برای اطمینان از امنیت اطلاعات در شبکه های اداری، اقدامات مختلفی انجام می شود که با مفهوم "سیستم امنیت اطلاعات" متحد شده است. سیستم امنیت اطلاعات مجموعه‌ای از اقدامات، نرم‌افزار و سخت‌افزار، استانداردهای قانونی، اخلاقی و اخلاقی است که با هدف مقابله با تهدیدات متخلفان به منظور به حداقل رساندن آسیب‌های احتمالی به کاربران و صاحبان سیستم انجام می‌شود.

اقدامات سنتی برای مبارزه با نشت اطلاعات به فنی و سازمانی تقسیم می شود.

اقدامات فنی شامل حفاظت در برابر دسترسی غیرمجاز به سیستم، افزونگی زیرسیستم های کامپیوتری به ویژه مهم، سازماندهی شبکه های کامپیوتری با امکان توزیع مجدد منابع در صورت خرابی لینک های فردی، نصب تجهیزات تشخیص و اطفاء حریق، تجهیزات تشخیص آب، پذیرش است. اقدامات ساختاری برای محافظت در برابر سرقت، خرابکاری، خرابکاری، انفجار، نصب سیستم های منبع تغذیه پشتیبان، تجهیز محل به قفل، نصب سیستم های هشدار و موارد دیگر.

اقدامات سازمانی شامل امنیت سرور، انتخاب دقیق پرسنل، مستثنی کردن موارد کارهای مهمی که فقط توسط یک نفر انجام می شود، داشتن برنامه ای برای بازگرداندن عملکرد سرور پس از از کار افتادن، و حفاظت جهانی در برابر همه کاربران (از جمله مدیریت ارشد) است.

دسترسی غیرمجاز به اطلاعات می‌تواند در حین نگهداری یا تعمیر کامپیوتر با خواندن اطلاعات باقی‌مانده روی رسانه، علی‌رغم حذف آن توسط کاربر با استفاده از روش‌های مرسوم، رخ دهد. روش دیگر خواندن اطلاعات از رسانه در حالی است که بدون امنیت در یک شی یا منطقه منتقل می شود.

ابزارهای کامپیوتری مدرن بر روی مدارهای مجتمع ساخته شده اند. در حین کار چنین مدارهایی، تغییرات فرکانس بالا در سطوح ولتاژ و جریان رخ می دهد که منجر به وقوع در مدارهای قدرت، هوا، تجهیزات مجاور و غیره می شود. میدان های الکترومغناطیسی و تداخل، که با کمک ابزارهای ویژه (اجازه دهید آنها را "جاسوس افزار" نامگذاری کنیم) می توانند به اطلاعات پردازش شده تبدیل شوند. با کاهش فاصله بین گیرنده نفوذگر و سخت افزار، احتمال این نوع جمع آوری اطلاعات و رمزگشایی افزایش می یابد.

همچنین دسترسی غیرمجاز به اطلاعات توسط مجرم که مستقیماً "جاسوس افزار" را به کانال های ارتباطی و سخت افزار شبکه متصل می کند امکان پذیر است.

روش های سنتی محافظت از اطلاعات در برابر دسترسی غیرمجاز عبارتند از شناسایی و احراز هویت، حفاظت از رمز عبور. شناسایی و احراز هویت. سیستم‌های رایانه‌ای حاوی اطلاعاتی هستند که حق استفاده از آن متعلق به افراد یا گروه‌هایی از افراد است که به ابتکار خود یا مطابق با وظایف رسمی خود عمل می‌کنند. برای تضمین امنیت منابع اطلاعاتی، از بین بردن امکان دسترسی غیرمجاز و تقویت کنترل دسترسی مجاز به اطلاعات محرمانه یا طبقه بندی شده، سیستم های مختلف شناسایی، تعیین اصالت یک شی (موضوع) و کنترل دسترسی در حال اجراست. ساخت چنین سیستم هایی بر اساس اصل پذیرش و انجام تنها چنین دسترسی هایی به اطلاعات است که حاوی علائم مربوط به اختیارات مجاز است.

مفاهیم کلیدی در این سیستم شناسایی و احراز هویت است. شناسایی عبارت است از اختصاص یک نام یا تصویر منحصر به فرد به یک شی یا موضوع. احراز هویت، ایجاد اصالت است، یعنی. بررسی اینکه آیا یک شی (موضوع) واقعاً همان چیزی است که ادعا می کند.

هدف نهایی از رویه های شناسایی و احراز هویت برای یک شی (موضوع) پذیرش آن به اطلاعات محدود در صورت تأیید مثبت یا عدم دسترسی در صورت بررسی منفی است. اشیاء شناسایی و احراز هویت می توانند: افراد (کاربران، اپراتورها و غیره) باشند. وسایل فنی (مانیتورها، ایستگاه های کاری، ایستگاه های مشترک)؛ اسناد (راهنما، چاپ، و غیره)؛ رسانه ذخیره سازی مغناطیسی؛ اطلاعات روی صفحه نمایش مانیتور و .... تعیین اصالت یک شی می تواند توسط یک دستگاه سخت افزاری، برنامه، شخص و ... انجام شود.

حفاظت از رمز عبور رمز عبور مجموعه ای از کاراکترها است که یک شی (موضوع) را تعریف می کند. هنگام انتخاب رمز عبور، سؤالاتی در مورد اندازه آن، مقاومت در برابر انتخاب غیرمجاز و نحوه استفاده از آن ایجاد می شود. به طور طبیعی، هرچه رمز عبور طولانی تر باشد، سیستم امنیت بیشتری را فراهم می کند، زیرا تلاش بیشتری برای حدس زدن آن لازم است. در عین حال، انتخاب طول رمز عبور تا حد زیادی با توسعه ابزارهای فنی، پایه اصلی و سرعت آنها تعیین می شود.

در صورت استفاده از رمز عبور، لازم است به طور دوره ای آن را با رمز جدید جایگزین کنید تا از طریق سرقت مستقیم رسانه، کپی برداری از آن و حتی اجبار فیزیکی فرد، احتمال رهگیری آن کاهش یابد. رمز عبور توسط کاربر در ابتدای تعامل با سیستم کامپیوتری، گاهی اوقات در پایان جلسه وارد می شود (در موارد خاص، رمز عبور عادی ممکن است با رمز ورودی متفاوت باشد). ممکن است برای اطمینان از واجد شرایط بودن کاربر، از کاربر خواسته شود که رمز عبور را در فواصل زمانی مشخص وارد کند.

رمز عبور را می توان برای شناسایی و احراز هویت ترمینالی که کاربر از آن وارد می شود و همچنین برای عدم احراز هویت رایانه برای کاربر استفاده کرد. برای شناسایی کاربران، می‌توان از سیستم‌هایی استفاده کرد که از نظر پیاده‌سازی فنی پیچیده هستند تا از احراز هویت کاربر بر اساس تجزیه و تحلیل پارامترهای فردی او اطمینان حاصل شود: اثر انگشت، طراحی خط دست، عنبیه، صدا و غیره. روش‌های شناسایی فیزیکی با استفاده از رمز عبور حامل های کد گسترده هستند. چنین حامل هایی در سیستم های ایست بازرسی هستند. کارت های پلاستیکی با نام، کد، امضای مالک؛ کارت های پلاستیکی با نوار مغناطیسی؛ کارت های پلاستیکی با ریزتراشه داخلی (کارت هوشمند)؛ کارت حافظه نوری و غیره

ابزارهای امنیت اطلاعات را می توان با توجه به روش های پیاده سازی به سه گروه تقسیم کرد:

• نرم افزار؛
• · نرم افزار و سخت افزار.
• · سخت افزار

ابزارهای امنیت اطلاعات نرم افزاری برنامه هایی هستند که به طور ویژه توسعه یافته اند که عملکردهای امنیتی یک سیستم رایانه ای را اجرا می کنند، عملکرد محدود کردن دسترسی کاربر را با استفاده از رمزهای عبور، کلیدها، دسترسی چند سطحی و غیره انجام می دهند. این برنامه ها تقریباً بر روی هر سیستم عامل کاربر پسندی قابل اجرا هستند. به عنوان یک قاعده، این ابزارهای نرم افزاری درجه نسبتاً بالایی از محافظت از سیستم را ارائه می دهند و قیمت مناسبی دارند. هنگامی که چنین سیستمی به یک شبکه جهانی متصل می شود، احتمال نقض امنیت افزایش می یابد. بنابراین این روش حفاظت برای شبکه های بسته محلی که خروجی خارجی ندارند قابل قبول است.

نرم‌افزار و سخت‌افزار دستگاه‌هایی هستند که بر روی ریزپردازنده‌های جهانی یا تخصصی پیاده‌سازی می‌شوند که در هنگام تغییر الگوریتم عملیاتی نیازی به تغییرات در مدار ندارند. همچنین این دستگاه ها با هر سیستم عاملی سازگار بوده و از درجه حفاظت بالایی برخوردارند. قیمت آنها کمی بیشتر خواهد بود (قیمت آنها به نوع سیستم عامل بستگی دارد). علاوه بر این، این نوع دستگاه انعطاف‌پذیرترین ابزاری است که به شما امکان می‌دهد بنا به درخواست مشتری تغییراتی در پیکربندی ایجاد کنید. نرم افزار و سخت افزار درجه بالایی از حفاظت را برای یک شبکه محلی متصل به یک شبکه جهانی فراهم می کند.

سخت‌افزار به دستگاه‌هایی اطلاق می‌شود که در آن‌ها واحدهای عملکردی بر روی سیستم‌های یکپارچه بسیار بزرگ (VLSI) با الگوریتم عملیاتی غیرقابل تغییر پیاده‌سازی می‌شوند. این نوع دستگاه را می توان با هر سیستم عاملی تطبیق داد، توسعه آن گران ترین است و الزامات فنی بالایی را در طول تولید تحمیل می کند. در عین حال، این دستگاه ها از بالاترین درجه امنیت برخوردار هستند؛ نفوذ در آنها و ایجاد تغییرات طراحی یا نرم افزار غیرممکن است. استفاده از سخت افزار به دلیل هزینه بالای آن و ماهیت ثابت الگوریتم دشوار است.

نرم‌افزار و سخت‌افزار در عین سرعت پایین‌تر از سخت‌افزار، امکان اصلاح آسان الگوریتم عملیاتی و نداشتن معایب روش‌های نرم‌افزاری را فراهم می‌کنند. گروه جداگانه ای از اقدامات برای اطمینان از ایمنی اطلاعات و شناسایی درخواست های غیرمجاز شامل برنامه های تشخیص تخلف در زمان واقعی است.

نگهداری

در همه زمان ها، اطلاعات مبنای توسعه بشریت و همه زمینه های فعالیت بوده است. امروزه در هر فرآیند تجاری، نقش کلیدی در اختیار داشتن اطلاعات و در نتیجه حفاظت از آن است.

طبق آمارهای جهانی، 80 درصد از شرکت هایی که اطلاعات تجاری را فاش می کردند، ناگزیر به فعالیت خود با شکست پایان دادند.

امروزه بیش از 4.6 میلیون رایانه در سراسر جهان در برابر آسیب پذیری ها آسیب پذیر هستند و بیش از 90 درصد رایانه ها به طور بالقوه آسیب پذیر هستند. روزانه بیش از 6000 حمله به شبکه های کامپیوتری سازمان ها در سطوح مختلف انجام می شود. طبق گزارش InfoWatch، در سال 2007، زیان جهانی ناشی از نشت اطلاعات به 1 تریلیون خواهد رسید. دلار 300 میلیارد دلار بیشتر از سال 2006 است.

در سال های اخیر، ارتباط این تهدید به حدی افزایش یافته است که امروزه سرقت اطلاعات طبقه بندی شده به طور مداوم در رتبه اول تهدیدات امنیتی فناوری اطلاعات قرار دارد. افزایش استفاده از ایمیل، پیجرهای اینترنتی و سایر ابزارهای انتقال داده، رواج دستگاه های تلفن همراه - همه اینها به طور قابل توجهی کنترل جریان داده ها را پیچیده می کند و بنابراین به نشت اطلاعات کمک می کند.

هدف از کار دوره آشنایی با ابزارهای امنیت اطلاعات است. برخی از آنها را به تفصیل بررسی خواهیم کرد.

o رمزنگاری

o احراز هویت

o ثبت و ممیزی

o کنترل دسترسی

در قسمت عملی کار دوره، یک تکلیف اقتصادی به ما داده شد. برای حل این مشکل از برنامه صفحه گسترده مایکروسافت آفیس اکسل 2007 استفاده شد که نتایج به دست آمده به وضوح به صورت جداول و هیستوگرام ارائه شد.

اقدامات امنیت اطلاعات

امنیت اطلاعات بر اهمیت اطلاعات در جامعه مدرن تأکید می کند - درک این که اطلاعات یک منبع ارزشمند است، بیش از تک تک داده ها. امنیت اطلاعات به اقداماتی برای محافظت از اطلاعات در برابر دسترسی غیرمجاز، تخریب، اصلاح، افشا و تاخیر در دسترسی اشاره دارد. امنیت اطلاعات شامل اقداماتی برای محافظت از فرآیندهای ایجاد، ورودی، پردازش و خروجی داده ها است. هدف از امنیت اطلاعات ایمن سازی ارزش های سیستم، حفاظت و تضمین صحت و یکپارچگی اطلاعات و به حداقل رساندن تخریبی است که ممکن است در صورت تغییر یا از بین رفتن اطلاعات رخ دهد. امنیت اطلاعات مستلزم حسابداری تمامی رویدادهایی است که طی آن اطلاعات ایجاد، اصلاح، دسترسی یا توزیع شده است

حوزه های زیر از اقدامات امنیت اطلاعات قابل تشخیص است.

- مجاز

سازمانی

فنی

به اقدامات قانونیباید شامل توسعه استانداردهایی برای ایجاد مسئولیت در قبال جرایم رایانه ای، حفاظت از حق چاپ برنامه نویسان، و بهبود قوانین کیفری و مدنی باشد. اقدامات حقوقی همچنین شامل مسائل کنترل عمومی بر توسعه دهندگان سیستم های رایانه ای و تصویب معاهدات بین المللی در مورد محدودیت های آنها در صورتی که بر جنبه های نظامی، اقتصادی و اجتماعی زندگی کشورهای منعقد کننده توافق تأثیر بگذارد یا ممکن است تأثیر بگذارد، می شود.

به اقدامات سازمانیشامل: امنیت مرکز کامپیوتر، انتخاب دقیق پرسنل، جهانی بودن حفاظت در برابر همه کاربران (از جمله مدیریت ارشد)، واگذاری مسئولیت به افرادی که باید امنیت مرکز را تضمین کنند، انتخاب محل مرکز و غیره.

به اقدامات فنیممکن است شامل محافظت در برابر دسترسی غیرمجاز به سیستم، افزونگی زیرسیستم های رایانه ای به ویژه مهم، سازماندهی شبکه های کامپیوتری با امکان توزیع مجدد منابع در صورت خرابی پیوندهای فردی، نصب تجهیزات تشخیص و اطفاء حریق، اتخاذ تدابیر ساختاری برای حفاظت باشد. در برابر سرقت، خرابکاری، خرابکاری، انفجار، نصب سیستم های منبع تغذیه پشتیبان، تجهیز محل به قفل، نصب سیستم های هشدار و موارد دیگر.

اقدامات امنیتی اطلاعات فنی

اقدامات فنی را می توان به عنوان تهدیدات بالقوه ای طبقه بندی کرد که اقدامات حفاظت از اطلاعات فنی در برابر آنها هدف قرار می گیرد:

1. از دست دادن اطلاعات به دلیل خرابی تجهیزات:

قطع برق؛

خرابی سیستم دیسک؛

خرابی سرورها، ایستگاه های کاری، کارت های شبکه و غیره

2. از دست دادن اطلاعات به دلیل عملکرد نادرست برنامه ها:

از دست دادن یا تغییر داده ها به دلیل خطاهای نرم افزاری؛

تلفات زمانی که سیستم با ویروس های کامپیوتری آلوده می شود.

3. ضررهای مرتبط با دسترسی غیرمجاز:

کپی، تخریب یا جعل غیر مجاز اطلاعات؛

آشنایی با اطلاعات محرمانه

4. خطاهای پرسنل تعمیر و نگهداری و کاربران:

تخریب یا تغییر تصادفی داده ها؛

استفاده نادرست از نرم افزار و سخت افزار منجر به تخریب یا تغییر داده ها می شود.

با استفاده از حفاظت، اقدامات فنی را می توان به موارد زیر تقسیم کرد:

حفاظت سخت افزاری

حفاظت سخت افزاری به معنای ابزار ویژه ای است که مستقیماً در سخت افزار گنجانده شده و عملکردهای حفاظتی را هم به طور مستقل و هم در ترکیب با ابزارهای دیگر مانند نرم افزار انجام می دهد.

مهمترین عناصر حفاظت از سخت افزار را می توان شناسایی کرد:

محافظت در برابر قطع برق؛

محافظت در برابر خرابی سرورها، ایستگاه های کاری و رایانه های محلی؛

محافظت در برابر خرابی دستگاه برای ذخیره اطلاعات؛

محافظت در برابر نشت اطلاعات و تشعشعات الکترومغناطیسی.

نرم افزار امنیتی

نرم افزارها ابزارهای حفاظت از داده نامیده می شوند که به عنوان بخشی از نرم افزار عمل می کنند.

از جمله موارد زیر است؛

ابزارهای آرشیو داده ها

برنامه های آنتی ویروس

ابزار رمزنگاری

ابزار شناسایی و احراز هویت کاربران

کنترل های دسترسی

ثبت و حسابرسی

نمونه هایی از ترکیب ابزارهای فوق عبارتند از:

حفاظت از پایگاه داده

حفاظت از اطلاعات هنگام کار در شبکه های کامپیوتری

مقررات مربوط به اقداماتی برای تضمین امنیت اطلاعات.

مقررات عمومی

استفاده از سیستم های خودکار کارایی یک سازمان را به میزان قابل توجهی افزایش می دهد و در عین حال زمینه های تحریف و از بین رفتن اطلاعات به دلیل خرابی ها، خرابی ها، اقدامات اشتباه یا مخرب پرسنل خدماتی، اقدامات غیرمجاز اشخاص ثالث و جرایم رایانه ای را ایجاد می کند.

استفاده از فناوری های شبکه در پردازش اطلاعات، مشکل امنیتی را به منصه ظهور می رساند.

این سند جنبه های امنیتی زیر را تعریف می کند:

• محدود کردن دسترسی به سخت افزار؛
• رعایت استانداردهای ایمنی محل کار؛
• دسترسی کاربر به منابع شبکه؛
• تمایز حقوق در سطح برنامه کاربردی؛
• امنیت هنگام کار با ایمیل؛
• امنیت هنگام کار با اینترنت؛
• حفاظت از اطلاعات هنگام کار با اسناد مالی الکترونیکی؛
• حصول اطمینان از حفاظت در هنگام انتقال اطلاعات مالی

1. حفاظت از سخت افزار

تجهیزات رایانه ای باید در مکان هایی قرار گیرد که امکان دسترسی افراد غیرمجاز بدون اطلاع کارکنان سازمان را منتفی کند. سرورهای اصلی باید در اتاق های سرور مجزا قرار گیرند که تعداد محدودی از کارکنان سرویس اتوماسیون سازمان به آنها دسترسی داشته باشند. فهرست این کارکنان باید به تایید رئیس مجاز سازمان برسد.

ساختار شبکه باید احتمال اتصال غیرمجاز به کابل های ستون فقرات و/یا دستگاه های سوئیچینگ را به حداقل برساند.

برای محافظت از رایانه های واقع در خارج از منطقه تحت کنترل سازمان، الزامات اضافی زیر باید رعایت شود:

• کیس کامپیوتر باید مهر و موم شود.
• تنظیمات BIOS کامپیوتر باید با رمز عبور مدیر محافظت شود.
• کامپیوتر باید پس از وارد کردن رمز عبور ( این رمز عبور توسط BIOS کنترل می شود);
• رمز عبور مدیر و کاربر بایوس باید حداقل 6 کاراکتر باشد و نباید با یکدیگر مطابقت داشته باشند.
• اگر مشخصات کار کاربر این اجازه را می دهد، باید مسدود شوند ( به صورت فیزیکی یا از طریق تنظیمات بایوس مناسب غیرفعال می شود) دستگاه هایی مانند درایو سی دی، درایو فلاپی دیسک ( فلاپی دیسک ها) پورت های USB؛

2. رعایت استانداردهای ایمنی محل کار

هر کارمند موظف است از محافظت در برابر دسترسی غیرمجاز به اطلاعات رایانه خود در طول ساعات کاری اطمینان حاصل کند. در محل کار کاربران سیستم، این امر با استفاده از احراز هویت هنگام بارگیری سیستم عامل کامپیوتر و قفل کردن صفحه کلید هنگام خروج موقت از محل کار به دست می آید.

در بخش های سازمان باید از کنترل بصری مستمر کارکنان بر روی رایانه همکاران غایب موقت اطمینان حاصل شود.

هنگام خروجی اطلاعات به دستگاه چاپ، کارکنان موظفند فرآیند چاپ را نظارت کنند و چاپگر نباید بدون مراقبت رها شود. تمام اسناد چاپ شده باید به محل کار شما برده شود. اسناد کاغذی که نیاز به استفاده بیشتر از آنها متوقف شده است باید به روشی که سازمان تعیین کرده است از بین برود. با استفاده از تجهیزات مناسب که امکان بازیابی محتویات آنها را از بین می برد.

در صورت نیاز به نصب برنامه جدید بر روی رایانه، کاربر باید با بخش اتوماسیون تماس بگیرد تا اقدامات مناسب را انجام دهد. نصب مستقل برنامه ها و همچنین تغییرات مستقل در تنظیمات کامپیوتر، سیستم عامل و برنامه های کاربردی و تغییر در پیکربندی کامپیوتر مجاز نمی باشد. هر یک از کارکنان سازمان مسئول وجود برنامه های شخص ثالث و سایر اطلاعات الکترونیکی غیر رسمی بر روی دستگاه خود هستند.

هنگامی که کارمندان یک سازمان با مشتریان کار می کنند، توصیه می شود امکان مشاهده محتویات صفحه مانیتور توسط مشتریان را حذف کنید. این امر با قرارگیری متقابل کارمند و مشتری که به صورت "رو در رو" به آنها خدمات داده می شود و چرخش متناظر مانیتور به دست می آید.

هنگام وارد کردن رمزهای عبور باید دقت ویژه‌ای داشت: هم رمزهای عبور شبکه و هم گذرواژه‌های مورد استفاده در برنامه‌های کاربردی. ثبت یا ذخیره اطلاعات مربوط به رمزهای عبور کاربر در فایل ها ممنوع است.

3. حفاظت در سطح شبکه محلی

3.1. ثبت نام کاربران در شبکه

سیستم کنترل دسترسی شبکه محلی تعیین می کند:

• که کاربران می توانند روی سرور فایل کار کنند.
• در چه روزها و چه زمانی کاربران می توانند کار کنند.
• که کاربران می توانند از آن ایستگاه های کاری کار کنند.

ثبت حساب کاربری در سرور LAN توسط مدیر بر اساس برنامه ای انجام می شود که توسط رئیس بخشی که کارمند در آن کار می کند امضا کرده است.

برای کنترل دسترسی به شبکه سازمان، به هر کاربر یک شناسه منحصر به فرد اختصاص داده می شود ( نام شبکه) که پس از ثبت نام توسط LAN Administrator و رمز موقت برای اتصال اولیه به شبکه برای وی صادر می شود. هنگام اتصال به شبکه برای اولین بار، سیستم کنترل دسترسی صحت رمز عبور موقت را بررسی می کند و در صورت مثبت بودن نتیجه بررسی، تغییر رمز عبور را به رمز عبور دائمی پیشنهاد می دهد. طول رمز عبور انتخاب شده توسط کاربر باید برای اطمینان از مقاومت معقول در برابر نیروی بی رحم، معمولاً 6 کاراکتر یا بیشتر، کافی باشد. اعتبار رمز عبور باید محدود باشد و معمولاً یک سال یا کمتر است.

درخواست دسترسی کاربر به منابع LAN توسط رئیس بخش امضا می شود.

هنگامی که یک کارمند اخراج می شود، از کار تعلیق می شود، یا وظایف و وظایف شغلی او تغییر می کند، سرپرست فوری او موظف است سریعاً به طور کتبی به مدیر LAN اطلاع دهد. مدیر موظف است بلافاصله تغییرات مناسب را در تنظیمات حساب و/یا در مجموعه مجوزهای کاربر (حقوق) ایجاد کند.

هر کاربر LAN، هنگام ثبت نام، می تواند به تعداد اتصالات به هر یک از سرورها محدود شود - به عنوان یک قاعده، یک اتصال به هر یک از سرورهای لازم برای کار کاربر. به عنوان حفاظت اضافی، نام شبکه را می توان به آدرس های MAC ایستگاه های کاری مرتبط کرد.

در صورت نیاز به انتقال موقت اختیارات یک کاربر LAN به دیگری، رئیس اداره مربوطه موظف است مراتب را سریعاً کتباً به مدیر شبکه LAN اطلاع دهد. اعلامیه باید تاریخ شروع و تاریخ لغو تفویض اختیار از یک کاربر به کاربر دیگر را نشان دهد. مدیر از تفویض اختیارات کاربر بنا به درخواست شفاهی روسای بخش و کارمندان منع شده است. انتقال نام و/یا رمز عبور شبکه از یک کاربر به کاربر دیگر مجاز نیست.

درخواست برای اتصال، تفویض اختیار و قطع ( مسدود کردن) کاربران در منابع شبکه توسط مدیر ذخیره می شوند.

مدیر موظف است فوراً به رئیس بخش اتوماسیون در مورد کلیه تلاش ها برای دسترسی غیرمجاز به اطلاعات در LAN گزارش دهد.

مدیر باید بتواند به سرعت لیستی از کاربران، گروه ها و ساختار دسترسی آنها به منابع شبکه را به دست آورد.

3.2. محدود کردن دسترسی به منابع شبکه

تمایز حقوق دسترسی به پایگاه های داده و برنامه های خاص واقع در سرورهای فایل در سطح دستگاه ها و دایرکتوری های شبکه انجام می شود. اگر از DBMS های سرور استفاده می شود، باید از مکانیسم های داخلی آنها برای احراز هویت کاربر و حفاظت از داده ها استفاده شود.

برای سازماندهی همکاری با منابع سرور و تبادل داده ها از طریق سرور، گروه های کاربری ایجاد می شوند ( به عنوان مثال، طبق اصل تقسیم اداری، با توجه به برنامه های کاربردی استفاده شده، دایرکتوری ها و غیره.). هر گروه حق دسترسی به منابع خاصی را دارد. حقوق دسترسی گروه ها، به عنوان یک قاعده، با هم تداخل ندارند.

هر کاربر، مطابق با مسئولیت های عملکردی خود، به یک یا چند گروه کاربری تعلق دارد.

سرورها نباید دارای حساب های عمومی مانند مهمان باشند.

4. تمایز حقوق دسترسی در سطح برنامه کاربردی

برای کار با سیستم های سازمان، هر کاربر باید شناسه و/یا رمز عبور منحصر به فرد خود را داشته باشد. بسته به عملیات انجام شده، کاربر به اجزای سیستم خاصی دسترسی دارد. در عین حال، دسترسی در سطح عملکردهای مورد استفاده و عملیات انجام شده محدود است. در پایین ترین سطح، گروه های حساب های موجود و اختیار کار با این حساب ها برای مجریان تعیین می شود.

درخواست دسترسی کاربر به برنامه ها توسط رئیس بخش امضا و توسط حسابدار ارشد سازمان تأیید می شود.

وظایف تخصیص حقوق دسترسی کاربر به سیستم های کاربردی به مدیران سیستم و برنامه اختصاص داده شده است.

5. استفاده از سیستم ایمیل شرکتی

هر کاربر سیستم پستی باید شناسه و رمز عبور منحصر به فرد خود را داشته باشد. مدیر سیستم پستی مسئول اتصال کاربران به سیستم و انجام تعمیر و نگهداری معمول لازم است.

استفاده از سامانه پست برای ارسال پیام هایی که مرتبط با کار سازمان نیستند: مکاتبات شخصی، هرزنامه و غیره ممنوع است.

ارسال پیام های حاوی اسرار تجاری و دیگر انواع اسرار به صورت آشکار ممنوع است ( CIPF محافظت نشده است) فرم.

هنگام دریافت پیام های حاوی فایل های پیوست شده، کارمند باید از کنترل آنتی ویروس این فایل ها قبل از استفاده در برنامه های کاربردی اطمینان حاصل کند.

در سرور پست الکترونیکی شرکتی، توصیه می شود از فیلترهای آنتی اسپم و آنتی ویروس استفاده کنید.

6. اقدامات امنیتی هنگام کار با اینترنت

وظیفه اصلی هنگام تعامل با اینترنت محافظت از شبکه داخلی است. استفاده از فایروال ها، جداسازی فیزیکی منابع شبکه خارجی از شبکه داخلی سازمان، الزامی است.

از زمان یکی شدن شبکه ها، شعب و سایر سازمان ها دفاتر از طریق VPN ساخته شده بر روی اینترنت انجام می شود، لازم است از حفاظت قابل اعتماد از محیط شبکه یکپارچه در هر یک از بخش های جداگانه اطمینان حاصل شود. این امر با استفاده از سخت افزار و/یا نرم افزار مناسب حاصل می شود: روترهای VPN، فایروال ها و نرم افزارهای ضد ویروس.

استفاده از دسترسی به اینترنت برای مقاصد شخصی یا غیر تجاری ممنوع است.

اگر نشانه هایی از رفتار غیر استاندارد یا عملکرد ناپایدار رایانه هنگام دسترسی به اینترنت و همچنین سیگنال هایی مبنی بر تلاش برای عفونت از سیستم ضد ویروس وجود دارد، باید بلافاصله به مدیر LAN سازمان در این مورد اطلاع دهید.

7. حفاظت در هنگام انتقال اطلاعات مالی

هنگام مبادله اسناد پرداخت، باید از ابزارهای حفاظت رمزنگاری اطلاعات ارسال شده استفاده شود: رمزگذاری و امضای دیجیتال الکترونیکی ( EDS ). استفاده از محصولات حفاظت رمزنگاری تایید شده مجاز است.

کارکنان مسئول ایجاد فلاپی دیسک های کلیدی برای ابزارهای حفاظت رمزنگاری ( مدیران امنیتی) به دستور سازمان منصوب می شوند. تمام اقدامات برای تولید و انتقال کلیدها باید توسط مدیران امنیتی در گزارش های ویژه ثبت شود.

8. الزامات اضافی برای انطباق با استانداردهای ایمنی هنگام کار با سیستم مشتری-بانک

رعایت اقدامات امنیتی تعیین شده توسط اسناد مربوطه ارگان های مجاز برای اطمینان از امنیت در سازمانی که درگیر پشتیبانی فنی، توزیع و اجرای برنامه های حفاظت از اطلاعات در کلاس است، الزامی است. با ».

رعایت موارد ایمنی هنگام کار در سیستم الزامی است " مشتری-بانک».

دسترسی به اتاقی که در آن رایانه ای نصب شده است که اسناد را با استفاده از " ارسال و دریافت می کند. مشتری-بانک» باید فقط به تعداد محدودی از افراد ارائه شود که فهرست آنها در دستورات مربوطه برای سازمان منعکس شده است.

با توجه به اینکه یک کامپیوتر با نرم افزاری برای انتقال و دریافت فایل از شرکت کنندگان سیستم " مشتری-بانک» مستقیماً به شبکه های کامپیوتری خارجی متصل شده باشید، باید:

1. اقداماتی را برای اطمینان از غیرممکن بودن ورود کاربر خارجی به شبکه داخلی سازمان از این رایانه انجام دهید.

2. تمام اطلاعات محرمانه ذخیره شده در این رایانه باید رمزگذاری شده یا به شکل دیگری تبدیل شود تا از استفاده غیرمجاز جلوگیری شود.

تمام عملیات و اقدامات انجام شده در سیستم " مشتری-بانک"، باید در فایل ها نوشته شود ( مجلات) پروتکل ها

برای بازیابی سریع سیستم، لازم است نسخه های پشتیبان روزانه ایجاد شود، که باید در رایانه دیگری که به صورت فیزیکی در محل دیگری از سازمان قرار دارد، ذخیره شود.

9. اطمینان از یکپارچگی و قابلیت اطمینان اطلاعات

به طور دوره ای، اسکن های پیشگیرانه هارد دیسک های کامپیوتری باید با استفاده از برنامه های ضد ویروس انجام شود. هنگام استفاده از رسانه های ذخیره سازی قابل جابجایی برای اطلاعات الکترونیکی، لازم است در اولین نصب، آنها را با یک برنامه ضد ویروس اسکن کنید. و برای رسانه های قابل بازنویسی - با هر نصب) به کامپیوتر.

از اطلاعات اولیه ای که به صورت الکترونیکی در سرورهای سازمان ذخیره می شود باید به صورت روزانه نسخه پشتیبان تهیه شود. همراه داشتن یک نسخه از پایگاه های فعالیت عملیاتی از ابتدای روز الزامی است.

اطلاعات آرشیو باید به صورت تکراری در رسانه ذخیره سازی طولانی مدت کپی شود ( CD-ROM، DVD-ROM، دیسک های مغناطیسی نوری و غیره.). کپی‌هایی از اطلاعات بایگانی باید در انبارهای جداگانه ذخیره شوند که شرایط مناسب برای نگهداری آنها و عدم امکان دسترسی غیرمجاز به آنها را تضمین کند.

دانلود فایل ZIP (20862)

اگر مدارک مفید بودند، لطفا به آنها "لایک" بدهید:

امنیت اطلاعات شبکه های کامپیوتری سازمانی از کجا شروع می شود؟ این تئوری در مورد تجزیه و تحلیل ریسک، توسعه سیاست و سازماندهی سیستم امنیتی صحبت می کند. و درست است. اما قبل از پرداختن به نظریه، لازم است نظم و انضباط اساسی در خدمات اطلاعاتی بنگاه ایجاد شود.

شما باید بتوانید به وضوح به سوالات پاسخ دهید:

چه تعداد رایانه (ارتباطات، تجهیزات پشتیبانی) در شرکت شما نصب شده است؟

الان، در حال حاضر چند نفر هستند، و نه اینکه دیروز یا یک ماه پیش چند نفر بودند. چند نفر در حال کار هستند، چند نفر در حال تعمیر هستند، چند نفر ذخیره هستند.

آیا شما قادر خواهید بود هر کامپیوتر را با دید تشخیص دهید؟ آیا یک «بالماسکه» سخت‌افزاری پیدا خواهید کرد که در آن برخی از رایانه‌ها یا بخش‌ها یا نرم‌افزارها دستکاری شده باشد به طوری که چیزی که به نظر می‌رسد یک قطعه از تجهیزات اسب کار است، در واقع یک اسب تروا باشد؟

چه کارهایی و برای چه هدفی در هر کامپیوتر حل می شود؟ آیا مطمئن هستید که هر وسیله ای که کنترل می کنید ضروری است و هیچ چیز اضافی در بین آنها وجود ندارد، مثلاً برای زیبایی نصب شده و منتظر است که توسط یک هکر از بین کارمندان جوان و جسور مورد توجه قرار گیرد؟ به هر حال، اگر تجهیزات فایده ای نداشته باشند، از نظر امنیت اطلاعات، فقط می توان از آن انتظار آسیب داشت. در اینجا چند سوال دیگر در مورد تجهیزات وجود دارد. مراحل تعمیر و نگهداری فنی کامپیوتر چگونه است؟

تجهیزات برگشتی از تعمیر قبل از نصب در محل کار معمولی چگونه بررسی می شوند؟ کامپیوترها چگونه توقیف و به بخش ها منتقل می شوند و راه اندازی تجهیزات جدید چگونه است؟

لیست سوالات ادامه دارد ... سوالات مشابه در مورد نرم افزار و پرسنل نیز قابل طرح است.

به عبارت دیگر حفاظت از اطلاعات با تدوین و حل مسائل سازمانی آغاز می شود. کسانی که قبلاً مجبور شده‌اند در عمل با مسائل تضمین امنیت اطلاعات در سیستم‌های خودکار سر و کار داشته باشند، به اتفاق آرا به ویژگی زیر توجه می‌کنند - علاقه واقعی به مشکل امنیت اطلاعات که توسط مدیران سطح بالا در سطح بخش‌های مسئول عملکرد نشان داده شده است. سیستم خودکار سازمان با رد شدید جایگزین می شود. به عنوان یک قاعده، استدلال های زیر علیه انجام کار و اقداماتی برای تضمین امنیت اطلاعات ارائه می شود:

ظهور محدودیت‌های اضافی برای کاربران نهایی و متخصصان بخش‌های پشتیبانی، استفاده و بهره‌برداری از سیستم خودکار سازمان را دشوار می‌کند.

نیاز به هزینه های مواد اضافی هم برای انجام چنین کارهایی و هم برای گسترش کارکنان متخصصانی که با مشکل امنیت اطلاعات سروکار دارند.

صرفه جویی در امنیت اطلاعات را می توان به شکل های مختلفی بیان کرد که نهایت آن عبارتند از:

صرفاً اقدامات سازمانی برای تضمین امنیت اطلاعات در شبکه شرکتی (CN)؛

فقط از ابزارهای فنی اضافی امنیت اطلاعات (TSI) استفاده کنید.

در حالت اول، به عنوان یک قاعده، دستورالعمل ها، دستورات و مقررات متعددی تدوین می شود که در یک لحظه حساس طراحی می شود تا مسئولیت را از افراد صادر کننده این اسناد به مجریان خاص منتقل کند. طبیعتاً الزامات چنین اسنادی (در صورت عدم پشتیبانی فنی مناسب) فعالیت های روزانه کارکنان سازمان را پیچیده می کند و به عنوان یک قاعده برآورده نمی شود.

در حالت دوم، TSZI اضافی خریداری و نصب می شود. استفاده از TSZI بدون حمایت سازمانی مناسب نیز بی اثر است، زیرا بدون قوانین تعیین شده برای پردازش اطلاعات در CS، استفاده از هر TSZI تنها اختلال موجود را تقویت می کند. بیایید مجموعه ای از اقدامات سازمانی لازم برای پیاده سازی امنیت اطلاعات در شبکه های کامپیوتری را در نظر بگیریم. از یک طرف، این اقدامات باید با هدف اطمینان از عملکرد صحیح مکانیسم های امنیتی باشد و باید توسط مدیر امنیت سیستم انجام شود. از سوی دیگر، مدیریت سازمانی که ابزارهای اتوماسیون را اجرا می کند، باید قوانین پردازش خودکار اطلاعات، از جمله قوانین حفاظت از آن را تنظیم کند و همچنین میزان مسئولیتی را برای نقض این قوانین تعیین کند.

اقدامات سازمانی عبارتند از:

رویدادهای یک بار (یک بار انجام شده و تنها با تجدید نظر کامل در تصمیمات اتخاذ شده تکرار می شود).

اقداماتی که هنگام وقوع یا رخ دادن تغییرات خاصی در خود سیستم محافظت شده یا در محیط خارجی (در صورت لزوم) انجام می شود.

رویدادهایی که به صورت دوره ای (پس از یک زمان مشخص) برگزار می شوند.

رویدادهای پیوسته (به طور مستمر یا گسسته در زمان های تصادفی).

رویدادهای یکباره

رویدادهای یکبار مصرف عبارتند از:

اقدامات گسترده سیستمی برای ایجاد مبانی علمی، فنی و روش شناختی (مفاهیم و سایر اسناد راهنما) برای دفاع از دادگاه قانون اساسی؛

فعالیت های انجام شده در حین طراحی، ساخت و تجهیز مراکز کامپیوتری و سایر تاسیسات NPP (به استثنای امکان ورود مخفیانه به محل، به استثنای امکان نصب تجهیزات شنود و غیره).

فعالیت های انجام شده در حین طراحی، توسعه و راه اندازی سخت افزار و نرم افزار (تأیید و تایید سخت افزار و نرم افزار مورد استفاده، مستندات و غیره)؛

انجام بازرسی های ویژه از کلیه تجهیزات رایانه ای مورد استفاده در سیستم رایانه ای و اتخاذ تدابیری برای محافظت از اطلاعات در برابر نشت از طریق کانال های تشعشعات الکترومغناطیسی جانبی و تداخل.

توسعه و تصویب مسئولیت های عملکردی مقامات خدمات امنیت رایانه؛

ایجاد تغییرات و الحاقات لازم در کلیه اسناد سازمانی و اداری (آیین‌نامه‌های بخش‌ها، مسئولیت‌های عملکردی مسئولان، دستورالعمل‌های کاربران سیستم و...) در خصوص مسائل تامین امنیت نرم‌افزار و منابع اطلاعاتی CS و اقدامات در صورت وقوع شرایط بحرانی؛

تهیه اسناد قانونی (در قالب قراردادها، دستورات و دستورالعمل های مدیریت سازمان) در مورد تنظیم روابط با کاربران (مشتریان) شاغل در سیستم خودکار، بین شرکت کنندگان در تبادل اطلاعات و شخص ثالث (داوری، داوری). دادگاه) در مورد قوانین حل و فصل اختلافات مربوط به استفاده از امضای الکترونیکی؛

تعیین نحوه تعیین، تغییر، تأیید و اعطای اختیارات لازم برای دسترسی به منابع سیستم به مقامات خاص.

اقدامات برای ایجاد یک سیستم حفاظتی CS و ایجاد زیرساخت؛

فعالیت هایی برای توسعه قوانین برای مدیریت دسترسی به منابع سیستم (تعریف لیستی از وظایف حل شده توسط بخش های ساختاری سازمان با استفاده از CS، و همچنین پردازش داده ها و حالت های دسترسی مورد استفاده در حل آنها؛ تعریف لیستی از فایل ها و پایگاه های داده حاوی اطلاعات تجاری و اسرار رسمی، و همچنین الزامات سطوح امنیت آنها در برابر دسترسی غیرمجاز در حین انتقال، ذخیره سازی و پردازش در یک سیستم رایانه ای؛ شناسایی محتمل ترین تهدیدات برای یک سیستم رایانه ای معین، شناسایی آسیب پذیری ها در فرآیند پردازش اطلاعات و دسترسی. کانال های آن؛ ارزیابی آسیب احتمالی ناشی از نقض امنیت اطلاعات، توسعه الزامات کافی در زمینه های اصلی حفاظت).

سازمان کنترل دسترسی قابل اعتماد؛

تعیین روش حسابداری، صدور، استفاده و ذخیره رسانه های ذخیره مغناطیسی متحرک حاوی نسخه های مرجع و نسخه پشتیبان از برنامه ها و آرایه های اطلاعاتی، داده های آرشیوی و غیره.

سازماندهی حسابداری، ذخیره سازی، استفاده و انهدام اسناد و رسانه ها با اطلاعات طبقه بندی شده؛

تعیین رویه طراحی، توسعه، اشکال زدایی، اصلاح، خرید، تحقیقات ویژه، راه اندازی، ذخیره سازی و نظارت بر یکپارچگی محصولات نرم افزاری و همچنین رویه به روز رسانی نسخه های استفاده شده و نصب سیستم و برنامه های کاربردی جدید در ایستگاه های کاری یک حفاظت شده. سیستم (چه کسی حق دارد چنین اقداماتی را مجاز کند، چه کسی اجرا می کند، چه کسی کنترل می کند و چه کاری باید انجام دهد).

ایجاد دپارتمان‌ها (سرویس‌ها) امنیت رایانه یا در مورد سازمان‌ها و بخش‌های کوچک، انتصاب مقامات غیر ستادی که مدیریت، سازماندهی و کنترل یکپارچه را بر رعایت الزامات تضمین امنیت توسط همه گروه‌های مقامات انجام می‌دهند. نرم افزار و منابع اطلاعاتی یک سیستم پردازش خودکار اطلاعات؛

تعیین لیست اقدامات پیشگیرانه و اقدامات عملیاتی پرسنل که به طور منظم انجام شده است برای اطمینان از عملکرد مستمر و بازیابی فرآیند محاسباتی AS در شرایط بحرانی ناشی از عدم انطباق، خرابی و خرابی سیستم های رایانه ای، خطا در برنامه ها و پرسنل. اقدامات و بلایای طبیعی

رویدادهای دوره ای برگزار می شود

رویدادهایی که به صورت دوره ای برگزار می شوند عبارتند از:

توزیع جزئیات کنترل دسترسی (رمزهای عبور، کلیدهای رمزگذاری و غیره)؛

تجزیه و تحلیل گزارش های سیستم، اقدام در مورد نقض قوانین عملیاتی شناسایی شده،

اقداماتی برای بازنگری در قوانین محدود کردن دسترسی کاربران به اطلاعات در سازمان؛

به صورت دوره ای، با مشارکت متخصصان شخص ثالث، تجزیه و تحلیل وضعیت و ارزیابی اثربخشی اقدامات و تجهیزات حفاظتی مورد استفاده. بر اساس اطلاعات به دست آمده در نتیجه چنین تجزیه و تحلیل، اقدامات لازم را برای بهبود سیستم حفاظت انجام دهید.

اقدامات برای بررسی ترکیب و ساخت سیستم حفاظتی.

رویدادها در صورت لزوم انجام می شود

فعالیت های انجام شده در صورت لزوم عبارتند از:

فعالیت های انجام شده در طی تغییرات پرسنلی در پرسنل سیستم؛

فعالیت های انجام شده در حین تعمیرات و اصلاحات تجهیزات و نرم افزار (مجوز دقیق، بررسی و تأیید کلیه تغییرات، بررسی آنها برای مطابقت با الزامات امنیتی، مستندسازی تغییرات و غیره).

فعالیت برای انتخاب و استقرار پرسنل (بررسی افراد استخدام شده، آموزش قوانین کار با اطلاعات، آشنایی با اقدامات مسئولیت در قبال نقض قوانین امنیتی، آموزش، ایجاد شرایطی که تحت آن نقض وظایف پرسنل غیرمنفعت باشد و غیره). .).

رویدادهای منظم

فعالیت های در حال انجام عبارتند از:

اقداماتی برای اطمینان از سطح کافی حفاظت فیزیکی از تمام اجزای CS (حفاظت در برابر آتش، امنیت محل، کنترل دسترسی، اطمینان از ایمنی و یکپارچگی فیزیکی تجهیزات، رسانه های ذخیره سازی و غیره).

اقدامات برای پشتیبانی مستمر از عملکرد و مدیریت وسایل حفاظتی مورد استفاده؛

کنترل آشکار و پنهان بر کار پرسنل سیستم؛

نظارت بر اجرای اقدامات حفاظتی انتخاب شده در طول طراحی، توسعه، راه اندازی و بهره برداری از نیروگاه های هسته ای.

به طور مداوم (با کمک بخش امنیتی) و به طور دوره ای (با مشارکت متخصصان شخص ثالث) تجزیه و تحلیل وضعیت و ارزیابی اثربخشی اقدامات و تجهیزات حفاظتی مورد استفاده انجام می شود.

با تا حدودی متدولوژی ساخت سیستم های امنیت اطلاعات در ارتباط با شبکه شرکتی و همچنین با در نظر گرفتن موارد فوق در خصوص تهدیدات احتمالی شبکه و روش های موجود برای مقابله با آنها، الگوریتم ساخت سیستم امنیت اطلاعات برای شبکه سازمانی را می توان به صورت زیر ارائه کرد.

کل شی محافظت شده دارای چندین جهت برای حملات احتمالی است. برای هر نوع حمله، راه ها و ابزارهای مربوط به مبارزه با آنها وجود دارد. پس از تعیین روش های اصلی مبارزه، ما از این طریق یک سیاست امنیت اطلاعات را تدوین خواهیم کرد. با انتخاب مجموعه ای از ابزارهای امنیت اطلاعات مطابق با خط مشی تعیین شده و ترکیب آنها با یک سیستم مدیریتی، در واقع یک سیستم حفاظت از اطلاعات به دست خواهیم آورد.

تهدیدات در سطح شبکه شرکتی به روشی مشابه تجزیه و تحلیل می شوند. می توان آن را با سه جزء اصلی - سخت افزار، پشتیبانی اطلاعات و نرم افزار نشان داد. هر یک از این مؤلفه‌ها را می‌توان تا حدی با جزئیات بیشتر برای فرمول‌بندی تهدیدهای اصلی در این سطح و راه‌های ممکن برای مبارزه با آنها توضیح داد.

انتخاب روش‌ها و ابزارهای خاص برای حفاظت از اطلاعات در سطح شبکه همچنین منجر به سیاست‌گذاری مناسب و سیستم امنیت اطلاعات می‌شود که به طور ارگانیک در سیاست کلی و سیستم امنیت اطلاعات کل تأسیسات ادغام می‌شود. نمودارهای زیر "تهدیدات احتمالی" را ببینید).

برای اطمینان از امنیت اطلاعات در شبکه های اداری، اقدامات مختلفی انجام می شود که با مفهوم "سیستم امنیت اطلاعات" متحد شده است. سیستم امنیت اطلاعات مجموعه‌ای از اقدامات، نرم‌افزار و سخت‌افزار، استانداردهای قانونی، اخلاقی و اخلاقی است که با هدف مقابله با تهدیدات متخلفان به منظور به حداقل رساندن آسیب‌های احتمالی به کاربران و صاحبان سیستم انجام می‌شود.

اقدامات سنتی برای مقابله با نشت اطلاعات به فنی و سازمانی Konakhovich G. حفاظت اطلاعات در سیستم های مخابراتی تقسیم می شود. - م.: MK-Press، 2005.P.123..

اقدامات فنی شامل حفاظت در برابر دسترسی غیرمجاز به سیستم، افزونگی زیرسیستم های کامپیوتری به ویژه مهم، سازماندهی شبکه های کامپیوتری با امکان توزیع مجدد منابع در صورت خرابی لینک های فردی، نصب تجهیزات تشخیص و اطفاء حریق، تجهیزات تشخیص آب، پذیرش است. اقدامات ساختاری برای محافظت در برابر سرقت، خرابکاری، خرابکاری، انفجار، نصب سیستم های منبع تغذیه پشتیبان، تجهیز محل به قفل، نصب سیستم های هشدار و موارد دیگر.

اقدامات سازمانی شامل امنیت سرور، انتخاب دقیق پرسنل، مستثنی کردن موارد کارهای مهمی که فقط توسط یک نفر انجام می شود، داشتن برنامه ای برای بازگرداندن عملکرد سرور پس از از کار افتادن، و حفاظت جهانی در برابر همه کاربران (از جمله مدیریت ارشد) است.

دسترسی غیرمجاز به اطلاعات می‌تواند در حین نگهداری یا تعمیر کامپیوتر با خواندن اطلاعات باقی‌مانده روی رسانه، علی‌رغم حذف آن توسط کاربر با استفاده از روش‌های مرسوم، رخ دهد. روش دیگر خواندن اطلاعات از رسانه در حالی است که بدون امنیت در یک شی یا منطقه منتقل می شود.

ابزارهای کامپیوتری مدرن بر روی مدارهای مجتمع ساخته شده اند. در حین کار چنین مدارهایی، تغییرات فرکانس بالا در سطوح ولتاژ و جریان رخ می دهد که منجر به وقوع در مدارهای قدرت، هوا، تجهیزات مجاور و غیره می شود. میدان های الکترومغناطیسی و تداخل، که می تواند با استفاده از ابزارهای خاص به اطلاعات پردازش شده تبدیل شود. با کاهش فاصله بین گیرنده نفوذگر و سخت افزار، احتمال این نوع جمع آوری اطلاعات و رمزگشایی افزایش می یابد.

همچنین دسترسی غیرمجاز به اطلاعات توسط مجرم که مستقیماً "جاسوس افزار" را به کانال های ارتباطی و سخت افزار شبکه متصل می کند امکان پذیر است.

روش های سنتی محافظت از اطلاعات در برابر دسترسی غیرمجاز عبارتند از شناسایی و احراز هویت، حفاظت از رمز عبور. Korzhov V. Strategy and Tactics of Defense.//Computerworld Russia.- 2004.-№14.С.26.

شناسایی و احراز هویت. سیستم‌های رایانه‌ای حاوی اطلاعاتی هستند که حق استفاده از آن متعلق به افراد یا گروه‌هایی از افراد است که به ابتکار خود یا مطابق با وظایف رسمی خود عمل می‌کنند. برای تضمین امنیت منابع اطلاعاتی، از بین بردن امکان دسترسی غیرمجاز و تقویت کنترل دسترسی مجاز به اطلاعات محرمانه یا طبقه بندی شده، سیستم های مختلف شناسایی، تعیین اصالت یک شی (موضوع) و کنترل دسترسی در حال اجراست. ساخت چنین سیستم هایی بر اساس اصل پذیرش و انجام تنها چنین دسترسی هایی به اطلاعات است که حاوی علائم مربوط به اختیارات مجاز است.

مفاهیم کلیدی در این سیستم شناسایی و احراز هویت است. شناسایی عبارت است از اختصاص یک نام یا تصویر منحصر به فرد به یک شی یا موضوع. احراز هویت، ایجاد اصالت است، یعنی. بررسی اینکه آیا یک شی (موضوع) واقعاً همان چیزی است که ادعا می کند.