Il est facile de soumettre votre bon travail à la base de connaissances. Utilisez le formulaire ci-dessous

Les étudiants, les étudiants diplômés, les jeunes scientifiques qui utilisent la base de connaissances dans leurs études et leurs travaux vous en seront très reconnaissants.

Posté le http://www.allbest.ru/

1. Concepts de base de la sécurité de l'information et de la sécurité de l'information

protection de la sécurité de l'information

Protection des données  - il s'agit d'une activité visant à empêcher la fuite d'informations protégées, ainsi que les influences non autorisées et non souhaitées sur les informations protégées.

Objet de protection  - les informations, supports de stockage ou processus d’information pour lesquels il est nécessaire de protéger conformément à la destination des informations.

Le but de la sécurité de l'information est  c'est le résultat souhaité de la sécurité de l'information. La protection des informations peut avoir pour but d’éviter que le propriétaire, le propriétaire ou l’utilisateur d’informations ne subisse de dommages résultant d’une éventuelle fuite d’informations et / ou d’une influence non autorisée et non intentionnelle sur les informations.

Efficacité de la protection des informations -  la mesure dans laquelle les résultats de la protection des informations sont compatibles avec l'objectif recherché.

Protection contre les fuites d'informations  - activités visant à empêcher la diffusion incontrôlée d'informations protégées de leur divulgation, l'accès non autorisé (accès non autorisé) à des informations protégées et la réception d'informations protégées par des attaquants.

Protection des informations contre la divulgation  - activités visant à empêcher la transmission non autorisée d'informations protégées à un nombre incontrôlé de destinataires d'informations.

Protection des informations contre les accès non autorisés  - activités visant à empêcher la réception d'informations protégées par une entité intéressée, en violation des droits ou des règles d'accès aux informations protégées établis par des documents légaux ou par le ou les propriétaires des informations. L'État, une entité juridique, un groupe de personnes, y compris une organisation publique, peut être un sujet intéressé qui implémente NSD pour l'information protégée.

Système de sécurité de l'information - un ensemble d'organismes et / ou d'artistes interprètes ou exécutants, la technique de protection de l'information qu'ils utilisent, ainsi que les objets de protection organisés et fonctionnant selon les règles établies par les documents juridiques, organisationnels, administratifs et réglementaires pertinents pour la protection de l'information.

Sous sécurité de l'information  comprendre la sécurité des informations provenant de relations illégales, de la transformation et de la destruction, ainsi que la sécurité des ressources informatiques contre les influences visant à perturber leurs performances. La nature de ces effets peut être très diverse.

Il s’agit de tentatives de pénétration d’intrus, d’erreurs personnelles, de pannes de matériel et de logiciels, de catastrophes naturelles (séisme, ouragan, incendie), etc.

Moderne système automatisé  (Président) traitement de l'information  Il s’agit d’un système complexe constitué d’un grand nombre de composants, plus ou moins autonomes, interconnectés et échangeant des données. Presque tous les composants peuvent être exposés à des effets externes ou échouer. Composants de haut-parleur  peut être divisé en groupes suivants:

- matériel  - les ordinateurs et leurs composants;

- logiciel  - programmes acquis, source, objet, modules de démarrage; Programmes d'exploitation, systèmes d'exploitation, utilitaires, programmes de diagnostic, etc.

- les données  - stockés temporairement et de manière permanente sur des supports magnétiques, des impressions, des archives, des journaux système, etc.

- personnel -  préposés et utilisateurs.

L'une des caractéristiques de la sécurité de l'information dans AS consiste en ce que des concepts abstraits tels que information, objets et sujets de système correspondent à des représentations physiques dans un environnement informatique:

- présenter des informations -- supports de stockage de la machine  sous la forme de périphériques externes de systèmes informatiques, RAM, fichiers, enregistrements, etc.

- objets système  - les composants passifs du système qui stockent, reçoivent ou transmettent des informations. L'accès à un objet signifie l'accès à l'information qu'il contient.

- sujets du système -  composants actifs du système, ce qui peut provoquer un flux d’informations de l’objet vers le sujet ou une modification de l’état du système. Les sujets peuvent être des utilisateurs, des programmes et des processus actifs.

2. Propriétés de baseet informations concernant la sécurité de l'information

Confidentialité des données - Il s'agit du statut fourni aux données et déterminant le degré de protection requis. Les informations confidentielles ne doivent être connues que des entités système autorisées et vérifiées (autorisées) (utilisateurs, processus, programmes). Pour le reste du système, cette information devrait être inconnue.

L’établissement de gradations de l’importance de la protection des informations protégées (objet de la protection) est appelé catégorisation des informations protégées.

Sous intégrité de l'information  la propriété de l'information est censée préserver sa structure et / ou son contenu pendant la transmission et le stockage. L’intégrité de l’information est assurée si les données du système ne sont pas sémantiquement différentes de celles des documents sources, c’est-à-dire si elles n’ont pas été déformées ou détruites par inadvertance ou délibérément. L’intégrité des données est l’une des tâches les plus difficiles de la protection des informations.

Fiabilité de l'information -  la propriété de l'information en sortie du système correspond à l'information reçue en entrée. Quantitativement D. et. évaluées par des indicateurs tels que le temps entre les erreurs d’information, l’intensité des erreurs d’information, le risque d’erreur ... la propriété de l’information, exprimée en propriété absolue du sujet, qui en est la source, ou le sujet à partir duquel cette information est reçue.

Pertinence juridique de l'information  Oz commence à dire qu'un document qui transporte des informations a force de loi.

Disponibilité des données. Un utilisateur ne peut utiliser des données que s’il y a accès.

Accès à l'information -  obtenir du sujet la possibilité de se familiariser avec des informations, y compris par des moyens techniques. Sujet de l'accès à l'information -  participant aux relations juridiques dans les processus d'information.

Efficacité de l'accès à l'information  - c’est la capacité de l’information ou de certaines ressources d’information à être disponible pour l’utilisateur final en fonction de ses besoins opérationnels.

Propriétaire de l'information  - une entité qui met pleinement en œuvre les pouvoirs de possession, d'utilisation et de destruction des informations conformément aux actes législatifs.

Propriétaire de l'information  - une entité qui détient et utilise des informations et exerce le pouvoir de disposer, dans le respect des droits établis par la loi et / ou le propriétaire de l'information.

Utilisateur (consommateur) information - une entité qui utilise les informations reçues de son propriétaire, propriétaire ou intermédiaire conformément aux droits et règles établis en matière d'accès à l'information ou contraires à celui-ci.

Droit d'accès à l'information ~  un ensemble de règles d'accès à l'information établies par des documents juridiques ou par le propriétaire ou le propriétaire de l'information.

Règle d'accès à l'information  - un ensemble de règles régissant la procédure et les conditions applicables au sujet de l'accès à l'information et à ses transporteurs.

Il existe un accès autorisé et non autorisé à l'information.

Accès autorisé  à l'information - c'est l'accès à l'information qui n'enfreint pas les règles établies du contrôle d'accès. Les règles de contrôle d'accès permettent de définir les droits d'accès aux composants du système.

Accès non autorisé  à l'information - violation des règles établies du contrôle d'accès. Une personne ou un processus effectuant un accès non autorisé à des informations enfreint les règles du contrôle d'accès. Le NSD est le type de trouble informatique le plus répandu.

Responsable de la protection d'un système informatique contre un accès non autorisé à l'information est administrateur de sécurité.

3. Identification, authentification, autorisation

Etidentifiantsujet - quelques informations identifiant le sujet. Une entité ayant un identifiant enregistré est légal (légal) sujet. Identification du sujet -  Il s’agit d’une procédure de reconnaissance d’un sujet par son identifiant. L'identification est effectuée lorsque le sujet tente d'entrer dans le système (réseau). Authentification du sujet  - Ceci est l'authentification du sujet avec cet identifiant. La procédure d'authentification détermine si le sujet est exactement ce qu'il s'est déclaré. Autorisation du sujet  - il s’agit de la procédure à suivre pour fournir à une entité légale qui a réussi l’identification et l’authentification avec l’autorité appropriée et les ressources disponibles du système (réseau).

4. Analyse des menaces pour la sécurité de l'information

Sous menace  (de manière générale) ils comprennent généralement un événement potentiel (impact, processus ou phénomène) qui pourrait nuire à ses intérêts. Plus loin sous risque de sécurité  Traitement des informations AS nous comprendrons la possibilité d'exposition à l'AS, ce qui, directement ou indirectement, peut nuire à sa sécurité.

La classification des menaces potentielles pour la sécurité de l'information d'une centrale nucléaire peut être effectuée selon les critères de base suivants.

Par nature d'occurrence:

menaces naturelles causés par l'impact sur les locuteurs de processus physiques objectifs ou de phénomènes naturels;

menaces artificielles  Sûreté de la centrale causée par des activités humaines.

Par le degré d'intentionnalité de la manifestation:

menaces dues à des erreurs ou à de la négligence  personnel, par exemple, l'utilisation incompétente d'équipements de protection, la saisie de données erronées, etc.

menaces délibérées, par exemple, les actions des attaquants.

Par source directe de menaces:

environnement naturelpar exemple, les catastrophes naturelles, les orages magnétiques, etc.

la personnepar exemple, recrutement par corruption de personnel, divulgation de données confidentielles, etc.

matériel et logiciel autoriséspar exemple, suppression de données, défaillance du système d'exploitation;

firmware non autorisé, par exemple, infecter un ordinateur avec des virus dotés de fonctions destructives.

En fonction de la source des menaces:

en dehors de la zone contrôlée des haut-parleurs,  par exemple, interception de données transmises sur des canaux de communication, interception de rayonnements électromagnétiques, acoustiques et autres parasites provenant de dispositifs;

dans la zone contrôlée des haut-parleurspar exemple, l'utilisation de dispositifs d'écoute électronique, le vol d'imprimés, d'enregistrements, de supports de stockage, etc.

directement à l'orateur,  par exemple, mauvaise utilisation des ressources du locuteur.

Selon le degré de dépendance à l'activité de l'AS:

quelle que soit l'activité des locuteurs,  par exemple, l’ouverture de chiffrements d’informations cryptographiques;

uniquement pendant le traitement des données,  par exemple, menaces à l'exécution et à la propagation de virus logiciels.

Selon le degré d'impact sur les intervenants:

menaces passivesqui, une fois mises en œuvre, ne modifient en rien la structure et le contenu de l’UA, par exemple la menace de copie de données sensibles;

menaces activesqui, lorsqu'ils sont exposés, modifient la structure et le contenu de l'AS, par exemple en introduisant des chevaux de Troie et des virus.

Par étapes d'accès utilisateur ou programme aux ressources

menaces au stade de l'accès aux ressources AC,  par exemple, des menaces d'accès non autorisé aux intervenants;

les menaces qui se produisent après avoir autorisé l'accès aux ressources AC,  par exemple, des menaces d'utilisation non autorisée ou incorrecte des ressources AS.

Par la méthode d'accès aux ressources AC:

menaces réalisées à l'aide du chemin d'accès standard aux ressources AC,  par exemple, la réception illégale de mots de passe et d’autres détails relatifs au contrôle d’accès, suivie du déguisement en utilisateur enregistré;

menaces réalisées à l'aide d'un chemin d'accès non standard masqué aux ressources AC, par exemple, accès non autorisé à des ressources AC en utilisant des capacités de système d'exploitation non documentées.

À l'emplacement actuel des informations stockées et traitées dans l'AS:

menaces d'accès aux informations situées sur des périphériques de stockage externespar exemple, la copie non autorisée d'informations sensibles à partir d'un disque dur;

menaces d'accès aux informations dans la RAMpar exemple, lire des informations résiduelles dans la RAM, accéder à la zone système de la RAM à partir de programmes d'application;

les menaces d'accès aux informations circulant dans les lignes de communication,par exemple, connexion illégale à des lignes de communication avec la saisie ultérieure de faux messages ou la modification de messages transmis, connexion illégale à des lignes de communication dans le but de remplacer directement un utilisateur légitime par l'introduction ultérieure d'informations erronées et l'imposition de faux messages;

menaces pour l'accès à l'informationaffiché sur le terminal ou imprimé sur l'imprimante , par exemple, enregistrer les informations affichées sur un caméscope masqué.

Raisons impacts accidentelslors de l'utilisation des haut-parleurs peuvent être:

· Les situations d'urgence dues à des catastrophes naturelles et à des pannes de courant;

· Les défaillances matérielles et matérielles;

· Bogues logiciels;

· Des erreurs dans le travail du personnel et des utilisateurs;

· Interférences dans les lignes de communication dues aux influences environnementales.

Les bogues logiciels sont un type courant de violation informatique. Les logiciels pour serveurs, stations de travail, routeurs, etc., sont écrits par des personnes et contiennent donc presque toujours des erreurs. Plus la complexité d'un tel logiciel est élevée, plus il est susceptible de détecter des erreurs et des vulnérabilités. La plupart d'entre elles ne présentent aucun danger, alors que certaines peuvent avoir des conséquences graves, telles qu'un attaquant prenant le contrôle d'un serveur, une inopérabilité du serveur, une utilisation non autorisée des ressources (en utilisant un ordinateur comme tête de pont pour une attaque, etc.). En règle générale, ces erreurs sont résolues à l'aide des service packs publiés régulièrement par le fabricant du logiciel. L'installation en temps voulu de tels paquets est une condition préalable à la sécurité des informations.

Menaces intentionnellesassociées aux actions ciblées du délinquant. Un intrus peut être un employé, un visiteur, un concurrent, un mercenaire, etc.

5. NSD àformations. Méthodes d'obtention de NSD

Accès non autorisé- Le type de violation informatique le plus courant et le plus diversifié. L'essence de l'accès non autorisé consiste à obtenir de l'utilisateur (intrus) un accès à l'objet en violation des règles de contrôle d'accès établies conformément à la politique de sécurité adoptée par l'organisation. Le NSD utilise n'importe quelle erreur dans le système de protection et est possible avec le choix irrationnel des outils de protection, leur installation et configuration incorrectes. La NSD peut être réalisée à la fois par des moyens standard d'AS et par du matériel et des logiciels spécialement créés.

Les principaux canaux d'accès non autorisés par lesquels l'intrus peut accéder aux composants du SA et effectuer le vol, la modification et / ou la destruction d'informations:

· Des voies d'accès régulières à l'information lorsqu'elles sont utilisées par des contrevenants, ainsi que par des utilisateurs légitimes en dehors de leurs compétences;

· Panneaux de contrôle technologiques;

· Lignes de communication entre le matériel de l'enceinte;

· Rayonnements électromagnétiques parasites provenant d'équipements, de lignes de communication, de réseaux d'alimentation et de mise à la terre, etc.

Parmi toute la variété des méthodes et techniques NSD, nous nous attardons sur les violations courantes et connexes suivantes:

· Interception de mots de passe;

· "Mascarade";

· Utilisation illégale des privilèges.

Détournement de mot de passe  mis en œuvre par des programmes spécialement conçus. Lorsqu'un utilisateur légitime tente de se connecter au système, le programme d'intercepteur imite le nom d'utilisateur et le mot de passe de l'écran d'affichage. Ces derniers sont immédiatement envoyés au propriétaire du programme d'intercepteur, après quoi un message d'erreur est affiché et le contrôle est renvoyé au système d'exploitation.

"Mascarade"  - est l'exécution de toute action d'un utilisateur pour le compte d'un autre utilisateur disposant de l'autorité appropriée. Le "masquerade" a pour but d’attribuer des actions à un autre utilisateur ou d’attribuer les pouvoirs et les privilèges d’un autre utilisateur. Voici des exemples de mise en oeuvre de la "mascarade":

· Connectez-vous au système sous le nom et le mot de passe d'un autre utilisateur.

· Envoi de messages sur le réseau pour le compte d'un autre utilisateur.

La «mascarade» est particulièrement dangereuse dans les systèmes de paiement électronique bancaire, dans lesquels l'identification incorrecte d'un client en raison de la «mascarade» d'un attaquant peut entraîner de lourdes pertes pour un client légitime de la banque.

Utilisation illégale des privilèges. La plupart des systèmes de sécurité établissent des ensembles de privilèges spécifiques pour exécuter les fonctions spécifiées. Chaque utilisateur obtient son propre ensemble de privilèges: les utilisateurs ordinaires - le minimum, les administrateurs - le maximum. La saisie non autorisée de privilèges, par exemple par le biais d'une "mascarade", permet au contrevenant de réaliser certaines actions en contournant le système de protection. Il convient de noter que la saisie illégale de privilèges est possible soit en présence d’erreurs dans le système de protection, soit en raison de la négligence de l’administrateur dans la gestion du système et l’attribution de privilèges.

Il est généralement admis que, quels que soient les types de menaces spécifiques ou leur classification par problème, un SA répond aux besoins de ses opérateurs si les propriétés importantes suivantes de l’information et de ses systèmes de traitement sont fournies: confidentialité, intégrité et disponibilité.

En d'autres termes, conformément aux approches existantes, on pense que la sécurité de l'information d'une centrale nucléaire est assurée si certains niveaux sont pris en charge pour les ressources d'information dans le système:

· Confidentialité (impossibilité de recevoir des informations sans autorisation);

· Intégrité (impossibilité de modification non autorisée ou accidentelle de celle-ci);

· Disponibilité (possibilité d'obtenir les informations requises dans un délai raisonnable).

7. Critères généraux de sécurité

Les critères généraux associent des éléments indépendants mais interconnectés.

Présentation et modèle général -  définit le concept général et les principes de l'évaluation de la sécurité informatique, le modèle d'évaluation générale et la conception permettant de définir des objectifs de sécurité informatique, de sélectionner et de définir les exigences de sécurité informatique et de décrire les spécifications de haut niveau des produits et des systèmes. En outre, il répertorie les catégories d'utilisateurs avec une indication des différentes parties de l'OK, où leurs intérêts dans les critères d'évaluation de la sécurité sont présentés.

Fonctionnalités de sécurité requises -  établit un ensemble de composants fonctionnels en tant que moyen standard d'exprimer les exigences fonctionnelles pour les objets d'évaluation.

Exigences de garantie de sécurité -  inclut les composantes des exigences de garantie d’évaluation regroupées en familles et classes, ainsi que les niveaux de garantie d’évaluation, qui déterminent le classement en fonction du degré de satisfaction des exigences, définit également des critères d’évaluation pour profils de protection  et tâches de sécurité.

Profils de sécurité prédéfinis - contiennent des exemples de profils de protection, y compris des exigences de sécurité fonctionnelle et des exigences de garantie d'évaluation identifiées dans les critères de source (ITSEC, STCPEC, FC, TCSEC), ainsi que des exigences non spécifiées dans les critères de source.

8. Concepts de critères communs

Conformément au concept OK, les exigences de sécurité de l'objet d'évaluation sont divisées en deux catégories: exigences fonctionnelles et exigences de garantie.

Dans exigences fonctionnelles ok  décrit les fonctions du sujet de l’évaluation qui assurent la sécurité informatique. Par exemple, les exigences fonctionnelles incluent les exigences d’identification, d’authentification (authentification) des utilisateurs, de journalisation (audit), etc.

Conditions de garantie  reflètent la qualité de l'objet d'évaluation, en donnant la base pour que les mesures de sécurité requises de l'objet soient mises en œuvre correctement et efficacement. La garantie est obtenue sur la base de l'étude de l'objectif, de la structure et du fonctionnement de l'objet à évaluer.

À OK, les exigences fonctionnelles et de garantie sont présentées dans le même style général et utilisent la même organisation et la même terminologie.

Terme la classe  utilisé pour le regroupement le plus courant des exigences de sécurité. Tous les membres de la classe partagent une intention commune, tout en différant par la portée de leurs objectifs de sécurité.

Les membres de la classe sont nommés les familles.  Famille - Ensemble d’exigences de sécurité assurant la réalisation d’une partie des objectifs de sécurité, mais l’importance ou la rigidité peuvent différer.

Membres de la famille nommés composants.  Le composant décrit un ensemble spécifique d'exigences de sécurité - le plus petit ensemble d'exigences de sécurité à inclure dans les structures définies dans OK.

Composants construits à partir de éléments.  Un élément est le niveau le plus bas et indivisible d'exigences de sécurité auquel leur satisfaction est évaluée.

Organisation des exigences de sécurité dans la hiérarchie OK élément-composant-famille-classe  aide le consommateur à identifier correctement les composants dès que les menaces à la sécurité de l'objet d'évaluation sont identifiées.

9. Concepts de basepolitiques de sécurité

Politique de sécurité - un ensemble de lois, règles et normes de conduite qui déterminent la manière dont l'organisation traite, protège et diffuse les informations. Par exemple, les règles déterminent dans quels cas l'utilisateur a le droit d'opérer avec certains ensembles de données. Plus le système est fiable, plus la stratégie de sécurité doit être stricte et diversifiée. Selon la politique formulée, vous pouvez choisir des mécanismes spécifiques pour assurer la sécurité du système. La politique de sécurité est un composant actif de la protection, qui inclut une analyse des menaces possibles et la sélection de contre-mesures.

La politique de sécurité définit la stratégie de gestion du domaine des services informatiques, ainsi que la mesure de l’attention et la quantité de ressources que la direction estime devoir attribuer. La politique de sécurité est structurée sur la base d’une analyse des risques reconnus réels pour la propriété intellectuelle de l’organisation.

Lorsqu'une analyse de risque est effectuée et qu'une stratégie de protection de l'état des programmes est définie, sa mise en œuvre doit être assurée par le SI. La détermination de l'ordre de contrôle est déterminée par le programme.

Une politique de sécurité est généralement publiée sous la forme de documents comprenant des sections telles que la description des problèmes, les domaines d’application, la position de l’organisation, la répartition des rôles et des responsabilités, les sanctions, etc.

Description des problèmes.Les informations circulant dans le réseau local sont essentielles. Le réseau local permet aux utilisateurs de partager des programmes et des données, ce qui augmente le risque de sécurité. Ainsi, chaque ordinateur du réseau nécessite une protection renforcée. Ces mesures de sécurité renforcées font l’objet de ce document.

Domaine d'application.   La portée de cette stratégie inclut tous les matériels, logiciels et informations inclus dans le réseau local de l'entreprise.

Position d'organisation.   Les principaux objectifs sont d'assurer l'intégrité, l'accessibilité et la confidentialité des données, ainsi que leur exhaustivité et leur pertinence.

10. Rasattribution des rôles et des responsabilités

Chefs de division  responsable de la communication des dispositions de la politique de sécurité aux utilisateurs et de leur prise de contact.

Administrateurs de réseau local  assurer le fonctionnement continu du réseau et sont responsables de la mise en œuvre des mesures techniques nécessaires à la mise en œuvre de la politique de sécurité.

Administrateurs de service  Responsable de services spécifiques, et en particulier de la construction d'une protection conforme à la politique de sécurité générale.

Les utilisateurs ils travaillent avec le réseau local conformément à la politique de sécurité, obéissent aux ordres de ceux qui sont responsables de certains aspects de la sécurité et informent la direction de toutes les situations suspectes.

Les sanctions.  La violation de la politique de sécurité peut exposer le réseau local et les informations qui y circulent à des risques inacceptables. Les cas d'atteinte à la sécurité par le personnel doivent être rapidement examinés par la direction à des fins disciplinaires pouvant aller jusqu'au licenciement.

Mesures de gestion de la sécurité de l'information

Le principal objectif des mesures prises au niveau de la direction est de formuler un programme de travail dans le domaine de la sécurité de l’information et d’assurer sa mise en œuvre en allouant les ressources nécessaires et en assurant un suivi régulier de l’état de la situation. Ce programme repose sur une politique de sécurité à plusieurs niveaux reflétant l’approche intégrée adoptée par l’organisation pour protéger ses ressources et ses actifs informationnels.

D'un point de vue pratique, les politiques de sécurité peuvent être divisées en trois niveaux : supérieur, moyen et inférieur.

Niveau supérieur  La politique de sécurité définit les décisions qui affectent l'organisation dans son ensemble. Ces décisions sont de nature très générale et proviennent, en règle générale, des dirigeants de l’organisation.

Ces décisions peuvent inclure les éléments suivants:

* la formulation des objectifs poursuivis par l'organisation dans le domaine de la sécurité de l'information, la définition des orientations générales pour la réalisation de ces objectifs;

* la formation ou la révision d'un programme complet pour assurer la sécurité de l'information, déterminant les personnes responsables de la promotion du programme;

* fournir la base matérielle nécessaire au respect des lois et des réglementations;

* formulation des décisions de la direction sur la mise en œuvre du programme de sécurité, qui devrait être examinée au niveau de l'organisation dans son ensemble.

Le niveau moyen de la politique de sécurité détermine la solution des problèmes liés à certains aspects de la sécurité de l’information, mais qui est important pour les différents systèmes exploités par l’organisation. Les attitudes vis-à-vis de l'accès à Internet (le problème de la combinaison de la liberté d'information avec la protection contre les menaces extérieures), l'utilisation d'ordinateurs domestiques, etc., sont des exemples de ces problèmes.

Niveau inférieur Les stratégies de sécurité s'appliquent à des services spécifiques. Il comprend deux aspects: les objectifs et les règles pour leur réalisation. Il est donc parfois difficile de séparer les problèmes de mise en œuvre. Contrairement aux deux niveaux supérieurs, la stratégie en question doit être plus détaillée. En d’autres termes, lorsque vous suivez la stratégie de sécurité des niveaux inférieurs, il est nécessaire de répondre, par exemple, à ces questions:

* qui a le droit d'accéder aux objets pris en charge par le service;

* Comment est organisé l'accès à distance au service?

11. Cadre de politique de sécurité

En règle générale, les stratégies de sécurité incluent les stratégies de sécurité de base, les stratégies de sécurité spécialisées et les stratégies de sécurité procédurales.

Les principales dispositions de la politique de sécurité de l’organisation sont décrites dans les documents suivants:

1. Examen de la politique de sécurité - révèle le but de la politique de sécurité, décrit la structure, décrit en détail qui est responsable de quoi;

2. Description de la politique de sécurité de base - définit les actions autorisées et interdites, ainsi que les contrôles nécessaires;

3. Guide de l’architecture de sécurité - décrit l’application des mécanismes de sécurité dans l’architecture informatique utilisée dans le réseau de l’organisation.

Un élément clé de la politique de sécurité d’une organisation est une politique de sécurité de base.

12. Procédures de sécurité

Les procédures de sécurité sont un complément nécessaire et important aux politiques de sécurité. Les politiques de sécurité décrivent uniquement ce qui doit être protégé et quelles sont les règles de base de la protection. Les procédures de sécurité déterminent comment protéger les ressources et quels sont les mécanismes d'application des stratégies, c'est-à-dire comment mettre en œuvre les stratégies de sécurité.

Les procédures de sécurité sont essentiellement des instructions pas à pas pour l'exécution de tâches opérationnelles. Souvent, une procédure est l’outil par lequel une politique est traduite en une action réelle.

Les procédures de sécurité détaillent les actions à entreprendre pour réagir à des événements spécifiques; apporter une réponse rapide dans les situations critiques; Aidez à résoudre le problème du point de défaillance unique.

De nombreuses procédures liées à la sécurité doivent être des outils standard dans tous les départements. Par exemple, vous pouvez spécifier des procédures pour la sauvegarde et le stockage hors système de copies protégées, ainsi que des procédures pour supprimer un utilisateur de l'état actif et / ou archiver le nom d'utilisateur et le mot de passe de l'utilisateur, qui sont appliqués dès que cet utilisateur quitte l'organisation.

13 . Concepts de base de la protection des informations cryptographiques

Sous chiffre  ils comprennent l'ensemble des transformations réversibles de l'ensemble des données ouvertes en l'ensemble des données cryptées spécifiées par la clé et l'algorithme de conversion cryptographique. Il existe de nombreux algorithmes cryptographiques. Le but de ces algorithmes est de protéger les informations. Les informations doivent être protégées de diverses menaces et de différentes manières. Pour assurer une protection fiable et adéquate à l'aide d'un algorithme de chiffrement, vous devez comprendre le type et le type d'algorithme le mieux adapté à la résolution d'un problème spécifique.

Hachage

Chiffrement symétriqueutilise la même clé pour le cryptage et le décryptage des informations.

Le chiffrement symétrique est divisé en deux types: bloquer  et couler, bien qu'il soit à noter que dans certaines classifications, elles ne sont pas séparées et que le cryptage de flux est considéré comme le cryptage d'unités de longueur.

Bloquer le cryptagecaractérisé en ce que l'information est préalablement divisée en blocs de longueur fixe (par exemple 64 ou 128 bits). De plus, dans différents engins spatiaux ou même dans différents modes de fonctionnement du même algorithme, les blocs peuvent être chiffrés indépendamment l'un de l'autre et "avec couplage", c'est-à-dire lorsque le résultat du chiffrement du bloc de données actuel dépend de la valeur du bloc précédent ou du résultat. chiffrement du bloc précédent.

Cryptage en continuil est utilisé tout d'abord lorsque les informations ne peuvent pas être divisées en blocs - supposons qu'il existe un certain flux de données, dont chaque caractère doit être crypté et envoyé, sans attendre que le reste des données soit suffisant pour former un bloc. Les algorithmes de chiffrement de flux chiffrent les données bit à bit ou caractère par caractère.

Chiffrement asymétrique

Signature numérique électronique (EDS)utilisé pour confirmer de manière fiable l'intégrité et la qualité d'auteur des données.

1 4 . Cryptosystèmes à cryptage symétrique

Dans les algorithmes cryptographiques symétriques, le même bloc d'informations (clé) est utilisé pour chiffrer et déchiffrer un message. Bien que l'algorithme permettant d'influencer les données transmises puisse être connu de personnes non autorisées, cela dépend de la clé secrète que seuls l'expéditeur et le destinataire devraient posséder. Les algorithmes cryptographiques symétriques effectuent la conversion d'un petit bloc de données (1 bit ou 32-128 bits) en fonction de la clé secrète de manière à ce que le message d'origine ne puisse être lu que si vous connaissez cette clé secrète.

Les cryptosystèmes symétriques permettent, sur la base d'algorithmes cryptographiques symétriques, de coder et de décoder des fichiers de longueur arbitraire.

Une caractéristique des algorithmes cryptographiques à blocs symétriques est la conversion d'un bloc d'informations d'entrée de longueur fixe et l'obtention du bloc résultant du même volume, mais inaccessible à la lecture à des tiers non propriétaires de la clé.

L'algorithme cryptographique est considéré comme parfaitement stable si, pour lire le bloc de données crypté, il est nécessaire d'effectuer une recherche parmi toutes les clés possibles jusqu'à ce que le message décrypté ait un sens. Dans le cas général, la force d'un chiffrement par bloc ne dépend que de la longueur de la clé et augmente de façon exponentielle avec sa croissance. Idéalement, des algorithmes cryptographiques robustes doivent satisfaire à une autre exigence importante. La clé qui a permis cette conversion, avec les valeurs source et cryptées connues d'un bloc, ne peut être découverte que par une recherche exhaustive de ses valeurs.

15 . Algorithmes cryptographiques asymétriques

Chiffrement asymétriquecaractérisé par l'utilisation de deux types de clés: open - pour chiffrer des informations et secret - pour les déchiffrer. Les clés secrètes et publiques sont liées par une relation plutôt compliquée.

Le cryptoalgorithme RSA a été proposé en 1978. Il s'agissait du premier algorithme à clé publique pouvant fonctionner à la fois en mode de cryptage de données et en mode de signature numérique. La fiabilité de l'algorithme RSA est basée sur la difficulté de factoriser de grands nombres

Dans un cryptosystème RSA asymétrique, le nombre de clés utilisées est lié au nombre d'abonnés par une relation linéaire (dans un système de N utilisateurs, 2N clés sont utilisées) et non quadratique, comme dans les systèmes symétriques.

Il convient de noter que les performances de RSA sont nettement inférieures à celles de DES et que la mise en œuvre logicielle et matérielle de l'algorithme de cryptographie RSA est beaucoup plus compliquée que celle de DES. Par conséquent, le cryptosystème RSA est généralement utilisé lors de la transmission d'une petite quantité de messages.

16 . Numérique électroniquei signature et fonctions de hachage

Signature numérique électronique  (EDS) est utilisé pour confirmer de manière fiable l’intégrité et la paternité des données.

Hachage- il s'agit d'une méthode de protection cryptographique, qui consiste en une conversion de contrôle des informations: à partir d'une donnée de taille illimitée obtenue en effectuant des transformations cryptographiques, une valeur de hachage de longueur fixe est calculée, qui correspond uniquement aux données source.

L'algorithme de hachage peut être décrit comme suit.

Étape 1. Initialisez le registre de valeur de hachage. Si la longueur du message ne dépasse pas 256 bits, passez à l'étape 3. Si elle dépasse, passez à l'étape 2.

Étape 2. Calculez itérativement la valeur de hachage de blocs de données hachées de 256 bits en utilisant la valeur de hachage du bloc précédent stocké dans le registre. Le calcul comprend les étapes suivantes:

* Génération de clés de cryptage basées sur un bloc de données hachées;

* chiffrement de la valeur de hachage stockée dans le registre sous la forme de quatre blocs de 64 bits selon l'algorithme GOST 28147--89 dans un mode de remplacement simple;

* mélanger le résultat.

Le calcul est effectué jusqu'à ce que la longueur des données d'entrée brutes soit inférieure ou égale à 256 bits. Dans ce cas, passez à l'étape 3.

Étape 3. Ajout de bits zéro à la partie non traitée du message à 256 bits. Le calcul de la valeur de hachage est similaire à l'étape 2. En conséquence, la valeur de hachage souhaitée apparaît dans le registre.

17 . Authentification, autorisation et administrateuraction de l'utilisateur

Identifiant de sujet - certaines informations qui l'identifient de manière unique. Cela peut être un nombre ou une chaîne de caractères nommant un sujet donné.

Identification  - procédure de reconnaissance de l'utilisateur par son identifiant (nom). Cette fonction est exécutée lorsque l'utilisateur tente d'entrer sur le réseau.

Authentification  - la procédure d'authentification de l'utilisateur, du processus ou du dispositif revendiqué. Cette vérification vous permet de vérifier de manière fiable que l'utilisateur (processus ou périphérique) correspond exactement à ce qu'il se déclare.

L'identification et l'authentification sont des processus interdépendants de reconnaissance et d'authentification des sujets (utilisateurs). La décision ultérieure du système dépend d'eux: est-il possible d'autoriser l'accès aux ressources système à un utilisateur ou à un processus spécifique. Après identification et authentification du sujet, son autorisation est effectuée.

Connexion  - la procédure à suivre pour attribuer à un sujet certains pouvoirs et ressources dans un système donné. En d’autres termes, l’autorisation établit son étendue et les ressources dont elle dispose. Si le système ne peut pas distinguer de manière fiable une personne autorisée d'une personne non autorisée, la confidentialité et l'intégrité des informations contenues dans ce système peuvent être violées.

Administration  - enregistrement des actions de l'utilisateur sur le réseau, y compris ses tentatives d'accès aux ressources.

En fonction des entités présentées par l'entité, les processus d'authentification peuvent être divisés en fonction de:

* connaissance de quelque chose. Les exemples incluent un mot de passe, un code personnel, et des clés secrètes et publiques.

* posséder quelque chose. Il s’agit généralement de cartes magnétiques, de cartes à puce, de certificats et de périphériques;

* toutes les caractéristiques inhérentes. Cette catégorie comprend les méthodes basées sur la vérification des caractéristiques biométriques de l'utilisateur (voix, iris et rétine, empreintes digitales, géométrie de la paume de la main, etc.).

18 . Authentification par mot de passe

Le principe de base de "l'authentification unique" implique la suffisance d'une procédure d'authentification unique permettant à un utilisateur d'accéder à toutes les ressources du réseau. Par conséquent, dans les systèmes d'exploitation modernes, un service d'authentification centralisé est fourni, lequel est exécuté par l'un des serveurs du réseau et utilise une base de données (DB) pour son travail. Cette base de données stocke les informations d'identification concernant les utilisateurs du réseau, y compris les identificateurs d'utilisateur et les mots de passe, ainsi que d'autres informations.

La procédure d'authentification utilisateur simple sur le réseau peut être représentée comme suit. L'utilisateur, lorsqu'il tente de se connecter au réseau, compose son identifiant et son mot de passe. Ces données sont envoyées au serveur d'authentification pour traitement. Dans la base de données stockée sur le serveur d'authentification, l'enregistrement correspondant est localisé par l'ID utilisateur. Le mot de passe en est extrait et comparé au mot de passe saisi par l'utilisateur. Si elles correspondent, l'authentification a réussi. L'utilisateur reçoit un statut légal ainsi que les droits et les ressources réseau définis pour son statut par le système d'autorisation.

Les schémas d'authentification basés sur des mots de passe réutilisables traditionnels ne sont pas suffisamment sécurisés. Ces mots de passe peuvent être interceptés, résolus, espionnés ou simplement volés. Les procédures d'authentification basées sur des mots de passe à usage unique sont plus fiables.

L'essence du schéma de mot de passe à utilisation unique est l'utilisation de mots de passe différents pour chaque nouvelle demande d'accès. Un mot de passe dynamique à usage unique est valide pour une seule connexion, puis il expire. Même s'il est intercepté, ce sera inutile. Le mécanisme de définition dynamique du mot de passe est l’un des meilleurs moyens de protéger le processus d’authentification des menaces externes. En règle générale, les systèmes d'authentification par mot de passe à utilisation unique sont utilisés pour vérifier les utilisateurs distants.

Des mots de passe à usage unique peuvent être générés dans le matériel ou le logiciel.

19 . Menaces pour la sécurité du système d'exploitation

Les menaces à la sécurité des systèmes d'exploitation peuvent être classées selon divers aspects de leur mise en œuvre.

1. Aux fins de l'attaque:

* lecture non autorisée d'informations;

* changement non autorisé d'informations;

* destruction non autorisée d'informations;

* destruction totale ou partielle de l'OS.

2. Selon le principe d'impact sur le système d'exploitation.

* utilisation de canaux (légaux) connus pour obtenir des informations; par exemple, la menace de lecture non autorisée d'un fichier dont l'accès aux utilisateurs n'est pas défini correctement, c'est-à-dire que l'accès est autorisé à un utilisateur qui, conformément à la politique de sécurité, doit être refusé;

* utilisation de canaux cachés pour obtenir des informations; par exemple, la menace d'un attaquant utilisant des capacités de système d'exploitation non documentées;

* Création de nouveaux canaux pour obtenir des informations à l'aide de signets logiciels.

3. Par type de vulnérabilité de sécurité utilisée par l'attaquant:

* Politique de sécurité inadéquate, y compris les erreurs de l'administrateur système;

* Les erreurs et les fonctionnalités non documentées du logiciel du système d'exploitation, y compris les «trappes» - intégrées accidentellement ou intentionnellement dans les «entrées de service» du système, permettant de contourner le système de protection;

* Le signet du logiciel déjà implémenté.

4. Par la nature de l'impact sur le système d'exploitation:

* impact actif - actions non autorisées d'un attaquant dans le système;

* impact passif - surveillance non autorisée d'un attaquant sur les processus se produisant dans le système.

Les menaces à la sécurité du système d'exploitation peuvent également être classées selon les signes suivants: méthode de l'attaquant, outils d'attaque utilisés, objet de l'attaque, méthode d'attaque de l'objet d'attaque, état de l'objet du système d'exploitation attaqué au moment de l'attaque.

Le système d'exploitation peut subir les attaques typiques suivantes:

* analyser le système de fichiers. Un attaquant analyse le système de fichiers d'un ordinateur et tente de lire (ou de copier) tous les fichiers en rangée. Tôt ou tard, au moins une erreur d'administrateur est détectée. De ce fait, l’attaquant a accès à des informations qui devraient lui être interdites.

* choix du mot de passe. Il existe plusieurs méthodes pour sélectionner les mots de passe utilisateur:

Buste total;

Recherche totale, optimisée en fonction des statistiques d'occurrence de caractères ou de dictionnaires;

Sélection du mot de passe en utilisant les connaissances de l'utilisateur (nom, prénom, date de naissance, numéro de téléphone, etc.);

* vol d'informations clés. Un attaquant peut espionner un mot de passe tapé par un utilisateur, ou récupérer un mot de passe tapé par un utilisateur par les mouvements de ses mains sur le clavier. Un support d'informations clé (carte à puce) peut simplement être volé;

* collecte des ordures. Dans de nombreux systèmes d'exploitation, les informations détruites par l'utilisateur ne sont pas détruites physiquement, mais sont marquées comme détruites (appelées «déchets»). Un attaquant récupère ces informations, les examine et copie les fragments qui l’intéressent;

* abus d'autorité. Un attaquant, utilisant des erreurs dans le logiciel du système d'exploitation ou la politique de sécurité, obtient des privilèges supérieurs à ceux qui lui ont été accordés conformément à la politique de sécurité. Ceci est généralement réalisé en exécutant le programme pour le compte d'un autre utilisateur.

* Les signets du logiciel. Les signets logiciels mis en œuvre dans le système d'exploitation ne présentent pas de différences significatives par rapport aux autres classes de signets logiciels;

* programmes gourmands - ce sont des programmes qui capturent délibérément une partie importante des ressources informatiques, à la suite desquels d'autres programmes ne peuvent pas être exécutés ou sont exécutés extrêmement lentement. L'exécution d'un programme gourmand peut faire planter le système d'exploitation.

20 . Le concept d'un système d'exploitation sécurisé

Un système d'exploitation est appelé protégé s'il fournit des moyens de protection contre les principales classes de menaces. Un système d'exploitation protégé doit nécessairement contenir des moyens permettant de restreindre l'accès des utilisateurs à ses ressources, ainsi que des moyens d'authentifier un utilisateur qui commence à utiliser le système d'exploitation. En outre, le système d'exploitation protégé doit contenir des moyens permettant de contrer une défaillance accidentelle ou délibérée du système d'exploitation.

Si le système d'exploitation ne fournit pas de protection contre toutes les principales classes de menaces, mais seulement contre certaines d'entre elles, un tel système d'exploitation est appelé partiellement protégé.

Approches pour créer un système d'exploitation sécurisé

Il existe deux approches principales pour créer des systèmes d’exploitation sécurisés: fragmenté et intégré. Dans le cas d’une approche fragmentée, la protection contre une menace est organisée en premier, puis contre une autre, etc. Un exemple d’approche fragmentée est le cas où un système d’exploitation non protégé est utilisé comme base, un package antivirus, un système de cryptage, un système d’enregistrement des actions des utilisateurs, etc.

Lors de l'application de l'approche fragmentée, le sous-système de protection du système d'exploitation est un ensemble de produits logiciels disparates, généralement fournis par différents fabricants. Ces outils logiciels fonctionnent indépendamment les uns des autres, alors qu’il est presque impossible d’organiser leurs interactions étroites. De plus, certains éléments d’un tel sous-système de protection risquent de ne pas fonctionner correctement en présence les uns des autres, ce qui entraîne une nette diminution de la fiabilité du système.

Avec une approche intégrée, les fonctions de protection sont intégrées au SE lors de la conception de l’architecture du SE et en font partie intégrante. Les éléments individuels du sous-système de protection, créés sur la base d'une approche intégrée, interagissent étroitement pour résoudre diverses tâches liées à l'organisation de la protection des informations; par conséquent, les conflits entre ses composants individuels sont pratiquement impossibles. En règle générale, le sous-système de protection du système d'exploitation, créé sur la base d'une approche intégrée, est conçu de manière à ce que ses éléments individuels puissent être remplacés. Les modules logiciels correspondants peuvent être remplacés par d'autres modules.

21 . Les principales fonctions du sous-système de protection du système d'exploitation

Le sous-système de protection du système d'exploitation remplit les fonctions de base suivantes.

1. Identification et authentification. Aucun utilisateur ne peut commencer à travailler avec le système d'exploitation sans s'identifier et ne pas fournir au système d'informations d'authentification confirmant que l'utilisateur est vraiment ce qu'il prétend être.

2. Contrôle d'accès. Chaque utilisateur du système n'a accès qu'aux objets du système d'exploitation auxquels il est autorisé à accéder conformément à la politique de sécurité en vigueur.

3. Audit. Le système d'exploitation enregistre les événements dans un journal spécial potentiellement dangereux pour le maintien de la sécurité du système.

4. Gestion de la politique de sécurité. La politique de sécurité doit être constamment maintenue dans un état adéquat, c'est-à-dire qu'elle doit réagir de manière flexible aux modifications des conditions de fonctionnement du système d'exploitation. La stratégie de sécurité est gérée par les administrateurs système à l'aide des outils appropriés intégrés au système d'exploitation.

5. Fonctions cryptographiques. La sécurité de l'information est impensable sans l'utilisation de moyens de protection cryptographiques. Le cryptage est utilisé dans le système d'exploitation lors du stockage et de la transmission des mots de passe des utilisateurs et de certaines autres données essentielles à la sécurité du système via des canaux de communication.

6. Fonctions réseau. En règle générale, les systèmes d’exploitation modernes ne fonctionnent pas de manière isolée, mais dans le cadre de réseaux informatiques locaux et / ou mondiaux. Les systèmes d'exploitation des ordinateurs inclus dans le même réseau interagissent les uns avec les autres pour résoudre divers problèmes, notamment des tâches directement liées à la protection des informations.

2 2. Contrôle d'accès  Objets OS

Les concepts de base du processus de différenciation de l'accès aux objets du système d'exploitation sont l'objet d'accès, la méthode d'accès à l'objet et le sujet de l'accès.

Objet d'accès  (ou simplement un objet) est appelé n'importe quel élément du système d'exploitation, l'accès auquel les utilisateurs et les autres entités d'accès peuvent être arbitrairement limités. La capacité d'accéder aux objets du système d'exploitation est déterminée non seulement par l'architecture du système d'exploitation, mais également par la politique de sécurité actuelle. Par objets d’accès, on entend à la fois les ressources matérielles et les ressources logicielles, c’est-à-dire tout cet accès est contrôlé.

Méthode d'accès  à un objet est l'opération définie pour l'objet. Le type d'opération dépend des objets. Par exemple, un processeur ne peut exécuter que des commandes, des segments de mémoire peuvent être écrits et lus, un lecteur de carte magnétique ne peut que lire, et des méthodes d'accès «lire», «écrire» et «ajouter» peuvent être définies pour les fichiers.

Sujet d'accès  ils appellent toute entité pouvant initier des opérations sur des objets (objets d'accès utilisant certaines méthodes d'accès). Il est généralement admis que plusieurs entités d'accès et plusieurs entités d'accès ne se croisent pas. Parfois, les processus d'accès incluent des processus en cours d'exécution dans le système. Cependant, il est plus logique de considérer comme sujet d'accès exactement l'utilisateur pour le compte duquel le processus est exécuté. Naturellement, on entend par sujet d'accès non un utilisateur physique travaillant avec un ordinateur, mais un utilisateur «logique» pour le compte duquel les processus du système d'exploitation sont effectués.

Ainsi, l'objet d'accès est l'objet de l'accès, le sujet de l'accès est celui qui y accède et la méthode d'accès est la manière dont l'accès est effectué.

23 Audit

La procédure d'audit relative au système d'exploitation consiste à s'inscrire dans un journal spécial appelé journal d'audit ou journal de sécurité des événements pouvant être dangereux pour le système d'exploitation. Les utilisateurs du système ayant le droit de lire le journal d'audit sont appelés auditeurs.

Parmi les événements pouvant être dangereux pour le système d'exploitation, figurent généralement les suivants:

* connexion ou déconnexion;

* opérations sur les fichiers (ouvrir, fermer, renommer, supprimer);

* faire appel à un système distant;

* changement de privilèges ou autres attributs de sécurité.

Audit requis .   Le sous-système d'audit du système d'exploitation doit satisfaire aux exigences suivantes.

1. Seul le système d'exploitation peut ajouter des entrées au journal d'audit.

2. Aucune entité d'accès, y compris le système d'exploitation, ne peut modifier ou supprimer des entrées individuelles dans le journal d'audit.

3. Seuls les utilisateurs dotés du privilège approprié peuvent afficher le journal d'audit.

4. Seuls les utilisateurs de l'auditeur peuvent effacer la trace d'audit. Après avoir effacé le journal, un enregistrement est automatiquement entré pour indiquer que le journal d'audit a été effacé, indiquant l'heure de l'effacement du journal et le nom de l'utilisateur qui a effacé le journal. Le système d'exploitation doit prendre en charge la possibilité de sauvegarder le journal d'audit avant de le nettoyer dans un autre fichier.

5. Lorsque le journal d'audit est plein, le système d'exploitation se bloque («se bloque»). Après un redémarrage, seuls les auditeurs peuvent travailler avec le système. Le système d'exploitation ne fonctionne normalement qu'après avoir effacé le journal d'audit.

Politique d'audit   - Il s'agit d'un ensemble de règles qui déterminent quels événements doivent être enregistrés dans le journal d'audit. Pour assurer une protection fiable du système d'exploitation, les événements suivants doivent être consignés dans le journal d'audit:

* tente d'entrer / de sortir des utilisateurs du système;

Documents similaires

Le concept de sécurité de l'information, le concept et la classification, les types de menaces. Description des moyens et méthodes de protection des informations contre les menaces accidentelles, les menaces d’interférences non autorisées. Méthodes cryptographiques de protection de l'information et pare-feu.

term paper, ajouté le 30/10/2009


Menaces externes à la sécurité de l'information, formes de leur manifestation. Méthodes et moyens de protection contre l'espionnage industriel, ses objectifs: obtenir des informations sur un concurrent, détruire des informations. Moyens d’accès non autorisé à des informations confidentielles.

test, ajouté le 18/09/2016


Le concept, la signification et la direction de la sécurité de l'information. Une approche systématique de l’organisation de la sécurité de l’information, protégeant les informations contre les accès non autorisés. Outils de sécurité de l'information. Méthodes et systèmes de sécurité de l'information.

résumé, ajouté le 15/11/2011


Les objectifs de la sécurité de l'information. Sources des principales menaces informatiques en Russie. L'importance de la sécurité de l'information pour divers spécialistes de la position de l'entreprise et des parties prenantes. Méthodes de protection des informations contre les menaces d’information intentionnelles.

présentation ajoutée le 27/12/2010


Analyse de risque de la sécurité de l'information. Évaluation des remèdes existants et prévus. Un ensemble de mesures organisationnelles pour assurer la sécurité de l'information et la protection des informations d'entreprise. Un cas test pour la mise en œuvre du projet et sa description.

thèse, ajoutée le 12.19.2012


Concepts de base de la sécurité de l'information et de la sécurité de l'information. Classification et contenu, sources et conditions préalables à l’émergence de menaces informatiques potentielles. Les principaux domaines de protection contre les armes informatiques (impacts), les services de sécurité réseau.

résumé, ajouté le 30/04/2010


Concepts de base dans le domaine de la sécurité de l'information. La nature des actions qui violent la confidentialité, la fiabilité, l'intégrité et la disponibilité des informations. Méthodes de mise en œuvre des menaces: divulgation, fuite d’informations et accès non autorisé à ces menaces.

présentation ajoutée le 25/07/2013


Types de menaces à la sécurité de l'information. Les principales orientations et activités pour la protection des informations électroniques. Attaquer signifie impact informationnel. Criminalité de l'information, terrorisme. Actions de protection liées à la sécurité de l'information.

résumé, ajouté le 27 décembre 2011


Le système de formation du régime de sécurité de l'information. Tâches de la sécurité de l'information de la société. Outils de sécurité de l'information: méthodes et systèmes de base. Sécurité de l'information dans les réseaux informatiques. Dispositions des actes législatifs les plus importants de la Russie.

résumé, ajouté le 20/01/2014


Le concept et les principes de base pour assurer la sécurité de l'information. Le concept de sécurité dans les systèmes automatisés. Principes fondamentaux de la législation de la Fédération de Russie dans le domaine de la sécurité de l'information et de la protection de l'information, des processus de délivrance de licences et de certification.

Les ordinateurs personnels, les systèmes de contrôle et les réseaux reposant sur ces ordinateurs entrent rapidement dans tous les domaines de l’activité humaine (par exemple, militaire, commercial, bancaire, recherche scientifique, etc.). En utilisant largement les ordinateurs et les réseaux basés sur ceux-ci pour le traitement, le stockage et la transmission d'informations, il est nécessaire de le protéger de manière fiable contre la possibilité d'accès, par une personne non autorisée, à sa perte ou à sa distorsion. Selon les statistiques, plus de 80% des entreprises subissent des pertes financières en raison d'une violation de l'intégrité et de la confidentialité des données utilisées.

Outre les informations constituant des secrets d'État ou des secrets commerciaux, il existe des informations représentant la propriété intellectuelle. Ces informations peuvent inclure les résultats de recherches scientifiques, des programmes garantissant le fonctionnement d’un ordinateur, des programmes de jeux, des clips audio et vidéo. Le coût d’une telle information dans le monde est de plusieurs milliards de dollars par an. Sa copie non autorisée réduit les revenus des sociétés et des auteurs impliqués dans son développement.

La complexité des méthodes et des moyens d’organisation du traitement des machines, l’utilisation généralisée de l’Internet mondial font que l’information devient de plus en plus vulnérable. Cela est facilité par des facteurs tels que les volumes sans cesse croissants de données traitées, l’accumulation et le stockage de données dans des endroits restreints, l’élargissement constant du cercle d’utilisateurs ayant accès aux ressources, programmes et données, le niveau insuffisant de protection du matériel et des logiciels des ordinateurs et des systèmes de communication, etc.

Compte tenu de tous ces facteurs, la protection des informations lors du processus de collecte, de stockage et de transmission de celles-ci devient extrêmement importante.

Concepts de base de la sécurité de l'information.

Examiner un certain nombre de définitions utilisées dans la description des moyens et méthodes de protection de l’information dans les systèmes de traitement automatisés reposant sur la technologie informatique.

Un système informatique (CS) est un système organisationnel et technique qui combine les composants suivants:

Moyens techniques de traitement et de transmission des données;

Méthodes et algorithmes de traitement sous la forme d'un logiciel approprié;

Données (informations sur divers supports et en cours de traitement);

Utilisateurs (personnes utilisant le COP pour répondre aux besoins en informations);

Objet (tout élément de la COP dont l'accès peut être limité arbitrairement);

Sujet (toute entité pouvant initier des opérations sur un objet - utilisateurs, processus).

La sécurité de l'information est l'état du CS dans lequel il est capable de résister aux effets déstabilisateurs des menaces d'information externes et internes et en même temps ne pas créer les mêmes menaces pour les éléments du CS et l'environnement externe.

La confidentialité des informations est la propriété des informations qui ne doivent être accessibles qu’à un cercle limité d’utilisateurs finaux et d’autres entités d’accès qui ont passé la vérification correspondante et sont autorisés à les utiliser.

L'intégrité de l'information est une propriété permettant de préserver sa structure et son contenu pendant le stockage, l'utilisation et la transmission.

Fiabilité de l'information - une propriété exprimée dans la stricte propriété de l'information sur le sujet, qui en est la source.

Accès à l'information - la capacité du sujet à effectuer certaines actions avec l'information.

Accès autorisé à l'information - accès soumis aux règles de délimitation de l'accès à l'information.

Accès non autorisé à l’information (NSD) - accès enfreignant les règles permettant de différencier l’accès d’un sujet à l’information par des moyens standard fournis par le COP (logiciel ou matériel)

Règles de contrôle d'accès - réglementation des droits d'accès du sujet à un composant spécifique du système.

Identification - obtenir du sujet l’accès à des informations lui permettant de se distinguer de nombreux sujets (nom, numéro de série ou de compte, etc.).

Authentification - recevoir des informations du sujet confirmant que le sujet identifié est bien ce qu'il prétend être (mot de passe, paramètres biométriques, etc.).

Menace pour la sécurité des informations d'un CS - la possibilité d'influencer les informations traitées par le CS dans le but de les déformer, de les détruire, de les copier ou de les bloquer, ainsi que la possibilité d'affecter les composants du CS, ce qui entraînerait une défaillance de leur fonctionnement.

Vulnérabilité de la COP - toute caractéristique pouvant conduire à la mise en œuvre de la menace.

KS Attack (Attaque de KS) - Actions d’un attaquant visant à détecter la vulnérabilité du KS et à obtenir un accès non autorisé à des informations.

Coffre-fort ou sécurisé - Un CS équipé d'équipements de protection contre les menaces à la sécurité.

Un ensemble de moyens de protection est une combinaison de matériel et de logiciels assurant la sécurité des informations.

Politique de sécurité - ensemble de règles et de réglementations régissant le fonctionnement de la protection contre un ensemble de menaces donné.

Le modèle discrétionnaire de contrôle d'accès est un moyen de différencier l'accès des objets aux objets, dans lequel les droits d'accès sont définis par une liste de droits d'accès des objets à l'objet. L'implémentation de ce modèle est une matrice dont les lignes sont les sujets et les colonnes sont les objets; les éléments de la matrice caractérisent un ensemble de droits d'accès.

Le modèle plénipotentiaire de contrôle d'accès est un moyen de différencier l'accès des objets à des objets, dans lequel un niveau de confidentialité est attribué à chaque objet et un niveau de confiance est attribué à chaque objet. Dans ce cas, le sujet peut accéder à l'objet si son niveau de confiance n'est pas inférieur au niveau de confidentialité de l'objet.

Sous sécurité de l'information   comprendre l'état de protection des données traitées, stockées et transmises contre la connaissance, la transformation et la destruction illégales, ainsi que l'état de protection des ressources d'informations contre les influences visant à perturber leur exécution.

La nature de ces effets peut être très diverse. Il s’agit de tentatives de pénétration d’intrus, d’erreurs personnelles, de pannes de matériel informatique et de logiciels, de catastrophes naturelles (séisme, ouragan, incendie, etc.). Les principales menaces pour la sécurité dans les réseaux informatiques d’entreprise sont analysées en détail dans la section 2.

La sécurité de l’information des systèmes et réseaux informatiques est assurée par la mise en place d’un ensemble de mesures visant à garantir la confidentialité, l’intégrité, la fiabilité, la portée juridique des informations, leur rapidité d’accès, ainsi que l’intégrité et l’accessibilité des ressources d’information et des composants d’un système ou d’un réseau. Les propriétés de base de l’information énumérées nécessitent une interprétation plus complète.

Confidentialité de l'information - c'est sa propriété de n'être disponible que pour un cercle restreint d'utilisateurs du système d'information dans lequel cette information circule. Essentiellement, la confidentialité des informations est sa propriété, car elle n’est connue que des entités autorisées et vérifiées du système (utilisateurs, processus, programmes). Pour les autres sujets du système, les informations doivent être inconnues.

Sous intégrité de l'information   sa propriété est censée préserver sa structure et / ou son contenu pendant la transmission et le stockage. L'intégrité de l'information est assurée si les données du système ne sont pas sémantiquement différentes de celles des documents source, c'est-à-dire si elles n'ont pas été déformées ou détruites accidentellement ou intentionnellement.

Précision de l'information   - une propriété exprimée dans la stricte propriété de l'information du sujet qui en est la source ou du sujet de qui elle est reçue.

Pertinence juridique de l'information   signifie que le document qui transporte l'information a force de loi.

Sous accès à l'information Cela implique une familiarisation avec les informations et leur traitement, en particulier la copie, la modification ou la destruction. Il existe un accès autorisé et non autorisé à l'information. Accès autorisé à l'information   ne viole pas les règles établies du contrôle d'accès.

Accès non autorisé   caractérisé par une violation des règles établies du contrôle d'accès. Une personne ou un processus qui effectue un accès non autorisé à l'information enfreint de telles règles de contrôle d'accès. L'accès non autorisé est le type de violation informatique le plus courant.

Règles de contrôle d'accès   servir à réglementer les droits d'accès aux composants du système.

Efficacité de l'accès à l'information   - c’est la capacité de l’information ou de certaines ressources d’information à être disponible pour l’utilisateur final en fonction de ses besoins opérationnels.

Intégrité des ressources ou des composants du système   - c'est sa propriété de rester inchangé au sens sémantique lorsque le système fonctionne dans des conditions de distorsions aléatoires ou délibérées ou d'influences destructives.

Disponibilité d'une ressource ou d'un composant système   - C’est sa propriété d’être disponible pour les utilisateurs légitimes du système. Un groupe de concepts tels que l'identification, l'authentification, l'autorisation est associé à l'accès aux informations et aux ressources système.

Associé à chaque objet du système (réseau), certaines informations (nombre, chaîne de caractères) identifient l'objet. Cette information est identifiant   objet système (réseau). Un objet ayant un identifiant enregistré est considéré légal (légal ).

Identification d'objet   - Il s'agit d'une procédure de reconnaissance d'objet par son identifiant. Il est exécuté lorsqu'un objet tente d'entrer dans le système (réseau).

La prochaine étape de l'interaction du système avec l'objet est l'authentification. Authentification d'objet   - Ceci est l'authentification de l'objet avec cet identifiant. La procédure d'authentification détermine si l'objet est exactement ce qu'il s'est déclaré.

Après identification et authentification de l'objet, une autorisation est effectuée.

Autorisation d'objet   - Il s’agit de la procédure à suivre pour fournir à une entité légale qui a réussi l’identification et l’authentification avec l’autorité appropriée et les ressources disponibles du système (réseau).

Sous risque de sécurité   pour un système (réseau), les impacts possibles sont compris, ce qui peut directement ou indirectement porter atteinte à sa sécurité. Dommages de sécurité   implique une violation de l'état de sécurité des informations contenues et traitées dans le système (réseau).

Le concept de menace à la sécurité est étroitement lié au concept de vulnérabilité d’un système informatique (réseau). Vulnérabilité du système   (réseau) - il s’agit de toute caractéristique d’un système informatique dont l’utilisation peut conduire à la mise en oeuvre d’une menace.

Attaque sur un ordinateur   (réseau) est une action entreprise par un attaquant pour trouver et exploiter une vulnérabilité du système. Ainsi, une attaque est une implémentation d'une menace pour la sécurité.

La lutte contre les menaces à la sécurité est l'objectif que les outils de sécurité des systèmes et des réseaux informatiques sont appelés à atteindre. Système sécurisé ou sécurisé   - Il s’agit d’un système doté de fonctions de sécurité permettant de contrer efficacement et efficacement les menaces à la sécurité.

Complexe de moyens de protection   est une combinaison de logiciel et de réseau matériel. Un ensemble de fonctions de sécurité est créé et géré conformément à la stratégie de sécurité des informations de l’organisation pour le système.

Politique de sécurité   - Il s'agit d'un ensemble de normes, règles et recommandations pratiques régissant le fonctionnement des moyens de protection d'un système informatique (réseau) contre un ensemble donné de menaces à la sécurité.

Les réseaux d'entreprise sont des systèmes informatiques distribués qui assurent un traitement automatisé de l'information. Le problème de la sécurité de l'information est au cœur de ces systèmes informatiques. Assurer la sécurité du réseau d'entreprise implique l'organisation d'une lutte contre toute intrusion non autorisée dans le fonctionnement du réseau d'entreprise, ainsi que des tentatives de modification, de vol, de désactivation ou de destruction de ses composants, c'est-à-dire de protéger tous les composants du réseau d'entreprise (matériel, logiciels, données et personnel).

Il existe deux approches pour garantir la sécurité des réseaux d’entreprise: «fragmentée» et complexe.

« Fragmenté » l'approche   vise à contrer des menaces clairement définies dans des conditions données. À titre d'exemples de la mise en œuvre de cette approche, vous pouvez spécifier: des outils de contrôle d'accès individuels, des outils de cryptage autonomes, des programmes antivirus spécialisés, etc. L'avantage de cette approche est sa grande sélectivité vis-à-vis d'une menace spécifique. Son inconvénient majeur est l’absence d’un environnement unifié de traitement de l’information sécurisé. Les mesures de protection des informations fragmentées protègent des objets spécifiques d'un réseau d'entreprise uniquement contre une menace spécifique. Même une légère modification de la menace entraîne une perte d'efficacité de la protection.

Approche intégrée   Il vise à créer un environnement sécurisé pour le traitement des informations dans un réseau d’entreprise regroupant diverses mesures visant à contrer les menaces. L’organisation d’un environnement informatique sécurisé nous permet de garantir un certain niveau de sécurité pour le réseau de l’entreprise, ce qui peut être attribué aux avantages incontestables d’une approche intégrée. Parmi ses inconvénients figurent les restrictions à la liberté d'action des utilisateurs du réseau d'entreprise, la sensibilité aux erreurs d'installation et de configuration des outils de protection et la complexité de la gestion.

Une approche intégrée est utilisée pour protéger les réseaux d'entreprise de grandes entreprises ou de petits réseaux d'entreprise qui effectuent des tâches critiques ou traitent des informations particulièrement importantes. La violation de la sécurité des informations dans les réseaux d’entreprise de grandes organisations peut causer d’énormes dommages matériels, tant aux entreprises elles-mêmes qu’à leurs clients. Par conséquent, ces organisations sont obligées de porter une attention particulière aux garanties de sécurité et de mettre en œuvre une protection complète. La plupart des entreprises et institutions commerciales étatiques et grandes adoptent une approche intégrée. Cette approche est reflétée dans diverses normes.

Une approche intégrée du problème de sécurité repose sur une politique de sécurité développée pour un réseau d'entreprise particulier.

Définition et objectifs de la sécurité de l'information.

Lors de conversations avec des experts en sécurité de l’information, on constate souvent que les points de vue et la terminologie dans ce domaine relativement nouveau diffèrent parfois presque au contraire. Avec une question directe sur la définition de la sécurité de l'information, on peut entendre des termes à plusieurs niveaux tels que "protection des données", "contrôle de l'utilisation", "lutte contre les pirates", etc.

En attendant, il existe des définitions dominantes de la sécurité de l'information et du cercle de concepts adjacents. Parfois, ils diffèrent selon les spécialistes (ou les écoles). Il arrive que dans les définitions, ils utilisent simplement des synonymes, parfois même des groupes de concepts entiers changent de place. Par conséquent, au début, il est nécessaire de déterminer clairement ce qui sera discuté dans cet article. Bien que les deux auteurs aient été formés dans le domaine de la sécurité de l'information en toute indépendance, leurs définitions et leurs concepts coïncident pratiquement, il a donc été décidé d'utiliser cette approche particulière. Le terme "sécurité de l'information" sera utilisé pour l'ensemble du domaine de connaissances couvert par ce livre. Parfois, en particulier dans le classement des agences de recrutement étrangères, la "sécurité de l'information" est considérée comme l'une des sous-sections de la sécurité générale, avec des concepts tels que "sécurité informatique", "sécurité du réseau", "sécurité des télécommunications", "sécurité des données".

À notre avis, le concept de "sécurité de l'information" est plus large puisqu'il couvre tout ce qui interagit avec l'information et que tous les concepts ci-dessus constituent des sous-sections ou des domaines distincts de la sécurité de l'information.

La sécurité de l'information est un ensemble de mesures qui fournit les facteurs suivants pour les informations couvertes:

• confidentialité - la possibilité de se familiariser avec des informations (à savoir des données ou des informations portant une charge sémantique et non avec la séquence de bits qui les représente) est disponible uniquement pour ceux qui disposent de l'autorité appropriée;
• intégrité - la possibilité de modifier l'information (encore une fois, nous parlons d'expression sémantique) ne devrait être disponible que pour les personnes autorisées à le faire;
• accessibilité - la capacité à obtenir un accès autorisé à l'information par des personnes autorisées dans la période de temps appropriée autorisée pour le travail.

Parfois, il est parfois possible de répondre aux définitions des facteurs énumérés dans une variante, par exemple divulgation ou divulgation, modification (modification ou distorsion) et destruction ou blocage. L'essentiel est que le sens inhérent à ces définitions ne soit pas déformé.

Ce n'est pas une liste complète de facteurs, ces trois concepts sont mis en évidence, car ils se trouvent généralement dans presque toutes les définitions de la sécurité de l'information et ne causent pas de différends. À notre avis, il est nécessaire d'inclure des facteurs supplémentaires et de comprendre la différence entre eux, à savoir:

• la comptabilité, c'est-à-dire que toutes les actions significatives d'une personne accomplies par elle dans le cadre contrôlé par le système de sécurité (même si elles ne vont pas au-delà des règles définies pour cette personne), doivent être enregistrées et analysées;
• non-répudiation ou appel (typique des organisations dans lesquelles il existe un échange de documents électroniques ayant une signification juridique, financière ou autre), c’est-à-dire que la personne qui a envoyé les informations à une autre personne ne peut pas nier le fait d’envoyer les informations, et la personne qui a reçu les informations ne peut pas nier le fait de sa réception.

La différence entre ces deux facteurs, peut-être pas immédiatement apparente, est la suivante. La comptabilité est généralement effectuée au moyen de journaux d’enregistrement électroniques, qui ne sont principalement utilisés que par des services autorisés. Sa principale différence est la régularité de l’analyse de ces journaux. La possibilité de recours est assurée par la cryptographie (signature numérique), dont le trait caractéristique est la possibilité de l'utiliser comme preuve dans des instances externes, par exemple devant un tribunal, si la législation pertinente est disponible.

Mécanismes de sécurité de l'information

Les facteurs objectifs ou objectifs de la sécurité de l'information énumérés sont garantis par l'application des mécanismes ou principes suivants:

• politique - ensemble de règles officielles (officiellement approuvées ou établies traditionnellement) qui régissent le fonctionnement du mécanisme de sécurité de l'information;
• identification - la définition (reconnaissance) de chaque participant dans le processus d'interaction de l'information avant que des concepts de sécurité de l'information lui soient appliqués;
• authentification - s'assurer que le participant au processus d'échange d'informations est correctement identifié, c'est-à-dire qu'il s'agit bien de l'identifiant qu'il a présenté;
• contrôle d'accès - création et maintenance d'un ensemble de règles déterminant pour chaque participant au processus d'échange d'informations l'autorisation d'accès aux ressources et le niveau de cet accès;
• autorisation - formation d'un profil de droits pour un participant particulier dans le processus d'échange d'informations (authentifié ou anonyme) à partir d'un ensemble de règles de contrôle d'accès;
• audit et surveillance - surveillance régulière des événements survenant lors de l'échange d'informations, avec enregistrement et analyse d'événements significatifs ou suspects prédéfinis. Les concepts d '«audit» et de «suivi» sont quelque peu différents, car le premier implique une analyse des événements après le fait et le second est proche du temps réel.
• intervention en cas d'incident - ensemble de procédures ou de mesures mises en œuvre en cas de violation réelle ou présumée de la sécurité de l'information;
• gestion de la configuration - création et maintien du fonctionnement de l'environnement d'échange d'informations dans un état sain et conforme aux exigences de la sécurité des informations;
• gestion des utilisateurs - assurer les conditions de travail des utilisateurs sur le support d'échange d'informations conformément aux exigences de la sécurité de l'information.

Dans ce cas, les utilisateurs sont compris comme tous ceux qui utilisent cet environnement d'informations, y compris les administrateurs;
  gestion des risques - assurer le respect des pertes éventuelles résultant d'une violation de la sécurité de l'information liée à la puissance des équipements de protection (c'est-à-dire le coût de leur construction);
  assurer la stabilité - maintenir l'environnement d'échange d'informations dans les conditions de travail minimum acceptables et le respect des exigences de sécurité des informations face aux influences destructrices externes ou internes.

Ainsi, la liste est listée dans laquelle les objectifs de sécurité de l'information définis ci-dessus sont atteints (dans certaines sources, les principes décrits, par exemple, l'authentification, sont transférés aux objectifs). À notre avis, l'authentification seule ne peut être l'objectif de la sécurité de l'information. Il ne s’agit que d’une méthode permettant d’identifier un participant à un échange d’informations afin de déterminer quelles politiques, par exemple, de confidentialité ou d’accessibilité doivent être appliquées à ce participant.

Boîte à outils sur la sécurité de l'information

Nous allons maintenant examiner quels moyens ou outils existent qui mettent en œuvre les principes ou mécanismes décrits. Naturellement, une liste complète n’est tout simplement pas possible - elle dépend en grande partie de la situation spécifique à la lumière de laquelle l’un ou l’autre des aspects de la sécurité de l’information est envisagée. En outre, quelqu'un voudra peut-être déplacer certains éléments de la liste des mécanismes vers la liste des outils, ou inversement. Notre raisonnement a la base suivante. Par exemple, le personnel est impliqué dans un audit qui fournit la comptabilité. Cela signifie que le personnel est un moyen, l'audit est un mécanisme et la comptabilité est un objectif. Ou bien les mots de passe fournissant une authentification sont stockés sous forme cryptée, l'authentification précède, par exemple, l'autorisation de modification. Cela signifie que la cryptographie est un moyen de protection par mot de passe, les mots de passe sont utilisés pour le mécanisme d'authentification, l'authentification précède l'intégrité.

Nous énumérons les principaux moyens (outils) de la sécurité de l’information:

• personnel - personnes qui assureront la mise en œuvre de la sécurité de l'information sous tous ses aspects, c'est-à-dire développer, mettre en œuvre, entretenir, surveiller et exécuter;
• soutien réglementaire - documents créant un espace juridique pour le fonctionnement de la sécurité de l'information;
• modèles de sécurité - schémas de sécurité de l'information intégrés à un système d'information ou à un environnement donné;
• cryptographie - méthodes et moyens de convertir des informations en une forme qui complique ou rend impossible toute opération non autorisée avec celle-ci (lecture et / ou modification), ainsi que méthodes et moyens de création, de stockage et de distribution de clés - objets d'information spéciaux mettant en œuvre ces sanctions;
• logiciel antivirus - un outil pour détecter et détruire les codes malveillants (virus, chevaux de Troie, etc.);
• pare-feu - dispositifs de contrôle d'accès d'un réseau d'information à un autre;
• scanners de sécurité - dispositifs permettant de vérifier la qualité du fonctionnement du modèle de sécurité pour un système d’information spécifique donné;
• systèmes de détection d'attaques - dispositifs permettant de surveiller l'activité dans l'environnement de l'information, avec parfois la possibilité d'une participation indépendante à l'activité spécifiée;
• sauvegarde - sauvegarde des copies redondantes des ressources d’information en cas de perte ou de dommage éventuel;
• la duplication (redondance) - la création de dispositifs alternatifs nécessaires au fonctionnement de l'environnement d'information, destinés aux cas de défaillance des dispositifs principaux;
• plan d'urgence - ensemble de mesures conçues pour être mises en œuvre au cas où des événements se produisent ou non d'une manière prédéterminée par les règles de sécurité de l'information;
• formation des utilisateurs - formation des participants actifs dans l'environnement de l'information à travailler dans le respect des exigences de sécurité de l'information.

Certains concepts sont peut-être trop volumineux (cryptographie), d'autres au contraire sont détaillés (scanners). L'objectif principal de cette liste était de montrer un ensemble typique, typique d'une entreprise qui développe un service de sécurité de l'information.

Les principales directions de la sécurité de l'information

Il reste maintenant à considérer les principaux domaines de la sécurité de l’information, qui se distinguent parfois les uns des autres. En réalité, à notre avis, il n'y en a que deux - la sécurité physique et la sécurité informatique.Toutefois, étant donné les différences dans les définitions, nous pouvons les caractériser comme suit.

Sécurité physique - assurer la sécurité de l'équipement lui-même, conçu pour le fonctionnement de l'environnement de l'information, en contrôlant l'accès des personnes à cet équipement. En outre, cela peut inclure le concept de protection des utilisateurs de l'environnement d'informations eux-mêmes contre l'impact physique des intrus, ainsi que la protection d'informations non virtuelles (copies papier - impressions, annuaires téléphoniques professionnels, adresses personnelles des employés, supports externes corrompus, etc.).

Sécurité informatique (sécurité du réseau, sécurité des télécommunications, sécurité des données) - assurer la protection de l'information sous sa forme virtuelle. Il est possible de distinguer les étapes de recherche d’informations dans l’environnement et, selon ces principes, de séparer, par exemple, la sécurité informatique (sur le lieu de création, de stockage ou de traitement de l’information) et la sécurité réseau (lors de l’envoi), mais elle viole en principe l’image complexe de la sécurité. La seule chose sur laquelle il serait logique de s'accorder est le terme sécurité des données, ou plutôt sécurité des données dans le cadre de cette application. Le fait est que dans un progiciel spécifique, le modèle de sécurité peut être implémenté de manière à nécessiter l'intervention d'un spécialiste séparé (ou même d'un service). Dans ce cas, il est possible de séparer les concepts de sécurité des données (d'une application spécifique) et de sécurité du réseau (du reste de l'environnement d'information).

La prochaine étape implique la création de conditions pour que nous puissions parler le même langage, c’est-à-dire l’introduction d’un ensemble de définitions de base.

Terminologie

Donc, pour parler une langue que tout le monde comprend, il est nécessaire d’introduire un certain nombre de définitions. La liste est délibérément un peu plus longue que nécessaire pour ce livre, en ce sens que tous les termes indiqués ici ne seront pas utilisés plus tard dans le texte. D'une part, cela a été fait spécifiquement pour aider ceux qui créeront ultérieurement de manière indépendante des matériels normatifs, méthodologiques et autres relatifs à la sécurité de l'information. Certains de ces documents, qui peuvent être de nature complexe ou technique, devront être précédés d’une section de définitions afin d’éviter les malentendus et les distorsions de sens. Dans ce cas, il sera possible de prendre cette section comme base et d’utiliser les définitions données ici ou de les modifier si nécessaire.

Une formulation soignée de telles définitions est particulièrement importante lorsqu'une organisation qui commence des travaux sur le développement de la sécurité de l'information entre dans certaines relations formalisées (par exemple, contractuelles) avec des entités qui comprennent mal le sujet (par exemple, avec ses clients, partenaires ou fournisseurs). Le fait est que parfois même des concepts simples et apparemment évidents, tels que des informations ou un mot de passe, peuvent être perçus différemment et devenir controversés à l'avenir. D'autre part, le lecteur n'a pas besoin de se rappeler tous les termes indiqués ici pour le développement réussi de l'article. Si nécessaire, lors d'une utilisation future, les définitions nécessaires seront répétées, éventuellement dans une version plus simplifiée.

Les informations seront appelées données présentées sous une forme ou sous une autre, propres à être stockées, traitées et / ou transmises. En ce qui concerne la sécurité de l'information d'un point de vue pratique, il convient de distinguer les types d'informations suivants:

• électronique (signaux électriques, zones d'aimantation, etc.);
• imprimés (imprimés, livres, etc.);
• visuel (images sur l'écran du moniteur, diapositives, affiches, etc.);
• audial (conversation de personnes, autoinformateurs sonores, etc.).

L'objet nous appellerons la ressource d’information elle-même, c’est-à-dire un certain ensemble complet d’informations, qui comprend des données réunies par un thème, une tâche, une méthode de traitement, etc. communs.
Sujet - information user ou un processus qui traite un ensemble donné d'informations (un objet) et qui est pris en compte, tel qu'appliqué à cette révision, lors d'une utilisation particulière de l'objet.
Par conséquent, l'objet est   c'est une sorte de passif et le sujet participe activement au processus d'échange d'informations.
Système d'information -   c'est un certain ensemble de sujets potentiellement ouverts agissant sur un ensemble d'objets, et les sujets d'un système ont généralement un but ou des objectifs communs.
Espace d'information -   il s'agit d'un ensemble de systèmes d'information qui interagissent les uns avec les autres, et une partie de ces systèmes peut avoir d'autres intérêts, y compris directement opposés, que l'autre.
Règles de sécurité de l'information - une liste des actions autorisées et / ou interdites pour les sujets du système d'information. Ces règles peuvent être définies non seulement pour une personne (utilisateur, administrateur, etc.), mais également pour un processus (par exemple, un processus permettant de fournir un accès sur un pare-feu).
Droits - un ensemble d’actions autorisées (règles) pour un sujet donné, qui fait partie du profil du sujet.

Nous considérerons comme non autorisée une action effectuée par le sujet (ou une partie du sujet) pour laquelle cette action n'est pas définie comme autorisée (ou définie comme interdite) par les règles de sécurité de l'information.

Outil d'information -   support d’information, à l’aide duquel le travail dans le système d’information est effectué ou assuré.
Menace -   la possibilité de mettre en œuvre une violation d'une règle de sécurité de l'information.
Vulnérabilité - insécurité ou erreur dans un objet ou un système d’information qui mène ou peut conduire à une menace.
Attaque - implémentation pratique d’une menace ou tentative de l’implémenter en utilisant l’une ou l’autre des vulnérabilités.
Accident -   incident non autorisé de nature extraordinaire ayant un effet destructeur sur un objet ou un système d’information.
Utilisateur - une personne, sujet d’un système d’information, qui y exerce des fonctions commerciales, c’est-à-dire utilise l’objet à des fins de production.
Administrateur - une personne, sujet d’un système d’information, créant les conditions pour que les utilisateurs puissent y travailler.
Contrôleur -   le sujet (pas nécessairement la personne!) du système d'information qui contrôle l'utilisation du système d'information par les utilisateurs et les administrateurs conformément à des règles prédéfinies (règles de sécurité de l'information).
Attaquant -   une personne, sujet du système d'information, poursuivant des objectifs égoïstes ou destructeurs qui contredisent les objectifs commerciaux du système.
Identifiant (nom, login) -   un ensemble de caractères représentant le nom unique d'un objet ou d'un sujet donné dans un système d'information donné (dans un autre système, un nom peut être répété). Il vous permet d’identifier de manière unique l’utilisateur lorsqu’il se connecte au système, de déterminer ses droits, d’enregistrer des actions, etc.
Mot de passe (mot de passe anglais) -   une séquence secrète de caractères associés au sujet et connus de lui seul, lui permettant de s’authentifier, c’est-à-dire de confirmer la correspondance de l’essence réelle du sujet avec l’identifiant qui lui est présenté à l’entrée.

Profil (profil anglais) -   un ensemble de paramètres et de configurations spécifiques à un sujet ou à un objet donné et déterminant son fonctionnement dans le système d'information.
Cryptage   processus consistant à rassembler des informations sous une forme dans laquelle il est impossible ou extrêmement difficile d’en extraire des données utiles sans posséder de connaissances supplémentaires spécifiques (clé).
Décryptage (décryptage) -   le processus opposé au processus de chiffrement, c’est-à-dire la récupération en utilisant les informations de clé appropriées dans le formulaire original, ce qui vous permet d’en extraire des données sémantiques.
Cryptanalyse -   un ensemble de méthodes et de moyens pour effectuer (ou le processus lui-même) le déchiffrement d’informations sans posséder la clé nécessaire.
Document électronique - un ensemble de données sous forme de représentation électronique, qui peut être représenté par des transformations standard sous une forme lisible par l'homme, y compris sous la forme d'un document sur papier; est une unité indivisible d’échange d’informations, c’est-à-dire qu’elle peut être transmise (reçue) ou non transmise (non reçue) uniquement dans son intégralité; se compose d'éléments appelés détails du document.
Clé privée (clé privée, clé privée) - séquence secrète d’octets destinée au sujet pour former une signature numérique électronique des documents électroniques.
Clé publique (clé publique) -   une séquence d'octets associée à la clé privée et conçue pour vérifier la signature numérique de documents électroniques. La clé publique doit être à la disposition de la partie utilisatrice.

Ce chapitre fournit intentionnellement une définition incomplète des clés privées et publiques. Ces définitions sont probablement les plus appliquées, car ces clés sont le plus souvent utilisées pour la signature numérique électronique. Ces conditions doivent être entrées dans les cas où la responsabilité de la sécurité des clés secrètes est répartie et où il est nécessaire de soumettre les clés publiques en temps voulu. Des détails concernant l'utilisation de tous les types de clés, ainsi que des algorithmes de cryptage et de signature numérique, sont consacrés à une partie du livre.

Signature numérique électronique (EDS) (signature numérique anglaise) -   un bloc de données d'un certain format, formé sur la base d'une clé privée détenue uniquement par une entité autorisée, comparé sans ambiguïté à un document électronique spécifique et utilisé pour vérifier l'authenticité (auteur) et l'intégrité de ce document électronique.
Signature numérique électronique valide - une signature numérique électronique d'un document électronique qui donne un résultat positif lorsqu'il est vérifié avec la clé publique correspondante.
Modèle de sécurité -   un ensemble de principes, de schémas et de mécanismes (parfois dotés d'outils et d'instruments spécifiques) conçus pour assurer la sécurité de l'information dans ce système d'information particulier.
Erreur - action involontaire, non planifiée à l'avance (sous la forme d'action ou d'inaction) commise par le sujet (utilisateur ou processus), qui pose ou peut constituer une menace pour la sécurité de l'information.
Programme malveillant - programme, script, macro ou autre code de programme exécutable créé dans le but de porter atteinte à la sécurité des informations. La tâche du programme malveillant est la suivante: minimum - utilisation non autorisée d’une partie des ressources d’information, maximum - acquisition du contrôle total sur un objet ou un système d’information en vue de son utilisation ultérieure. Les programmes malveillants incluent des virus et des chevaux de Troie.
Virus - programme malveillant dont la propriété principale est la possibilité de se propager automatiquement (éventuellement avec une auto-modification) et de se propager à de nouveaux systèmes d’information sans le contrôle du créateur. Généralement, les virus ont pour objectif principal d’exécuter des actions destructrices, bien que des virus créés à des fins de divertissement soient rencontrés. Le plus souvent, le créateur du virus ne tire aucun bénéfice matériel de son fonctionnement, mais parfois, par exemple, dans le cadre d'une concurrence industrielle, la création de virus peut être payée par le client.
Trojan, Trojan, Trojan Horse (Anglais trojari) -   Un programme malveillant qui inclut souvent un enregistreur de frappe et effectue des actions non autorisées et non autorisées, parfois même avec des fonctions de contrôle à distance par un attaquant, créé dans le but de violer la sécurité des informations de ce système. Les chevaux de Troie masquent souvent les activités non autorisées en effectuant un certain nombre d’actions documentées utiles à l’utilisateur.

Avec le développement des technologies de réseau, sont apparus des chevaux de Troie qui pénètrent dans le système sur le principe des virus informatiques. Ces hybrides utilisent les propriétés de la première et de la deuxième classe de programmes malveillants aux fins d'un attaquant. Les plus complexes d'entre eux, "diffusés" quelque part sur le réseau de l'entreprise et se multipliant comme un virus normal, peuvent finalement atteindre leur objectif principal, qui est probablement bien protégé des attaques directes de l'extérieur. Après cela, le cheval de Troie effectue sa tâche de violation de la sécurité et informe le créateur que sa tâche est terminée.

Signet (matériel, logiciel) - fonctionnalité malveillante (programme), implémentée comme l'une des fonctions cachées d'un système ou d'un objet. Contrairement aux chevaux de Troie qui entrent dans le système de l'extérieur, il est créé par la grande majorité des développeurs du système. Autres termes rencontrés - "porte arrière", toit ouvrant (eng. Trapdoor - fonction non documentée définie par le développeur lors de la création du système / objet et non éliminée pour une raison quelconque, bombe logique - la fonction est déclenchée lorsque certaines conditions sont remplies).
L'état de confiance du système est   un état dans lequel le comportement du système en termes de sécurité des informations correspond exactement à la spécification, les programmes malveillants ne fonctionnent pas dans le système et il n’existait aucune possibilité d’accès non autorisé aux données à des fins de lecture et / ou de modification.
NIP -    numéro d'identification personnel, identifiant numérique attribué à un objet ou à un sujet. Parfois utilisé comme analogue d'un mot de passe, par exemple dans les systèmes de cartes plastiques.
Jeton   dans le cas général, le support de stockage, les paramètres de sécurité de son propriétaire. En règle générale, certains supports externes non volatiles sont conçus pour stocker des mots de passe longs, des clés cryptographiques et d'autres informations de sécurité qu'une personne n'est pas en mesure de stocker dans sa mémoire. L'accès aux données de jeton peut également être protégé avec un mot de passe ou un code PIN.
Ordures système - un ensemble de données utilisées par un système ou un objet pour le travail et non destinées à une analyse étrangère, mais pour une raison quelconque est tombé en la possession de tiers. Il est intéressant pour les attaquants, car il peut stocker des données sur les fonctionnalités du système, des informations indirectes sur des données sensibles, voire des mots de passe et des clés cryptographiques.
En rapport avec ce terme, il est nécessaire de mentionner le concept de vidage de la mémoire (dump de la mémoire en anglais) - "snapshot"   l’état de la mémoire vive du périphérique utilisé pour déterminer les causes des pannes en cas de défaillance du système. Il est généralement créé et stocké sous forme de fichier sur un support de disque. En cas de contact avec des cybercriminels, cela peut causer des dommages très graves à la sécurité du système.
Logiciels extérieurs -   logiciels non autorisés à être utilisés dans cet espace d’information et non enregistrés par des services autorisés.

Un certain nombre de termes utilisés ci-dessous, qui ne sont pas directement liés à la sécurité de l'information, ont été transférés dans le glossaire afin de ne pas encombrer ce chapitre de trop d'informations. dans le sens du sujet de ce livre. En outre, les termes "processus métier", "logique métier" seront trouvés. Dans ce cas, le mot "entreprise" signifie "ce qui est prédéterminé par les objectifs de production de l'entreprise".

Tâches et principes de l'organisation du service de sécurité de l'information

Ce chapitre se concentrera sur les processus bureaucratiques nécessaires à la formation du service de sécurité dans l'entreprise, destinés plutôt aux gestionnaires de service ou à ceux qui sont professionnellement engagés dans la stratégie et les tactiques du développement structurel de l'organisation. Par conséquent, les lecteurs plus intéressés par les aspects techniques peuvent passer en toute sécurité au chapitre 4 - Création d’un service de sécurité.

Pour ceux qui décident néanmoins de lire ce chapitre, nous notons que la résolution des problèmes décrits ici peut être utile pour éviter les conflits de production et les incohérences pouvant survenir du fait du fonctionnement spécifique du service de sécurité de l’information.

Tâches de sécurité de l'information

Malgré les preuves apparemment directes des tâches du service de sécurité de l'information («le service de sécurité doit assurer la sécurité - quoi d'autre?»), De nombreuses questions se posent qui ne sont pas frappantes au premier abord. Nous divisons ces questions ou problèmes en groupes suivants:

• déploiement de services de sécurité de l'information;
• son interaction avec d'autres services;
• hiérarchie de la soumission.

En d’autres termes, il convient de déterminer l’emplacement du service de sécurité de l’information dans la structure habituelle de l’entreprise, son interaction avec les autres départements (en particulier la division informatique), le nombre de chefs devant se situer entre le chef du service de sécurité et le directeur de l’entreprise.

Un certain nombre de recommandations sur le placement, l'interaction et la subordination du service de sécurité sont avancées, principalement occidentales et centrées sur le monde électronique, et anciennes, encore soviétiques, provenant des premiers départements. À notre avis, ces procédures sont très dépendantes de nombreux facteurs d’une entreprise donnée, voire même des relations informelles existantes entre les employés. Si l'efficacité du service de sécurité de l'information est primordiale dans l'entreprise, ces aspects ne peuvent pas être ignorés. Afin de ne pas définir un cadre rigide pour tout cela, nous vous suggérons de simplement considérer les problèmes et de répondre aux questions vous-même. À partir des réponses reçues, il apparaîtra clairement comment et où le service de sécurité de l'information doit être situé dans l'arborescence de l'entreprise.

Que doit faire la sécurité?

• Administrer les fonctionnalités de sécurité existantes (pare-feu, packages antivirus, systèmes de détection d'attaques, etc.)?
• Développer des modèles et des schémas de protection des informations, prendre des décisions concernant l’acquisition de nouveaux outils de sécurité?
• Pour contrôler le travail des utilisateurs de l'espace d'informations de l'entreprise?
• Quels groupes - uniquement les utilisateurs finaux ou également les administrateurs système?
• Où le service est-il principalement destiné aux utilisateurs internes (selon les statistiques, la plupart des violations de la sécurité de l'information - intentionnelles ou non - sont commises à l'intérieur de l'entreprise) ou à des fins de protection contre un accès depuis l'espace d'informations externe?

Il ne fait aucun doute que les problèmes de sécurité de l'information doivent être pris en compte dans chacun des éléments énumérés. Cependant, l'application peut être différente et dépend de nombreuses raisons qui ne sont généralement pas prévues dans les recommandations occidentales, telles que le manque de personnel qualifié.

Les deux situations suivantes peuvent constituer un exemple de solutions différentes: le service de sécurité de l’information n’analyse que la situation, élabore un modèle et décide de l’acquisition ou non d’un outil de sécurité, et son administration est effectuée dans le cadre des activités normales de la division informatique. L'option opposée - l'achat d'équipements de protection est réalisée dans le cadre de la stratégie globale de développement des technologies de l'information de l'entreprise et des travaux spécifiques sur l'installation et le support des équipements de protection sont effectués par le service de sécurité de l'information.

Comment se passe l’interaction avec le service informatique, et plus particulièrement avec les administrateurs de réseaux et de systèmes?

• Les spécialistes de la sécurité de l’information exercent un contrôle total sur le système d’information, à égalité avec les droits de l’administrateur système.
• Les experts en sécurité participent à l'administration du système, par exemple pour définir les droits des utilisateurs.
• Les spécialistes de la sécurité ont accès à tous les objets du système d’information, mais ils n’ont le droit que de lire les informations les concernant.
• Les spécialistes de la sécurité de l’information n’ont pas accès au système, ils utilisent des journaux d’enregistrement, des rapports de configuration, etc. pour surveiller le travail des administrateurs.

Toutes ces options sont indiquées de manière intentionnelle, car la relation entre le service de sécurité et, par exemple, l'administrateur du réseau local peut être très stressante, en particulier si le service vient d'être créé et que l'administrateur remplit ses fonctions depuis plusieurs années.

• Que se passe-t-il si l'administrateur travaille réellement de manière honnête pendant longtemps et que des spécialistes de la sécurité ne viennent que dans l'entreprise, mais exigent des droits importants sur le système et restreignent les droits d'administrateur? Et si l'administrateur dans cette affaire décidait de quitter l'organisation?
• Mais que se passe-t-il si les qualifications des spécialistes de la sécurité pour un système d’information spécifique sont nettement inférieures à celles d’un administrateur, et que, s’il existe certains droits, ils peuvent interférer avec le système?
• Que se passe-t-il si le système est conçu de telle sorte que, pour contrôler l'administrateur, un contrôle complet sur l'ensemble du système soit nécessaire?

Il y a plus de questions que de réponses, une décision doit être prise en tenant compte de tous ces problèmes.

Peut-être que le processus douloureux de transfert ou de division des droits devra s’étendre sur une longue période jusqu’à ce que les spécialistes de la sécurité acquièrent l’expérience appropriée, et les administrateurs s’habitueront progressivement à un contrôle partiel, puis complet.

Combien d’étapes décisionnelles en matière de sécurité de l’information devraient exister?

Si le responsable du service de sécurité de l’information relève directement du directeur de l’entreprise et prend directement des projets de décision, il est alors possible d’abuser de son poste (le supérieur hiérarchique étant probablement peu compétent en informatique, mais réagit au mot "sécurité" en visualisant immédiatement tous les documents). Si le processus de prise de décision est trop réparti entre les dirigeants et s’étend au fil du temps, il y a un risque de retard dans la prise de décision vitale (cependant, ak pour tout autre service). En outre, si les représentants des points de coordination ne sont pas compétents en matière de sécurité, il faudra beaucoup de temps pour trouver les problèmes et se mettre d'accord sur des avis.

• Le processus de prise de décision en matière de sécurité de l'information est-il conforme à la stratégie globale de développement des technologies de l'information?
• Un équipement de protection ne sera-t-il pas installé dans l'espace informatique de l'entreprise qui interfère avec le fonctionnement d'autres systèmes d'information?

Dans ce cas, des recommandations spécifiques conseillent de subordonner le service de sécurité de l’information, non pas directement au directeur, mais à un certain comité de sécurité, qui comprendra, d’une part, des spécialistes capables d’évaluer la qualité de la solution proposée, et, d’autre part, des responsables pouvant approuver la décision prise par exécution obligatoire.