Методы и средства защиты ЛИС

Защита информации предусматривает комплекс мероприятий, направленных на обеспечение информационной безопасности.

Рис. 4. Методы и средства обеспечения безопасности информации.

Препятствие — физическое преграждение пути злоумышленнику к аппаратуре, носителям информации. Используются физические средства защиты — замки, решетки на окнах, охрана помещений.

Управление доступом — регулирование использования ресурсов информационной системы. Включает в себя:

идентификацию пользователей, персонала и ресурсов системы (присвоение каждому субъекту и объекту персонального имени);

регистрацию, опознание субъекта или объекта путем ввода пароля, другими методами опознания;

ограничение прав при использовании ресурсов системы; ведение журнала, протоколирование обращений к системе; реагирование (сигнализация, отключение, отказ) при попытках несанкционированных действий.

Используется при доступе к аппаратным и программным средствам, при входе в сеть.

Для повышения надежности парольной защиты пароль не должен быть слишком коротким, его следует периодически менять, число неудачных попыток входа в систему должно быть ограничено.

Шифрование — криптографический метод. Распространены программы для шифрования информации (Secret Disk), шифрующие информацию на дисках компьютера. Шифрование — является единственным надежным методом при передаче информации на большие расстояния. В качестве шифровального ключа может использоваться набор команд, устройство, программа. В системах ассиметричного шифрования (с открытым ключом) ключ для зашифровывания отличен от ключа для расшифровывания, и может быть несекретен.

Разновидность метода — электронная подпись, подтверждающая подлинность передаваемых сообщений и документов. Согласно Федерального Закона от 06.04.2011 N 63-ФЗ «Об электронной подписи», электронная подпись — это информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с такой информацией и которая используется для определения лица, подписывающего информацию. Существуют различные типы электронной подписи, которые закреплены в законодательных актах.

Рис. 5. Типы электронной подписи.

Выбор типа электронной подписи зависит от задач, которые необходимо решать с ее помощью. Для сдачи отчетности в государственные органы, для решения задач межкорпоративного электронного документооборота потребуется использование усиленной квалифицированной электронной подписи. Она позволяет осуществить доказательное подтверждение авторства документа, защиту от изменений и контроль целостности документа. Для внутреннего электронного документооборота при наличии соответствующих локальных нормативно-правовых актов можно самостоятельно создать и использовать как простую электронную подпись, так и неквалифицированную.

Статья 6 ФЗ № 63 «Об электронной подписи» утверждает, документ, подписанный квалифицированной электронной подписью, признается равнозначным документу на бумажном носителе, подписанному собственноручной подписью, если нормы законодательства не требуют составления документа исключительно на бумаге. Сертификат ключа проверки электронной подписи — это документ (электронный или на бумажном носителе), выданный удостоверяющим центром и подтверждающий принадлежность ключа проверки электронной подписи владельцу сертификата ключа проверки электронной подписи. Сертификат необходим для сопоставления средств проверки подписи с их владельцем.

Противодействие атакам вредоносных программ должно осуществляться с помощью антивирусных программ, регулярно тестирующих все компьютерные диски, особенно съемные. Так как компьютерные вирусы постоянно меняются, появляются новые, то и антивирусные программ должны регулярно обновляться. Также необходимо использование тольколицензионного программного обеспечения, нельзя использовать «взломанные», пиратские программы (см. главу 4).

Регламентация — создание условий обработки, хранения и передачи информации для максимальной защиты. Особенно важно резервное копирование информации — в случае потери информации будет возможность воспользоваться копией. Копировать информацию нужно на другой носитель, а не на тот же компьютерный диск, где хранится рабочая информация.

Также необходимо ограничение доступа в помещения, хранение носителей информации в закрытых металлических шкафах, учет носителей информации, предотвращение их выноса, хищения, несанкционированного копирования.

Принуждение — метод защиты, побуждающий пользователей и персонал соблюдать правила обработки, передачи и использования информации под угрозой материальной, административной или уголовной ответственности.

Побуждение персонала соблюдать правила защиты информации, не нарушать установленные порядки осуществляется морально-этическими средствами.

При разработке и реализации системы защиты ИС выделяют три стадии:

• 1) Выработка требований:
  • — выявление и анализ уязвимых элементов;
  • — выявление или прогнозирование угроз, которым могут подвергнуться уязвимые элементы ИС;
  • — анализ риска.
• 2) Определение способов защиты и разработка плана защиты. Принимаются решения:
  • — какие угрозы должны быть устранены и в какой мере;
  • — какие ресурсы ИС должны быть защищены и в какой степени;
  • — с помощью каких средств должна быть реализована защита;
  • — каковы должны быть стоимость реализации защиты и затраты на эксплуатацию ИС с учетом защиты от потенциальных угроз.
• 3) Построение системы информационной безопасности. Оценка надежности системы.