Значение информационной безопасности

ФЕДЕРАЛЬНЫЙ КОМИТЕТ ПО НАУКЕ  И ОБРАЗОВАНИЮ  РОССИЙСКАЯ МЕЖДУНАРОДНАЯ  АКАДЕМИЯ ТУРИЗМА 

Кафедра:           «Менеджмент гостеприимства»       ш

РЕФЕРАТ

По  дисциплине: «Информационные системы управления»

Тема:    «Значение информационной безопасности» 
 

Выполнила:

студентка гр. 070302 очного отделения

                                                                   сп-ти:   «менеджмент гостеприимства»

                                                            Орлик Е.П.

  Проверил: 

Чернецкий С.Р._____________ 
 

Москва 2011 г.

Оглавление

Введение 3

Глава 1 Понятие информационной безопасности 5

1.1 Цели и значение  защиты информации 8

Глава 2 Информационная безопасность и Интернет 14

Глава 3 Методы обеспечения  информационной безопасности 17

3.1 Антивирусы 20

3.2 Правовые методы обеспечения информационной безопасности РФ 25

Вывод 28

Список  использованных источников 31

Введение

     Понятия защита информации, безопасность информации, информационная безопасность являются базовыми, поскольку их сущность определяет в конечном итоге политику и деятельность в сфере защиты информации. В то же время эти понятия взаимосвязаны  и взаимообусловлены. Между тем  и в нормативных документах, и  в научной литературе нет единых подходов к определению данных понятий, а, следовательно, и к раскрытию  их сущности, ибо определения должны в концентрированном виде выражать сущность понятий.

     В «Доктрине информационной безопасности РФ» [3] дано следующее определение: информационная безопасность - это состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

     Сегодня можно утверждать, что рождается  новая современная технология - технология защиты информации в компьютерных информационных системах и в сетях передачи данных. Реализация этой технологии требует  увеличивающихся расходов и усилий. Однако все это позволяет избежать значительно превосходящих потерь и ущерба, которые могут возникнуть при реальном осуществлении угроз  ИС и ИТ.

      Актуальность  темы несомненна, так как информационная безопасность, в наше время Информация – это неотъемлемая часть нашей жизни.

     Объектом  исследования является информационная безопасность.

     Предметом исследования является область защиты информации на конфиденциальность, целостность и доступность.

     Для защиты информации используются различные  системы и методы. Для защиты информации на компьютерах применяются антивирусные программы, сетевые экраны и т. п. С тем, чтобы защитить информацию в сети Интернет, содержащуюся на сайтах, применяются системы шифрования, кодирования информации.

     Но  часто даже подобные приемы не помогают от утечки информации. А последствия  этого могут быть очень значительны: от использования компьютера в качестве посредника для рассылки спама до кражи денег с банковских счетов.

      Целью данной работы является попытка комплексно сформулировать определение и состояние  значения информационной безопасности. Достижение поставленной цели предполагает рассмотрение следующих задач:

1. Комплексно сформировать общее понятие информационной безопасности
2. Рассмотреть вопросы информационной безопасности в сети интернет
3. Выявить методы обеспечения информационной безопасности

      Под предметом ИБ часто понимается область  защиты информации на конфиденциальность, целостность и доступность. Это  ошибочная трактовка достаточно распространена в литературе. Предмет  информационной безопасности значительно  шире, хотя бы из определений в нормативно-правовых документах. Возьмем, например, определение  понятия «безопасность» в Доктрине информационной безопасности РФ [3], которое следует из определения в федеральном законе «О безопасности» [1] от 25 декабря 2010 года:

     «Безопасность – состояние защищенности жизненно важных интересов личности, общества и государства от внутренних и внешних угроз» [1].

     «Информационная безопасность РФ – состояние защищенности ее национальных интересов в информационной сфере, определяющейся совокупностью сбалансированных интересов личности, общества и государства» [1].

Глава 1 Понятие информационной безопасности

     Под информационной безопасностью понимается защищенность информации и поддерживающей ее инфраструктуры от любых случайных  или злонамеренных воздействий, результатом которых может явиться  нанесение ущерба самой информации, ее владельцам или поддерживающей инфраструктуре.

     Информационная безопасность организации – состояние защищенности информационной среды организации, обеспечивающее её формирование, использование и развитие.

     В современном социуме информационная сфера имеет две составляющие: информационно-техническую (искусственно созданный человеком мир техники, технологий и т.п.) и информационно-психологическую (естественный мир живой природы, включающий и самого человека). Соответственно, в общем случае информационную безопасность общества (государства) можно представить  двумя составными частями: информационно-технической  безопасностью и информационно-психологической (психофизической) безопасностью[4].

           В качестве стандартной  модели безопасности часто приводят модель из трёх категорий:

• Конфиденциальность – состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право;
• Целостность – избежание несанкционированной модификации информации;
• Доступность – избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа.

     Выделяют  и другие не всегда обязательные категории  модели безопасности:

• неотказуемость или апеллируемость – невозможность отказа от авторства;
• подотчётность – обеспечение идентификации субъекта доступа и регистрации его действий;
• достоверность – свойство соответствия предусмотренному поведению или результату;
• аутентичность или подлинность – свойство, гарантирующее, что субъект или ресурс идентичны заявленным [4].

     Действия, которые могут нанести ущерб  информационной безопасности организации, можно разделить на несколько  категорий:

     1. Действия, осуществляемые авторизованными  пользователями. В эту категорию  попадают: целенаправленная кража  или уничтожение данных на  рабочей станции или сервере;  повреждение данных пользователей  в результате неосторожных действий.

     2. «Электронные» методы воздействия,  осуществляемые хакерами. Под хакерами  понимаются люди, занимающиеся компьютерными  преступлениями как профессионально  (в том числе в рамках конкурентной  борьбы), так и просто из любопытства.  К таким методам относятся:  несанкционированное проникновение  в компьютерные сети; DOS-атаки.

     Целью несанкционированного проникновения  извне в сеть предприятия может  быть нанесение вреда (уничтожения  данных), кража конфиденциальной информации и использование ее в незаконных целях, использование сетевой инфраструктуры для организации атак на узлы третьих  фирм, кража средств со счетов и  т.п.

     Атака типа DOS (сокр. от Denial of Service – «отказ в обслуживании») – это внешняя атака на узлы сети предприятия, отвечающие за ее безопасную и эффективную работу (файловые, почтовые сервера). Злоумышленники организуют массированную отправку пакетов данных на эти узлы, чтобы вызвать их перегрузку и, в итоге, на какое-то время вывести их из строя. Это, как правило, влечет за собой нарушения в бизнес-процессах компании-жертвы, потерю клиентов, ущерб репутации и т.п.

     3. Компьютерные вирусы. Отдельная  категория электронных методов воздействия – компьютерные вирусы и другие вредоносные программы. Они представляют собой реальную опасность для современного бизнеса, широко использующего компьютерные сети, интернет и электронную почту. Проникновение вируса на узлы корпоративной сети может привести к нарушению их функционирования, потерям рабочего времени, утрате данных, краже конфиденциальной информации и даже прямым хищениям финансовых средств. Вирусная программа, проникшая в корпоративную сеть, может предоставить злоумышленникам частичный или полный контроль над деятельностью компании.

     4. Спам. Всего за несколько лет  спам из незначительного раздражающего  фактора превратился в одну  из серьезнейших угроз безопасности: электронная почта в последнее  время стала главным каналом  распространения вредоносных программ; спам отнимает массу времени  на просмотр и последующее  удаление сообщений, вызывает  у сотрудников чувство психологического  дискомфорта; как частные лица, так и организации становятся  жертвами мошеннических схем, реализуемых  спамерами; вместе со спамом  нередко удаляется важная корреспонденция,  что может привести к потере  клиентов, срыву контрактов и  другим неприятным последствиям; опасность потери корреспонденции  особенно возрастает при использовании  черных списков RBL и других  «грубых» методов фильтрации  спама.

     5. «Естественные» угрозы. На информационную  безопасность компании могут  влиять разнообразные внешние  факторы: причиной потери данных  может стать неправильное хранение, кража компьютеров и носителей,  форс-мажорные обстоятельства и  т.д.

     Таким образом, в современных условиях наличие развитой системы информационной безопасности становится одним из важнейших  условий конкурентоспособности  и даже жизнеспособности любой компании.

1.1 Цели и значение защиты информации

     Часто цель и задачи защиты информации отождествляют, что неверно.

     Цель  защиты информации – это то, ради чего она должна защищаться (предполагаемый результат деятельности по защите информации).

     Задачи  защиты информации – это, что необходимо сделать для реализации цели (результата защиты информации).

     Структура целей защиты информации.

     Защита  информации имеет два уровня целей

     Первый  уровень – непосредственные цели, которые должны быть привязаны к самой информации как непосредственному объекту защиты.

     Цель  защиты информации первого уровня – безопасность информации.

     Второй  уровень – конечные цели (опосредованные), которые должны быть привязаны к субъектам информационных отношений (государству, обществу, личности, конкретному хозяйствующему субъекту).

     Цель  защиты информации второго уровня –  безопасность субъектов информационных отношений.

     Защита информации – это деятельность собственника информации или уполномоченных им лиц по:

• обеспечению своих прав на владение, распоряжение и управление защищаемой информацией;
• предотвращению утечки и утраты информации;
• сохранению полноты, достоверности, целостности защищаемой информации, ее массивов и программ обработки;
• сохранению конфиденциальности или секретности защищаемой информации в соответствии с правилами, установленными законодательными и другими нормативными актами.

      В общем виде цели защиты информации сводятся к режимно-секретному информационному  обеспечению деятельности государства, отрасли, предприятия, фирмы.

     Задачи  защиты информации.

     Задачи  защиты информации также имеют два  уровня:

     Первый  уровень – задачи общеконцептуального плана:

• на предупреждение угроз. Предупреждение угроз – это превентивные меры по обеспечению информационной безопасности в интересах упреждения возможности их возникновения;
• на выявление угроз. Выявление угроз выражается в систематическом анализе и контроле возможности появления реальных или потенциальных угроз и своевременных мерах по их предупреждению;
• на обнаружение угроз. Обнаружение имеет целью определение реальных угроз и конкретных преступных действий;
• на локализацию преступных действий и принятие мер по ликвидации угрозы или конкретных преступных действий;
• на ликвидацию последствий угроз и преступных действий и восстановление статус-кво.

     Второй  уровень задач защиты информации зависит от конкретного предприятия (прикладные задачи). Они зависят:

• от видов защищаемой на предприятии информации;
• степени ее конфиденциальности;
• состава носителей защищаемой информации.

     Защита  информации разбивается на решение  двух основных групп задач:

     1. Своевременное и полное удовлетворение  информационных потребностей, возникающих  в процессе управленческой, инженерно-технической,  маркетинговой и иной деятельности, то есть обеспечение специалистов  организаций, предприятий и фирм секретной или конфиденциальной информацией.

     2. Ограждение засекреченной информации  от несанкционированного доступа  к ней соперника, других субъектов  в злонамеренных целях.

     При решении первой группы задач – обеспечение специалистов информацией – всегда, конечно, учитывается, что специалисты могут использовать как открытую, так и засекреченную информацию. Снабжение специалистов открытой информацией ничем не ограничивается, кроме ее фактического наличия. При снабжении же специалиста засекреченной информацией действуют ограничения: наличие соответствующего допуска (к какой степени секретности информации он допущен) и разрешения на доступ к конкретной информации. В решении проблемы доступа специалиста к соответствующей засекреченной информации всегда существуют противоречия, с одной стороны, – максимально ограничить его доступ к засекреченной информации и тем самым уменьшить вероятность утечки этой информации; с другой стороны, – наиболее полно удовлетворить его потребности в информации, в том числе и засекреченной для обоснованного решения им служебных задач.

     В обычных, не режимных условиях, специалист имеет возможность использовать в целях решения стоящей перед  ним проблемы разнообразную информацию: ретроспективную, узко - и широкотематическую, отраслевую и межотраслевую, фактографическую и концептуальную. При обеспечении его засекреченной информацией возможности доступа к ней ограничиваются двумя факторами: его служебным положением и решаемой специалистом в настоящее время проблемой.

     Вторая  группа задач – это ограждение защищаемой информации от несанкционированного доступа к ней соперника, включает такие условия, как:

1. Защита информационного суверенитета страны и расширение возможности государства по укреплению своего могущества 
   за счет формирования и управления развитием своего информационного потенциала.
2. Создание условий эффективного использования информационных ресурсов общества, отрасли, предприятия, фирмы, структурного подразделения, индивида.
3. Обеспечение безопасности защищаемой информации: предотвращение хищения, утраты, несанкционированного уничтожения, модификации, блокирования информации и т.п., вмешательства в информацию и информационные системы.
4. Сохранение секретности или конфиденциальности засекреченной информации в соответствии с установленными правилами ее защиты, в том числе предупреждения ее утечки и несанкционированного доступа к ее носителям, предотвращению ее копирования, фотографирования и др.
5. Сохранение полноты, достоверности, целостности информации и ее массивов и программ обработки, установленных собственником информации или уполномоченными им лицами.
6. Обеспечение конституционных прав граждан на сохранение 
   личной тайны и конфиденциальной персональной информации,  
   в том числе накапливаемой в банках данных.
7. Недопущение безнаказанного растаскивания и незаконного 
   использования интеллектуальной собственности, принадлежащей 
   государству, предприятиям и фирмам, частным лицам.

     Из  вышесказанного, можно сделать вывод  о «сущности информационной безопасности».

     В то время как информационная безопасность – это состояние защищённости информационной среды, защита информации представляет собой деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию, то есть процесс, направленный на достижение этого состояния.

     Информационная безопасность организации – состояние защищённости информационной среды организации, обеспечивающее её формирование, использование и развитие.

     Информационная безопасность государства – состояние сохранности информационных ресурсов государства и защищенности, законных прав личности и общества в информационной сфере.

     В современном социуме информационная сфера имеет две составляющие: информационно-техническую (искусственно созданный человеком мир техники, технологий и т. п.) и информационно-психологическую (естественный мир живой природы, включающий и самого человека). Соответственно, в общем случае информационную безопасность общества (государства) можно представить  двумя составными частями: информационно-технической  безопасностью и информационно-психологической (психофизической) безопасностью.

      Перечисленные примеры атак не являются новыми – они давно известны. Приведены они здесь только для того, чтобы показать, какие разнообразные причины могут послужить уязвимостями для систем. Новые виды атак появляются постоянно. Поэтому повторим еще раз основные рекомендации по противодействию им:

• стройте защиту на противостоянии не конкретной атаке, а классу атак;
• установите защиту на разных уровнях, так как новая атака, возможно, обойдет тот эшелон защиты, который был направлен против нее, но “споткнется” о другой эшелон соседнего класса (например, новый сверхвзломщик паролей, превосходящий имеющиеся заплаты и обновления системы, будет бесполезен, если сам файл паролей недоступен взломщику);
• будьте в курсе новых атак, о которых обычно информируют соответствующие организации, и своевременно устанавливайте обновления и заплатки на системы, выпускаемые производителем.

   Более серьезным материалом на тему формирования парольной политики может служить  документ CSC-STD-002-85 “Password Management Guide”  Министерства обороны США [DOD2], одна из книг так называемой Радужной серии (Rainbow series), куда входят знаменитые “Оранжевая”  [DOD1] и “Красная” [NCSC1] книги. В документе рассмотрены такие вопросы, как ответственность специалиста по безопасности, ответственность пользователя, функциональность механизма аутентификации и защита паролей. Кроме того, там предложены алгоритмы генерации и шифрования паролей, определение длины пароля, вероятности его угадывания и пр.

     Из  сказанного выше о значении и целях  информационной безопасности, можно  сделать следующий вывод: меры обеспечения сохранности и защиты информации в государственной организации, на предприятии или фирме различаются по своим масштабам и формам. Они зависят от производственных, финансовых и других возможностей фирмы, от количества охраняемых на нем секретов и их значимости. При этом выбор таких мер необходимо осуществлять по принципу экономической целесообразности, придерживаясь в финансовых расчетах «золотой середины», поскольку чрезмерное закрытие информации, так же как и халатное отношение к ее сохранению, могут вызвать потерю определенной доли прибыли или привести к непоправимым убыткам. Отсутствие у руководителей предприятий четкого представления об условиях, способствующих утечке конфиденциальной информации, приводят к ее несанкционированному распространению.

     Наличие большого количества уязвимых мест на любом современном предприятии  или фирме, широкий спектр угроз  и довольно высокая техническая  оснащенность злоумышленников требует  обоснованного выбора специальных  решений по защите информации.

     Глава 2 Информационная безопасность и Интернет

     Общение с использованием новейших средств  коммуникации вобрал в себя Интернет. Всемирная информационная сеть развивается  большими темпами, количество участников постоянно растет. По некоторым данным, в сети зарегистрировано около 1,5 миллиарда  страниц. Некоторые «живут» до полугода, а некоторые работают на своих  владельцев в полную силу и приносят большую прибыль. Информация в сети охватывает все стороны жизнедеятельности  человека и общества. Пользователи доверяют этой форме себя и свою деятельность. Однако опыт работы в  области компьютерных технологий полон  примеров недобросовестного использования  ресурсов Интернет.

     Специалисты говорят, что главная причина  проникновения в компьютерные сети – беспечность и неподготовленность пользователей. Это характерно не только для рядовых пользователей, но и для специалистов в области компьютерной безопасности. Вместе с тем, причина не только в халатности, но и в сравнительно небольшом опыте специалистов по безопасности в сфере информационных технологий. Связано это со стремительным развитием рынка сетевых технологий и самой сети Интернет.

     По  данным лаборатории Касперского, около 90% от общего числа проникновений  на компьютер вредоносных программ используется посредством Интернет, через электронную почту и  просмотр Web-страниц. Особое место среди таких программ занимает целый класс – Интернет-червь. Само распространяющиеся, не зависимо от механизма работы выполняют свои основные задачи по изменению настроек компьютера-жертвы, воруют адресную книгу или ценную информацию, вводят в заблуждение самого пользователя, создают рассылку с компьютера по адресам, взятым из записной книжки, делают компьютер чьим-то ресурсом или забирают часть ресурсов для своих целей или в худшем случае самоликвидируются, уничтожая все файлы на всех дисках.

     Все эти и другие с ними связанные  проблемы можно решить с помощью  наличия в организации проработанного документа, отражающего политику информационной безопасности компании. В таком документе  должны быть четко прописаны следующие  положения:

• как ведется работа с информацией предприятия;
• кто имеет доступ;
• система копирования и хранения данных;
• режим работы на ПК;
• наличие охранных и регистрационных документов на оборудование и программное обеспечение;
• выполнение требований к помещению, где располагается ПК и рабочее место пользователя;
• наличие инструкций и технической документации;
• наличие рабочих журналов и порядок их ведения.

     Кроме того, необходимо постоянно отслеживать  развитие технических и информационных систем, публикуемых в периодической  печати или следить за событиями, обсуждаемыми на подобных семинарах.

     Так согласно Указа Президента РФ «О мерах  по обеспечению информационной безопасности РФ при использовании информационно-телекоммуникационных сетей международного информационного  обмена», запрещено подключение  информационных систем, информационно-телекоммуникационных сетей и средств вычислительной техники, применяемых для хранения, обработки или передачи информации, содержащей сведения, составляющие государственную  тайну, либо информации, обладателями которой являются госорганы и  которая содержит сведения, составляющие служебную тайну, к информационно-телекоммуникационным сетям, позволяющим осуществлять передачу информации через государственную  границу РФ, в том числе к  Интернету.

     При необходимости подключения указанных  информационных систем, информационно-телекоммуникационных сетей и средств вычислительной техники к информационно-телекоммуникационным сетям международного информационного  обмена такое подключение производится только с использованием специально предназначенных для этого средств  защиты информации, в том числе  шифровальных (криптографических) средств, прошедших в установленном законодательством  РФ порядке сертификацию в Федеральной  службе безопасности РФ и (или) получивших подтверждение соответствия в Федеральной  службе по техническому и экспортному  контролю [2].