Информационная безопасность. 17

                     Федеральное агентство  РФ по связи и информатики.

Сибирский государственный  университет  телекоммуникаций и  информатики.

Кафедра ПДС  и М.

 

 

 

 

 

 

 

 

 

 

Реферат на тему: Информационная безопасность

 

 

 

                                                                                                                                                                                                   

 

 

                                                                        Выполнила: студентка группы А-04

Салчак Чинчи Алексеевна                            

Проверил: профессор  Шувалов В.П

 

 

 

 

 

 

                            

                               Новосибирск  2010

 

                                   Содержание

 

 

Введение_________________________________________________________3

1.Основные понятия________________________________________________4

2.Концепция информационной безопасности

   2.1. Основные концептуальные положения системы защиты

          информации________________________________________________7

   2.2. Концептуальная модель информационной безопасности__________12

3.Необходимость защиты информации_______________________________13

4.Наиболее распространенные угрозы________________________________14

5.Управленческие меры обеспечения информационной безопасности_____17

6.Политика безопасности__________________________________________ 18

Заключение ______________________________________________________22

Литература ______________________________________________________24

 

 

 

 

 

 

 

 

 

 

 

                                       

 

 

                                      Введение

 

    Защита данных в компьютерных сетях становится одной из самых открытых проблем в современных информационно-вычислительных системах. Информация, находящаяся на электронных носителях играет все большую роль в жизни современного общества. Уязвимость такой информации обусловлена целым рядом факторов: огромные объемы, многоточечность и возможная анонимность доступа, возможность "информационных диверсий"... Все это делает задачу обеспечения защищенности информации, размещенной в компьютерной среде, гораздо более сложной проблемой, чем, скажем, сохранение тайны традиционной почтовой переписки.

    Вследствие этого настоящая работа посвящена именно проблеме обеспечения информационной безопасности именно в компьютерной среде. Если говорить о безопасности информации, сохраняющейся на "традиционных" носителях (бумага, фотоотпечатки и т.п.), то ее сохранность достигается соблюдением мер физической защиты (т.е. защиты от несанкционированного проникновения в зону хранения носителей). Другие аспекты защиты такой информации связаны со стихийными бедствиями и техногенными катастрофами. Таким образом, понятие "компьютерной" информационной безопасности в целом является более широким по сравнению с информационной безопасностью относительно "традиционных" носителей.

   Если говорить о различиях в подходах к решению проблемы информационной безопасности на различных уровнях (государственном, региональном, уровне одной организации), то такие различия просто не существуют. Подход к обеспечению безопасности Государственной автоматизированной системы "Выборы" не отличается от подхода к обеспечению безопасности локальной сети в маленькой фирме. Поэтому принципы обеспечения информационной безопасности в данной работе рассматриваются на примерах деятельности отдельной организации.

  И еще основное внимание уделяется защите конфиденциальной информации, с которой большей частью встречаются предприниматели негосударственного сектора экономики. Люди осознают и отдают себе отчет в сложности проблемы защиты информации вообще, и с помощью технических средств в частности.

                    

                           ОСНОВНЫЕ ПОНЯТИЯ

 

"ИНФОРМАЦИОННАЯ  БЕЗОПАСНОСТЬ - это состояние защищенности информации среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, государств" (Закон РФ "Об участии в международном информационном обмене").

 

    Постулаты

Информация - это всеобщее свойство материи.

Любое взаимодействие в природе и обществе основано на информации.

Всякий процесс  совершения работы есть процесс информационного  взаимодействия.

Информация - продукт отражения действительности.

Действительность  отражается в пространстве и времени.

Ничего не происходит из ничего.

Информация  сохраняет значение в неизменном виде до тех пор, пока остается в  неизменном виде носитель информации - ПАМЯТЬ.

Ничто не исчезает просто так.

 

   Понятие "информация" сегодня употребляется весьма широко и разносторонне. Трудно найти такую область знаний, где бы оно не использовалось. Огромные информационные потоки буквально захлестывают людей. Объем научных знаний, например, по оценке специалистов, удваивается, каждые пять лет. Такое положение приводит к заключению, что XXI век будет веком торжества теории и практики ИНФОРМАЦИИ - информационным веком.

   Правомерно задать вопрос: что же такое информация? В литературе дается такое определение: информация - сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления. Известно, что информация может иметь различную форму, включая данные, заложенные в компьютерах, "синьки", кальки, письма или памятные записки, досье, формулы, чертежи, диаграммы, модели продукции и прототипы, диссертации, судебные документы и др.

  Как и всякий продукт, информация имеет потребителей, нуждающихся в ней, и потому обладает определенными потребительскими качествами, а также имеет и своих обладателей или производителей.

   С точки зрения потребителя качество используемой информации позволяет получать дополнительный экономический или моральный эффект.

   С точки зрения обладателя - сохранение в тайне коммерчески важной информации позволяет успешно конкурировать на рынке производства, и сбыта товаров и услуг. Это, естественно, требует определенных действий, направленных на защиту конфиденциальной информации.

    Понимая под безопасностью состояние защищенности жизненно важных интересов личности, предприятия, государства от внутренних и внешних угроз, можно выделить и компоненты безопасности - такие, как персонал, материальные и финансовые средства и информацию. 

  Проблема обеспечения безопасности носит комплексный характер, для ее решения необходимо сочетание законодательных, организационных и программно-технических мер. К сожалению, законодательная база еще отстает от потребностей практики. Имеющиеся в России законы и указы носят в основном запретительный характер. В то же время следует учитывать, что в нашей стране доминирует зарубежное аппаратно-программное обеспечение. В условиях ограничений на импорт и отсутствия межгосударственных соглашений о взаимном признании сертификатов, потребители, желающие быть абсолютно законопослушными, оказываются по существу в безвыходном положении - у них нет возможности заказать и получить "под ключ" современную систему, имеющую сертификат безопасности.

   Общество в целом зависит от компьютеров, поэтому сегодня проблема информационной безопасности - это проблема всего общества. В других странах это поняли довольно давно. Так, в США в 1987 году был принят закон о компьютерной безопасности - Computer Security Act, вступивший в силу в сентябре 1988 года. Этот закон предусматривает комплекс мер по обучению пользователей, имеющих дело с критичной информацией, по подготовке разъяснительных руководств и т.д., без чего сознательное поддержание режима безопасности просто невозможно. И данный закон действительно выполняется.

   Следующим после законодательного можно назвать управленческий уровень. Руководство каждой организации должно осознать необходимость поддержания режима безопасности и выделения на эти цели соответствующих ресурсов. Главное, что должен обеспечить управленческий уровень, - это выработать политику обеспечения информационной безопасности, определяющую общему направлению работ.

   Применительно к персоналу, работающему с информационными системами, используются организационные и программно-технические меры обеспечения информационной безопасности. Сюда следует отнести методики подбора персонала, его обучения, обеспечения дисциплины. Важным элементом являются также меры по физической защите помещений и оборудования.

   Для поддержания режима информационной безопасности особенно важны программно-технические меры, поскольку основная угроза компьютерным системам исходит от них самих: сбои оборудования, ошибки программного обеспечения, промахи пользователей и администраторов и т.п.

 

          2.Концепция информационной безопасности

 

2.1 Основные концептуальные положения системы защиты информации.

   Анализ состояния дел в сфере защиты информации показывает, что уже сложилась вполне сформировавшаяся концепция и структура защиты, основу которой составляют:

 -весьма развитый арсенал технических средств защиты информации,          производимых на промышленной основе;

-значительное число фирм, специализирующихся на решении вопросов защиты информации;

-достаточно четко очерченная система взглядов на эту проблему;

-наличие значительного практического опыта и др.

И, тем не менее, как свидетельствует отечественная  и зарубежная печать, злоумышленные  действия над информацией не только не уменьшаются, но и имеют достаточно устойчивую тенденцию к росту. Опыт показывает, что для борьбы с этой тенденцией необходима стройная и целенаправленная организация процесса защиты информационных ресурсов. Причем в этом должны активно  участвовать профессиональные специалисты, администрация, сотрудники и пользователи, что и определяет повышенную значимость организационной стороны вопроса.

  Опыт также показывает, что:

-обеспечение безопасности информации не может быть одноразовым актом. Это непрерывный процесс, заключающийся в обосновании и реализации наиболее рациональных методов, способов и путей совершенствования и развития системы защиты, непрерывном контроле ее состояния, выявлении ее узких и слабых мест и противоправных действий;

-безопасность информации может быть обеспечена лишь при комплексном использовании всего арсенала имеющихся средств защиты во всех структурных элементах производственной системы и на всех этапах технологического цикла обработки информации. Наибольший эффект достигается тогда, когда все используемые средства, методы и меры объединяются в единый целостный механизм - систему защиты информации (СЗИ). При этом функционирование системы должно контролироваться, обновляться и дополняться в зависимости от изменения внешних и внутренних условий;

-никакая СЗИ не может обеспечить требуемого уровня безопасности информации без надлежащей подготовки пользователей и соблюдения ими всех установленных правил, направленных на ее защиту.

   С учетом накопленного опыта можно определить систему защиты информации как организованную совокупность специальных органов, средств, методов и мероприятий, обеспечивающих защиту информации от внутренних и внешних угроз.

С позиций  системного подхода к защите информации предъявляются определенные требования. Защита информации должна быть:

-непрерывной. Это требование проистекает из того, что злоумышленники только и ищут возможность, как бы обойти защиту интересующей их информации;

-плановой. Планирование осуществляется путем разработки каждой службой детальных планов защиты информации в сфере ее компетенции с учетом общей цели предприятия (организации);

-целенаправленной. Защищается то, что должно защищаться в интересах конкретной цели, а не все подряд;

-конкретной. Защите подлежат конкретные данные, объективно подлежащие охране, утрата которых может причинить организации определенный ущерб;

-активной. Защищать информацию необходимо с достаточной степенью настойчивости;

-надежной. Методы и формы защиты должны надежно перекрывать возможные пути неправомерного доступа к охраняемым секретам, независимо от формы их представления, языка выражения и вида физического носителя, на котором они закреплены;

-универсальной. Считается, что в зависимости от вида канала утечки или способа несанкционированного доступа его необходимо перекрывать, где бы он ни проявился, разумными и достаточными средствами, независимо от характера, формы и вида информации;

-комплексной. Для защиты информации во всем многообразии структурных элементов должны применяться все виды и формы защиты в полном объеме. Недопустимо применять лишь отдельные формы или технические средства.

  Комплексный характер защиты проистекает из того, что защита - это специфическое явление, представляющее собой сложную систему неразрывно взаимосвязанных и взаимозависимых процессов, каждый из которых в свою очередь имеет множество различных взаимообусловливающих друг друга сторон, свойств, тенденций.

Зарубежный  и отечественный опыт показывает, что для обеспечения выполнения столь многогранных требований безопасности система защиты информации должна удовлетворять  определенным условиям:

-охватывать весь технологический комплекс информационной деятельности;                                                                                                              -быть разнообразной по используемым средствам, многоуровневой с иерархической последовательностью доступа;

-быть открытой для изменения и дополнения мер обеспечения безопасности информации;

-быть нестандартной, разнообразной. При выборе средств защиты нельзя рассчитывать на неосведомленность злоумышленников относительно ее возможностей;

-быть простой для технического обслуживания и удобной для эксплуатации пользователями;

-быть надежной. Любые поломки технических средств являются причиной появления неконтролируемых каналов утечки информации;

-быть комплексной, обладать целостностью, означающей, что ни одна ее часть не может быть изъята без ущерба для всей системы.

    К системе безопасности информации предъявляются также определенные требования:

-четкость определения полномочии и прав пользователей на доступ к определенным видам информации;

-предоставление пользователю минимальных полномочий, необходимых ему для выполнения порученной работы;

-сведение к минимуму числа общих для нескольких пользователей средств защиты;

-учет случаев и попыток несанкционированного доступа к конфиденциальной информации;

-обеспечение оценки степени конфиденциальной информации;

-обеспечение контроля целостности средств защиты и немедленное реагирование на их выход из строя. Система защиты информации как любая система должна иметь определенные виды собственного обеспечения, опираясь на которые она будет выполнять свою целевую функцию.

С учетом этого  СЗИ может иметь:

-правовое обеспечение. Сюда входят нормативные документы, положения, инструкции, руководства, требования которых являются обязательными в рамках сферы их действий;

-организационное обеспечение. Имеется в виду, что реализация защиты информации осуществляется определенными структурными единицами - такими, как служба защиты документов; служба режима, допуска, охраны; служба защиты информации техническими средствами; информационно-аналитическая деятельность и др.;

-аппаратное обеспечение. Предполагается широкое использование технических средств, как для защиты информации, так и для обеспечения деятельности собственно СЗИ;

-информационное обеспечение. Оно включает в себя сведения, данные, показатели, параметры, лежащие в основе решения задач, обеспечивающих функционирование системы. Сюда могут входить как показатели доступа, учета, хранения, так и системы информационного обеспечения расчетных задач различного характера, связанных с деятельностью службы обеспечения безопасности;

-программное обеспечение. К нему относятся различные информационные, учетные, статистические и расчетные программы, обеспечивающие оценку наличия и опасности различных каналов утечки и путей несанкционированного проникновения к источникам конфиденциальной информации;

-математическое обеспечение. Предполагает использование математических методов для различных расчетов, связанных с оценкой опасности технических средств злоумышленников, зон и норм необходимой защиты;

-лингвистическое обеспечение. Совокупность специальных языковых средств общения специалистов и пользователей в сфере защиты информации;

-нормативно-методическое обеспечение. Сюда входят нормы и регламенты деятельности органов, служб, средств, реализующих функции защиты информации, различного рода методики, обеспечивающие деятельность пользователей при выполнении своей работы в условиях жестких требований защиты информации.

  Удовлетворить современные требования по обеспечению безопасности предприятия и защиты его конфиденциальной информации может только система безопасности. Под системой безопасности будем понимать организованную совокупность специальных органов, служб, средств, методов и мероприятий, обеспечивающих защиту жизненно важных интересов личности, предприятия и государства от внутренних и внешних угроз.

Как и любая  система, система информационной безопасности имеет свои цели, задачи, методы и  средства деятельности, которые согласовываются по месту и времени в зависимости от условий.

 

     2.2. Концептуальная модель информационной безопасности.

 

   Понимая информационную безопасность как "состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций", правомерно определить угрозы безопасности информации, источники этих угроз, способы их реализации и цели, а также иные условия и действия, нарушающие безопасность. При этом, естественно, следует рассматривать и меры защиты информации от неправомерных действий, приводящих к нанесению ущерба.

  Практика показала, что для анализа такого значительного набора источников, объектов и действий целесообразно использовать методы моделирования, при которых формируется как бы "заместитель" реальных ситуаций. При этом следует учитывать, что модель не копирует оригинал, она проще. Модель должна быть достаточно общей, чтобы описывать реальные действия с учетом их сложности.

    Можно предложить следующие компоненты модели информационной безопасности на первом уровне декомпозиции. 

  Такими компонентами концептуальной модели безопасности информации могут быть следующие:

-объекты угроз;

-угрозы;

-источники угроз;

-цели угроз со стороны злоумышленников;

-источники информации;

-способы неправомерного овладения конфиденциальной информацией (способы доступа);

-направления защиты информации;

-способы защиты информации;

-средства защиты информации.

Объектом  угроз информационной безопасности выступают сведения о составе, состоянии  и деятельности объекта защиты (персонала, материальных и финансовых ценностей, информационных ресурсов).    

 Неправомерное овладение конфиденциальной информацией возможно за счет ее разглашения источниками сведений, за счет утечки информации через технические средства и за счет несанкционированного доступа к охраняемым сведениям.

Источниками конфиденциальной информации являются люди, документы, публикации, технические носители информации, технические средства обеспечения производственной и трудовой деятельности, продукция и отходы производства. Основными направлениями защиты информации являются правовая, организационная и инженерно-техническая защиты информации как выразители комплексного подхода к обеспечению информационной безопасности.

Средствами  защиты информации являются физические средства, аппаратные средства, программные  средства и криптографические методы. Последние могут быть реализованы как аппаратно, программно, так и смешанно-программно-аппаратными средствами.

 

                    3. Необходимость защиты информации

 

Существует множество причин, которые  могут серьёзно повлиять на работу локальных и глобальных сетей, привести к потере ценной информации.

Среди них можно выделить следующие:

1. Несанкционированный доступ извне,  копирование или изменение информации  случайные или умышленные действия, приводящие к:

- искажению либо уничтожению  данных;

- ознакомление посторонних лиц  с информацией, составляющей банковскую, финансовую или государственную  тайну.

2. Некорректная работа программного  обеспечения, приводящая к потере  или порче данных из-за:

- ошибок в прикладном или сетевом ПО;

- заражения систем компьютерными  вирусами.

3. Технические сбои оборудования, вызванные:

- отключением электропитания;

- отказом дисковых систем и  систем архивации данных;

- нарушением работы серверов, рабочих  станций, сетевых карт, модемов.

4. Ошибки обслуживающего персонала.

Конечно, универсального решения, исключающего все перечисленные причины, нет, однако во многих организациях разработаны  и применяются технические и  административные меры, позволяющие  риск потери данных или несанкционированного доступа к ним свести к минимуму.

 

                4. НАИБОЛЕЕ РАСПРОСТРАНЕННЫЕ УГРОЗЫ

Прежде чем переходить к рассмотрению средств обеспечения информационной безопасности, хочу подчеркнуть самые распространенные угрозы, которым подвержены современные компьютерные системы. Знание возможных угроз, а также уязвимых мест защиты, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее экономичные средства обеспечения безопасности.

Само понятие "угроза" в разных ситуациях зачастую трактуется по-разному. Например, для подчеркнуто открытой организации может просто не существовать угроз конфиденциальности - вся информация считается общедоступной; однако в  большинстве случаев нелегальный  доступ считается серьезной опасностью. В общем случае проблему информационной безопасности следует рассматривать и с учетом опасности нелегального доступа.

Самыми частыми и самыми опасными, с точки зрения размера ущерба, являются непреднамеренные ошибки пользователей, операторов, системных администраторов  и других лиц, обслуживающих информационные системы. Иногда такие ошибки являются угрозами: неправильно введенные  данные, ошибка в программе, а иногда они создают слабости, которыми могут  воспользоваться злоумышленники - таковы обычно ошибки администрирования. Согласно исследованиям, 65% потерь - следствие  непреднамеренных ошибок. Пожары и  наводнения можно считать пустяками  по сравнению с безграмотностью  и невнимательностью. Очевидно, самым  радикальным способом борьбы с непреднамеренными  ошибками является максимальная автоматизация  и строгий контроль за правильностью совершаемых действий.

На втором месте по размерам ущерба располагаются кражи и подлоги. Согласно имеющимся данным, в 1992 году в результате подобных противоправных действий с использованием ПК американским организациям был нанесен суммарный  ущерб в размере 882 млн. долл. Можно  предположить, что подлинный ущерб  намного больше, поскольку многие организации по понятным причинам скрывают такие инциденты. В большинстве  расследованных случаев виновниками  оказывались штатные сотрудники организаций, отлично знакомые с  режимом работы и защитными мерами. Это еще раз свидетельствует  о том, что внутренняя угроза гораздо  опаснее внешней.

Весьма опасны так называемые "обиженные  сотрудники" - действующие и бывшие. Как правило, их действиями руководит  желание нанести вред организации-обидчику, например:

- повредить оборудование;

- встроить логическую бомбу,  которая со временем разрушит  программы и/или данные;

- ввести неверные данные;

- удалить данные;

- изменить данные.

"Обиженные сотрудники", даже  бывшие, знакомы с порядками в  организации и способны вредить  весьма эффективно. Необходимо следить  за тем, чтобы при увольнении  сотрудника его права доступа  к информационным ресурсам аннулировались.

Угрозы, исходящие от окружающей среды, к сожалению, отличаются большим  разнообразием. В первую очередь, следует  выделить нарушения инфраструктуры: аварии электропитания, временное отсутствие связи, перебои с водоснабжением, гражданские беспорядки и т.п. Опасны, разумеется, стихийные бедствия и  техногенные катастрофы. Принято  считать, что на долю огня, воды и  аналогичных "врагов", среди которых  самый опасный - низкое качество электропитания, приходится 13% потерь, нанесенных информационным системам.

Много говорят и пишут о хакерах, но исходящая от них угроза зачастую преувеличивается. Верно, что почти  каждый Internet-сервер по несколько раз  в день подвергается попыткам проникновения; верно, что иногда такие попытки  оказываются удачными; верно, что  изредка подобные действия связаны  со шпионажем. Однако в целом ущерб  от деятельности хакеров по сравнению  с другими угрозами представляется не столь уж значительным. Скорее всего, больше пугает фактор непредсказуемости  действий людей такого сорта. Представьте  себе, что в любой момент к вам  в квартиру могут забраться посторонние  люди. Даже если они не имеют злого  умысла, а зашли просто так, посмотреть, нет ли чего интересного, - приятного  в этом мало.

Много говорят и пишут и о  программных вирусах. Причем в последнее  время говорят уже о вирусах, воздействующих не только на программы  и данные, но и на пользователей. Так, в свое время появилось сообщение  о жутком вирусе 666, который, выводя каждую секунду на монитор некий 25-й кадр, вызывает у пользователей кровоизлияние в мозг и смерть (впоследствии это сообщение не подтвердилось).

Однако, говоря о "вирусной" угрозе, обратим внимание на следующий факт. Как показали проведенные в США  в 1993 году исследования, несмотря на экспоненциальный рост числа известных вирусов, аналогичного роста количества инцидентов, вызванных  вирусами, не зарегистрировано. Соблюдение несложных правил компьютерной гигиены  сводит риск заражения практически  к нулю. Там где работают, а  не играют в компьютерные игры (именно это явление приводит к использованию  непроверенных на наличие вирусов  программ), число зараженных компьютеров  составляет лишь доли процента.