Концептуальні аспекти захисту інформації в сучасних інформаційних технологіях

ПЛАН

Вступ

1. Концептуальні аспекти захисту інформації в сучасних інформаційних технологіях.
2. Класифікація і характеристика основних способів захисту інформації в сучасних інформаційних технологіях.

Висновок

Список використаних джерел

ВСТУП

В даний час, в Україні, у зв'язку з входженням у світовий інформаційний простір, швидкими темпами впроваджуються новітні досягнення комп'ютерних і телекомунікаційних технологій. Створюються локальні і регіональні обчислювальні мережі, великі території охоплені мережами сотового зв'язку, факсимільний зв'язок став доступний для широкого кола користувачів. Системи телекомунікацій активно впроваджуються у фінансові, промислові, торгові і соціальні сфери. У зв'язку з цим різко зріс інтерес широкого кола користувачів до проблем захисту інформації.

Захист  інформації - це сукупність організаційно-технічних заходів і правових норм для попередження заподіяння збитку інтересам власника інформації. Тривалий час методи захисту інформації розроблялися тільки державними органами, а їхнє впровадження розглядалося як виключне право тієї або іншої держави. Проте в останні роки з розвитком комерційної і підприємницької діяльності збільшилося число спроб несанкціонованого доступу до конфіденційної інформації, а проблеми захисту інформації виявилися в центрі уваги багатьох вчених і спеціалістів із різноманітних країн. В наслідок цього процесу значно зросла потреба у фахівцях із захисту інформації.  

1. КОНЦЕПТУАЛЬНІ АСПЕКТИ ЗАХИСТУ ІНФОРМАЦІЇ В СУЧАСНИХ ІНФОРМАЦІЙНИХ ТЕХНОЛОГІЯХ

Інформаційні  технології охоплюють методи збору, обробки, перетворення, зберігання і розподілу інформації. Протягом тривалого часу ці технології розвивалися на мовній і "паперовій" буквено-цифровій основі. У цей час інформаційно-ділова активність людства зміщається в область кібернетичного простору. Цей простір стає реальністю світової спільноти і визначає перехід до "безпаперового, електронного" розвитку інформаційних технологій.

Інформаційні  процеси, що проходять повсюдно у  світі, висувають на перший план, поряд  із задачами ефективного опрацювання і передачі інформації, найважливішу задачу забезпечення безпеки інформації.

Захисту підлягає будь-яка документаційна інформація, тому що неправомірне використання інформації може нанести збитків її власнику, користувачу та іншим особам. Неправомірний доступ до інформаційних ресурсів може завдати шкоди громадянам, організаціям (юридичним особам) та державі, а також базі нормативно-технічних документів.

З ТЗІ встановлює ДСТУ 3396.0-96 „Захист інформації. Технічний  захист інформації. Основні положення”, визначається також порядок проведення робіт з технічного захисту інформації, що встановлює ДСТУ 3396.1-96 „Захист інформації. Технічний захист інформації. Порядок проведення робіт”.

Метою захисту інформації повинно бути:

- запобігання відтіканню, розкраданню, втраті, перекручуванню, підробці інформації;

- запобігання  загрозам державної безпеки, безпеки  особистості, суспільства в цілому;

- запобігання  несанкціонованим діям зі знищення  модифікації, копіювання, блокування  інформації; запобігання інших форм незаконного втручання в інформаційні ресурси та інформаційні бази даних і системи, забезпечення правового режиму документованої інформації як об‘єкта власності;

- захист конституційних  прав громадян на збереження  особистої таємниці та конфіденційності персональних даних, що є в інформаційних системах і ресурсах суб’єктів і об’єктів різних форм власності;

- збереження  державної таємниці, конфіденційності  документованої інформації згідно  з діючим законодавством;

- забезпечення  прав суб‘єктів в інформаційних процесах при розробці, виробництві та застосуванні інформаційних систем, технологій та засобів їх забезпечення.

Режим захисту інформації повинен передбачати поділ інформаційних ресурсів за такими критеріями:

- відносно віднесення  відомостей до державної таємниці, - уповноваженими органами на основі Закону України «Про державну таємницю» від 21.01.1994 № 3855-XII

- конфіденційність  документування інформації –  власником інформаційних ресурсів  чи уповноваженою особою на  основі Закону України «Про захист інформації»  від 05.07.1994 № 80/94-ВР;

- збереження  персональних даних – на основі  Закону України «Про захист  інформації»  від 05.07.1994 № 80/94-ВР.

2. КЛАСИФІКАЦІЯ І ХАРАКТЕРИСТИКА ОСНОВНИХ СПОСОБІВ ЗАХИСТУ ІНФОРМАЦІЇ В СУЧАСНИХ ІНФОРМАЦІЙНИХ ТЕХНОЛОГІЯХ

Для побудови надійної системи захисту інформації в  сучасних інформаційно-комунікаційних системах та мережах потрібно спочатку визначити ряд можливих загроз для  інформаційних ресурсів.

У справі забезпечення інформаційної безпеки успіх  може принести тільки комплексний підхід. Для захисту інтересів суб'єктів інформаційних відносин використовуються засоби такого напрямку:

1. програмно-технічного (інженерно-технічний, апаратний, програмний);
• Інженерно-технічні засоби реалізуються у виді автономних пристроїв і систем і виконують функції загального захисту об'єктів, на яких опрацьовується інформація. До них належать, наприклад, устрої захисту територій і будинків, замки на дверях, де розміщені апаратура, грати на вікнах, електронно-механічне устаткування охоронної сигнализації.
• Під апаратними технічними засобами прийнято розуміти пристрої, що вбудовуються безпосередньо в обчислювальну техніку, у телекомунікаційну апаратуру, або пристрої, що працюють з подібною апаратурою по стандартному інтерфейсу. В наш час існує широкий спектр таких приладів,  але найбільшого використання набули такі:
• спеціальні регістри для збереження реквізитів захисту: паролів, кодів ідентифікації, грифів або рівнів секретності;
• пристрої для вимірювання індивідуальних характеристик людини (голоси, відбитки) з метою його ідентифікації; 
• схеми переривання передачі інформації в лінії зв'язку з метою періодичної перевірки адреси видачі даних; 
• пристрої для шифрування інформації (криптографічні методи).
• Програмні засоби складає сукупність програмного забезпечення, для ідентифікації користувачів, контролю доступу, шифрування інформації, знищення тимчасових файлів, тестового контролю системи захисту та інше. Використання програмних засобів захисту інформації має цілий ряд переваг – універсальність, гнучкість, надійність, простота у використанні то можливість модифікації.

2. законодавчого (нормативно-правовий);

Законодавчі засоби захисту визначаються законодавчими актами країни, якими регламентуються правила використання, опрацювання і передачі інформації обмеженого доступу і встановлюються міри відповідальності за порушення цих правил.

Органи державної  влади та організації, відповідальні  за формування та використання інформаційних  ресурсів, що підлягають захисту, а  також органи та організації, що розробляють та застосовують інформаційні системи та технології для формування та використання інформаційних ресурсів з обмеженим доступом, керуються в своїй діяльності законодавством України.

Контроль за дотриманням вимог до захисту  інформації та експлуатації спеціальних програмно-технічних засобів захисту, а також забезпечення організаційних заходів з захисту інформаційних систем, що опрацьовують інформацію з обмеженим доступом в недержавних структурах, здійснюються органами державної влади. Організації, які опрацьовують інформацію з обмеженим доступом, що є власністю держави, створюють спеціальні служби для забезпечення захисту інформації.

Власник інформаційних  ресурсів або уповноважені ним особи  мають право здійснювати контроль за виконанням вимог по захисту інформації та забороняти чи призупиняти обробку інформації у випадку невиконання цих вимог, а також може звертатися в органи державної влади для оцінки правильності виконання та дотримання вимог по захисту його інформації в інформаційних системах. Ці органи дотримуються вимог конфіденційності інформації та результатів перевірки.

Порядок надання  користувачу інформації з вказаним місцем, часом, відповідальними посадовими особами, а також необхідними  процедурами встановлює власник  документів інформаційних систем або уповноважені ним особи відповідно до чинного законодавства, а також забезпечує умови доступу користувачів до інформації. Власник документів, масиву документів та інформаційних систем забезпечує рівень захисту інформації згідно з законодавством України.

Ризик, пов‘язаний з використанням несертифікованих інформаційних систем лежить на власнику цих систем, а ризик, пов‘язаний з використанням інформації, отриманої  з сертифікованих систем, лежить на споживачеві інформації. Власник  документів та інформаційних систем повинен сповіщати власника інформаційних ресурсів та систем про всі факти порушення режиму захисту інформації.

Захист прав суб‘єктів у сфері формування та користування інформаційними ресурсами, розробки, виробництва та застосування інформаційних систем, технологій та засобів їх забезпечення здійснюється з метою попередження правопорушень, неправомірних дій, відновлення порушених прав та відшкодування заподіяної шкоди.

Захист прав суб‘єктів у вказаній формі здійснюється судами з урахуванням специфіки правопорушення та завданих збитків. Для перегляду конфліктних ситуацій та захисту прав учасників у сфері формування та використання інформаційних ресурсів, створення та використання інформаційних систем та їх технологій і засобів їх забезпечення можуть створюватись тимчасові і постійні третейські суди.

За правопорушення при роботі з документованою інформацією  органи державної влади, організації  та їх посадові особи несуть відповідальність згідно з чинним законодавством України.

Відповідальність за порушення міжнародних норм та правил у сфері формування та використання інформаційних ресурсів, створення та використання безпечних інформаційно-захищених систем, технологій та засобів їх забезпечення покладається на відповідні органи державної влади, організації та громадян згідно з договорами, що укладені ними з зарубіжними фірмами та іншими партнерами, з урахуванням міжнародного права, щодо ратифікації зазначених документів Україною.

Відмова в доступі  до відкритої інформації чи надання споживачам завчасно недостовірної інформації можуть бути оскаржені в судовому порядку.

Невиконання чи неналежне виконання зобов‘язань, щодо домовленості, поставки, купівлі-продажу  та з інших форм обміну інформаційними ресурсами між організаціями  розглядаються арбітражним судом.

Особи, яким було відмовлено в доступі інформації, та ті, хто отримав недостовірну інформацію, мають право на відшкодування  нанесених їм збитків у судовому порядку. Суд розглядає позови та суперечки про необґрунтоване віднесення інформації до категорії інформації з обмеженим доступом з урахуванням заподіяної шкоди у випадках передбаченим законом. Необґрунтована відмова в одержані необхідної інформації споживачам та користувачам тієї чи іншої інформації лежить на керівниках, службовцях органів державної влади, та неправомірному обмеженні доступу до інформації, а також, щодо порушення режиму захисту інформації, несуть відповідальність згідно з кримінальним та цивільним законодавством про адміністративні правопорушення.

Враховуючи  вищезазначена слід відмітити, що повинен чітко працювати юридичний механізм реалізації прав захисту і надання інформації по визначеному колу питань.

3. адміністративного (організаційного, накази та інші дії керівництва організацій, пов'язаних з інформаційними системами, що захищаються);

Організаційні засоби захисту подають собою  організаційно-технічні й організаційно-правові  заходи, здійснювані в процесі  створення й експлуатації апаратури  телекомунікацій для забезпечення захисту інформації. Організаційні  заходи охоплюють усі структурні елементи апаратури на всіх етапах їхнього життєвого циклу (будівництво помешкань, проектування системи, монтаж і наладка устаткування, іспити й експлуатація).

Безпека інформації в системах телекомунікації забезпечується застосуванням комплексу прийомів, що можна класифікувати в такий спосіб:

- організація  охорони помешкань у тому числі  з застосуванням систем радіосигналізації;  забезпечення безпеки комп'ютерних  систем програмними й апаратними  засобами;

- періодичне  тестування помешкань методами нелінійної радіолокації;

- забезпечення  захищеності від прослуховування  засобів мобільного радіозв'язку;

- забезпечення  акустичної безпеки помешкань  і персоналу;

- криптографічні  заходи.

4. процедурного (заходи безпеки, орієнтовані на людей).

     Морально-етичні засоби захисту реалізуються у вигляді всіляких норм, що склалися традиційно в даній країні або товаристві. Ці норми здебільшого не є обов'язковими, як законодавчі норми, проте їхнє недотримання веде звичайно до втрати авторитету і престижу співробітника.

Рис. 1 «Піраміда» організації системи  захисту інформації в  сучасних інформаційних технологіях

Загалом в систему  забезпечення безпеки інформації можуть бути включені:

1. Служба таємності даних – може бути використана для захисту переданих даних від скресання інформації, що утримується в них, і від можливості проведення аналізу інтенсивності потоків даних між користувачами.

Механізм шифрування може забезпечувати конфіденціальність або переданих даних, або інформації про параметри трафіка і може бути використаний у деяких інших механізмах безпеки або доповнювати їх. Існування механізму шифрування припускає використання, як правило, механізму керування ключами.

2. Служба аутентифікації – призначена для підтвердження того, що в даний момент зв'язку користувач є дійсно тим користувачем, за якого він себе видає;

У механізмі  аутентифікації основна увага приділяється методам передачі в мережі інформації спеціального характеру (полей аутентифікаторів, контрольних сум і т.п.). У випадку  односторонньої або взаємної аутентифікації забезпечується процес перевірки істинності користувачів (передавача і приймача повідомлень), що гарантує запобігання з'єднання з логічним об'єктом, утвореним зловмисником.

3. Служба цілісності даних – забезпечує доказ цілісності даних у процесі їхньої передачі, тобто забезпечує захист переданих повідомлень від випадкових і навмисних впливів, спрямованих на зміну переданих повідомлень, затримку і знищення повідомлень або переупорядкування повідомлень;

Механізм забезпечення цілісності даних припускає введення в кожне повідомлення деякої додаткової інформації, що є функцією від змісту повідомлення. У рекомендаціях МОС розглядаються методи забезпечення цілісності двох типів:

- перші забезпечують  цілісність єдиного блока даних;

- другі потоку  блоків даних або окремих полів  цих блоків.

4. Служба керування доступом – забезпечує захист від несанкціонованого доступу до інформації, що утримується в віддалених банках даних, або від несанкціонованого використання мережі;
5. Служба цілосності інформації – забезпечує доказ цілісності повідомлення, прийнятого від відповідного джерела і знаходиться на збереженні, наприклад, у терміналі-приймачі, і яке може бути перевірене в будь-який момент часу арбітром (третьою стороною);

6) Служба доставки – забезпечує захист від спроб зловмисника порушити зв'язок або затримати передачу повідомлення на час, що перевищує час цінності переданої в повідомленні інформації; ця служба безпосередньо пов'язана з процесами передачі інформації в мережах зв'язку.

Ці методи застосовуються як при передачі даних по віртуальному з'єднанню, так і при використанні дейтаграмної передачі. У першому  випадку гарантується усунення повторів, вставок або модифікацій даних  за допомогою спеціальної нумерації  блоків або введенням міток часу. У дейтаграмному режимі мітки часу можуть забезпечити тільки обмежений захист цілісності послідовності блоків даних і запобігти переадресації окремих блоків.

Таблиця 1.1. Служби і процедури захисту

Механізм цифрового електронного підпису, що регламентує один із процесів аутентифікації користувачів і повідомлень, використовується для підтвердження істинності змісту повідомлення і посвідчення того факту, що воно відправлено тим абонентом, що зазначений в заголовку якості джерела даних. Цифровий підпис також необхідний для запобігання можливості відмови передавача від видачі якогось повідомлення, а приймача від його прийому.

Процес підписання блоку даних використовує інформацію, що є інформацією приватного використання (тобто унікальної і конфіденційної). Цей процес припускає або шифрування блоку даних, або одержання криптографічного контрольного значення блоку даних із використанням приватної інформації користувача, що підписав, у якості ключа шифрування приватного користування. Таким чином, після перевірки підпису в наступній третій особі (наприклад, арбітру) у будь-який час може бути доведено, що підпис міг виконати тільки єдиний тримач секретної (приватної) інформації.

Механізми контролю доступу можуть використовувати  аутентифікаційну ідентифікацію об'єкта або інформацію об'єкта (наприклад, приналежність до відомої множини об'єктів) або можливості цього об'єкта для встановлення і застосування прав доступу до цього об'єкта. Якщо об'єкт робить спробу використовувати несанкціонований ресурс або санкціонований ресурс із неправильним типом доступу, то функція контролю доступу буде відхиляти цю спробу і може повідомити про цю спробу для ініціювання аварійного сигналу і (або) реєстрації його як частини даних перевірки безпеки. Механізми контролю доступу можуть використовуватися на будь-якому кінці з'єднання і (або) у будь-якому проміжному вузлі.

Механізми підстановки  трафіка, названого також механізмами  заповнення потоку, використовується для реалізації служби засекречування потоку даних. Вони грунтуються на генерації фіктивних блоків, їх шифрування й організації передачі по каналах зв'язку. Тим самим нейтралізується можливість одержання інформації про мережу і абонентах, що обслуговуються нею, за допомогою спостереження за зовнішніми характеристиками потоків, що циркулюють по каналах зв'язку.

Найбільш надійними  являються криптографічні методи захисту  інформації, що відносяться до класу  засобів захисту із запитом інформації.

Криптографічний захист – це захист даних за допомогою криптографічного перетворення: кодування та шифрування. Для кодування використовуються кодувальні книги і таблиці, що вміщують набори часто використовуваних фраз, кожній з яких відповідає кодове слово. Для декодування використовується така ж книга.

Другий тип  криптографічного перетворення – шифрування – представляє собою процедуру (алгоритм) перетворення символів вихідного  тексту до форми, недоступної для  розпізнання (зашифрований текст).

Під шифром розуміють сукупність перетворень множини відкритих даних на множину зашифрованих, заданих алгоритмом криптографічного перетворення. В шифрі завжди розрізняють два елемента: алгоритм і ключ.

Для сучасних криптографічних  систем захисту інформації сформульовані  наступні загальноприйняті вимоги:

       - зашифроване повідомлення повинно  піддаватись читанню тільки при  наявності ключа;

- число операцій, необхідних для визначення використаного  ключа шифрування по фрагменту  повідомлення і відповідного  йому відкритого тексту, повинно бути не менше загального числа можливих ключів;

-  число операцій, необхідних для розшифрування  інформації шляхом перебору можливих  ключів повинно мати строгу  нижню оцінку і виходити за  межі можливостей сучасних комп’ютерів  ( із врахуванням можливості використання мережних обчислень);

- знання алгоритму  шифрування не повинно впливати  на надійність захисту;

- незначна зміна  ключа повинна приводити до  значної зміни виду зашифрованого  повідомлення навіть при використанні  одного і того ж ключа;

- структурні елементи алгоритму шифрування повинні бути незмінними;

- додаткові  біти, що вводяться до повідомлення  в процесі шифрування, повинні  бути повністю і надійно заховані  у шифрованому тексті;

- довжина зашифрованого  тексту має дорівнювати довжині  вихідного тексту;

- не повинно  бути простих і легко установлювальних  залежностей між ключами, що  послідовно використовуються в  процесі шифрування;

- кожний ключ  із множини можливих повинен  забезпечувати надійний захист  інформації;

- алгоритм має  допускати як програмну, так і апаратну реалізацію, при цьому зміна довжини ключа не повинна приводити до якісного погіршення алгоритму шифрування.

Необхідно також  відзначити, що всі розглянуті засоби захисту діляться на:

• формальні, що виконують захисні функції строго по заздалегідь передбаченій процедурі без особистої участі людини,
• неформальні, обумовлені цілеспрямованою діяльністю людини або регламентуючої цієї діяльності.

До неформальних можна віднести:

1. Захист даних на дисках 

Кожний диск, папка й файл локального комп'ютера, а також комп'ютера, підключеного до локальної мережі, може бути захищений від несанкціонованого доступу. Для них можуть бути встановлені певні права доступу (повний, тільки читання, по паролю), причому права можуть бути різними для різних користувачів.

Для забезпечення більшої надійності зберігання даних  на жорстких дисках використовуються Raid-масиви (Redantant Arrays of Independent Disks — надлишковий  масив незалежних дисків). Кілька твердих  дисків підключаються до спеціального Raid-контролеру, який розглядає їх як єдиний логічний носій інформації. При записі інформації вона дублюється й зберігається на декількох дисках одночасно, тому при виході з ладу одного з дисків дані не губляться.

2. Захист доступу до комп'ютера 

Для запобігання  несанкціонованого доступу до даних, що зберігаються на комп'ютері, використовуються паролі. Комп'ютер дозволяє доступ до своїх ресурсів тільки тим користувачам, які зареєстровані й увели правильний пароль. Кожному конкретному користувачеві може бути дозволений доступ тільки до певних інформаційних ресурсів. При цьому може проводитися реєстрація всіх спроб несанкціонованого доступу.

Захист користувацьких настроювань був у операційній  системі Windows 98 (при завантаженні системи  користувач повинен увести свій пароль), однак такий захист легко обходиться, тому що користувач може відмовитися від уведення пароля. Вхід по паролю може бути встановлений у програмі BIOS Setup, комп'ютер не почне завантаження операційної системи, якщо не введений правильний пароль. Подолати такий захист нелегко, більше того, виникнуть серйозні проблеми доступу до даних, якщо користувач забуде цей пароль.

У цей час  для захисту від несанкціонованого  доступу до інформації усе більш  часто використовуються біометричні  системи авторизації й ідентифікації користувачів. Використовувані в цих системах характеристики є невід'ємними якостями особистості людини й тому не можуть бути загубленими й підробленими. До біометричних систем захисту інформації відносяться системи розпізнавання мови, системи ідентифікації по відбитках пальців, а також системи ідентифікації по райдужній оболонці ока.

3. Захист інформації в Інтернеті

Якщо комп'ютер підключений до Інтернету, то в принципі будь-який користувач, також підключений  до Інтернету, може одержати доступ до інформаційних ресурсів цього комп'ютера. Якщо сервер має з'єднання з Інтернетом і одночасно служить сервером локальної мережі (Інтранет-сервером), то можливо несанкціоноване проникнення з Інтернету в локальну мережу.

Механізми проникнення  з Інтернету на локальний комп'ютер і в локальну мережу можуть бути різними:

• Web-сторінки, що завантажуються в браузер можуть містити активні елементи Active-Х  або Java-аплети, здатні виконувати деструктивні дії на локальному комп'ютері;

•  деякі Web-сервери розміщають на локальному комп'ютері текстові файли cookie, використовуючи які можна одержати конфіденційну інформацію про користувача локального комп'ютера;

• за допомогою  спеціальних утиліт можна одержати доступ до дисків і файлам локального комп'ютера й ін.

Для того щоб цього не відбувалося, установлюється програмний або апаратний бар'єр між Інтернетом і Інтранетом за допомогою брандмауера (firewall — міжмережевий екран). Брандмауер відслідковує передачу даних між мережами, здійснює контроль поточних з'єднань, виявляє підозрілі дії й тим самим запобігає несанкціонованому доступу з Інтернету в локальну мережу.

4. Захист програм від нелегального копіювання й використання 

Комп'ютерні пірати, нелегально тиражуючи програмне  забезпечення, знецінюють працю програмістів, роблять розробку програм економічно невигідним бізнесом. Крім того, комп'ютерні пірати нерідко пропонують користувачам недопрацьовані програми, програми з помилками або їх демоверсії.

Для того щоб  програмне забезпечення комп'ютера  могло функціонувати, воно повинно бути встановлене (інстальоване). Програмне забезпечення поширюється фірмами-виробниками у формі дистрибутивів на CD-ROM. Кожний дистрибутив має свій серійний номер, що перешкоджає незаконному копіюванню й установці програм.

Для запобігання  нелегального копіювання програм і даних, що зберігаються на CD-ROM, може використовуватися спеціальний захист. На CD-ROM може бути розміщений закодований програмний ключ, який губиться при копіюванні й без якого програма не може бути встановлена.

Захист від  нелегального використання програм може бути реалізований за допомогою апаратного ключа, який приєднується звичайно до паралельного порту комп'ютера. Програма, що захищається, звертається до паралельного порту й запитує секретний код; якщо апаратний ключ до комп'ютера не приєднаний, то програма, що захищається, визначає ситуацію порушення захисту й припиняє своє виконання.

Висновок

Отже, ускладнення  методів і засобів організації  машинної обробки інформації, а також  широке використання  обчислювальних мереж призводить до того, що інформація стає все більш вразливою. У зв’язку з цим захист інформації в процесі її збору, обробки і зберігання набуває виключно важливого значення (особливо в комерційних та оборонних галузях).

Під захистом інформації розуміється сукупність заходів, методів і засобів, що забезпечують рішення наступних основних задач:

- перевірка  цілісності інформації;

- виключення  несанкціонованого доступу до  ресурсів персонального комп’ютера (надалі ПК), а також до програм  і даних, що зберігаються в  ньому;