Защита информации в информационных системах

ЗАЩИТА ИНФОРМАЦИИ

В  ИНФОРМАЦИОННЫХ СИСТЕМАХ

Под безопасностью информационной системы понимается  защищенность системы от случайного или преднамеренного вмешательства в нормальный процесс ее функционирования, от попыток хищения (несанкционированного получения) информации, модификации или физического разрушения ее компонентов .

Под угрозой безопасности информации понимаются  события или действия, которые могут привести к искажению, несанкционированному использованию или даже к разрушению информационных ресурсов управляемой системы, а также программных и аппаратных средств .

Несанкционированный доступ - это противоправное преднамеренное овладение конфиденциальной информацией лицом, не имеющим права доступа к охраняемым сведениям.

Пассивные угрозы направлены на несанкционированное использование информации, не оказывая влияние на ее функционирование.

Активные угрозы имеют целью нарушение нормального функционирования ИС путем целенаправленного воздействия на ее компоненты.

Политика безопасности - представляет собой набор законов, правил и практического опыта, на основе которых строятся управление, защита и распределение конфиденциальной информации.

Методы обеспечения безопасности информации в ИС:

·   препятствие;

·   управление доступом;

·   механизмы шифрования;

·   противодействие атакам вредоносных программ;

·   регламентация;

·   принуждение;

·   побуждение.

Препятствие  – метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.д.).

Управление доступом  – методы защиты информации регулированием использования всех ресурсов ИС и ИТ. Эти методы должны противостоять всем возможным путям несанкционированного доступа к информации.

Механизмы шифрования  – криптографическое закрытие информации. Эти методы защиты все шире применяются как при обработке, так и при хранении информации на носителях. При передаче информации по каналам связи большой протяженности этот метод является единственно надежным.

Противодействие атакам вредоносных программ  предполагает комплекс разнообразных мер организационного характера и использование антивирусных программ.

Регламентация  – создание таких условий автоматизированной обработки, хранения и передачи защищаемой информации, при которых нормы и стандарты по защите выполняются в наибольшей степени.

Принуждение  – метод защиты, при котором пользователи и персонал ИС вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.

Побуждение  – метод защиты, побуждающий пользователей и персонал ИС не нарушать установленные порядки за счет соблюдения сложившихся моральных и этических норм.

Средства обеспечения безопасности

Аппаратные средства  – устройства, встраиваемые непосредственно в вычислительную технику, или устройства, которые сопрягаются с ней по стандартному интерфейсу.

Физические средства  включают различные инженерные устройства и сооружения, препятствующие физическому проникновению злоумышленников на объекты защиты и осуществляющие защиту персонала (личные средства безопасности), материальных средств и финансов, информации от противоправных действий.

Программные средства  – это специальные программы и программные комплексы, предназначенные для защиты информации в ИС. Как отмечалось, многие из них слиты с ПО самой ИС.

Организационные средства  осуществляют своим комплексом регламентацию производственной деятельности в ИС и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к конфиденциальной информации становится невозможным или существенно затрудняется за счет проведения организационных мероприятий.

Законодательные средства  защиты определяются законодательными актами страны, которыми регламентируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.

Морально-этические  средства защиты включают всевозможные нормы поведения (которые традиционно сложились ранее), складываются по мере распространения ИС и ИТ в стране и в мире или специально разрабатываются.

Криптогра́фия (от  др.-греч.  κρυπτός — скрытый и γράφω — пишу) — наука о методах обеспечения  конфиденциальности  

(невозможности прочтения информации посторонним) и  аутентичности  (целостности и подлинности авторства, а также невозможности отказа от авторства) информации.

Электро́нная по́дпись (ЭП) —  реквизит   электронного документа , позволяющий установить отсутствие искажения информации в электронном документе с момента формирования ЭП и проверить принадлежность подписи владельцу  сертификата ключа   ЭП . Значение реквизита получается в результате криптографического преобразования информации с использованием  ключа ЭП .