Рекомендуем!
Если Вы видите здесь эту рекламу, значит увидят и Вашу рекламу...

Информационная безопасность

Зенковский А.К.

Прогресс подарил человечеству великое множество достижений, но тот жепрогресс породил и массу проблем. Человеческий разум, разрешая однипроблемы, непременно сталкивается при этом с другими, новыми, и этотпроцесс обречен на бесконечность в своей последовательности. Хотя, если ужбыть точным, новые проблемы - это всего лишь обновленная форма старых.Вечная проблема - защита информации. На различных этапах своего развитиячеловечество решало эту проблему с присущей для данной эпохи характерностью.Изобретение компьютера и дальнейшее бурное развитие информационныхтехнологий во второй половине 20 века сделали проблему защиты информациинастолько актуальной и острой, насколько актуальна сегодня информатизациядля всего общества.

Главная тенденция, характеризующая развитие современных информационныхтехнологий - рост числа компьютерных преступлений и связанных с ними хищенийконфиденциальной и иной информации, а также материальных потерь. Порезультатам одного исследования, посвященного вопросам компьютерныхпреступлений, около 58% опрошенных пострадали от компьютерных взломов запоследние 12 месяцев. Примерно 18 % опрошенных из этого числа заявляют, чтопотеряли более миллиона долларов в ходе нападений, более 66 процентовпотерпели убытки в размере 50 тыс. долларов. Свыше 22% атак были нацелены напромышленные секреты или документы, представляющие интерес прежде всего дляконкурентов.

Сегодня, наверное, никто не сможет с уверенностью назвать точную цифрусуммарных потерь от компьютерных преступлений, связанных снесанкционированных доступом к информации. Это объясняется, прежде всего,нежеланием пострадавших компаний обнародовать информацию о своих потерях, атакже тем, что не всегда потери от хищения информации можно точно оценить вденежном эквиваленте. Однако по данным, опубликованным в сети Internet,общие потери от несанкционированного доступа к информации в компьютерныхсистемах в 1997 году оценивались в 20 миллионов долларов, а уже в 1998 годав 53,6 миллионов долларов.

Причин активизации компьютерных преступлений и связанных с ними финансовыхпотерь достаточно много, существенными из них являются:

  • переход от традиционной "бумажной" технологии хранения и передачисведений на электронную и недостаточное при этом развитие технологии защитыинформации в таких технологиях;
  • объединение вычислительных систем, создание глобальных сетей ирасширение доступа к информационным ресурсам;
  • увеличение сложности программных средств и связанное с этимуменьшение их надежности и увеличением числа уязвимостей.
Любое современное предприятие независимо от вида деятельности и формысобственности не в состоянии успешно развиваться и вести хозяйственнуюдеятельность без создания на нем условий для надежного функционированиясистемы защиты собственной информации.

Отсутствие у многих руководителей предприятий и компаний четкогопредставления по вопросам защиты информации приводит к тому, что им сложно вполной мере оценить необходимость создания надежной системы защитыинформации на своем предприятии и тем более сложно бывает определитьконкретные действия, необходимые для защиты тех или иных конфиденциальныхсведений. В общем случае руководители предприятий идут по пути созданияохранных служб, полностью игнорируя при этом вопросы информационнойбезопасности. Отрицательную роль при этом играют и некоторые средствамассовой информации, публикуя "панические" статьи о состоянии дел по защитеинформации, формирующие у читателей представление о невозможности всовременных условиях обеспечить требуемый уровень защиты информации.Можно с уверенностью утверждать, что создание эффективной системы защитыинформации сегодня вполне реально. Надежность защиты информации, преждевсего, будет определяться полнотой решения целого комплекса задач, речь окоторых будет продолжена дальше.

Информация как объект защиты

Построение надежной защиты включает оценку циркулирующей в компьютернойсистеме информации с целью уточнения степени ее конфиденциальности, анализапотенциальных угроз ее безопасности и установление необходимого режима еезащиты.

Федеральным законом "Об информации, информатизации и защите информации"определено, что информационные ресурсы, т.е. отдельные документы или массивыдокументов, в том числе и в информационных системах, являясь объектомотношений физических, юридических лиц и государства, подлежат обязательномуучету и защите, как всякое материальное имущество собственника. При этомсобственнику предоставляется право самостоятельно в пределах своейкомпетенции устанавливать режим защиты информационных ресурсов и доступа кним.

Закон также устанавливает, что "конфиденциальной информацией считается такаядокументированная информация, доступ к которой ограничивается в соответствиис законодательством Российской Федерации". При этом федеральный закон можетсодержать прямую норму, согласно которой какие-либо сведения относятся ккатегории конфиденциальных или доступ к ним ограничивается. Так, Федеральныйзакон "Об информации, информатизации и защите информации" напрямую относит ккатегории конфиденциальной информации персональные данные (информацию огражданах). Закон РСФСР "О банках и банковской деятельности в РСФСР"ограничивает доступ к сведениям по операциям, счетам и вкладам клиентов икорреспондентов банков (статья 25).

Однако не ко всем сведениям, составляющим конфиденциальную информацию,применима прямая норма. Иногда законодательно определяются только признаки,которым должны удовлетворять эти сведения. Это в частности относится кслужебной и коммерческой тайне, признаки которых определяются Гражданскимкодексом РФ (статья 139):

  • соответствующая информация неизвестна третьим лицам;
  • к ней свободного доступа на законном основании;
  • меры по обеспечению ее конфиденциальности принимает собственникинформации.
В настоящее время отсутствует какая-либо универсальная методика, позволяющаячетко соотносить ту или иную информацию к категории коммерческой тайны.Можно только посоветовать исходить из принципа экономической выгоды ибезопасности предприятия - чрезмерная "засекреченность" приводит кнеобоснованному подорожанию необходимых мер по защите информации и неспособствует развитию бизнеса, когда как широкая открытость может привести кбольшим финансовым потерям или разглашению тайны. Законопроектом "Окоммерческой тайне" права по отнесению информации к категории коммерческойтайны представлены руководителю юридического лица.

Федеральный закон "Об информации, информатизации и защите информации",определяя нормы, согласно которых сведения относятся к категорииконфиденциальных, устанавливает и цели защиты информации:

  • предотвращение утечки, хищения, искажения, подделки информации;
  • предотвращение несанкционированных действий по уничтожению,искажению, блокированию информации;
  • сохранение государственной тайны, конфиденциальностидокументированной информации.
Определившись в необходимости защиты информации, непосредственно приступаютк проектированию системы защиты информации.

Организация защиты информации

Отдельный раздел законопроекта "О коммерческой тайне", посвященныйорганизации защиты коммерческой информации, определяет необходимый комплексмероприятий по ее защите:

  • установление особого режима конфиденциальности;
  • ограничение доступа к конфиденциальной информации;
  • использование организационных мер и технических средств защитыинформации;
  • осуществление контроля за соблюдением установленного режимаконфиденциальности.
Конкретное содержание указанных мероприятий для каждого отдельно взятогопредприятия может быть различным по масштабам и формам. Это зависит в первуюочередь от производственных, финансовых и иных возможностей предприятия, отобъемов конфиденциальной информации и степени ее значимости. Существеннымявляется то, что весь перечень указанных мероприятий обязательно долженпланироваться и использоваться с учетом особенностей функционированияинформационной системы предприятия.

Установление особого режима конфиденциальности направлено на созданиеусловий для обеспечения физической защиты носителей конфиденциальнойинформации. Как правило, особый режим конфиденциальности подразумевает:

  • организацию охраны помещений, в которых содержатся носителиконфиденциальной информации;
  • установление режима работы в помещениях, в которых содержатсяносители конфиденциальной информации;
  • установление пропускного режима в помещения, содержащие носителиконфиденциальной информации;
  • закрепление технических средств обработки конфиденциальнойинформации за сотрудниками, определение персональной ответственности за ихсохранность;
  • установление порядка пользования носителями конфиденциальнойинформации (учет, хранение, передача другим должностным лицам, уничтожение,отчетность);
  • организацию ремонта технических средств обработки конфиденциальнойинформации;
  • организацию контроля за установленным порядком.
Требования устанавливаемого на предприятии особого режима конфиденциальностиоформляются в виде организационно-распорядительных документов и доводятсядля ознакомления до сотрудников предприятия.

Ограничение доступа к конфиденциальной информации способствует созданиюнаиболее эффективных условий сохранности конфиденциальной информации.Необходимо четко определять круг сотрудников, допускаемых к конфиденциальнойинформации, к каким конкретно сведениям им разрешен доступ и полномочиясотрудников по доступу к конфиденциальной информации.

Как показывает практика работы, для разработки необходимого комплексамероприятий по защите информации желательно привлечение квалифицированныхэкспертов в области защиты информации.

Традиционно для организации доступа к конфиденциальной информациииспользовались организационные меры, основанные на строгом соблюдениисотрудниками процедур допуска к информации, определяемых соответствующимиинструкциями, приказами и другими нормативными документами. Однако сразвитием компьютерных систем эти меры перестали обеспечивать необходимуюбезопасность информации. Появились и в настоящее время широко применяютсяспециализированные программные и программно-аппаратные средства защитыинформации, которые позволяют максимально автоматизировать процедуры доступак информации и обеспечить при этом требуемую степень ее защиты. Подробнее осуществующих средствах защиты информации мы остановимся ниже.

Осуществление контроля за соблюдением установленного режимаконфиденциальности предусматривает проверку соответствия организации защитыинформации установленным требованиям, а также оценку эффективностиприменяемых мер защиты информации. Как правило, контроль осуществляется ввиде плановых и внеплановых проверок силами своих сотрудников или спривлечением других организаций, которые специализируются в этой области. Порезультатам проверок специалистами по защите информации проводитсянеобходимый анализ с составлением отчета, который включает:

  • вывод о соответствии проводимых на предприятии мероприятийустановленным требованиям;
  • оценка реальной эффективности применяемых на предприятии мер защитыинформации и предложения по их совершенствованию.
Обеспечение и реализация перечисленных выше мероприятий потребует созданияна предприятии соответствующих органов защиты информации. Эффективностьзащиты информации на предприятии во многом будет определяться тем, насколькоправильно выбрана структура органа защиты информации и квалифицированы егосотрудники. Как правило, органы защиты информации представляют собойсамостоятельные подразделения, однако на практике часто практикуется иназначение одного из штатных специалистов предприятия ответственным заобеспечение защиты информации. Однако такая форма оправдана в тех случаях,когда объем необходимых мероприятий по защите информации небольшой исоздание отдельного подразделения экономически не выгодно.

Созданием органов защиты информации на предприятии завершается построениесистемы защиты информации, под которой понимается совокупность органовзащиты информации или отдельных исполнителей, используемые ими средствазащиты информации, а также объекты защиты, организованные и функционирующиепо правилам, установленным соответствующими правовыми,организационно-распорядительными и нормативными документами по защитеинформации.

Средства защиты информации

Как уже отмечалось выше, эффективность защиты информации вавтоматизированных системах достигается применением средств защитыинформации (СЗИ). Под средством защиты информации понимается техническое,программное средство или материал, предназначенные или используемые длязащиты информации. В настоящее время на рынке представлено большоеразнообразие средств защиты информации, которые условно можно разделить нанесколько групп:

  • средства, обеспечивающие разграничение доступа к информации вавтоматизированных системах;
  • средства, обеспечивающие защиту информации при передаче ее поканалам связи;
  • средства, обеспечивающие защиту от утечки информации по различнымфизическим полям, возникающим при работе технических средствавтоматизированных систем;
  • средства, обеспечивающие защиту от воздействия программ-вирусов;
  • материалы, обеспечивающие безопасность хранения, транспортировкиносителей информации и защиту их от копирования.
Основное назначение средств защиты первой группы - разграничение доступа клокальным и сетевым информационным ресурсам автоматизированных систем. СЗИэтой группы обеспечивают:
  • идентификацию и аутентификацию пользователей автоматизированныхсистем;
  • разграничение доступа зарегистрированных пользователей кинформационным ресурсам;
  • регистрацию действий пользователей;
  • защиту загрузки операционной системы с гибких магнитных дисков иCD-ROM;
  • контроль целостности СЗИ и информационных ресурсов.
В качестве идентификаторов пользователей применяются, как правило, условныеобозначения в виде набора символов. Для аутентификации пользователейприменяются пароли.

Ввод значений идентификатора пользователя и его пароля осуществляется позапросу СЗИ с клавиатуры. Многие современные СЗИ используют и другие типыидентификаторов - магнитные карточки, радиочастотные бесконтактные карточки,смарт-карточки, электронные таблетки Touch Memory и другие. Отдельно стоитсказать об использовании в качестве идентификатора индивидуальныхбиологических параметров (отпечаток пальца, радужная оболочка глаза),присущих каждому человеку. Использование в качестве идентификаторовиндивидуальных биологических параметров характеризуется, с одной стороны,высшим уровнем конфиденциальности, а с другой - очень высокой стоимостьютаких систем.

Разграничение доступа зарегистрированных пользователей к информационнымресурсам осуществляется СЗИ в соответствии с установленными дляпользователей полномочиями. Как правило, СЗИ обеспечивают разграничениедоступа к гибким и жестким дискам, логическим дискам, директориям, файлам,портам и устройствам. Полномочия пользователей устанавливаются с помощьюспециальных настроек СЗИ. По отношению к информационным ресурсам средствамизащиты могут устанавливаться такие полномочия, как разрешение чтения,записи, создания, запуска исполняемыхо файлов и другие.Системы защиты информации предусматривают ведение специального журнала, вкотором регистрируются определенные события, связанные с действиямипользователей, например запись (модификация) файла, запуск программы, выводна печать и другие, а также попытки несанкционированного доступа кзащищаемым ресурсам и их результат.

Особо стоит отметить наличие в СЗИ защиты загрузки операционной системы сгибких магнитных дисков и CD-ROM, которая обеспечивает защиту самих средствзащиты от "взлома" с использованием специальных технологий. В различных СЗИсуществуют программные и аппаратно-программные реализации этой защиты,однако практика показывает, что программная реализация не обеспечиваетнеобходимой стойкости.

Контроль целостности средств защиты и защищаемых файлов заключается вподсчете и сравнении контрольных сумм файлов. При этом используютсяразличной сложности алгоритмы подсчета контрольных сумм.Несмотря на функциональную общность средств защиты информации данной группы,СЗИ различных производителей различаются:

  • условиями функционирования (операционная среда, аппаратнаяплатформа, автономные компьютеры и вычислительные сети);
  • сложностью настройки и управления параметрами СЗИ;
  • используемыми типами идентификаторов;
  • перечнем событий, подлежащих регистрации;
  • стоимостью средств защиты.
С развитием сетевых технологий появился новый тип СЗИ - межсетевые экраны(firewalls), которые обеспечивают решение таких задач, как защитаподключений к внешним сетям, разграничение доступа между сегментамикорпоративной сети, защита корпоративных потоков данных, передаваемых пооткрытым сетям.

Защита информации при передаче ее по каналам связи осуществляется средствамикриптографической защиты (СКЗИ). Характерной особенностью этих средствявляется то, что они потенциально обеспечивают наивысшую защиту передаваемойинформации от несанкционированного доступа к ней. Помимо этого, СКЗИобеспечивают защиту информации от модификации (использование цифровойподписи и имитовставки).

Как правило, СКЗИ функционируют в автоматизированных системах каксамостоятельное средство, однако в отдельных случаях СКЗИ можетфункционировать в составе средств разграничения доступа как функциональнаяподсистема для усиления защитных свойств последних.

Обеспечивая высокую степень защиты информации, в то же время применение СКЗИвлечет ряд неудобств:

  • стойкость СКЗИ является потенциальной, т.е. гарантируется присоблюдении ряда дополнительных требований, реализация которых на практикеосуществляется довольно сложно (создание и функционирование ключевойсистемы, распределение ключей, обеспечение сохранности ключей, необходимостьв получении лицензии ФАПСИ на право эксплуатации средств, планирование иорганизация мероприятий при компрометации ключевой системы);
  • относительно высокая стоимость эксплуатация таких средств.В целом, при определении необходимости использования средствкриптографической защиты информации, необходимо учитывать то, что применениеСКЗИ оправдано в случаях явного перехвата действительно конфиденциальнойинформации.
Целью статьи не является широкое обсуждение средств защиты от утечкиинформации по различным физическим полям, возникающим при работе техническихсредств автоматизированных систем, однако отметим, что для защиты информацииот утечки по физическим полям используются следующие методы и средствазащиты:
  • электромагнитное экранирование устройств или помещений, в которыхрасположена вычислительная техника;
  • активная радиотехническая маскировка с использованием широкополосныхгенераторов шумов, которые широко представлены на нашем рынке.Радикальным способом защиты информации от утечки по физическим полямявляется электромагнитное экранирование технических устройств и помещений,однако это способ требует значительных капитальных затрат и практически неприменяется.
И несколько слов о материалах, обеспечивающих безопасность хранения,транспортировки носителей информации и защиту их от копирования. В основномэто специальные тонкопленочные материалы с изменяющейся цветовой гаммой илиголографические метки, которые наносятся на документы и предметы (в томчисле и на элементы компьютерной техники автоматизированных систем). Онипозволяют:
  • идентифицировать подлинность объекта;
  • контролировать несанкционированный доступ к ним.
Средства анализа защищенности компьютерных сетей

Широкое развитие корпоративных сетей, интеграция их с информационнымисистемами общего пользования помимо явных преимуществ порождает новыеугрозы безопасности информации. Причины возникновения новых угрозхарактеризуются:

  • сложностью и разнородностью используемого программного и аппаратногообеспечения корпоративных сетей;
  • большим числом узлов сети, участвующих в электронном обменеинформацией, их территориальной распределенностью и отсутствием возможностиконтроля всех настроек;
  • доступностью информации корпоративных систем внешним пользователям(клиентам, партнерам и пр.) из-за ее расположения на физически соединенныхносителях.
Применение описанных выше средств защиты информации, а также встроенных воперационные системы механизмов защиты информации не позволяет в полной мереликвидировать эти угрозы. Наличие постоянных или временных физическихсоединений является важнейшим фактором, который влияет на повышениеуязвимостей корпоративных систем из-за брешей в используемых защитных ипрограммных средствах и утечки информации вследствие ошибочных илинеграмотных действий персонала.

Обеспечение требуемой защиты информационных ресурсов предприятий в этихусловиях достигается применением дополнительных инструментальных средств. Ких числу относятся:

  • средства анализа защищенности операционных систем и сетевыхсервисов;
  • средства обнаружения опасных информационных воздействий (атак) всетях.
Средства анализа защищенности операционных систем позволяют осуществлятьревизию механизмов разграничения доступа, идентификации и аутентификации,средств мониторинга, аудита и других компонентов операционных систем с точкизрения соответствия их настроек и конфигурации установленным в организации.Кроме этого, средствами данного класса проводится контроль целостности инеизменности программных средств и системных установок и проверка наличияуязвимостей системных и прикладных служб. Как правило, такие проверкипроводятся с использованием базы данных уязвимостей операционных систем исервисных служб, которые могут обновляться по мере выявления новыхуязвимостей.

К числу средств анализа данного класса относится программное средствоадминистратора ОС Solaris ASET (Automated Security Tool), которое входит всостав ОС Solaris,пакет программ COPS (Computer Oracle and Password System) дляадминистраторов Unix-систем, и система System Scanner (SS) фирмы InternetSecurity System Inc. для анализа и управления защищенность операционныхсистем Unix и Windows NT/ 95/98.

Использование в сетях Internet/Intranet протоколов TCP/IP, которыехарактеризуются наличием в них неустранимых уязвимостей, привело к появлениюв последнее время новых разновидностей информационных воздействий на сетевыесервисы и представляющих реальную угрозу защищенности информации. Средстваанализа защищенности сетевых сервисов применяются для оценки защищенностикомпьютерных сетей по отношению к внутренним и внешним атакам. Порезультатам анализа защищенности сетевых сервисов средствами генерируютсяотчеты, включающие в себя список обнаруженных уязвимостей, описаниевозможных угроз и рекомендации по их устранению. Поиск уязвимостейосновывается на использовании базы данных, которая содержит широко известныеуязвимости сетевых сервисных программ и может обновляться путем добавленияновых уязвимостей.

К числу средств анализа данного класса относится программа SATAN (авторВ.Венема), Netprobe фирмы Qualix Group и Internet Scanner фирмы InternetSecurity System Inc.

Наибольшая эффективность защиты информации достигается при комплексномиспользовании средств анализа защищенности и средств обнаружения опасныхинформационных воздействий (атак) в сетях. Средства обнаружения атак в сетяхпредназначены для осуществления контроля всего сетевого трафика, которыйпроходит через защищаемый сегмент сети, и оперативного реагирование вслучаях нападения на узлы корпоративной сети.

Большинство средств данной группы при обнаружении атаки в сети оповещаютадминистратора системы, регистрируют факт нападения в журнале системы изавершают соединение с атакующим узлом. Дополнительно, отдельные средстваобнаружения атак позволяют автоматически реконфигурировать межсетевые экраныи маршрутизаторы в случае нападения на узлы корпоративной сети.

Несколько полезных советов вместо заключения

Существуют определенные правила, которых целесообразно придерживаться приорганизации защиты информации:

  • создание и эксплуатация систем защиты информации является сложным иответственным процессом. Не доверяйте вопросы защиты информации дилетантам,поручите их профессионалам;
  • не старайтесь организовать абсолютно надежную защиту - такой простоне существует. Система защиты должна быть достаточной, надежной, эффективнойи управляемой. Эффективность защиты информации достигается не количествомденег, потраченных на ее организацию, а способностью ее адекватнореагировать на все попытки несанкционированного доступа к информации;
  • мероприятия по защите информации от несанкционированного доступадолжны носить комплексный характер, т.е. объединять разнородные мерыпротиводействия угрозам (правовые, организационные, программно-технические);
  • основная угроза информационной безопасности компьютерных системисходит непосредственно от сотрудников. С учетом этого необходимомаксимально ограничивать как круг сотрудников, допускаемых кконфиденциальной информации, так и круг информации, к которой онидопускаются (в том числе и к информации по системе защиты). При этом каждыйсотрудник должен иметь минимум полномочий по доступу к конфиденциальнойинформации.
Надеемся, что материал, который приведен в статье, поможет вам получитьнеобходимое представление о проблеме защиты информации в компьютерныхсистемах и успешно решать ее в повседневной деятельности.

Источник: http://www.marketer.ru/

 


Copyright © "Internet Zone", http://www.izcity.com/, info@izcity.com