические  аспекты защиты информации в экономических информационных системах, исследовать определение  понятия угрозы информационной безопасности в экономических информационных системах, рассмотреть основные способы  реализации угроз, привести вариант  их классификации, проанализировать современные  методы и средства защиты информации в экономических информационных системах и оценить их эффективность, а также рассмотреть основные принципы и этапы создания системы защиты информации экономических систем.  
 
 
 
 
 
 
 
 
 
 
 
 

     Глава 1. Организационно-экономическая сущность задачи 

     Проблема  защиты информации представляет собой  совокупность тесно связанных проблем  в областях права, организации управления, разработки технических средств, программирования и математики.

     Любой системе управления экономическим  объектом соответствует экономическая информационная система (ЭИС) или совокупность внутренних и внешних потоков прямой и обратной информационной связи экономического объекта, методов, средств, специалистов, участвующих в процессе обработки информации и выработке управляющих решений.¹

     Согласно  ФЗ «Об информации, информатизации и защите информации», принятому  в феврале 1995 г., информационная система  – это организационно упорядоченная  совокупность документов (массивов документов) и информационных технологий, в том  числе с использованием средств  вычислительной техники и связи, реализующих информационные процессы (процессы сбора, обработки, накопления, хранения, поиска и распространения  информации).²

     В связи с большим количеством  функциональных особенностей для ЭИС  может быть выделено множество различных  классификационных признаков. Так, в соответствии с уровнем применения и административным делением можно  различать ЭИС предприятия, района, области и государства.

     В экономике с учетом сферы применения выделяются:

     • банковские информационные системы;

     • информационные системы фондового  рынка;

     • страховые информационные системы;

     • налоговые информационные системы;

     • информационные системы промышленных предприятий и организаций (особое место по значимости и распространенности в них занимают бухгалтерские  ИС);

     • статистические информационные системы  и др.

     ЭИС накапливает и перерабатывает поступающую  учетную информацию и имеющиеся  нормативы, и планы в аналитическую  информацию - основу для прогнозирования  развития экономической системы, корректировки  ее целей и создания планов для  нового цикла воспроизводства.

       К обработке информации в ЭИС предъявляются следующие требования:

     1. полнота и достаточность информации для реализации функций управления

     2. своевременность предоставления информации

     3.соответствие уровню управления

     4.обеспечение достоверности информации

     5.экономичность обработки информации - затраты на обработку не должны превышать получаемый эффект

     6.адаптивность к изменяющимся информационный потребностям пользователей.

     Само  понятие информационной безопасности имеет смысл только для тех  систем, в которых эта проблема существовала и до их автоматизации. До применения компьютерных технологий в любой организации, для которой  безопасность информации имела определенное значение, был установлен определенный порядок работы с информацией (например, система работы с секретными документами  Министерства Обороны), регламентирующий информационные потоки внутри организации  и обмен информацией с внешним  миром. Этот порядок включал схему  информационных потоков внутри организации, а также процесс управления потоками информации в соответствии с набором правил.

     Решение этой задачи осуществляется последовательным осуществлением следующих действий:

1. Определение механизма, выражающего заданную схему информационных потоков и правил управления ими.
2. Построение модели безопасности, отражающей заданный порядок обработки информации, и формальное доказательство ее безопасности.
3. Реализация системы обработки информации в соответствии с предложенной моделью.

       В ходе осуществления данной последовательности действий разработчики сталкиваются с такими проблемами, как неполнота информации, сложность применения на практике разработанных концепций, необходимость добавления и удаления компонентов в систему, что может привести к расхождениям с установленной моделью безопасности и др.

     Однако, совершенно очевидно, что контроль доступа к объектам

системы имеет ключевое значение для обеспечения защиты информации и безопасности всей системы в целом.

     Поэтому в процессе обеспечения информационной безопасности любой экономической  системы крайне важен процесс  выявления угроз безопасности, возможных  каналов утечки информации и путей несанкционированного доступа к защищаемым данным, а также разработка действенных и экономически-эффективных мер предупреждения и устранения влияния данных факторов. 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

     Глава 2. Основные виды угроз  безопасности экономических  информационных систем. 

     2.1. Информационные угрозы.

     Под угрозой безопасности информации (информационной угрозой) понимается действие или событие, которое может привести к разрушению, искажению или несанкционированному использованию информационных ресурсов, включая хранимую, передаваемую и обрабатываемую информацию, а также программные и аппаратные средства.

     Если  ценность информации теряется при ее хранении и/или распространении, то реализуется угроза нарушения конфиденциальности информации. Если информация изменяется или уничтожается с потерей ее ценности, то реализуется угроза целостности информации. Если информация вовремя не поступает легальному пользователю, ценность ее уменьшается и со временем полностью обесценивается, т.е. реализуется угроза оперативности использования или доступности информации.

     Итак, реализация угроз информационной безопасности заключается в нарушении конфиденциальности, целостности и доступности информации.

     Информационные  угрозы могут быть обусловлены:

     - естественными факторами (стихийные  бедствия – пожар, наводнение,

     ураган, молния и другие причины);

     - человеческими факторами. Они,  в свою очередь, подразделяются

     на:

     – угрозы, носящие случайный, неумышленный характер, т.е. угрозы,

     связанные с ошибками процесса подготовки, обработки  и передачи информации; с нецеленаправленной «утечкой умов», знаний, информации (например, в связи с миграцией населения, выездом в другие страны, для воссоединения  с семьей и т.п.); с ошибками процесса проектирования, разработки и изготовления систем и их компонент; с ошибками в работе

     аппаратуры  из-за некачественного ее изготовления; с ошибками процесса подготовки и  обработки информации и т.д.

     – угрозы, обусловленные умышленными, преднамеренными действиями людей, т.е.  угрозы, связанные с передачей, искажением и уничтожением научных  открытий, изобретений секретов производства, новых технологий по корыстным и  другим антиобщественным мотивам; с  подслушиванием и передачей служебных  и других научно-технических и  коммерческих разговоров; с целенаправленной "утечкой умов", знаний информации (например, в связи с получением другого гражданства по корыстным  мотивам) и т.д.

     Умышленные  угрозы преследуют цель нанесения ущерба пользователям АИС и, в свою очередь, подразделяются на активные и пассивные.

     Пассивные угрозы, как правило, направлены на несанкционированное использование информационных ресурсов, не оказывая при этом влияния на их функционирование. Пассивной угрозой является, например, попытка получения информации, циркулирующей в каналах связи, посредством их прослушивания.

     Активные  угрозы имеют целью нарушение нормального процесса функционирования системы посредством целенаправленного воздействия на

     аппаратные, программные и информационные ресурсы. К активным угрозам относятся, например, разрушение или радиоэлектронное подавление линий связи, вывод из строя ПЭВМ или ее операционной системы, искажение  сведений в базах данных либо в  системной информации и т.д. Источниками  активных угроз могут быть непосредственные действия злоумышленников, программные  вирусы и т.п.

     Умышленные  угрозы также подразделяются на внутренние  (возникающие внутри управляемой организации) и внешние.

     Внутренние  угрозы чаще всего определяются социальной напряженностью и тяжелым моральным  климатом.

     Внешние угрозы могут определяться злонамеренными действиями конкурентов, экономическими условиями и другими причинами (например,

     стихийными  бедствиями).

     К основным угрозам безопасности относят:

     - раскрытие конфиденциальной информации;

     - компрометация информации;

     - несанкционированное использование  информационных ресурсов;

     - ошибочное использование ресурсов; несанкционированный обмен

     информацией;

     - отказ от информации;

     - отказ от обслуживания.

     Средствами  реализации угрозы раскрытия конфиденциальной информации могут быть несанкционированный доступ к базам данных, прослушивание каналов и т.п.

     Реализация  угроз является следствием одного из следующих действий и событий:

     -разглашение  конфиденциальной информации,

     -утечка  конфиденциальной информации 

     -несанкционированный  доступ к защищаемой информации.

     Разглашение информации ее владельцем или обладателем – есть умышленные или неосторожные действия должностных лиц и пользователей, которым соответствующие сведения в установленном порядке были доверены по службе или по работе, приведшие к ознакомлению с ним лиц, не допущенных к этим сведениям.

     Утечка  конфиденциальной информации – это бесконтрольный выход

     конфиденциальной  информации за пределы ИС или круга  лиц, которым она была доверена по службе или стала известна в процессе работы. Эта утечка может быть следствием:

     - разглашения конфиденциальной информации;

     - ухода информации по различным,  главным образом, техническим  каналам;

     - несанкционированного доступа к  конфиденциальной информации различными  способами.

     Под каналом утечки информации понимается физический путь от источника конфиденциальной информации к злоумышленнику, по которому возможна утечка или несанкционированное  получение охраняемых сведений. Для  возникновения (образования, установления) канала утечки информации необходимы определенные пространственные, энергетические и временные условия, а также  соответствующие средства восприятия и фиксации информации на стороне  злоумышленника.

     Применительно к практике с учетом физической природы  образования каналы утечки информации можно разделить на следующие  группы:

     - визуально-оптические;

     - акустические (включая и акустико-преобразовательные);

     - электромагнитные (включая магнитные  и электрические);

     -материально-вещественные (бумага, фото, магнитные носители, производственные  отходы различного вида – твердые,  жидкие, газообразные).

     Причины утечки связаны, как правило, с несовершенством  норм по сохранению информации, а также  нарушением этих норм (в том числе  и несовершенных), отступлением от правил обращения с соответствующими документами, техническими средствами, образцами  продукции и другими материалами, содержащими конфиденциальную информацию.

     К факторам утечки могут, например, относиться:

     - недостаточное знание работниками  предприятия правил защиты информации  и непонимание (или недопонимание)  необходимости их тщательного  соблюдения;

     - использование неаттестованных  технических средств обработки

     конфиденциальной  информации;

     - слабый контроль за соблюдением  правил защиты информации

     правовыми, организационными и инженерно-техническими мерами.

     Несанкционированный доступ (НСД).

     Это наиболее распространенный вид информационных угроз, который заключается в  получении пользователем доступа  к объекту, на который у него нет  разрешения в соответствии с принятой в организации политикой безопасности. Обычно самая главная проблема определить, кто и к каким наборам данных должен иметь доступ, а кто - нет.

     По  характеру, воздействия НСД является активным воздействием, использующим ошибки системы. НСД обращается обычно непосредственно к требуемому набору данных, либо воздействует на информацию о санкционированном доступе  с целью легализации НСД. НСД  может быть подвержен любой объект системы. НСД может быть осуществлен  как стандартными, так и специально разработанными программными средствами к объектам.

     Есть  и достаточно примитивные пути несанкционированного доступа:

     - хищение носителей информации  и документальных отходов;

     - инициативное сотрудничество;

     - склонение к сотрудничеству со  стороны взломщика;

     - выпытывание;

     - подслушивание;

     - наблюдение и другие пути.

     Любые способы утечки конфиденциальной информации могут привести к значительному  материальному и моральному ущербу как для организации, где функционирует  ИС, так и для ее пользователей.

     Менеджерам  следует помнить, что довольно большая  часть причин и условий, создающих  предпосылки и возможность неправомерного овладения конфиденциальной информацией, возникает из-за элементарных недоработок  руководителей организаций и  их сотрудников. Например, к причинам и условиям, создающим предпосылки  для утечки коммерческих секретов, могут относиться:

     - недостаточное знание работниками  организации правил защиты

     конфиденциальной  информации и непонимание необходимости  их

     тщательного соблюдения;

     - использование неаттестованных  технических средств обработки

     конфиденциальной  информации;

     - слабый контроль за соблюдением  правил защиты информации

     правовыми организационными и инженерно- техническими мерами и др.

     Уничтожение компьютерной информации – это стирание ее в памяти ЭВМ, удаление с физических носителей, а также несанкционированные изменения составляющих ее данных, кардинально меняющие содержание (например, введение ложной информации, добавление, изменение, удаление записей). Одновременный перевод информации на другой машинный носитель не считается в контексте уголовного закона уничтожением компьютерной информации лишь в том случае, если в результате этих действий доступ правомерных пользователей к информации не оказался существенно затруднен либо исключен.

     Имеющаяся у пользователя возможность восстановить уничтоженную

     информацию  с помощью средств программного обеспечения или получить данную информацию от другого пользователя не освобождает виновного от ответственности.

     Уничтожением  информации не является переименование файла, где она содержится, а также  само по себе автоматическое "вытеснение" старых версий файлов последними по времени.

     Блокирование  компьютерной информации – это искусственное затруднение доступа пользователей к компьютерной информации, не связанное с ее уничтожением. Другими словами, это совершение с информацией действий, результатом которых является невозможность получения или использование ее по назначению при полной сохранности самой информации.

     Компрометация информации, как правило, реализуется посредством

     внесения  несанкционированных изменений  в базы данных, в результате чего ее потребитель вынужден либо отказаться от нее, либо предпринимать дополнительные усилия для выявления изменений  и восстановления истинных сведений.

     В случае использования скомпрометированной  информации потребитель подвергается опасности принятия неверных решений  со всеми вытекающими последствиями.

     Модификация компьютерной информации – это внесение в нее любых изменений, кроме связанных с адаптацией программы для ЭВМ или базы данных.

     Адаптация программы для ЭВМ или базы данных – «это внесение изменений, осуществляемых исключительно в  целях обеспечения функционирования программы для ЭВМ или базы данных на конкретных технических средствах  пользователя или под управлением  конкретных программ пользователя» (ч.1 ст.1 Закона РФ от 23 сентября 1992 года "О правовой охране программ для электронных вычислительных машин и баз данных"). Другими словами это означает изменение ее содержания по сравнению с той информацией, которая первоначально (до совершения деяния) была в распоряжении собственника или законного пользователя.

     Копирование компьютерной информации – изготовление и устойчивое запечатление второго и последующих экземпляров базы данных, файлов в любой материальной форме, а также их запись на машинный носитель, в память ЭВМ.

     Отказ в обслуживании представляет собой весьма существенную и распространенную угрозу, источником которой является сама АИС. Подобный отказ особенно опасен в ситуациях, когда задержка с предоставлением ресурсов абоненту может привести к тяжелым для него последствиям. Так, отсутствие у пользователя данных, необходимых для принятия решения, в течение периода, когда это решение еще может быть эффективно реализовано, может стать причиной его нерациональных действий.³

     Каждая  из угроз по разному воздействует на информационные системы.

     Способы воздействия угроз на информационные объекты подразделяются на:

     а) информационные;

     б) программно-математические;

     в) физические;

     г) радиоэлектронные;

     д) организационно-правовые.

     К информационным способам относятся:

     – нарушение адресности и своевременности  информационного обмена,

     противозаконный сбор и использование информации;

     – несанкционированный доступ к информационным ресурсам;

     – манипулирование информацией (дезинформация, сокрытие или сжатие

     информации);

     – нарушение технологии обработки  информации.

     Программно-математические способы включают:

     – внедрение компьютерных вирусов;

     – установка программных и аппаратных закладных устройств;

     – уничтожение или модификацию  данных в автоматизированных

     информационных  системах.

     Физические  способы включают:

     – уничтожение или разрушение средств  обработки информации и связи;

     – уничтожение, разрушение или хищение  машинных или других носителей

     информации;

     – хищение программных или аппаратных ключей и средств криптографической  защиты информации;

     – воздействие на персонал;

     – перехват, дешифровка и навязывание  ложной информации в сетях передачи

     данных  и линиях связи;

     – воздействие на парольно-ключевые системы;

     Радиоэлектронными способами являются:

     – перехват информации в технических  каналах ее возможной утечки;

     – внедрение электронных устройств  перехвата информации в технические  средства и помещения;

     – перехват, дешифровка и навязывание  ложной информации в сетях передачи данных и линиях связи;

     – радиоэлектронное подавление линий  связи и систем управления.

     Организационно-правовые способы включают:

     – невыполнение требований законодательства о задержке в принятии

     необходимых нормативно-правовых положений в  информационной сфере;

     – неправомерное ограничение доступа  к документам, содержащим важную для  граждан и организаций информацию.

     Суть  подобных угроз сводится, как правило, к нанесению того или иного  ущерба предприятию.

     Проявления  возможного ущерба могут быть самыми различными:

     - моральный и материальный ущерб  деловой репутации организации;

     - моральный, физический или материальный  ущерб, связанный с

     разглашением  персональных данных отдельных лиц;

     - материальный (финансовый) ущерб от  разглашения защищаемой

     (конфиденциальной) информации;

     - материальный (финансовый) ущерб от  необходимости восстановления нарушенных  защищаемых информационных ресурсов;

     - материальный ущерб (потери) от  невозможности выполнения взятых  на себя обязательств перед  третьей стороной;

     - моральный и материальный ущерб  от дезорганизации в работе  всего

     предприятия.

     Непосредственный  вред от реализованной угрозы, называется воздействием угрозы.

     Идентификация угроз предполагает рассмотрение воздействий  и последствий от реализации угроз. Обычно воздействие угроз приводит к раскрытию, модификации, разрушению информации или отказу в информационном обслуживании. Более значительные долговременные последствия реализации угрозы приводят к потере бизнеса, нарушению тайны, гражданских прав, потере адекватности данных, потере человеческой жизни  и иным долговременным эффектам.