Появление новых информационных технологий и развитие мощных компьютерных систем хранения и обработки информации повысили уровни защиты информации и вызвали необходимость в том, чтобы эффективность защиты информации росла вместе со сложностью архитектуры хранения данных. Так постепенно защита экономической информации становится обязательной: разрабатываются всевозможные документы по защите информации; формируются рекомендации по защите информации; даже проводятся законы о защите информации, которые рассматривают проблемы защиты информации и задачи защиты информации, а также решает некоторые уникальные вопросы защиты информации.
Таким образом, угроза защиты информации сделала средства обеспечения информационной безопасности одной из обязательных характеристик информационной системы.
"Объединение компьютеров в компьютерную информационную сеть (КИС) привносит и новые трудности. Так как подразделение ведет работу с закрытой информацией, доступ к которой посторонним лицам строго запрещен, то возникает проблема защиты информации в КИС. Поэтому компьютерная информационная сеть (КИС) должна быть спроектирована таким образом, чтобы обеспечить надлежащую степень защищенности данных. Надо помнить, что от этого не должно страдать удобство пользователей и администраторов сети"
Для создания средств защиты информации необходимо определить природу угроз, формы и пути их возможного проявления и осуществления в автоматизированной системе. Для решения поставленной задачи все многообразие угроз и путей их воздействия приводится к простейшим видам и формам, которые были бы адекватны их множеству в автоматизированной системе. [5; с. 87-93]
Исследование опыта проектирования, изготовления, испытаний и эксплуатации автоматизированных систем говорят о том, что информация в процессе ввода, хранения, обработки и передачи подвергается различным случайным воздействиям.
Причинами таких воздействий могут быть:
- отказы и сбои аппаратуры;
- помехи на линии связи от воздействий внешней среды;
- ошибки человека как звена системы;
- системные и системотехнические ошибки разработчиков;
- структурные, алгоритмические и программные ошибки;
- аварийные ситуации;
- другие воздействия.
Преднамеренные угрозы связаны с действиями человека, причинами которых могут быть определенное недовольство своей жизненной ситуацией, сугубо материальный интерес или простое развлечение с самоутверждением своих способностей, как у хакеров, и т.д.
Нет никаких сомнений, что на предприятии произойдут случайные или преднамеренные попытки взлома сети извне. В связи с этим обстоятельством требуется тщательно предусмотреть защитные мероприятия.
Для вычислительных систем характерны следующие штатные каналы доступа к информации:
- терминалы пользователей, самые доступные из которых это рабочие станции в компьютерных классах;
- терминал администратора системы;
- терминал оператора функционального контроля;
- средства отображения информации;
- средства загрузки программного обеспечения;
- средства документирования информации;
- носители информации;
- внешние каналы связи.
Архитектура защиты компьютерной информации строится таким образом, чтобы злоумышленник столкнулся с множеством уровней защиты информации: защита сервера посредством разграничения доступа и системы аутентификации пользователей и защита компьютера самого пользователя, который работает с секретными данными. Защита компьютера и защита сервера одновременно позволяют организовать схему защиты компьютерной информации таким образом, чтобы взломщику было невозможно проникнуть в систему, пользуясь столь ненадежным средством защиты информации в сети, как человеческий фактор. То есть, даже обходя защиту компьютера пользователя базы данных и переходя на другой уровень защиты информации, хакер должен будет правильно воспользоваться данной привилегией, иначе защита сервера отклонит любые его запросы на получение данных и попытка обойти защиту компьютерной информации окажется тщетной.
Сегодня для реализации эффективного мероприятия по защите информации требуется не только разработка средства защиты информации в сети и разработка механизмов модели защиты информации, а реализация системного подхода или комплекса защиты информации - это комплекс взаимосвязанных мер, описываемый определением "защита информации". Данный комплекс защиты информации, как правило, использует специальные технические и программные средства для организации мероприятий защиты информации.
Принято различать пять основных средств защиты информации:
- технические;
- программные;
- криптографические;
- организационные;
- законодательные.
Кроме того, модели защиты информации предусматривают ГОСТ "Защита информации", который содержит нормативно-правовые акты и морально-этические меры защиты информации и противодействие атакам извне. ГОСТ "Защита информации" нормирует определение защиты информации рядом комплексных мер защиты информации, которые проистекают из комплексных действий злоумышленников, пытающихся любыми силами завладеть секретными сведениями. И сегодня можно смело утверждать, что постепенно ГОСТ (защита информации) и определение защиты информации рождают современную технологию защиты информации в сетях компьютерных информационных системах и сетях передачи данных.
Любая комплексная система защиты информации после того, как производится аудит информационной безопасности объекта, начинает опираться на наиболее распространенные пути перехвата конфиденциальных данных, поэтому их важно знать, для того чтобы понимать, как разрабатывается комплексная система защиты информации.
Проблемы информационной безопасности в сфере технической защиты информации:
- перехват электронных излучений. Проблема решается обеспечением защиты информации, передаваемой по радиоканалам связи и обмена данными информационной системы;
- принудительное электромагнитное облучение (подсветка) линий связи с целью получения паразитной модуляции несущей. Проблема решается с помощью инженерной защитой информацией или физическая защита информации, передаваемой по связевым кабельным линиям передачи данных.
Сюда также относится защита информации в локальных сетях, защита информации в интернете и технические средства информационной безопасности;
- применение подслушивающих устройств;
- дистанционное фотографирование, защита информации реферат;
- перехват акустических излучений и восстановление текста принтера;
- копирование носителей информации с преодолением мер защиты;
- маскировка под зарегистрированного пользователя;
- маскировка под запросы системы;
- использование программных ловушек;
- использование недостатков языков программирования и операционных систем;
- незаконное подключение к аппаратуре и линиям связи специально разработанных аппаратных средств, обеспечивающих доступ информации;
- злоумышленный вывод из строя механизмов защиты;
- расшифровка специальными программами зашифрованной информации;
- информационные инфекции;
Вышеперечисленные пути утечки информации по оценке информационной безопасности требуют высокого уровня технических знаний для того чтобы использовать наиболее эффективные методы и системы защиты информации, кроме этого необходимо обладать высоким уровнем аппаратных и программных средств защиты информации, так как взломщик, охотящийся за ценными сведениями, не пожалеет средств для того, чтобы обойти защиту и безопасность информации системы.
Например, физическая защита информации предотвращает использование технических каналов утечки данных к злоумышленнику.
Причина, по которой могут появиться подобные "дыры" - конструктивные и технические дефекты решений защиты информации от несанкционированного доступа, либо физический износ элементов средств обеспечения информационной безопасности.
Это дает возможность взломщику устанавливать преобразователи, которые образуют некие принципы действующего канала передачи данных, и способы защиты информации должны предусматривать и идентифицировать подобные "жучки".
Вывод: сегодня на рынке можно увидеть различные
решения для обеспечения безопасности информации. Количество средств обеспечения
информационной безопасности, не требующих обычного для систем многомесячного
внедрения, продолжает увеличиваться.
Глава II. Разработка методических основ обеспечения информационной
безопасности предприятия
.1 Анализ рисков и принципы информационной безопасности предприятия
Цели и задачи обеспечения информационной безопасности не могут быть отдельно от бизнес целей и задач организации. Сфера деятельности организации, способы ведения бизнеса, конкурентная среда, применяемые информационные системы, квалификация и мотивация персонала компании, и некоторые прочие факторы изъявляют ключевое воздействие на карту операционных рисков организации, охватывая риски ИБ, а используемые защитные пределы обязаны уменьшать актуальные риски до терпимой величины.
Разбор рисков информационной безопасности позволяет открыть критичные факторы, отрицательно оказывающие влияние на основные бизнес-процессы предприятия, и принимать действенные меры для их устранения или минимизации подобного воздействия. Упущение очень царственной для бизнеса информации в конечном итоге приводит к существенным финансово-экономическим утратам. Не так важно, на какой-либо стадии развития находится информационная система организации, она обязана отвечать установленному комплексу требований к обеспечению информационной безопасности. Имеются требования регуляторов, свободные от области, а имеются запросы, характерные для установленного сектора экономики. Также имеются "лучшие практики", разрешающие снабдить информационную безопасность на величине, соответствующей целям и запросам данного сегмента бизнеса.
Совершая оценивание активов компании, как правило, специалисты могут определить источники проблем (благодаря основанию моделей угроз и нарушителей, нахождения уязвимых мест), происходит оценка имеющейся меры и средств защиты, так же происходит оценка рисков и в тоже время надежности информационной безопасности данной компании, происходит внедрение наилучших решений по сокращению выявляемых угроз и рисков.
В конечном итоге уменьшаются риски и угрозы, объединенные с вероятными экономическими и репутационными утратами, утратами имиджа, приходящими в связи угрозами информационной безопасности, очевидно, научить рациональное обоснование финансовых утрат на информационную безопасность, повысить уровень защищенности информации компании, которая обрабатывается и содержится в автоматизированных информационных системах.
Современные методы управления рисками дают возможность разрешить перечень задач перспективного стратегического развития компании. Во-первых, количественно дать оценку текущего уровня информационной безопасности компании, что вызовет раскрытие рисков на правовом, организационно-управленческом, технологическом и техническом уровнях обеспечения защиты информации. Во-вторых, в систему риск-менеджмента в компании, возможно, будет введена политика безопасности и планы улучшения корпоративной системы защиты информации для того, чтобы достигнуть достаточной степени защищенности информационных активов организации.
В связи с этим могут быть даны рекомендации по осуществлению расчета финансовых и материальных вложений в обеспечение безопасности на костяке технологического анализирования угроз и рисков, совершить сопоставление затрат на обеспечение безопасности с возможным уроном и возможностью его появления. Надо открывать и проводить первоочередное блокирование не менее тяжелых уязвимостей до исполнения штурмов на наиболее уязвляемые и важные в компании ресурсы. Надлежит найти функциональные связи и зоны ответственности в периодах взаимодействия различных структурных подразделений и субъектов по обеспечению информационной безопасности компании, и в том числе необходимо разработать нужный пакет организационно-распорядительной документации. В то же время необходимо реализовывать разработку и координирование со службами организации, органы, которые осуществляют наблюдение проекта введения нужного комплекса защиты, манкирующего нынешнюю величину и тенденции формирования информационных технологий. Наряду с этим, значительным мероприятием помощи системе безопасности информации выказывается обеспечение поддержания введенного комплекса защиты в соответствии с меняющимися условиями работы компании, постоянными доработками организационно-распорядительной документации, модификацией технологических процессов и модернизацией технических средств защиты.