Čemu služi informacijska i tehnička sigurnost? Kategorije i mediji

Objektivno, kategorija “informacijska sigurnost” nastala je pojavom sredstava informacijske komunikacije među ljudima, kao i sa sviješću ljudi da ljudi i njihove zajednice imaju interese koji mogu biti oštećeni utjecajem na sredstva informacijske komunikacije, prisutnosti i čiji razvoj osigurava razmjena informacija između svih elemenata društva.

Informacijska sigurnost - sigurnost informacija i prateće infrastrukture od slučajnih ili namjernih utjecaja prirodne ili umjetne prirode koji mogu uzrokovati neprihvatljivu štetu subjektima informacijski odnosi. Prateća infrastruktura - sustavi opskrbe električnom energijom, toplinom, vodom, plinom, sustavi klimatizacije itd., kao i osoblje za održavanje. Neprihvatljiva šteta je šteta koja se ne može zanemariti.

Dok Sigurnost informacija- Ovo stanje sigurnosti informacijskog okruženja, zaštita podataka predstavlja aktivnosti sprječavanja curenja zaštićenih informacija, neovlaštenih i nenamjernih utjecaja na zaštićene informacije, tj. postupak, usmjerena na postizanje ovog stanja .

Informacijska sigurnost organizacije- stanje sigurnosti informacijskog okruženja organizacije, osiguravajući njegovo formiranje, korištenje i razvoj.

Državna informacijska sigurnost- stanje očuvanosti državnih informacijskih resursa i sigurnosti zakonska prava pojedinca i društva u informacijskoj sferi.

U moderno društvo informacijska sfera ima dvije komponente: informacijska tehnologija (svijet tehnologije, umjetno stvoren od strane čovjeka, itd.) i informacijsko-psihološki (prirodni svijet žive prirode, uključujući i samog čovjeka).

Sigurnost informacija- zaštitu povjerljivosti, cjelovitosti i dostupnosti informacija.

1. Povjerljivost: svojstvo informacijskih izvora, uključujući informacije, koje se odnose na činjenicu da neće postati dostupni i neće biti otkriveni neovlaštenim osobama.

2. Integritet: svojstvo izvora informacija, uključujući informacije, koje određuje njihovu točnost i potpunost.

3. Dostupnost: svojstvo informacijskih izvora, uključujući informacije, koje određuje mogućnost njihova primanja i korištenja na zahtjev ovlaštenih osoba.

Sustavni pristup opisu sigurnost informacija predlaže istaknuti sljedeće komponente informacijske sigurnosti:

1. Zakonodavni, regulatorni i znanstveni okvir.

2. Ustroj i zadaće tijela (odsjeka) za osiguranje informatičke sigurnosti.

3. Organizacijske, tehničke i sigurnosne mjere i metode (Politika informacijske sigurnosti).

4. Programske i hardverske metode i sredstva za osiguranje informacijske sigurnosti.

Razmatranje utjecaja na transformaciju ideja informacijske sigurnosti u razvoju informacijskih komunikacija može se razlikovati nekoliko faza:

Ø Stadij I - prije 1816 - karakteriziran upotrebom prirodna sredstva informacijske komunikacije. U tom je razdoblju glavna zadaća informacijske sigurnosti bila u zaštiti podataka o događajima, činjenicama, imovini, lokaciji i drugim podacima koji su od životne važnosti za osobu osobno ili zajednicu kojoj je pripadao .

Ø Stadij II - od 1816 - povezano s početkom uporabe umjetno stvorena tehnička sredstva električne i radio veze. Za osiguranje tajnosti i otpornosti na smetnje radijskih komunikacija bilo je potrebno iskoristiti iskustva prvog razdoblja informacijske sigurnosti na višoj tehnološkoj razini, tj. primjena kodiranja poruke (signala) otpornog na smetnje s naknadnim dekodiranjem primljena poruka(signal).

Ø Stadij III - od 1935 - povezana s pojavom radara i hidroakustičkih sredstava. Glavni način osiguranja informacijske sigurnosti tijekom ovog razdoblja bio je kombinacija organizacijskih i tehničke mjere, s ciljem povećanja sigurnosti radarske opreme od utjecaja na njihove prijamne uređaje aktivnog maskiranja i pasivnog simuliranja elektroničkih smetnji.

Ø Faza IV - od 1946 - povezan s izumom i implementacijom elektroničkih računala u praktične djelatnosti(računala). Probleme informacijske sigurnosti uglavnom su rješavali metode i metode ograničenja fizički pristup na opremu za dobivanje, obradu i prijenos informacija .

Ø Stadij V - od 1965 - zbog nastanka i razvoja lokalne informacijske i komunikacijske mreže. Problemi informacijske sigurnosti također su se rješavali uglavnom metodama i metodama fizička zaštita sredstva za dobivanje, obradu i prijenos informacija, integrirana u lokalnu mrežu administriranjem i kontrolom pristupa mrežnim resursima .

Ø Stadij VI - od 1973 - povezano s uporabom ultra-mobilni komunikacijski uređaji sa širok raspon zadaci. Prijetnje informacijskoj sigurnosti postale su mnogo ozbiljnije. Za osiguranje informacijske sigurnosti u računalnim sustavima sa bežične mreže prijenos podataka zahtijevao je razvoj novih sigurnosnih kriterija. Formirane su zajednice ljudi - hakeri, s ciljem narušavanja informacijske sigurnosti pojedinačnih korisnika, organizacija i cijelih država. Izvor informacija postala najvažniji resurs države, a osiguranje njezine sigurnosti najvažnija i obvezna sastavnica nacionalne sigurnosti. Formirano informacijsko pravo - nova grana međunarodnog pravnog sustava.

Ø VII faza - od 1985 - povezana je sa stvaranjem i razvojem globalnih informacijskih i komunikacijskih mreža korištenjem potpornih objekata baziranih u svemiru. Može se pretpostaviti da će sljedeća faza u razvoju informacijske sigurnosti očito biti povezana sa širokom uporabom ultramobilnih komunikacijskih uređaja sa širokim rasponom zadataka i globalnom pokrivenošću u prostoru i vremenu koju osiguravaju svemirski informacijski i komunikacijski sustavi. Za rješavanje problema informacijske sigurnosti u ovoj fazi potrebno je stvoriti makrosustav informacijske sigurnosti čovječanstva pod okriljem vodećih međunarodnih foruma. .

Svatko je barem jednom čuo srceparajuće fraze o potrebi održavanja visokokvalitetne razine informacijske sigurnosti. ove horor priče o provalama, ispunjenim vriskom i očajem. O užasnim posljedicama raspravlja se na gotovo svim stranicama... Stoga, upravo sada biste svoje računalo trebali napuniti sigurnosnim alatima do kraja, a također i prerezati žice... Ima puno savjeta o sigurnosti, ali iz nekog razloga su beskorisno Ne ispada baš puno. Na mnogo načina, razlog leži u nedostatku razumijevanja tako jednostavnih stvari kao što su "što štitimo", "od koga štitimo" i "što želimo dobiti kao rezultat". Ali, prvo o svemu.

Sigurnost informacija Ovaj pojam odnosi se na razne mjere, stanje očuvanosti, tehnologiju itd., ali sve je puno jednostavnije. I zato, prvo si odgovorite na pitanje koliko je ljudi oko vas barem pročitalo definiciju ovog pojma, a ne znači samo uspoređivati ​​riječi s njihovim značenjima? Većina ljudi povezuje sigurnost s antivirusima, vatrozidima i drugim sigurnosnim programima. Naravno, ovi alati mogu zaštititi vaše računalo od prijetnji i povećati razinu sigurnosti sustava, no malo ljudi ima pojma što ti programi zapravo rade.

Kada razmišljate o informacijskoj sigurnosti, prvo biste trebali početi sa sljedećim pitanjima::

• Objekt zaštite- morate razumjeti što točno želite zaštititi. Ovo su osobni podaci pohranjeni na računalu (da ne dođu do drugih ljudi), ovo su performanse računala (da virusi i trojanci ne dovedu sustav na razinu prvog Pentiuma), ovo mrežna aktivnost(da vam programi željni interneta ne šalju statistiku svakih pola sata), ovo je dostupnost računala (da plavi ekrani smrt nije ispunila sustav), ovo...
• Željena razina sigurnosti. Potpuno zaštićeno računalo je računalo koje ne postoji. Koliko god se trudili, uvijek će postojati šansa da će vaše računalo biti hakirano. Imajte na umu i uvijek zapamtite da postoji takav smjer kao socijalni inženjering(vađenje lozinki iz kanti za smeće, prisluškivanje, špijuniranje itd.). Međutim, to nije razlog da sustav ostavite nezaštićenim. Na primjer, zaštitite svoje računalo od većine poznatih virusa- ovo je sasvim izvediv zadatak, koji zapravo svaki obični korisnik obavlja instalirajući neki od popularnih antivirusa na svoje računalo.
• Prihvatljiva razina posljedica. Ako razumijete da vaše računalo može hakirati, na primjer, haker koji je jednostavno zainteresiran za vas (dogodi se da se napadaču svidjela vaša IP adresa), tada biste trebali razmisliti o prihvatljivoj razini posljedice. Sustav se pokvari - neugodno, ali ne i zastrašujuće, jer imate disk za oporavak pri ruci. Vaše računalo stalno pristupa zločestim stranicama - ugodnim i neugodnim, ali podnošljivim i popravljivim. Ali, na primjer, ako su vaše osobne fotografije dospjele na internet, za što nitko ne bi trebao znati (ozbiljan udarac vašem ugledu), onda je to već značajan stupanj posljedica i potrebno je poduzeti preventivne mjere (pretjerati, uzeti staro računalo bez interneta i samo na njemu gledati fotografije).
• Što želiš dobiti od toga? Ovo pitanje ima mnoge implikacije - koliko ćete dodatnih koraka morati izvršiti, što ćete morati žrtvovati, kako bi zaštita trebala utjecati na performanse, treba li biti moguće dodati programe na popise isključenja, koliko poruka i alarma bi se trebalo pojaviti na ekranu (ako postoji) , kao i mnogo više. Danas postoji dosta sigurnosnih alata, ali svaki od njih ima svoje prednosti i nedostatke. Na primjer, isti UAC Windows u operativnom sustavu Vista sustav nije napravljen na posve uspješan način, ali je već u Windowsima 7 doveden do točke kada je alat za zaštitu postao relativno zgodan za korištenje.

Nakon što odgovorite na sva ova pitanja, bit će vam puno lakše razumjeti kako ćete organizirati zaštitu podataka na svom računalu. Naravno, ovo nije cijeli popis pitanja, ali dovoljan je dio obični korisnici ne pita ni jedan od njih.

Instalacija i konfiguracija sigurnosnih alata na računalu samo je dio poduzetih mjera. Otvaranjem sumnjivih poveznica i barem potvrđivanjem svih radnji sumnjive aplikacije, lako možete poništiti sve napore zaštitnih programa. Iz tog razloga također uvijek vrijedi razmišljati o svojim postupcima. Na primjer, ako je vaš zadatak zaštititi vaš preglednik, ali ne možete ne otvoriti sumnjive poveznice (na primjer, zbog specifičnosti), tada uvijek možete postaviti dodatni preglednik, koji se koristi isključivo za otvaranje sumnjivih linkova, odnosno proširenje za provjeru kratkih linkova. U tom slučaju, ako se bilo koji od njih pokaže kao phishing (krađa podataka, pristup itd.), tada će napadač malo postići.

Problem određivanja skupa radnji za zaštitu informacija obično leži u nedostatku odgovora na pitanja iz prethodni odlomak. Na primjer, ako ne znate ili ne razumijete što točno želite zaštititi, smislite ili pronađite dodatne mjere osiguranje sigurnosti uvijek će biti teško (osim onih uobičajenih kao što su neotvaranje sumnjivih poveznica, ne posjećivanje sumnjivih izvora i drugih). Pokušajmo razmotriti situaciju na primjeru zadaće zaštite osobnih podataka, koja se najčešće stavlja na čelo zaštićenih objekata.

Zaštita osobnih podataka ovo je jedan od teških problema s kojima se ljudi suočavaju. S brzim rastom količine i punjenja društvene mreže, informacijske usluge i specijalizirana mrežni resursi, bila bi velika pogreška pretpostaviti da se zaštita vaših osobnih podataka svodi na osiguravanje pouzdane razine sigurnosti za vaše računalo. Ne tako davno bilo je gotovo nemoguće saznati bilo što o osobi koja živi stotinama kilometara od vas, pa čak i u susjednoj kući, a da nemate odgovarajuće veze. Danas gotovo svatko može saznati mnogo osobnih podataka o svakome u doslovno par sati klikanja mišem u pregledniku, ili čak i brže. Istovremeno, sve njegove radnje mogu biti apsolutno legalne, budući da ste sami objavili podatke o sebi u javnosti.

Svatko je naišao na odjek ovog učinka. Jeste li čuli da je ispitna riječ Sigurnosno pitanje ne bi trebao biti povezan s vama i drugima? A ovo je samo mali dio. Koliko god vas ovo možda ne čudi, u mnogočemu zaštita osobne informacije ovisi samo o tebi. Nikakva sigurnosna mjera, čak i ako nikome osim vama ne dopušta pristup računalu, neće moći zaštititi podatke koji se prenose izvan računala (razgovori, internet, snimke itd.). Ostavili ste negdje svoju poštu – očekujte porast neželjene pošte. Ostavili ste fotografije na kojima grlite medvjedića na resursima trećih strana, očekujte odgovarajuće duhovite "obrtove" od dosadnih autora.

Da budem malo ozbiljniji, enormna otvorenost internetskih podataka i vaša neozbiljnost/otvorenost/neozbiljnost, usprkos svim sigurnosnim mjerama, potonje može dovesti do ništavila. Zbog toga je potrebno voditi računa o odabiru metoda informacijske sigurnosti iu njih uključiti ne samo tehnička sredstva, ali i akcije koje pokrivaju druge aspekte života.

Bilješka: Naravno, ne biste trebali pretpostaviti da je podzemni bunker najbolje mjesto u životu. Međutim, razumijevanje da zaštita osobnih podataka ovisi o vama će vam dati velika prednost pred uljezima.

Metode informacijske sigurnostičesto poistovjećuju s tehnička rješenja, ostavljajući bez pažnje tako ogroman sloj potencijalnih prijetnji kao što su radnje same osobe. Korisniku možete dati priliku da pokrene samo jedan program i riješi posljedice u doslovno pet minuta, ako je to uopće moguće. Jedna poruka na forumu o informacijama koje se čuju može razbiti i najsavršeniju zaštitu (da pretjerujem, o sprječavanju zaštitnih čvorova, drugim riječima, privremenom nedostatku zaštite).

Odlučiti o načinima zaštite podataka, morate ne samo tražiti odgovarajuće sigurnosne alate dok lijeno klikate mišem u prozoru preglednika, već i razmišljati o tome kako se informacije mogu distribuirati i na što se one mogu odnositi. Kako god zvučalo, za to morate uzeti papir i olovku, a zatim sve pogledati moguće načineširenje informacija i ono s čime one mogu biti povezane. Na primjer, uzmimo zadatak čuvanja lozinke što je moguće tajnijim.

Situacija. ti si smislio složena lozinka, nije ni na koji način povezan s vama, u potpunosti je u skladu s najstrožim sigurnosnim zahtjevima, nije nigdje ostavio niti jedan spomen (aspekti kao što su ostaci u memoriji računala, na disku i druge točke nisu uzeti u obzir), ne koristite upravitelje lozinki, unesite lozinku samo s jednog računala, koristite sigurnu tipkovnicu, koristite VPN za povezivanje, dignite računalo samo s LiveCD-a. Jednom rečenicom, pravi paranoik i sigurnosni fanatik. Međutim, sve to možda neće biti dovoljno za zaštitu vaše lozinke.

Evo nekoliko jednostavnih mogućih situacija koje jasno pokazuju potrebu za širokim pogledom na prakse informacijske sigurnosti:

• Što ćete učiniti ako trebate unijeti lozinku kada su u sobi drugi ljudi, čak i oni "najbolji"? Nikada ne možete jamčiti da oni nasumično neće spominjati neizravne informacije o lozinci. Na primjer, sjedeći u ugodnoj atmosferi u zalogajnici, sasvim je moguće reći "ima takav duga lozinka, čak desetak i hrpa različiti likovi“, što prilično dobro sužava opseg pogađanja lozinke za napadača.
• Što ćete učiniti ako se to dogodi i trebate drugu osobu koja će umjesto vas obaviti operaciju? Neka druga osoba može slučajno čuti vašu lozinku. Ako izdiktirate lozinku osobi koja je slabo upućena u računala, vjerojatno će je negdje zapisati; zahtijevanje vašeg fanatizma od njega neće biti opravdano.
• Što ćete učiniti ako se to dogodi i netko sazna za način na koji dolazite do lozinki? Takve informacije također prilično dobro sužavaju područje odabira.
• Kako možete zaštititi svoju lozinku ako jedan od čvorova pruža siguran prijenos lozinku hakirao napadač? Na primjer, hakiran je VPN poslužitelj, putem kojeg pristupate internetu.
• Bi li vaša lozinka imala smisla da je sustav koji koristite bio hakiran?
• I drugi

Naravno, to ne znači potrebu za tvrdoglavom i upornom višemjesečnom potragom za metodama zaštite informacija. Stvar je u tome da se čak i najsloženiji sustavi mogu pokvariti jednostavnim ljudskim manama koje su zanemarene. Stoga, kada organizirate sigurnost svog računala, pokušajte obratiti pozornost ne samo na tehničku stranu problema, već i na svijet oko vas.

Računalne informacijske tehnologije koje se brzo razvijaju unose značajne promjene u naše živote. Informacije su postale roba koja se može kupiti, prodati i razmijeniti. U isto vrijeme, cijena informacija često je stotinama puta veća od cijene računalni sustav u kojoj je pohranjena.

Od stupnja sigurnosti informacijske tehnologije Trenutno, dobrobit, a ponekad čak i životi mnogih ljudi ovise. Ovo je cijena koju treba platiti za složenost i sveprisutnost. automatizirani sustavi obrada informacija.

Pod, ispod sigurnost informacija odnosi se na sigurnost informacijskog sustava od slučajnih ili namjernih smetnji koje uzrokuju štetu vlasnicima ili korisnicima informacija.

U praksi su najvažnija tri aspekta informacijske sigurnosti:

• dostupnost(mogućnost dobivanja potrebnog iznosa u razumnom roku informativni servis);
• integritet(relevantnost i dosljednost informacija, njihova zaštita od uništenja i neovlaštenih promjena);
• povjerljivost(zaštita od neovlaštenog čitanja).

Povrede dostupnosti, cjelovitosti i povjerljivosti informacija mogu biti uzrokovane različitim opasnim utjecajima na računalne informacijske sustave.

Glavne prijetnje informacijskoj sigurnosti

Suvremeni informacijski sustav složen je sustav koji se sastoji od velikog broja komponenti različitog stupnja autonomije koje su međusobno povezane i razmjenjuju podatke. Gotovo svaka komponenta može biti izložena vanjskim utjecajima ili otkazati. Komponente automatiziranog informacijskog sustava mogu se podijeliti u sljedeće skupine:

• hardver- računala i njihove komponente (procesori, monitori, terminali, periferije- diskovni pogoni, pisači, kontroleri, kabeli, komunikacijske linije itd.);
• softver- kupljeni programi, izvorni, objektni, učitani moduli; OS i sistemski programi (prevoditelji, povezivači, itd.), uslužni programi, dijagnostički programi itd.;
• podaci- pohranjuju se privremeno i trajno, na magnetskim medijima, tiskani, arhivski, zapisnici sustava itd.;
• osoblje- operativno osoblje i korisnici.

Opasne utjecaje na računalni informacijski sustav možemo podijeliti na slučajne i namjerne. Analiza iskustva u dizajnu, proizvodnji i radu informacijskih sustava pokazuje da su informacije podložne različitim slučajnim utjecajima u svim fazama životnog ciklusa sustava. Razlozi slučajni utjecaji tijekom rada može doći do:

• hitni slučajevi zbog elementarnih nepogoda i nestanaka električne energije;
• kvarovi i kvarovi opreme;
• softverske pogreške;
• greške u radu osoblja;
• smetnje u komunikacijskim linijama zbog utjecaja okoline.

Namjerni utjecaji- Riječ je o ciljanim radnjama prekršitelja. Počinitelj može biti zaposlenik, posjetitelj, natjecatelj ili plaćenik. Radnje počinitelja mogu biti uzrokovane različitim motivima:

• nezadovoljstvo zaposlenika njegovom karijerom;
• mito;
• znatiželja;
• natjecanje;
• želju da se potvrdi pod svaku cijenu.

Možete stvoriti hipotetski model potencijalnog prekršitelja:

• kvalifikacija počinitelja na razini programera ovog sustava;
• prekršitelj može biti bilo koji autsajder, i legalni korisnik sustava;
• počinitelj zna informacije o principima rada sustava;
• počinitelj bira najslabiju kariku u obrani.

Najčešća i najrazličitija vrsta računalnih prekršaja je neovlašten pristup(NSD). NSD iskorištava svaku pogrešku u sigurnosnom sustavu koja je moguća zbog neracionalnog izbora sigurnosnih sredstava, njihove pogrešne instalacije i konfiguracije.

Klasificirajmo kanale nediskriminacije putem kojih se podaci mogu ukrasti, promijeniti ili uništiti:

• Preko osobe:
  • krađa medija za pohranu podataka;
  • čitanje informacija s ekrana ili tipkovnice;
  • čitanje informacija s ispisa.
• Kroz program:
  • presretanje lozinki;
  • dešifriranje šifriranih informacija;
  • kopiranje informacija s medija za pohranu.
• Preko opreme:
  • povezivanje posebno dizajniranog hardvera koji omogućuje pristup informacijama;
  • presretanje strane elektromagnetska radijacija od opreme, komunikacijskih vodova, mreža napajanja itd.

Posebnu pozornost treba obratiti na prijetnje kojima računalne mreže mogu biti izložene. Glavna značajka svake računalne mreže je da su njezine komponente raspoređene u prostoru. Komunikacija između mrežnih čvorova provodi se fizički pomoću mrežnih linija i programski pomoću mehanizma poruka. U ovom slučaju, kontrolne poruke i podaci koji se šalju između mrežnih čvorova prenose se u obliku paketa za razmjenu. Računalne mreže karakterizira činjenica da tzv daljinski napadi. Uljez se može nalaziti tisućama kilometara od objekta koji se napada, a može biti napadnuto ne samo određeno računalo, već i informacije koje se prenose preko mrežnih komunikacijskih kanala.

Osiguravanje informacijske sigurnosti

Formiranje režima informacijske sigurnosti složen je problem. Mjere za njegovo rješavanje mogu se podijeliti u pet razina:

1. zakonodavstvo (zakoni, propisi, standardi itd.);
2. moralno-etički (sve vrste standarda ponašanja, čije nepoštivanje dovodi do pada prestiža konkretna osoba ili cijela organizacija);
3. administrativne (opće radnje koje poduzima uprava organizacije);
4. fizičke (mehaničke, elektro- i elektroničko-mehaničke prepreke na moguće načine prodor potencijalnih uljeza);
5. Hardver softver ( elektronički uređaji te posebni programi informacijske sigurnosti).

Jedinstveni skup svih ovih mjera usmjerenih na suzbijanje sigurnosnih prijetnji kako bi se smanjila mogućnost štete sustav zaštite.

Pouzdan sustav zaštite mora biti u skladu sa sljedećim načelima:

• Trošak zaštitne opreme trebao bi biti manji od iznosa moguće štete.
• Svaki korisnik mora imati minimalni set privilegije potrebne za rad.
• Zaštita je učinkovitija što lakši za korisnika raditi s njom.
• Mogućnost gašenja u slučaju nužde.
• Stručnjaci uključeni u sustav zaštite moraju u potpunosti razumjeti principe njegovog rada i, u slučaju teških situacija, na njih adekvatno odgovoriti.
• Cijeli sustav obrade informacija mora biti zaštićen.
• Programeri sigurnosnog sustava ne bi trebali biti među onima koje će ovaj sustav kontrolirati.
• Sigurnosni sustav mora pružiti dokaze o ispravnosti svog rada.
• Osobe uključene u osiguranje informacijske sigurnosti moraju snositi osobnu odgovornost.
• Preporučljivo je podijeliti zaštićene objekte u skupine tako da kršenje zaštite u jednoj od skupina ne utječe na sigurnost drugih.
• Pouzdan sigurnosni sustav mora biti u potpunosti testiran i dosljedan.
• Zaštita postaje učinkovitija i fleksibilnija ako administratoru omogući promjenu njezinih parametara.
• Sigurnosni sustavi moraju biti dizajnirani s pretpostavkom da će korisnici činiti ozbiljne pogreške i općenito imati najgore namjere.
• Najvažnije i najvažnije odluke moraju donijeti ljudi.
• Postojanje sigurnosnih mehanizama treba biti skriveno, ako je moguće, od korisnika čiji se rad prati.

Hardver i softver za informacijsku sigurnost

Unatoč činjenici da moderni operativni sustavi za osobnih računala, kao što su Windows 2000, Windows XP i Windows NT, imaju vlastite podsustave zaštite, važnost stvaranja dodatna sredstva zaštita se održava. Činjenica je da većina sustava nije u stanju zaštititi podatke koji se nalaze izvan njih, primjerice tijekom razmjene mrežnih informacija.

Hardver softver Zaštitu informacija možemo podijeliti u pet skupina:

1. Sustavi identifikacije (prepoznavanja) i autentifikacije (autentifikacije) korisnika.
2. Sustavi šifriranja podataka na disku.
3. Sustavi šifriranja podataka koji se prenose preko mreža.
4. Sustavi elektroničke provjere autentičnosti podataka.
5. Alati za upravljanje kriptografskim ključem.

1. Sustavi identifikacije i autentifikacije korisnika

Koriste se za ograničavanje pristupa nasumičnih i ilegalnih korisnika resursima računalnog sustava. Opći algoritam Rad takvih sustava je dobivanje identifikacijskih informacija od korisnika, provjera njihove autentičnosti, a zatim pružanje (ili ne pružanje) ovom korisniku mogućnosti rada sa sustavom.

Prilikom izgradnje ovih sustava javlja se problem odabira informacija na temelju kojih se provode postupci identifikacije i autentifikacije korisnika. Mogu se razlikovati sljedeće vrste:

• tajni podaci koje korisnik ima (lozinka, tajni ključ, osobni identifikator itd.); korisnik mora zapamtiti ove informacije ili se za njih mogu koristiti posebna sredstva za pohranu;
• fiziološki parametri osobe (otisci prstiju, uzorci šarenice, itd.) ili karakteristike ponašanja (značajke rada na tipkovnici, itd.).

Razmatraju se sustavi temeljeni na prvoj vrsti informacija tradicionalni. Sustavi koji koriste drugu vrstu informacija nazivaju se biometrijski. Treba napomenuti da se javlja trend ubrzanog razvoja biometrijski sustavi identifikacija.

2. Sustavi šifriranja diskovnih podataka

Kako bi informacije bile beskorisne protivniku, skup metoda transformacije podataka tzv kriptografija[s grčkog kriptos- skriveni i grafo- pisanje].

Sustavi šifriranja mogu izvoditi kriptografske transformacije podataka na razini datoteke ili na razini diska. Prva vrsta programa uključuje programe za arhiviranje kao što su ARJ i RAR, koji vam omogućuju korištenje kriptografske metode za zaštitu arhiviranih datoteka. Primjer sustava drugog tipa je program za šifriranje Diskreet, dio popularnog programski paket Norton Utilities, najbolja kripta.

Druga klasifikacijska značajka diskovnih sustava za šifriranje podataka je metoda njihovog rada. Sustavi diskovne enkripcije podataka prema načinu rada dijele se u dvije klase:

• "transparentni" sustavi šifriranja;
• sustavi posebno pozvani za obavljanje enkripcije.

U transparentnim enkripcijskim sustavima (on-the-fly enkripcija), kriptografske transformacije se provode u stvarnom vremenu, neprimjećene od strane korisnika. Na primjer, korisnik zapisuje dokument pripremljen u uređivaču teksta na zaštićeni disk, a sigurnosni sustav ga šifrira tijekom procesa pisanja.

Drugorazredni sustavi obično su pomoćni programi koji se moraju posebno pozvati za izvođenje enkripcije. To uključuje, na primjer, programe za arhiviranje s ugrađenom zaštitom lozinkom.

Većina sustava koji nude postavljanje lozinke za dokument ne kriptiraju informacije, već samo zahtijevaju lozinku prilikom pristupa dokumentu. Takvi sustavi uključuju MS Office, 1C i mnoge druge.

3. Sustavi šifriranja podataka koji se prenose preko mreža

Postoje dvije glavne metode šifriranja: enkripcija kanala i enkripcija terminala (pretplatnika).

Kada enkripcija kanala Sve informacije koje se prenose komunikacijskim kanalom, uključujući servisne informacije, zaštićene su. Ova metoda enkripcije ima sljedeću prednost - ugradnja procedura enkripcije u sloj podatkovne veze omogućuje korištenje hardvera, što pomaže u poboljšanju performansi sustava. Međutim, ovaj pristup također ima značajne nedostatke:

• enkripcija servisnih podataka komplicira mehanizam za usmjeravanje mrežnih paketa i zahtijeva dešifriranje podataka u međukomunikacijskim uređajima (pristupnici, repetitori itd.);
• enkripcija servisnih informacija može dovesti do pojave statističkih uzoraka u šifriranim podacima, što utječe na pouzdanost zaštite i nameće ograničenja u korištenju kriptografskih algoritama.

Enkripcija terminala (pretplatnika). omogućuje vam da osigurate povjerljivost podataka koji se prenose između dva pretplatnika. U tom slučaju zaštićen je samo sadržaj poruka, a sve informacije o uslugama ostaju otvorene. Nedostatak je mogućnost analize informacija o strukturi razmjene poruka, kao što su pošiljatelj i primatelj, vrijeme i uvjeti prijenosa podataka te količina prenesenih podataka.

4. Sustavi elektroničke provjere autentičnosti podataka

Prilikom razmjene podataka preko mreža javlja se problem autentifikacije autora dokumenta i samog dokumenta, tj. utvrđivanje autentičnosti autora i provjera da nema promjena u primljenom dokumentu. Za provjeru autentičnosti podataka koristi se kod za provjeru autentičnosti poruke (imitacija umetanja) ili elektronički potpis.

Imitovinsert generiran iz običnih podataka posebnom enkripcijskom transformacijom pomoću tajnog ključa i prenesen preko komunikacijskog kanala na kraju šifriranih podataka. Umetanje lažnog predstavljanja provjerava primatelj, koji posjeduje tajni ključ, ponavljanjem postupka koji je prethodno proveo pošiljatelj nad primljenim javnim podacima.

Elektronička digitalni potpis predstavlja relativno malu količinu dodatnih informacija za provjeru autentičnosti koje se prenose zajedno s potpisanim tekstom. Pošiljatelj generira digitalni potpis pomoću privatnog ključa pošiljatelja. Primatelj ovjerava potpis pomoću javni ključ pošiljatelj.

Dakle, za provedbu imitativnog umetanja koriste se principi simetrične enkripcije, a za implementaciju Elektronički potpis- asimetrična. Kasnije ćemo detaljnije proučiti ova dva sustava šifriranja.

5. Alati za upravljanje kriptografskim ključem

Sigurnost svakog kriptosustava određena je korištenim kriptografskim ključevima. Ako upravljanje ključem nije sigurno, napadač bi mogao dobiti ključne informacije i dobiti puni pristup na sve informacije u sustavu ili mreži.

Razlikuju se sljedeće vrste funkcija upravljanja ključevima: generiranje, pohranjivanje i distribucija ključeva.

Metode generiranje ključeva za simetrične i a simetrični kriptosustavi su različiti. Za generiranje ključeva simetričnih kriptosustava koriste se hardverski i softverski alati za generiranje slučajni brojevi. Generiranje ključeva za asimetrične kriptosustave je složenije, budući da ključevi moraju imati određena matematička svojstva. Detaljnije ćemo se zadržati na ovom pitanju kada proučavamo simetrične i asimetrične kriptosustave.

Funkcija skladištenje uključuje organiziranje sigurne pohrane, snimanja i brisanja ključnih informacija. Kako bi se osigurala sigurna pohrana ključeva, oni su šifrirani pomoću drugih ključeva. Ovaj pristup dovodi do koncepta ključne hijerarhije. Hijerarhija ključeva obično uključuje glavni ključ (tj. glavni ključ), ključ za šifriranje ključa i ključ za šifriranje podataka. Treba napomenuti da je generiranje i pohranjivanje glavnog ključa kritično pitanje u kriptografskoj sigurnosti.

Distribucija- najkritičniji proces u upravljanju ključevima. Ovaj proces mora osigurati povjerljivost ključeva koji se distribuiraju, kao i biti brz i točan. Ključevi se među korisnicima mreže distribuiraju na dva načina:

• korištenje izravne razmjene ključeva sesije;
• pomoću jednog ili više centara za distribuciju ključeva.

Popis dokumenata

1. O DRŽAVNIM TAJNAMA. Zakon Ruska Federacija od 21. srpnja 1993. br. 5485-1 (kako je izmijenjen Saveznim zakonom br. 131-FZ od 6. listopada 1997.).
2. O INFORMACIJAMA, INFORMACIJAMA I ZAŠTITI INFORMACIJA. Savezni zakon Ruske Federacije od 20. veljače 1995. br. 24-FZ. Prihvaćeno Državna duma 25. siječnja 1995. godine.
3. O PRAVNOJ ZAŠTITI PROGRAMA ZA ELEKTRONIČKO RAČUNALSTVO I BAZA PODATAKA. Zakon Ruske Federacije od 23. veljače 1992. br. 3524-1.
4. O ELEKTRONIČKOM DIGITALNOM POTPISU. Savezni zakon Ruske Federacije od 10. siječnja 2002. br. 1-FZ.
5. O AUTORSKOM I SRODNIM PRAVIMA. Zakon Ruske Federacije od 9. srpnja 1993. br. 5351-1.
6. O TIJELIMA ZA KOMUNIKACIJE I INFORMIRANJE FEDERALNE VLADE. Zakon Ruske Federacije (izmijenjen i dopunjen Ukazom predsjednika Ruske Federacije od 24. prosinca 1993. br. 2288; Savezni zakon od 7. studenog 2000. br. 135-FZ.
7. Pravilnik o akreditaciji ispitnih laboratorija i certifikacijskih tijela za opremu za informacijsku sigurnost prema zahtjevima informacijske sigurnosti / Državna tehnička komisija pri predsjedniku Ruske Federacije.
8. Upute o postupku označavanja potvrda o sukladnosti, njihovih kopija i sredstava certificiranja informacijske sigurnosti / Državna tehnička komisija pri predsjedniku Ruske Federacije.
9. Propisi o certificiranju objekata informatizacije prema zahtjevima informacijske sigurnosti / Državna tehnička komisija pri predsjedniku Ruske Federacije.
10. Propisi o certifikaciji sredstava informacijske sigurnosti prema zahtjevima informacijske sigurnosti: s dodacima u skladu s Uredbom Vlade Ruske Federacije od 26. lipnja 1995. br. 608 „O certifikaciji sredstava informacijske sigurnosti” / Državna tehnička komisija pod predsjednikom Ruska Federacija.
11. Propisi o državnom licenciranju aktivnosti u području informacijske sigurnosti / Državna tehnička komisija pri predsjedniku Ruske Federacije.
12. Automatizirani sustavi. Zaštita od neovlaštenog pristupa informacijama. Klasifikacija automatiziranih sustava i zahtjevi za zaštitu informacija: Vodeći dokument / Državna tehnička komisija pri predsjedniku Ruske Federacije.
13. Koncept zaštite fonda računalna tehnologija i automatizirani sustavi protiv neovlaštenog pristupa informacijama: Smjernice / Državna tehnička komisija pri predsjedniku Ruske Federacije.
14. Računalna oprema. Vatrozidi. Zaštita od neovlaštenog pristupa informacijama. Pokazatelji sigurnosti od neovlaštenog pristupa informacijama: Vodeći dokument / Državna tehnička komisija pri predsjedniku Ruske Federacije.
15. Računalna oprema. Zaštita od neovlaštenog pristupa informacijama. Pokazatelji sigurnosti od neovlaštenog pristupa informacijama: Vodeći dokument / Državna tehnička komisija pri predsjedniku Ruske Federacije.
16. Zaštita podataka. Posebni zaštitni znakovi. Klasifikacija i opći zahtjevi: Vodeći dokument / Državna tehnička komisija pri predsjedniku Ruske Federacije.
17. Zaštita od neovlaštenog pristupa informacijama. Pojmovi i definicije: Vodeći dokument / Državna tehnička komisija pri predsjedniku Ruske Federacije.

Sigurnost virtualnog poslužitelja može se smatrati izravno kao "Sigurnost informacija". Mnogi su čuli ovu frazu, ali ne razumiju svi što je to?

"Sigurnost informacija" je proces osiguravanja dostupnost, cjelovitost i povjerljivost informacija.

Pod, ispod "dostupnost" shvaća se u skladu s tim da omogućuje pristup informacijama. "Integritet"- osiguranje pouzdanosti i potpunosti informacija. "Povjerljivost" podrazumijeva osiguranje pristupa informacijama samo ovlaštenim korisnicima.

Ovisno o vašim ciljevima i zadacima koje obavljate na virtualnom poslužitelju, bit će potrebne različite mjere i stupnjevi zaštite za svaku od ove tri točke.

Na primjer, ako virtualni poslužitelj koristite samo kao sredstvo za surfanje internetom, tada iz potrebna sredstva kako bi se osigurala sigurnost, prvi će prioritet biti korištenje sredstava antivirusna zaštita, kao i usklađenost elementarna pravila sigurnost pri radu na internetu.

U drugom slučaju, ako na svom poslužitelju ugošćujete prodajno mjesto ili poslužitelj za igre, tada će potrebne mjere zaštite biti potpuno drugačije.

Znanje moguće prijetnje, kao i sigurnosne ranjivosti koje ove prijetnje obično iskorištavaju, potrebno je odabrati najoptimalnije sigurnosne mjere za tu svrhu, razmotrit ćemo glavne točke.

Pod, ispod "Prijetnja" shvaća se potencijalna mogućnost narušavanja informacijske sigurnosti na ovaj ili onaj način. Poziva se pokušaj provedbe prijetnje "napad", a onaj koji provodi ovaj pokušaj zove se "zlonamjeran". Najčešće je prijetnja posljedica prisutnosti ranjivosti u zaštiti informacijskih sustava.

Pogledajmo najčešće prijetnje kojima su izloženi moderni informacijski sustavi.

Prijetnje informacijskoj sigurnosti koje uzrokuju najveću štetu

Razmotrimo u nastavku klasifikaciju vrsta prijetnji prema različitim kriterijima:

1. Izravna prijetnja informacijskoj sigurnosti:
   • Dostupnost
   • Integritet
   • Povjerljivost
2. Komponente na koje ciljaju prijetnje:
   • Podaci
   • Programi
   • Oprema
   • Prateća infrastruktura
3. Po načinu provedbe:
   • Slučajno ili namjerno
   • Prirodni ili umjetni
4. Ovisno o lokaciji izvora prijetnje, postoje:
   • Domaći
   • Vanjski

Kao što je spomenuto na početku, koncept "prijetnje" u različite situaciječesto različito tumačeni. I potrebne sigurnosne mjere će varirati. Na primjer, za namjerno otvorenu organizaciju prijetnje povjerljivosti možda jednostavno ne postoje - sve se informacije smatraju javnima, ali u većini slučajeva ilegalni pristup predstavlja ozbiljnu opasnost.

Primjenjivo na virtualne poslužitelje, prijetnje koje vi kao administrator poslužitelja trebate uzeti u obzir su prijetnje dostupnosti, povjerljivosti i integritetu podataka. Vi snosite izravnu i neovisnu odgovornost za mogućnost prijetnji usmjerenih na povjerljivost i integritet podataka koji nisu povezani s hardverskim ili infrastrukturnim komponentama. Uključujući i primjenu potrebnih zaštitnih mjera, to je vaš neposredni zadatak.

Često vi kao korisnik nećete moći utjecati na prijetnje usmjerene na ranjivosti programa koje koristite osim neupotrebom tih programa. Korištenje ovih programa dopušteno je samo ako implementacija prijetnji korištenjem ranjivosti ovih programa nije preporučljiva sa stajališta napadača ili nema značajnih gubitaka za vas kao korisnika.

Pružanjem potrebnih sigurnosnih mjera protiv prijetnji usmjerenih prema opremi, infrastrukturi ili prijetnji koje je stvorio čovjek ili prirodne prirode izravno se bavi hosting tvrtka koju ste odabrali i od koje iznajmljujete svoje poslužitelje. U u ovom slučaju Izboru je potrebno pristupiti najpažljivije, pravilno odabrana hosting tvrtka osigurat će vam pouzdanost hardverskih i infrastrukturnih komponenti na potrebnoj razini.

Vi, kao administrator virtualnog poslužitelja, trebate uzeti u obzir ove vrste prijetnji samo u slučajevima u kojima čak i kratkotrajni gubitak pristupa ili djelomični ili potpuni prekid rada poslužitelja zbog pogreške hosting tvrtke može dovesti do nesamjerljivih problema ili gubitaka. To se događa vrlo rijetko, ali objektivni razlozi niti jedna hosting tvrtka ne može osigurati 100% produženje rada.

Prijetnje izravno informacijskoj sigurnosti

Glavne prijetnje pristupačnosti uključuju

1. Kvar internog informacijskog sustava;
2. Kvar prateće infrastrukture.

Glavni izvori unutarnjih kvarova su:

• Kršenje (slučajno ili namjerno) utvrđenih pravila rada
• Izlaz iz sustava normalni mod iskorištavanje zbog slučajnih ili namjernih radnji korisnika (prekoračenje procijenjenog broja zahtjeva, prevelika količina obrađenih informacija i sl.)
• Greške prilikom (ponovnog) konfiguriranja sustava
• Zlonamjerni softver
• Kvarovi softvera i hardvera
• Uništavanje podataka
• Uništenje ili oštećenje opreme

Preporuča se razmotriti sljedeće prijetnje u odnosu na prateću infrastrukturu:

• Prekid rada (slučajan ili namjeran) komunikacijskih sustava, opskrbe električnom energijom, opskrbe vodom i/ili toplinom, klimatizacije;
• Uništenje ili oštećenje prostorija;
• Nesposobnost ili nespremnost uslužnog osoblja i/ili korisnika da obavljaju svoje dužnosti (građanski nemiri, prometne nesreće, teroristički napad ili prijetnja terorističkim napadom, štrajk itd.).

Velike prijetnje integritetu

Mogu se podijeliti na statičke prijetnje integritetu i dinamičke prijetnje integritetu.

Također je vrijedno podijeliti na prijetnje integritetu servisnih informacija i podataka o sadržaju. Servisne informacije odnose se na lozinke za pristup, rute prijenosa podataka lokalna mreža i slične informacije. Najčešće i gotovo u svim slučajevima, napadač, svjesno ili ne, ispada zaposlenik organizacije koji je upoznat s načinom rada i sigurnosnim mjerama.

Kako bi narušio statički integritet, napadač može:

• Unesite netočne podatke
• Za promjenu podataka

Prijetnje dinamičkom integritetu uključuju preuređivanje, krađu, dupliciranje podataka ili uvođenje dodatnih poruka.

Velike prijetnje privatnosti

Povjerljive informacije mogu se podijeliti na predmetne i službene informacije. Servisne informacije(na primjer, korisničke lozinke) ne odnosi se na određeni predmetno područje, V informacijski sistem ima tehničku ulogu, ali je njegovo otkrivanje posebno opasno, jer je prepuno neovlaštenog pristupa svim informacijama, uključujući informacije o subjektu.

Čak i ako su informacije pohranjene na računalu ili su namijenjene korištenje računala, prijetnje njegovoj povjerljivosti mogu biti ne-računalne i općenito ne-tehničke prirode.

Neugodne prijetnje od kojih se teško obraniti uključuju zlouporabu ovlasti. Na mnogim vrstama sustava, povlašteni korisnik (na primjer Administrator sustava) može čitati bilo koju (nekriptiranu) datoteku, pristupiti bilo kojoj korisničkoj pošti itd. Drugi primjer je šteta uzrokovana servis. Tipično, servisni inženjer dobiva neograničeni pristup opremi i ima mogućnost zaobići mehanizme zaštite softvera.

Radi jasnoće, ove vrste prijetnji također su shematski prikazane u nastavku na slici 1.


Riža. 1. Klasifikacija vrsta prijetnji informacijskoj sigurnosti

Da bi se primijenile najoptimalnije mjere zaštite, potrebno je procijeniti ne samo prijetnje informacijskoj sigurnosti, već i moguću štetu; u tu svrhu koristi se karakteristika prihvatljivosti, čime se moguća šteta određuje kao prihvatljiva ili neprihvatljiva. Za to je korisno uspostaviti vlastite kriterije za dopuštenost štete u novčanom ili drugom obliku.

Svatko tko krene organizirati informacijsku sigurnost mora odgovoriti na tri osnovna pitanja:

1. Što zaštititi?
2. Od koga se zaštititi, koje vrste prijetnji prevladavaju: vanjske ili unutarnje?
3. Kako se zaštititi, kojim metodama i sredstvima?

Uzimajući u obzir sve navedeno, možete najpotpunije procijeniti relevantnost, mogućnost i kritičnost prijetnji. Procijenivši sve potrebne informacije i vaganje svih prednosti i mana. Možete odabrati najučinkovitije i najbolje prakse i zaštitnu opremu.

Osnovne metode i sredstva zaštite, te minimalne i potrebne sigurnosne mjere koje se koriste na virtualni poslužitelji ovisno o glavnim svrhama njihove uporabe i vrstama prijetnji, razmotrit ćemo ih u sljedećim člancima pod naslovom “Osnove informacijske sigurnosti”.

Glavne komponente. Važnost problema.

Informacijsku sigurnost (IS) treba shvatiti kao zaštitu interesa subjekata informacijskih odnosa. Njegove glavne komponente opisane su u nastavku - povjerljivost, integritet, dostupnost. Prikazana je statistika kršenja informacijske sigurnosti i opisani su najtipičniji slučajevi.

Koncept informacijske sigurnosti

Fraza "informacijska sigurnost" može imati različita značenja u različitim kontekstima. U Doktrini informacijske sigurnosti Ruske Federacije pojam "informacijska sigurnost" koristi se u širokom smislu. Riječ je o stanju zaštite nacionalnih interesa u informacijskoj sferi, određenom ukupnošću uravnoteženih interesa pojedinca, društva i države.

U Zakonu Ruske Federacije "O sudjelovanju u međunarodnoj razmjeni informacija" informacijska sigurnost definirana je na sličan način - kao stanje sigurnosti informacijskog okruženja društva, osiguravajući njegovo formiranje, korištenje i razvoj u interesu građana, organizacija , i država.

U ovom tečaju, naša pozornost će biti usmjerena na pohranjivanje, obradu i prijenos informacija, bez obzira na koji jezik (ruski ili bilo koji drugi) su kodirane, tko ili što je njihov izvor i kakav psihološki utjecaj imaju na ljude. Stoga će se pojam “informacijska sigurnost” koristiti u užem smislu, kako je to uobičajeno u literaturi na engleskom jeziku.

Pod, ispod sigurnost informacija razumjet ćemo sigurnost informacijske i prateće infrastrukture od slučajnih ili namjernih utjecaja prirodne ili umjetne prirode koji mogu prouzročiti neprihvatljivu štetu subjektima informacijskih odnosa, uključujući vlasnike i korisnike informacijske i prateće infrastrukture. (Uskoro ćemo objasniti što mislimo pod potpornom infrastrukturom.)

Zaštita podataka je skup mjera usmjerenih na osiguranje informacijske sigurnosti.

Dakle, metodološki ispravan pristup problemima informacijske sigurnosti započinje identificiranjem subjekata informacijskih odnosa i interesa tih subjekata povezanih s korištenjem informacijskih sustava (IS). Prijetnje informacijskoj sigurnosti su obrnuta strana korištenje informacijske tehnologije.

Iz ove situacije mogu se izvući dvije važne posljedice:

Tumačenje problema vezanih uz informacijsku sigurnost za različite kategorije predmeti mogu značajno varirati. Za ilustraciju dovoljno je usporediti organizacije režimske vlasti i obrazovne ustanove. U prvom slučaju, "bolje da se sve pokvari nego da neprijatelj otkrije i jednu tajnu", u drugom, "mi nemamo nikakvih tajni, dok sve radi."

Informacijska sigurnost nije ograničena na zaštitu od neovlaštenog pristupa informacijama; ona je bitno širi koncept. Subjekt informacijskih odnosa može trpjeti (pretrpiti gubitke i/ili dobiti moralnu štetu) ne samo od neovlaštenog pristupa, već i od kvara sustava koji uzrokuje prekid u radu. Štoviše, mnogim otvorenim organizacijama (primjerice, obrazovnim) stvarna zaštita od neovlaštenog pristupa informacijama nije na prvom mjestu po važnosti.

Vraćajući se terminološkoj problematici, napominjemo da nam se pojam „računalna sigurnost“ (kao ekvivalent ili zamjena za informacijsku sigurnost) čini preuzak. Računala su samo jedna od komponenti informacijskih sustava, a iako će naša pozornost biti usmjerena prvenstveno na informacije koje se pohranjuju, obrađuju i prenose pomoću računala, njihovu sigurnost određuje cijeli skup komponenti, a prije svega najslabije vezu, za koju se velikom većinom u većini slučajeva ispostavi da je osoba (koja je, na primjer, zapisala svoju lozinku na "senf" zalijepljen za monitor).

Prema definiciji informacijske sigurnosti, ona ne ovisi samo o računalima, već io pratećoj infrastrukturi koja uključuje sustave opskrbe električnom energijom, vodom i toplinom, klima uređaje, komunikacije i, naravno, osoblje za održavanje. Ova infrastruktura ima svoju vrijednost, no zanimat će nas samo kako ona utječe na obavljanje funkcija koje propisuje informacijski sustav.

Napominjemo da u definiciji informacijske sigurnosti ispred imenice “šteta” stoji pridjev “neprihvatljivo”. Očito je nemoguće osigurati sve vrste šteta, a još manje to učiniti na ekonomski isplativ način kada troškovi zaštitne opreme i mjera ne prelaze iznos očekivane štete. To znači da s nečim morate trpjeti i braniti se samo od onoga s čime se ne možete pomiriti. Ponekad je takva neprihvatljiva šteta šteta za ljudsko zdravlje ili okoliš, ali češće prag neprihvatljivosti ima materijalni (novčani) izraz, a cilj zaštite informacija je smanjiti količinu štete na prihvatljive vrijednosti.

Glavne komponente informacijske sigurnosti

Informacijska sigurnost višestruko je, moglo bi se reći i višedimenzionalno, područje djelovanja u kojem samo sustavan, integriran pristup može donijeti uspjeh.

Raspon interesa subjekata koji se odnosi na korištenje informacijskih sustava može se podijeliti u sljedeće kategorije: osiguranje pristupačnost, integritet I privatnost informacijskih resursa i prateće infrastrukture.

Ponekad glavne komponente informacijske sigurnosti uključuju zaštitu od neovlaštenog kopiranja informacija, ali, po našem mišljenju, to je previše specifičan aspekt sa dvojbenim izgledima za uspjeh, pa ga nećemo isticati.

Objasnimo koncepte dostupnosti, cjelovitosti i povjerljivosti.

Dostupnost je mogućnost dobivanja tražene informacijske usluge u razumnom roku. Cjelovitost podrazumijeva relevantnost i dosljednost informacija, njihovu zaštitu od uništavanja i neovlaštenih promjena.

Konačno, povjerljivost je zaštita od neovlaštenog pristupa informacijama.

Informacijski sustavi se stvaraju (nabavljaju) radi dobivanja određenih informacijskih usluga. Ukoliko iz ovog ili onog razloga postane nemoguće pružanje ovih usluga korisnicima, to očito nanosi štetu svim subjektima informacijskih odnosa. Stoga, ne suprotstavljajući pristupačnost drugim aspektima, ističemo je kao najvažniji element informacijske sigurnosti.

Vodeća uloga pristupačnosti posebno dolazi do izražaja u razne vrste sustavi upravljanja - proizvodnja, transport itd. Naizgled manje dramatične, ali također vrlo neugodne posljedice - materijalne i moralne - može izazvati dugotrajna nedostupnost informacijskih usluga koje koristi velik broj ljudi (prodaja željezničkih i zrakoplovnih karata, Bankarske usluge i tako dalje.).

Cjelovitost se može podijeliti na statičku (shvaćenu kao nepromjenjivost informacijskih objekata) i dinamičku (odnosi se na ispravno izvođenje složenih radnji (transakcija)). Dinamičke kontrole integriteta koriste se, posebno, kada se analizira tijek financijskih poruka kako bi se otkrila krađa, promjena redoslijeda ili dupliciranje pojedinačnih poruka.

Ispostavilo se da je integritet najvažniji aspekt informacijske sigurnosti u slučajevima kada informacije služe kao "vodič za djelovanje". Recepti lijekova, propisani medicinski postupci, skup i karakteristike komponenti, napredak tehnološkog procesa - sve su to primjeri informacija čije narušavanje cjelovitosti može biti doslovno kobno. Neugodno je i iskrivljavanje službenih informacija, bilo da se radi o tekstu zakona ili stranici web poslužitelja vladine organizacije. Povjerljivost je najrazvijeniji aspekt informacijske sigurnosti u našoj zemlji. Nažalost, praktična provedba mjera za osiguranje povjerljivosti suvremenih informacijskih sustava u Rusiji nailazi na ozbiljne poteškoće. Prvo, informacije o tehničkim kanalima curenja informacija su zatvorene, tako da većina korisnika ne može dobiti predodžbu o potencijalnim rizicima. Drugo, postoje brojni pravni i tehnički izazovi koji stoje na putu prilagođene kriptografije kao primarnog sredstva za osiguranje privatnosti.

Vratimo li se analizi interesa različitih kategorija subjekata informacijskih odnosa, onda je pristupačnost na prvom mjestu gotovo svima koji stvarno koriste informacijsku tehnologiju. Gotovo jednako važan je i integritet – koja je svrha informacijske usluge ako sadrži iskrivljene informacije?

Konačno, mnoge organizacije također imaju povjerljive probleme (čak i gore spomenute obrazovne ustanove pokušavaju ne otkrivati ​​podatke o plaćama zaposlenika) i pojedinačne korisnike (na primjer, lozinke).

Najčešće prijetnje:

Razumijevanje mogućih prijetnji, kao i sigurnosnih propusta koje te prijetnje obično iskorištavaju, neophodno je kako bi se odabrala najisplativija sigurnosna rješenja.

Osnovne definicije i kriteriji za klasifikaciju prijetnji

Prijetnja- ovo je potencijalna prilika da se na određeni način naruši informacijska sigurnost.

Poziva se pokušaj provedbe prijetnje napad, a onaj tko učini takav pokušaj - uljez. Pozivaju se potencijalni napadači izvori prijetnje.

Najčešće je prijetnja posljedica prisutnosti ranjivosti u zaštiti informacijskih sustava (kao što je mogućnost pristupa neovlaštenih osoba kritičnoj opremi ili greške u softveru).

Razdoblje od trenutka kada postane moguće koristiti slabost, i do trenutka kada je jaz eliminiran poziva se prozor opasnosti povezan s ovom ranjivošću. Sve dok postoji prozor opasnosti mogući su uspješni napadi na IP.

Ako govorimo o o pogreškama u softveru, tada se prozor opasnosti "otvara" s pojavom sredstava za iskorištavanje pogreške i eliminira se primjenom zakrpa za njezino ispravljanje.

Za većinu ranjivosti, prozor opasnosti postoji relativno dugo (nekoliko dana, ponekad tjedana), budući da se tijekom tog vremena moraju dogoditi sljedeći događaji:

načini iskorištavanja sigurnosne praznine moraju biti poznati;

moraju se izdati odgovarajući zakrpe;

zakrpe moraju biti instalirane na zaštićeni IP.

Već smo naznačili da se stalno pojavljuju nove ranjivosti i načini njihovog iskorištavanja; To znači, prvo, da gotovo uvijek postoje prozori opasnosti i, drugo, da se takvi prozori moraju kontinuirano nadzirati, a zakrpe izdati i primijeniti što je prije moguće.

Imajte na umu da se neke prijetnje ne mogu smatrati rezultatom nekih pogrešaka ili pogrešnih procjena; postoje po samoj prirodi modernog IP-a. Na primjer, prijetnja od nestanka struje ili odlaska njezinih parametara izvan prihvatljivih granica postoji zbog ovisnosti hardvera IC o visokokvalitetnom napajanju.

Pogledajmo najčešće prijetnje kojima su izloženi moderni informacijski sustavi. Razumijevanje mogućih prijetnji, kao i ranjivosti koje te prijetnje obično iskorištavaju, neophodno je kako bi se odabrala najisplativija sigurnosna rješenja. Previše je mitova u području informacijske tehnologije (sjetimo se istog "Problema 2000"), pa neznanje u ovom slučaju dovodi do prekoračenja troškova i, što je još gore, do koncentracije resursa tamo gdje nisu posebno potrebni, zbog slabljenje istinski ranjivih pravaca.

Naglašavamo da se sam koncept “prijetnje” često različito tumači u različitim situacijama. Na primjer, za naglašeno otvorenu organizaciju prijetnje privatnosti možda jednostavno ne postoje - sve se informacije smatraju javnima; međutim, u većini slučajeva, ilegalni pristup je ozbiljan rizik. Drugim riječima, prijetnje, kao i sve drugo u informacijskoj sigurnosti, ovise o interesima subjekata informacijskih odnosa (i o tome koja im je šteta neprihvatljiva).

Pokušat ćemo sagledati predmet sa stajališta tipične (po našem mišljenju) organizacije. Međutim, mnoge prijetnje (na primjer, požar) su opasne za sve.

Prijetnje se mogu klasificirati prema nekoliko kriterija:

o aspektu informacijske sigurnosti (dostupnost, cjelovitost, povjerljivost), protiv kojih su prijetnje prvenstveno usmjerene;

po komponentama informacijskih sustava koji su meta prijetnji (podaci, programi, hardver, prateća infrastruktura);

po načinu provedbe (slučajne/namjerne radnje prirodne/umjetne prirode);

prema lokaciji izvora prijetnje (unutar/izvan predmetnog IS-a).

Koristit ćemo prvi (za aspekt informacijske sigurnosti) kao glavni kriterij, uključujući ostale po potrebi.

Velike prijetnje privatnosti

Povjerljive informacije mogu se podijeliti na predmetne i službene informacije. Servisne informacije (primjerice korisničke lozinke) ne odnose se na određeno predmetno područje, već imaju tehničku ulogu u informacijskom sustavu, ali je njihovo otkrivanje posebno opasno, jer je prepuno neovlaštenog pristupa svim informacijama, uključujući i predmetne.

Čak i ako su informacije pohranjene na računalu ili namijenjene za korištenje računalom, prijetnje njihovoj povjerljivosti mogu biti ne-računalne i ne-tehničke prirode.

Mnogi ljudi moraju djelovati kao korisnici ne jednog, već više sustava (informacijskih usluga). Ako se za pristup takvim sustavima koriste višekratne lozinke ili druge povjerljive informacije, tada će ti podaci najvjerojatnije biti pohranjeni ne samo u glavi, već iu bilježnici ili na komadima papira, koje korisnik često ostavlja na radnoj površini ili čak jednostavno gubi. A poanta ovdje nije nedostatak organizacije ljudi, već početna neprikladnost sheme zaporki. Nemoguće je zapamtiti puno različite lozinke; preporuke za njihovu redovitu (ako je moguće, čestu) izmjenu samo pogoršavaju situaciju, prisiljavajući korištenje jednostavnih alternacijskih shema ili čak pokušavajući svesti stvar na dvije ili tri lako pamtljive (i jednako lako pogodljive) lozinke.

Opisana klasa ranjivosti može se nazvati smještajem povjerljivih podataka u okruženje u kojem im nije pružena (a često se i ne može) potrebna zaštita. Prijetnja je da netko neće odbiti saznati tajne koje traže njihove ruke. Osim lozinki pohranjenih u bilježnice korisnicima, ovaj razred uključuje prijenos povjerljivih podataka u čistom tekstu (u razgovoru, u pismu, preko mreže), što omogućuje presretanje podataka. Za napad se mogu koristiti razna tehnička sredstva (prisluškivanje ili prisluškivanje razgovora, pasivno prisluškivanje mreže i sl.), ali ideja je ista - pristupiti podacima u trenutku kada su najmanje zaštićeni.

Prijetnju presretanja podataka treba uzeti u obzir ne samo tijekom početne konfiguracije IS-a, već i, što je vrlo važno, tijekom svih promjena. Vrlo opasna prijetnja su... izložbe, na koje mnoge organizacije, bez razmišljanja, šalju opremu iz proizvodne mreže, sa svim pohranjenim podacima. Lozinke ostaju iste; tijekom daljinskog pristupa nastavljaju se prenositi u čistom tekstu. To je loše čak i unutar sigurne mreže organizacije; u jedinstvenoj izložbenoj mreži prestrog je test poštenja svih sudionika.

Još jedan primjer promjene koja se često zaboravlja je pohranjivanje podataka na sigurnosne medije. Za zaštitu podataka na primarnim medijima koriste se napredni sustavi kontrole pristupa; kopije često samo leže u ormarima i mogu im pristupiti mnogi.

Presretanje podataka vrlo je ozbiljna prijetnja, a ako je privatnost doista kritična i podaci se prenose kroz mnogo kanala, njihova zaštita može biti vrlo teška i skupa. Tehnička sredstva za presretanje su dobro razvijena, dostupna, laka za rukovanje i postavljanje na npr kabelska mreža, svatko može, pa se ova prijetnja mora uzeti u obzir u odnosu ne samo na vanjske, već i na interne komunikacije.

Krađa hardvera prijetnja je ne samo medijima za sigurnosne kopije, već i računalima, posebice prijenosnim računalima. Prijenosna računala često ostaju bez nadzora na poslu ili u automobilu, a ponekad se jednostavno izgube.

Opasna netehnička prijetnja povjerljivosti su metode moralnog i psihološkog utjecaja, kao npr maskenbal - izvođenje radnji pod krinkom osobe s ovlastima za pristup podacima (vidi, na primjer, članak Ire Winkler "Zadatak: špijunaža" u Jet Info, 1996., 19).

Neugodne prijetnje od kojih se teško obraniti uključuju: zlouporaba moći. Na mnogim vrstama sustava, privilegirani korisnik (na primjer, administrator sustava) može čitati bilo koju (nešifriranu) datoteku, pristupiti bilo kojoj korisničkoj pošti itd. Drugi primjer je šteta nastala tijekom servisnog održavanja. Tipično, servisni inženjer dobiva neograničeni pristup opremi i ima mogućnost zaobići mehanizme zaštite softvera.

Ovo su glavne prijetnje koje nanose najveće štete subjektima informacijskih odnosa.