Для обеспечения безопасности информации в офисных сетях проводятся различные мероприятия, объединяемые понятием «система защиты информации». Система защиты информации - это совокупность мер, программно-технических средств, правовых и морально-этических норм, направленных на противодействие угрозам нарушителей с целью сведения до минимума возможного ущерба пользователям и владельцам системы.

Традиционные меры для противодействия утечкам информации подразделяются на технические и организационные.

К техническим мерам можно отнести защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем, организацию вычислительных сетей с возможностью перераспределения ресурсов в случае нарушения работоспособности отдельных звеньев, установку оборудования обнаружения и тушения пожара, оборудования обнаружения воды, принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов, установку резервных систем электропитания, оснащение помещений замками, установку сигнализации и многое другое.

К организационным мерам можно отнести охрану серверов, тщательный подбор персонала, исключение случаев ведения особо важных работ только одним человеком, наличие плана восстановления работоспособности сервера после выхода его из строя, универсальность средств защиты от всех пользователей (включая высшее руководство).

Несанкционированный доступ к информации может происходить во время профилактики или ремонта компьютеров за счет прочтения остаточной информации на носителях, несмотря на ее удаление пользователем обычными методами. Другой способ - прочтение информации с носителя во время его транспортировки без охраны внутри объекта или региона.

Современные компьютерные средства построены на интегральных схемах. При работе таких схем происходят высокочастотные изменения уровней напряжения и токов, что приводит к возникновению в цепях питания, в эфире, в близрасположенной аппаратуре и т.п. электромагнитных полей и наводок, которые с помощью специальных средств (условно назовем их "шпионскими") можно трансформировать в обрабатываемую информацию. С уменьшением расстояния между приемником нарушителя и аппаратными средствами вероятность такого рода съема и расшифровки информации увеличивается.

Несанкционированное ознакомление с информацией возможно также путем непосредственного подключения нарушителем «шпионских» средств к каналам связи и сетевым аппаратным средствам.

Традиционными методами защиты информации от несанкционированного доступа являются идентификация и аутентификация, защита паролями. Идентификация и аутентификация. В компьютерных системах сосредоточивается информация, право на пользование которой принадлежит определенным лицам или группам лиц, действующим в порядке личной инициативы или в соответствии с должностными обязанностями. Чтобы обеспечить безопасность информационных ресурсов, устранить возможность несанкционированного доступа, усилить контроль санкционированного доступа к конфиденциальной либо к подлежащей засекречиванию информации, внедряются различные системы опознавания, установления подлинности объекта (субъекта) и разграничения доступа. В основе построения таких систем находится принцип допуска и выполнения только таких обращений к информации, в которых присутствуют соответствующие признаки разрешенных полномочий.

Ключевыми понятиями в этой системе являются идентификация и аутентификация. Идентификация - это присвоение какому-либо объекту или субъекту уникального имени или образа. Аутентификация - это установление подлинности, т.е. проверка, является ли объект (субъект) действительно тем, за кого он себя выдает.

Конечная цель процедур идентификации и аутентификации объекта (субъекта) - допуск его к информации ограниченного пользования в случае положительной проверки либо отказ в допуске в случае отрицательного исхода проверки. Объектами идентификации и аутентификации могут быть: люди (пользователи, операторы и др.); технические средства (мониторы, рабочие станции, абонентские пункты); документы (ручные, распечатки и др.); магнитные носители информации; информация на экране монитора и др. Установление подлинности объекта может производиться аппаратным устройством, программой, человеком и т.д.

Защита паролями. Пароль - это совокупность символов, определяющая объект (субъекта). При выборе пароля возникают вопросы о его размере, стойкости к несанкционированному подбору, способам его применения. Естественно, чем больше длина пароля, тем большую безопасность будет обеспечивать система, ибо потребуются большие усилия для его отгадывания. При этом выбор длины пароля в значительной степени определяется развитием технических средств, их элементной базой и быстродействием.

В случае применения пароля необходимо периодически заменять его на новый, чтобы снизить вероятность его перехвата путем прямого хищения носителя, снятия его копии и даже физического принуждения человека. Пароль вводится пользователем в начале взаимодействия с компьютерной системой, иногда и в конце сеанса (в особо ответственных случаях пароль нормального выхода может отличаться от входного). Для правомочности пользователя может предусматриваться ввод пароля через определенные промежутки времени.

Пароль может использоваться для идентификации и установления подлинности терминала, с которого входит в систему пользователь, а также для обратного установления подлинности компьютера по отношению к пользователю. Для идентификации пользователей могут применяться сложные в плане технической реализации системы, обеспечивающие установление подлинности пользователя на основе анализа его индивидуальных параметров: отпечатков пальцев, рисунка линий руки, радужной оболочки глаз, тембра голоса и др. Широкое распространение нашли физические методы идентификации с использованием носителей кодов паролей. Такими носителями являются пропуска в контрольно-пропускных системах; пластиковые карты с именем владельца, его кодом, подписью; пластиковые карточки с магнитной полосой; пластиковые карты с встроенной микросхемой (smart-card); карты оптической памяти и др.

Средства защиты информации по методам реализации можно разделить на три группы:

• ·программные;
• ·программно-аппаратные;
• ·аппаратные.

Программными средствами защиты информации называются специально разработанные программы, которые реализуют функции безопасности вычислительной системы, осуществляют функцию ограничения доступа пользователей по паролям, ключам, многоуровневому доступу и т.д. Эти программы могут быть реализованы практически в любой операционной системе, удобной для пользователя. Как правило, эти программные средства обеспечивают достаточно высокую степень защиты системы и имеют умеренные цены. При подключении такой системы в глобальную сеть вероятность взлома защиты увеличивается. Следовательно, этот способ защиты приемлем для локальных замкнутых сетей, не имеющих внешний выход.

Программно-аппаратными средствами называются устройства, реализованные на универсальных или специализированных микропроцессорах, не требующие модификаций в схемотехнике при изменении алгоритма функционирования. Эти устройства также адаптируются в любой операционной системе, имеют большую степень защиты. Они обойдутся несколько дороже (их цена зависит от типа операционной системы). При этом данный тип устройств является самым гибким инструментом, позволяющим вносить изменения в конфигурацию по требованию заказчика. Программно-аппаратные средства обеспечивают высокую степень защиты локальной сети, подключенной к глобальной.

Аппаратными средствами называются устройства, в которых функциональные узлы реализуются на сверхбольших интегральных системах (СБИС) с неизменяемым алгоритмом функционирования. Этот тип устройств адаптируется в любой операционной системе, является самым дорогим в разработке, предъявляет высокие технологические требования при производстве. В то же время эти устройства обладают самой высокой степенью защиты, в них невозможно внедриться и внести конструктивные или программные изменения. Применение аппаратных средств затруднено из-за их высокой стоимости и статичности алгоритма.

Программно-аппаратные средства, уступая аппаратным по скорости, позволяют в то же время легко модифицировать алгоритм функционирования и не обладают недостатками программных методов. К отдельной группе мер по обеспечению сохранности информации и выявлению несанкционированных запросов относятся программы обнаружения нарушений в режиме реального времени.

Ведение

Во все времена информация являлась основой развития человечества и любых сфер деятельности. На сегодняшний день, в любом бизнес-процессе ключевую роль играет обладание информацией, а значит - её защита.

По общемировой статистике 80% компаний, допустивших утечку коммерческой информации, неминуемо завершили свою деятельность крахом.

На сегодняшний день свыше 4,6 миллионов компьютеров во всём мире подвержены уязвимостям, и более 90% компьютеров потенциально уязвимы. Ежедневно совершается более 6000 атак на компьютерные сети организаций разного уровня. По данным «InfoWatch», в 2007 году общемировые убытки от информационных утечек достигнут отметки в 1 трлн. долл. Это на 300 млрд. долл. больше, чем в 2006 году.

За последние годы актуальность этой угрозы возросла настолько, что сегодня кража классифицированных сведений стабильно занимает первые места во всех рейтингах угроз ИТ-безопасности. Возрастающее использование электронной почты, интернет - пейджеров и других средств передачи данных, распространенность мобильных устройств - все это значительно осложняет контроль над потоками данных, а следовательно содействует утечки информации.

Целью курсовой работы является знакомство со средствами защиты информации. Часть из которых рассмотрим подробно.

o Криптография

o Аутентификация

o Протоколирование и аудит

o Управление доступом

В практической части курсовой работы перед нами была поставлена экономическая задача. При решении которой, была использована программа для работы с электронными таблицами Microsoft Office Excel 2007. Полученные результаты были наглядно представлены в качестве таблиц и гистограмм.

Меры информационной безопасности

Информационная безопасность подчеркивает важность информации в современном обществе - понимание того, что информация - это ценный ресурс, нечто большее, чем отдельные элементы данных. Информационной безопасностью называют меры по защите информации от неавторизованного доступа, разрушения, модификации, раскрытия и задержек в доступе. Информационная безопасность включает в себя меры по защите процессов создания данных, их ввода, обработки и вывода. Целью информационной безопасности является обезопасить ценности системы, защитить и гарантировать точность и целостность информации, и минимизировать разрушения, которые могут иметь место, если информация будет модифицирована или разрушена. Информационная безопасность требует учета всех событий, в ходе которых информация создается, модифицируется, к ней обеспечивается доступ или она распространяется

Можно выделить следующие направления мер информационной безопасности.

- правовые

Организационные

Технические

К правовым мерам следует отнести разработку норм, устанавливающих ответственность за компьютерные преступления, защиту авторских прав программистов, совершенствование уголовного и гражданского законодательства. К правовым мерам также относятся вопросы общественного контроля за разработчиками компьютерных систем и принятие международных договоров об их ограничениях, если они влияют или могут повлиять на военные, экономические и социальные аспекты жизни стран, заключающих соглашение.

К организационным мерам относится: охрана вычислительного центра, тщательный подбор персонала, универсальность средств защиты от всех пользователей (включая высшее руководство), возложение ответственности на лиц, которые должны обеспечить безопасность центра, выбор места расположения центра и т.п.

К техническим мерам можно отнести защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем, организацию вычислительных сетей с возможностью перераспределения ресурсов в случае нарушения работоспособности отдельных звеньев, установку оборудования обнаружения и тушения пожара, принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов, установку резервных систем электропитания, оснащение помещений замками, установку сигнализации и многое другое.

Технические меры защиты информации

Технические меры можно классифицировать так потенциальные угрозы, против которых направлены технические меры защиты информации:

1. Потери информации из-за сбоев оборудования:

перебои электропитания;

сбои дисковых систем;

сбои работы серверов, рабочих станций, сетевых карт и т.д.

2. Потери информации из-за некорректной работы программ:

потеря или изменение данных при ошибках ПО;

потери при заражении системы компьютерными вирусами;

3. Потери, связанные с несанкционированным доступом:

несанкционированное копирование, уничтожение или подделка информации;

ознакомление с конфиденциальной информацией

4. Ошибки обслуживающего персонала и пользователей:

случайное уничтожение или изменение данных;

некорректное использование программного и аппаратного обеспечения, ведущее к уничтожению или изменению данных.

По средствам зашиты технические меры можно разделить на:

Аппаратные средства защиты

Под аппаратными средствами защиты понимаются специальные средства, непосредственно входящие в состав технического обеспечения и выполняющие функции защиты как самостоятельно, так и в комплексе с другими средствами, например с программными.

Можно выделить наиболее важные элементы аппаратной защиты:

защита от сбоев в электропитании;

защита от сбоев серверов, рабочих станций и локальных компьютеров;

защита от сбоев устройств, для хранения информации;

защита от утечек информации электромагнитных излучений.

программные средства защиты

Программными, называются средства защиты данных, функционирующие в составе программного обеспечения.

Среди них можно выделить следующие;

средства архивации данных

антивирусные программы

криптографические средства

средства идентификации и аутентификации пользователей

средства управления доступом

протоколирование и аудит

Как примеры комбинаций вышеперечисленных средств можно привести:

защиту баз данных

защиту информации при работе в компьютерных сетях.

Положение о мерах по обеспечению Защиты информации.

Общие положения

Использование автоматизированных систем значительно повышает эффективность работы организации и одновременно создает предпосылки искажения и потери информации за счет отказов, сбоев, ошибочных или злонамеренных действий обслуживающего персонала, несанкционированных действий третьих лиц, компьютерных преступлений.

Использование сетевых технологий в обработке информации выдвигает проблему безопасности на первый план.

В данном документе определяются следующие аспекты обеспечения безопасности:

• ограничение доступа к аппаратным средствам;
• соблюдение норм безопасности на рабочих местах;
• доступ пользователей к сетевым ресурсам;
• разграничение прав на уровне прикладных программ;
• безопасность при работе с электронной почтой;
• безопасность при работе с Интернет;
• защита информации при работе с электронными финансовыми документами;
• обеспечение защиты при передаче финансовой информации.

1. Защита аппаратных средств

Компьютерное оборудование должно располагаться в местах, которые исключают возможность доступа посторонних лиц без ведома сотрудников организации. Основные серверы должны располагаться в отдельных комнатах серверных, в которые имеет доступ ограниченный круг сотрудников службы автоматизации организации. Перечень этих сотрудников должен утверждаться уполномоченным руководителем организации.

Структура сети должна сводить к минимуму вероятность несанкционированного подключения к магистральным кабелям и/или коммутирующим устройствам.

Для защиты компьютеров, установленных вне территории, контролируемой организацией, должны быть выполнены следующие дополнительные требования:

• корпус компьютера должен быть опломбирован;
• настройка BIOS компьютера должна быть защищена паролем администратора;
• запуск компьютера должен осуществляться после ввода пароля пользователя (этот пароль контролируется BIOS );
• пароли администратора BIOS и пользователя должны иметь длину не менее 6 знаков и не должны совпадать друг с другом;
• если специфика работы пользователя позволяет это, то должны быть заблокированы (отключены физически или путем соответствующей настройки BIOS ) такие устройства, как CD-дисковод, дисковод гибкого диска (дискеты ), порты USB;

2. Соблюдением норм безопасности на рабочих местах

Каждый сотрудник обязан в течение рабочего времени обеспечить защиту от несанкционированного доступа к информации на своем компьютере. На рабочих местах пользователей системы это достигается применением аутентификации при загрузке ОС компьютера и блокировкой клавиатуры при временном уходе с рабочего места.

В подразделениях организации должен быть обеспечен постоянный визуальный контроль сотрудников за компьютерами временно отлучившихся коллег.

При выводе информации на печатающее устройство сотрудники обязаны контролировать процесс печати, при этом принтер не должен оставаться без присмотра. Все распечатанные документы необходимо забирать на рабочее место. Бумажные документы, необходимость дальнейшего использования которых отпала, должны уничтожаться в установленном в организации порядке, т.е. с использованием соответствующего оборудования, исключающего возможность восстановления их содержания.

При необходимости установки на компьютере новой программы пользователь обязан обратиться в Управление автоматизации для выполнения соответствующих действий. Самостоятельная установка программ, равно как и самостоятельное изменение настроек компьютера, операционной системы и прикладных программ, изменение конфигурации компьютера не допускаются. Каждый сотрудник организации несет ответственность за наличие на своей машине посторонних программ и другой неслужебной электронной информации.

При работе сотрудников организации с клиентами желательно исключить возможность просмотра клиентами содержимого экрана монитора. Это достигается взаимным расположением сотрудника и обслуживаемого клиента «лицом к лицу» и соответствующим разворотом монитора.

Особую осторожность необходимо соблюдать при вводе паролей: как сетевых, так и паролей, используемых в прикладных программах. Запрещается записывать или сохранять в файлах информацию о паролях пользователей.

3. Защита на уровне локальной вычислительной сети

3.1. Регистрация пользователей в сети

Система контроля доступа к локальной сети определяет:

• какие пользователи могут работать на файловом сервере;
• в какие дни и в какое время пользователи могут работать;
• с каких рабочих станций пользователи могут работать.

Регистрация учётной записи пользователя на Сервере ЛВС производится Администратором на основании заявки, подписанной руководителем подразделения, в котором работает сотрудник.

Для контроля доступа к сети организации каждому пользователю присваивается один уникальный идентификатор (сетевое имя ), который выдается ему Администратором ЛВС при регистрации, и временный пароль для первичного подключения к сети. При первом подключении к сети система контроля доступа проверит правильность временного пароля и, при положительном результате проверки, предложит сменить пароль на постоянный. Длина пароля, выбираемого пользователем, должна быть достаточной для обеспечения разумной стойкости к подбору, как правило это 6 и более символов. Срок действия пароля должен быть ограничен и составляет, как правило, один год или менее.

Заявка на доступ пользователя к ресурсам ЛВС подписывается руководителем подразделения.

При увольнении сотрудника, отстранении его от работы, изменении его служебных обязанностей и функций, его непосредственный руководитель обязан своевременно письменно известить об этом администратора ЛВС. Администратор обязан немедленно произвести соответствующие изменения в настройках учетной записи и/или в наборе полномочий (прав) пользователя.

Каждому пользователю ЛВС при его регистрации может устанавливаться ограничение на количество соединений с каждым из серверов – как правило, одно подключение к каждому из серверов, необходимых для работы пользователя. В качестве дополнительной защиты может использоваться привязка сетевых имён к MAC-адресам рабочих станций.

В случае необходимости временной передачи полномочий одного пользователя ЛВС другому руководитель соответствующего подразделения обязан своевременно письменно известить об этом администратора ЛВС. В извещении указываются дата начала и дата отмены делегирования полномочий одного пользователя другому. Администратору запрещается делегирование полномочий пользователей по устной просьбе руководителей подразделений и сотрудников. Не допускается передача сетевого имени и/или пароля от одного пользователя другому.

Заявки на подключение, делегирование полномочий и отключение (блокировку ) пользователей к ресурсам сети сохраняются администратором.

Обо всех попытках несанкционированного доступа к информации в ЛВС Администратор обязан немедленно сообщать начальнику управления автоматизации.

Администратор обязан иметь возможность оперативного получения списка пользователей, групп и структуру их доступа к сетевым ресурсам.

3.2. Разграничение доступа к ресурсам сети

Разграничение прав доступа к определенным базам данных и программам, расположенным на файловых серверах, производится на уровне сетевых устройств и директорий. В случае использования серверных СУБД следует использовать их внутренние механизмы аутентификации пользователей и защиты данных.

Для организации совместной работы с ресурсами Сервера и обмена данными через Сервер создаются группы пользователей (например, по принципу административного деления, по используемым приложениям, каталогам и т.п. ). Каждая группа имеет права доступа к определённым ресурсам. Права доступа групп, как правило, не пересекаются.

Каждый пользователь в соответствии с его функциональными обязанностями принадлежит к одной или нескольким группам пользователей.

На Серверах должны отсутствовать учетные записи общего пользования, такие как Guest.

4. Разграничение прав доступа на уровне прикладных программ

Для работы с системами организации каждый пользователь должен иметь свой уникальный идентификатор и/или пароль. В зависимости от выполняемых операций пользователю дается доступ к определенным компонентам системы. При этом ограничивается доступ на уровне используемых функций и выполняемых операций. На самом низком уровне для исполнителей определяются группы доступных счетов и полномочия по работе с этими счетами.

Заявка на доступ пользователя к программам подписывается руководителем подразделения и визируется главным бухгалтером организации.

Функции по назначению прав доступа пользователей к прикладным системам возлагаются на Администраторов систем и программ.

5. Использование корпоративной почтовой системы

Каждый пользователь почтовой системы должен иметь свой уникальный идентификатор и пароль. За подключение пользователей к системе и проведение необходимых регламентных работ отвечает Администратор почтовой системы.

Запрещается использование почтовой системы для пересылки сообщений, не относящихся к работе организации: личной переписки, спама и т.п.

Запрещается пересылка сообщений, содержащих коммерческую и др. виды тайны, в открытом (не защищенном СКЗИ ) виде.

При получении сообщений, содержащих присоединенные файлы, сотрудник должен обеспечить антивирусный контроль этих файлов до момента их использования в прикладных программах.

На корпоративном почтовом сервере целесообразно использование антиспам и антивирусного фильтров.

6. Меры безопасности при работе c Интернет

Основной задачей при взаимодействии с Интернет является защита внутренней сети. Обязательно использование межсетевых экранов (firewall), физическое разделение ресурсов внешней сети от внутренней сети организации.

Поскольку объединение сетей организации, филиалов и доп. офисов осуществляется посредством VPN, построенной на базе Интернет, необходимо обеспечить надежную защиту периметра объединенной сети в каждом из обособленных подразделений. Это достигается использованием соответствующих технических и/или программных средств: VPN-роутеров, брандмауэров, применением антивирусного программного обеспечения.

Запрещается использование доступа в Интернет в личных целях или для неслужебных задач.

В случае появления признаков нестандартного поведения или нестабильной работы компьютера при доступе в интернет, а также при сигналах о попытке заражения от антивирусной системы, необходимо немедленно известить об этом администратора ЛВС организации.

7. Защита при передаче финансовой информации

При обмене платежными документами должны использоваться средства криптозащиты передаваемой информации: шифрование и электронная цифровая подпись (ЭЦП ). Разрешается использовать только сертифицированные средства криптозащиты.

Сотрудники, ответственные за формирование ключевых дискет для средств криптозащиты (администраторы безопасности ), назначаются приказом по организации. Все действия по генерации и передаче ключей должны документироваться администраторами безопасности в специальных журналах.

8. Дополнительные требования к соблюдению норм безопасности при эксплуатации системы «Клиент-Банк»

Требуется соблюдение мер безопасности, предписанных соответствующими документами уполномоченных органов, для обеспечения безопасности в организации, занимающейся техническим обеспечением, распространением и эксплуатацией программ защиты информации по классу «С ».

Требуется соблюдение мер безопасности с работой в системе «Клиент-Банк ».

Доступ в помещение, в котором установлен компьютер, который передаёт и принимает документы по системе «Клиент-Банк » должен быть предоставлен лишь ограниченному кругу лиц, список которых отражен в соответствующих приказах по организации.

В связи с тем, что компьютер с программным обеспечением передачи и приема файлов от участников системы «Клиент-Банк » напрямую подключен к внешним вычислительным сетям, необходимо:

1. Предпринять меры, обеспечивающие невозможность для внешнего пользователя входа с этого компьютера во внутреннюю сеть организации.

2. Вся конфиденциальная информация, хранящаяся на этом компьютере, должна подвергаться шифрованию или иному преобразованию с целью невозможности ее несанкционированного использования.

Все операции и действия, происходящие в системе «Клиент-Банк », должны записываться в файлы (журналы ) протоколов.

С целью быстрого восстановления системы, необходимо ежедневное создание ее резервных копий, которые должны храниться на другом компьютере, физически расположенном в другом помещении организации.

9. Обеспечение целостности и достоверности информации

Периодически должны осуществляться профилактические сканирования жестких дисков компьютеров с помощью антивирусных программ. При использовании съёмных носителей электронной информации обязательна их проверка антивирусной программой при первой установке (а для перезаписываемых носителей – при каждой установке ) в компьютер.

Резервное копирование основной информации, хранящейся в электронном виде на серверах организации, должно осуществляться ежедневно. Необходимо иметь копию баз данных операционной деятельности на начало дня.

Архивная информация подлежит копированию в двух экземплярах на носители длительного хранения (CD-ROM, DVD-ROM магнитооптические диски и т.п. ). Хранить копии архивной информации следует в отдельно стоящих хранилищах, обеспечивающих надлежащие условия их содержания и невозможность несанкционированного доступа к ним.

Скачать ZIP файл (20862)

Пригодились документы - поставь «лайк»:

С чего начинается информационная безопасность компьютерных сетей предприятия? Теория говорит об ана­лизе рисков, выработке политики и организации системы безопасности. И это правильно. Но прежде чем обратиться к теории, надо навести элементарный порядок и наладить дисциплину в информационных служ­бах предприятия.

Вы должны уметь четко ответить на вопросы:

Сколько компьютеров (коммуникационного, вспомогательного оборудования) установлено на вашем предпри­ятии?

Сколько их сейчас, в данный момент, а не сколько их было вчера или месяц назад; сколько их на рабочих местах, сколько в ремонте, сколько в резерве.

Вы сумеете узнать каждый компьютер "в лицо"? Обнаружите ли вы "маскарад" оборудования, когда какой-нибудь компьютер или его часть, или программное обеспечение подменены, так что кажущееся рабочей ло­шадкой оборудование на самом деле является троянским конем?

Какие задачи и с какой целью решаются на каждом компьютере? Уверены ли вы в необходимости каждой единицы контролируемого вами оборудования и в том, что среди него нет ничего лишнего, установленного, скажем, для красоты и ждущего, чтобы на него обратил внимание какой-нибудь хакер из числа молодых и дерзких сотрудников? Ведь если от оборудования нет пользы, с точки зрения информационной безопаснос­ти от него можно ожидать только вреда. А вот еще несколько вопросов по оборудованию. Каков порядок ремонта и технической профилактики компьютеров?

Как проверяется оборудование, возвращаемое из ремонта, перед установкой на штатное рабочее место? Как производится изъятие и передача компьютеров в подразделения и каков порядок приема в работу ново­го оборудования?

Список вопросов можно продолжить... Аналогичные вопросы можно задать и относительно программного обеспечения и персонала.

Другими словами, защита информации начинается с постановки и решения организационных вопросов. Те, кому уже приходилось на практике заниматься вопросами обеспечения информационной безопасности в автоматизированных системах, единодушно отмечают следующую особенность - реальный интерес к проблеме защиты информации, проявляемый менеджерами верхнего уровня, на уровне подразделений, отвечающих за работоспособность автоматизированной системы организации сменяется на резкое неприятие. Как прави­ло, приводятся следующие аргументы против проведения работ и принятия мер по обеспечению информа­ционной безопасности:

Появление дополнительных ограничений для конечных пользователей и специалистов подразделений обеспечения, затрудняющие использование и эксплуатацию автоматизированной системы организации;

Необходимость дополнительных материальных затрат как на проведение таких работ, так и на расшире­ние штата специалистов, занимающихся проблемой информационной безопасности.

Экономия на информационной безопасности может выражаться в различных формах, крайними из которых являются:

Принятие только организационных мер обеспечения безопасности информации в корпоративной сети (КС);

Использование только дополнительных технических средств защиты информации (ТСЗИ).

В первом случае, как правило, разрабатываются многочисленные инструкции, приказы и положения, призван­ные в критическую минуту переложить ответственность с людей, издающих эти документы на конкретных исполнителей. Естественно, что требования таких документов (при отсутствии соответствующей техничес­кой поддержки) затрудняют повседневную деятельность сотрудников организации и, как правило, не выпол­няются.

Во втором случае, приобретаются и устанавливаются дополнительные ТСЗИ. Применение ТСЗИ без соответ­ствующей организационной поддержки также неэффективно в связи с тем, что без установленных правил обработки информации в КС применение любых ТСЗИ только усиливает существующий беспорядок. Рассмотрим комплекс организационных мер, необходимых для реализации защиты информации в сетях ЭВМ. С одной стороны, эти меры должны быть направлены на обеспечение правильности функционирования ме­ханизмов защиты и выполняться администратором безопасности системы. С другой стороны, руководство организации, эксплуатирующей средства автоматизации, должно регламентировать правила автоматизиро­ванной обработки информации, включая и правила ее защиты, а также установить меру ответственности за нарушение этих правил.

К организационным мерам относятся:

Разовые (однократно проводимые и повторяемые только при полном пересмотре принятых решений) мероприятия;

Мероприятия, проводимые при осуществлении или возникновении определенных изменений в самой защищаемой КС или внешней среде (по необходимости);

Периодически проводимые (через определенное время) мероприятия;

Постоянно (непрерывно или дискретно в случайные моменты времени) проводимые мероприятия.

Разовые мероприятия

К разовым мероприятиям относят:

Общесистемные мероприятия по созданию научно-технических и методологических основ (концепции и других руководящих документов) защиты КС;

Мероприятия, осуществляемые при проектировании, строительстве и оборудовании вычислительных цен­тров и других объектов АС (исключение возможности тайного проникновения в помещения, исключение возможности установки прослушивающей аппаратуры и т. п.);

Мероприятия, осуществляемые при проектировании, разработке и вводе в эксплуатацию технических средств и программного обеспечения (проверка и сертификация используемых технических и программ­ных средств, документирование и т. п.);

Проведение спецпроверок всех применяемых в КС средств вычислительной техники и проведения ме­роприятий по защите информации от утечки по каналам побочных электромагнитных излучений и наво­док;

Разработка и утверждение функциональных обязанностей должностных лиц службы компьютерной бе­зопасности;

Внесение необходимых изменений и дополнений во все организационно-распорядительные документы (положения о подразделениях, функциональные обязанности должностных лиц, инструкции пользова­телей системы и т. п.) по вопросам обеспечения безопасности программно-информационных ресурсов КС и действиям в случае возникновения кризисных ситуаций;

Оформление юридических документов (в форме договоров, приказов и распоряжений руководства орга­низации) по вопросам регламентации отношений с пользователями (клиентами), работающими в авто­матизированной системе, между участниками информационного обмена и третьей стороной (арбитра­жем, третейским судом) о правилах разрешения споров, связанных с применением электронной подпи­си;

Определение порядка назначения, изменения, утверждения и предоставления конкретным должност­ным лицам необходимых полномочий по доступу к ресурсам системы;

Мероприятия по созданию системы защиты КС и созданию инфраструктуры;

Мероприятия по разработке правил управления доступом к ресурсам системы (определение перечня задач, решаемых структурными подразделениями организации с использованием КС, а также используе­мых при их решении режимов обработки и доступа к данным; определение перечня файлов и баз дан­ных содержащих сведения, составляющие коммерческую и служебную тайну, а также требования к уров­ням их защищенности от НСД при передаче, хранении и обработке в КС; выявление наиболее вероятных угроз для данной КС, выявление уязвимых мест процесса обработки информации и каналов доступа к ней; оценку возможного ущерба, вызванного нарушением безопасности информации, разработку адек­ватных требований по основным направлениям защиты);

Организацию надежного пропускного режима;

Определение порядка учета, выдачи, использования и хранения съемных магнитных носителей инфор­мации, содержащих эталонные и резервные копии программ и массивов информации, архивные данные и т. п.;

Организацию учета, хранения, использования и уничтожения документов и носителей с закрытой ин­формацией;

Определение порядка проектирования, разработки, отладки, модификации, приобретения, специссле­дования, приема в эксплуатацию, хранения и контроля целостности программных продуктов, а также порядок обновления версий используемых и установки новых системных и прикладных программ на ра­бочих местах защищенной системы (кто обладает правом разрешения таких действий, кто осуществляет, кто контролирует и что при этом они должны делать);

Создание отделов (служб) компьютерной безопасности или, в случае небольших организаций и подраз­делений, назначение нештатных ответственных, осуществляющих единое руководство, организацию и контроль за соблюдением всеми категориями должностных лиц требований по обеспечению безопасно­сти программно-информационных ресурсов автоматизированной системы обработки информации;

Определение перечня необходимых регулярно проводимых превентивных мер и оперативных действий персонала по обеспечению непрерывной работы и восстановлению вычислительного процесса АС в кри­тических ситуациях, возникающих как следствие НСД, сбоев и отказов СВТ, ошибок в программах и дей­ствиях персонала, стихийных бедствий.

Периодически проводимые мероприятия

К периодически проводимым мероприятиям относят:

Распределение реквизитов разграничения доступа (паролей, ключей шифрования и т. п.);

Анализ системных журналов, принятие мер по обнаруженным нарушениям правил работы,

Мероприятия по пересмотру правил разграничения доступа пользователей к информации в организации;

Периодически с привлечением сторонних специалистов осуществление анализа состояния и оценки эф­фективности мер и применяемых средств защиты. На основе полученной в результате такого анализа информации принимать необходимые меры по совершенствованию системы защиты;

Мероприятия по пересмотру состава и построения системы защиты.

Мероприятия, проводимые по необходимости

К мероприятиям, проводимым по необходимости, относят:

Мероприятия, осуществляемые при кадровых изменениях в составе персонала системы;

Мероприятия, осуществляемые при ремонте и модификациях оборудования и программного обеспече­ния (строгое санкционирование, рассмотрение и утверждение всех изменений, проверка их на удовлет­ворение требованиям защиты, документальное отражение изменений и т. п.);

Мероприятия по подбору и расстановке кадров (проверка принимаемых на работу, обучение правилам работы с информацией, ознакомление с мерами ответственности за нарушение правил защиты, обуче­ние, создание условий, при которых персоналу было бы невыгодно нарушать свои обязанности и т. д.).

Постоянно проводимые мероприятия

Постоянно проводимые мероприятия включают:

Мероприятия по обеспечению достаточного уровня физической защиты всех компонентов КС (противо­пожарная охрана, охрана помещений, пропускной режим, обеспечение сохранности и физической цело­стности СВТ, носителей информации и т. п.).

Мероприятия по непрерывной поддержке функционирования и управлению используемыми средствами защиты;

Явный и скрытый контроль за работой персонала системы;

Контроль за реализацией выбранных мер защиты в процессе проектирования, разработки, ввода в строй и функционирования АС;

Постоянно (силами отдела (службы) безопасности) и периодически (с привлечением сторонних специа­листов) осуществляемый анализ состояния и оценка эффективности мер и применяемых средств защи­ты.

Несколько детализируя методологию построения систем информационной безопасности относительно корпоративной сети, а также учитывая вышесказанное по возможным угрозам сети и имеющимся способам борьбы с ними, алгоритм построения системы информационной безопасности корпоративной сети может быть представлен следующим образом.

Весь объект защиты имеет несколько направлений возможных атак. Для каждого вида атаки существуют соответствующие способы и средства борьбы с ними. Определив основные способы борьбы, мы тем самым сформируем политику информационной безопасности. Выбрав в соответствии со сформированной политикой совокупность средств обеспечения информационной безопасности, объединив их системой управления, мы получим фактически систему защиты информации.

Аналогичным образом анализируются угрозы на уровне корпоративной сети. Она может быть представлена тремя основными составляющими – техническое обеспечение, информационное обеспечение и программное обеспечение. Каждый из этих компонент может далее детализироваться до степени, достаточной для формулировки основных угроз на этом уровне и возможных способов борьбы с ними.

Выбор конкретных способов и средств защиты информации на уровне сети также выливается в соответствующую политику и систему информационной безопасности, которые органически вливаются в общую политику и систему информационной безопасности всего объекта (см. ниже схемы “Вероятные угрозы” ).

Для обеспечения безопасности информации в офисных сетях проводятся различные мероприятия, объединяемые понятием «система защиты информации». Система защиты информации - это совокупность мер, программно-технических средств, правовых и морально-этических норм, направленных на противодействие угрозам нарушителей с целью сведения до минимума возможного ущерба пользователям и владельцам системы.

Традиционные меры для противодействия утечкам информации подразделяются на технические и организационные Конахович Г. Защита информации в телекоммуникационных системах. - М.: МК-Пресс, 2005.С.123..

К техническим мерам можно отнести защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем, организацию вычислительных сетей с возможностью перераспределения ресурсов в случае нарушения работоспособности отдельных звеньев, установку оборудования обнаружения и тушения пожара, оборудования обнаружения воды, принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов, установку резервных систем электропитания, оснащение помещений замками, установку сигнализации и многое другое.

К организационным мерам можно отнести охрану серверов, тщательный подбор персонала, исключение случаев ведения особо важных работ только одним человеком, наличие плана восстановления работоспособности сервера после выхода его из строя, универсальность средств защиты от всех пользователей (включая высшее руководство).

Несанкционированный доступ к информации может происходить во время профилактики или ремонта компьютеров за счет прочтения остаточной информации на носителях, несмотря на ее удаление пользователем обычными методами. Другой способ - прочтение информации с носителя во время его транспортировки без охраны внутри объекта или региона.

Современные компьютерные средства построены на интегральных схемах. При работе таких схем происходят высокочастотные изменения уровней напряжения и токов, что приводит к возникновению в цепях питания, в эфире, в близрасположенной аппаратуре и т.п. электромагнитных полей и наводок, которые с помощью специальных средств можно трансформировать в обрабатываемую информацию. С уменьшением расстояния между приемником нарушителя и аппаратными средствами вероятность такого рода съема и расшифровки информации увеличивается.

Несанкционированное ознакомление с информацией возможно также путем непосредственного подключения нарушителем «шпионских» средств к каналам связи и сетевым аппаратным средствам.

Традиционными методами защиты информации от несанкционированного доступа являются идентификация и аутентификация, защита паролями. Коржов В. Стратегия и тактика защиты.//Computerworld Россия.- 2004.-№14.С.26.

Идентификация и аутентификация. В компьютерных системах сосредоточивается информация, право на пользование которой принадлежит определенным лицам или группам лиц, действующим в порядке личной инициативы или в соответствии с должностными обязанностями. Чтобы обеспечить безопасность информационных ресурсов, устранить возможность несанкционированного доступа, усилить контроль санкционированного доступа к конфиденциальной либо к подлежащей засекречиванию информации, внедряются различные системы опознавания, установления подлинности объекта (субъекта) и разграничения доступа. В основе построения таких систем находится принцип допуска и выполнения только таких обращений к информации, в которых присутствуют соответствующие признаки разрешенных полномочий.

Ключевыми понятиями в этой системе являются идентификация и аутентификация. Идентификация - это присвоение какому-либо объекту или субъекту уникального имени или образа. Аутентификация - это установление подлинности, т.е. проверка, является ли объект (субъект) действительно тем, за кого он себя выдает.