Факторы, влияющие на требуемый уровень защиты информации

Брянская  государственная инженерно-технологическая  академия

Кафедра информационных технологий 
 
 
 
 

Расчётно-графическая  работа

по  дисциплине

«Информационная безопасность и защита информации»  

Тема: «  Факторы, влияющие на требуемый уровень защиты информации  » 
 
 
 
 

 Выполнил:

  ст. гр. ИСТ – 401

   Сухоруков Р.А. 

    Проверил:

     Медведев И. И. 
 
 

Брянск 2011

 

Содержание

Введение-----------------------------------------------------------------------------------------3

1. Выбор объекта защиты информации--------------------------------------------------4
2. Факторы, влияющие на требуемый уровень защиты информации--------------5
1. Перечень объективных факторов, воздействующих на безопасность защищаемой информации------------------------------------------------------------5
2. Перечень объективных факторов, воздействующих на безопасность защищаемой информации------------------------------------------------------------9
3. Меры по обеспечению информационной безопасности--------------------------14

Заключение-------------------------------------------------------------------------------------21

Список  используемых источников--------------------------------------------------------22 

 
Введение

      Начало 20в. знаменуется бурным развитием  информационных технологий во всех сферах жизни общества. При этом информация все в большей мере становится стратегическим ресурсом, производительной силой и дорогим товаром. Это не может не вызывать стремление государств, организаций и отдельных граждан получить преимущество за счет владения информацией, недоступной оппонентам, а также за счет нанесения ущерба информационным ресурсам противника (конкурента) и защиты своих информационных ресурсов.

      Так как, информация является предметом  собственности (отдельного лица, коллектива,  государства), то неминуемо возникают угрозы безопасности этой информации, состоящие  в неконтролируемом ее распространении, хищении, несанкционированном уничтожении, искажении, блокировании доступа к информации. Поэтому возникает проблема защиты информации от утечки и  несанкционированных  воздействий на информацию и ее носители, а также предотвращения других форм незаконного вмешательства в информационные ресурсы и информационные  системы.  Следовательно, понятие “Защита информации” становится основополагающим и рассматривается как деятельность или  процесс,  направленный  на предотвращение утечки защищаемой информации, а также на предотвращение различного  рода несанкционированных воздействий на информацию и ее носители.

     Комплексное обеспечение информационной безопасности может быть реализовано, если создана и функционирует система защиты информации, охватывающая весь жизненный цикл прохождения информации – от идеи и разработки проекта до утилизации изделия – и всю технологическую цепочку сбора, хранения, обработки и передачи информации в компьютерных системах и коммуникациях. 
                                    1. Выбор объекта защиты информации

     К объектам ИБ относится то, что так  или иначе защищалось от «постороннего» взгляда или вмешательства: информационные ресурсы, независимо от форм хранения, содержащие данные, составляющие государственную тайну и другие конфиденциальные сведения; информационные системы различных классов и разного назначения (регламенты и процедуры сбора, хранения, обработки и передачи информации, базы и банки данных, архивы, библиотеки, информационные технологии, средства теледоступа); информационная инфраструктура и её элементы; центры обработки и анализа информации; каналы информационного обмена и телекоммуникации; механизмы обеспечения функционирования телекоммуникационных систем и сетей, в том числе и сами системы и средства защиты процессов переработки информации.

      В своей расчетно-графической работе я буду описывать факторы, влияющие на требуемый уровень защиты информации офиса.

 

2.Факторы, влияющие на требуемый уровень защиты информации.

     Факторы, влияющие на уровень защиты информации, систематизированы в ГОСТ Р 51275-2006.

      Факторы, которые  воздействуют или могут воздействовать на безопасность защищаемой информации и подлежащие учету при организации защиты информации, по признаку отношения к природе возникновения подразделяют на классы: объективные и субъективные.

     По  отношению к объекту информатизации факторы, воздействующие на безопасность защищаемой информации, подразделяют на внутренние и внешние.

2.1 Перечень объективных факторов, воздействующих на безопасность защищаемой информации

Внутренние  факторы

1. Передача сигналов:

а) по проводным линиям связи;

б) по оптико-волоконным линиям связи;

в) в диапазоне радиоволн и в  оптическом диапазоне длин волн.

2. Излучения сигналов, функционально присущие техническим средствам [устройствам] (далее -ТС) ОИ:

а) излучения акустических сигналов:

1) сопутствующие работе технических  средств [устройств] обработки  и передачи информации (далее  - ТС ОП И);

2) сопутствующие произносимой или воспроизводимой ТС речи;

б) электромагнитные излучения и поля:

1) излучения в радиодиапазоне;

2) излучения в оптическом диапазоне.

3. Побочные электромагнитные излучения:

а) элементов (устройств) ТС ОПИ;

б) на частотах работы высокочастотных генераторов устройств, входящих в состав ТС ОПИ:

1) модуляция побочных электромагнитных  излучений информативным сигналом, сопровождающим работу ТС ОПИ;

2) модуляция побочных электромагнитных  излучений акустическим сигналом, сопровождающим работу ТС ОПИ;

в) на частотах самовозбуждения усилителей, входящих в состав ТС ОПИ.

4. Паразитное электромагнитное излучение:

а) модуляция паразитного электромагнитного  излучения информационными сигналами;

б) модуляция паразитного электромагнитного  излучения акустическими сигналами.

5. Наводка:

а) в электрических цепях ТС, имеющих  выход за пределы ОИ;

б) в линиях связи:

1) вызванная побочными и (или)  паразитными электромагнитными  излучениями, несущими информацию;

2) вызванная внутренними емкостными  и (или) индуктивными связями;

в) в цепях электропитания:

1) вызванная побочными и (или)  паразитными электромагнитными  излучениями, несущими информацию;

2) вызванная внутренними емкостными  и (или) индуктивными связями;

3) через блоки питания ТС ОИ;

г) в цепях заземления:

1) вызванная побочными и (или) паразитными электромагнитными излучениями, несущими информацию;

2) вызванная внутренними емкостными  и (или) индуктивными связями;

3) обусловленная гальванической связью  схемной (рабочей) «земли» узлов  и блоков ТС ОИ;

д) в технических средствах, проводах, кабелях и иных токопроводящих коммуникациях и конструкциях, гальванически не связанных с ТС ОИ, вызванная побочными и (или) паразитными электромагнитными излучениями, несущими информацию.

6. Наличие акустоэлектрических преобразователей в элементах ТС ОИ.

7. Дефекты, сбои и отказы, аварии ТС и систем ОИ.

8. Дефекты, сбои и отказы программного обеспечения ОИ.

Внешние факторы

1. Явления техногенного характера:

а) непреднамеренные электромагнитные облучения  ОИ;

б) радиационные облучения ОИ;

в) сбои, отказы и аварии систем обеспечения  ОИ.

2. Природные явления, стихийные бедствия:

а) термические факторы (пожары и т.д.);

б) климатические факторы (наводнения и т.д.);

в) механические факторы (землетрясения  и т.д.);

г) электромагнитные факторы (грозовые разряды и т.д.);

д) биологические факторы (микробы, грызуны  и т.д.);

е) химические факторы (химически агрессивные  среды и т.д.). 
 

 

2.2 Перечень субъективных факторов, воздействующих на безопасность защищаемой информации

Внутренние  факторы

1. Разглашение защищаемой информации лицами, имеющими к ней право доступа, через:

а) лиц, не имеющих права доступа  к защищаемой информации;

б) передачу информации по открытым линиям связи;

в) обработку информации на незащищенных ТС обработки информации;

г) опубликование информации в открытой печати и других средствах массовой информации;

д) копирование информации на незарегистрированный носитель информации;

е) передачу носителя информации лицам, не имеющим права доступа к ней;

ж) утрату носителя информации.

2. Неправомерные действия со стороны лиц, имеющих право доступа к защищаемой информации, путем:

а) несанкционированного изменения информации;

б) несанкционированного копирования  защищаемой информации.

3. Несанкционированный доступ к информации путем:

а) подключения к техническим средствам и системам ОИ;

б) использования закладочных средств [устройств];

в) использования программного обеспечения  технических средств ОИ через:

1) маскировку под зарегистрированного  пользователя;

2) дефекты и уязвимости программного  обеспечения ОИ;

3) внесение программных закладок;

4) применение вирусов или другого  вредоносного программного кода (троянские программы, клавиатурные  шпионы, активное содержимое документов);

г) хищения носителя защищаемой информации;

д) нарушения функционирования ТС обработки информации.

4. Недостатки организационного обеспечения защиты информации при:

а) задании требований по защите информации (требования противоречивы, не обеспечивают эффективную защиту информации и  т.д.);

б) несоблюдении требований по защите информации;

в) контроле эффективности защиты информации.

5. Ошибки обслуживающего персонала ОИ при:

а) эксплуатации ТС;

б) эксплуатации программных средств;

в) эксплуатации средств и систем защиты информации. 
 

Внешние факторы

1. Доступ к защищаемой информации с применением технических средств:

а) разведки:

1) радиоэлектронной;

2) оптико-электронной;

3) фотографической;

4) визуально-оптической;

5) акустической;

6) гидроакустической;

7) технической компьютерной;

б) съема информации.

2. Несанкционированный доступ к защищаемой информации путем:

а) подключения к техническим средствам  и системам ОИ;

б) использования закладочных средств [устройств];

в) использования программного обеспечения  технических средств ОИ через:

1) маскировку под зарегистрированного  пользователя;

2) дефекты и уязвимости программного  обеспечения ОИ;

3) внесение программных закладок;

4) применение вирусов или другого  вредоносного программного кода (троянские программы, клавиатурные  шпионы, активное содержимое документов);

г) несанкционированного физического доступа к ОИ;

д) хищения носителя информации.

3. Блокирование доступа к защищаемой информации путем перегрузки технических средств обработки информации ложными заявками на ее обработку.

4. Действия криминальных групп и отдельных преступных субъектов:

а) диверсия в отношении ОИ;

б) диверсия в отношении элементов  ОИ.

5. Искажение, уничтожение или блокирование информации с применением технических средств путем:

а) преднамеренного силового электромагнитного  воздействия:

1) по сети электропитания на порты электропитания постоянного и переменного тока;

2) по проводным линиям связи  на порты ввода-вывода сигналов  и порты связи;

3) по металлоконструкциям на порты  заземления и порты корпуса;

4) посредством электромагнитного  быстроизменяющегося поля на порты корпуса, порты ввода-вывода сигналов и порты связи;

б) преднамеренного силового воздействия  различной физической природы;

в) использования программных или  программно-аппаратных средств при  осуществлении:

1) компьютерной атаки;

2) сетевой атаки;

г) воздействия программными средствами в комплексе с преднамеренным силовым электромагнитным воздействием.

 

3.Меры  по обеспечению  информационной безопасности

   Практической  реализацией политики (концепции) информационной безопасности офиса является технологическая система защиты информации. Защита информации представляет собой жестко регламентированный и динамический технологический процесс, предупреждающий нарушение доступности, целостности, достоверности и конфиденциальности ценных информационных ресурсов и, в конечном счете, обеспечивающий достаточно надежную безопасность информации в процессе управленческой и производственной деятельности.

     Система защиты информации — рациональная совокупность направлений, методов, средств и мероприятий, снижающих уязвимость информации и препятствующих несанкционированному доступу к информации, ее разглашению или утечке.

     Главными требованиями к организации эффективного функционирования системы являются: персональная ответственность руководителей и сотрудников за сохранность носителя и конфиденциальность информации, регламентация состава конфиденциальных сведений и документов, подлежащих защите, регламентация порядка доступа персонала к конфиденциальным сведениям и документам, наличие специализированной службы безопасности, обеспечивающей практическую реализацию системы защиты и нормативно-методического обеспечения деятельности этой службы.

     Собственники  информационных ресурсов, в том числе  государственные учреждения, организации и предприятия, самостоятельно определяют (за исключением информации, отнесенной к государственной тайне) необходимую степень защищенности ресурсов и тип системы, способы и средства защиты, исходя из ценности информации. Ценность информации и требуемая надежность ее защиты находятся в прямой зависимости. Важно, что структура системы защиты должна охватывать не только электронные информационные системы, а весь управленческий комплекс фирмы в единстве его реальных функциональных и производственных подразделений, традиционных документационных процессов. Отказаться от бумажных документов и часто рутинной, исторически сложившейся управленческой технологии не всегда представляется возможным, особенно если вопрос стоит о безопасности ценной, конфиденциальной информации.

     Основной  характеристикой системы является ее комплексность, т.е. наличие в ней обязательных элементов, охватывающих все направления защиты информации. Соотношение элементов и их содержания обеспечивают индивидуальность построения системы защиты информации конкретной фирмы и гарантируют неповторимость системы, трудность ее преодоления. Конкретную систему защиты можно представить в виде кирпичной стены, состоящей из множества разнообразных элементов (кирпичиков). Элементами системы являются: правовой, организационный, инженерно-технический, программно-аппаратный и криптографический.

     Правовой  элемент системы защиты информации основывается на нормах информационного права и предполагает юридическое закрепление взаимоотношений фирмы и государства по поводу правомерности использования системы защиты информации, фирмы и персонала по поводу обязанности персонала соблюдать установленные собственником информации ограничительные и технологические меры защитного характера, а также ответственности персонала за нарушение порядка защиты информации. Этот элемент включает:

• наличие  в организационных документах фирмы, правилах внутреннего трудового распорядка, контрактах, заключаемых с сотрудниками, в должностных и рабочих инструкциях положений и обязательств по защите конфиденциальной информации;

• формулирование и доведение до сведения всех сотрудников фирмы (в том числе не связанных с конфиденциальной информацией) положения о правовой ответственности за разглашение конфиденциальной информации, несанкционированное уничтожение или фальсификацию документов;

• разъяснение  лицам, принимаемым на работу, положения  о добровольности принимаемых ими на себя ограничений, связанных с выполнением обязанностей по защите информации.

     Организационный элемент системы защиты информации содержит меры управленческого, ограничительного (режимного) и технологического характера, определяющие основы и содержание системы защиты, побуждающие персонал соблюдать правила защиты конфиденциальной информации фирмы. Эти меры связаны с установлением режима конфиденциальности в фирме. Элемент включает в себя регламентацию:

• формирования и организации деятельности службы безопасности и службы

конфиденциальной  документации (или менеджера по безопасности, или референта первого руководителя), обеспечения деятельности этих служб (сотрудника) нормативно-методическими документами по организации и технологии защиты информации;

• составления  и регулярного обновления состава (перечня, списка, матрицы) защищаемой информации фирмы, составления и ведения перечня (описи) защищаемых бумажных, машиночитаемых и электронных документов фирмы;

• разрешительной системы (иерархической схемы) разграничения  доступа персонала к защищаемой информации;

• методов  отбора персонала для работы с  защищаемой информацией, методики обучения и инструктирования сотрудников;

• направлений и методов воспитательной работы с персоналом, контроля соблюдения сотрудниками порядка защиты информации;

• технологии защиты, обработки и хранения бумажных, машиночитаемых и электронных документов фирмы (делопроизводственной, автоматизированной и смешанной технологий); внемашинной технологии защиты электронных документов;

• порядка  защиты ценной информации фирмы от случайных или умышленных

несанкционированных действий персонала;

• ведения  всех видов аналитической работы;

• порядка  защиты информации при проведении совещаний, заседаний, переговоров, приеме посетителей, работе с представителями рекламных агентств, средств массовой информации;

• оборудования и аттестации помещений и рабочих  зон, выделенных для работы с конфиденциальной информацией, лицензирования технических систем и средств защиты информации и охраны, сертификации информационных систем, предназначенных для обработки защищаемой информации;

• пропускного  режима на территории, в здании и  помещениях фирмы, идентификации персонала и посетителей;

• системы  охраны территории, здания, помещений, оборудования, транспорта и

персонала фирмы;

• действий персонала в экстремальных ситуациях;

• организационных  вопросов приобретения, установки и  эксплуатации технических средств защиты информации и охраны;

• организационных  вопросов защиты персональных компьютеров, информационных систем, локальных сетей;

• работы по управлению системой защиты информации;

• критериев  и порядка проведения оценочных  мероприятий по установлению степени эффективности системы защиты информации.

     Элемент организационной защиты является стержнем, основной частью рассматриваемой комплексной системы. По мнению большинства специалистов, меры организационной защиты информации составляют 50—60% в структуре большинства систем защиты информации. Это связано с рядом факторов и также с тем, что важной составной частью организационной защиты информации является подбор, расстановка и обучение персонала, который будет реализовывать на практике систему защиты информации.

     Сознательность, обученность и ответственность персонала можно с полным правом назвать краеугольным камнем любой даже самой технически совершенной системы защиты информации. Организационные меры защиты отражаются в нормативно-методических документах службы безопасности. В этой связи часто используется единое название двух рассмотренных выше элементов системы защиты — «элемент организационно-правовой защиты информации».

     Инженерно-технический  элемент системы защиты информации предназначен для пассивного и активного противодействия средствам технической разведки и формирования рубежей охраны территории, здания, помещений и оборудования с помощью комплексов технических средств. При защите информационных систем этот элемент имеет весьма важное значение, хотя стоимость средств технической защиты и охраны велика. Элемент включает в себя: