Securitatea informațiilor ar trebui privită ca. Amenințările la securitatea informațiilor care cauzează cele mai multe daune

Securitatea unui server virtual poate fi vizualizată direct doar ca „Securitatea informațiilor”... Mulți au auzit această frază, dar nu toată lumea înțelege ce este?

„Securitatea informațiilor” este procesul de asigurare disponibilitatea, integritatea și confidențialitatea informațiilor.

Sub "Disponibilitate" se înțelege în mod corespunzător că oferă acces la informații. "Integritate"- aceasta pentru a asigura acuratețea și caracterul complet al informațiilor. "Confidentialitate" implică asigurarea faptului că numai utilizatorii autorizați au acces la informații.

Pe baza obiectivelor și sarcinilor tale efectuate pe serverul virtual, vei avea nevoie și de diferite măsuri și grade de protecție aplicabile fiecăruia dintre aceste trei puncte.

De exemplu, dacă utilizați un server virtual doar ca mijloc de navigare pe Internet, atunci dintre mijloacele necesare pentru asigurarea securității, în primul rând, vor fi utilizarea protecției antivirus, precum și respectarea regulilor de securitate de bază atunci când lucrând pe internet.

În caz contrar, dacă aveți un site de vânzare sau un server de jocuri găzduit pe serverul dvs., atunci măsurile de protecție necesare vor fi complet diferite.

Cunoașterea posibilelor amenințări, precum și a vulnerabilităților pe care aceste amenințări le exploatează de obicei, este necesară pentru a alege cele mai optime măsuri de securitate, pentru aceasta vom avea în vedere punctele principale.

Sub "Amenințare" este înțeles potențialul de a încălca securitatea informațiilor într-un fel sau altul. Este apelată o încercare de a implementa o amenințare "Atac", iar cel care implementează această încercare este numit "Intrus"... Cel mai adesea, amenințarea este o consecință a prezenței vulnerabilităților în protecția sistemelor informaționale.

Să luăm în considerare cele mai frecvente amenințări la care sunt expuse sistemele informaționale moderne.

Amenințările la securitatea informațiilor care cauzează cele mai multe daune

Luați în considerare mai jos clasificarea tipurilor de amenințări în funcție de diferite criterii:

1. Amenințare directă la adresa securității informațiilor:
   • Disponibilitate
   • Integritate
   • Confidențialitate
2. Componentele pe care le vizează amenințările:
   • Date
   • Programe
   • Echipamente
   • Sprijinirea infrastructurii
3. Pe cale de implementare:
   • Accidental sau deliberat
   • Natural sau artificial
4. După locația sursei amenințării există:
   • Intern
   • Extern

După cum am menționat la început, conceptul de „amenințare” este adesea interpretat diferit în diferite situații. Și măsurile de securitate necesare vor fi diferite. De exemplu, pentru o organizație deschisă cu accent, amenințările la confidențialitate pot să nu existe - toate informațiile sunt considerate disponibile public, dar în majoritatea cazurilor accesul ilegal este o amenințare serioasă.

Când sunt aplicate serverelor virtuale, amenințările de care trebuie să țineți cont, ca administrator de server, sunt amenințarea la adresa disponibilității, confidențialității și integrității datelor. Aveți responsabilitatea directă și independentă pentru posibilitatea implementării amenințărilor care vizează confidențialitatea și integritatea datelor care nu au legătură cu componenta hardware sau infrastructură. Inclusiv aplicarea măsurilor de protecție necesare, aceasta este sarcina dumneavoastră imediată.

Amenințări care vizează vulnerabilitățile programelor pe care le folosești, de multe ori tu, ca utilizator, nu vei putea influența, decât să nu folosești aceste programe. Este permisă utilizarea acestor programe numai dacă implementarea amenințărilor folosind vulnerabilitățile acestor programe fie nu este recomandabilă din punctul de vedere al unui atacator, fie nu are pierderi semnificative pentru dvs. ca utilizator.

Compania de hosting pe care ați ales-o și unde vă închiriați serverele este direct implicată în asigurarea măsurilor de securitate necesare împotriva amenințărilor care vizează echipamente, infrastructură sau amenințări de natură umană și naturală. În acest caz, este necesar să abordați alegerea cu cea mai mare atenție, compania de găzduire aleasă corect vă va oferi fiabilitatea componentelor hardware și infrastructurii la nivelul corespunzător.

În calitate de administrator de server virtual, trebuie să luați în considerare aceste tipuri de amenințări numai în cazurile în care chiar și o pierdere pe termen scurt a accesului sau o închidere parțială sau completă a performanței serverului din vina companiei de găzduire poate duce la probleme necompensate. sau pierderi. Acest lucru se întâmplă destul de rar, dar din motive obiective, nicio companie de găzduire nu poate oferi 100% Uptime.

Amenințări directe la adresa securității informațiilor

Principalele amenințări la adresa accesibilității includ

1. Defecțiune internă a sistemului informațional;
2. Eșecul infrastructurii suport.

Principalele surse de defecțiuni interne sunt:

• Încălcarea (accidentală sau intenționată) a regulilor de funcționare stabilite
• Ieșirea sistemului din funcționarea normală din cauza acțiunilor accidentale sau deliberate ale utilizatorilor (excesul numărului estimat de solicitări, cantitatea excesivă de informații procesate etc.)
• Erori la (re)configurarea sistemului
• Software rău intenționat
• Eșecuri hardware și software
• Distrugerea datelor
• Distrugerea sau deteriorarea echipamentului

În ceea ce privește infrastructura suport, se recomandă luarea în considerare a următoarelor amenințări:

• Întreruperea (accidentală sau intenționată) a sistemelor de comunicații, a alimentării cu energie electrică, a alimentării cu apă și/sau căldură, a aerului condiționat;
• Distrugerea sau deteriorarea spațiilor;
• Incapacitatea sau lipsa de dorință a personalului de serviciu și/sau a utilizatorilor de a-și îndeplini atribuțiile (tulburări civile, accidente de transport, act terorist sau amenințarea acestuia, grevă etc.).

Amenințări majore la adresa integrității

Poate fi împărțit în amenințări la integritate statică și amenințări la integritate dinamică.

De asemenea, ar trebui să fie împărțit în amenințări la adresa integrității informațiilor despre servicii și a datelor de conținut. Informațiile de serviciu se referă la parolele de acces, rutele de transfer de date în rețeaua locală și informații similare. Cel mai adesea și în aproape toate cazurile, atacatorul, în mod conștient sau nu, se dovedește a fi un angajat al organizației care este familiarizat cu modul de funcționare și măsurile de protecție.

Pentru a încălca integritatea statică, un atacator poate:

• Introduceți date incorecte
• Pentru a schimba datele

Amenințările la adresa integrității dinamice sunt reordonarea, furtul, duplicarea datelor sau inserarea de mesaje suplimentare.

Cele mai importante amenințări la confidențialitate

Informațiile confidențiale pot fi împărțite în informații despre subiect și servicii. Informațiile de serviciu (de exemplu, parolele de utilizator) nu aparțin unui anumit domeniu, joacă un rol tehnic în sistemul informațional, dar dezvăluirea lor este deosebit de periculoasă, deoarece este plină de acces neautorizat la toate informațiile, inclusiv la informațiile subiectului.

Chiar dacă informațiile sunt stocate pe un computer sau sunt destinate utilizării computerului, amenințările la adresa confidențialității acestora pot fi de natură non-informatică și, în general, netehnică.

Amenințările neplăcute de care sunt greu de apărat includ abuzul de putere. Pe multe tipuri de sisteme, un utilizator privilegiat (de exemplu, un administrator de sistem) este capabil să citească orice fișier (necriptat), să acceseze e-mailul oricărui utilizator etc. Un alt exemplu este deteriorarea serviciului. De obicei, un inginer de service are acces nerestricționat la echipamente și este capabil să ocolească mecanismele de protecție software.

Pentru claritate, aceste tipuri de amenințări sunt, de asemenea, prezentate schematic mai jos în Fig. 1.


Orez. 1. Clasificarea tipurilor de amenințări la adresa securității informațiilor

Pentru aplicarea celor mai optime măsuri de protecție, este necesar să se evalueze nu numai amenințările la adresa securității informațiilor, ci și eventualele daune; pentru aceasta se folosește caracteristica de acceptabilitate, astfel, eventuala daune este determinată ca acceptabilă sau inacceptabilă. Pentru aceasta, este util să stabiliți propriile criterii de admisibilitate a prejudiciului sub formă bănească sau de altă natură.

Toți cei care încep să organizeze securitatea informațiilor trebuie să răspundă la trei întrebări de bază:

1. Ce să protejez?
2. De cine să protejăm, ce tipuri de amenințări sunt predominante: externe sau interne?
3. Cum să protejăm, prin ce metode și mijloace?

Luând în considerare toate cele de mai sus, puteți evalua cel mai complet relevanța, posibilitatea și gravitatea amenințărilor. După evaluarea tuturor informațiilor necesare și cântărirea tuturor argumentelor pro și contra. Veți putea alege cele mai eficiente și optime metode și mijloace de protecție.

Principalele metode și mijloace de protecție, precum și măsurile minime și necesare de securitate aplicate pe serverele virtuale, în funcție de principalele scopuri ale utilizării acestora și de tipurile de amenințări, vom avea în vedere în următoarele articole la rubrica „Bazele securității informațiilor”. ".

Noile metode de procesare și transmitere a datelor contribuie la apariția de noi amenințări care îmbunătățesc probabilitatea de denaturare, interceptare etc. a informațiilor. Prin urmare, astăzi implementarea securității informaționale a calculatoarelor în rețea este direcția principală în IT. Un document care susține legalitatea acțiunilor și desemnarea unei înțelegeri unificate a tuturor aspectelor - GOST R 50922-96.

Mai jos vom lua în considerare conceptul de bază în această direcție:

• Protecția informațiilor este direcția de prevenire a amenințărilor la adresa informațiilor.
• Un obiect protejat este o informație sau un mediu cu informații care trebuie protejate.
• Scopul protecției este un anumit rezultat după o anumită perioadă de protecție a acestor informații.
• Eficiența protecției informațiilor - indicatorul arată cât de aproape este rezultatul real de rezultatul setat.
• Protecția informațiilor împotriva scurgerilor - lucrează pentru a preveni transmiterea necontrolată a datelor protejate de la divulgare sau
• Sistem de securitate a informațiilor - un set de componente care sunt implementate sub formă de tehnologie, software, oameni, legi etc. care sunt organizate și funcționează într-un singur sistem și au ca scop protejarea informațiilor
• Subiectul accesului la informație este un participant la relațiile juridice la procesele informaționale
• Proprietarul informațiilor - un autor care are drepturi depline asupra acestor informații în cadrul legilor
• Deținător de informații - subiect care, din ordinul proprietarului, folosește informațiile și le implementează în anumite puteri
• Dreptul de acces la informații este un set de reguli de accesare a datelor stabilite prin documente sau de către proprietar/proprietar
• Acces autorizat - acces care nu încalcă anumite reguli de control al accesului
• Acces neautorizat - încălcarea regulilor de control al accesului. Procesul sau subiectul care implementează NSD este un contravenient
• Identificarea subiectului este un algoritm de recunoaștere a unui subiect după identificator
• Autorizarea subiectului este un algoritm de acordare a drepturilor subiectului după autentificarea și identificarea cu succes în sistem
• Vulnerabilitatea sistemului informatic este un aspect al componentelor sistemului care duce la
• Un atac asupra unui sistem informatic (CS) este o căutare și implementare a vulnerabilităților sistemului de către un atacator
• Un sistem protejat este un sistem în care vulnerabilitățile sistemului sunt închise cu succes și riscurile de amenințare sunt reduse
• Metode si metode de protectie a informatiilor - reguli si procedura de implementare a mijloacelor de protectie
• O politică de securitate este un set de reguli, norme și documente pentru implementarea protecției unui sistem informațional într-o întreprindere.

Sub Securitatea informațiilor determină securitatea datelor din acțiunile ilegale cu acesta, precum și operabilitatea sistemului informațional și a componentelor acestuia. Astăzi, AS (sistemul automatizat) de prelucrare a datelor este un întreg sistem, care constă din componente cu o anumită autonomie. Fiecare componentă poate fi grav afectată. Elementele difuzorului pot fi clasificate în grupuri:

• Componente hardware - calculatoare și piesele acestora (monitoare, imprimante, cabluri de comunicație etc.)
• Software - programe, OS etc.
• Personal - persoane care au legătură directă cu sistemul informațional (angajați etc.)
• Date - informații care se află într-un sistem închis. Acestea sunt informații tipărite, reviste, mass-media etc.

Securitatea informației este implementată prin următoarele aspecte: integritate, confidențialitate și disponibilitate. Confidențialitatea datelor Este un aspect al informației care determină gradul de secretizare a acesteia față de terți. Informațiile confidențiale ar trebui să fie cunoscute numai de subiecții autorizați ai sistemului. Integritatea informațiilor definește aspectul informației în păstrarea structurii/conținutului acesteia în timpul transmiterii sau stocării. Realizarea securității acestui aspect este importantă într-un mediu în care există o probabilitate mare de distorsiune sau alte efecte asupra distrugerii integrității. Fiabilitatea informațiilor constă în apartenența strictă a valorii inițiale, în timpul transmiterii și stocării.

Semnificația juridică a datelor este determinată de documentul care este transportatorul și are și forță juridică. Disponibilitatea datelor determină primirea de către subiect a informaţiilor folosind mijloace tehnice.

Fondatorul ciberneticii, Norbert Wiener, credea că informația are caracteristici unice și nu poate fi atribuită nici energiei, nici materiei. Statutul special al informaţiei ca fenomen a dat naştere multor definiţii.

În dicționarul standardului ISO / IEC 2382: 2015 „Tehnologia informației”, se oferă următoarea interpretare:

Informații (în domeniul prelucrării informațiilor)- orice date prezentate în formă electronică, scrise pe hârtie, exprimate în cadrul unei ședințe sau în orice alt suport, utilizate de o instituție financiară pentru luarea deciziilor, mutarea fondurilor, stabilirea ratelor, acordarea de împrumuturi, procesarea tranzacțiilor etc., inclusiv sistemul de procesare a componentelor; software.

Pentru a dezvolta conceptul de securitate a informațiilor (IS), informația este înțeleasă ca informații care sunt disponibile pentru colectare, stocare, prelucrare (editare, transformare), utilizare și transmitere în diverse moduri, inclusiv în rețelele de calculatoare și alte sisteme informaționale.

Astfel de informații sunt de mare valoare și pot deveni obiecte de ucidere din partea terților. Dorința de a proteja informațiile de amenințări stă la baza creării sistemelor de securitate a informațiilor.

Bază legală

În decembrie 2017, Rusia a adoptat Doctrina Securității Informaționale. În document, SI este definit ca fiind starea de protecție a intereselor naționale în sfera informațională. În acest caz, interesele naționale sunt înțelese ca totalitatea intereselor societății, ale individului și ale statului, fiecare grup de interese fiind necesar pentru funcționarea stabilă a societății.

Doctrina este o lucrare conceptuală. Relațiile juridice legate de securitatea informațiilor sunt guvernate de legile federale „Cu privire la secretele de stat”, „Cu privire la informații”, „Cu privire la protecția datelor cu caracter personal” și altele. Pe baza actelor normative fundamentale se elaborează decrete guvernamentale și acte normative departamentale pe probleme private de protecție a informațiilor.

Definiția securității informațiilor

Înainte de a dezvolta o strategie de securitate a informațiilor, este necesar să se adopte o definiție de bază a conceptului în sine, care să permită utilizarea unui anumit set de metode și metode de protecție.

Practicienii din industrie sugerează ca securitatea informațiilor să fie înțeleasă ca o stare stabilă de securitate a informațiilor, a purtătorilor și a infrastructurii acesteia, care asigură integritatea și stabilitatea proceselor legate de informații împotriva impacturilor intenționate sau neintenționate de natură naturală și artificială. Impacturile sunt clasificate ca amenințări IS care pot dăuna subiecților relațiilor informaționale.

Astfel, protecția informațiilor va însemna un set de măsuri legale, administrative, organizatorice și tehnice menite să prevină amenințările reale sau percepute la securitatea informațiilor, precum și eliminarea consecințelor incidentelor. Continuitatea procesului de protecție a informațiilor ar trebui să garanteze lupta împotriva amenințărilor în toate etapele ciclului informațional: în procesul de colectare, stocare, prelucrare, utilizare și transmitere a informațiilor.

Securitatea informației în această înțelegere devine una dintre caracteristicile performanței sistemului. În fiecare moment, sistemul trebuie să aibă un nivel de securitate măsurabil, iar asigurarea securității sistemului trebuie să fie un proces continuu care se desfășoară la toate intervalele de timp pe durata de viață a sistemului.

În teoria securității informațiilor, subiecții securității informațiilor sunt înțeleși ca proprietari și utilizatori ai informațiilor și nu numai utilizatorii în mod continuu (angajați), ci și utilizatorii care accesează baze de date în cazuri izolate, de exemplu, agențiile guvernamentale care solicită informații. Într-o serie de cazuri, de exemplu, în standardele de securitate a informațiilor bancare, proprietarii de informații includ acționari - persoane juridice care dețin anumite date.

Infrastructura suport, din punctul de vedere al fundamentelor securității informațiilor, include computere, rețele, echipamente de telecomunicații, spații, sisteme de susținere a vieții și personal. Atunci când se analizează securitatea, este necesar să se studieze toate elementele sistemelor, acordând o atenție deosebită personalului ca purtător al majorității amenințărilor interne.

Pentru managementul securității informațiilor și evaluarea daunelor, se utilizează caracteristica de acceptabilitate, astfel încât daunele sunt determinate ca fiind acceptabile sau inacceptabile. Este util ca fiecare companie să-și stabilească propriile criterii de admisibilitate a prejudiciului sub formă bănească sau, de exemplu, sub forma unei prejudicii acceptabile aduse reputației. În instituțiile publice pot fi adoptate și alte caracteristici, de exemplu, influența asupra procesului de management sau reflectarea gradului de deteriorare a vieții și sănătății cetățenilor. Criteriile de materialitate, importanță și valoare a informațiilor se pot schimba pe parcursul ciclului de viață al matricei de informații, prin urmare, acestea ar trebui revizuite în timp util.

O amenințare informațională în sens restrâns este o oportunitate obiectivă de a influența obiectul de protecție, care poate duce la scurgeri, furt, dezvăluire sau diseminare de informații. Într-un sens mai larg, amenințările la securitatea informațiilor vor include impacturi informaționale direcționate, al căror scop este de a dăuna statului, organizației și individului. Astfel de amenințări includ, de exemplu, defăimarea, denaturarea deliberată și publicitatea neadecvată.

Trei întrebări principale ale conceptului de securitate a informațiilor pentru orice organizație

Ce să protejez?

Ce tipuri de amenințări prevalează: externe sau interne?

Cum să protejăm, prin ce metode și mijloace?

sistem IS

Sistemul de securitate a informațiilor pentru o companie - entitate juridică include trei grupuri de concepte de bază: integritate, disponibilitate și confidențialitate. Sub fiecare sunt concepte cu multe caracteristici.

Sub integritateînseamnă rezistența bazelor de date, a altor matrice de informații la distrugerea accidentală sau intenționată, la modificări neautorizate. Integritatea poate fi privită ca:

• static, exprimat în imuabilitatea, autenticitatea obiectelor informaționale față de acele obiecte care au fost create conform unei sarcini tehnice specifice și care conțin cantitatea de informații solicitată de utilizatori pentru activitatea lor principală, în configurația și succesiunea cerute;
• dinamic, implicând executarea corectă a unor acțiuni sau tranzacții complexe, care nu dăunează siguranței informațiilor.

Pentru a controla integritatea dinamică, sunt utilizate mijloace tehnice speciale care analizează fluxul de informații, de exemplu, cele financiare, și identifică cazurile de furt, duplicare, redirecționare și reordonare a mesajelor. Integritatea ca caracteristică cheie este necesară atunci când deciziile sunt luate pe baza informațiilor primite sau disponibile pentru a lua măsuri. Încălcarea ordinii comenzilor sau a secvenței de acțiuni poate cauza pagube mari în cazul descrierii proceselor tehnologice, codurilor de program și în alte situații similare.

Disponibilitate este o proprietate care permite subiecților autorizați să acceseze sau să facă schimb de date care îi interesează. Cerința cheie de legitimare sau autorizare a subiecților face posibilă crearea diferitelor niveluri de acces. Refuzul sistemului de a furniza informații devine o problemă pentru orice organizație sau grup de utilizatori. Un exemplu este inaccesibilitatea site-urilor de servicii publice în cazul unei defecțiuni a sistemului, care privează mulți utilizatori de posibilitatea de a primi serviciile sau informațiile necesare.

Confidențialitateînseamnă proprietatea informațiilor de a fi disponibilă acelor utilizatori: subiecte și procese cărora li se permite inițial accesul. Majoritatea companiilor și organizațiilor percep confidențialitatea ca un element cheie al securității informațiilor, dar în practică este dificil să o implementeze pe deplin. Nu toate datele privind canalele existente de scurgere de informații sunt disponibile autorilor conceptelor de securitate a informațiilor, iar multe mijloace tehnice de protecție, inclusiv cele criptografice, nu pot fi achiziționate în mod liber, în unele cazuri cifra de afaceri este limitată.

Proprietăți egale ale securității informațiilor au valori diferite pentru utilizatori, de unde cele două categorii extreme în dezvoltarea conceptelor de protecție a datelor. Pentru companiile sau organizațiile asociate cu secretele de stat, confidențialitatea va deveni un parametru cheie, pentru serviciile publice sau instituțiile de învățământ cel mai important parametru este accesibilitatea.

Digest de securitate a informațiilor

O colecție lunară de publicații utile, știri interesante și evenimente din lumea securității informațiilor. Experiență de experți și cazuri reale din practica SearchInform.

Obiecte protejate în conceptele de securitate a informațiilor

Diferența de subiecte dă naștere unor diferențe în ceea ce privește obiectele de protecție. Principalele grupe de obiecte protejate:

• resurse informaționale de tot felul (o resursă este înțeleasă ca un obiect material: un hard disk, un alt suport, un document cu date și detalii care ajută la identificarea acesteia și trimiterea ei către un anumit grup de subiecți);
• drepturile cetățenilor, organizațiilor și statului de a accesa informații, capacitatea de a le obține în cadrul legii; accesul poate fi limitat doar prin acte normative; organizarea oricăror bariere care încalcă drepturile omului este inadmisibilă;
• un sistem de creare, utilizare și distribuire a datelor (sisteme și tehnologii, arhive, biblioteci, documente de reglementare);
• sistemul de formare a conștiinței publice (media, resurse de internet, instituții sociale, instituții de învățământ).

Fiecare obiect presupune un sistem special de măsuri de protecție împotriva amenințărilor la adresa securității informațiilor și ordinii publice. Asigurarea securității informațiilor în fiecare caz ar trebui să se bazeze pe o abordare sistematică care ține cont de specificul unității.

Categorii și medii de stocare

Sistemul juridic rus, practica de aplicare a legii și relațiile sociale stabilite clasifică informațiile în funcție de criteriile de accesibilitate. Acest lucru vă permite să clarificați parametrii esențiali necesari pentru a asigura securitatea informațiilor:

• informații, la care accesul este limitat pe baza cerințelor legale (secrete de stat, secrete comerciale, date cu caracter personal);
• informatii din domeniul public;
• informații disponibile public care sunt furnizate în anumite condiții: informații plătite sau date pentru care trebuie să eliberați o admitere, de exemplu, un carnet de bibliotecă;
• informații periculoase, dăunătoare, false și de altă natură, a căror circulație și distribuire este limitată fie de cerințele legilor, fie de standardele corporative.

Informațiile din primul grup au două moduri de protecție. Secret de stat, conform legii, este vorba de informații protejate de stat, a căror distribuire gratuită poate dăuna securității țării. Acestea sunt date din domeniul militar, al politicii externe, al informațiilor, al contrainformațiilor și al activităților economice ale statului. Proprietarul acestui grup de date este statul însuși. Organismele autorizate să ia măsuri pentru protejarea secretelor de stat sunt Ministerul Apărării, Serviciul Federal de Securitate (FSB), Serviciul de Informații Externe și Serviciul Federal de Control Tehnic și Export (FSTEC).

Informații confidențiale- un obiect de reglementare mai multifațetat. Lista informațiilor care pot constitui informații confidențiale este cuprinsă în decretul prezidențial nr. 188 „Cu privire la aprobarea listei informațiilor confidențiale”. Acestea sunt date personale; secretul anchetei și al procedurilor judiciare; secret oficial; secret profesional (medical, notarial, de avocat); secret comercial; informatii despre inventii si modele de utilitate; informații cuprinse în dosarele personale ale condamnaților, precum și informații privind executarea silită a actelor judiciare.

Datele personale există într-un mod deschis și confidențial. O parte din datele personale deschise și accesibile tuturor utilizatorilor includ prenumele, numele, patronimul. Conform FZ-152 „Cu privire la datele cu caracter personal”, subiecții datelor cu caracter personal au dreptul la:

• autodeterminare informațională;
• pentru a accesa datele personale cu caracter personal și a le face modificări;
• pentru a bloca datele personale și accesul la acestea;
• să facă apel împotriva acțiunilor ilegale ale terților comise în legătură cu datele personale;
• pentru a repara prejudiciul cauzat.

Dreptul la acest lucru este consacrat în reglementările privind organele de stat, legile federale, licențele de lucru cu date personale emise de Roskomnadzor sau FSTEC. Companiile care lucrează profesional cu date personale ale unei game largi de persoane, de exemplu, operatorii de telecomunicații, trebuie să înscrie în registru, care este ținut de Roskomnadzor.

Un obiect separat în teoria și practica securității informațiilor sunt purtătorii de informații, accesul la care este deschis și închis. La elaborarea unui concept de securitate a informațiilor, metodele de protecție sunt selectate în funcție de tipul de suport. Principalele medii de stocare:

• presa scrisă și electronică, rețele sociale, alte resurse de pe internet;
• angajații organizației care au acces la informații pe baza prieteniilor, familiei, legăturilor profesionale;
• mijloace de comunicare care transmit sau stochează informații: telefoane, centrale telefonice automate, alte echipamente de telecomunicații;
• documente de toate tipurile: personale, oficiale, guvernamentale;
• software-ul ca obiect informațional independent, mai ales dacă versiunea acestuia a fost modificată special pentru o anumită companie;
• medii electronice de stocare care procesează datele în mod automat.

În scopul dezvoltării conceptelor de securitate a informațiilor, mijloacele de securitate a informațiilor sunt de obicei împărțite în normative (informale) și tehnice (formale).

Mijloacele informale de protecție sunt documentele, regulile, evenimentele, mijloacele formale sunt mijloace tehnice și software speciale. Delimitarea ajută la repartizarea domeniilor de responsabilitate la crearea sistemelor de securitate a informațiilor: cu managementul general al protecției, personalul administrativ implementează metode normative, iar specialiștii IT, respectiv, pe cele tehnice.

Bazele securității informațiilor presupun delimitarea puterilor nu numai în ceea ce privește utilizarea informațiilor, ci și în ceea ce privește lucrul cu protecția acesteia. Această delimitare a puterilor necesită, de asemenea, mai multe niveluri de control.

Remedii formale

O gamă largă de mijloace tehnice de securitate a informațiilor include:

Echipament fizic de protecție. Acestea sunt mecanisme mecanice, electrice, electronice care funcționează independent de sistemele informaționale și creează bariere în calea accesului la acestea. Încuietorile, inclusiv cele electronice, ecranele, jaluzelele sunt concepute pentru a crea obstacole pentru contactul factorilor destabilizatori cu sistemele. Grupul este completat de sisteme de securitate, de exemplu, camere video, video recordere, senzori care detectează mișcarea sau excesul de gradul de radiație electromagnetică în zona de amplasare a mijloacelor tehnice de recuperare a informațiilor, dispozitive încorporate.

Protecție hardware. Acestea sunt dispozitive electrice, electronice, optice, laser și alte dispozitive care sunt încorporate în sistemele de informare și telecomunicații. Înainte de a introduce hardware-ul în sistemele informaționale, este necesar să se asigure compatibilitatea.

Software sunt programe simple și sistemice, complexe concepute pentru a rezolva probleme specifice și complexe legate de securitatea informațiilor. Un exemplu de soluții complexe sunt și: primele servesc la prevenirea scurgerilor, reformatarea informațiilor și redirecționarea fluxurilor de informații, cele din urmă asigură protecție împotriva incidentelor din domeniul securității informațiilor. Software-ul solicită puterea dispozitivelor hardware și trebuie furnizate rezerve suplimentare în timpul instalării.

LA mijloace specifice securitatea informațiilor include diverși algoritmi criptografici care criptează informațiile de pe disc și redirecționate prin canale de comunicare externe. Transformarea informațiilor poate avea loc folosind metode software și hardware care funcționează în sistemele informaționale corporative.

Toate mijloacele care garantează securitatea informațiilor ar trebui utilizate în combinație, după o evaluare preliminară a valorii informațiilor și compararea acesteia cu costul resurselor cheltuite pentru securitate. Prin urmare, propunerile de utilizare a fondurilor ar trebui formulate deja în stadiul de dezvoltare a sistemelor, iar aprobarea ar trebui făcută la nivelul managementului care este responsabil cu aprobarea bugetelor.

Pentru a asigura securitatea, este necesar să monitorizăm toate evoluțiile moderne, mijloacele de protecție software și hardware, amenințările și să facem cu promptitudine modificările propriilor noastre sisteme de protecție împotriva accesului neautorizat. Doar adecvarea și promptitudinea răspunsului la amenințări vor ajuta la atingerea unui nivel ridicat de confidențialitate în activitatea companiei.

Remedii informale

Remediile informale sunt grupate în normative, administrative și moral-etice. La primul nivel de protecție se află mijloacele de reglementare care reglementează securitatea informațiilor ca proces în activitățile organizației.

• Mijloace de reglementare

În practica mondială, atunci când se dezvoltă instrumente de reglementare, acestea sunt ghidate de standardele de protecție IS, principalul fiind ISO / IEC 27000. Standardul a fost creat de două organizații:

• ISO - Comisia Internațională de Standardizare, care dezvoltă și aprobă majoritatea metodologiilor recunoscute internațional pentru certificarea calității proceselor de producție și management;
• IEC - Comisia Internațională pentru Energie, care a introdus în standard înțelegerea sa despre sistemele de securitate a informațiilor, mijloacele și metodele de asigurare a acesteia

Versiunea actuală a ISO/IEC 27000-2016 oferă standarde gata făcute și metode dovedite necesare pentru implementarea securității informațiilor. Potrivit autorilor metodelor, baza securității informațiilor stă în consistența și implementarea consecventă a tuturor etapelor de la dezvoltare până la post-control.

Pentru a obține un certificat care confirmă conformitatea cu standardele de securitate a informațiilor, este necesară implementarea integrală a tuturor tehnicilor recomandate. Dacă nu este nevoie să obțineți un certificat, este permisă acceptarea oricăreia dintre versiunile anterioare ale standardului, începând cu ISO / IEC 27000-2002, sau GOST rusești, care sunt de natură consultativă, ca bază pentru dezvoltarea propriile sisteme de securitate a informațiilor.

Pe baza rezultatelor studierii standardului, sunt în curs de elaborare două documente care se referă la securitatea informației. Principalul, dar mai puțin formal, este conceptul de securitate a informațiilor unei întreprinderi, care definește măsurile și metodele de implementare a unui sistem de securitate a informațiilor pentru sistemele informaționale ale unei organizații. Al doilea document pe care trebuie să-l respecte toți angajații companiei este regulamentul de securitate a informațiilor aprobat la nivelul consiliului de administrație sau al organului executiv.

Pe lângă poziția la nivel de companie, ar trebui elaborate liste de informații care constituie secret comercial, anexe la contractele de muncă, asigurarea răspunderii pentru dezvăluirea datelor confidențiale, alte standarde și metode. Normele și reglementările interne ar trebui să conțină mecanisme de implementare și măsuri de responsabilitate. Cel mai adesea, măsurile sunt de natură disciplinară, iar contravenientul trebuie să fie pregătit pentru faptul că încălcarea regimului secretului comercial va fi urmată de sancțiuni semnificative, până la concediere inclusiv.

• Măsuri organizatorice și administrative

În cadrul activităților administrative de protecție a securității informațiilor pentru personalul de securitate, există spațiu pentru creativitate. Acestea sunt soluții arhitecturale și de planificare care permit protejarea sălilor de ședințe și a birourilor de management de interceptări și stabilirea diferitelor niveluri de acces la informații. Măsuri organizatorice importante vor fi certificarea activităților companiei în conformitate cu standardele ISO/IEC 27000, certificarea sistemelor hardware și software individuale, certificarea subiecților și obiectelor pentru respectarea cerințelor de securitate necesare, obținerea licențelor necesare pentru a lucra cu matrice de date protejate.

Din punctul de vedere al reglementării activităților personalului, va fi important să se formuleze un sistem de solicitări de acces la Internet, e-mail extern și alte resurse. Un element separat va fi primirea unei semnături digitale electronice pentru a spori securitatea informațiilor financiare și de altă natură care sunt transmise agențiilor guvernamentale prin e-mail.

• Măsuri morale și etice

Măsurile morale și etice determină atitudinea personală a unei persoane față de informațiile confidențiale sau informațiile limitate în circulație. Creșterea nivelului de cunoștințe al angajaților cu privire la impactul amenințărilor asupra activităților companiei afectează gradul de conștiință și responsabilitate al angajaților. Pentru a combate încălcările regimului informațional, inclusiv, de exemplu, transferul de parole, manipularea neglijentă a mass-media, diseminarea datelor confidențiale în conversații private, este necesar să se concentreze asupra conștiinciozității personale a angajatului. Va fi utilă stabilirea unor indicatori ai eficacității personalului, care vor depinde de atitudinea față de sistemul de securitate a informațiilor corporative.

Infograficul folosește date din propria noastră cercetare.CăutareInform.

Studenții, studenții absolvenți, tinerii oameni de știință care folosesc baza de cunoștințe în studiile și munca lor vă vor fi foarte recunoscători.

Postat pe http://www.allbest.ru/

Introducere

2. Sisteme de securitate a informațiilor

3. Resurse informaționale de distribuție limitată și amenințări la adresa resurselor. Accesul personalului la informații confidențiale

Concluzie

Introducere

Încă de la începutul istoriei omenirii, a apărut necesitatea transmiterii și stocării informațiilor.

Începând cu aproximativ secolul al XVII-lea, în procesul de formare a producției de mașini, iese în prim-plan problema stăpânirii energiei. La început, metodele de stăpânire a energiei vântului și apei au fost îmbunătățite, iar apoi omenirea a intrat în posesia energiei termice.

La sfârșitul secolului al XIX-lea a început stăpânirea energiei electrice, s-a inventat un generator electric și un motor electric. Și în cele din urmă, la mijlocul secolului XX, omenirea a stăpânit energia atomică, în 1954 a fost pusă în funcțiune prima centrală nucleară din URSS.

Stăpânirea energiei a făcut posibilă trecerea către producția de mașini în masă a bunurilor de larg consum. S-a creat o societate industrială. În această perioadă s-au produs schimbări semnificative și în metodele de stocare și transmitere a informațiilor.

În societatea informaţională, informaţia este principala resursă. Pe baza deținerii de informații despre o varietate de procese și fenomene se poate construi eficient și optim orice activitate.

Este important nu numai să produci un număr mare de produse, ci să produci produsele potrivite la un moment dat. Cu un anumit cost și așa mai departe. Prin urmare, în societatea informațională crește nu doar calitatea consumului, ci și calitatea producției; o persoană care folosește tehnologia informației are condiții de muncă mai bune, munca devine creativă, intelectuală și așa mai departe.

În prezent, țările dezvoltate ale lumii (SUA, Japonia, țările Europei de Vest) au intrat deja de fapt în societatea informațională. Alții, inclusiv Rusia, se află în cea mai apropiată apropiere de ea.

Ca criterii de dezvoltare a societății informaționale pot fi alese trei: disponibilitatea calculatoarelor, nivelul de dezvoltare a rețelelor de calculatoare și numărul de persoane angajate în sfera informațională, precum și utilizarea tehnologiilor informației și comunicațiilor în activitățile lor zilnice.

Informațiile sunt scumpe astăzi și trebuie protejate. Utilizarea masivă a computerelor personale, din păcate, s-a dovedit a fi asociată cu apariția virușilor cu auto-replicare care interferează cu funcționarea normală a computerului, distrug structura de fișiere a discurilor și deteriorează informațiile stocate în computer.

Informațiile sunt deținute și utilizate de toți oamenii, fără excepție. Fiecare persoană decide singur ce informații trebuie să primească, ce informații nu ar trebui să fie disponibile celorlalți etc. Este ușor pentru o persoană să stocheze informații care se află în capul lui, dar ce se întâmplă dacă informațiile sunt introduse în „creierul mașinii”, la care mulți oameni au acces.

1. Protecția informațiilor și securitatea informațiilor

Protecția informațiilor

Problema creării unui sistem de securitate a informațiilor include două sarcini complementare: 1) dezvoltarea unui sistem de securitate a informațiilor (sinteza acestuia); 2) evaluarea sistemului de securitate informatică dezvoltat. A doua sarcină este rezolvată prin analiza caracteristicilor sale tehnice pentru a stabili dacă sistemul de protecție a informațiilor îndeplinește setul de cerințe pentru aceste sisteme. O astfel de sarcină este în prezent rezolvată aproape exclusiv prin mijloace experte cu ajutorul certificării instrumentelor de securitate a informațiilor și certificării sistemului de securitate a informațiilor în procesul de implementare a acestuia.

Să luăm în considerare conținutul principal al metodelor de protecție a informațiilor prezentate, care stau la baza mecanismelor de protecție.

Obstacolele sunt metode de blocare fizică a căii atacatorului către informațiile protejate (până la echipamente, medii de stocare etc.).

Controlul accesului este o metodă de protejare a informațiilor prin reglementarea utilizării tuturor resurselor unui sistem informatic informatic (elementele bazelor de date, software și hardware). Controlul accesului include următoarele caracteristici de securitate:

identificarea utilizatorilor, personalului și resurselor sistemului (atribuirea unui identificator personal fiecărui obiect);

identificarea (autentificarea) unui obiect sau subiect prin identificatorul prezentat de acesta;

verificare autorizare (verificarea conformității zilei săptămânii, orei zilei, resurselor și procedurilor solicitate cu reglementările stabilite);

permisiunea si crearea conditiilor de munca in limitele reglementarilor stabilite;

înregistrarea (înregistrarea) apelurilor către resurse protejate;

înregistrare (alarma, oprire, întârziere în lucru, refuzul solicitării) în cazul încercărilor de acțiuni neautorizate.

Deghizarea este o metodă de protejare a informațiilor prin închiderea criptografică. Această metodă este utilizată pe scară largă în străinătate atât în ​​procesarea, cât și în stocarea informațiilor, inclusiv pe dischete. Atunci când transmiteți informații prin canale de comunicare la distanță lungă, această metodă este singura de încredere.

Reglementarea este o metodă de protecție a informațiilor care creează condiții pentru prelucrarea, stocarea și transmiterea automată a informațiilor protejate, în care posibilitatea de acces neautorizat la acestea ar fi redusă la minimum.

Coerciția este o metodă de protecție în care utilizatorii și personalul sistemului sunt obligați să respecte regulile de prelucrare, transfer și utilizare a informațiilor protejate sub amenințarea răspunderii materiale, administrative sau penale.

Stimulentul este o metodă de protecție care încurajează utilizatorul și personalul sistemului să nu încalce ordinea stabilită prin respectarea standardelor morale și etice stabilite (atât reglementate, cât și nescrise).

Metodele avute în vedere de asigurare a securității sunt implementate în practică prin utilizarea diferitelor mijloace de protecție, precum tehnică, software, organizațională, legislativă și morală și etică. Principalele apărări utilizate pentru a crea un mecanism de securitate includ următoarele.

Mijloacele tehnice sunt implementate sub formă de dispozitive electrice, electromecanice și electronice. Întregul set de mijloace tehnice este împărțit în hardware și fizice. Prin hardware, se obișnuiește să se înțeleagă tehnologia sau dispozitivele care interfață cu astfel de echipamente printr-o interfață standard. De exemplu, un sistem de identificare și diferențiere a accesului la informații (prin intermediul unor parole, coduri de înregistrare și alte informații de pe diferite carduri). Activele fizice sunt implementate ca dispozitive și sisteme autonome. De exemplu, încuietori la ușile unde sunt amplasate echipamente, grătare pe ferestre, surse de alimentare neîntreruptibile, echipamente electromecanice de alarmă. Deci, există sisteme de securitate externe ("Raven", GUARDWIR, FPS, etc.), sisteme cu ultrasunete (Cyclops, etc.), sisteme de întrerupere a fasciculului (Pulsar 30V, etc.), sisteme de televiziune (VM216, etc.) ), sisteme radar („VITIM”, etc.), un sistem de control al deschiderii echipamentelor etc.

Instrumentele software sunt software concepute special pentru a îndeplini funcții de securitate a informațiilor. Acest grup de instrumente include: un mecanism de criptare (criptografia este un algoritm special care este lansat printr-un număr unic sau o secvență de biți, numită de obicei cheie de criptare; apoi textul criptat este transmis prin canale de comunicare, iar destinatarul are propria sa cheie pentru decriptarea informațiilor), un mecanism de semnătură digitală, mecanisme de control al accesului, mecanisme de integritate a datelor, mecanisme de programare, mecanisme de control al rutare, mecanisme de arbitrare, programe antivirus, programe de arhivare (de exemplu, zip, rar, arj etc.), protecție în timpul introducerii informațiilor și ieșire etc.

Mijloacele de securitate organizațională sunt măsuri organizatorice, tehnice și organizatorice și juridice luate în procesul de creare și exploatare a calculatoarelor, echipamentelor de telecomunicații pentru a asigura protecția informațiilor. Măsurile organizatorice acoperă toate elementele structurale ale echipamentelor în toate etapele ciclului lor de viață (construcția spațiilor, proiectarea unui sistem informatic informatic pentru bancar, instalarea și reglarea echipamentelor, utilizare, exploatare).

Mijloacele morale și etice de protecție sunt implementate sub forma de tot felul de norme care s-au dezvoltat în mod tradițional sau care prind contur odată cu răspândirea tehnologiei de calcul și a comunicațiilor în societate. În cea mai mare parte, aceste norme nu sunt obligatorii ca măsuri legislative, dar nerespectarea acestora duce de obicei la pierderea autorității și prestigiului unei persoane. Cel mai proeminent exemplu de astfel de norme este Codul de conduită profesională pentru membrii Asociației utilizatorilor de computere din Statele Unite.

Căile de atac sunt determinate de actele legislative ale țării, care reglementează regulile de utilizare, prelucrare și transmitere a informațiilor cu acces limitat și stabilesc măsuri de răspundere pentru încălcarea acestor reguli.

Toate mijloacele de protecție considerate sunt împărțite în formale (îndeplinesc funcții de protecție strict conform unei proceduri prestabilite, fără participarea umană directă) și informale (determinate de activitatea umană intenționată sau reglementează această activitate).

Virușii sunt în prezent cea mai presantă problemă de securitate (chiar și în sistemele care nu au nevoie să stocheze informații sensibile și în computerele de acasă). Prin urmare, ne vom opri asupra lor mai detaliat aici. Un virus de computer este un program mic special scris, care se poate „atribui” altor programe (adică, „infectează” acestea), precum și să efectueze diverse acțiuni nedorite pe computer (de exemplu, strica fișiere sau tabele de alocare a fișierelor pe un computer). disc , „Înfundați” memoria RAM etc.).

Principala protecție împotriva virușilor este arhivarea. Alte metode nu o pot înlocui, deși cresc nivelul general de protecție. Arhivarea trebuie făcută zilnic. Arhivarea constă în realizarea de copii ale fișierelor aflate în uz și actualizarea sistematică a fișierelor care sunt modificate. Acest lucru face posibilă nu numai să economisiți spațiu pe discuri speciale de arhivă, ci și să combinați grupuri de fișiere partajate într-un singur fișier de arhivă, făcând mult mai ușor să sortați o arhivă comună de fișiere. Cele mai vulnerabile sunt tabelele de alocare a fișierelor, directorul principal și sectorul de boot. Se recomandă să copiați periodic fișierele pe o dischetă specială. Rezervarea lor este importantă nu doar pentru protecția împotriva virușilor, ci și pentru asigurare în caz de urgențe sau acțiuni ale cuiva, inclusiv propriile greșeli.

În scop profilactic, pentru a proteja împotriva virușilor, se recomandă:

lucrul cu dischete protejate la scriere;

minimizarea perioadelor de disponibilitate a dischetelor pentru înregistrare;

partajarea de dischete între utilizatori responsabili specifici;

separarea dischetelor transmise și recepționate;

separarea stocării programelor nou primite și a celor operate anterior;

verificarea noului software primit pentru prezența unui virus în ele prin testarea programelor;

stocarea programelor pe un hard disk într-o formă arhivată.

Pentru a evita apariția virușilor informatici, trebuie în primul rând să respectați următoarele măsuri:

nu rescrieți software-ul de pe alte computere, dacă este necesar, atunci trebuie luate măsurile de mai sus;

nu permiteți persoanelor neautorizate să lucreze la computer, mai ales dacă urmează să lucreze cu dischetele lor;

nu folosiți alte dischete, în special cu jocurile pe calculator.

Următoarele erori tipice ale utilizatorului pot fi distinse, ducând la infectarea cu virus:

lipsa unui sistem adecvat de arhivare a informațiilor;

lansarea programului rezultat fără a-l verifica mai întâi pentru infecție și fără a seta modul de protecție maximă pentru hard disk folosind sisteme de control acces și lansarea paznicului rezident;

repornirea sistemului dacă există o dischetă instalată în unitatea A (în acest caz, BIOS-ul încearcă să pornească de pe această dischetă, și nu de pe hard disk; ca urmare, dacă discheta este infectată cu un virus de moloz , hard disk-ul este infectat);

rulează tot felul de programe antivirus, fără a cunoaște tipurile de diagnosticare a acelorași viruși de către diferite programe antivirus;

analiza și restaurarea programelor de pe sistemul de operare infectat.

În prezent, cele mai populare produse antivirus ale DialogNauka JSC din Rusia sunt:

polyphage Aidstest (polyphage este un program care efectuează acțiuni opuse celor pe care le produce un virus atunci când infectează un fișier, adică încearcă să restaureze un fișier);

auditor Adinf;

bloc de vindecare AdinfExt;

polifag pentru „polimorfi” Doctor Web.

Există programe de filtrare care verifică dacă fișierele (pe un disc specificat de utilizator) conțin o combinație specială de octeți pentru un anumit virus. Se folosește și o prelucrare specială a fișierelor, discurilor, directoarelor - vaccinare: lansarea de programe de vaccin care simulează o combinație de condiții în care acest tip de virus începe să funcționeze și se manifestă. Un exemplu de program rezident de protecție împotriva virușilor este VSAFF de la Carmel Central Point Software. Programele CRCLIST și CRCTEST pot fi recomandate ca programe pentru diagnosticarea precoce a unui virus informatic.

Securitatea informațiilor.

Informațiile din punctul de vedere al securității informațiilor au următoarele categorii: confidențialitatea informațiilor - o garanție că informațiile specifice sunt disponibile numai pentru cercul de persoane cărora le sunt destinate; încălcarea acestei categorii se numește furt sau dezvăluire de informații; integritatea informațiilor - o garanție că informațiile există acum în forma sa originală, adică în timpul stocării sau transferului acesteia, nu au fost efectuate modificări neautorizate; încălcarea acestei categorii se numește falsificarea unui mesaj; autenticitatea informațiilor - o garanție că sursa informației este exact persoana care este declarată autorul acesteia; încălcarea acestei categorii se mai numește și falsificare, dar deja autorul mesajului, recursul la informații este o garanție că, dacă este necesar, se va putea dovedi că autorul mesajului este exact persoana declarată și nimeni altceva poate fi; Diferența dintre această categorie și cea anterioară este că atunci când autorul este înlocuit, altcineva încearcă să declare că el este autorul mesajului, iar atunci când contestația este încălcată, autorul însuși încearcă să-și „renega” cuvintele, semnate. de el o dată.

În ceea ce privește sistemele informaționale se aplică și alte categorii: fiabilitate - asigurarea faptului că sistemul se comportă în moduri normale și anormale ca acuratețe planificată - garantarea executării exacte și complete a tuturor comenzilor controlul accesului - asigurarea că diferite grupuri de persoane au acces diferit la obiectele informaționale , iar aceste restricții de acces sunt controlabilitatea executată în mod constant - o garanție că în orice moment se poate efectua o verificare completă a oricărei componente a complexului software de control de identificare - o garanție că clientul conectat în prezent la sistem este exact cel care pretinde să fie rezistență la eșecurile deliberate - o garanție că dacă erorile sunt introduse în mod deliberat în limitele normelor prestabilite, sistemul se va comporta așa cum sa convenit în prealabil.

2. Sisteme de securitate a informațiilor

Securitatea transmiterii informațiilor pe Internet. Criptarea informațiilor folosind chei publice și private. Semnatura digitala.

În internetul modern rusesc, majoritatea utilizatorilor săi, inclusiv utilizatorii corporativi, folosesc rețeaua globală, în principal ca o bază de date uriașă, cea mai largă resursă de informații, unde puteți găsi rapid și convenabil orice informație de interes sau puteți oferi informații unui public larg. despre tine, produsele sau serviciile tale.

Unul dintre motivele acestei stări de fapt este, în opinia noastră, lipsa de încredere a reprezentanților afacerilor în securitatea transmiterii informațiilor prin internet. Din acest motiv, un fax sau curier este adesea folosit acolo unde posibilitățile Internetului pot fi utilizate cu succes.

Să luăm în considerare ce domenii de protecție și mijloacele tehnice corespunzătoare atrag cea mai mare atenție din partea dezvoltatorilor și consumatorilor astăzi.

Protecție împotriva accesului neautorizat (NSD) la resursele computerelor autonome și conectate în rețea. Această funcție este implementată de software, firmware și hardware, care vor fi discutate mai jos cu exemple specifice.

Protecția serverelor și a utilizatorilor individuali ai Internetului împotriva hackerilor rău intenționați din exterior. Pentru aceasta se folosesc firewall-uri speciale (firewall-uri), care au devenit recent mai răspândite (vezi „PC World”, nr. 11/2000, p. 82).

Protecția informațiilor secrete, confidențiale și personale împotriva citirii de către persoane neautorizate și denaturarea lor intenționată se realizează cel mai adesea cu ajutorul mijloacelor criptografice alocate în mod tradițional unei clase separate. Aceasta include, de asemenea, confirmarea autenticității mesajelor folosind o semnătură digitală electronică (EDS). Utilizarea criptosistemelor cu chei publice și EDS are perspective mari în domeniul bancar și al comerțului electronic. Acest tip de protecție nu este luat în considerare în acest articol.

În ultimii ani, protecția software-ului împotriva copierii ilegale folosind chei electronice a devenit destul de răspândită. În această revizuire, este luată în considerare și cu exemple specifice.

Protecție împotriva scurgerilor de informații prin canale laterale (prin circuite de alimentare, canalul de radiații electromagnetice de la un computer sau monitor). Aici se folosesc mijloace dovedite, cum ar fi protejarea unei camere și utilizarea unui generator de zgomot, precum și o selecție specială de monitoare și componente de computer care au cea mai mică zonă de radiație în intervalul de frecvență care este cel mai convenabil pentru capturarea și decriptarea de la distanță a semnal de către intruși.

Protecția împotriva dispozitivelor de spionaj instalate direct în componentele computerului, precum și măsurătorile zonei de radiații, sunt efectuate de organizații speciale care dețin licențele necesare ale autorităților competente.

Nu există îndoială avantajele Internetului asociate cu viteza schimbului de informații, economisirea resurselor pentru schimbul de informații la distanță lungă și internațională, comoditatea în operarea programelor de aplicație care automatizează diverse procese de afaceri între birourile la distanță ale companiei, sucursale, parteneri. , clienți, angajați cu laptop-uri în afara biroului lor.

Toate aceste oportunități, desigur, pot reduce semnificativ timpul și costurile financiare ale companiei și pot crește semnificativ eficiența afacerii acesteia.

Eficiență și mai semnificativă poate fi adusă de utilizarea Internetului în schimbul de informații intercorporate, în sisteme precum un portal B2B sau un sistem de tranzacționare pe Internet.

Din păcate, în acest moment, aceste capabilități de Internet nu sunt suficient de solicitate, iar unul dintre principalele motive pentru aceasta este tocmai motivul pentru care Business nu are încredere în Internet în ceea ce privește securitatea utilizării acestuia.

De foarte multe ori avem de-a face cu două puncte de vedere extreme, opuse.

Primul este de a nega problema de securitate ca atare și, în consecință, lipsa sau absența mijloacelor de securitate adecvate la transmiterea unor informații destul de importante prin Internet. Această abordare sfârșește adesea în probleme serioase și pierderi financiare.

Al doilea punct de vedere este că Internetul este extrem de periculos și nicio măsură de securitate nu va ajuta la păstrarea intacte a informațiilor transmise prin Internet.

În opinia mea, cea mai rațională cale de ieșire din această situație este principiul „Media de Aur”, în care compania folosește internetul pentru a-și rezolva problemele de telecomunicații, cu respectarea măsurilor de securitate corespunzătoare.

Astfel de măsuri pot include: analiza proprie a infrastructurii dumneavoastră de telecomunicații din punct de vedere al securității, achiziționarea și instalarea de echipamente de protecție adecvate și instruirea specialiștilor dumneavoastră. O altă abordare este implicarea profesioniștilor din companiile care se ocupă de această problemă în organizarea și întreținerea sistemului lor de securitate.

Pe piața rusă, activitățile de securitate a informațiilor sunt reglementate de Comisia Tehnică de Stat a Federației Ruse și FAPSI. Și numai companiile licențiate de aceste structuri au dreptul de a se ocupa de securitatea informațiilor în Rusia.

În ceea ce privește produsele care pot fi folosite pentru protecție, există un sistem de certificare asupra acestora, care, evaluând calitatea acestora, le atribuie o clasă de protecție adecvată. Produsele utilizate pentru a proteja rețelele și computerele împotriva pătrunderii directe a utilizatorilor neautorizați sunt certificate de către Comisia Tehnică de Stat și sunt numite produse pentru protecție împotriva accesului neautorizat (NSD). Aceste produse includ „Firewall-uri”, servere proxy etc.

Utilizarea unor astfel de sisteme, cu configurarea lor corectă, poate reduce semnificativ riscul intrusilor în resursele protejate.

Protecția împotriva accesului neautorizat la resursele computerului este o problemă complexă care presupune rezolvarea următoarelor probleme prin mijloace tehnice:

identificarea și autentificarea utilizatorului la intrarea în sistem;

controlul integrității sistemelor, programelor și datelor de securitate a informațiilor;

diferențierea accesului utilizatorului la resursele PC;

blocarea încărcării sistemului de operare de pe o dischetă și CD-ROM;

înregistrarea acțiunilor utilizatorului și programului.

Acțiunea unui astfel de ecran poate fi demonstrată prin exemplul unui firewall personal ViPNet fabricat de Infotecs. Acest firewall poate fi instalat atât pe server, cât și pe stația de lucru. Folosind capacitățile sale, puteți organiza munca în așa fel încât proprietarul computerului să poată accesa orice resursă de internet deschisă, dar atunci când cineva din lumea exterioară încearcă să-și acceseze computerul, sistemul blochează o astfel de încercare și anunță proprietarul despre aceasta. . În continuare, puteți obține informații de la sistem despre adresa IP pe care a încercat să o acceseze.

O altă categorie de produse este concepută pentru organizarea schimbului de informații securizat și, de departe, este cea mai fiabilă din punct de vedere al securității. Aceste produse sunt de obicei bazate pe cripto și sunt reglementate de Agenția Federală pentru Comunicații și Informații Guvernamentale. Astfel de produse au capacitatea de a proteja datele prin criptare și nu numai datele stocate pe hard disk, ci și datele transmise prin rețele, inclusiv prin „Internet”.

Astfel, este posibil să se protejeze atât mesajele de e-mail, cât și schimbul de informații între abonați on-line. Sistemele care vă permit să transferați orice date prin Internet într-o manieră sigură se numesc VPN (Virtual Private Network). VPN este o rețea virtuală cu schimbul de informații complet închis din afara accesului prin internetul deschis. De aceea se numește privat.

Închiderea informațiilor în astfel de sisteme se realizează, de regulă, folosind criptarea. Criptare, adică transformarea datelor deschise în date private (criptate) se realizează folosind, de regulă, chei software speciale. Problema principală din punct de vedere al securității în astfel de sisteme este problema structurii cheilor. Cum și unde se formează cheia, unde este stocată, cum este transmisă, cui este disponibilă.

Astăzi, sunt cunoscute doar două tipuri de algoritmi de criptare: simetrici (clasici) și asimetrici (algoritmi de criptare cu cheie publică). Fiecare dintre aceste sisteme are propriile sale avantaje și dezavantaje.

Când utilizați algoritmi simetrici, aceeași cheie este utilizată pentru a cripta și decripta informațiile. Acestea. dacă utilizatorii A și B doresc să facă schimb de informații în mod confidențial, atunci aceștia trebuie să efectueze următoarele acțiuni: utilizatorul A criptează informațiile (text simplu) folosind o cheie și transmite textul cifrat primit utilizatorului B, care primește textul simplu folosind aceeași cheie.

Cu toate acestea, algoritmii de criptare simetrică au un dezavantaj: înainte de a face schimb de informații confidențiale, doi utilizatori trebuie să schimbe o cheie partajată, dar într-un mediu în care utilizatorii sunt deconectați și sunt foarte mulți, există inconveniente mari pentru distribuirea cheilor. În plus, deoarece aceste chei sunt de obicei formate de un anumit Centru de Formare, ele sunt cunoscute acestui centru. Pentru a rezolva această problemă, a fost creată criptografia cu cheie asimetrică.

Ideea de bază din spatele criptografiei cu chei asimetrice este utilizarea unei perechi de chei. Prima - cheia publică asimetrică (cheia publică) - este disponibilă pentru toată lumea și este folosită de toți cei care urmează să trimită mesaje proprietarului cheii. Cea de-a doua - o cheie secretă asimetrică (cheie privată) - este cunoscută doar de proprietar și cu ajutorul acesteia sunt decriptate mesajele criptate pe cheia lui publică asociată. Astfel, partea secretă a cheii este generată și stocată direct de către abonat și este inaccesibilă oricui altcineva. Cele mai multe sisteme moderne folosesc un sistem de cheie combinat, care are atât puterea ridicată a cheii simetrice, cât și inaccesibilitatea la centru, precum și flexibilitatea unui sistem asimetric. De exemplu, sistemul creat de Infotecs sub marca ViPNet posedă astfel de calități. Acest sistem permite: cum să transferați orice date, inclusiv e-mail, fișiere, vorbire, video etc. prin Internet într-o formă protejată și pentru a proteja resursele rețelei organizației, inclusiv serverele, stațiile de lucru și chiar computerele mobile care accesează Internetul oriunde în lume împotriva accesului neautorizat.

3. Resurse informaționale de distribuție limitată și amenințări la adresa resurselor

Resursele informaționale sunt documente și rețele de documente din sistemele informaționale (biblioteci, arhive, fonduri, bănci de date, depozite, depozite muzeale etc.).

Pe parcursul întregului secol XX precedent. în istoria dezvoltării civilizației umane, obiectele materiale au rămas subiectul principal al muncii. Activitățile în afara producției materiale și serviciilor, de regulă, aparțineau categoriei costurilor neproductive. Puterea economică a statului era măsurată prin resursele sale materiale. La sfârșitul anilor '70, președintele programului de modelare a politicii în domeniul resurselor informaționale, profesor la Universitatea Harvard A. Ottinger a scris că vine vremea când informația devine aceeași resursă principală ca materialele și energia și, prin urmare, în raport cu aceasta resursa ar trebui formulată cu aceleași întrebări critice: cine o deține, cine este interesat de ea, cât de accesibilă este, este posibil să o folosească comercial? Președintele Academiei de Științe din SUA, F. Hendler, a formulat acest gând astfel: „Economia noastră se bazează nu pe resurse naturale, ci pe minți și pe aplicarea cunoștințelor științifice”. În prezent, există o luptă pentru controlul asupra celei mai valoroase dintre toate resursele cunoscute - resursele naționale de informații.

„Nu mergem în alte țări pentru a profita de costuri mai mici. Pătrundem acolo pentru că există rezerve intelectuale, și trebuie să le interceptăm pentru a concura cu succes”.

Termenul de „resurse informaționale” a început să fie utilizat pe scară largă în literatura științifică după publicarea cunoscutei monografii a lui G.R. Gromov „Resurse informaționale naționale: probleme ale exploatării industriale”. Acum nu are încă o interpretare clară, în ciuda faptului că acest concept este unul dintre cele cheie în problema informatizării societății. Prin urmare, este important să înțelegem esența unei resurse informaționale ca formă de prezentare a datelor și cunoștințelor, rolul acesteia în procesele sociale, precum și modelele de formare, transformare și distribuire a diferitelor tipuri de resurse informaționale în societate.

Pentru a asigura activarea și utilizarea eficientă a resurselor informaționale ale societății, este necesară efectuarea „electronizării” fondurilor informaționale. Potrivit academicianului A. Ershov, „în încărcarea și activarea fondului informațional al omenirii în rețeaua globală de calculatoare stă, de fapt, sarcina informatizării în conținutul său tehnic”.

Resursele informaționale active sunt acea parte a resurselor care este alcătuită din informații disponibile pentru căutarea, stocarea și prelucrarea automată: cunoștințe și abilități profesionale formalizate și păstrate pe suportul mașinii sub formă de programe de lucru, documente text și grafice, precum și orice alte date de conținut potențial disponibile pe o bază comercială pentru utilizatorii parcului național de calculatoare. Resursele informaționale naționale și mondiale sunt categorii economice.

Prin urmare, putem concluziona că eficiența utilizării resurselor informaționale este cel mai important indicator al culturii informaționale a unei societăți.

Principalii participanți pe piața serviciilor informaționale sunt:

Producători de informații (producători);

Vânzători de informații (vânzători, vânzători);

Utilizatori de informații (utilizatori) sau abonați

Astăzi, cele mai comune mijloace de acces la resursele informaționale sunt rețelele de calculatoare, iar cea mai progresivă modalitate de obținere a informațiilor este modul online (online – interactiv, mod interactiv). Oferă o oportunitate utilizatorului, care a intrat într-o rețea de calculatoare, de a obține acces la „calculatorul mare” (Gazdă – computer) și la resursele informaționale ale acestuia într-un mod de dialog direct, realizat în timp real.

Printre utilizatorii de acest gen se numără atât consumatorii finali de informații, cât și cei intermediari care prestează servicii clienților lor în rezolvarea problemelor informaționale (centre speciale de informare cu acces la mai multe sisteme online, sau specialiști profesioniști angajați în servicii de informare cu plată pentru clienți, consumatori de informații).

Piața serviciilor de informații online include următoarele segmente principale:

Sisteme computerizate de rezervare si servicii de informatii financiare;

Baze de date (DB) destinate consumatorului de masă;

Baze de date profesionale.

Printre bazele de date, se disting de obicei următoarele tipuri:

Text (text integral, rezumat, bibliografic, dicționare);

Baze de date numerice și tabelare;

Panouri de buletin.

Astfel de baze de date sunt stocate și pe CD-ROM-uri, dischete și benzi magnetice. Mai jos, însă, vom vorbi despre bazele de date care sunt accesate online – „baze de date online profesionale”.

Producătorii de informații includ atât organizații care extrag și publică informații (agenții de informare, mass-media, redacții ale ziarelor și revistelor, edituri, oficii de brevete), cât și organizații care sunt implicate profesional în prelucrarea acesteia de mulți ani (selectarea informațiilor, indexare, încărcarea în baze de date sub formă de texte complete, scurte rezumate etc.).

Amenințări la adresa resurselor.

Amenințările la adresa resurselor informaționale pot fi, în general, clasificate:

1). În scopul implementării amenințărilor:

Amenințări la confidențialitate:

Furtul (copierea) informațiilor și mijloacelor de prelucrare a acestora (purtători);

Pierderea (pierderea neintenționată, scurgerea) informațiilor și mijloacelor de prelucrare a acestora (purtători);

Amenințări privind disponibilitatea:

Blocarea informațiilor;

Distrugerea informațiilor și a mijloacelor de prelucrare a acestora (purtători);

Amenințări la adresa integrității:

Modificarea (distorsiunea) informațiilor;

Negarea autenticității informațiilor;

Impunerea de informații false, înșelăciune

în care:

Furtul și Distrugerea informațiilor sunt înțelese în același mod ca și în cazul resurselor materiale valoroase. Distrugerea informațiilor computerului - ștergerea informațiilor din memoria computerului.

Copierea informațiilor - repetarea și imprimarea stabilă a informațiilor pe o mașină sau alt suport.

Daune - o modificare a proprietăților unui purtător de informații, în care starea acestuia se deteriorează semnificativ, o parte semnificativă din proprietățile sale utile se pierde și devine complet sau parțial nepotrivit pentru utilizarea prevăzută.

Modificarea informațiilor – efectuarea oricăror modificări, altele decât cele legate de adaptarea unui program de calculator sau a bazelor de date pentru informații informatice.

Blocarea informațiilor - obstrucționarea neautorizată a accesului utilizatorilor la informații, fără legătură cu distrugerea acesteia;

Distrugerea neautorizată, blocarea, modificarea, copierea informațiilor - orice acțiuni nepermise de Lege, de către proprietarul sau utilizatorul competent al acțiunilor specificate cu informații.

Înșelăciunea (negarea autenticității, impunerea de informații false) este o denaturare sau ascunderea intenționată a adevărului cu scopul de a induce în eroare persoana care se ocupă de proprietate, și de a obține astfel de la acesta un transfer voluntar de proprietate, precum și mesaje în acest scop. de informații false cu bună știință.

2) Conform principiului influenței purtătorilor de informații - sistemul de procesare și transmitere a informațiilor (ASOI):

Utilizarea accesului intrusului (intrus, utilizator ASOI, proces) la obiect (la sala de sedinte, la fisierul de date, canal de comunicare etc.);

Cu utilizarea canalelor ascunse - cu utilizarea memoriei, RZU, modalități de transmitere a informațiilor, permițând două procese interconectate (legitime și încorporate de către un atacator) să facă schimb de informații într-un mod care duce la o mulțime de informații.

3) După natura impactului asupra sistemului de prelucrare și transmitere a informațiilor:

Amenințări active asociate cu efectuarea oricăror acțiuni ale intrusului (copiere, înregistrare neautorizată, acces la seturi de date, programe, spargerea unei parole etc.);

Amenințările pasive sunt efectuate de către utilizator observând orice efecte secundare ale proceselor de mișcare a informațiilor și analizându-le.

4) Datorită prezenței unei posibile erori de protecție, amenințarea poate fi cauzată de unul dintre următoarele motive:

Inadecvare - neconcordanta cu regimul de securitate al protectiei ariei protejate.

Erori de control administrativ - modul de securitate;

Erori în algoritmii programelor, în conexiunile dintre ei etc., care apar în faza de proiectare a programelor sau a unui complex de programe și datorită cărora aceste programe pot fi utilizate într-un mod complet diferit, așa cum este descris în documentație.

Erori în implementarea algoritmilor de program (erori de codificare), conexiuni între aceștia etc., care apar în etapele de implementare, depanare și pot servi ca sursă de proprietăți nedocumentate.

5) Prin metoda de influențare a obiectului atacului (cu impact activ):

Impact direct asupra obiectului atacului (inclusiv utilizarea privilegiilor), de exemplu: acces direct la zonele de audibilitate și vizibilitate, la un set de date, program, serviciu, canal de comunicare etc., folosind orice eroare;

Impact asupra sistemului de permisiuni (inclusiv obținerea de privilegii). În acest caz, se efectuează acțiuni neautorizate cu privire la drepturile utilizatorilor asupra obiectului atacului, iar accesul la obiectul în sine se realizează apoi în mod legal;

Impact indirect (prin alți utilizatori):

- "mascaradă". În acest caz, utilizatorul își arogă într-un fel autoritatea altui utilizator, usurându-l;

- „folosește orbește”. Cu această metodă, un utilizator îl obligă pe celălalt să efectueze acțiunile necesare (pentru sistemul de protecție, acestea nu par neautorizate, deoarece sunt efectuate de un utilizator care are dreptul de a face acest lucru), iar acesta din urmă poate nici măcar să nu fie conștient dintre ei. Pentru implementarea acestei amenințări se poate folosi un virus (realizează acțiunile necesare și raportează rezultatul acestora celui care l-a introdus).

Ultimele două metode sunt foarte periculoase. Pentru a preveni astfel de acțiuni, este necesar un control constant atât din partea administratorilor și operatorilor asupra activității ASOI în general, cât și din partea utilizatorilor asupra propriilor seturi de date.

6) Prin metoda de influențare a ASOI:

În modul interactiv - în procesul de lucru pe termen lung cu programul;

În modul lot - după pregătirea pe termen lung prin implementarea rapidă a unui pachet software de acțiune vizată.

Lucrând cu sistemul, utilizatorul se ocupă întotdeauna de oricare dintre programele acestuia. Unele programe sunt concepute astfel încât utilizatorul să poată influența rapid cursul execuției lor prin introducerea diferitelor comenzi sau date, în timp ce altele astfel încât toate informațiile să fie setate în prealabil. Primele includ, de exemplu, unele utilitare care controlează programele de baze de date, practic acestea sunt programe menite să lucreze cu utilizatorul. Al doilea grup include în principal programe de sistem și aplicații concentrate pe efectuarea oricăror acțiuni strict definite fără intervenția utilizatorului.

Atunci când utilizați programe de primă clasă, impactul este mai lung în timp și, prin urmare, are o probabilitate mai mare de detectare, dar mai flexibilă, permițându-vă să schimbați rapid ordinea acțiunilor. Impactul cu ajutorul programelor de clasa a doua (de exemplu, cu ajutorul virușilor) este pe termen scurt, greu de diagnosticat, mult mai periculos, dar necesită multă pregătire preliminară pentru a prevedea toate consecințele posibile ale intervenției în avans.

7) Prin obiectul atacului:

ASOI în ansamblu: un atacator încearcă să pătrundă în sistem pentru executarea ulterioară a oricăror acțiuni neautorizate. De obicei folosesc „mascarada”, interceptarea sau falsificarea unei parole, piratarea sau accesul la ASOI prin intermediul rețelei;

Obiectele ASOI sunt date sau programe în RAM sau pe medii externe, dispozitivele de sistem în sine, atât externe (unități de disc, dispozitive de rețea, terminale) cât și interne (RAM, procesor), canale de transmisie a datelor. Impactul asupra obiectelor de sistem vizează, de obicei, accesarea conținutului acestora (încălcarea confidențialității sau integrității informațiilor procesate sau stocate) sau încălcarea funcționalității acestora (de exemplu, umplerea întregii memorie RAM a computerului cu informații fără sens sau încărcarea procesorului computerului cu o sarcină nelimitată). timpul de execuție);

Subiecții ASOI sunt procesoare utilizatori. Scopul unor astfel de atacuri este fie un impact direct asupra funcționării procesorului - suspendarea acestuia, modificarea caracteristicilor (de exemplu, prioritate), fie efectul opus - utilizarea privilegiilor și caracteristicilor unui alt proces de către un atacator pentru propriile sale. scopuri. Impactul poate fi asupra proceselor utilizatorilor, sistemelor, rețelelor;

Canale de transmitere a datelor - ascultarea canalului și analizarea programului (fluxul de mesaje); înlocuirea sau modificarea mesajelor în canalele de comunicație și la nodurile releu; modificarea topologiei și caracteristicile rețelei, regulile de comutare și adresare.

8) Prin mijloacele de atac folosite:

Utilizarea software-ului standard;

Folosind programe special concepute.

9) După starea obiectului atacului.

Obiectul atacului este stocat pe disc, bandă magnetică, RAM sau în altă parte într-o stare pasivă. În acest caz, impactul asupra obiectului se realizează de obicei folosind acces;

Obiectul atacului se află într-o stare de transmisie printr-o linie de comunicație între nodurile rețelei sau în interiorul unui nod. Impactul implică fie accesul la fragmente de informații transmise (de exemplu, interceptarea pachetelor pe un repetor de rețea), fie pur și simplu ascultarea folosind canale ascunse;

Obiectul de atac (procesul utilizatorului) este în curs de procesare.

Clasificarea dată arată complexitatea identificării posibilelor amenințări și modalități de implementare a acestora.

Accesul personalului la informații confidențiale.

Permisiunea de a accesa informațiile confidențiale ale unui reprezentant al unei alte companii sau întreprinderi este oficializată printr-o rezoluție a unui funcționar autorizat pe o comandă (sau scrisoare, angajament) transmisă de persoana în cauză. Rezoluția trebuie să indice anumite documente sau informații la care este permis accesul. În același timp, este indicat numele de familie al unui angajat al companiei, care îl aduce la cunoștință reprezentantului altei companii cu aceste informații și este responsabil pentru munca sa - în sediul companiei.

Trebuie respectată regula conform căreia toate persoanele care au acces la anumite documente, secrete comerciale sunt înregistrate. Acest lucru face posibilă desfășurarea suportului informațional al muncii analitice la un nivel înalt pentru a identifica posibile canale de pierdere a informațiilor.

Atunci când se organizează accesul angajaților companiei la rețele confidențiale de documente electronice, baze de date, este necesar să ne amintim natura sa în mai multe etape. Se pot distinge următoarele componente principale:

* acces la un computer personal, server sau statie de lucru;

* acces la suporturile de date ale mașinii stocate în afara computerului;

* acces direct la baze de date și fișiere.

Accesul la un computer personal, server sau stație de lucru care este utilizat pentru procesarea informațiilor confidențiale include:

* determinarea și reglementarea de către primul șef al companiei a componenței salariaților care au drept de acces (intrare) în incinta în care se află calculatoarele și mijloacele de comunicații corespunzătoare;

* reglementarea de către primul conducător al regimului temporar a șederii acestor persoane în localul indicat; înregistrarea personală și temporară (repararea) de către șeful unității sau al liniei de activitate a companiei a disponibilității permisului și a perioadei de lucru a acestor persoane în alte ore (de exemplu, seara, weekend-urile etc.);

* organizarea protectiei acestor spatii in timpul programului de lucru si nelucrat, stabilirea regulilor de deschidere a spatiilor si dezactivarea mijloacelor tehnice de securitate de informare si semnalizare; stabilirea regulilor de armare a localurilor; reglementarea muncii mijloacelor tehnice specificate în timpul programului de lucru;

* organizarea modului controlat (în cazurile necesare, acces) de intrare și ieșire din aceste incinte;

* organizarea actiunilor gardienilor si personalului in situatii extreme sau in cazul avariilor utilajelor si utilajelor incintelor;

* organizarea de ridicare a valorilor materiale, masini si suporturi hartie de informatii din incinta indicata; controlul obiectelor personale aduse în cameră și scoase de personal.

În ciuda faptului că la sfârșitul zilei de lucru, informațiile confidențiale trebuie transferate pe medii flexibile și șterse de pe hard disk-ul computerului, incinta în care se află echipamentul informatic sunt supuse protecției. Acest lucru se explică prin faptul că, în primul rând, este ușor să instalați un fel de spionaj industrial într-un computer nepăzit, iar în al doilea rând, un atacator poate, folosind metode speciale, să restabilească informațiile confidențiale șterse de pe hard disk („colectare de gunoi”). .

Accesul la mediul mașinii de informații confidențiale stocate în afara computerului presupune:

* organizarea contabilității și eliberarea de purtători de date pentru mașini curate către angajați;

* organizarea emisiunii fixe zilnice către angajați și recepție de la angajații transportatorilor cu informații înregistrate (principale și de rezervă);

* determinarea și reglementarea de către primul șef al componenței salariaților care au dreptul de a opera cu informații confidențiale utilizând calculatoare instalate la locurile lor de muncă, și de a primi medii de stocare informatice contabilizate în serviciul CA;

* organizarea unui sistem de atribuire a mediilor informatice către angajați și monitorizarea siguranței și integrității informațiilor, ținând cont de dinamica modificărilor în compoziția informațiilor înregistrate;

* organizarea procedurii de distrugere a informațiilor despre transportator, procedura și condițiile de distrugere fizică a transportatorului;

* organizarea stocarii suporturilor masinii in serviciul CD in timpul programului de lucru si nelucrat, reglementarea procedurii de evacuare a mediilor in situatii extreme;

* determinarea si reglementarea de catre primul sef al personalului salariatilor care, din motive obiective, nu predau suporturi tehnice pentru depozitare in serviciul CA la sfarsitul zilei de munca, organizarea pazei speciale pentru sediile si calculatoarele de aceşti angajaţi. Munca angajaților serviciului CA și a companiei în ansamblu cu suporturi de informații despre mașini în afara computerului ar trebui organizată prin analogie cu documentele confidențiale pe hârtie.

Accesul la bazele de date și fișiere confidențiale este etapa finală a accesului unui angajat la un computer. Și dacă acest angajat este un intrus, atunci putem presupune că a trecut cu succes de cele mai serioase linii de protecție a informațiilor electronice protejate. În cele din urmă, el poate pur și simplu să transporte computerul sau să scoată din el și să transporte hard disk-ul fără a „spărge” baza de date.

De obicei, accesul la baza de date și la fișiere înseamnă:

* determinarea și reglementarea de către primul șef al componenței salariaților cărora li se permite să lucreze cu anumite baze de date și fișiere; controlul sistemului de acces de către administratorul bazei de date;

* denumirea bazelor de date și fișierelor, fixând în memoria mașinii numele utilizatorilor și operatorilor care au dreptul de acces la acestea;

* contabilizarea componenței bazei de date și a fișierelor, verificarea periodică a disponibilității, integrității și completității documentelor electronice;

* înregistrarea intrării în baza de date, înregistrarea automată a numelui de utilizator și a timpului de lucru; păstrarea informațiilor originale;

* înregistrarea încercărilor de intrare neautorizată în baza de date, înregistrarea acțiunilor eronate ale utilizatorului, transmiterea automată a semnalului de alarmă către gardian și oprirea automată a calculatorului;

* stabilirea și schimbarea neregulată a numelor de utilizator, a matricelor și a fișierelor (parole, coduri, clasificatoare, cuvinte cheie etc.), mai ales cu schimbări frecvente de personal;

* oprirea calculatorului în cazul încălcării sistemului de control al accesului sau defecțiunii sistemului de securitate a informațiilor;

* blocarea mecanică (cheie sau alt dispozitiv) a unui computer deconectat, dar încărcat în timpul scurtelor întreruperi ale lucrului utilizatorului. Coduri, parole, cuvinte cheie, chei, cifruri, produse software speciale, hardware etc. atributele sistemului de securitate a informațiilor dintr-un computer sunt dezvoltate, modificate de o organizație specializată și aduse individual în atenția fiecărui utilizator de către un angajat al acestei organizații sau un administrator de sistem. Utilizatorul nu are voie să folosească propriile coduri.

În consecință, procedurile de admitere și acces al angajaților la informații confidențiale completează procesul de includere a acestui angajat în lista persoanelor care dețin efectiv compania secretă. De atunci, munca curentă cu personalul, care are la dispoziție informații valoroase și confidențiale, a devenit de mare importanță.

Concluzie

Stabilitatea personalului este cea mai importantă condiție prealabilă pentru securitatea informațională fiabilă a companiei. Migrația specialiștilor este cel mai greu de controlat canal pentru pierderea de informații valoroase și confidențiale. În același timp, nu este posibil să se evite complet disponibilizările angajaților. Este necesară o analiză amănunțită a motivelor concedierii, pe baza căreia se întocmește și se implementează un program, excluzând aceste motive. De exemplu, creșterea salariilor, închirierea de locuințe pentru angajații din apropierea firmei și îmbunătățirea climatului psihologic, concedierea managerilor care abuzează de funcția lor oficială etc.

Lista literaturii folosite

securitatea protecției informațiilor

1. Zabelin E.I. Securitatea informațiilor pe Internet - servicii pentru afaceri

Articol original: http://www.OXPAHA.ru/view.asp?2280.

2. Săptămânal „Computerworld”, # 22, 1999 // Editura „Open Systems” http://www.osp.ru/cw/1999/22/061.htm

3. A. Dmitriev Sisteme de securitate a informațiilor. Revista PC World, # 05, 2001 // Editura Open Systems. http://www.osp.ru/pcworld/2001/05/010.htm

4. Servicii de securitate de la Novell. Module de criptare. http://novell.eureca.ru/

5. Paula Sherick. 10 întrebări despre criptare în NT 4.0 http://www.osp.ru/win2000/2001/05/050.htm

Postat pe Allbest.ru

Documente similare

Problemă de securitate a informațiilor. Caracteristici de protecție a informațiilor în rețelele de calculatoare. Amenințări, atacuri și canale de scurgere de informații. Clasificarea metodelor și mijloacelor de asigurare a siguranței. Arhitectura și protecția rețelei. Metode de securizare a rețelelor.

teză, adăugată 16.06.2012


Securitatea informațiilor, componente ale sistemului de protecție. Factori destabilizatori. Clasificarea amenințărilor la adresa securității informațiilor după sursa apariției, după natura scopurilor. Metode de implementare a acestora. Niveluri de protecție a informațiilor. Etapele creării sistemelor de protecție.

prezentare adaugata la 22.12.2015


Principalele canale de scurgere de informații. Principalele surse de informații confidențiale. Principalele obiecte ale protecției informațiilor. Lucrarea principală privind dezvoltarea și îmbunătățirea sistemului de securitate a informațiilor. Modelul de protecție a securității informațiilor SA „Căile Ferate Ruse”.

lucrare de termen adăugată 09/05/2013


Tipuri de amenințări intenționate interne și externe la adresa securității informațiilor. Conceptul general de protecție și securitate a informațiilor. Principalele scopuri și obiective ale securității informațiilor. Conceptul de fezabilitate economică a asigurării securității informațiilor întreprinderii.

test, adaugat 26.05.2010


Cerințe de informații: disponibilitate, integritate și confidențialitate. Modelul CIA ca securitate a informațiilor, construit pe protecția disponibilității, integrității și confidențialității informațiilor. Amenințări directe și indirecte, mijloace de protecție a informațiilor.

prezentare adaugata 01/06/2014


Structura și caracteristicile sistemului de operare Linux, istoria dezvoltării acestuia. Securitatea informațiilor: documente conceptuale și de reglementare, direcții de scurgere de informații și protecția acesteia. Calculul creării unui sistem de securitate a informațiilor și un studiu al eficacității acestuia.

lucrare de termen adăugată 24.01.2014


Sistem de formare a regimului de securitate a informațiilor. Sarcinile securității informaționale ale societății. Securitatea informației înseamnă: metode și sisteme de bază. Protecția informațiilor în rețelele de calculatoare. Prevederile celor mai importante acte legislative ale Rusiei.

rezumat, adăugat 20.01.2014


Conceptul și principiile de bază ale securității informațiilor. Conceptul de securitate în sistemele automatizate. Fundamentele legislației Federației Ruse în domeniul securității informațiilor și al protecției informațiilor, proceselor de licențiere și certificare.

curs de prelegeri, adăugat 17.04.2012


Conceptul, scopurile și obiectivele securității informațiilor. Amenințări la securitatea informațiilor și modalități de implementare a acestora. Controlul accesului la sisteme informatice si informatice. Protejarea rețelelor și a informațiilor în timp ce lucrați pe Internet. Conceptul de semnătură electronică.

test, adaugat 15.12.2015


Cele mai importante aspecte ale securității informațiilor. Mijloacele tehnice de prelucrare a informațiilor, suporturile sale de documentație. Modalități tipice de obținere neautorizată a informațiilor. Conceptul de semnătură electronică. Protecția informațiilor împotriva distrugerii.

Toată lumea a auzit cel puțin o dată fraze sfâșietoare despre necesitatea de a menține un nivel de înaltă calitate de securitate a informațiilor. Acestea sunt povești înfricoșătoare de spargeri, pline de țipete și disperare. Consecințele teribile discutate pe aproape fiecare site ... Prin urmare, chiar acum trebuie să umpleți computerul cu dispozitive de securitate la capacitate, precum și să tăiați firele ... Sfaturi pe tema asigurării securității sunt întunecate, dar din anumite motive , sunt doar până la punctul în care se dovedește că nu foarte mult. În multe privințe, motivul constă în lipsa de înțelegere a unor lucruri atât de simple precum „ceea ce protejăm”, „de cine protejăm” și „ce vrem să obținem la sfârșit”. Dar, mai întâi de toate.

Securitatea informațiilor acest termen înseamnă diverse măsuri, stare de conservare, tehnologii etc., dar totul este mult mai simplu. Și, prin urmare, mai întâi, răspundeți la întrebarea, câți oameni din mediul dvs. citesc cel puțin definiția acestui concept și nu implică pur și simplu o comparație a cuvintelor cu semnificațiile lor? Majoritatea oamenilor asociază securitatea cu antivirusuri, firewall-uri și alte programe de securitate. Desigur, aceste instrumente vă ajută să vă protejați computerul de amenințări și să mărească nivelul de protecție a sistemului, dar ceea ce fac aceste programe de fapt nu este cunoscut pe scară largă.

Când vă gândiți la securitatea informațiilor, în primul rând, ar trebui să începeți cu următoarele întrebări:

• Obiect protejat- trebuie să înțelegeți exact ce doriți să protejați. Acestea sunt date personale stocate pe computer (pentru ca alte persoane să nu le primească), aceasta este performanța computerului (pentru ca virușii și troienii să nu aducă sistemul la nivelul primului pentium), aceasta este activitatea de rețea (pentru ca programele lacome de Internet să nu trimită statistici despre tine la fiecare jumătate de oră), aceasta este disponibilitatea computerului (pentru ca ecranele albastre ale morții să nu inunde sistemul), aceasta este ...
• Nivelul de securitate dorit... Un computer complet protejat este un computer care nu există. Indiferent cât de mult ai încerca, va exista întotdeauna posibilitatea ca computerul tău să fie spart. Luați în considerare și amintiți-vă întotdeauna că există o astfel de direcție precum ingineria socială (obținerea parolelor din coșurile de gunoi, interceptarea cu urechea, observarea cu privirea etc.). Cu toate acestea, acesta nu este un motiv pentru a lăsa sistemul neprotejat. De exemplu, protejarea unui computer de majoritatea virușilor cunoscuți este o sarcină complet fezabilă, care, de fapt, este efectuată de fiecare utilizator obișnuit, instalând unul dintre antivirusurile populare pe computerul său.
• Nivel acceptabil de consecințe... Dacă înțelegeți că computerul dvs. poate fi piratat, de exemplu, de un hacker care tocmai a devenit interesat de dvs. (s-a întâmplat că atacatorului i-a plăcut adresa dvs. IP), atunci ar trebui să vă gândiți la nivelul acceptabil al consecințelor. Sistemul se defectează - neplăcut, dar nu înfricoșător, pentru că aveți un disc de recuperare la îndemână. Computerul dvs. vizitează în mod constant site-uri picante - plăcute și neplăcute, dar tolerabile și reparabile. Dar, de exemplu, dacă fotografiile tale personale au ajuns pe Internet, despre care nimeni nu ar trebui să știe (o lovitură gravă pentru reputație), atunci acesta este deja un nivel semnificativ de consecințe și este necesar să se ia măsuri preventive (exagerarea, luarea un computer vechi fără internet și vizionează imagini doar pe el).
• Ce vrei să obții la ieșire? Această întrebare implică multe puncte - câte acțiuni suplimentare trebuie să efectuați, ce trebuie să sacrifici, cum ar trebui să afecteze protecția performanței, dacă ar fi posibil să adăugați programe la listele de excepții, câte mesaje și alarme ar trebui să apară pe ecran ( și ar trebui să apară deloc), precum și multe altele. Există o mulțime de instrumente de securitate astăzi, dar fiecare dintre ele are avantajele și dezavantajele sale. De exemplu, același UAC Windows din sistemul de operare Vista nu a fost realizat într-un mod foarte reușit, dar deja în Windows 7 a fost adus în punctul în care instrumentul de protecție a devenit relativ ușor de utilizat.

Răspunzând la toate aceste întrebări, îți va deveni mult mai ușor să înțelegi cum vei organiza protecția informațiilor de pe computer. Desigur, aceasta nu este întreaga listă de întrebări, totuși, o parte suficientă a utilizatorilor obișnuiți nici măcar nu pun una dintre ele.

Instalarea și configurarea instrumentelor de securitate pe computer este doar o parte din pașii pe care îi parcurgeți. Deschizând link-uri suspecte și confirmând toate acțiunile aplicațiilor la fel de suspecte, puteți anula cu ușurință toate eforturile programelor de protecție. Din acest motiv, merită întotdeauna să te gândești la acțiunile tale. De exemplu, dacă sarcina dvs. este să protejați browserul, dar nu vă puteți ajuta să deschideți linkuri suspecte (de exemplu, din cauza specificului), atunci puteți instala oricând un browser suplimentar folosit exclusiv pentru deschiderea linkurilor suspecte sau o extensie pentru verificarea scurtă. link-uri. În acest caz, dacă vreuna dintre ele se dovedește a fi phishing (furt de date, acces etc.), atunci atacatorul va obține puțin.

Problema determinării unui set de acțiuni pentru protejarea informațiilor constă de obicei în lipsa răspunsurilor la întrebările din paragraful anterior. De exemplu, dacă nu știți sau nu înțelegeți ce anume doriți să protejați, atunci va fi întotdeauna dificil să veniți cu sau să găsiți unele măsuri de securitate suplimentare (cu excepția unor astfel de locuri obișnuite cum ar fi nu deschiderea de link-uri suspecte, nu vizitarea resurselor discutabile , si altii). Să încercăm să luăm în considerare situația folosind exemplul sarcinii de protecție a datelor cu caracter personal, care este cel mai adesea pusă în fruntea obiectelor protejate.

Protecția informațiilor personale aceasta este una dintre provocările descurajante cu care se confruntă oamenii. Odată cu creșterea rapidă a numărului și a conținutului rețelelor de socializare, a serviciilor de informare și a resurselor online specializate, va fi o mare greșeală să crezi că protejarea datelor tale personale se reduce la asigurarea unui nivel de securitate fiabil pentru computerul tău. Nu cu mult timp în urmă, era aproape imposibil să afli ceva despre o persoană care locuiește la sute de kilometri distanță de tine, sau chiar într-o casă vecină, fără a avea legăturile corespunzătoare. Astăzi, aproape toată lumea poate afla o mulțime de informații personale despre toată lumea în doar câteva ore de clic pe un mouse în browser, sau chiar mai repede. Mai mult, toate acțiunile lui pot fi absolut legitime, dar tu însuți ai postat informații despre tine în domeniul public.

Toată lumea s-a întâlnit cu un ecou al acestui efect. Ai auzit că cuvântul de test pentru o întrebare de securitate nu ar trebui să fie asociat cu tine și cu cei din jur? Și aceasta este doar o mică parte. Oricât de mult te-ar surprinde, dar în multe privințe protecția informațiilor personale depinde doar de tine. Niciun mijloc de protecție, chiar dacă nu permite nimănui în afară de dvs. să acceseze computerul, nu va putea proteja informațiile transferate în afara computerului (conversații, Internet, înregistrări etc.). V-ați lăsat e-mailurile undeva - așteptați-vă la o creștere a spam-ului. Ați lăsat fotografii într-o îmbrățișare cu un ursuleț de pluș pe resurse terțe, așteptați „meșteșugurile” umoristice corespunzătoare de la autori plictisit.

Dacă puțin mai în serios, atunci deschiderea enormă a datelor de pe Internet și frivolitatea / deschiderea / frivolitatea dvs., cu toate măsurile de securitate, le pot anula pe acestea din urmă. Din acest motiv, este necesar să se aibă grijă de alegerea metodelor de protecție a informațiilor și să includă în acestea nu numai mijloace tehnice, ci și acțiuni care acoperă alte aspecte ale vieții.

Notă: Desigur, nu ar trebui să crezi că buncărul subteran este cel mai bun loc din viață. Cu toate acestea, înțelegerea faptului că depinde de dvs. să vă protejați datele personale vă va oferi un mare avantaj față de intruși.

Metode de securitate a informațiilor sunt adesea echivalați cu soluții tehnice, ignorând un strat atât de mare pentru potențiale amenințări precum acțiunile persoanei însuși. Puteți oferi utilizatorului posibilitatea de a rula un singur program și de a se ocupa de eliminarea consecințelor în literalmente cinci minute, dacă este posibil. Un mesaj din forum despre informațiile auzite poate sparge cea mai avansată protecție (exagerând, despre prevenirea nodurilor de protecție, cu alte cuvinte, lipsa temporară de protecție).

Pentru a determina metodele de protecție a datelor, este necesar să ne angajăm nu numai în căutarea instrumentelor de securitate adecvate, făcând leneș cu mouse-ul în fereastra browserului, ci și să ne gândim la modul în care pot fi diseminate informațiile și la ce se poate raporta. Indiferent cum sună, dar pentru aceasta trebuie să ridicați hârtie și un creion, apoi luați în considerare toate modalitățile posibile de diseminare a informațiilor și cu ce poate fi asociată. De exemplu, să luăm sarcina de a păstra parola cât mai secretă posibil.

Situatie. Ai venit cu o parolă complexă care nu are nicio legătură cu tine, respectă pe deplin cele mai stricte cerințe de securitate, nu a lăsat nicio mențiune nicăieri (aspecte precum resturile din memoria computerului, disc și alte puncte nu sunt luate în considerare ), nu utilizați manageri de parole, introduceți parola de pe un singur computer folosind o tastatură securizată, utilizați un VPN pentru a vă conecta, porniți computerul numai de pe LiveCD. Într-o singură propoziție, un adevărat paranoic și fanatic al securității. Cu toate acestea, toate acestea pot să nu fie suficiente pentru a proteja parola.

Iată câteva situații posibile simple care demonstrează în mod clar necesitatea unei perspective ample a metodelor de securitate a informațiilor:

• Ce faci dacă trebuie să introduci o parolă atunci când în cameră sunt prezente alte persoane, chiar și cele „mai bune”? Nu puteți garanta niciodată că nu vor dezvălui accidental informații indirecte despre parolă. De exemplu, stând într-o atmosferă plăcută într-un restaurant, este foarte posibilă expresia „are o parolă atât de lungă, până la o duzină și o grămadă de caractere diferite”, ceea ce restrânge destul de bine zona de selecție a parolei pentru un atacator.
• Ce vei face dacă se întâmplă acest lucru și ai nevoie de o altă persoană care să-ți facă operația? O altă persoană ar putea auzi accidental parola. Dacă dictați o parolă unei persoane care nu cunoaște bine computerele, atunci este probabil să o noteze undeva, să vă cereți fanatismul de la el nu va fi justificat.
• Ce vei face dacă se întâmplă acest lucru și cineva află despre modul în care găsești parolele? Astfel de informații restrâng, de asemenea, selecția destul de bine.
• Cum vă puteți proteja parola dacă unul dintre nodurile care asigură transmiterea sigură a parolei a fost compromis de un atacator? De exemplu, serverul VPN prin care accesați internetul a fost spart.
• Parola dvs. va avea sens dacă sistemul pe care îl utilizați a fost compromis?
• Si altii

Desigur, acest lucru nu înseamnă că este nevoie de o căutare asiduă și persistentă pentru multe luni de metode de protecție a informațiilor. Ideea este că și cele mai complexe sisteme pot fi sparte de simple defecte umane, a căror considerare a fost abandonată. Prin urmare, în timp ce aranjați securitatea computerului dvs., încercați să acordați atenție nu numai laturii tehnice a problemei, ci și lumii din jurul vostru.