Файл: Исследование проблем защиты информации (Понятие защиты информации и основные информационные угрозы).pdf

Введение

Уже с середины 90-х годов в нашу жизнь очень активно вошли технические средства по работе с информацией. На данный момент почти не осталось людей, которые не работали бы с компьютерами и другими устройствами. Сейчас почти вся информация хранится в электронном виде. Совсем не удивительно, что мы всё чаще слышим о хищении информации, несанкционированном доступе, разглашении конфиденциальных данных, а так же других попытках получить закрытую информацию.

Поэтому одновременно с появлением компьютерных технологий появилась необходимость защищать как сами технические средства, так и информацию на них.

В 1996 году появился ГОСТ Р 50922-96, который определил защиту информации как деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.

И на данный момент защита информации является одной из основных областей развития технологий.

Этим обусловлена актуальность темы исследования, ее огромная теоретическая и практическая значимость. При этом особый интерес представляет анализ системы защиты информации на конкретном предприятии.

Объектом исследования данной курсовой работы является система защиты информации в ООО «Берег». Предмет исследования – виды угроз информационной безопасности и средства защиты от них.

Целью курсовой работы является изучение проблем защиты информации на предприятии.

Задачи в работе:

- рассмотреть понятие защиты информации и виды угроз в данной сфере;

- обозначить основные способы защиты информации на предприятии;

- исследовать проблемы защиты информации в ООО «Берег»;

- разработать меры по улучшению защиты информации в ООО «Берег»;

- осуществить выбор необходимого для защиты информации программного обеспечения.

Структура курсовой работы. Исследование состоит из введения, трех глав, заключения, списка использованных источников, приложения.

1. Проблемы защиты информации: общие теоретические основы

1.1. Понятие защиты информации и основные информационные угрозы

Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

- обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

- соблюдение конфиденциальности информации ограниченного доступа;

- реализацию права на доступ к информации.

Целью защиты информации может быть предотвращение ущерба собственнику, владельцу, пользователю информации в результате возможной утечки информации и/или несанкционированного и непреднамеренного воздействия на информацию.^[1]

Что можно отнести к объектам защиты информации?

- одним из главных объектов ЗИ являются люди - персонал предприятия (большая часть утечки информации происходит именно по вине персонала);

- ещё одним важным объектом являются финансовые средства;

- материальные ресурсы (здания, склады, средства перемещения и.т.п.);

- непосредственно информация с ограниченным доступом (она может храниться как на бумаге, так и на других носителях);

- средства и системы информатизации;

- технические средства и системы охраны и защиты материальных и информационных ресурсов.^[2]

Итак, выяснив, что нам нужно защищать, необходимо понять от чего мы защищаем, и откуда может прийти угроза.

Угроза - это потенциально возможное или реальное действие злоумышленника способное нанести моральный или материальный ущерб.^[3]

1. Классификация угроз

Угрозы можно классифицировать по нескольким критериям:

- по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого, угрозы направлены в первую очередь;

- по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);

- по способу осуществления (случайные/преднамеренные, действия природного/техногенного характера);

- по расположению источника угроз (внутри/вне рассматриваемой ИС).

- по размеру наносимого ущерба (общие, локальные, частные).^[4]

Источники угроз.

Внешние источники могут быть случайными или преднамеренными и иметь разный уровень квалификации. К ним относятся:

- криминальные структуры;

- потенциальные преступники и хакеры;

- недобросовестные партнеры;

- технический персонал поставщиков услуг;

- представители надзорных организаций и аварийных служб;

- представители силовых структур.

Внутренние субъекты (источники), как правило, представляют собой высококвалифицированных специалистов в области разработки и эксплуатации программного обеспечения и технических средств, знакомы со спецификой решаемых задач, структурой и основными функциями и принципами работы программно-аппаратных средств защиты информации, имеют возможность использования штатного оборудования и технических средств сети. К ним относятся:

- основной персонал (пользователи, программисты, разработчики);

- представители службы защиты информации;

- вспомогательный персонал (уборщики, охрана);

- технический персонал (жизнеобеспечение, эксплуатация).

Технические средства, являющиеся источниками потенциальных угроз безопасности информации, также могут быть внешними:

- средства связи;

- сети инженерных коммуникации (водоснабжения, канализации);

- транспорт.^[5]

И могут быть внутренними:

- некачественные технические средства обработки информации;

- некачественные программные средства обработки информации;

- вспомогательные технические средства (охраны, сигнализации, телефонии);

- другие технические средства, применяемые в учреждении.^[6]

Система защиты информации — совокупность органов и/или исполнителей, используемая ими техника защиты информации, а также объекты защиты, организованные и функционирующие по правилам, установленным соответствующими правовыми, организационно-распорядительными и нормативными документами по защите информации.

1.2. Технология защиты информации на предприятии

Технологии защиты данных основываются на применении современных методов, которые предотвращают утечку информации и ее потерю.

Сегодня используется шесть основных способов защиты:

- Препятствие;

- Маскировка;

- Регламентация;

- Управление;

- Принуждение;

- Побуждение.

Все эти методы основаны на построение хорошей технологии защиты информации, при которой исключены потери по причине неопытности персонала и они успешно отражают различные виды угроз.^[7]

Под препятствием понимается способ физической защиты информационных систем, благодаря которому злоумышленники не имеют возможность попасть на охраняемую территорию.

Маскировка - способы защиты информации, предусматривающие преобразование данных в форму, не пригодную для восприятия посторонними лицами. Для расшифровки требуется знание принципа.

Управление - способы защиты информации, при которых осуществляется управление над всеми компонентами информационной системы.

Регламентация - важнейший метод защиты информационных систем, предполагающий введение особых инструкций, согласно которым должны осуществляться все манипуляции с охраняемыми данными.

Принуждение - методы защиты информации, тесно связанные с регламентацией, предполагающие введение комплекса мер, при которых работники вынуждены выполнять установленные правила. Если используются способы воздействия на работников, при которых они выполняют инструкции по этическим и личностным соображениям, то речь идет о побуждении.

Способы защиты информации предполагают использование определенного набора средств. Для предотвращения потери и утечки секретных сведений используются следующие средства:

- физические;

- программные и аппаратные;

- организационные;

- законодательные;

- психологические.

Физические средства защиты информации предотвращают доступ посторонних лиц на охраняемую территорию. Основным и наиболее старым средством физического препятствия является установка прочных дверей, надежных замков, решеток на окна. Для усиления защиты информации используются пропускные пункты, на которых контроль доступа осуществляют люди (охранники) или специальные системы. С целью предотвращения потерь информации также целесообразна установка противопожарной системы.

Физические средства используются для охраны данных, как на бумажных, так и на электронных носителях.

Аппаратные средства представлены устройствами, которые встраиваются в аппаратуру для обработки информации.

Программные средства - программы, отражающие хакерские атаки. Также к программным средствам можно отнести программные комплексы, выполняющие восстановление утраченных сведений. При помощи комплекса аппаратуры и программ обеспечивается резервное копирование информации — для предотвращения потерь.^[8]

Организационные средства сопряжены с несколькими методами защиты: регламентацией, управлением, принуждением. К организационным средствам относится разработка должностных инструкций, беседы с работниками, комплекс мер наказания и поощрения. При эффективном использовании организационных средств работники предприятия хорошо осведомлены о технологии работы с охраняемыми сведениями, четко выполняют свои обязанности и несут ответственность за предоставление недостоверной информации, утечку или потерю данных.

Законодательные средства - комплекс нормативно-правовых актов, регулирующих деятельность людей, имеющих доступ к охраняемым сведениям и определяющих меру ответственности за утрату или кражу секретной информации.

Психологические средства - комплекс мер для создания личной заинтересованности работников в сохранности и подлинности информации. Для создания личной заинтересованности персонала руководители используют разные виды поощрений. К психологическим средствам относится и построение корпоративной культуры, при которой каждый работник чувствует себя важной частью системы и заинтересован в успехе предприятия.

После подробного разбора угроз, отлично видно, что проблемы могут прийти с разных сторон. Именно поэтому необходимо использовать не одно какое-то средство, а строить целую систему средств защиты информации от различных видов угроз.

2. Исследование защиты информации на примере ООО «Берег»

2.1. Анализ организации защиты информации в ООО «Берег»

ООО «Берег» работает в нескольких направлениях:

- продажа жд и авиа билетов;

- организация туризма;

- ремонт помещений;

- ремонт различной техники.

Основной задачей компании является круглосуточное обслуживание клиентов и оказание необходимых услуг клиентам, в кратчайшие сроки.

В офисах, которые мы будем рассматривать, осуществляется прием заказов от клиентов, бухгалтерский учет и другой документооборот, хранение архивных документов, прием-передача денежных средств, как от клиентов, так и от работников (мастеров, которые выезжают на вызовы; курьеров). Так же в офисе фирмы проводятся планирование и управление деятельностью организации, проведение переговоров, заключение договоров и другие организационные мероприятия.

Численность сотрудников офиса больше 100 человек. Это генеральный директор, два заместителя, финансовый директор, It отдел, web-отдел, call- центр, отдел бухгалтерии, отдел аналитики, касса, отдел корпоративных клиентов, отдел туризма и множество других важных отделов.

В офисе существует своя локальная сеть, доступ к которой имеют только сотрудники фирмы.