Обеспечение информационной безопасности и её модели: апеллируемость, подотчётность, достоверность, аутентичность. Основные меры защиты административно-организационного уровня. Минимизирование потерь в случае несанкционированного доступа к данным.
ликвидация возможных опасностей, исходя из концентрации и остаточного риска, и ликвидация последствий воздействия опасности на человека. информационный безопасность несанкционированный Под информационной безопасностью понимается защищенность информации и поддерживающей ее инфраструктуры от любых случайных или злонамеренных воздействий, результатом которых может явиться нанесение ущерба самой информации, ее владельцам или поддерживающей инфраструктуре[1]. Фрагментарные меры защиты информации обеспечивают защиту конкретных объектов сети только от конкретной угрозы. К недостаткам этого подхода относятся: ограничения на свободу действий пользователей ЛВС, чувствительность к ошибкам установки и настройки средств защиты, сложность управления. Нарушение безопасности информации в ЛВС крупных организаций может нанести огромный материальный ущерб как самим организациям, так и их клиентам.Потеря конфиденциальной информации приносит компании существенный материальный ущерб.
Введение
БЖД - состояние защищенности материального мира и человеческого общества от негативных воздействий различного характера. Тремя основными задачами БЖД являются: ? идентификация вида опасности с указанием ее количественных характеристик и координат;
? защита от опасности на основе сопоставления затрат и выгод;
? ликвидация возможных опасностей, исходя из концентрации и остаточного риска, и ликвидация последствий воздействия опасности на человека. информационный безопасность несанкционированный
В данном проекте будет рассмотрено обеспечение информационной безопасности в ЛВС.
1.2 Понятие информационной безопасности
Под информационной безопасностью понимается защищенность информации и поддерживающей ее инфраструктуры от любых случайных или злонамеренных воздействий, результатом которых может явиться нанесение ущерба самой информации, ее владельцам или поддерживающей инфраструктуре[1].
Информационная безопасность - это процесс обеспечения конфиденциальности, целостности и доступности информации[2].
Конфиденциальность - состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право;
Доступность - избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа.
Выделяют[6] и другие не всегда обязательные свойства модели информационной безопасности: апеллируемость - невозможность отказа от авторства;
подотчетность - обеспечение идентификации субъекта доступа и регистрации его действий;
достоверность - свойство соответствия предусмотренному поведению или результату;
аутентичность или подлинность - свойство, гарантирующее, что субъект или ресурс идентичны заявленным.
Действия, которые могут нанести ущерб информационной безопасности организации, можно разделить на несколько категорий[7]: 1. Действия, осуществляемые авторизованными пользователями. В эту категорию попадают: целенаправленная кража или уничтожение данных на рабочей станции или сервере; повреждение данных пользователей в результате неосторожных действий.
2. «Электронные» методы воздействия, осуществляемые третьими лицами, под ними понимаются люди, занимающиеся компьютерными преступлениями профессионально. К таким методам относятся: несанкционированное проникновение в компьютерные сети; DOS-атаки.
Целью несанкционированного проникновения извне в сеть предприятия может быть нанесение вреда (уничтожения данных), кража конфиденциальной информации и использование ее в незаконных целях, использование сетевой инфраструктуры для организации атак на узлы третьих фирм, кража средств со счетов и т.п.
Атака типа DOS[3] - это внешняя атака на узлы сети предприятия, отвечающие за ее безопасную и эффективную работу. Злоумышленники организуют массированную отправку пакетов данных на эти узлы, чтобы вызвать их перегрузку и, в итоге, на какое-то время вывести их из строя. Это, как правило, влечет за собой нарушения в бизнес-процессах компании-жертвы, потерю клиентов, ущерб репутации и т.п.
3. Компьютерные вирусы. Отдельная категория электронных методов воздействия ? компьютерные вирусы и другие вредоносные программы. Они представляют собой реальную опасность для современного бизнеса, широко использующего компьютерные сети, интернет и электронную почту. Проникновение вируса на узлы корпоративной сети может привести к нарушению их функционирования, потерям рабочего времени, утрате данных, краже конфиденциальной информации и даже прямым хищениям финансовых средств. Вирусная программа, проникшая в корпоративную сеть, может предоставить злоумышленникам частичный или полный контроль над деятельностью компании.
4. «Естественные» угрозы. На информационную безопасность компании могут влиять разнообразные внешние факторы: причиной потери данных может стать неправильное хранение информации, организация системы хранения данных без резервирования, кража компьютеров и носителей информации, форс-мажорные обстоятельства и т.д.
Таким образом, в современных условиях наличие развитой системы информационной безопасности становится одним из важнейших условий конкурентоспособности любой компании.
1.3 Методы обеспечения информационной безопасности
Существует два подхода к проблеме обеспечения безопасности компьютерных систем и сетей: «фрагментарный» и комплексный.
«Фрагментарный» подход направлен на противодействие четко определенным угрозам в заданных условиях. В качестве примеров реализации такого подхода можно указать отдельные средства управления доступом, автономные средства шифрования, специализированные антивирусные программы. Достоинством такого подхода является высокая избирательность к конкретной угрозе. Существенный недостаток - отсутствие единой защищенной среды обработки информации. Фрагментарные меры защиты информации обеспечивают защиту конкретных объектов сети только от конкретной угрозы. Даже небольшое видоизменение угрозы ведет к потере эффективности защиты.
Комплексный подход ориентирован на создание защищенной среды обработки информации в ЛВС, объединяющей в единый комплекс разнородные меры противодействия угрозам. Организация защищенной среды обработки информации позволяет гарантировать определенный уровень безопасности сети, что является несомненным достоинством комплексного подхода. К недостаткам этого подхода относятся: ограничения на свободу действий пользователей ЛВС, чувствительность к ошибкам установки и настройки средств защиты, сложность управления.
Комплексный подход применяют для защиты ЛВС крупных организаций или небольших сетей, выполняющих ответственные задачи или обрабатывающих особо важную информацию. Нарушение безопасности информации в ЛВС крупных организаций может нанести огромный материальный ущерб как самим организациям, так и их клиентам. Поэтому такие организации вынуждены уделять особое внимание гарантиям безопасности и реализовывать комплексную защиту. Комплексного подхода придерживаются большинство государственных и крупных коммерческих предприятий и учреждений. Этот подход нашел свое отражение в различных стандартах.
Комплексный подход к проблеме обеспечения безопасности основан на разработанной для конкретной сети политике безопасности. Политика безопасности регламентирует эффективную работу средств защиты ЛВС. Она охватывает все особенности процесса обработки информации, определяя поведение системы в различных ситуациях. Надежная система безопасности сети не может быть создана без эффективной политики сетевой безопасности.
Для защиты интересов субъектов информационных отношений необходимо сочетать меры следующих уровней[4]: законодательного (стандарты, законы, нормативные акты и т. п.) административно-организационного (действия общего характера, предпринимаемые руководством организации, и конкретные меры безопасности, имеющие дело с людьми);
Для обеспечения защиты информации на административно-организационном уровне, администрация организации должна сознавать необходимость поддержания режима безопасности и выделять на эти цели соответствующие ресурсы. Основой мер защиты административно-организационного уровня является политика безопасности и комплекс организационных мер.
К комплексу организационных мер относятся меры безопасности, реализуемые людьми. Выделяют следующие группы организационных мер: 1) управление персоналом;
2) физическая защита;
3) поддержание работоспособности;
4) реагирование на нарушения режима безопасности;
5) планирование восстановительных работ.
Для поддержания режима информационной безопасности особенно важны меры программно-технического уровня, поскольку основная угроза компьютерным системам исходит от них самих: сбои оборудования, ошибки программного обеспечения, промахи пользователей и администраторов и т. п. В рамках современных информационных систем должны быть доступны следующие механизмы безопасности[5]: 1) средства идентификации и аутентификации пользователей (комплекс 3А);
2) средства шифрования информации;
3) межсетевые экраны;
4) средства контентной фильтрации.;
5) средства антивирусной защиты;
6) системы обнаружения уязвимостей сетей и анализаторы сетевых атак.
«Комплекс 3А» включает аутентификацию (или идентификацию), авторизацию и администрирование. Идентификация и авторизация ? это ключевые элементы информационной безопасности. При попытке доступа к информационным активам функция идентификации дает ответ на вопрос: «Кто вы?» и «Где вы?» ? являетесь ли вы авторизованным пользователем сети. Функция авторизации отвечает за то, к каким ресурсам конкретный пользователь имеет доступ. Функция администрирования заключается в наделении пользователя определенными идентификационными особенностями в рамках данной сети и определении объема допустимых для него действий.
Системы шифрования позволяют минимизировать потери в случае несанкционированного доступа к данным, хранящимся на жестком диске или ином носителе, а также перехвата информации при ее пересылке по электронной почте или передаче по сетевым протоколам. Задача данного средства защиты - обеспечение конфиденциальности. Основные требования, предъявляемые к системам шифрования - высокий уровень криптостойкости и легальность использования на территории России (или других государств).
Межсетевой экран - комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданными правилами.
Основной принцип действия межсетевых экранов ? проверка каждого пакета данных на соответствие входящего и исходящего IP-адреса базе разрешенных адресов. Таким образом, межсетевые экраны значительно расширяют возможности сегментирования информационных сетей и контроля за циркулированием данных. Типичные возможности межсетевых экранов[9]: 1) фильтрация доступа к заведомо незащищенным службам;
2) препятствование получению закрытой информации из защищенной подсети, а также внедрению в защищенную подсеть ложных данных с помощью уязвимых служб;
3) может регистрировать все попытки доступа как извне, так и из внутренней сети, что позволяет вести учет использования доступа в Интернет отдельными узлами сети;
4) регламентирование порядка доступа к сети;
5) уведомление о подозрительной деятельности, попытках зондирования или атаки на узлы сети или сам экран.
Так же, в связке с межсетевыми экранами и шифрованием используются виртуальные защищенные сети, VPN. Их использование позволяет решить проблемы конфиденциальности и целостности данных при их передаче по открытым коммуникационным каналам. Использование VPN можно свести к решению трех основных задач[8]: 1. защита информационных потоков между различными офисами компании (шифрование информации производится только на выходе во внешнюю сеть);
2. защищенный доступ удаленных пользователей сети к информационным ресурсам компании, как правило, осуществляемый через интернет;
3. защита информационных потоков между отдельными приложениями внутри корпоративных сетей (этот аспект также очень важен, поскольку большинство атак осуществляется из внутренних сетей).
Эффективное средство защиты от потери конфиденциальной информации ? фильтрация содержимого входящей и исходящей электронной почты. Проверка самих почтовых сообщений и вложений в них на основе правил, установленных в организации, позволяет также обезопасить компании от ответственности по судебным искам и защитить их сотрудников от спама. Средства контентной фильтрации позволяют проверять файлы всех распространенных форматов, в том числе сжатые и графические. При этом пропускная способность сети практически не меняется.
К средствам антивирусной защиты относят программные пакеты, способные выявить практически все уже известные вирусные программы через сравнение кода подозрительного файла с образцами, хранящимися в антивирусной базе. Кроме того, разработаны технологии моделирования поведения, позволяющие обнаруживать вновь создаваемые вирусные программы. Обнаруживаемые объекты могут подвергаться лечению, изолироваться (помещаться в карантин) или удаляться. Защита от вирусов может быть установлена на рабочие станции, файловые и почтовые сервера, межсетевые экраны, работающие под практически любой из распространенных операционных систем (Windows, Unix- и Linux-системы) на процессорах различных типов.
Для противодействия естественным угрозам информационной безопасности в компании должен быть разработан и реализован набор процедур по предотвращению чрезвычайных ситуаций (например, по обеспечению физической защиты данных от пожара) и минимизации ущерба в том случае, если такая ситуация все-таки возникнет. Один из основных методов защиты от потери данных - резервное копирование с четким соблюдением установленных процедур (регулярность, типы носителей, методы хранения копий и т.д.).
Вывод
1. Потеря конфиденциальной информации приносит компании существенный материальный ущерб.
2. В современных условиях безопасность информационных ресурсов может быть обеспечена только комплексной системной защиты информации.
3. Основными целями защиты информации являются обеспечение конфиденциальности, целостности, полноты и достаточности информационных ресурсов.
Список литературы
1. Указ Президента РФ «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена» от 17.03.2008 №351;
2. Лопатин, В.Н. Информационная безопасность России: Человек, общество, государство. Серия: Безопасность человека и общества. М.: 2000. - 428 с;
3. Шаньгин, В.Ф. Защита компьютерной информации. Эффективные методы и средства. ? М.: ДМК Пресс, 2008. - 544 с.
4. Галатенко, В.А. Основы информационной безопасности. Интернет-университет информационных технологий ? ИНТУИТ.ру, 2008;
5. Щербаков, А.Ю. Современная компьютерная безопасность. Теоретические основы. Практические аспекты. ? М.: Книжный мир, 2009. - 352 с.
6. ГОСТ Р ИСО/МЭК 13335-1-2006 (Информационная технология. Методы и средства обеспечения безопасности).
7. Асаул, А.Н. Организация предпринимательской деятельности. Учебник. СПБ.: АНО ИПЭВ, 2009. - 336с.
8. Олифер В. Г., Олифер Н. А. Компьютерные сети. Принципы, технологии, протоколы: Учебник для вузов. - СПБ.: Питер, 2001. - 672 с.
9. Дэвид В. Чепмен, мл., Энди Фокс Брандмауэры Cisco Secure PIX = Cisco Secure PIX Firewalls. - М.: «Вильямс», 2003. - С. 384. - ISBN 1-58705-035-
Размещено на .ru
Вы можете ЗАГРУЗИТЬ и ПОВЫСИТЬ уникальность своей работы
