Содержание
Введение
Глава 1. Виды защиты информации
1.1 Инженерно-техническая защита информации
1.2 Правовая защита информации
1.3 Организационная защита информации
Глава 2. Методы защиты информации
Глава 3. Средства защиты информации
Глава 4. Криптографические средства защиты
Глава 5. Программные средства защиты
Заключение
Список использованной литературы
Введение
Не проходящий и не снижающийся интерес к проблеме защиты информации, объясняется тем, что происходящие в стране процессы существенно затронули проблему организации системы защиты информации во всех ее сферах -разработки, производства, реализации, эксплуатации средств защиты, подготовки соответствующих кадров. Прежние традиционные подходы в современных условиях уже не в состоянии обеспечить требуемый уровень безопасности государственно значимой и частной конфиденциальной информации, циркулирующей в информационно-телекоммуникационных системах страны. Существенным фактором, до настоящего времени оказывающим значительное влияние на положение дел в области защиты информации, является то, что до начала 90-х годов нормативное регулирование в данной области оставляло желать лучшего. Система защиты информации в нашей стране в то время определялась существовавшей политической обстановкой и действовала в основном в интересах Специальных служб государства, Министерства обороны и Военно-промышленного комплекса. Цели защиты информации достигались главным образом за счет реализации принципа «максимальной секретности», в соответствии, с которым доступ ко многим видам информации был просто ограничен. Никаких законодательных и иных государственных нормативных актов, определяющих защиту информационных прав негосударственных организаций и отдельных граждан, не существовало. Средства криптографической защиты информации использовались только в интересах государственных органов, а их разработка была прерогативой исключительно специальных служб и немногих специализированных государственных предприятий. Указанные предприятия строго отбирались и категорировались по уровню допуска к разработке и производству этих средств. Сами изделия тщательно проверялись компетентными государственными органами и допускались к эксплуатации исключительно на основании специальных заключений этих органов. Любые работы в области криптографической защиты информации проводилась на основании утвержденных Правительством страны секретных специальных нормативных актов, полностью регламентировавших порядок заказа, разработки, производства и эксплуатации шифровальных средств. Сведения об этих средствах, их разработке, производстве, и использовании, как в стране, так и за рубежом были строго засекречены, а их распространение предельно ограничено. Даже простое упоминание о криптографических средствах в открытых публикациях было запрещено. В настоящее время можно отметить, что правовое поле в области защиты информации получило весомое заполнение. Конечно, нельзя сказать, что процесс построения цивилизованных правовых отношений успешно завершен и задача правового обеспечения деятельности в этой области уже решена. Важно другое –на мой взгляд, можно констатировать, что уже имеется неплохая законодательная база, вполне позволяющая, с одной стороны, предприятиям осуществлять свою деятельность по защите информации в соответствии требованиями действующих нормативных актов, а с другой – уполномоченным государственным органам на законной основе регулировать рынок соответствующих товаров и услуг, обеспечивая необходимый баланс интересов отдельных граждан, общества в целом и государства.
В последнее время в различных публикациях муссируется вопрос о том, что созданный механизм государственного регулирования в области защиты информации используется государственными органами, уполномоченными на ведение лицензионной деятельности, для зажима конкуренции и не соответствует ни мировому опыту, ни законодательству страны.
Кроме того, чтобы остудить бушующие вокруг данной проблемы страсти, считаю полезным подробнее ознакомиться с имеющимся опытом зарубежного законодательства и требованиями российских нормативных актов в области защиты информации.
Глава 1. Виды защиты информации
1.1 Инженерно-техническая защита информации
1. Инженерно-техническая защита информации является одним из основных направлений обеспечения информационной безопасности. Технический прогресс способствует повышению роли инженерно-технической защиты. Она охватывает большое количество областей знаний и сфер практической деятельности, при ее обеспечении необходимо учитывать большое число факторов, информация о которых недостаточная и часто недостоверная. Определяющую роль при инженерно-технической защите играет человек, действия которого пока не поддаются формализации.
Задачи инженерно-технической защиты информации относятся к так называемым слабоформализуемым задачам, не имеющим формальных (строго математических) методов решения. Получение рациональных (удовлетворяющих поставленным требованиям) результатов при решении слабоформализуемых задач достигается на основе системного подхода.
Основной целью инженерно-технической защиты информации является обеспечение ее безопасности, при которой риск изменения, уничтожения или хищения информации не превышает допустимого значения. Риск характеризуется вероятностью реализации угроз и зависит от ресурса — прямых расходов на защиту информации. Сумма прямых расходов на защиту информации и косвенных расходов, соответствующих ущербу от реализации угроз, определяет расходы на информацию. Значения прямых расходов, при которых суммарные расходы на информацию минимизируются, образуют область рациональной защиты информации. Для оценки риска необходимо определить источники информации и цену содержащейся в них информации, угрозы ее безопасности и возможность (вероятность) их реализации.
2. Задачи инженерно-технической защиты информации определяют то, что надо выполнить с учетом данного ресурса для предотвращения (нейтрализации) конкретных угроз в интересах поставленных целей.
3. Меры по обеспечению инженерно-технической защиты.
Меры инженерно-технической защиты информации представляют собой совокупность технических средств и способов их использования, которые обеспечивают требуемый уровень безопасности информации при минимуме ресурса. Каждому набору угроз соответствует рациональный набор мер защиты. Определение такого набора является основной задачей инженерно-технической защиты информации. При отсутствии формальных методов определение набора средств задача решается путем выбора этих мер специалистами по локальным и глобальным показателям эффективности.
Основными принципами инженерно-технической защиты информации являются:
• надежность, предусматривающая обеспечение требуемого уровня безопасности защищаемой информации;
• непрерывность защиты во времени и пространстве, характеризующая постоянную (в любое время) готовность системы защиты к предотвращению (нейтрализации) угроз информации;
• активность, предусматривающая упреждающее предотвращение (нейтрализация) угроз;
• скрытность, исключающая возможность ознакомления лиц с информацией о конкретных способах и средствах защиты в рассматриваемой структуре в объеме, превышающем служебную необходимость;
• целеустремленность, предполагающая расходование ресурса на предотвращение угроз с максимальным потенциальным ущербом;
• рациональность, требующая минимизации расходования ресурса на обеспечение необходимого уровня безопасности информации;
• комплексное использование различных способов и средств за щиты информации, позволяющее компенсировать недостатки одних способов и средств достоинствами других;
• экономичность защиты, предусматривающая, что расходы на защиту не превысят ущерба от реализации угроз.
1.2 Правовая защита информации
защита информация криптографический
В последнее время информация приобретает два важных практических значения. С одной стороны, она рассматривается как экономический ресурс, значение которого постоянно возрастает. Использование информационных ресурсов, грамотная организация информационных процессов могут существенно увеличить рентабельность многих процессов в индустриальном производстве, способствовать в решении социальных проблем.
Таким образом, "в современных условиях информация становится стратегическим ресурсом, от эффективного использования которого зависят перспективы развития экономики, формирование информационного гражданского общества, обеспечение безопасности государства и граждан".
С другой стороны, информация становится экономическим товаром, что стимулирует во всем мире рост нового сегмента национальной экономики - информационных услуг.
Наконец, информация является мощным и эффективным оружием.
Все это привело к возникновению новых правоотношений, объектом которых является информация. В связи с этим необходимо выделить те свойства информации, которые определяют специфику правового регулирования информационных правоотношений.
Среди основных признаков информации, принципиальных для правового регулирования отношений по поводу информации, ученые различают следующие:
1. Как уже отмечалось, любая информация обладает свойством идеальности. Право начинает опосредовать информацию лишь тогда, когда она может быть однозначно зафиксирована на материальном носителе. Юридическое свойство, вытекающее из этой особенности, заключается в двуединстве информации и материального носителя, на котором эта информация закрепляется. Необходимо сразу отметить: несмотря на то, что носитель информации является вещью, информация в правовом смысле не может рассматриваться как вещь. Это связано с тем, что когда мы передаем вещь, мы передаем при этом зачастую весь объем прав (владения, пользования и распоряжения). Но когда мы передаем зафиксированную на материальном носителе информацию, мы в правовом смысле передаем сам носитель и сумму каких-то прав по распоряжению содержащейся на нем информацией (например, право ее дальнейшего распространения). Саму же информацию мы лишь сообщаем и, таким образом, можем передать лишь право пользования и право распоряжения. Право владения (господства над вещью) может быть передано лишь на носитель, но не на информацию, которая на нем зафиксирована, ибо она осталась в памяти автора документа и останется в памяти всех, кто прочитает эти сведения.
2. Рассмотренные общие свойства идеальности и неисчерпаемости информации порождают такое юридическое свойство информации, как бесконечный неисчерпаемый ресурс.
Информация не подвержена (в отличие от большинства вещей) физическому старению и обладает такой особенностью, как возможность неограниченного тиражирования.
Это великое свойство информации предопределяет прогресс человечества, ибо благодаря ему осуществляются постепенное наращивание знаний и передача их от поколения к поколению. Однако оно дает и побочный эффект: возможность произвольного распространения сведений, одновременного нахождения их в полном объеме в нескольких местах и одновременного использования любым количеством субъектов (в том числе и конфликтующими сторонами). Свойство информации как бесконечного ресурса предопределяет конструирование в праве систем ограничения на доступ и распространение информации, именуемые институтами тайн. С ним также связано большое количество проблем установления авторства.
3. Следующим факультативным свойством информации, основанным на идеальности, является ее самостоятельность как объекта, независимость от среды, в которой она находится, от носителя, на котором сведения зафиксированы. Ценность сведений также никоим образом не может быть поставлена в зависимость от стоимости их носителя.
4. Для правового регулирования отношений, связанных с информацией, представляет определенный интерес такое ее свойство, как нелинейность - отсутствие зависимости между объемом информации и процессами, которые начинают протекать благодаря ее воздействию. Иными словами, количество информации и ее ценность не тождественны.
5. Следующей качественной характеристикой информации, имеющей принципиальное значение для включения ее в качестве объекта в какие-либо правовые отношения, является ее субъективная ценность, то есть значимость для конкретного субъекта. Причем для различных субъектов информация будет иметь различную ценность.
В праве ценность информации выражается прежде всего в стоимостных характеристиках тех действий, которые следуют за получением информации. В качестве примера здесь можно привести, скажем, факт разглашения сведений, составляющих государственную тайну. В данном случае величина уголовно-правовой санкции ставится в зависимость от материального эквивалента ущерба, нанесенного противоправным распространением указанных сведений.
6. При правовом регулировании важную роль играет увязывание информации с целью, для которой она была получена. Например, факт противоправного доступа к сведениям, составляющим коммерческую тайну, из праздного любопытства может иметь одни правовые последствия, а то же действие с целью их последующей продажи конкурентам - существенно иные последствия.
Таким образом, информация обладает рядом в достаточной мере уникальных свойств, выделяющих ее среди других объектов права. Этим также обусловлена и сложность в обеспечении эффективного правового регулирования тех отношений, в которых она фигурирует.
Исходя из сказанного выше, правовую информацию можно определить как массив нормативных правовых актов и тесно связанных с ними справочных, нормативно-технических и научных материалов, охватывающих все сферы правовой деятельности.
Кроме того, правовую информацию в зависимости от того, от кого она исходит и на что направлена, можно разделить на три большие группы: официальная правовая информация, информация индивидуально-правового характера и неофициальная правовая информация.
Официальная правовая информация - это информация, исходящая от полномочных государственных органов, имеющая юридическое значение и направленная на регулирование общественных отношений. К официальной правовой информации относятся сведения и данные о праве или о законодательстве в широком смысле слова, то есть обо всех действующих и уже прекративших действие нормативных актах.
Официальная правовая информация, в свою очередь, подразделяется на нормативную правовую информацию и иную официальную правовую информацию.
Нормативная правовая информация составляет ядро всей правовой информации и представляет собой совокупность нормативных правовых актов.
Информация индивидуально-правового характера, имеющая юридическое значение, - это информация, исходящая от различных субъектов права, не имеющих властных полномочий, и направленная на создание (изменение, прекращение) конкретных правоотношений.
Правовую информацию индивидуально-правового характера, имеющую юридическое значение, можно подразделить на:
договоры (сделки); жалобы, заявления, порождающие юридические последствия.
Общие черты этих актов: носят индивидуально-правовой характер, направлены на создание (изменение, прекращение) конкретных правоотношений.
Конкретный договор поставки заключается между двумя конкретными организациями, влечет определенные юридические последствия - устанавливает права и обязанности сторон договора, прекращается после исполнения условий договора. Иск, предъявленный конкретным гражданином к конкретной организации по определенному поводу, также порождает определенные юридические последствия.
Нормативный правовой акт - это письменный официальный документ, принятый (изданный) в определенной форме правотворческим органом в пределах его компетенции и направленный на установление, изменение и отмену правовых норм.
1.3 Организационная защита информации
Более чем 25-летний опыт теоретических исследований и практических мероприятий по решению проблемы показывает, что возможности злоупотреблений с информацией, находящейся в ИС, развивались и совершенствовались, по крайней мере, не менее интенсивно , чем средства их предупреждения и пресечения. Проблема приняла ярко выраженный характер игровой ситуации, и притом в антагонистической ее постановке. Из теории игр известно, что решение игровых задач заключается не просто в определении некоторого решения, а в формировании стратегии поведения игроков. Применительно к проблеме защиты информации это означает, что ее решение не может быть сведено просто к созданию механизмов защиты - требуется организация регулярной защиты в широкой интерпритации этого понятия. В данном обзоре и делается попытка системного анализа взглядов зарубежных специалистов на вопросы организации и защиты информации.
1. Процесс создания механизмов защиты. Уже в первом из опубликованных в нашей печати обзоров со ссылкой на ряд зарубежных публикаций отмечалось, что зарубежные специалисты представляют себе процесс создания механизмов защиты информации как реализацию целой программы различных мероприятий. Перечень и содержание этих мероприятий выглядели следующим образом:
-Установление необходимой степени защиты информации.
-Назначение лица, ответственного за выполнение мероприятий по защите информации.
-Определение возможных причин (каналов) утечки информации.
-Выделение необходимых средств на защиту информации.
-Выделение лиц (подразделений), которым поручается разработка механизмов защиты.
-Установление мер контроля и ответственности за соблюдение всех правил защиты информации.
Нетрудно видеть, что приведенные программы есть не что иное как простая интерпретация общепринятой программы проектирования различных компонентов сложных систем. Такой подход полностью вытекает из господствовавших в то время взглядов на решение проблем защиты информации как на разовое мероприятие, осуществляемое на этапе создания или модернизации ИС. Однако по мере того, как становилось все более ясным, что проблема защиты не может быть эффективно решена чисто формальными средствами и в порядке реализации разового мероприятия, стали существенно меняться и подходы к организации механизмов защиты. Для повышения эффективности функционирования механизмов защиты был предложен целый ряд мер организационного характера, направленных как на обеспечение физической целостности информации, так и на предотвращение несанкционированного получения и доступа к ней. Постепенно, по мере того как росло число зарегистрированных преступлений, связанных с информацией в ИС, увеличилось число и разнообразие мероприятий, которые рекомендовались для повышения эффективности защиты. Анализ большого числа зарубежных публикаций позволяет создать следующую классификацию основных организационных мероприятий по защите информации на этапах создания и функционирования ИС.
2. Законодательный аспекты защиты информации. Для организации надежной защиты информации в ИС большое значение имеет наличие в стране законов, регламентирующих правила автоматизированной обработки информации, включая и правила ее защиты, а также устанавливающие меру ответственности за нарушение этих правил. В США, например, этот вопрос интенсивно исследуется вот уже более 20 лет /21/. Исследования законодательных аспектов защиты информации можно разделить на три фазы, различающиеся по их целевой направленности. Основным содержанием первой фазы 1966-1970 гг. были дискуссии о возможности и целесообразности создания больших автоматизированных банков данных. В частности, интенсивно обсуждался вопрос о необходимости создания национального банка данных для использования его в статистике. Эта фаза получила название фазы раннего предупреждения. Последовавшая за тем вторая фаза, которую назвали фазой изучения 1971-1973 гг., характерна тем, что были созданы правительственные и неправительственные комиссии, которые изучали возможности разработки законодательных мер для предотвращения нарушений безопасности информации. Работы, проводимые после 1973 г., получили название фазы регулирования. Наиболее характерной чертой этой фазы явился перевод результатов исследований в законодательную форму. В США действует целая система законов по обеспечению безопасности информации в ИС. Кроме того, считается, что для законодательного обеспечения защиты информации в ИС могут использоваться обычные положения об охране авторских прав, о выдаче лицензий, о выдаче разрешений на снятие копий или сдачу в аренду и т.п. Такие материалы по существующим в США законам, сопровождаются соответствующим законодательным примечанием, например: "Исключительная частная собственность фирмы Styrofoam Security Systems". Она не может быть раскрыта и с нее нельзя снимать копии без письменного разрешения. Важное значение придается также морально-этическим нормам, в том числе и с точки зрения обеспечения безопасности информации. Многие организации разрабатывают и вывешивают на видных местах в тех зонах, где проводится обработка информации, специальные этические кодексы. Например, такой кодекс, разработанный американской Ассоциацией производителей ЭВМ АПЭВМ, названный Кодексом профессионального поведения членов АПЭВМ включен самостоятельным разделом в устав организации. В кодексе используются глаголы "должны" /императивный/ и "следует" высказывающий пожелание. Правила и этические соображения не являются обязательными, однако каждое дисциплинарное правило обязательно для каждого члена АПЭВМ. В случае несоблюдения дисциплинарных правил на члена общества налагается взыскание: предупреждение, временное или полное исключение из Ассоциации.
Глава 2. Методы защиты информации
Для защиты информации используют следующие основные методы: ранжирование, дезинформация, скрытие, морально-нравственные меры, учет, кодирование и шифрование, дробление.
1.Ранжирование защищаемой информации осуществляется путем деления ее по степени секретности, разграничения доступа к ней в соответствии с имеющимся у пользователя допуском, предоставления отдельным пользователям индивидуальных прав на пользование секретными документами и выполнение секретных работ. Разграничение доступа к информации может осуществляться по тематическому признаку или по признаку секретности информации. Этот метод является частным случаем метода скрытия, так как информация скрывается от тех пользователей, которые не имеют к ней допуска.
2.Дезинформация заключается в распространении заведомо ложных сведений относительно истинного назначения каких-либо объектов или содержания защищаемых сведений. Она обычно проводится путем распространения ложной информации по различным каналам, имитацией или искажением признаков и свойств отдельных элементов объектов защиты, осуществлением ложных действий, по своим признакам похожих на интересующие соперника действия и др.
Частным случаем дезинформации является легендирование – снабжение противника искаженными сведениями о характере и предназначении защищаемой информации или объекта, когда их наличие полностью не скрывается, а маскируются действительное предназначение и характер действий. На практике, учитывая очень высокую степень развития современных средств ведения разведки, является чрезвычайно сложным полное скрытие информации об объектах. Так, современные средства фоторазведки позволяют делать из космоса снимков с разрешающей способностью в несколько десятков сантиметров. Дробление (расчленение) информации на части осуществляется для того, чтобы знание какой-то одной ее части не позволило восстановить всю картину. Этот метод широко применяется при производстве средств вооружения, но может использоваться и для защиты технологических секретов, составляющих коммерческую тайну.
3.Скрытие защищаемой информации является одним из наиболее широко применяемых методов. Его сущность заключается в проведении следующих мероприятий:
-засекречивание информации, установление на носителях соответствующего ей грифа секретности и разграничение в связи с этим доступа к ней пользователей в соответствии с имеющимся у них допуском;
- устранение или ослабление технических демаскирующих признаков объектов защиты и технических каналов утечки информации.
4.Морально-нравственные методы защиты информации предполагают воспитательную работу с сотрудником, допущенным к секретным работам и документам, направленную на формирование у него определенных моральных принципов, взглядов и убеждений, таких как патриотизм, понимание важности защиты информации для него лично, его работы, организации, ведомства и государства в целом. При этом воспитательная работа может дополняться методами профилактики и контроля, иными способа ми привития положительных качеств у сотрудников.
5.Учет один из важнейших методов защиты информации, позволяющий контролировать наличие и местонахождение носителей защищаемой информации, а также данные о лицах, которые ими пользовались. Основными принципами учета являются:
-обязательность регистрации всех носителей защищаемой информации;
-однократность регистрации конкретного носителя такой информации;
-указание в учетах адреса, куда отправлен или где находится в настоящее время данный носитель засекреченной информации;
-единоличная ответственность за сохранность каждого носителя защищаемой информации.
6.Криптографическое закрытие информации заключается в преобразовании ее составных частей (слов, букв, слогов, цифр) с помощью специальных алгоритмов либо аппаратных решений и кодов ключей, т.е. в приведении к неявному виду. Для ознакомления с шифрованной информацией применяется обратный процесс – декодирование (дешифрование).
Под кодированием понимается такой вид криптографического закрытия, когда некоторые элементы защищаемых данных заменяются заранее выбранными кодами (цифровыми, буквенными, буквенно-цифровыми сочетаниями и т.п.). Кодирование информации может производиться с использованием технических средств или вручную. Этот метод имеет две разновидности:
-смысловое, когда кодируемые элементы имеют вполне определенный смысл (слова, предложения, группы предложений);
-символьное, когда кодируется каждый символ защищаемого сообщения.
Под шифрованием понимается такой вид криптографического закрытия, при котором преобразованию подвергается каждый символ защищаемого сообщения. Все известные способы шифрования можно разбить на пять групп: подстановка (замена), перестановка, аналитическое преобразование, гаммирование и комбинированной шифрование. Шифрование информации обычно используется при передаче сообщений по техническим каналам связи (радио, проводным, компьютерным сетям). Шифрование может быть предварительным, когда текст документа шифруется заблаговременно перед его передачей по телетайпу, электронной почте и иным средствам связи, или линейным, когда шифрование информации (разговора, текста, графического изображения, компьютерного файла) производится непосредственно в процессе передачи. Для шифрования обычно используется специальная засекречивающая аппаратура (шифрмашины), аналоговые и цифровые скремблеры.
О важности и эффективности такой меры защиты информации свидетельствует то, что государственным шифрам, кодам и соответствующей засекречивающей аппаратуре обычно присваивается наиболее высокий гриф секретности, так как они дают ключ к рассекречиванию перехваченных радиограмм.
7.Дробление (расчленение) информации на части осуществляется для того, чтобы знание какой-то одной ее части не позволило восстановить всю картину. Этот метод широко применяется при производстве средств вооружения, но может использоваться и для защиты технологических секретов, составляющих коммерческую тайну.
Глава 3. Средства защиты информации
1.Аппаратные средства — устройства, встраиваемые непосредственно в вычислительную технику, или устройства, которые сопрягаются с ней по стандартному интерфейсу.
2.Программные средства — это специальные программы и программные комплексы, предназначенные для защиты информации в ИС. Из средств ПО системы защиты необходимо выделить еще программные средства, реализующие механизмы шифрования (криптографии), Криптография — это наука об обеспечении секретности и/или аутентичности (подлинности) передаваемых сообщений.
3.Противодействие атакам вредоносных программ — предполагает комплекс разнообразных мер организационного характера и использование антивирусных программ.
4.Управление доступом — методы защиты информации регулированием использования всех ресурсов ИС и ИТ. Эти методы должны противостоять всем возможным путям несанкционированного доступа к информации. Управление доступом включает следующие функции защиты:
-идентификацию пользователей, персонала и ресурсов системы (присвоение каждому объекту персонального идентификатора);
-опознание (установление подлинности) объекта или субъекта по предъявленному им идентификатору;
-разрешение и создание условий работы в пределах установленного регламента;
-регистрацию (протоколирование) обращений к защищаемым ресурсам;
-реагирование (сигнализация, отключение, задержка работ, отказ в запросе и т.п.) при попытках несанкционированных действий.
5.Механизмы шифрования — криптографическое закрытие информации. Эти методы защиты все шире применяются как при обработке, так и при хранении информации на магнитных носителях. При передаче информации по каналам связи большой протяженности этот метод является единственно надежным.
Вся совокупность технических средств подразделяется на аппаратные и физические.
6.Физические средства включают различные инженерные устройства и сооружения, препятствующие физическому проникновению злоумышленников на объекты защиты и осуществляющие защиту персонала (личные средства безопасности), материальных средств и финансов, информации от противоправных действий. Примеры физических средств: замки на дверях, решетки на окнах, средства электронной охранной сигнализации и т.п.
7.Законодательные средства защиты определяются законодательными актами страны, которыми регламентируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.
8.Организационные средства осуществляют своим комплексом регламентацию производственной деятельности в ИС и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к конфиденциальной информации становится невозможным или существенно затрудняется за счет проведения организационных мероприятий.
9.Морально-этические средства защиты включают всевозможные нормы поведения, которые традиционно сложились ранее, складываются по мере распространения ИС и ИТ в стране и в мире или специально разрабатываются. Морально-этические нормы могут быть неписаные (например, честность) либо оформленные в некий свод (устав) правил или предписаний. Эти нормы, как правило, не являются законодательно утвержденными, но поскольку их несоблюдение приводит к падению престижа организации, они считаются обязательными для исполнения.
Глава 4. Криптографические средства защиты
Готовое к передаче информационное сообщение, первоначально открытое и незащищенное, зашифровывается и тем самым преобразуется в шифрограмму, т. е. в закрытые текст или графическое изображение документа. В таком виде сообщение передается по каналу связи, даже и не защищенному. Санкционированный пользователь после получения сообщения дешифрует его (т. е. раскрывает) посредством обратного преобразования криптограммы, вследствие чего получается исходный, открытый вид сообщения, доступный для восприятия санкционированным пользователям.
Методу преобразования в криптографической системе соответствует использование специального алгоритма. Действие такого алгоритма запускается уникальным числом (последовательностью бит), обычно называемым шифрующим ключом.
Для большинства систем схема генератора ключа может представлять собой набор инструкций и команд либо узел аппаратуры, либо компьютерную программу, либо все это вместе, но в любом случае процесс шифрования (дешифрования) реализуется только этим специальным ключом. Чтобы обмен зашифрованными данными проходил успешно, как отправителю, так и получателю, необходимо знать правильную ключевую установку и хранить ее в тайне.
Стойкость любой системы закрытой связи определяется степенью секретности используемого в ней ключа. Тем не менее, этот ключ должен быть известен другим пользователям сети, чтобы они могли свободно обмениваться зашифрованными сообщениями. В этом смысле криптографические системы также помогают решить проблему аутентификации (установления подлинности) принятой информации. Взломщик в случае перехвата сообщения будет иметь дело только с зашифрованным текстом, а истинный получатель, принимая сообщения, закрытые известным ему и отправителю ключом, будет надежно защищен от возможной дезинформации.
Современная криптография знает два типа криптографических алгоритмов: классические алгоритмы, основанные на использовании закрытых, секретных ключей, и новые алгоритмы с открытым ключом, в которых используются один открытый и один закрытый ключ (эти алгоритмы называются также асимметричными). Кроме того, существует возможность шифрования информации и более простым способом — с использованием генератора псевдослучайных чисел.
Использование генератора псевдослучайных чисел заключается в генерации гаммы шифра с помощью генератора псевдослучайных чисел при определенном ключе и наложении полученной гаммы на открытые данные обратимым способом.
Надежность шифрования с помощью генератора псевдослучайных чисел зависит как от характеристик генератора, так и, причем в большей степени, от алгоритма получения гаммы.
Этот метод криптографической защиты реализуется достаточно легко и обеспечивает довольно высокую скорость шифрования, однако недостаточно стоек к дешифрованию и поэтому неприменим для таких серьезных информационных систем, каковыми являются, например, банковские системы.
Для классической криптографии характерно использование одной секретной единицы — ключа, который позволяет отправителю зашифровать сообщение, а получателю расшифровать его. В случае шифрования данных, хранимых на магнитных или иных носителях информации, ключ позволяет зашифровать информацию при записи на носитель и расшифровать при чтении с него.
Наиболее перспективными системами криптографической защиты данных сегодня считаются асимметричные криптосистемы, называемые также системами с открытым ключом. Их суть состоит в том, что ключ, используемый для зашифровывания, отличен от ключа расшифровывания. При этом ключ зашифровывания не секретен и может быть известен всем пользователям системы. Однако расшифровывание с помощью известного ключа зашифровывания невозможно. Для расшифровывания используется специальный, секретный ключ. Знание открытого ключа не позволяет определить ключ секретный. Таким образом, расшифровать сообщение может только его получатель, владеющий этим секретным ключом.
Известно несколько криптосистем с открытым ключом. Наиболее разработана на сегодня система RSA. RSA— это система коллективного пользования, в которой каждый из пользователей имеет свои ключи зашифровывания и расшифровывания данных, причем секретен только ключ расшифровывания.
Специалисты считают, что системы с открытым ключом больше подходят для шифрования передаваемых данных, чем для защиты данных, хранимых на носителях информации. Существует еще одна область применения этого алгоритма — цифровые подписи, подтверждающие подлинность передаваемых документов и сообщений.
Из изложенного следует, что надежная криптографическая система должна удовлетворять ряду определенных требований.
-Процедуры зашифровывания и расшифровывания должны быть «прозрачны» для пользователя.
-Дешифрование закрытой информации должно быть максимально затруднено.
-Содержание передаваемой информации не должно сказываться на эффективности криптографического алгоритма.
Процессы защиты информации, шифрования и дешифрования связаны с кодируемыми объектами и процессами, их свойствами, особенностями перемещения. Такими объектами и процессами могут быть материальные объекты, ресурсы, товары, сообщения, блоки информации, транзакции (минимальные взаимодействия с базой данных по сети). Кодирование кроме целей защиты, повышая скорость доступа к данным, позволяет быстро определять и выходить на любой вид товара и продукции, страну-производителя и т.д. В единую логическую цепочку связываются операции, относящиеся к одной сделке, но географически разбросанные по сети.
Например, штриховое кодирование используется как разновидность автоматической идентификации элементов материальных потоков, например товаров, и применяется для контроля за их движением в реальном времени. Достигается оперативность управления потоками материалов и продукции, повышается эффективность управления предприятием. Штриховое кодирование позволяет не только защитить информацию, но и обеспечивает высокую скорость чтения и записи кодов. Наряду со штриховыми кодами в целях защиты информации используют голографические методы.
Методы защиты информации с использованием голографии являются актуальным и развивающимся направлением. Голография представляет собой раздел науки и техники, занимающийся изучением и созданием способов, устройств для записи и обработки волн различной природы. Оптическая голография основана на явлении интерференции волн. Интерференция волн наблюдается при распределении в пространстве волн и медленном пространственном распределении результирующей волны. Возникающая при интерференции волн картина содержит информацию об объекте. Если эту картину фиксировать на светочувствительной поверхности, то образуется голограмма. При облучении голограммы или ее участка опорной волной можно увидеть объемное трехмерное изображение объекта. Голография применима к волнам любой природы и в настоящее время находит все большее практическое применение для идентификации продукции различного назначения.
Технология применения кодов в современных условиях преследует цели защиты информации, сокращения трудозатрат и обеспечение быстроты ее обработки, экономии компьютерной памяти, формализованного описания данных на основе их систематизации и классификации.
В совокупности кодирование, шифрование и защита данных предотвращают искажения информационного отображения реальных производственно-хозяйственных процессов, движения материальных, финансовых и других потоков, а тем самым способствуют обоснованности формирования и принятия управленческих решений.
Глава 5. Программные средства защиты
Программные средства – специальные пакеты программ или отдельные программы, включаемые в состав программного обеспечения автоматизированных систем с целью решения задач защиты информации.
К программным средствам защиты относятся:
Средства собственной защиты, предусмотренные общим программным обеспечением – элементы защиты присущие самому программному обеспечению или препятствующие незаконным действиям.
Средства защиты в составе вычислительных систем – средства защиты аппаратуры, дисков и штатных устройств, при использовании которых операционная система постоянно изменяется.
Средства защиты с запросом информации – средства, которые требуют для своей работы ввода дополнительной информации с целью идентификации полномочий пользователя.
Средства активной защиты – инициируют при возникновении особых обстоятельств.
Средства пассивной защиты – направлены на контроль, поиск улик с целью создания обстановки для раскрытия преступления.
Защита средствами операционной системы
MS-DOS, как наиболее распространенная операционная система, не представляет каких-либо методов защиты. Это наиболее открытая операционная система, и на ее базе разработано много различных аппаратных и программных средств, в частности – виртуальные кодируемые или шифруемые диски, блокираторы загрузки. Однако имеющиеся средства дисассемблирования, отладчики, а также большое количество квалифицированных программистов сводят на нет все программные методы. DR-DOS, как одна из разновидностей MS-DOS, хоть и поддерживает блокировку файлов, но загрузка с дискеты или с другого накопителя делает бесполезной использование встроенных систем защиты. Windows 95/98 основаны на базе MS-DOS, и им присущи все ее недостатки. Парольная система Windows 95/98/ME/XP не выдерживает никакой критики, и даже установка дополнительных модулей системной политики не решает данную задачу. WindowsNT и Novell, хотя и решают задачу защиты, но… вот простейший пример – у Вас похитили, или изъяли в установленном порядке, компьютер. Диск установили вторым – и все ваше администрирование, на которое потрачены тысячи (если не миллионы) часов, уже никому не помеха.
Для установки пароля BIOS, максимум что надо, это – открыть компьютер, установить перемычку и снять ее (самое большее – две минуты). Есть два исключения – системы с часами на базе микросхем DALLAS и переносные компьютеры. Здесь задачка не так просто решается. Помогает снятие накопителя и установка его в другой компьютер (опять же две минуты).
Заключение
Информационная эра привела к драматическим изменениям в способе выполнения своих обязанностей для большого числа профессий. Теперь нетехнический специалист среднего уровня может выполнять работу, которую раньше делал высококвалифицированный программист. Служащий имеет в своем распоряжении столько точной и оперативной информации, сколько никогда не имел.
Но использование компьютеров и автоматизированных технологий приводит к появлению ряда проблем для руководства организацией. Компьютеры, часто объединенные в сети, могут предоставлять доступ к колоссальному количеству самых разнообразных данных. Поэтому люди беспокоятся о безопасности информации и наличии рисков, связанных с автоматизацией и предоставлением гораздо большего доступа к конфиденциальным, персональным или другим критическим данным. Все увеличивается число компьютерных преступлений, что может привести, в конечном счете, к подрыву экономики. И поэтому должно быть ясно, что информация – это ресурс, который надо защищать. Ответственность за защиту информации лежит на низшем звене руководства. Но также кто-то должен осуществлять общее руководство этой деятельностью, поэтому в организации должно иметься лицо в верхнем звене руководства, отвечающее за поддержание работоспособности информационных систем. И так как автоматизация привела к тому, что теперь операции с вычислительной техникой выполняются простыми служащими организации, а не специально подготовленным техническим персоналом, нужно, чтобы конечные пользователи знали о своей ответственности за защиту информации.
Единого рецепта, обеспечивающего 100% гарантии сохранности данных и надёжной работы сети, не существует. Однако создание комплексной, продуманной концепции безопасности, учитывающей специфику задач конкретной организации, поможет свести риск потери ценнейшей информации к минимуму.
Практически любую информацию можно защитить, если пользователь пожелает это сделать, сохранив ее таким образом. В скором будущем компьютерызаменят многие привычные сейчас вещи, следовательно, нам придется доверить компьютеру самое сокровенное, которое человек никогда в жизни не доверит другому человеку, поэтому потребуется более надежная защита информации, такая, что тайны человека смогут лишь узнать, в крайнем случае, после его смерти. Человечество надеется, что компьютер станет другом, которому можно будет сказать все, зная, что он никогда сам не раскроет их тайны.
Список использованной литературы
1. Титоренко Г.А. Информационные технологии управления. М., Юнити: 2002г.
2. Мельников В. Защита информации в компьютерных системах. М.: Финансы и статистика, Электронинформ, 1997
3. Семкин С.Н., Беляков Э.В., Гребенев С.В., Козачок В.И. «Основы организационного обеспечения информационной безопасности объектов информатизации» 2005 г.
4. Алексеенко В.Н., Сокольский Б.В. Технические средства защиты 1992 г.
5. Интернет: www., www.bankreferatov.ru
6. Электронная библиотека кафедры «Организация технологий защиты информации» \ Теория и методология защиты информации \ Лекционные материалы
7. Вихорев С.В. Классификация угроз информационной безопасности 2001г.
|
