Файл: Особенности работы с персоналом, владеющим конфиденциальной информацией ( ОСНОВНЫЕ НАПРАВЛЕНИЯ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ РЕСУРСОВ).pdf

1. ОСНОВНЫЕ НАПРАВЛЕНИЯ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ РЕСУРСОВ

1.1. Угрозы конфиденциальной информации

Под конфиденциальной информацией будем понимать информацию, на которую распространяются правила разграничения доступа.

Под правилами разграничения доступа будем понимать совокупность положений, регламентирующих права доступа лиц и процессов к единицам информации.

Можно выделить два вида конфиденциальной информации: служебная и предметная. К служебной информации в частности относятся имена и пароли пользователей. Зная служебную информацию можно получить доступ к предметной информации^[3].

Несанкционированный доступ к информации возможен:

- при отсутствии системы разграничения доступа;

- при ошибках в системе разграничения доступа;

- при сбое/отказе программного или аппаратного обеспечения;

- при ошибочных действиях пользователей или обслуживающего персонала;

- при фальсификации полномочий;

- при использовании специальной аппаратуры и ПО.

Полный перечень способов несанкционированного получения информации:

- использование подслушивающих устройств (закладок);

- использование дистанционного фотографирования;

- перехват электромагнитного излучения;

- принудительное электромагнитное излучение (подсветка);

- маскировка под запросы системы;

- перехват звуковых волн. Современные технические средства позволяют улавливать звук на большом расстоянии;

- восстановление текста напечатанного принтером;

- хищение носителей информации и производственных отходов (анализ бумажных отходов является одним из эффективных приемов добычи информации, которым всегда пользовались разведки всего мира);

- считывание данных с компьютеров пользователей. Доступ может быть и непосредственный, и путем подключения к устройствам внешней памяти, и посредством удаленной консоли;

- считывание остаточной информации из памяти (оперативной или внешней) системы;

- копирование носителей информации с преодолением средств защиты.^[4]

1.2. Идентификация и аутентификация

Важным средством защиты объектов безопасности является идентификация и аутентификация.

Идентификация - это передача субъекта (пользователя или процесса) системе своего имени (идентификатора). На этапе аутентификации происходит проверка подлинности переданного имени. Подтвердить свою подлинность субъект может следующими двумя способами:

- посредством некоторого устройства аутентификации, например электронной карточки;

- посредством некоторого неотъемлемого от субъекта признака (отпечаток пальцев, рисунок сетчатки глаза, последовательность байтов, однозначно идентифицирующих процесс).

При парольной аутентификации важным является защита пароля от попадания в руки злоумышленников. Получить пароль можно из различных источников:

У владельца пароля; иногда для хранения паролей используется обычная записная книжка или файл, откуда случайно или намеренно пароль может попасть злоумышленнику; иногда пароль сообщают сослуживцу; пароль можно подсмотреть. Пароль можно получить посредством программ - шпионов, которые перехватывают функции ввода и передают пароль злоумышленникам, поэтому должен быть строгий контроль над программным обеспечением, работающим в системе. Пароль можно просто подобрать, ориентируясь на трафаретное мышление большинства людей (год рождения, фамилии и имена близких и т.п.). Существуют даже программы, которые подбирают пароль на основе некоторых трафаретных шаблонов. Пароль может быть перехвачен при передаче по сети.

Для защиты парольного входа используются следующие методы^[5]:

- установка минимальной длины паролей;

- пароль должен быть составлен из символов разного регистра, знаков препинания, цифр;

- для каждого пароля должен быть установлен промежуток, по истечению которого пароль должен быть сменен;

- защита файлов, где хранятся пароли;

- использование программ-генераторов паролей;

- использование одноразовых паролей;

Пользователю известен только ключ, при вводе которого каждый раз генерируется новый пароль, который и передается системе.

Таким образом, по сети каждый раз передается разный пароль. Разумеется, зная ключ и алгоритм генерации можно сгенерировать нужный пароль.

Наиболее известным сервером аутентификации является Kerberos ^[6].

Несколько слов следует сказать о биометрических способах аутентификации. Эти методы основываются на физиологических и поведенческих признаках человека. Физиологический подход может основываться на таких параметрах как отпечатки пальцев, геометрия рук или сетчатки глаз и т.д. К поведенческим признакам относится, например, динамика работы с клавиатурой, подпись и др. Принцип использования биометрических показателей заключается в следующем: в начале создается база данных с биометрическими данными. При аутентификации (и одновременно идентификации) программа сканирует базу данных шаблонов в поисках соответствующего шаблона. Обычно биометрический способ аутентификации является лишь одним из этапов полной аутентификации и комбинируется также с парольным подходом^[7].

Разграничение доступа является одним из основных способов сохранения конфиденциальности информации и является дополнением таких процедур как идентификация и аутентификация.

Разграничение доступа не только позволяет сохранять конфиденциальность информации, но и защищает ее от угроз доступности и целостности. Правильное распределение ролей в системе может уберечь объекты безопасности от случайных или некомпетентных действий, которые могут вызвать потерю или искажение информации.

В общем случае постановка задачи следующая. Имеется множество субъектов безопасности (пользователи или процессы), доступ которых к информации предполагается регулировать. С другой стороны имеется множество объектов данных, доступ к которым субъектов безопасности может регулироваться. В качестве объектов могут выступать самые разные элементы.

Для реляционных баз данных это могут базы данных, таблицы, столбцы, строки и т.д. Для каждой пары «субъект-объект» должно быть определено множество операций, которые субъект может выполнять над объектом.

Операции могут быть простыми, такими как добавление данных, удаление данных, обновление данных, а могут представлять собой хранимые процедуры, содержащие множество различных действия.

Кроме ограничений на действия с данными для субъектов безопасности, субъекту могут даваться разрешения на операции выдачи прав или введение ограничений на действия с данными других субъектов. Это особо тонкая работа, требующая вдумчивого подхода. Достаточно случайно дать дополнительные права какому-либо пользователю, и он сам сможет расширить свои права для работы с данными или создать нового пользователя с расширенными правами.

Использование ролей не только помогает управлять доступом целой группы пользователей, но и вносит дополнительные сложности для администратора.

Таким образом, перед тем как разрешить, или запретить какие либо действия над данными необходимо проанализировать все роли, в которые данный пользователь прямо или косвенно (через вложенные роли) входит. При этом может оказаться, что в одной роли данное действие разрешено, а в другой запрещено. Обычно придерживаются следующего правила: запрет всегда сильнее разрешения. Поэтому, если пользователь является членом множества ролей и только в одной роли указан запрет на определенное действие, то для пользователя это действие будет запрещено. В некоторых системах (например, в MS SQLServer) объекты безопасности также могут объединяться в группы (в MS SQLServer -они называются схемами). В этом случае, можно разрешить или запретить какие либо действия для целой группы объектов ^[8].

Одним из наиболее мощных средств обеспечения конфиденциальности является шифрование.

Используют два способа шифрования: симметричное и ассиметричное. В первом случае один и тот же ключ используется и для шифрования и для расшифровки. В России разработан и существует стандарт для такого шифрования ГОСТ 28147-89. При передаче шифрованного сообщения между отправителем и получателем и тот и другой должны иметь в своем распоряжении один и тот же ключ. При этом, разумеется, ключ следует содержать в тайне. Когда два человека имеют в своем распоряжении один и тот же ключ, то возрастает вероятность, что ключ попадет и в третьи руки. Кроме этого, получатель не может доказать третьему лицу, что полученное зашифрованное сообщение написано отправителем, так как и сам получатель при желании мог сгенерировать такое сообщение.

ГОСТ 28147-89 - единственный российский стандарт симметричного шифрования. Стандарт был введен в 1990 году и объявлен полностью открытым в 1994 году. Однако разработан он был гораздо раньше в одном из закрытых НИИ Советского Союза. Это высоконадежный и простой в реализации алгоритм шифрования.

В ассиметричных подходах используются два ключа. Один из них называется открытым (или публичным) и может свободно передаваться третьим лицам. Это ключ может быть предназначен и для шифрования и для расшифровки. Все зависит от того, для чего используется шифрование. Второй ключ называется закрытым (или секретным), он должен быть известен только одному субъекту. Если ассиметричное шифрование используется для получения сообщений от многих субъектов, закрытым является ключ для расшифровки. В противоположной ситуации, когда один субъект посылает шифрованные сообщения многим субъектам, то закрытым ключом является ключ для шифрования.

Электронная подпись решает проблему идентификации передаваемых данных. Электронная подпись представляет собой некоторую вставку в данные (документ), зашифрованную закрытым ключом. При этом сами данные могут быть как в зашифрованном, так и в открытом виде. В состав электронной подписи обычно входит информация, идентифицирующая как передаваемые данные (например, контрольная сумма, позволяющая проверить целостность данных), так и того, кто передает эти данные (некий личный идентификатор известный получателю). В качестве параметра, определяющего правильность производимой расшифровки, в электронной подписи может содержаться в частности и сам открытый ключ, которым эта подпись расшифровывается^[9].

2. ОСОБЕННОСТИ РАБОТЫ С ПЕРСОНАЛОМ, ВЛАДЕЮЩИМ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИЕЙ

2.1. Персонал как основная опасность утраты конфиденциальной информации

В решении проблемы информационной безопасности значительное место занимает выбор эффективных методов работы с персоналом, обладающим конфиденциальной информацией. Персонал генерирует новые идеи, новшества, открытия и изобретения, которые ускоряют научно - технический прогресс, повышают благосостояние сотрудников фирмы и являются полезными не только для фирмы в целом, но и для каждого отдельного сотрудника. Поэтому любой сотрудник объективно заинтересован сохранять в тайне те новшества, которые повышают прибыли и престиж фирмы.

Несмотря на это, персонал, к сожалению, является в то же время основным источником утраты ценной и конфиденциальной информации. Объясняется это тем, что с точки зрения психологических особенностей персонал - явление сложное, каждый из сотрудников всегда индивидуален, трудно предсказуем и мотивации его поведения часто противоречивы и не отвечают требованиям сложившейся жизненной ситуации. Это определяет особую значимость решения проблемы тщательного изучения персонала в структурах, связанных с необходимостью заботиться о сохранении в тайне тех или иных сведений, документов и баз данных. Трудности в работе с персоналом и сложности в подборе достойных во всех отношениях людей испытывает любая фирма, которая использует в работе достаточные объемы конфиденциальных сведений^[10].

В современных предпринимательских структурах практически каждый основной сотрудник становится носителем ценных сведений, которые представляют интерес для конкурентов и криминальных структур. В контексте безопасности кадровая политика имеет профилактическую роль по отношению к такому типу угрозы, как неблагонадежность отдельных сотрудников. Вопросы управления персоналом, работа которого связана с обработкой, хранением и использованием конфиденциальных сведений, документов и баз данных, в настоящее время все в большей степени в концептуальном и практическом аспектах включаются в число главных, при решении проблем информационной безопасности^[11].