Da bi se osigurala sigurnost informacija u kancelarijskim mrežama, provode se različite aktivnosti, objedinjene konceptom „sistema informacione sigurnosti“. Sistem zaštite informacija je skup mjera, softvera i hardvera, pravnih i moralnih i etičkih standarda koji imaju za cilj suzbijanje prijetnji nasilnika u cilju minimiziranja moguće štete korisnicima i vlasnicima sistema.

Tradicionalne mjere za suzbijanje curenja informacija dijele se na tehničke i organizacione.

Tehničke mere obuhvataju zaštitu od neovlašćenog pristupa sistemu, redundantnost posebno važnih računarskih podsistema, organizaciju računarskih mreža sa mogućnošću preraspodele resursa u slučaju kvara pojedinih veza, ugradnju opreme za detekciju i gašenje požara, opreme za detekciju vode, strukturalne mjere zaštite od krađe, sabotaže, sabotaže, eksplozija, ugradnja rezervnih sistema napajanja, opremanje prostorija bravama, ugradnja alarma i još mnogo toga.

Organizacione mjere uključuju sigurnost servera, pažljiv odabir osoblja, isključenje slučajeva kritičnog rada samo jedne osobe, plan za vraćanje performansi servera nakon kvara, raznovrsnost zaštite od svih korisnika (uključujući i top menadžment).

Do neovlaštenog pristupa informacijama može doći tokom održavanja ili popravke računara čitanjem preostalih informacija na mediju, uprkos tome što ih korisnik ukloni koristeći konvencionalne metode. Drugi način je čitanje informacija od nosača tokom njegovog transporta bez sigurnosti unutar objekta ili regije.

Savremeni računarski objekti su zasnovani na integrisanim kolima. U toku rada ovakvih kola dolazi do visokofrekventnih promena nivoa napona i struja, što dovodi do pojave u strujnim krugovima, u vazduhu, u obližnjoj opremi itd. elektromagnetna polja i prijemnici, koji se mogu transformisati u obrađene informacije uz pomoć posebnih sredstava (nazovimo ih uslovno "špijunski softver"). Kako se udaljenost između prijemnika uljeza i hardvera smanjuje, povećava se vjerovatnoća ovakvog preuzimanja i dešifriranja informacija.

Neovlašteno upoznavanje sa informacijama moguće je i direktnim povezivanjem "špijunskog softvera" od strane nasilnika na komunikacijske kanale i mrežni hardver.

Tradicionalne metode zaštite informacija od neovlaštenog pristupa su identifikacija i autentifikacija, zaštita lozinkom. Identifikacija i autentifikacija. U kompjuterskim sistemima koncentrisane su informacije, pravo korišćenja koje imaju određeni pojedinci ili grupe pojedinaca koji deluju na ličnu inicijativu ili u skladu sa službenim dužnostima. Da bi se osigurala sigurnost informacionih resursa, eliminisala mogućnost neovlašćenog pristupa, pojačana kontrola ovlašćenog pristupa poverljivim ili poverljivim informacijama, uvode se različiti sistemi identifikacije, autentifikacije objekata (subjekata) i kontrole pristupa. Konstrukcija ovakvih sistema zasniva se na principu prihvatanja i izvršavanja samo onih referenci na informacije u kojima su prisutni odgovarajući znaci dozvoljenih ovlašćenja.

Identifikacija i autentifikacija su ključni koncepti u ovom sistemu. Identifikacija je dodjela jedinstvenog imena ili slike objektu ili subjektu. Autentifikacija je utvrđivanje autentičnosti, tj. provera da li je objekat (subjekt) zaista ono za koga se predstavlja.

Krajnji cilj postupaka identifikacije i autentikacije za objekat (subjekt) je njegovo prihvatanje ograničenim informacijama u slučaju pozitivne provjere, odnosno odbijanje prijema u slučaju negativnog rezultata provjere. Objekti identifikacije i autentifikacije mogu biti: ljudi (korisnici, operateri, itd.); tehnička sredstva (monitori, radne stanice, pretplatničke tačke); dokumente (priručnik, ispis, itd.); Magnetni mediji za pohranu; informacije na ekranu monitora itd. Identifikaciju objekta može izvršiti hardverski uređaj, program, osoba itd.

Zaštita lozinkom. Lozinka je skup znakova koji definira objekt (subjekt). Prilikom odabira lozinke postavljaju se pitanja o njenoj veličini, otpornosti na neovlašteni odabir i načinu na koji se koristi. Naravno, što je lozinka duža, to će sistem pružiti veću sigurnost, jer će biti potrebno mnogo truda da se ona pogodi. Istovremeno, izbor dužine lozinke u velikoj mjeri je određen razvojem tehničkih sredstava, njihovom elementnom bazom i brzinom.

Ako se koristi lozinka, potrebno ju je periodično zamijeniti novom kako bi se smanjila vjerovatnoća njenog presretanja direktnom krađom medija, pravljenjem njegove kopije, pa čak i fizičkom prisilom osobe. Šifru korisnik unosi na početku interakcije sa računarskim sistemom, ponekad na kraju sesije (u posebno kritičnim slučajevima, normalna izlazna lozinka može se razlikovati od lozinke za unos). Za legitimitet korisnika može se predvidjeti unošenje lozinke u redovnim intervalima.

Lozinka se može koristiti za identifikaciju i provjeru autentičnosti terminala s kojeg se korisnik prijavljuje i za povratnu autentifikaciju računala korisniku. Za identifikaciju korisnika mogu se koristiti sistemi složeni u tehničkoj implementaciji koji obezbeđuju autentifikaciju korisnika na osnovu analize njegovih pojedinačnih parametara: otisaka prstiju, linija šake, šarenice, tembra glasa itd. Metode fizičke identifikacije korišćenjem nosilaca šifre za lozinke su široko rasprostranjene... Takvi mediji su propusnice u sistemima kontrole pristupa; plastične kartice sa imenom vlasnika, njegovom šifrom, potpisom; plastične kartice s magnetskom trakom; plastične kartice s ugrađenim mikrokolo (smart-card); optičke memorijske kartice itd.

Alati za sigurnost informacija prema metodama implementacije mogu se podijeliti u tri grupe:

• · Softver;
• · Softver i hardver;
• · Hardver.

Pod softverom za sigurnost informacija podrazumijevaju se posebno razvijeni programi koji implementiraju sigurnosne funkcije računarskog sistema, vrše funkciju ograničavanja pristupa korisnika lozinkama, ključevima, pristupu na više nivoa itd. Ovi programi se mogu implementirati na bukvalno bilo koji operativni sistem prilagođen korisniku. Tipično, ovi softverski alati pružaju prilično visok stepen zaštite sistema i imaju razumnu cijenu. Kada je takav sistem povezan na globalnu mrežu, povećava se vjerovatnoća probijanja zaštite. Stoga je ovaj način zaštite prihvatljiv za lokalne zatvorene mreže koje nemaju eksterni izlaz.

Hardver i softver su uređaji implementirani na univerzalnim ili specijalizovanim mikroprocesorima koji ne zahtevaju modifikacije u strujnom kolu kada se promeni algoritam rada. Ovi uređaji su takođe prilagodljivi svakom operativnom sistemu i imaju visok stepen zaštite. Oni će koštati malo više (njihova cijena ovisi o vrsti operativnog sistema). Štaviše, ovaj tip uređaja je najfleksibilniji alat koji vam omogućava da izvršite promjene u konfiguraciji na zahtjev kupca. Firmware pruža visok stepen zaštite za lokalnu mrežu spojenu na globalnu.

Hardver označava uređaje u kojima su funkcionalne jedinice implementirane na veoma velikim integrisanim sistemima (VLSI) sa nepromenljivim algoritmom rada. Ovaj tip uređaja se prilagođava svakom operativnom sistemu, najskuplji je za razvoj i ima visoke tehnološke zahtjeve u proizvodnji. Istovremeno, ovi uređaji imaju najviši stepen zaštite, nemoguće je prodrijeti u njih i napraviti konstruktivne ili softverske promjene. Upotreba hardvera je teška zbog njihove visoke cijene i statične prirode algoritma.

Softver i hardver, koji su inferiorni u odnosu na hardver u brzini, istovremeno omogućavaju laku modifikaciju algoritma funkcionisanja i nemaju nedostatke softverskih metoda. Posebna grupa mjera za osiguranje sigurnosti informacija i identifikaciju neovlaštenih upita obuhvata programe za otkrivanje prekršaja u realnom vremenu.

Održavanje

U svakom trenutku, informacije su bile osnova za razvoj čovječanstva i svih sfera aktivnosti. Danas u svakom poslovnom procesu posjedovanje informacija igra ključnu ulogu, a to znači i njihovu zaštitu.

Prema globalnim statistikama, 80% kompanija koje su procurile komercijalne informacije neminovno je završilo svoje aktivnosti kolapsom.

Danas je preko 4,6 miliona računara širom sveta ranjivo na ranjivosti, a preko 90% računara je potencijalno ranjivo. Dnevno se izvrši više od 6.000 napada na računarske mreže organizacija različitih nivoa. Prema InfoWatch-u, u 2007. globalni gubici od curenja informacija dostići će 1 bilion dolara. dolara To je 300 milijardi dolara više nego 2006. godine.

Posljednjih godina, hitnost ove prijetnje je toliko porasla da danas krađa povjerljivih informacija konstantno zauzima prvo mjesto u svim ocjenama prijetnji IT sigurnosti. Sve veća upotreba e-pošte, internet pejdžera i drugih sredstava za prenos podataka, rasprostranjenost mobilnih uređaja – sve to značajno otežava kontrolu tokova podataka, a samim tim doprinosi i curenju informacija.

Cilj predmeta je upoznavanje sa načinima zaštite informacija. Neke od njih ćemo detaljno razmotriti.

o Kriptografija

o Autentifikacija

o Evidentiranje i revizija

o Kontrola pristupa

U praktičnom dijelu nastavnog rada dobili smo ekonomski zadatak. U rešavanju toga korišćen je program za rad sa tabelama Microsoft Office Excel 2007. Dobijeni rezultati su jasno predstavljeni u obliku tabela i histograma.

Mjere sigurnosti informacija

Informaciona sigurnost naglašava važnost informacija u savremenom društvu – razumijevanje da su informacije vrijedan resurs, nešto više od pojedinačnih podataka. Informaciona sigurnost se odnosi na mjere zaštite informacija od neovlaštenog pristupa, uništenja, modifikacije, otkrivanja i kašnjenja u pristupu. Sigurnost informacija uključuje mjere za zaštitu procesa kreiranja, unosa, obrade i izlaza podataka. Cilj informacione sigurnosti je osigurati vrijednosti sistema, zaštititi i garantirati tačnost i integritet informacija, te minimizirati štetu koja može nastati ako se informacije modificiraju ili unište. Sigurnost informacija zahtijeva uzimanje u obzir svih događaja tokom kojih se informacije kreiraju, mijenjaju, pristupaju ili distribuiraju

Mogu se razlikovati sljedeće oblasti mjera sigurnosti informacija.

- legalno

Organizacijski

Technical

TO zakonske mjere treba da obuhvati razvoj normi koje utvrđuju odgovornost za kompjuterske zločine, zaštitu autorskih prava programera, unapređenje krivičnog i građanskog zakonodavstva. Pravne mjere uključuju i pitanja javne kontrole nad programerima kompjuterskih sistema i usvajanje međunarodnih ugovora o njihovim ograničenjima, ako utiču ili mogu uticati na vojne, ekonomske i socijalne aspekte života zemalja potpisnica sporazuma.

TO organizacioni aranžmani uključuje: sigurnost data centra, pažljiv odabir kadrova, raznovrsnost sredstava zaštite od svih korisnika (uključujući i top menadžment), dodjeljivanje odgovornosti osobama koje moraju osigurati sigurnost centra, izbor lokacije centra itd.

TO tehničke mjere obuhvataju zaštitu od neovlašćenog pristupa sistemu, rezervaciju posebno važnih računarskih podsistema, organizaciju računarskih mreža sa mogućnošću preraspodele resursa u slučaju kvara pojedinih veza, ugradnju opreme za detekciju i gašenje požara, preduzimanje strukturnih mera zaštite od krađe, sabotaže, sabotaže, eksplozije, ugradnja rezervnih sistema napajanja, opremanje prostorija bravama, ugradnja alarma i još mnogo toga.

Tehničke mjere sigurnosti informacija

Tehničke mjere se mogu klasificirati kao potencijalne prijetnje protiv kojih su usmjerene tehničke mjere zaštite informacija:

1. Gubitak informacija zbog kvarova opreme:

nestanci struje;

kvarovi disk sistema;

kvarovi servera, radnih stanica, mrežnih kartica itd.

2. Gubitak informacija zbog neispravnog rada programa:

gubitak ili promjena podataka zbog softverskih grešaka;

gubici kada je sistem zaražen kompjuterskim virusima;

3. Gubici povezani s neovlaštenim pristupom:

neovlašteno kopiranje, uništavanje ili falsifikovanje informacija;

upoznavanje sa povjerljivim informacijama

4. Greške servisera i korisnika:

slučajno uništenje ili izmjena podataka;

nepravilna upotreba softvera i hardvera, što dovodi do uništenja ili izmjene podataka.

Prema sredstvima zaštite, tehničke mjere se mogu podijeliti na:

Hardverska zaštita

Hardverska zaštita podrazumijeva posebna sredstva koja su direktno dio tehničke podrške i obavljaju funkcije zaštite kako samostalno tako iu kombinaciji s drugim sredstvima, na primjer, sa softverom.

Najvažniji elementi hardverske zaštite mogu se identifikovati:

zaštita od nestanka struje;

zaštita od kvarova servera, radnih stanica i lokalnih računara;

zaštita od kvarova uređaja, za pohranjivanje informacija;

zaštita od curenja informacija elektromagnetnog zračenja.

softverska zaštita

Softver, nazivaju se alati za zaštitu podataka koji funkcioniraju kao dio softvera.

Među njima su sljedeće;

alati za arhiviranje podataka

antivirusni softver

kriptografskim sredstvima

sredstva identifikacije i autentifikacije korisnika

kontrole pristupa

evidentiranje i revizija

Primjeri kombinacija gore navedenih sredstava su:

zaštita baze podataka

zaštita informacija pri radu u računarskim mrežama.

Uredba o mjerama za osiguranje zaštite informacija.

Opće odredbe

Upotreba automatizovanih sistema značajno povećava efikasnost organizacije i istovremeno stvara pretpostavke za izobličenje i gubitak informacija usled kvarova, kvarova, pogrešnih ili zlonamernih radnji uslužnog osoblja, neovlašćenih radnji trećih lica, kompjuterskih kriminala.

Upotreba mrežnih tehnologija u obradi informacija stavlja u prvi plan problem sigurnosti.

Ovaj dokument definira sljedeće sigurnosne aspekte:

• ograničavanje pristupa hardveru;
• usklađenost sa sigurnosnim standardima na radnim mjestima;
• pristup korisnika mrežnim resursima;
• diferencijacija prava na nivou aplikativnih programa;
• sigurnost pri radu sa elektronskom poštom;
• sigurnost pri radu sa internetom;
• zaštita informacija pri radu sa elektronskim finansijskim dokumentima;
• pružanje zaštite za prijenos finansijskih informacija.

1. Hardverska zaštita

Računarska oprema treba da se nalazi na mestima koja isključuju mogućnost pristupa neovlašćenih lica bez znanja zaposlenih u organizaciji. Glavni serveri bi trebalo da budu smešteni u odvojenim server sobama, kojima ima pristup ograničen broj zaposlenih u službi za automatizaciju organizacije. Spisak ovih zaposlenih mora da odobri ovlašćeni rukovodilac organizacije.

Dizajn mreže treba da minimizira vjerovatnoću neovlaštenog povezivanja na okosne kablove i/ili komutacione uređaje.

Da biste zaštitili računare instalirane izvan kontrolisanog područja organizacije, moraju biti ispunjeni sljedeći dodatni zahtjevi:

• kućište računara mora biti zapečaćeno;
• BIOS postavka računara mora biti zaštićena lozinkom administratora;
• računar se mora pokrenuti nakon unosa korisničke lozinke ( ovu lozinku kontroliše BIOS);
• BIOS administratorska i korisnička lozinka moraju imati najmanje 6 znakova i ne smiju se međusobno podudarati;
• ako to dozvoljavaju specifičnosti rada korisnika, onda ih treba blokirati ( fizički onemogućen ili odgovarajućom postavkom BIOS-a) uređaji kao što su CD drajv, flopi disk drajv ( diskete), USB portovi;

2. Poštivanje sigurnosnih standarda na radu

Svaki zaposleni je dužan da tokom radnog vremena obezbedi zaštitu od neovlašćenog pristupa informacijama na svom računaru. Na radnim mjestima korisnika sistema to se postiže korištenjem autentifikacije prilikom pokretanja operativnog sistema računara i zaključavanjem tastature prilikom privremenog napuštanja radnog mjesta.

U odjeljenjima organizacije treba obezbijediti stalnu vizuelnu kontrolu zaposlenih nad kompjuterima privremeno odsutnih kolega.

Prilikom slanja informacija na uređaj za štampanje, zaposleni su dužni da kontrolišu proces štampanja, dok štampač ne treba ostavljati bez nadzora. Sva štampana dokumenta moraju biti odneta na radno mesto. Papirna dokumenta, za čijom je daljom upotrebom nestala potreba, moraju se uništiti po redu koji je utvrdila organizacija, tj. korištenjem odgovarajuće opreme, isključujući mogućnost restauracije njihovog sadržaja.

Ukoliko je potrebno instalirati novi program na računar, korisnik je dužan da se obrati Odjeljenju za automatizaciju radi izvršenja odgovarajućih radnji. Nije dozvoljena samoinstalacija programa, kao i samopromena podešavanja računara, operativnog sistema i aplikativnih programa, promena konfiguracije računara. Svaki zaposlenik organizacije odgovoran je za prisustvo stranih programa i drugih nezvaničnih elektronskih informacija na njegovoj mašini.

Kada zaposleni u organizaciji rade sa klijentima, preporučljivo je isključiti mogućnost da klijenti gledaju sadržaj ekrana monitora. To se postiže međusobnim položajem zaposlenog i klijenta koji se uslužuju "licem u lice" i odgovarajućom rotacijom monitora.

Posebnu pažnju treba posvetiti unošenju lozinki: i mrežnih lozinki i lozinki koje se koriste u aplikacijama. Zabranjeno je zapisivati ​​ili pohranjivati ​​informacije o korisničkim lozinkama u fajlovima.

3. Zaštita na nivou lokalne mreže

3.1. Registracija korisnika na mreži

Sistem kontrole pristupa lokalnoj mreži određuje:

• šta korisnici mogu raditi na serveru datoteka;
• koje dane i u koje vrijeme korisnici mogu raditi;
• sa kojih radnih stanica korisnici mogu raditi.

Registraciju korisničkog naloga na LAN serveru vrši Administrator na osnovu prijave koju potpisuje šef odjeljenja u kojem zaposleni radi.

Za kontrolu pristupa mreži organizacije, svakom korisniku se dodjeljuje jedan jedinstveni identifikator ( naziv mreže), koju mu daje LAN administrator prilikom registracije, i privremenu lozinku za početno povezivanje na mrežu. Prilikom prvog povezivanja na mrežu, sistem kontrole pristupa će provjeriti ispravnost privremene lozinke i, ako je provjera uspješna, ponudit će promjenu lozinke u trajnu. Dužina lozinke koju odabere korisnik mora biti dovoljna da pruži razumnu grubu silu, obično 6 ili više znakova. Lozinka mora biti važeća ograničeni period, obično godinu dana ili manje.

Zahtjev za pristup korisnika LAN resursima potpisuje šef odjeljenja.

Prilikom otpuštanja, udaljenja sa posla, promjene radnih obaveza i funkcija, njegov neposredni rukovodilac je dužan da o tome pisanim putem obavijesti LAN administratora. Administrator je dužan da odmah izvrši odgovarajuće promjene u postavkama naloga i/ili u skupu ovlaštenja (prava) korisnika.

Prilikom registracije, svakom LAN korisniku se može postaviti ograničenje broja konekcija na svaki od servera – po pravilu jedna veza na svaki od servera potrebna za rad korisnika. Vezivanje imena mreže za MAC adrese radnih stanica može se koristiti kao dodatna zaštita.

Ukoliko je potrebno privremeno preneti ovlašćenja jednog korisnika LAN mreže na drugog, rukovodilac resornog odeljenja je dužan da o tome blagovremeno obavesti administratora LAN mreže. U obavještenju se navodi datum početka i datum opoziva delegiranja ovlaštenja sa jednog korisnika na drugog. Administratoru je zabranjeno delegiranje korisničkih ovlaštenja na usmeni zahtjev načelnika odjeljenja i zaposlenih. Nije dozvoljeno prenošenje mrežnog imena i/ili lozinke sa jednog korisnika na drugog.

Zahtjevi za povezivanje, delegiranje ovlaštenja i isključenje ( blokiranje) korisnike na mrežne resurse sprema administrator.

O svim pokušajima neovlašćenog pristupa informacijama u LAN-u administrator mora odmah obavijestiti šefa odjela za automatizaciju.

Administrator mora biti u mogućnosti da brzo dobije listu korisnika, grupa i strukturu njihovog pristupa mrežnim resursima.

3.2. Diferencijacija pristupa mrežnim resursima

Razlikovanje prava pristupa određenim bazama podataka i programima koji se nalaze na fajl serverima vrši se na nivou mrežnih uređaja i direktorijuma. U slučaju korištenja DBMS-a na strani servera treba koristiti njihove interne mehanizme za autentifikaciju korisnika i zaštitu podataka.

Za organizaciju zajedničkog rada sa resursima servera i razmjenu podataka putem servera kreiraju se korisničke grupe ( na primjer, po principu administrativne podjele, prema korištenim aplikacijama, imenicima itd.). Svaka grupa ima prava pristupa određenim resursima. Po pravilu se prava grupnog pristupa ne preklapaju.

Svaki korisnik, u skladu sa svojim funkcionalnim odgovornostima, pripada jednoj ili više grupa korisnika.

Serveri ne smiju imati javne naloge kao što je gost.

4. Razlikovanje prava pristupa na nivou aplikativnih programa

Za rad sa sistemima organizacije, svaki korisnik mora imati svoj jedinstveni identifikator i/ili lozinku. U zavisnosti od izvršenih operacija, korisniku se daje pristup određenim komponentama sistema. Istovremeno, pristup je ograničen na nivou funkcija koje se koriste i izvršenih operacija. Na najnižem nivou izvođači su definisani grupama dostupnih naloga i ovlašćenjem za rad sa tim računima.

Zahtjev za pristup korisnika programima potpisuje šef odjeljenja, a potpisuje glavni računovođa organizacije.

Funkcije dodjele korisničkih prava pristupa aplikacijskim sistemima dodijeljene su administratorima sistema i programa.

5. Korišćenje sistema korporativne pošte

Svaki korisnik mail sistema mora imati svoj jedinstveni identifikator i lozinku. Administrator poštanskog sistema odgovoran je za povezivanje korisnika sa sistemom i obavljanje potrebnih radova na održavanju.

Zabranjeno je korištenje mail sistema za prosljeđivanje poruka koje nisu vezane za rad organizacije: lične prepiske, neželjene pošte itd.

Zabranjeno je prosljeđivanje poruka koje sadrže komercijalne i druge vrste tajni na otvorenom ( nezaštićeni sistem zaštite kriptografskih informacija) obrazac.

Prilikom primanja poruka koje sadrže priložene datoteke, zaposlenik mora osigurati antivirusnu kontrolu ovih datoteka dok se ne koriste u aplikacijskim programima.

Na korporativnom serveru pošte preporučljivo je koristiti anti-spam i anti-virus filtere.

6. Sigurnosne mjere pri radu sa Internetom

Glavni zadatak pri interakciji sa Internetom je zaštita interne mreže. Obavezno je korištenje firewall-a, fizičko odvajanje resursa eksterne mreže od interne mreže organizacije.

Od integracije mreže organizacije, filijala i dop. uredi se odvijaju putem VPN-a izgrađenog na bazi Interneta, potrebno je osigurati pouzdanu zaštitu perimetra objedinjene mreže u svakoj od zasebnih divizija. To se postiže upotrebom odgovarajućih tehničkih i/ili softverskih alata: VPN-rutera, firewall-a, antivirusnog softvera.

Zabranjeno je korištenje Interneta u lične ili neposlovne svrhe.

Ako se prilikom pristupa Internetu pojave znaci nestandardnog ponašanja ili nestabilnog rada računara, kao i kada antivirusni sistem signalizira pokušaj zaraze, morate odmah obavijestiti administratora LAN-a organizacije.

7. Zaštita u prenošenju finansijskih informacija

Prilikom razmjene platnih dokumenata treba koristiti sredstva kriptografske zaštite prenesenih informacija: enkripciju i elektronski digitalni potpis ( EDS ). Dozvoljena je upotreba samo certificiranih kriptografskih zaštitnika.

Zaposleni odgovorni za formiranje disketa ključeva za sredstva kriptografske zaštite ( sigurnosni administratori), imenuju se po nalogu organizacije. Sve radnje za generiranje i prijenos ključeva trebaju biti dokumentirane od strane sigurnosnih administratora u posebnim logovima.

8. Dodatni zahtjevi za poštivanje sigurnosnih standarda tokom rada sistema "Klijent-Banka".

Poštivanje sigurnosnih mjera propisanih relevantnim dokumentima nadležnih organa potrebno je za obezbjeđivanje sigurnosti u organizaciji koja se bavi tehničkom podrškom, distribucijom i radom programa zaštite informacija prema klasi " WITH ».

Za rad u sistemu potrebno je pridržavanje sigurnosnih mjera" Klijent-Banka».

Pristup prostoriji u kojoj je instaliran kompjuter koji prenosi i prima dokumente putem sistema" Klijent-Banka»Treba dostaviti samo ograničenom broju osoba, čiji je spisak prikazan u odgovarajućim nalozima za organizaciju.

Zbog činjenice da je računar sa softverom za prijenos i primanje datoteka od učesnika u sistemu " Klijent-Banka»Direktno povezani na eksterne računarske mreže, morate:

1. Preduzmite mjere da osigurate da je nemoguće da se vanjski korisnik prijavi sa ovog računara na internu mrežu organizacije.

2. Sve poverljive informacije pohranjene na ovom računaru moraju biti šifrovane ili na drugi način transformisane kako bi se sprečila njihova neovlašćena upotreba.

Sve operacije i radnje koje se odvijaju u sistemu" Klijent-Banka"Mora biti upisano u fajlove ( časopisi) protokoli.

Da bi se sistem brzo obnovio, potrebno je kreirati njegove dnevne rezervne kopije, koje bi trebalo da budu pohranjene na drugom računaru, fizički lociranom u drugom prostoru organizacije.

9. Osiguravanje integriteta i pouzdanosti informacija

Povremeno treba provoditi profilaktičko skeniranje tvrdih diskova računala pomoću antivirusnih programa. Kada koristite prenosive medije elektronskih informacija, obavezno ih je provjeriti antivirusnim programom prilikom prve instalacije ( a za medije koji se mogu ponovno upisivati ​​- sa svakom instalacijom) na računar.

Osnovne informacije koje se pohranjuju elektronski na serverima organizacije trebale bi biti sigurnosne kopije na dnevnoj bazi. Trebali biste imati kopiju baze podataka o operativnim aktivnostima na početku dana.

Arhivske informacije moraju se kopirati u duplikatu na mediju za dugotrajno skladištenje ( CD-ROM, DVD-ROM, magneto-optički diskovi, itd.). Kopije arhivskih podataka treba čuvati u posebnim skladišnim prostorima koji osiguravaju odgovarajuće uslove za njihovo održavanje i nemogućnost neovlaštenog pristupa njima.

Preuzmite ZIP fajl (20862)

Dokumenti su dobro došli - stavite "like":

Kako počinje informatička sigurnost poslovnih računarskih mreža? Teorija govori o analizi rizika, kreiranju politike i organizaciji sigurnosti. I to je tačno. Ali prije nego što pređemo na teoriju, potrebno je uspostaviti elementarni red i disciplinu u informacionim službama preduzeća.

Trebali biste biti u mogućnosti da jasno odgovorite na pitanja:

Koliko računara (komunikacija, pomoćna oprema) je instalirano u vašem preduzeću?

Koliko ih je sada, u ovom trenutku, a ne koliko ih je bilo juče ili prije mjesec dana; koliko ih je na radnom mjestu, koliko u popravci, koliko u rezervi.

Hoćete li moći prepoznati svaki računar "iz viđenja"? Hoćete li pronaći hardversku "maskaradu" kada se neki računar ili dio ili softver mijenjaju tako da ono što se čini kao radni hardver je zapravo trojanski konj?

Koji se zadaci i za koju svrhu rješavaju na svakom računaru? Jeste li sigurni u potrebu za svakim komadom opreme koju kontrolišete i da među njima nema ničeg suvišnog, ugrađenog, recimo, za ljepotu i čekanja da vas primijeti neki mladi i hrabri zaposleni haker? Uostalom, ako od opreme nema koristi, sa stanovišta informacione sigurnosti, od nje se može očekivati ​​samo šteta. A evo još nekih hardverskih pitanja. Koja je procedura popravke i tehničkog održavanja računara?

Kako se oprema vraćena sa popravke provjerava prije ugradnje na redovno radno mjesto? Kako se računari oduzimaju i predaju odjeljenjima i koja je procedura za prijem nove opreme u rad?

Lista pitanja se nastavlja... Slična pitanja se mogu postaviti o softveru i osoblju.

Drugim riječima, zaštita informacija počinje formulisanjem i rješavanjem organizacijskih pitanja. Oni koji su se u praksi već morali baviti pitanjima informacione sigurnosti u automatizovanim sistemima, jednoglasno ističu sljedeću osobinu – stvarni interes za problem informacione sigurnosti, koji pokazuju najviši menadžeri, na nivou odjela nadležnih za operativnost. automatizovanog sistema organizacije je zamenjeno oštrim odbijanjem. Protiv obavljanja poslova i preduzimanja mjera za osiguranje informacione sigurnosti u pravilu se navode sljedeći argumenti:

Pojava dodatnih ograničenja za krajnje korisnike i stručnjake odjela za podršku, što otežava korištenje i rad automatiziranog sistema organizacije;

Potreba za dodatnim materijalnim troškovima kako za izvođenje takvog posla, tako i za proširenje osoblja stručnjaka koji se bave problemom informacione sigurnosti.

Uštede na informacijskoj sigurnosti mogu se izraziti u različitim oblicima, od kojih su ekstremni:

Usvajanje samo organizacionih mjera za osiguranje sigurnosti informacija u korporativnoj mreži (CS);

Korištenje samo dodatnih tehničkih sredstava zaštite informacija (TSZI).

U prvom slučaju, po pravilu se izrađuju brojne instrukcije, naredbe i propisi, osmišljeni u kritičnom trenutku da se odgovornost sa lica koja izdaju ova dokumenta prebace na konkretne izvršioce. Naravno, zahtjevi takvih dokumenata (u nedostatku odgovarajuće tehničke podrške) otežavaju svakodnevne aktivnosti zaposlenih u organizaciji i, po pravilu, nisu ispunjeni.

U drugom slučaju se kupuju i instaliraju dodatni TSZI. Upotreba TSZI bez odgovarajuće organizacijske podrške je također neefikasna zbog činjenice da bez utvrđenih pravila za obradu informacija u CS, korištenje bilo kojeg TSZI samo pojačava postojeći poremećaj. Razmotriti skup organizacionih mjera neophodnih za implementaciju zaštite informacija u računarskim mrežama. S jedne strane, ove mjere treba da budu usmjerene na osiguranje ispravnog funkcionisanja zaštitnih mehanizama i da ih sprovodi administrator sigurnosti sistema. S druge strane, rukovodstvo organizacije koja upravlja opremom za automatizaciju mora regulisati pravila automatske obrade informacija, uključujući i pravila za njihovu zaštitu, kao i utvrditi mjeru odgovornosti za kršenje ovih pravila.

Organizacione mjere uključuju:

Jednokratne (jednokratne i ponovljene samo uz potpunu reviziju donesenih odluka) aktivnosti;

Mjere koje se sprovode u sprovođenju ili nastanku određenih promjena u samoj zaštićenoj ZP ili u vanjskom okruženju (po potrebi);

Periodično održavane (nakon određenog vremena) događaji;

Konstantno (kontinuirano ili diskretno u nasumično vrijeme) aktivnosti koje se provode.

Jednokratni događaji

Jednokratni događaji uključuju:

Sistemske mjere za stvaranje naučnih, tehničkih i metodoloških osnova (koncepta i drugih smjernica) za zaštitu ZP;

Sprovedene mjere na projektovanju, izgradnji i opremanju računarskih centara i drugih objekata NEK (isključujući mogućnost tajnog prodora u prostorije, isključujući mogućnost ugradnje prislušne opreme i sl.);

Aktivnosti koje se sprovode prilikom projektovanja, razvoja i puštanja u rad hardvera i softvera (verifikacija i sertifikacija korišćenog hardvera i softvera, dokumentacije i dr.);

Sprovođenje posebnih provera sve računarske opreme koja se koristi u CS i preduzimanje mera zaštite informacija od curenja kroz kanale slučajnog elektromagnetnog zračenja i smetnji;

Izrada i odobravanje funkcionalnih odgovornosti službenika službe računarske sigurnosti;

Izrada potrebnih izmjena i dopuna svih organizacionih i administrativnih dokumenata (pravilnika o odjeljenjima, funkcionalnim dužnostima službenika, uputstva za korisnike sistema i dr.) o obezbjeđenju sigurnosti softverskih i informacionih resursa ZP i postupanja u slučaju kriznih situacija;

Izvršavanje pravnih dokumenata (u obliku ugovora, naloga i naloga menadžmenta organizacije) o regulisanju odnosa sa korisnicima (klijentima) koji rade u automatizovanom sistemu, između učesnika u razmeni informacija i treće strane (arbitraža, arbitražni sud) o pravilima za rješavanje sporova u vezi sa elektronskim potpisom aplikacije;

Utvrđivanje procedure za dodjelu, promjenu, odobravanje i davanje pojedinim službenicima potrebnih ovlaštenja za pristup resursima sistema;

Mjere za stvaranje sistema zaštite kompresorske stanice i stvaranje infrastrukture;

Mjere za izradu pravila za kontrolu pristupa sistemskim resursima (utvrđivanje liste zadataka koje rješavaju strukturni odjeli organizacije koristeći CS, kao i načina obrade i pristupa podacima koji se koriste u njihovom rješavanju; utvrđivanje liste fajlova i baza podataka koje sadrže informacije koje predstavljaju komercijalnu i službenu tajnu, kao i uslove za nivoe njihove zaštite od neovlašćenog pristupa tokom prenosa, skladištenja i obrade u CS; identifikacija najverovatnijih pretnji za ovaj CS, identifikacija ranjivosti u proces obrade informacija i pristupnih kanala do njega, procena moguće štete prouzrokovane narušavanjem informacione bezbednosti, izrada adekvatnih zahteva o glavnim oblastima zaštite);

Organizacija pouzdane kontrole pristupa;

Utvrđivanje redosleda knjiženja, izdavanja, korišćenja i skladištenja prenosivih magnetnih medija za skladištenje koji sadrže standardne i rezervne kopije programa i informacionih nizova, arhivskih podataka i dr.;

Organizacija računovodstva, skladištenja, korištenja i uništavanja dokumenata i medija s povjerljivim podacima;

Određivanje redosleda projektovanja, razvoja, otklanjanja grešaka, modifikacije, nabavke, specijalnog istraživanja, puštanja u rad, skladištenja i kontrole integriteta softverskih proizvoda, kao i postupka ažuriranja verzija korišćenih i instaliranja novih sistemskih i aplikativnih programa na radna mesta zaštićenog sistema (ko ima pravo da ovlasti takve radnje ko sprovodi, ko kontroliše i šta treba da rade pri tome);

Formiranje odeljenja (službi) računarske bezbednosti ili, u slučaju malih organizacija i odeljenja, imenovanje vanslužbenih odgovornih lica koja vrše jedinstveno rukovođenje, organizaciju i kontrolu ispunjavanja uslova od strane svih kategorija službenika za obezbeđenje bezbednosti softvera i informacionih resursa automatizovanog sistema za obradu informacija;

Utvrđivanje liste neophodnih redovno sprovodenih preventivnih mera i operativnih radnji osoblja radi obezbeđenja kontinuiranog rada i obnavljanja računarskog procesa nuklearne elektrane u kritičnim situacijama nastalim kao posledica neovlašćenog upravljanja, kvarova i kvarova SVT, grešaka u programi i akcije osoblja, elementarne nepogode.

Periodično održavani događaji

Aktivnosti koje se periodično održavaju uključuju:

Distribucija detalja kontrole pristupa (lozinke, ključevi za šifriranje, itd.);

Analiza sistemskih logova, preduzimanje radnji po uočenim povredama pravila rada,

Mjere za reviziju pravila za razgraničenje pristupa korisnika informacijama u organizaciji;

Periodično, uz uključivanje stručnjaka trećih strana, analizu stanja i procjenu efikasnosti mjera i primijenjene zaštitne opreme. Na osnovu informacija dobijenih kao rezultat takve analize, preduzeti potrebne mjere za unapređenje sistema zaštite;

Mjere revizije sastava i konstrukcije sistema zaštite.

Sprovedene aktivnosti po potrebi

Aktivnosti koje se provode po potrebi uključuju:

Mjere koje se provode u slučaju kadrovskih promjena u sastavu osoblja sistema;

Mjere koje se sprovode prilikom popravke i modifikacije opreme i softvera (strogo autorizacija, razmatranje i odobravanje svih izmjena, provjera da li ispunjavaju zahtjeve zaštite, dokumentovanje promjena i sl.);

Aktivnosti na odabiru i raspoređivanju kadrova (provera angažovanih, obuka o pravilima rada sa informacijama, upoznavanje sa merama odgovornosti za kršenje pravila zaštite, obuka, stvaranje uslova pod kojima bi osoblje bilo neisplativo krše svoje dužnosti itd.).

Trajni događaji

Tekuće aktivnosti uključuju:

Mere za obezbeđivanje dovoljnog nivoa fizičke zaštite svih komponenti kompresorske stanice (protivpožarna zaštita, obezbeđenje prostorija, kontrola pristupa, obezbeđenje bezbednosti i fizičkog integriteta SVT, nosača informacija i dr.).

Mjere za kontinuiranu podršku funkcioniranju i upravljanju korištenom zaštitnom opremom;

Eksplicitna i skrivena kontrola nad radom osoblja sistema;

Kontrola sprovođenja odabranih mjera zaštite u toku projektovanja, razvoja, puštanja u rad i rada NE;

Konstantno (od strane službe (službe)) i periodično (uz angažovanje stručnjaka trećih lica) vrši se analiza stanja i procena efikasnosti mera i primenjenih sredstava zaštite.

Nakon donekle detaljnije metodologije izgradnje sistema informacione bezbednosti u vezi sa korporativnom mrežom, a takođe uzimajući u obzir navedeno o mogućim mrežnim pretnjama i dostupnim metodama borbe protiv njih, algoritam za izgradnju sistema informacione bezbednosti za korporativnu mrežu može se predstavljeno na sljedeći način.

Čitav objekat zaštite ima nekoliko pravaca mogućih napada. Za svaku vrstu napada postoje odgovarajuće metode i sredstva za borbu protiv njih. Nakon što smo identifikovali glavne metode borbe, formiraćemo politiku bezbednosti informacija. Odabravši, u skladu sa formiranom politikom, set sredstava informacione bezbednosti, kombinujući ih sa sistemom kontrole, zapravo ćemo dobiti sistem zaštite informacija.

Na isti način se analiziraju prijetnje na nivou korporativne mreže. Može se predstaviti sa tri glavne komponente - hardverom, informacijskom podrškom i softverom. Svaka od ovih komponenti može se dodatno detaljizirati do stepena dovoljnog da se formulišu glavne prijetnje na ovom nivou i mogući načini suočavanja s njima.

Izbor specifičnih metoda i sredstava zaštite informacija na nivou mreže takođe se pretvara u odgovarajuću politiku i sistem informacione bezbednosti, koji se organski stapaju u opštu politiku i sistem informacione bezbednosti čitavog objekta ( pogledajte dijagram "Moguće prijetnje" ispod).

Da bi se osigurala sigurnost informacija u kancelarijskim mrežama, provode se različite aktivnosti, objedinjene konceptom „sistema informacione sigurnosti“. Sistem zaštite informacija je skup mjera, softvera i hardvera, pravnih i moralnih i etičkih standarda koji imaju za cilj suzbijanje prijetnji nasilnika u cilju minimiziranja moguće štete korisnicima i vlasnicima sistema.

Tradicionalne mjere za suzbijanje curenja informacija dijele se na tehničke i organizacione G. Konakhovič Zaštita informacija u telekomunikacionim sistemima. - M.: MK-Press, 2005. S. 123 ..

Tehničke mere obuhvataju zaštitu od neovlašćenog pristupa sistemu, redundantnost posebno važnih računarskih podsistema, organizaciju računarskih mreža sa mogućnošću preraspodele resursa u slučaju kvara pojedinih veza, ugradnju opreme za detekciju i gašenje požara, opreme za detekciju vode, strukturalne mjere zaštite od krađe, sabotaže, sabotaže, eksplozija, ugradnja rezervnih sistema napajanja, opremanje prostorija bravama, ugradnja alarma i još mnogo toga.

Organizacione mjere uključuju sigurnost servera, pažljiv odabir osoblja, isključenje slučajeva kritičnog rada samo jedne osobe, plan za vraćanje performansi servera nakon kvara, raznovrsnost zaštite od svih korisnika (uključujući i top menadžment).

Do neovlaštenog pristupa informacijama može doći tokom održavanja ili popravke računara čitanjem preostalih informacija na mediju, uprkos tome što ih korisnik ukloni koristeći konvencionalne metode. Drugi način je čitanje informacija od nosača tokom njegovog transporta bez sigurnosti unutar objekta ili regije.

Savremeni računarski objekti su zasnovani na integrisanim kolima. U toku rada ovakvih kola dolazi do visokofrekventnih promena nivoa napona i struja, što dovodi do pojave u strujnim krugovima, u vazduhu, u obližnjoj opremi itd. elektromagnetna polja i smetnje, koje se uz pomoć posebnih sredstava mogu transformisati u obrađene informacije. Kako se udaljenost između prijemnika uljeza i hardvera smanjuje, povećava se vjerovatnoća ovakvog preuzimanja i dešifriranja informacija.

Neovlašteno upoznavanje sa informacijama moguće je i direktnim povezivanjem "špijunskog softvera" od strane nasilnika na komunikacijske kanale i mrežni hardver.

Tradicionalne metode zaštite informacija od neovlaštenog pristupa su identifikacija i autentifikacija, zaštita lozinkom. Korzhov V. Strategija i taktika zaštite // Computerworld Russia - 2004. - №14.

Identifikacija i autentifikacija. U kompjuterskim sistemima koncentrisane su informacije, pravo korišćenja koje imaju određeni pojedinci ili grupe pojedinaca koji deluju na ličnu inicijativu ili u skladu sa službenim dužnostima. Da bi se osigurala sigurnost informacionih resursa, eliminisala mogućnost neovlašćenog pristupa, pojačana kontrola ovlašćenog pristupa poverljivim ili poverljivim informacijama, uvode se različiti sistemi identifikacije, autentifikacije objekata (subjekata) i kontrole pristupa. Konstrukcija ovakvih sistema zasniva se na principu prihvatanja i izvršavanja samo onih referenci na informacije u kojima su prisutni odgovarajući znaci dozvoljenih ovlašćenja.

Identifikacija i autentifikacija su ključni koncepti u ovom sistemu. Identifikacija je dodjela jedinstvenog imena ili slike objektu ili subjektu. Autentifikacija je utvrđivanje autentičnosti, tj. provera da li je objekat (subjekt) zaista ono za koga se predstavlja.