Информационная безопасность и ее составляющие

Процесс информатизации современного общества приводит к резкому увеличению ценности определенной информации и убытков, которые могут иметь место в случае ее утечки, модификации или уничтожения. В связи с этим особенно актуальной становится проблема обеспечения информационной безопасности.

Понятие безопасности в информационной сфере является весьма широким. В общем смысле под информационной безопасностью понимают защищенность информации от попыток несанкционированного ее получения, модификации, разрушения и задержек доступа. Информационная безопасность должна обеспечивать достижение следующих целей:

• — целостность данных — защиту от сбоев, ведущих к потере информации, а также неавторизованного создания или уничтожения данных;
• — конфиденциальность информации;
• — доступность для всех авторизованных пользователей.

К числу причин, приводящих к потере или нежелательному изменению информации можно отнести следующие:

• 1) Несанкционированный доступ к данным (случайный или умышленный):
  • — копирование, искажение, уничтожение или подделка информации;
  • — ознакомление посторонних лиц с конфиденциальной информацией.
• 2) Некорректная работа программного обеспечения, приводящая к потере или порче данных:
  • — ошибки в прикладном или сетевом ПО;
  • — заражение систем компьютерными вирусами.
• 3) Технические сбои оборудования, вызванные:
  • — отключением электропитания;
  • — отказом дисковых систем и систем архивации данных;
  • — нарушением работы серверов, рабочих станций, сетевых карт, модемов;
  • — сбоями кабельной системы.
• 4) Ошибки обслуживающего персонала или пользователей.
• 5) Неправильное хранение информации.

В вычислительной технике понятие безопасности является весьма широким. Оно подразумевает и надежность работы компьютера, и сохранность ценных данных, и защиту информации от внесения в нее изменений неуполномоченными лицами, и сохранение тайны переписки при электронной связи. Разумеется, во всех цивилизованных странах на страже безопасности граждан стоят законы, но в сфере вычислительной техники правоприменительная практика пока развита недостаточно, а законотворческий процесс не успевает за развитием технологий. Поэтому надежность работы компьютерных систем во многом опирается на меры самозащиты.

Безопасность информационной системы — это система организационных и технических мероприятий, нацеленных на предотвращение угроз, то есть событий или действий, нарушающих нормальное функционирование компьютерной системы или права граждан, предприятий и государства на обладание информацией.

Мероприятия, обеспечивающие безопасность компьютерной системы, должны предусматривать все возможные угрозы и обычно включают в себя физическую защиту сервера, средства восстановления систем и данных после отказов и средства защиты от несанкционированного доступа.

Конечно, универсального решения проблемы информационной безопасности, исключающего все перечисленные причины: физическую защиту данных и системных программ, защиту от несанкционированного доступа к данным, передаваемым по линиям связи и находящимся на накопителях, — нет.

В настоящее время разработаны и успешно применяются различные методы и средства, позволяющие свести к минимуму риск потери или нежелательной модификации данных. Однако единого подхода к их классификации не существует.

Так, например, выделяют юридические, технические и организационные аспекты обеспечения безопасности информации.

К юридическим мерам относятся: разработка нормативных актов, подразумевающих административную и уголовную ответственность за хищение информации, нарушение авторских прав программистов и все те виды компьютерных преступлений, которые были оговорены ранее.

К техническим мерам относятся: защита от несанкционированного доступа к системе; программные средства борьбы с вирусами; резервное копирование и архивирование особо важных документов; организация локальных вычислительных сетей с возможностью перераспределения ресурсов, в случае выхода из строя отдельных звеньев; установка систем защиты от сбоев в сети электропитания; а также оснащение помещений системой охранной сигнализации.

Под организационными мерами понимается в первую очередь подбор сотрудников компании, а также обеспечение того, чтобы непроверенные лица не допускались к охраняемой информации. Сюда относится, например, оборудование помещений системой кодовых замков, чтобы в данную комнату мог войти только человек, который знает код, открывающий дверь.

Существуют и другие подходы к классификации средств защиты информации:

— средства физической защиты: средства защиты кабельной системы, систем электропитания, средства архивации, дисковые массивы и т. д.

Физическая защита, в частности, включает в себя:

• а) обеспечение безопасности помещений, где установлены серверы с учетом требований к надежности зданий, температуре и влажности, наличию средств пожаротушения;
• б) мероприятия по ограничению физического доступа к компьютерным системам и сетевой инфраструктуре посторонних лиц, которые могут остановить, перезагрузить и даже переустановить сервер, украсть жесткие диски, установить разведывательную аппаратуру и программное обеспечение.
• в) средства защиты от сбоев в электропитании — от источников бесперебойного питания до мероприятий по эффективному заземлению и защите от ударов молний.
• — программные средства защиты: антивирусные программы, системы разграничения полномочий, программные средства контроля доступа;

Программные средства и методы защиты активнее и шире других применяются для защиты информации в персональных компьютерах и компьютерных сетях, реализуя такие функции защиты, как разграничение и контроль доступа к ресурсам; регистрация и анализ протекающих процессов, событий, пользователей; предотвращение возможных разрушительных воздействий на ресурсы; криптографическая защита информации; идентификация и аутентификация пользователей и процессов и др.

В настоящее время наибольший удельный вес в этой группе мер в системах обработки экономической информации составляют специальные пакеты программ или отдельные программы, включаемые в состав программного обеспечения с целью реализации задач по защите информации.

• — технологические средства защиты информации — это комплекс мероприятий, органично встраиваемых в технологические процессы преобразования данных. Среди них:
  • * создание архивных копий носителей;
  • * ручное или автоматическое сохранение обрабатываемых файлов во внешней памяти компьютера;
  • * регистрация пользователей компьютерных средств в журналах;
  • * автоматическая регистрация доступа пользователей к тем или иным ресурсам;
  • * разработка специальных инструкций по выполнению всех технологических процедур и др.
• — к правовым и морально-этическим мерам и средствам защиты относятся действующие в стране законы, нормативные акты, регламентирующие правила обращения с информацией и ответственность за их нарушение; нормы поведения, соблюдение которых способствует защите информации. информационный компьютерный несанкционированный
• — административные меры защиты: контроль доступа в помещения, разработку стратегии безопасности фирмы, планов действий в чрезвычайных ситуациях и т. д.

Организационно-административные средства защиты сводятся к регламентации доступа к информационным и вычислительным ресурсам, функциональным процессам систем обработки данных, к регламентации деятельности персонала и др. Их цель — в наибольшей степени затруднить или исключить возможность реализации угроз безопасности. Наиболее типичные организационно-административные средства:

• * создание контрольно-пропускного режима на территории, где располагаются средства обработки информации;
• * изготовление и выдача специальных пропусков;
• * мероприятия по подбору персонала, связанного с обработкой данных;
• * допуск к обработке и передаче конфиденциальной информации только проверенных должностных лиц;
• * хранение магнитных и иных носителей информации, представляющих определенную тайну, а также регистрационных журналов в сейфах, недоступных для посторонних лиц;
• * организация защиты от установки прослушивающей аппаратуры в помещениях, связанных с обработкой информации;
• * организация учета использования и уничтожения документов (носителей) с конфиденциальной информацией;
• * разработка должностных инструкций и правил по работе с компьютерными средствами и информационными массивами;
• * разграничение доступа к информационным и вычислительным ресурсам должностных лиц в соответствии с их функциональными обязанностями.

Любая из рассмотренных классификаций достаточно условна. Современные технологии развиваются в направлении синтеза различных средств защиты, и достижение требуемого уровня безопасности возможно лишь при оптимальном сочетании организационных, программных, аппаратных, физических и других методов защиты, т. е. в случае реализации системного подхода к решению проблемы информационной безопасности.