Информационные технологии в управлении качеством и защита информации - Курс лекций

2.4 Контроль доступа, базирующийся на ролях 2.5 Политика безопасности сети Идентификация и аутентификация субъектов 3.1 Классификация подсистем идентификации и аутентификации субъектов 4.1 Принципы криптографической защиты информацииИнформация превращается в наиболее ценный продукт и один из основных товаров, а общество становится информационным. Впервые за все время существования цивилизаций потребовалось законодательно сформулировать и определить информацию, установить структуру нормативно-законодательной базы по информации. Первым таким законом стал Федеральный закон Российской Федерации «Об информации, информатизации и защите информации» № 24-ФЗ от 20.02.95. Статьей предусмотрено наказание в виде штрафа в размере от двухсот до пятисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от двух до пяти месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет. Статьей предусмотрено наказание в виде штрафа в размере от пятисот до восьмисот минимальных размеров оплаты труда или в размере заработной платы или иного дохода осужденного за период от пяти до восьми месяцев, либо исправительными работами на срок от одного года до двух лет, либо арестом на срок от трех до шести месяцев, либо лишением свободы на срок до пяти лет.В 1992 году Федеральной службой по техническому экспорту и контролю (ФСТЭК) были разработаны и опубликованы пять руководящих документов, посвященных вопросам защиты информации в системах ее обработки. Защита от несанкционированного доступа к информации. Концепция защиты средств вычислительной техники и автоматизированных систем (АС) от несанкционированных действий (НСД) к информации.Под безопасностью автоматизированных систем обработки информации (АСОИ) понимают защищенность систем от случайного или преднамеренного вмешательства в нормальный процесс их функционирования, а также от попыток хищения, изменения или разрушения их компонентов [3]. Под доступом к информации понимается ознакомление с ней, ее обработка, в частности копирование, модификация и уничтожение. Понятие доступа к информации неразрывно связано с понятиями субъекта и объекта доступа (рис. Объект доступа - это пассивный компонент системы, хранящий, принимающий или передающий информацию (файл, каталог и т.п.). Санкционированный доступ к информации - это доступ, не нарушающий установленные правила разграничения доступа.С точки зрения информационной безопасности выделяют следующие свойства информации: конфиденциальность, целостность и доступность. Для остальных субъектов системы эта информация должна быть закрытой (рис 1.2). Проверка субъекта при допуске его к информации может осуществляться путем проверки знания им некоторого секретного ключа, пароля, идентификации его по фиксированным характеристикам и т.п. Целью злоумышленника является реализация какого-либо рода действий, приводящих к невыполнению (нарушению) одного или нескольких из свойств конфиденциальности, целостности или доступности информации. При реализации этих угроз информация становится известной лицам, которые не должны иметь к ней доступ.Принцип системности предполагает необходимость учета всех слабых и уязвимых мест АСОИ, возможных объектов и направлений атак, высокую квалификацию злоумышленника, текущих и возможных в будущем каналов реализации угроз. Принцип комплексности предполагает согласование работы разнородных систем защиты информации (СЗИ) при построении целостной системы защиты, отсутствие слабых мест при стыковке различных СЗИ. Принцип непрерывности защиты учитывает то, что защита информации не есть разовое мероприятие, а непрерывный целенаправленный процесс, предполагающий принятие соответствующих мер на всех этапах жизненного цикла АС. Принцип гибкости управления и применения системы защиты предполагает возможность варьировать уровень защищенности автоматизированной системы (АС). Гибкость управления и применения системы защиты спасает владельцев АС от необходимости принятия кардинальных мер по полной замене средств защиты на новые при смене условий функционирования АС.Под ценностью информации понимается ее свойство, характеризующее потери собственника данной информации при реализации определенной угрозы, выраженное в стоимостном, временном либо ином эквиваленте. Среди подходов к построению моделей защиты ИС, основанных на понятии ценности информации, наиболее известными являются: оценка, анализ и управление рисками ИБ, порядковые шкалы ценностей, модели решетки ценностей [4,6]. В этом случае предпочтительнее использовать подход, связанный со сравнением ценности отдельных информационных элементов между собой и введением порядковой шкалы ценностей. При оценке ценности информации в государственных структурах используется линейная порядковая шкала ценностей.

Оглавление

Введение

1. Основные понятия и определения предмета защиты информации

1.1 Правовое обеспечение информационной безопасности

1.2 Организационно - распорядительная документация

1.3 Санкционированный и несанкционированный доступ

1.4 Угрозы безопасности и каналы реализации угроз

1.5 Основные принципы обеспечения информационной безопасности

1.6 Ценность информации

1.7 Меры обеспечения безопасности компьютерных систем

Введение

Развивающиеся информационные технологии быстро внедряются во все сферы человеческого общества. Информация теперь официально определена идеальным объектом, имеющим ценность и стоимость как обычный продукт, стоимость которого обычно во много раз превосходит стоимость компьютерной системы, в которой она хранится и обрабатывается.

В связи с этим необходимо принимать во внимание возможные злонамеренные воздействия со стороны злоумышленников по отношению к информационным системам. Например, нарушитель может пытаться выдать себя за другого пользователя, прослушать канал связи, перехватить и модифицировать информацию, которой обмениваются пользователи системы, расширить свои полномочия для получения доступа к информации, к которой ему представлен только частичный доступ, попытаться разрушить систему.

Интенсивное развитие открытых компьютерных сетей привлекает все большее внимание к ним пользователей. Сеть предоставляет злоумышленникам множество возможностей для вторжения во внутренние сети компаний и организаций с целью хищения, искажения или разрушения конфиденциальной информации.

В подготовке учебника частично были использованы материалы И.В. Аникина и В.И. Глова [1].