Файл: Назначение системы защиты информации коммерческого предприятия.pdf

Основное назначение политики безопасности – информирование сотрудников и руководства компании о существующих требованиях по защите информационных активов компании. Политика также определяет механизмы и способы, используемые для достижения выполнения этих требований. Для этого в политике безопасности должны быть определены показатели и критерии защищенности активов компании, в соответствии с которыми будут приобретаться и настраиваться средства защиты. Политика также служит основой для последующей разработки стандартов, процедур, регламентов безопасности.

Выделяют два типа политики безопасности: дискреционная (избирательная) и мандатная (полномочная).

Дискреционная политика безопасности – политика безопасности осуществляемая на основании заданного администратором множества разрешенных отношений доступа.

К достоинствам дискреционной политики безопасности можно отнести относительно простую реализацию соответствующих механизмов защиты. Этим обусловлен тот факт, что большинство распространенных в настоящее время АС обеспечивают выполнение положений именно данной политики безопасности.

Основным недостатком данного типа политики является статичность формируемой системы.

Мандатная политика безопасности – политика безопасности, основанная на совокупности предоставления доступа, определенного на множестве атрибутов безопасности субъекта и объекта. Основу мандатной (полномочной) политики безопасности составляет мандатное управление доступом (Mandatory Access Control - MAC), которое подразумевает, что:

- все субъекты и объекты системы должны быть однозначно идентифицированы;

- задан линейно упорядоченный набор меток секретности;

- каждому объекту системы присвоена метка секретности, определяющая ценность содержащейся в нем информации - его уровень секретности в АС;

- каждому субъекту системы присвоена метка секретности, определяющая уровень доверия к нему в АС - максимальное значение метки секретности объектов, к которым субъект имеет доступ; метка секретности субъекта называется его уровнем доступа.

Основная цель мандатной политики безопасности - предотвращение утечки информации от объектов с высоким уровнем доступа к объектам с низким уровнем доступа, т.е. противодействие возникновению в АС информационных каналов сверху вниз.

Достоинством мандатной политики безопасности является более высокая степень надежности, правила в ней ясны и понятны.

Это связано с тем, что МБО такой системы должен отслеживать не только правила доступа субъектов системы к объектам, но и состояния самой АС. Таким образом, каналы утечки в системах данного типа не заложены в нее непосредственно (что мы наблюдаем в положениях предыдущей политики безопасности), а могут появиться только при практической реализации системы вследствие ошибок разработчика. В дополнении к этому правила мандатной политики безопасности более ясны и просты для понимания разработчиками и пользователями АС, что также является фактором, положительно влияющим на уровень безопасности системы.

Недостатком является то, что реализация систем с политикой безопасности данного типа довольно сложна и требует значительных ресурсов вычислительной системы.

Политика безопасности обеспечивает основу для внедрения средств обеспечения безопасности путем уменьшения числа уязвимых мест и как следствие уменьшает риск. Для того, чтобы разработать эффективную и недорогую политику безопасности для защиты соединений с Интернетом, нужно выполнить тот или иной анализ риска для оценки требуемой жесткости политики, который определит необходимые затраты на средства обеспечения безопасности для выполнения требований политики. То, насколько жесткой будет политика, зависит от: 1) уровня угроз, которым подвергается организация и видимость организации из внешнего мира; 2) уязвимости организации к последствиям потенциальных инцидентов с безопасностью со стороны государственных законов и требований вышестоящих организаций, которые могут явно определять необходимость проведения того или иного вида анализа риска или диктовать применение конкретных средств обеспечения безопасности для конкретных систем, приложений или видов информации.

Таким образом, политика информационной безопасности – это совокупность документированных правил, процедур, практических приёмов или руководящих принципов в области безопасности информации, которыми руководствуется организация в своей деятельности. Для построения политики информационной безопасности рекомендуется отдельно рассматривать следующие направления защиты информационной системы: защита объектов информационной системы; защита процессов, процедур и программ обработки информации; защита каналов связи (акустическая информация, инфракрасные, проводные, радиоканалы и др.); подавление побочных электромагнитных излучений; управление системой защиты.

При этом по каждому из перечисленных направлений политика информационной безопасности должна описывать следующие этапы создания средств защиты информации:

1. Определение информационных и технических ресурсов, подлежащих защите;
2. Выявление полного множества потенциально возможных угроз и каналов утечки информации;
3. Проведение оценки уязвимости и рисков информации при имеющемся множестве угроз и каналов утечки;
4. Определение требований к системе защиты;
5. Осуществление выбора средств защиты информации и их характеристик;
6. Внедрение и организация использования выбранных мер, способов и средств защиты;
7. Осуществление контроля целостности и управление системой защиты.

1.3. Современные средства физической, аппаратной и программной защиты информации

Для обеспечения защиты информации и информационной безопасности организации используется ряд средств. К ним относятся физические средства защиты, аппаратные средства защиты информации и программные средства. Дадим характеристику каждому из этих типов средств обеспечения информационной безопасности.

Физические средства защиты – это разнообразные устройства, приспособления, конструкции, аппараты, изделия, предназначенные для создания препятствий на пути движения злоумышленников. К физическим средствам относятся механические, электромеханические, электронные, электронно-оптические, радио- и радиотехнические и другие устройства для воспрещения несанкционированного доступа (входа-выхода), проноса (выноса) средств и материалов и других возможных видов преступных действий.

Эти средства применяются для решения следующих задач:

1. охрана территории предприятия и наблюдение за ней;

2. охрана зданий, внутренних помещений и контроль за ними;

3. охрана оборудования, продукции, финансов и информации;

4. осуществление контролируемого доступа в здания и помещения.

Все физические средства защиты объектов можно разделить на три категории: средства предупреждения, средства обнаружения и системы ликвидации угроз. Охранная сигнализация и охранное телевидение, например, относятся к средствам обнаружения угроз; заборы вокруг объектов – это средства предупреждения несанкционированного проникновения на территорию, а  усиленные двери, стены, потолки, решетки на окнах и другие меры служат защитой и от проникновения и от других преступных  действий. Средства пожаротушения относятся к системам ликвидации угроз.

В общем плане по физической природе и функциональному назначению все средства этой категории можно разделить на следующие группы:

- охранные и охранно-пожарные системы;

- охранное телевидение;

- охранное освещение;

- средства физической защиты.

Аппаратные средства защиты информации – это  различные технические устройства, системы и сооружения,  предназначенные для защиты информации от разглашения, утечки и несанкционированного доступа. К аппаратным средствам обеспечения информационной безопасности относятся самые разные по принципу работы, устройству и возможностям технические средства, обеспечивающие пресечение разглашения, защиту от утечки и противодействие несанкционированному доступу к источникам конфиденциальной информации.

Использование аппаратных средств защиты информации позволяет решать следующие задачи:

- проведение специальных исследований технических средств на наличие возможных каналов утечки информации;

- выявление каналов утечки информации на разных объектах и в помещениях;

- локализация каналов утечки информации;

- поиск и обнаружение средств промышленного шпионажа;

- противодействие несанкционированному доступу к источникам конфиденциальной информации и  другим действиям.

По назначению аппаратные средства классифицируют на средства обнаружения, средства поиска и детальных измерений, средства активного и пассивного противодействия. При этом по техническим возможностям средства защиты информации могут быть общего назначения, рассчитанные на использование непрофессионалами с целью получения общих  оценок,  и  профессиональные комплексы, позволяющие проводить тщательный поиск, обнаружение и измерения всех характеристик средств промышленного шпионажа.

Программная защита информации – это система специальных программ, реализующих функции защиты информации. Выделяют следующие направления использования программ для обеспечения безопасности конфиденциальной информации:

- защита информации от несанкционированного доступа;

- защита информации от копирования;

- защита информации от вирусов;

- программная защита каналов связи.

Проанализируем каждое из этих направлений.

1) Защита информации от несанкционированного доступа:

Для защиты от чужого вторжения обязательно предусматриваются определенные меры безопасности.  Основные функции, которые должны осуществляться программными средствами, это:

- идентификация субъектов и объектов;

- разграничение доступа  к вычислительным ресурсам и информации;

- контроль и регистрация действий с информацией и программами.

Процедура идентификации и подтверждения подлинности предполагает проверку, является ли субъект, осуществляющий доступ,  тем,  за кого себя выдает.

Наиболее распространенным методом идентификации является парольная идентификация.  Практика показала, что парольная защита данных является слабым звеном, так как пароль можно подслушать или подсмотреть, пароль можно перехватить, а то и просто разгадать.

После выполнения процедур идентификации и установления подлинности пользователь получает доступ к вычислительной системе, и защита информации осуществляется на трех уровнях:  аппаратуры, программного обеспечения и данных.

2) Защита от копирования:

Средства защиты от копирования предотвращают использование нелегальных копий программного обеспечения и являются в настоящее время единственно надежным средством, защищающим авторское право разработчиков. Под средствами  защиты от копирования понимаются средства, обеспечивающие выполнение программой своих функций только при опознании некоторого уникального не копируемого элемента. Таким элементом (называемым ключевым) может быть определенная  часть компьютера или специальное устройство.

3) Защита информации от разрушения:

Одной из задач обеспечения безопасности для всех случаев пользования компьютером является защита информации  от  разрушения. Так  как  причины  разрушения  информации весьма разнообразны (несанкционированные действия, ошибки программ и оборудования, компьютерные вирусы и пр.), то проведение защитных мероприятий обязательно для всех, кто пользуется компьютером.

Необходимо  специально отметить опасность компьютерных вирусов. Компьютерный вирус – это небольшая, достаточно сложная и опасная программа, которая может  самостоятельно размножаться, прикрепляться  к  чужим программам и передаваться по информационным сетям. Вирус обычно создается для нарушения работы компьютера различными способами —  от  «безобидной»  выдачи  какого-либо  сообщения  до стирания, разрушения файлов. Антивирус  —  программа, обнаруживающая и  удаляющая  вирусы.

Таким образом, для обеспечения защиты информации и информационной безопасности организации используются физические средства защиты, аппаратные средства защиты информации и программные средства.

1.4. Обоснование необходимости обеспечения информационной безопасности

Среди мер для повышения надежности и безопасности информационных систем целесообразно использовать следующие основные методы и способы защиты:

- кардинальное улучшение системы регистрации первичных данных на основе применения индивидуальных носителей информации (ИНИ);

- обязательное дублирование информации, хранимой в ИНИ, в базах данных различных уровней;

- периодическая (лучше ежедневная) актуализация всех баз данных в информационной системе (эта мера исключает возможность фальсификации сведений "задним числом");