![]() Если Вы видите здесь эту рекламу, значит увидят и Вашу рекламу... |
Информационная безопасностьЗенковский А.К. Прогресс подарил человечеству великое множество достижений, но тот жепрогресс породил и массу проблем. Человеческий разум, разрешая однипроблемы, непременно сталкивается при этом с другими, новыми, и этотпроцесс обречен на бесконечность в своей последовательности. Хотя, если ужбыть точным, новые проблемы - это всего лишь обновленная форма старых.Вечная проблема - защита информации. На различных этапах своего развитиячеловечество решало эту проблему с присущей для данной эпохи характерностью.Изобретение компьютера и дальнейшее бурное развитие информационныхтехнологий во второй половине 20 века сделали проблему защиты информациинастолько актуальной и острой, насколько актуальна сегодня информатизациядля всего общества. Главная тенденция, характеризующая развитие современных информационныхтехнологий - рост числа компьютерных преступлений и связанных с ними хищенийконфиденциальной и иной информации, а также материальных потерь. Порезультатам одного исследования, посвященного вопросам компьютерныхпреступлений, около 58% опрошенных пострадали от компьютерных взломов запоследние 12 месяцев. Примерно 18 % опрошенных из этого числа заявляют, чтопотеряли более миллиона долларов в ходе нападений, более 66 процентовпотерпели убытки в размере 50 тыс. долларов. Свыше 22% атак были нацелены напромышленные секреты или документы, представляющие интерес прежде всего дляконкурентов. Сегодня, наверное, никто не сможет с уверенностью назвать точную цифрусуммарных потерь от компьютерных преступлений, связанных снесанкционированных доступом к информации. Это объясняется, прежде всего,нежеланием пострадавших компаний обнародовать информацию о своих потерях, атакже тем, что не всегда потери от хищения информации можно точно оценить вденежном эквиваленте. Однако по данным, опубликованным в сети Internet,общие потери от несанкционированного доступа к информации в компьютерныхсистемах в 1997 году оценивались в 20 миллионов долларов, а уже в 1998 годав 53,6 миллионов долларов. Причин активизации компьютерных преступлений и связанных с ними финансовыхпотерь достаточно много, существенными из них являются:
Отсутствие у многих руководителей предприятий и компаний четкогопредставления по вопросам защиты информации приводит к тому, что им сложно вполной мере оценить необходимость создания надежной системы защитыинформации на своем предприятии и тем более сложно бывает определитьконкретные действия, необходимые для защиты тех или иных конфиденциальныхсведений. В общем случае руководители предприятий идут по пути созданияохранных служб, полностью игнорируя при этом вопросы информационнойбезопасности. Отрицательную роль при этом играют и некоторые средствамассовой информации, публикуя "панические" статьи о состоянии дел по защитеинформации, формирующие у читателей представление о невозможности всовременных условиях обеспечить требуемый уровень защиты информации.Можно с уверенностью утверждать, что создание эффективной системы защитыинформации сегодня вполне реально. Надежность защиты информации, преждевсего, будет определяться полнотой решения целого комплекса задач, речь окоторых будет продолжена дальше. Информация как объект защиты Построение надежной защиты включает оценку циркулирующей в компьютернойсистеме информации с целью уточнения степени ее конфиденциальности, анализапотенциальных угроз ее безопасности и установление необходимого режима еезащиты. Федеральным законом "Об информации, информатизации и защите информации"определено, что информационные ресурсы, т.е. отдельные документы или массивыдокументов, в том числе и в информационных системах, являясь объектомотношений физических, юридических лиц и государства, подлежат обязательномуучету и защите, как всякое материальное имущество собственника. При этомсобственнику предоставляется право самостоятельно в пределах своейкомпетенции устанавливать режим защиты информационных ресурсов и доступа кним. Закон также устанавливает, что "конфиденциальной информацией считается такаядокументированная информация, доступ к которой ограничивается в соответствиис законодательством Российской Федерации". При этом федеральный закон можетсодержать прямую норму, согласно которой какие-либо сведения относятся ккатегории конфиденциальных или доступ к ним ограничивается. Так, Федеральныйзакон "Об информации, информатизации и защите информации" напрямую относит ккатегории конфиденциальной информации персональные данные (информацию огражданах). Закон РСФСР "О банках и банковской деятельности в РСФСР"ограничивает доступ к сведениям по операциям, счетам и вкладам клиентов икорреспондентов банков (статья 25). Однако не ко всем сведениям, составляющим конфиденциальную информацию,применима прямая норма. Иногда законодательно определяются только признаки,которым должны удовлетворять эти сведения. Это в частности относится кслужебной и коммерческой тайне, признаки которых определяются Гражданскимкодексом РФ (статья 139):
Федеральный закон "Об информации, информатизации и защите информации",определяя нормы, согласно которых сведения относятся к категорииконфиденциальных, устанавливает и цели защиты информации:
Организация защиты информации Отдельный раздел законопроекта "О коммерческой тайне", посвященныйорганизации защиты коммерческой информации, определяет необходимый комплексмероприятий по ее защите:
Установление особого режима конфиденциальности направлено на созданиеусловий для обеспечения физической защиты носителей конфиденциальнойинформации. Как правило, особый режим конфиденциальности подразумевает:
Ограничение доступа к конфиденциальной информации способствует созданиюнаиболее эффективных условий сохранности конфиденциальной информации.Необходимо четко определять круг сотрудников, допускаемых к конфиденциальнойинформации, к каким конкретно сведениям им разрешен доступ и полномочиясотрудников по доступу к конфиденциальной информации. Как показывает практика работы, для разработки необходимого комплексамероприятий по защите информации желательно привлечение квалифицированныхэкспертов в области защиты информации. Традиционно для организации доступа к конфиденциальной информациииспользовались организационные меры, основанные на строгом соблюдениисотрудниками процедур допуска к информации, определяемых соответствующимиинструкциями, приказами и другими нормативными документами. Однако сразвитием компьютерных систем эти меры перестали обеспечивать необходимуюбезопасность информации. Появились и в настоящее время широко применяютсяспециализированные программные и программно-аппаратные средства защитыинформации, которые позволяют максимально автоматизировать процедуры доступак информации и обеспечить при этом требуемую степень ее защиты. Подробнее осуществующих средствах защиты информации мы остановимся ниже. Осуществление контроля за соблюдением установленного режимаконфиденциальности предусматривает проверку соответствия организации защитыинформации установленным требованиям, а также оценку эффективностиприменяемых мер защиты информации. Как правило, контроль осуществляется ввиде плановых и внеплановых проверок силами своих сотрудников или спривлечением других организаций, которые специализируются в этой области. Порезультатам проверок специалистами по защите информации проводитсянеобходимый анализ с составлением отчета, который включает:
Созданием органов защиты информации на предприятии завершается построениесистемы защиты информации, под которой понимается совокупность органовзащиты информации или отдельных исполнителей, используемые ими средствазащиты информации, а также объекты защиты, организованные и функционирующиепо правилам, установленным соответствующими правовыми,организационно-распорядительными и нормативными документами по защитеинформации. Средства защиты информации Как уже отмечалось выше, эффективность защиты информации вавтоматизированных системах достигается применением средств защитыинформации (СЗИ). Под средством защиты информации понимается техническое,программное средство или материал, предназначенные или используемые длязащиты информации. В настоящее время на рынке представлено большоеразнообразие средств защиты информации, которые условно можно разделить нанесколько групп:
Ввод значений идентификатора пользователя и его пароля осуществляется позапросу СЗИ с клавиатуры. Многие современные СЗИ используют и другие типыидентификаторов - магнитные карточки, радиочастотные бесконтактные карточки,смарт-карточки, электронные таблетки Touch Memory и другие. Отдельно стоитсказать об использовании в качестве идентификатора индивидуальныхбиологических параметров (отпечаток пальца, радужная оболочка глаза),присущих каждому человеку. Использование в качестве идентификаторовиндивидуальных биологических параметров характеризуется, с одной стороны,высшим уровнем конфиденциальности, а с другой - очень высокой стоимостьютаких систем. Разграничение доступа зарегистрированных пользователей к информационнымресурсам осуществляется СЗИ в соответствии с установленными дляпользователей полномочиями. Как правило, СЗИ обеспечивают разграничениедоступа к гибким и жестким дискам, логическим дискам, директориям, файлам,портам и устройствам. Полномочия пользователей устанавливаются с помощьюспециальных настроек СЗИ. По отношению к информационным ресурсам средствамизащиты могут устанавливаться такие полномочия, как разрешение чтения,записи, создания, запуска исполняемыхо файлов и другие.Системы защиты информации предусматривают ведение специального журнала, вкотором регистрируются определенные события, связанные с действиямипользователей, например запись (модификация) файла, запуск программы, выводна печать и другие, а также попытки несанкционированного доступа кзащищаемым ресурсам и их результат. Особо стоит отметить наличие в СЗИ защиты загрузки операционной системы сгибких магнитных дисков и CD-ROM, которая обеспечивает защиту самих средствзащиты от "взлома" с использованием специальных технологий. В различных СЗИсуществуют программные и аппаратно-программные реализации этой защиты,однако практика показывает, что программная реализация не обеспечиваетнеобходимой стойкости. Контроль целостности средств защиты и защищаемых файлов заключается вподсчете и сравнении контрольных сумм файлов. При этом используютсяразличной сложности алгоритмы подсчета контрольных сумм.Несмотря на функциональную общность средств защиты информации данной группы,СЗИ различных производителей различаются:
Защита информации при передаче ее по каналам связи осуществляется средствамикриптографической защиты (СКЗИ). Характерной особенностью этих средствявляется то, что они потенциально обеспечивают наивысшую защиту передаваемойинформации от несанкционированного доступа к ней. Помимо этого, СКЗИобеспечивают защиту информации от модификации (использование цифровойподписи и имитовставки). Как правило, СКЗИ функционируют в автоматизированных системах каксамостоятельное средство, однако в отдельных случаях СКЗИ можетфункционировать в составе средств разграничения доступа как функциональнаяподсистема для усиления защитных свойств последних. Обеспечивая высокую степень защиты информации, в то же время применение СКЗИвлечет ряд неудобств:
Широкое развитие корпоративных сетей, интеграция их с информационнымисистемами общего пользования помимо явных преимуществ порождает новыеугрозы безопасности информации. Причины возникновения новых угрозхарактеризуются:
Обеспечение требуемой защиты информационных ресурсов предприятий в этихусловиях достигается применением дополнительных инструментальных средств. Ких числу относятся:
К числу средств анализа данного класса относится программное средствоадминистратора ОС Solaris ASET (Automated Security Tool), которое входит всостав ОС Solaris,пакет программ COPS (Computer Oracle and Password System) дляадминистраторов Unix-систем, и система System Scanner (SS) фирмы InternetSecurity System Inc. для анализа и управления защищенность операционныхсистем Unix и Windows NT/ 95/98. Использование в сетях Internet/Intranet протоколов TCP/IP, которыехарактеризуются наличием в них неустранимых уязвимостей, привело к появлениюв последнее время новых разновидностей информационных воздействий на сетевыесервисы и представляющих реальную угрозу защищенности информации. Средстваанализа защищенности сетевых сервисов применяются для оценки защищенностикомпьютерных сетей по отношению к внутренним и внешним атакам. Порезультатам анализа защищенности сетевых сервисов средствами генерируютсяотчеты, включающие в себя список обнаруженных уязвимостей, описаниевозможных угроз и рекомендации по их устранению. Поиск уязвимостейосновывается на использовании базы данных, которая содержит широко известныеуязвимости сетевых сервисных программ и может обновляться путем добавленияновых уязвимостей. К числу средств анализа данного класса относится программа SATAN (авторВ.Венема), Netprobe фирмы Qualix Group и Internet Scanner фирмы InternetSecurity System Inc. Наибольшая эффективность защиты информации достигается при комплексномиспользовании средств анализа защищенности и средств обнаружения опасныхинформационных воздействий (атак) в сетях. Средства обнаружения атак в сетяхпредназначены для осуществления контроля всего сетевого трафика, которыйпроходит через защищаемый сегмент сети, и оперативного реагирование вслучаях нападения на узлы корпоративной сети. Большинство средств данной группы при обнаружении атаки в сети оповещаютадминистратора системы, регистрируют факт нападения в журнале системы изавершают соединение с атакующим узлом. Дополнительно, отдельные средстваобнаружения атак позволяют автоматически реконфигурировать межсетевые экраныи маршрутизаторы в случае нападения на узлы корпоративной сети. Несколько полезных советов вместо заключения Существуют определенные правила, которых целесообразно придерживаться приорганизации защиты информации:
Источник: http://www.marketer.ru/
|
Copyright © "Internet Zone", http://www.izcity.com/, info@izcity.com |