Защита информации в информационных системах

ЗАЩИТА ИНФОРМАЦИИ

В  ИНФОРМАЦИОННЫХ СИСТЕМАХ

Под  безопасностью информационной системы  понимается  защищенность системы от случайного или преднамеренного вмешательства в нормальный процесс ее функционирования, от попыток хищения (несанкционированного получения) информации, модификации или физического разрушения ее компонентов .

• Под  угрозой безопасности информации  понимаются  события или действия, которые могут привести к искажению, несанкционированному использованию или даже к разрушению информационных ресурсов управляемой системы, а также программных и аппаратных средств .

• Несанкционированный доступ  - это противоправное преднамеренное овладение конфиденциальной информацией лицом, не имеющим права доступа к охраняемым сведениям.

• Пассивные угрозы направлены на несанкционированное использование информации, не оказывая влияние на ее функционирование.

• Активные угрозы  имеют целью нарушение нормального функционирования ИС путем целенаправленного воздействия на ее компоненты.

• Политика безопасности  - представляет собой набор законов, правил и практического опыта, на основе которых строятся управление, защита и распределение конфиденциальной информации.

Методы обеспечения безопасности информации в ИС:

• ·   препятствие;
• ·   управление доступом;
• ·   механизмы шифрования;
• ·   противодействие атакам вредоносных программ;
• ·   регламентация;
• ·   принуждение;
• ·   побуждение.

• Препятствие  – метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.д.).

• Управление доступом  – методы защиты информации регулированием использования всех ресурсов ИС и ИТ. Эти методы должны противостоять всем возможным путям несанкционированного доступа к информации.

• Механизмы шифрования  – криптографическое закрытие информации. Эти методы защиты все шире применяются как при обработке, так и при хранении информации на носителях. При передаче информации по каналам связи большой протяженности этот метод является единственно надежным.

• Противодействие атакам вредоносных программ  предполагает комплекс разнообразных мер организационного характера и использование антивирусных программ.

• Регламентация  – создание таких условий автоматизированной обработки, хранения и передачи защищаемой информации, при которых нормы и стандарты по защите выполняются в наибольшей степени.

• Принуждение  – метод защиты, при котором пользователи и персонал ИС вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.

• Побуждение   – метод защиты, побуждающий пользователей и персонал ИС не нарушать установленные порядки за счет соблюдения сложившихся моральных и этических норм.

Средства обеспечения безопасности

• Аппаратные средства  – устройства, встраиваемые непосредственно в вычислительную технику, или устройства, которые сопрягаются с ней по стандартному интерфейсу.
• Физические средства  включают различные инженерные устройства и сооружения, препятствующие физическому проникновению злоумышленников на объекты защиты и осуществляющие защиту персонала (личные средства безопасности), материальных средств и финансов, информации от противоправных действий.

• Программные средства  – это специальные программы и программные комплексы, предназначенные для защиты информации в ИС. Как отмечалось, многие из них слиты с ПО самой ИС.
• Организационные средства  осуществляют своим комплексом регламентацию производственной деятельности в ИС и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к конфиденциальной информации становится невозможным или существенно затрудняется за счет проведения организационных мероприятий.

• Законодательные средства  защиты определяются законодательными актами страны, которыми регламентируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.

• Морально-этические   средства защиты включают всевозможные нормы поведения (которые традиционно сложились ранее), складываются по мере распространения ИС и ИТ в стране и в мире или специально разрабатываются.

• Криптогра́фия  (от  др.-греч.  κρυπτός — скрытый и γράφω — пишу) — наука о методах обеспечения  конфиденциальности  

(невозможности прочтения информации посторонним) и  аутентичности  (целостности и подлинности авторства, а также невозможности отказа от авторства) информации.

• Электро́нная по́дпись  ( ЭП ) —  реквизит   электронного документа , позволяющий установить отсутствие искажения информации в электронном документе с момента формирования  ЭП  и проверить принадлежность подписи владельцу  сертификата ключа   ЭП . Значение реквизита получается в результате криптографического преобразования информации с использованием  ключа  ЭП .

Основные причины повреждений электронной информации распределяются следующим образом:

• неумышленная ошибка человека – 52% случаев,
• умышленные действия человека - 10% случаев,
• отказ техники – 10% случаев,
• повреждения в результате пожара - 15% случаев,
• повреждения водой – 10% случаев.

• исполнителем этих действий:
• в 81% случаев – текущий кадровый состав учреждений,
• только в 13% случаев – совершенно посторонние люди,
• и в 6% случаев – бывшие работники этих же учреждений.

Статистика атак в России