Файл: Назначение и структура системы защиты информации коммерческого предприятия (Теоретические основы защиты информации).pdf

Целью защиты информации является заранее намеченный результат защиты информации (результатом защиты информации может быть предотвращение ущерба обладателю информации из–за возможной утечки информации и (или) несанкционированного и непреднамеренного воздействия на информацию)^[16].

Угроза информационной безопасности организации – совокупность факторов и условий, создающих опасность нарушения информационной безопасности организации, вызывающую или способную вызвать негативные последствия (ущерб/вред) для организации. При таком подходе основной целью СЗИ является предотвращение ущерба, т.е. предотвращение реализации угроз информационной безопасности.

Таким образом, структура СЗИ должна зависеть от перечня угроз защищаемой системе. Модель угроз, на основе которой проектируется структура СЗИ, обязательно должна включать следующие разделы:

• перечень угроз информации;
• перечень угроз носителям информации;
• перечень угроз элементам информационной системы;
• перечень угроз элементам системы защиты;
• перечень угроз, касающихся управления системой защиты – невыполнения нормативных документов организации в области информационной безопасности.

При структуризации средств защиты информации можно рассматривать следующие группы механизмов защиты:

• механизмы защиты информации, ее носителей и элементов информационной системы от угроз конфиденциальности;
• механизмы защиты информации, ее носителей и элементов информационной системы от угроз целостности^[17].

Угрозы доступности могут быть реализованы после нарушения целостности элементов информационной системы или после перегрузки каналов связи. Соответственно, механизмами защиты от угроз доступности информации будет являться обеспечение целостности элементов информационной системы (например, сетевых сервисов) и проектирование каналов связи, выдерживающих пиковые нагрузки.

Механизмы защиты от угроз конфиденциальности можно разделить на следующие типы:

• механизмы, препятствующие доступу несанкционированных лиц к защищаемой информации или к элементам информационной системы;
• механизмы, препятствующие неконтролируемому выходу информации за пределы санкционированного объекта;
• механизмы, контролирующие потоки защищаемой информации.

Механизмы защиты от несанкционированного доступа включают: разграничение доступа, аутентификацию и шифрование. Шифрование используется для ограничения доступа к самой информации, а управление доступом может использоваться на всех уровнях информационной системы для защиты носителей информации.

---

Механизмы защиты от угроз нарушения целостности состоят из двух частей – механизмы контроля целостности и механизмы восстановления.

Угрозы нарушения целостности существуют на всех уровнях информационной системы:

• угрозы целостности (достоверности) информации;
• угрозы целостности носителя информации (уничтожение носителя и хранящейся на нем информации);
• угрозы целостности исполняемых файлов;
• угрозы целостности программной среды (запуск несанкционированных приложений);
• угрозы целостности аппаратной конфигурации информационной системы;
• угрозы целостности защищаемого помещения, здания, прилегающей территории (проникновение нарушителя);
• угрозы отключения средств защиты;
• угрозы изменения настроек средств защиты и т.д.^[18]

Таким образом, в работе приведены основные требования к описанию структуры системы защиты информации. Структура СЗИ должна быть формализована таким образом, чтобы была возможность оценки комплекса средств защиты и нормативных документов, используемых в ней.

Формальное описание структуры СЗИ должно опираться на несколько моделей:

• модель системы документооборота;
• модель информационной системы;
• модель угроз информации и информационной системе;
• модель угроз средствам защиты информации.

Модель системы документооборота позволит определить, в рамках каких сред циркулирует информация в информационной системе, а также объекты и субъектов, которым разрешено хранение, обработка и передача информации.

Модель информационной системы позволит учесть типы каналов передачи информации и многоуровневость зон работы с информацией, определив необходимое количество рубежей защиты.

Модель угроз информации должна включать весь возможный перечень угроз, для каждой из которых будут определены методы и средства защиты в рамках каждой среды.

Модель угроз средствам защиты позволит учитывать в структуре системы защиты мероприятия, необходимые для обеспечения непрерывной работы СЗИ.

Исходя из вышеперечисленного, можно сделать вывод о том, что структура системы защиты информации должна быть основана на едином описании программно – технического и нормативного элемента системы защиты, позволяя комплексно оценить качество защиты от каждой угрозы.

Для обеспечения эффективности защиты информации все используемые средства и мероприятия целесообразно объединить в систему защиты информации, которая должна быть функционально самостоятельной подсистемой ИС. Главное свойство системы защиты – адаптивность ее при изменении структуры технологических схем или условий функционирования ИС. Другими принципами могут быть:

---

• минимизация затрат, максимальное использование серийных средств;
• обеспечение решения требуемой совокупности задач защиты;
• комплексное использование средств защиты, оптимизация архитектуры;
• удобство для персонала;
• простота эксплуатации.

Систему защиты информации целесообразно строить в виде взаимосвязанных подсистем: криптографической защиты; обеспечения юридической значимости электронных документов; защиты от несанкционированного доступа; организационно–правовой защиты; управления системой защиты информации.

Построение системы защиты информации в таком виде позволит обеспечить комплексность процесса защиты информации в информационной системе, управляемость процесса и возможность адаптации при изменении условий функционирования информационной системы.

Подсистема криптографической защиты объединяет средства такой защиты информации и по ряду функций кооперируется с подсистемой защиты от несанкционированного доступа.

Подсистема обеспечения юридической значимости электронных документов служит для придания юридического статуса документам в электронном представлении и является определяющим моментом при переходе к безбумажной технологии документооборота. Данную подсистему удобно и целесообразно рассматривать как часть подсистемы криптографической защиты.

Подсистема защиты от несанкционированного доступа предотвращает доступ несанкционированных пользователей к ресурсам информационной системы.

Подсистема управления средств защиты информации предназначена для управления ключевыми структурами подсистемы криптографической защиты, а также контроля и диагностирования программно–аппаратных средств и обеспечения взаимодействия всех подсистем средств защиты информации.

Подсистема организационно–правовой защиты предназначена для регламентации деятельности пользователей информационных систем и представляет собой упорядоченную совокупность организационных решений, нормативов, законов и правил, определяющих общую организацию работ по защите информации в ИС^[19].

ЗАКЛЮЧЕНИЕ

В ходе выполнения работы была достигнута поставленная цель, а именно: изучены назначение и структура системы защиты информации коммерческого предприятия.

Для достижения данной цели были выполнены следующие задачи:

• рассмотрено понятие защиты информации;
• охарактеризованы системы защиты информации. Приведены особенности защиты информации в коммерческом предприятии;
• проанализировано назначение систем защиты информации;
• изучена структура систем защиты информации.

---

В ходе проведения исследования было также определено, что системы защиты информации сегодня на самом деле играют одну из ключевых ролей в деятельности предприятия. Целесообразная, структурированная и грамотная защита информации предупреждает не только так распространившиеся сегодня кибер-преступления, но также и потери, искажение и нарушение достоверности информации.

Технологии развиваются и с каждым днем мы обретаем все более объемные и разносторонние знания, в том числе – о средствах защиты информации, которых становится все больше. Благодаря этому, при возникновении необходимости, работа может быть дополнена по мере возникновения новых данных по проблеме исследования.

В ходе работы над исследованием также были получены новые теоретические знания, которые будут полезны не только при дальнейшем изучении дисциплины и смежных с ней, но и в практической личной и профессиональной деятельности.

СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ

1. Бабаш, А. В. Информационная безопасность. Лабораторный практикум: Учебное пособие // А. В. Бабаш, Е. К. Баранова, Ю. Н. Мельников. – М.: КноРус, 2013. – 136 c.
2. Бирюков, А. А. Информационная безопасность: защита и нападение // А. А. Бирюков. – М.: ДМК Пресс, 2013. – 474 c.
3. Галицкий, А. В. Защита информации в сети – анализ технологий и синтез решений // А. В. Галицкий, С. Д. Рябко, В. Ф. Шаньгин. – М.: ДМК Пресс, 2016. – 615 c.
4. Гафнер, В. В. Информационная безопасность: Учебное пособие // В. В. Гафнер. – Рн/Д: Феникс, 2010. – 324 c.
5. Громов, Ю. Ю. Информационная безопасность и защита информации: Учебное пособие // Ю. Ю. Громов, В. О. Драчев, О. Г. Иванова. – Ст. Оскол: ТНТ, 2010. – 384 c.
6. Емельянова, Н. З. Защита информации в персональном компьютере // Н. З. Емельянова, Т. Л. Партыка, И. И. Попов. – М.: Форум, 2015. – 368 c.
7. Запечников, С.В. Информационная безопасность открытых систем. Том 2. Средства защиты в сетях: Учебник для вузов. // С. В. Запечников, Н. Г. Милославская, А. И. Толстой, Д. В. Ушаков. – М.: ГЛТ , 2008. – 558 c.
8. Конотопов, М. В. Информационная безопасность. Лабораторный практикум // М. В. Конотопов. – М.: КноРус, 2013. – 136 c
9. Малюк, А. А. Введение в защиту информации в автоматизированных системах / А. А. Малюк, С. В. Пазизин, Н. С. Погожин. – М.: Горячая линия – Телеком, 2014. – 147 c.
10. Мельников, В. П. Защита информации в компьютерных системах // В. П. Мельников. – М.: Финансы и статистика. - Электроинформ, 2016. – 368 c.
11. Мельников, В. П. Информационная безопасность и защита информации: моногр. // В. П. Мельников, С. А. Клейменов, А. М. Петраков. – М.: Academia, 2016. – 336 c.
12. Партыка, Т. Л. Информационная безопасность: Учебное пособие // Т. Л. Партыка, И. И. Попов. – М.: Форум, 2012. – 432 c.
13. Петров, С. В. Информационная безопасность: Учебное пособие // С. В. Петров, И. П. Слинькова, В.В. Гафнер. – М.: АРТА, 2012. – 296 c.
14. Семененко, В. А. Информационная безопасность // В. А. Семененко. – М.: МГИУ, 2011. – 277 c.
15. Сергеева, Ю. С. Защита информации. Конспект лекций // Ю. С. Сергеева. – М.: А–Приор, 2015. – 128 c.
16. Соколов, А. В. Защита информации в распределенных корпоративных сетях и системах // А. В. Соколов, В. Ф. Шаньгин. – М.: ДМК Пресс, 2016. – 656 c.
17. Спесивцев, А. В. Защита информации в персональных ЭВМ // А. В. Спесивцев, В. А. Вегнер, А. Ю. Крутяков. – М.: Радио и связь, 2016. – 192 c.
18. Степанов, Е. А. Информационная безопасность и защита информации. Учебное пособие // Е. А. Степанов, И. К. Корнеев. – М.: ИНФРА–М, 2014. – 304 c.
19. Шаньгин, В. Ф. Защита информации в компьютерных системах и сетях // В. Ф. Шаньгин. – М.: «ДМК пресс. Электронные книги», 2014. – 592 c.
20. Шаньгин, В. Ф. Информационная безопасность и защита информации // В. Ф. Шаньгин. – М.: ДМК, 2014. – 702 c.
21. Ярочкин, В. И. Информационная безопасность // В. И. Ярочкин. – М.: Академический проект, 2008. – 544 c

---

1. Гафнер, В. В. Информационная безопасность: Учебное пособие // В. В. Гафнер. – Рн/Д: Феникс, 2010. – 147 c ↑

2. Конотопов, М. В. Информационная безопасность. Лабораторный практикум // М. В. Конотопов. – М.: КноРус, 2013. – 64 c ↑

3. Запечников, С.В. Информационная безопасность открытых систем. Том 2. Средства защиты в сетях: Учебник для вузов. // С. В. Запечников, Н. Г. Милославская, А. И. Толстой, Д. В. Ушаков. – М.: ГЛТ , 2008. – 401 c. ↑

4. Сергеева, Ю. С. Защита информации. Конспект лекций // Ю. С. Сергеева. – М.: А–Приор, 2015. –81 c. ↑

5. Там же, 82 с ↑

6. Шаньгин, В. Ф. Защита информации в компьютерных системах и сетях // В. Ф. Шаньгин. – М.: «ДМК пресс. Электронные книги», 2014. – 486 c ↑

7. Ярочкин, В. И. Информационная безопасность // В. И. Ярочкин. – М.: Академический проект, 2008. – 189 c ↑

8. Петров, С. В. Информационная безопасность: Учебное пособие // С. В. Петров, И. П. Слинькова, В.В. Гафнер. – М.: АРТА, 2012. – 166 c ↑

9. Мельников, В. П. Информационная безопасность и защита информации: моногр. // В. П. Мельников, С. А. Клейменов, А. М. Петраков. – М.: Academia, 2016. – 211 c ↑

10. Партыка, Т. Л. Информационная безопасность: Учебное пособие // Т. Л. Партыка, И. И. Попов. – М.: Форум, 2012. – 324 c ↑

11. Спесивцев, А. В. Защита информации в персональных ЭВМ // А. В. Спесивцев, В. А. Вегнер, А. Ю. Крутяков. – М.: Радио и связь, 2016. –36 c ↑

12. Малюк, А. А. Введение в защиту информации в автоматизированных системах / А. А. Малюк, С. В. Пазизин, Н. С. Погожин. – М.: Горячая линия – Телеком, 2014. – 66 c ↑

13. Ярочкин, В. И. Информационная безопасность // В. И. Ярочкин. – М.: Академический проект, 2008. – 124 c ↑

14. Спесивцев, А. В. Защита информации в персональных ЭВМ // А. В. Спесивцев, В. А. Вегнер, А. Ю. Крутяков. – М.: Радио и связь, 2016. – 114 c ↑

15. Галицкий, А. В. Защита информации в сети – анализ технологий и синтез решений // А. В. Галицкий, С. Д. Рябко, В. Ф. Шаньгин. – М.: ДМК Пресс, 2016. – 514 c ↑

16. Сергеева, Ю. С. Защита информации. Конспект лекций // Ю. С. Сергеева. – М.: А–Приор, 2015. – 64 c ↑

17. Спесивцев, А. В. Защита информации в персональных ЭВМ // А. В. Спесивцев, В. А. Вегнер, А. Ю. Крутяков. – М.: Радио и связь, 2016. – 89 c ↑

18. Шаньгин, В. Ф. Информационная безопасность и защита информации // В. Ф. Шаньгин. – М.: ДМК, 2014. – 654 c ↑

19. Степанов, Е. А. Информационная безопасность и защита информации. Учебное пособие // Е. А. Степанов, И. К. Корнеев. – М.: ИНФРА–М, 2014. – 254 c ↑

---