Siųsti savo gerą darbą žinių bazėje yra paprasta. Naudokite žemiau esančią formą.

Studentai, magistrantai, jaunieji mokslininkai, kurie naudojasi žinių baze studijose ir darbe, bus jums labai dėkingi.

Paskelbta http://www.allbest.ru/

1. Pagrindinės informacijos ir informacijos saugumo sąvokos

informacijos saugumo apsauga

Informacijos saugumas  - Tai yra veikla, kuria siekiama užkirsti kelią saugomos informacijos nutekėjimui, neteisėtam ir nenumatytam poveikiui saugomai informacijai.

Apsaugos objektas  - informacija, informacijos laikmena ar informacijos procesas, kurio apsaugą būtina užtikrinti pagal numatytą informacijos apsaugos tikslą.

Informacijos saugumo tikslas yra:  Tai yra norimas duomenų apsaugos rezultatas. Informacijos apsaugos tikslas gali būti užkirsti kelią informacijos savininkui, savininkui, vartotojui padaryta žala dėl galimo informacijos nutekėjimo ir (arba) neteisėto ir nenumatyto poveikio informacijai.

Informacijos saugumo veiksmingumas -  informacijos apsaugos rezultatų atitikimo tikslui laipsnis.

Apsauga nuo informacijos nutekėjimo  - veikla, kuria siekiama užkirsti kelią nekontroliuojamai saugomos informacijos skleidimui nuo jos atskleidimo, neteisėtos prieigos (neleistinos prieigos) prie saugomos informacijos ir užpuolikų gautos saugomos informacijos.

Informacijos apsauga nuo atskleidimo  - veikla, kuria siekiama užkirsti kelią neteisėtam saugomos informacijos pateikimui nekontroliuojamam informacijos gavėjų skaičiui.

Informacijos apsauga nuo neteisėtos prieigos  - veikla, kuria siekiama užkirsti kelią suinteresuotam subjektui gauti saugomą informaciją, pažeidžiant teisinių dokumentų ar informacijos savininko ar savininko teises ar prieigos prie saugomos informacijos taisykles. Suinteresuotas subjektas, vykdantis neteisėtą prieigą prie saugomos informacijos, gali būti valstybė, juridinis asmuo, asmenų grupė, įskaitant visuomeninę organizaciją, individualus asmuo.

Informacijos apsaugos sistema - įstaigų ir (arba) vykdytojų visuma, jų naudojama informacijos apsaugos technika, taip pat apsaugos objektai, organizuoti ir veikiantys pagal taisykles, nustatytas atitinkamuose teisiniuose, organizaciniuose, administraciniuose ir norminiuose dokumentuose dėl informacijos apsaugos.

Pagal informacijos saugumas  suprasti informacijos, susijusios su neteisėtu susipažinimu, pertvarkymu ir sunaikinimu, saugumą, taip pat informacijos šaltinių apsaugą nuo jų veiklos sutrikdymo padarinių. Šių padarinių pobūdis gali būti labai įvairus.

Tai apima bandymus įsilaužti, personalo klaidas, aparatinės ir programinės įrangos gedimus bei stichines nelaimes (žemės drebėjimas, uraganas, gaisras) ir kt.

Šiuolaikiška automatizuota sistema  (AC) apdoroti informaciją  yra sudėtinga sistema, susidedanti iš daugybės skirtingo laipsnio autonomijos komponentų, kurie yra sujungti ir keičiasi duomenimis. Beveik kiekvienas komponentas gali būti paveiktas ar pažeistas. Kolonėlių komponentai  galima suskirstyti į šias grupes:

- aparatinė įranga  - kompiuteriai ir jų komponentai;

- programinė įranga  - įsigytos programos, šaltinio, objekto, apkrovos moduliai; OS ir sistemos programos, komunalinės paslaugos, diagnostikos programos ir kt .;

- duomenys  - laikinai ir visam laikui saugomi magnetinėse laikmenose, spausdintose, archyvuose, sistemos žurnaluose ir kt .;

- personalas -  aptarnaujantis personalas ir vartotojai.

Viena iš informacijos saugumo AE ypatybių yra ta, kad tokios abstrakčios sąvokos kaip informacija, sistemos objektai ir subjektai atitinka fizinius vaizdus kompiuterio aplinkoje:

- pateikti informaciją -- kompiuterinės laikmenos  kompiuterinių sistemų išorinių įrenginių, RAM, failų, įrašų ir kt .;

- sistemos objektai  - pasyvieji sistemos komponentai, kurie kaupia, priima arba perduoda informaciją. Prieiga prie objekto reiškia prieigą prie jame esančios informacijos;

- sistemos dalykai -  aktyvūs sistemos komponentai, kurie gali sukelti informacijos srautą iš objekto į subjektą arba pakeisti sistemos būseną. Dalykai gali būti vartotojai, aktyvios programos ir procesai.

2. Pagrindinės savybėsir informacija, susijusi su informacijos saugumu

Duomenų konfidencialumas - tai yra duomenų statusas ir nustatomas reikalingas jų apsaugos laipsnis. Konfidenciali informacija turėtų būti žinoma tik įgaliotiems ir patikrintiems (įgaliotiesiems) sistemos subjektams (vartotojams, procesams, programoms). Kitiems sistemos subjektams ši informacija turėtų būti nežinoma.

Kviečiamas saugomos informacijos (apsaugos objekto) apsaugos svarbos laipsnių nustatymas saugomos informacijos skirstymas į kategorijas.

Pagal informacijos vientisumas  informacijos nuosavybė išsaugoma siekiant išsaugoti jos struktūrą ir (arba) turinį perdavimo ir saugojimo metu. Informacijos vientisumas užtikrinamas, jei sistemoje esantys duomenys semantiškai nesiskiria nuo pradinių dokumentų duomenų, t. Y., Jei nėra atsitiktinio ar tyčinio jų iškraipymo ar sunaikinimo. Duomenų vientisumo užtikrinimas yra viena iš sunkių informacijos apsaugos užduočių.

Informacijos patikimumas -  informacija apie nuosavybę sistemos išvestyje atitinka informaciją, gautą jos įvesties metu. Kiekybiškai D. ir. vertinamas tokiais rodikliais kaip laikas tarp informacijos klaidos, informacijos klaidų intensyvumas, neklystamumo tikimybė ... informacija apie nuosavybę, išreikšta griežtai priklausant subjektui, kuris yra jo šaltinis, arba subjektui, iš kurio gaunama ši informacija.

Teisinė informacijos vertė  Tai reiškia, kad dokumentas, kuris yra informacijos laikmena, turi teisinę galią.

Duomenų prieinamumas. Vartotojo darbas su duomenimis yra įmanomas tik tuo atveju, jei jis turi prieigą prie jų.

Prieiga prie informacijos -  subjekto galimybė susipažinti su informacija, įskaitant techninių priemonių galimybę. Prieigos prie informacijos tema -  partiniai santykiai informaciniuose procesuose.

Prieigos prie informacijos veiksmingumas  - yra informacijos ar tam tikrų informacijos šaltinių galimybė būti prieinamiems galutiniam vartotojui atsižvelgiant į jo veiklos poreikius.

Informacijos savininkas  - subjektas, visiškai įgyvendinantis teisės aktų turėjimo, naudojimo, disponavimo įgaliojimais.

Informacijos savininkas  - subjektas, užsiimantis informacijos saugojimu ir naudojimu bei naudojimosi diskrecija, neperžengdamas įstatymų nustatytų teisių ir (arba) informacijos savininko.

Vartotojas (vartotojas) informacija - subjektas, naudojantis informacija, gauta iš jo savininko, savininko ar tarpininko, laikantis nustatytų teisių ir prieigos prie informacijos taisyklių ar jų pažeidimų.

Teisė gauti informaciją ~  teisinių dokumentų arba informacijos savininko ar savininko nustatytų prieigos prie informacijos taisyklių rinkinį.

Informacijos prieigos taisyklė  - taisyklių rinkinys, reglamentuojantis subjekto ir jo nešėjų prieigos prie informacijos tvarką ir sąlygas.

Prieiga prie informacijos yra neleistina ir nesankcionuota.

Įgaliota prieiga  informacija yra prieiga prie informacijos, kuri nepažeidžia nustatytų prieigos kontrolės taisyklių. Prieigos kontrolės taisyklės yra naudojamos norint reguliuoti prieigą prie sistemos komponentų.

Neteisėta prieiga  informacijai - nustatytų patekimo kontrolės taisyklių pažeidimas. Asmuo ar procesas, vykdantis nesankcionuotą prieigą prie informacijos, pažeidžia prieigos kontrolės taisykles. NSD yra labiausiai paplitęs kompiuterio pažeidimų tipas.

Už kompiuterinės sistemos apsaugą nuo neteisėtos prieigos prie informacijos yra atsakingas saugos administratorius.

3. Identifikavimas, autentifikavimas, įgaliojimas

Iridentifikatoriussubjektas - tam tikra subjektą identifikuojanti informacija. Subjektas, turintis registruotą ID, yra legalus (teisinis) subjektas. Dalyko identifikacija -  Tai yra subjekto atpažinimo pagal jo identifikatorių procedūra. Identifikacija atliekama, kai subjektas bando prisijungti prie sistemos (tinklo). Objekto autentifikavimas  - tai yra subjekto autentifikavimas pateiktu identifikatoriumi. Autentifikavimo procedūra nustato, ar subjektas yra būtent tas, kuris pasiskelbė esąs. Dalyko leidimas  - Tai yra teikimo procedūra juridiniam asmeniui, sėkmingai išlaikiusiam atitinkamos institucijos identifikavimą ir autentifikavimą bei turimus sistemos (tinklo) išteklius.

4. Informacijos saugumo grėsmių analizė

Pagal grasino  (bendrąja prasme) paprastai supranta galimą įvykį (poveikį, procesą ar reiškinį), kuris gali pakenkti kažkieno interesams. Toliau pagal grėsmė saugumui  AS informacijos apdorojimas supras AS poveikio galimybę, kuris tiesiogiai ar netiesiogiai gali pakenkti jo saugumui.

Galimas AS informacijos saugumo grėsmes galima klasifikuoti pagal šiuos pagrindinius kriterijus.

Pagal įvykio pobūdį:

gamtos grėsmės sukeltas objektyvių fizinių procesų ar gamtos reiškinių poveikio AS;

dirbtinės grėsmės  garsiakalbių sauga dėl žmonių veiklos.

Pagal tyčinio pasireiškimo laipsnį:

grėsmės, atsirandančios dėl klaidų ar aplaidumo  personalo, pavyzdžiui, nekompetentingas apsaugos priemonių naudojimas, klaidingas duomenų įvedimas ir kt .;

tyčinių veiksmų grėsmėtokius kaip įsibrovėlių veiksmai.

Pagal tiesioginį grėsmių šaltinį:

gamtinė aplinkapvz., stichinės nelaimės, magnetinės audros ir kt .;

vyraspavyzdžiui, įdarbinimas kyšininkaujant darbuotojams, atskleidžiant konfidencialius duomenis ir pan .;

autorizuota aparatinė ir programinė įrangaPvz., Duomenų ištrynimas, OS gedimas;

neteisėta programinė įranga / aparatinė įranga, pavyzdžiui, kompiuterinis užkrėtimas virusais, turinčiais destruktyvias funkcijas.

Pagal grėsmių šaltinio padėtį:

už AS kontroliuojamos zonos ribų,  pavyzdžiui, ryšių kanalais perduodamų duomenų perėmimas, apgaulingų elektromagnetinių, akustinių ir kitų radiacijos įtaisų perėmimas;

kontroliuojamoje AS zonojetokias kaip klausymo įrenginių naudojimas, spaudinių, įrašų, laikmenų saugojimas ir pan.;

tiesiai į garsiakalbius,  pavyzdžiui, neteisingas AS išteklių naudojimas.

Pagal priklausomybės nuo AS veiklos laipsnį:

nepriklausomai nuo AS veiklos,  pavyzdžiui, informacijos šifravimo šifrų atidarymas;

tik duomenų tvarkymo metu,  pavyzdžiui, programinės įrangos virusų vykdymo ir plitimo grėsmės.

Pagal poveikio AS laipsnį:

pasyvios grėsmėskurios įgyvendinant nieko nekeičia AS struktūros ir turinio, pavyzdžiui, kyla grėsmė nukopijuoti slaptus duomenis;

aktyvios grėsmėskurie, veikiami, keičia ASS struktūrą ir turinį, pavyzdžiui, įvedami Trojos arkliai ir virusai.

Pagal vartotojo ar programos prieigą prie išteklių

grėsmės, kylančios dėl galimybės naudotis AS ištekliais etapo,  pavyzdžiui, neteisėtos prieigos prie AS grėsmė;

grėsmės, kurios pasireiškia suteikus prieigą prie AS išteklių,  tokias kaip neteisėto ar neteisingo AS išteklių naudojimo grėsmė.

Kaip prieigą prie AS išteklių:

grėsmės, kylančios naudojant standartinį prieigą prie AS išteklių,  pavyzdžiui, neteisėtas slaptažodžių ir kitos prieigos kontrolės informacijos gavimas su paslėptu registruoto vartotojo paslėpimu;

grėsmės, padarytos naudojant paslėptą nestandartinį kelią norint pasiekti kintamosios srovės išteklius, Pvz., neteisėta prieiga prie AS išteklių, naudojant nedokumentuotas OS galimybes.

Dabartinėje AS saugomos ir tvarkomos informacijos vietoje:

grėsmės prieigai prie informacijos, saugomos išoriniuose saugojimo įrenginiuosePavyzdžiui, nesankcionuotas neskelbtinos informacijos kopijavimas iš standžiojo disko;

grėsmės prieigai prie informacijos atmintyjepavyzdžiui, likusios informacijos skaitymas iš RAM, programų programų prieiga prie sistemos atminties srities;

ryšių linijose esančios informacijos prieigos grėsmė,pavyzdžiui, neteisėtas prisijungimas prie ryšių linijų su vėlesniu klaidingų pranešimų įvedimu ar perduodamų pranešimų modifikavimu, neteisėtas prisijungimas prie ryšių linijų, siekiant tiesiogiai pakeisti teisėtą vartotoją, po to įvesti dezinformacija ir įvesti melagingus pranešimus;

informacijos prieigos grėsmėsrodomas terminale arba atspausdinamas ant spausdintuvo , pavyzdžiui, rodomos informacijos įrašymas į paslėptą vaizdo kamerą.

Priežastys atsitiktiniai efektaikai AS gali būti:

· Avarinės situacijos dėl stichinių nelaimių ir elektros energijos tiekimo nutraukimo;

· Įrangos gedimai ir gedimai;

· Programinės įrangos klaidos;

· Klaidos darbuotojų ir vartotojų darbe;

· Ryšio linijų trikdžiai dėl išorinės aplinkos poveikio.

Programinės įrangos klaidos yra įprastas kompiuterio trikdžių tipas. Programinės įrangos serveriai, darbo vietos, maršrutizatoriai ir kt., Kuriuos parašė žmonės, todėl beveik visada yra klaidų. Kuo sudėtingesnė tokia programinė įranga, tuo didesnė tikimybė joje aptikti klaidų ir pažeidžiamumų. Daugelis jų nekelia jokio pavojaus, kai kurie gali sukelti rimtų padarinių, pavyzdžiui, užpuolikas gali įgyti serverio valdymą, sutrinka serverio veikla, neteisėtas išteklių naudojimas (kompiuterio naudojimas kaip tramplinas į ataką ir pan.). Paprastai tokios klaidos pašalinamos naudojant programinės įrangos gamintojo reguliariai išleidžiamus pakeitimų paketus. Laiku įdiegti tokius paketus yra būtina informacijos saugumo sąlyga.

Tyčiniai pavojaisiejamas su tikslingais pažeidėjo veiksmais. Kaip pažeidėjas gali būti darbuotojas, lankytojas, konkurentas, samdinys ir kt.

5. NSD įformacijos. Būdos, kaip gauti suklastotą jungiklį

Neteisėta prieiga- labiausiai paplitusi ir įvairi kompiuterinių pažeidimų forma. Neteisėtos prieigos esmė yra gauti vartotojui (pažeidėjui) prieigą prie objekto pažeidžiant prieigos kontrolės taisykles, nustatytas vadovaujantis organizacijos saugos politika. NSD naudoja bet kokias apsaugos sistemos klaidas ir yra įmanoma neracionaliai pasirinkus apsaugos priemones, neteisingai jas įdiegiant ir konfigūravus. Neteisėta prieigos sistema gali būti įdiegta kaip standartinė AS priemonė ir specialiai sukurta aparatinė ir programinė įranga.

Pagrindiniai neteisėtos prieigos kanalai, per kuriuos pažeidėjas gali pasiekti AS komponentus ir vykdyti vagystę, informacijos pakeitimą ir (arba) sunaikinimą:

· Reguliarūs prieigos prie informacijos kanalai, kai jais naudojasi pažeidėjai, taip pat teisėti vartotojai, esantys už savo valdžios ribų;

· Technologinės valdymo pultai;

· Ryšio linijos tarp aparatinės įrangos kintamosios srovės;

· Šoninė elektromagnetinė spinduliuotė iš įrangos, ryšių linijų, maitinimo tinklų ir įžeminimo ir kt.

Iš daugybės neteisėtos prieigos metodų ir būdų sutelksime dėmesį į šiuos įprastus ir susijusius pažeidimus:

· Slaptažodžių perėmimas;

· „Maskaradas“;

· Neteisėtas privilegijų naudojimas.

Slaptažodžių perėmimas  vykdomas specialiai tam sukurtomis programomis. Kai teisėtas vartotojas bando prisijungti prie sistemos, perėmimo programa ekrane imituoja vartotojo vartotojo vardo ir slaptažodžio įvedimą, kurie iškart siunčiami perėmimo programos savininkui, po kurio ekrane rodomas klaidos pranešimas ir OS grąžina valdymą.

„Maskaradas“  - Tai yra bet koks vieno vartotojo atliekamas veiksmas kito vartotojo, turinčio atitinkamus įgaliojimus, vardu. „Maskarado“ tikslas yra priskirti bet kokius veiksmus kitam vartotojui arba paskirti kito vartotojo teises ir teises. „Maskarados“ įgyvendinimo pavyzdžiai:

· Prisijungimas prie sistemos kito vartotojo vardu ir slaptažodžiu;

· Pranešimų siuntimas tinkle kito vartotojo vardu.

„Maskaradas“ yra ypač pavojingas bankų elektroninėse mokėjimo sistemose, kur netinkamas kliento identifikavimas dėl užpuoliko „užmaskuoto kamuolio“ gali sukelti didelių nuostolių teisiniam banko klientui.

Neteisėtas privilegijų naudojimas. Daugelis apsaugos sistemų nustato specifinius privilegijų rinkinius nurodytoms funkcijoms atlikti. Kiekvienas vartotojas gauna savo privilegijų rinkinį: paprasti vartotojai - minimalūs, administratoriai - maksimalią. Dėl neteisėto konfiskavimo privilegijomis, pavyzdžiui, naudojant „kaukę“, pažeidėjas gali atlikti tam tikrus veiksmus, kad apeitų apsaugos sistemą. Pažymėtina, kad neteisėtas konfiskavimas privilegijomis yra įmanomas arba dėl apsaugos sistemos klaidų, arba dėl administratoriaus aplaidumo valdant sistemą ir suteikiant privilegijas.

Manoma, kad, nepaisant konkrečių grėsmių tipų ar jų probleminės klasifikacijos, AS patenkina savo operatorių poreikius, jei užtikrintos šios svarbios informacijos ir jos apdorojimo sistemų savybės: konfidencialumas, vientisumas ir prieinamumas.

Kitaip tariant, laikantis esamų metodų, laikoma, kad AE informacijos saugumas užtikrinamas, jei sistemoje išlaikomi tam tikri informacinių išteklių lygiai:

· Konfidencialumas (neįmanoma neteisėtai gauti jokios informacijos);

· Vientisumas (neteisėtų ar netyčinių pakeitimų neįmanoma);

· Prieinamumas (galimybė per reikiamą laiką gauti reikiamą informaciją).

7. Bendrieji saugos kriterijai

Bendri kriterijai yra nepriklausomų, bet tarpusavyje susijusių dalių visuma.

Pristatymas ir bendrasis modelis -  apibrėžia bendrą IT saugumo vertinimo koncepciją ir principus, bendrą vertinimo modelį ir IT saugumo tikslų kūrimo, IT saugumo reikalavimų parinkimo ir apibrėžimo bei aukšto lygio produktų ir sistemų specifikacijų aprašymo projektus. Be to, joje vartotojų kategorijoms nurodomos skirtingos OC dalys, kuriose pateikiami jų interesai saugos vertinimo kriterijuose.

Saugos savybių reikalavimai -  nustato funkcinių komponentų rinkinį kaip standartinį būdą išreikšti funkcinius reikalavimus vertinimo objektams.

Saugumo užtikrinimo reikalavimai -  Tai apima vertinimo garantijų komponentus, sugrupuotus į šeimas ir klases, taip pat įvertinimo garantijų lygius, kurie nustato eiliškumą pagal reikalavimų tenkinimo laipsnį, taip pat vertinimo kriterijus saugos profiliai  ir saugumo užduotys.

Iš anksto nustatyti saugos profiliai - pateikiami apsaugos profilių pavyzdžiai, įskaitant funkcinius saugos reikalavimus ir įvertinimo garantijos reikalavimus, kurie buvo nustatyti pagrindiniuose kriterijuose (ITSEC, CTCRES, FC, TCSEC), taip pat reikalavimus, kurie nepateikti pagrindiniuose kriterijuose.

8. Bendrosios kriterijų sąvokos

Pagal OK koncepciją, įvertinimo objekto saugumo reikalavimai yra suskirstyti į dvi kategorijas: funkcinius reikalavimus ir garantinius reikalavimus.

Į funkciniai reikalavimai gerai  aprašomos vertinimo objekto funkcijos, užtikrinančios IT saugumą. Pavyzdžiui, funkciniai reikalavimai apima identifikavimo reikalavimus, vartotojų autentifikavimą (autentifikavimą), registravimą (auditą) ir kt.

Garantiniai reikalavimai  atspindi įvertinamo objekto kokybę, suteikiant pagrindą įsitikinti, kad reikalaujamos objekto saugumo priemonės įgyvendinamos teisingai ir efektyviai. Garantija gaunama įvertinus objekto paskirtį, struktūrą ir funkcionavimą.

OC, funkciniai ir garantiniai reikalavimai pateikiami tuo pačiu bendru stiliumi ir ta pati organizacija bei terminija.

Terminas klasė  naudojami dažniausiai grupei saugumo reikalavimų. Visi klasės nariai turi bendrą tikslą ir skiriasi saugumo tikslų apimtis.

Klasės nariai yra įvardijami šeimos.  Šeima - tai saugumo reikalavimų rinkinys, užtikrinantis tam tikros saugumo tikslų dalies įgyvendinimą, tačiau gali skirtis pabrėžimas ar nelankstumas.

Šeimos nariai yra įvardijami komponentai.  Komponentas apibūdina specifinį saugumo reikalavimų rinkinį - mažiausią saugumo reikalavimų rinkinį, kurį reikia įtraukti į QA apibrėžtas struktūras.

Komponentai yra pastatyti iš daiktai.  Elementas yra žemiausias ir nedalomas saugumo reikalavimų lygis, pagal kurį įvertinamas jų pasitenkinimas.

Saugos reikalavimų organizavimas kokybės užtikrinimo hierarchijoje klasė-šeima-komponentas-elementas  padeda vartotojui teisingai nustatyti komponentus, kai tik nustatomos įvertinimo objekto saugumo grėsmės.

9. Pagrindinės sąvokossaugumo politika

Saugumo politika - įstatymų, taisyklių ir elgesio normų rinkinys, nustatantis, kaip organizacija apdoroja, saugo ir platina informaciją. Pavyzdžiui, taisyklės nustato, kada vartotojas turi teisę dirbti su tam tikrais duomenų rinkiniais ir kuo patikimesnė sistema, tuo griežtesnė ir įvairesnė turėtų būti saugumo politika. Atsižvelgiant į suformuluotą politiką, galite pasirinkti konkrečius mechanizmus, užtikrinančius sistemos saugumą. Saugumo politika yra aktyvus apsaugos komponentas, kuris apima galimų grėsmių analizę ir atsakomųjų priemonių pasirinkimą.

Saugumo politika nustato informacijos saugumo srities valdymo strategiją, taip pat dėmesį ir išteklių, kuriuos, jos manymu, tikslinga pateikti rekomendacijas, dydį. Saugumo politika yra pagrįsta rizikos analize, kuri organizacijos intelektinės nuosavybės atžvilgiu pripažįstama realia.

Atlikus rizikos analizę ir nustatant strategiją, kaip apsaugoti programas, kurių įgyvendinimas turėtų užtikrinti informacijos saugumą. Kontrolės eiliškumą nustato programa.

Saugumo politika paprastai sudaroma dokumentų forma, įskaitant tokius skyrius kaip problemų aprašymas, taikymo sritys, organizacijos pozicijos, vaidmenų ir atsakomybės pasiskirstymas, sankcijos ir kt.

Problemų aprašymas.Vietiniame tinkle cirkuliuojanti informacija yra kritinė. Vietinis tinklas leidžia vartotojams dalytis programomis ir duomenimis, o tai padidina saugumo riziką, todėl kiekvienam tinklo kompiuteriui reikia daugiau apsaugos. Šios sustiprintos saugumo priemonės yra šio dokumento dalykas.

Taikymo sritis.   Šios politikos taikymo sritis apima visus aparatūros, programinės įrangos ir informacijos išteklius, įtrauktus į vietinį įmonės tinklą.

Organizacijos pozicija.   Pagrindiniai tikslai yra užtikrinti duomenų vientisumą, prieinamumą ir konfidencialumą, taip pat jų išsamumą ir tinkamumą.

10. Rasvaidmenų ir atsakomybės paskirstymas

Skyrių vadovai  atsakingas už saugumo politikos nuostatų pateikimą vartotojams ir už ryšius su jais.

LAN administratoriai  užtikrinti nuolatinį tinklo veikimą ir yra atsakingi už techninių priemonių, būtinų saugumo politikai įgyvendinti, įgyvendinimą.

Aptarnavimo administratoriai  atsakingi už konkrečias paslaugas, ypač už pastatų apsaugą pagal bendrąją saugumo politiką.

Vartotojai jie dirba su vietiniu tinklu pagal saugumo politiką, laikosi asmenų, atsakingų už tam tikrus saugumo aspektus, nurodymų, informuoja vadovybę apie visas įtartinas situacijas.

Sankcijos.  Saugumo politikos pažeidimas gali sukelti vietinį tinklą ir jame esančios informacijos nepriimtiną riziką. Vadovybė turėtų nedelsdama persvarstyti personalo saugumo pažeidimus, kad drausminiai veiksmai būtų vykdomi iki atleidimo.

Valdymo priemonės siekiant užtikrinti informacijos saugumą

Pagrindinis valdymo lygmeniu įgyvendinamų priemonių tikslas yra darbo programos formavimas informacijos saugumo srityje ir jos įgyvendinimo užtikrinimas, skiriant reikiamus išteklius ir vykdant reguliarią situacijos stebėseną. Šios programos pagrindas yra daugiapakopė saugumo politika, atspindinti organizacijos integruotą požiūrį į savo išteklių ir informacijos turinio apsaugą.

Praktiniu požiūriu saugumo politiką galima suskirstyti į trijų lygių : viršutinė, vidurinė ir apatinė.

Aukščiausias lygis  Saugumo politika nustato sprendimus, turinčius įtakos visai organizacijai. Šie sprendimai yra labai bendro pobūdžio ir iš esmės ateina iš organizacijos vadovybės.

Tokie sprendimai gali apimti šiuos elementus:

* organizacijos siekiamų tikslų informacijos saugumo srityje formulavimas, bendrų šių tikslų įgyvendinimo krypčių apibrėžimas;

* visapusiškos informacijos saugumo užtikrinimo programos sukūrimas arba persvarstymas, nustatantis už programos propagavimą atsakingus asmenis;

* teikti materialinę bazę, kad būtų laikomasi įstatymų ir kitų teisės aktų;

* valdymo sprendimų dėl saugumo programos įgyvendinimo formulavimas, kuris turėtų būti svarstomas visos organizacijos lygmeniu.

Vidutinis saugumo politikos lygis lemia problemų, susijusių su tam tikrais informacijos saugumo aspektais, sprendimą, tačiau svarbu įvairioms organizacijos valdomoms sistemoms. Tokių klausimų pavyzdžiai yra požiūris į prieigą prie interneto (problemos, susijusios su laisvės gauti informaciją gavimą ir apsaugą nuo išorinių grėsmių), namų kompiuterių naudojimu ir pan.

Mažesnis lygis Saugumo politika susijusi su konkrečiomis paslaugomis. Ji apima du aspektus - tikslus ir jų pasiekimo taisykles, todėl kartais sunku atskirti nuo įgyvendinimo klausimų. Priešingai nei dviem viršutiniams lygiams, atitinkama politika turėtų būti išsamesnė, ty po žemesnio lygio saugumo politikos reikia atsakyti, pavyzdžiui, į šiuos klausimus:

* kas turi teisę naudotis paslaugomis palaikomais objektais;

* kaip organizuojama nuotolinė prieiga prie paslaugos.

11. Saugumo politikos struktūra

Paprastai saugumo politika apima pagrindines saugumo taisykles, specializuotą saugumo politiką ir procedūrinę saugumo politiką.

Pagrindinės organizacijos saugumo politikos nuostatos aprašytos šiuose dokumentuose:

1. Saugumo politikos peržiūra - atskleidžia saugumo politikos tikslą, aprašo struktūrą, išsamiai aprašo, kas yra atsakingas už ką;

2. Pagrindinės saugumo politikos aprašymas - apibrėžia leistinus ir draudžiamus veiksmus, taip pat būtiną kontrolę;

3. Saugumo architektūros vadovas - aprašomas saugumo mechanizmų diegimas kompiuterių architektūroje, naudojamoje organizacijos tinkle.

Pagrindinė organizacijos saugumo politikos sudedamoji dalis yra pagrindinė saugumo politika.

12. Saugumo procedūros

Saugumo procedūros yra būtinas ir svarbus saugumo politikos papildymas. Saugumo politika apibūdina tik tai, kas turėtų būti apsaugota ir kokios yra pagrindinės apsaugos taisyklės. Saugumo procedūros nustato, kaip apsaugoti išteklius ir kokie yra politikos vykdymo mechanizmai, t. Y. Kaip įgyvendinti saugumo politiką.

Iš esmės saugumo procedūros yra žingsnis po žingsnio, kaip atlikti operatyvines užduotis. Dažnai procedūra yra priemonė, pagal kurią politika transformuojama į tikrą veiksmą.

Saugumo procedūrose išsamiai aprašomi veiksmai, kurių reikia imtis reaguojant į konkrečius įvykius; greitai reaguoti kritinėje situacijoje; padėti šalinti vieno taško gedimą.

Daugelis su saugumu susijusių procedūrų turėtų būti standartizuotos bet kuriame skyriuje. Pavyzdžiui, saugomų kopijų atsarginės kopijos ir sistemos saugojimo procedūrų pavyzdžiai, taip pat naudotojo išėjimo iš aktyviosios būsenos ir (arba) naudotojo prisijungimo ir slaptažodžio archyvavimo procedūros, taikomos, kai tik naudotojas išeina iš organizacijos.

13 . Pagrindinės informacijos kriptografinės apsaugos sąvokos

Pagal šifravimas  suprasti atvirųjų duomenų rinkinio grįžtamųjų transformacijų rinkinį į šifruotų duomenų rinkinį, kurį apibrėžia raktas ir kriptografinis konvertavimo algoritmas. Yra daug skirtingų kriptografinių algoritmų. Šių algoritmų tikslas yra informacijos saugumas. Tokios pačios informacijos apsauga kyla iš skirtingų grėsmių ir įvairiais būdais. Siekiant užtikrinti patikimą ir tinkamą apsaugą naudojant kriptoalgormą (QA), turite suprasti, kokie QA yra ir kokio tipo algoritmas geriau tinka konkrečiai problemai spręsti.

Hashing

Simetrinis šifravimasnaudoja tą patį raktą tiek informacijos šifravimui, tiek iššifravimui.

Simetrinis šifravimas suskirstytas į du tipus: blokuoti  ir srautas, nors reikėtų pažymėti, kad kai kuriose klasifikacijose jie nėra atskirti, ir manoma, kad srauto šifravimas yra vieneto ilgio vienetų šifravimas.

Blokavimo šifravimaspasižymi tuo, kad informacija yra iš anksto suskirstyta į fiksuoto ilgio blokus (pavyzdžiui, 64 arba 128 bitų). Tuo pačiu metu, skirtinguose erdvėlaiviuose arba netgi skirtinguose to paties algoritmo veikimo režimuose, blokai gali būti užšifruoti nepriklausomai vienas nuo kito ir „su sukabinimu“, ty kai dabartinio duomenų bloko šifravimo rezultatas priklauso nuo ankstesnio bloko ar rezultato vertės šifruoti ankstesnį bloką.

Srautų šifravimasvisų pirma, jis naudojamas, kai informacija negali būti suskirstyta į blokus, ty yra tam tikras duomenų srautas, kurio kiekvienas simbolis turi būti užšifruotas ir siunčiamas, nelaukiant, kol kiti duomenys bus pakankami blokui sudaryti. Srautų šifravimo algoritmai šifruoja duomenis bitais arba pagal charakterį.

Asimetrinis šifravimas

Elektroninis skaitmeninis parašas (EDS)naudojami patikimai patvirtinti duomenų vientisumą ir autorystę.

1 4 . Simetrinė šifravimo sistema

Simetriniuose kriptografiniuose algoritmuose tas pats informacijos blokas (raktas) naudojamas šifruoti ir iššifruoti pranešimą. Nors algoritmas, skirtas perduotiems duomenims įtakoti, gali būti žinomas neteisėtiems asmenims, tačiau tai priklauso nuo slapto rakto, kurį turi turėti tik siuntėjas ir gavėjas. Simetriniai kriptoalgoritmai konvertuoja nedidelį duomenų bloką (1 bitą arba 32-128 bitus), priklausomai nuo slapto rakto, taip, kad pradinį pranešimą galite perskaityti tik tada, jei žinote šį slaptą raktą.

Simetrinės šifravimo sistemos leidžia koduoti ir dekoduoti savavališkus failus, pagrįstus simetriniais kriptoalgoritmais.

Simetrinių blokų kriptoalgoritmų būdingas bruožas yra fiksuoto ilgio įvesties informacijos bloko transformavimas ir to paties tūrio bloko gavimas, kuris nėra pasiekiamas skaityti trečiosioms šalims, neturinčioms rakto.

Kriptografinis algoritmas laikomas visiškai patvariu, jei norint skaityti užšifruotą duomenų bloką, būtina pakartoti visus galimus raktus, kol iššifruotas pranešimas bus prasmingas. Apskritai, bloko šifro stiprumas priklauso tik nuo rakto ilgio ir didėja eksponentiškai su jo augimu. Idealiai stiprūs kriptografiniai algoritmai turi atitikti kitą svarbų reikalavimą. Raktas, kuriam buvo atliktas šis konvertavimas, su žinomais šaltiniais ir užšifruotomis blokų reikšmėmis, gali būti atpažįstamas tik per jo vertes.

15 . Asimetriniai kriptografiniai algoritmai

Asimetrinis šifravimasbūdingas dviejų tipų raktų naudojimas: atidaryti - šifruoti informaciją ir paslaptis - ją iššifruoti. Paslaptis ir viešieji raktai yra tarpusavyje susiję gana sudėtingais santykiais.

RSA kriptografinis algoritmas buvo pasiūlytas 1978 metais. Jis tapo pirmuoju viešojo rakto algoritmu, kuris gali veikti tiek duomenų šifravimo, tiek skaitmeninio parašo režimu. RSA algoritmo patikimumas pagrįstas didelių skaičių faktoringo sunkumu

Asimetrinėje RSA šifravimo sistemoje naudojamų raktų skaičius yra susijęs su abonentų skaičiumi linijiniu ryšiu (N vartotojų sistemoje naudojami 2N raktai), o ne kvadratinė, kaip ir simetriškose sistemose.

Pažymėtina, kad RSA našumas yra gerokai mažesnis už DES veiklos rezultatus, o RSA kriptoalgoritmo programinės ir techninės įrangos diegimas yra daug sudėtingesnis nei DES. Todėl RSA šifravimo sistema paprastai naudojama perduodant nedidelį pranešimų kiekį.

16 . Elektroninė skaitmeninėturiu parašo ir maišymo funkcijas

Elektroninis skaitmeninis parašas  (EDS) naudojama patikimai patvirtinti duomenų vientisumą ir autorystę.

Hashing- tai kriptografinis metodas, kuris yra informacijos kontrolės transformacija: iš neriboto dydžio duomenų, atliekant kriptografinius transformacijas, apskaičiuojama fiksuoto ilgio hash vertė, kuri unikaliai atitinka pradinius duomenis.

Maišymo algoritmas gali būti aprašytas taip.

1 veiksmas. Maišos vertės registro inicijavimas. Jei pranešimo ilgis neviršija 256 bitų, pereikite prie 3 žingsnio, jei jis viršija, pereikite prie 2 veiksmo.

2 etapas. 256 bitų maišymo duomenų blokų skaičiavimo iteracinis skaičiavimas naudojant ankstesnes registre saugomas bloko maišos reikšmes. Skaičiavimai apima šiuos veiksmus:

* šifravimo raktų generavimas, pagrįstas kartotinių duomenų bloku;

* Registre saugomų maišos verčių šifravimas keturių 64 bitų blokų forma pagal GOST 28147--89 algoritmą paprastame keitimo režime;

* rezultato maišymas.

Skaičiavimas atliekamas tol, kol neapdorotų įvesties duomenų ilgis yra mažesnis arba lygus 256 bitams. Tokiu atveju pereikite prie 3 veiksmo.

3 žingsnis. Papildykite neapdorotos pranešimo dalies bitų nulius iki 256 bitų. Skaičiavimo vertės apskaičiavimas yra toks pat, kaip ir 2 pakopoje. Todėl registre pasirodo norima maišos vertė.

17 . Autentifikavimas, autorizacija ir administratoriusvartotojo veiksmai

Dalyko identifikatorius yra tam tikra informacija, kuri ją išskirtinai identifikuoja. Tai gali būti numeris arba simbolių eilutė, pavadinanti šią temą.

Identifikavimas  - vartotojo atpažinimo pagal jo identifikatorių (pavadinimą) tvarka. Ši funkcija atliekama, kai vartotojas bando patekti į tinklą.

Autentifikavimas  - naudotojo, proceso ar įrenginio autentifikavimo procedūra. Šis patikrinimas leidžia patikimai patikrinti, ar vartotojas (procesas ar prietaisas) yra būtent tas, kurį jis pats paskelbia.

Identifikavimas ir autentifikavimas yra tarpusavyje susiję subjektų (vartotojų) atpažinimo ir autentiškumo patvirtinimo procesai. Vėlesnis sistemos sprendimas priklauso nuo jų: ar galima leisti prieigą prie sistemos išteklių tam tikram vartotojui ar procesui. Po to, kai subjektas yra identifikuotas ir patvirtintas, jis yra įgaliotas.

Leidimas  - dalyko suteikimo tam tikriems įgaliojimams ir ištekliams šioje sistemoje tvarka. Kitaip tariant, leidimas nustato jo veikimo apimtį ir turimus išteklius. Jei sistema negali patikimai atskirti įgalioto asmens nuo neteisėto asmens, gali būti pažeista šios sistemos informacijos konfidencialumas ir vientisumas.

Administravimas  - vartotojų veiksmų registravimas tinkle, įskaitant jo bandymus pasiekti išteklius.

Priklausomai nuo pateikto subjekto subjekto, autentifikavimo procesai gali būti suskirstyti pagal:

* žinių apie kažką. Pavyzdžiui, slaptažodžio, asmens tapatybės kodo PIN kodą, slaptus ir viešuosius raktus.

* kam nors priklauso. Tai paprastai yra magnetinės kortelės, intelektualiosios kortelės, sertifikatai ir įrenginiai;

* būdingas savybes. Į šią kategoriją įeina metodai, pagrįsti naudotojo biometrinių savybių (balso, rainelės ir tinklainės, pirštų atspaudų, delno geometrijos ir kt.) Tikrinimu.

18 . Slaptažodžiu pagrįstas autentifikavimas

Pagrindinis „vienkartinio prisijungimo“ principas reiškia, kad vieno tinklo naudotojo autentiškumo patvirtinimo procedūra yra pakankama, kad būtų galima pasiekti visus tinklo išteklius. Todėl šiuolaikinėse operacinėse sistemose teikiama centralizuota autentifikavimo paslauga, kurią atlieka vienas iš tinklo serverių ir naudoja savo duomenų bazę (DB). Šioje duomenų bazėje saugomi tinklo naudotojų duomenys, įskaitant vartotojo ID ir slaptažodžius, taip pat kita informacija.

Paprasto vartotojo autentifikavimo tinkle tvarką galima pavaizduoti taip. Bandant prisijungti prie tinklo, vartotojas surenka savo ID ir slaptažodį. Šie duomenys siunčiami į autentifikavimo serverį apdorojimui. Autentiškumo serveryje saugomoje duomenų bazėje vartotojo ID yra atitinkamas įrašas. Šis slaptažodis yra išgautas iš jo ir lyginamas su vartotojo įvestu slaptažodžiu. Jei jie sutampa, autentifikavimas yra sėkmingas - vartotojas gauna teisinį statusą ir gauna teises ir tinklo išteklius, kuriuos jam suteikė autorizacijos sistema.

Autentiškumo schemos, pagrįstos tradiciniais pakartotinai naudojamais slaptažodžiais, nėra pakankamai saugios. Tokie slaptažodžiai gali būti sulaikyti, išspręsti, nuskaityti arba tiesiog pavogti. Patikimesnės yra autentifikavimo procedūros, pagrįstos vienkartiniais slaptažodžiais.

Vienkartinės slaptažodžių schemos esmė yra skirtingų slaptažodžių naudojimas su kiekvienu nauju prašymu suteikti prieigą. Vienkartinis dinaminis slaptažodis galioja tik vienam prisijungimui ir baigiasi. Net jei jis bus sulaikytas, jis bus nenaudingas. Dinamiškas slaptažodžių mechanizmas yra vienas iš geriausių būdų apsaugoti autentiškumo patvirtinimo procesą nuo išorinių grėsmių. Paprastai vienkartiniai slaptažodžio atpažinimo sistemos naudojamos nuotoliniams naudotojams patikrinti.

Vienkartiniai slaptažodžiai gali būti generuojami aparatine arba programine įranga.

19 . OS saugumo grėsmės

OS saugumo grėsmės gali būti klasifikuojamos pagal įvairius jų įgyvendinimo aspektus.

1. Užpuolimo tikslais:

* neteisėtas informacijos skaitymas;

* neteisėtas informacijos keitimas;

* neteisėtas informacijos sunaikinimas;

* visiškas ar dalinis OS naikinimas.

2. Pagal poveikio operacinei sistemai principą.

* žinomų (teisinių) kanalų naudojimas informacijai gauti; pavyzdžiui, nesankcionuoto failo skaitymo grėsmė, naudotojų prieiga, kuri yra neteisingai apibrėžta, ty prieiga yra leidžiama vartotojui, kuris pagal saugumo politiką turėtų būti atmestas;

* paslėptų informacijos kanalų naudojimas; pavyzdžiui, piktnaudžiavimas nenaudojamais OS pajėgumais;

* kuriant naujus kanalus, skirtus gauti informaciją naudojant programos žymes.

3. Pagal apsauginio pažeidžiamumo tipą, kurį naudoja puolėjas:

* netinkama saugumo politika, įskaitant sistemos administratoriaus klaidas;

* klaidos ir nepatvirtintos OS programinės įrangos funkcijos, įskaitant vadinamuosius liukus, atsitiktinai arba tyčia įmontuotus į sistemos „paslaugų įvestį“, leidžiančius apeiti apsaugos sistemą;

* anksčiau įdiegtas programinės įrangos skirtukas.

4. Poveikio operacinei sistemai pobūdis:

* aktyvus poveikis - neleistini užpuoliko veiksmai sistemoje;

* pasyvus poveikis - neleistinas užpuoliko stebėjimas sistemoje vykstančiuose procesuose.

Grėsmės OS saugumui taip pat gali būti klasifikuojamos pagal tokias ypatybes kaip: būdas, kuriuo užpuolikas veikė, naudojamos atakos priemonės, atakos objektas, poveikio metodas užpuolimo objektui, atakos metu atakuoto OS objekto būklė.

Operacinei sistemai gali būti taikomi šie tipiniai atakos:

* failų sistemos nuskaitymas. Užpuolikas nuskaito kompiuterio failų sistemą ir bando skaityti (arba kopijuoti) visus failus iš eilės. Anksčiau ar vėliau aptinkama bent viena administratoriaus klaida. Todėl užpuolikas gauna prieigą prie informacijos, kuri jam turėtų būti uždrausta;

* slaptažodžio pasirinkimas. Yra keli naudotojo slaptažodžių pasirinkimo būdai:

Bendras biustas;

Bendra brutalia jėga, optimizuota pagal simbolių atsiradimo statistiką arba žodynus;

Slaptažodžio pasirinkimas naudojant vartotojo žinias (jo vardas, pavardė, gimimo data, telefono numeris ir kt.);

* pavogti pagrindinę informaciją. Užpuolikas gali šnipinėti naudotojo įvestą slaptažodį arba atkurti naudotojo įvestą slaptažodį, kai jo rankos judės klaviatūroje. Pagrindines informacijos laikmenas (intelektualiąją kortelę) galima tiesiog pavogti;

* šiukšlių surinkimas. Daugelyje operacinių sistemų naudotojo sunaikinta informacija nėra fiziškai sunaikinta, bet pažymėta kaip sunaikinta (vadinamoji šiukšlių medžiaga). Užpuolikas atgauna šią informaciją, nuskaito ją ir nukopijuoja dominančius fragmentus;

* piktnaudžiavimas valdžia. Užpuolikas, naudodamasis OS arba saugumo politikos programinės įrangos klaidomis, gauna didesnius įgaliojimus, negu jam suteikta pagal saugumo politiką. Tai paprastai pasiekiama vykdant programą kito vartotojo vardu;

* programos žymės. OS įdiegtos programinės įrangos žymos neturi reikšmingų skirtumų nuo kitų programinės įrangos žymių klasių;

* gobšus programos yra programos, kurios sąmoningai užfiksuoja didelę kompiuterinių išteklių dalį, todėl kitos programos negali paleisti arba paleisti labai lėtai. Veikiantis gobšus programa gali sugriauti OS.

20 . Saugios OS koncepcija

Operacinė sistema vadinama saugoma, jei ji suteikia apsaugą nuo pagrindinių grėsmių klasių. Saugioje operacinėje sistemoje būtinai turi būti naudotojų prieigos prie jos išteklių ribojimo priemonės, taip pat priemonės, leidžiančios autentifikuoti vartotoją, kuris pradeda dirbti su operacine sistema. Be to, saugoma operacinė sistema turi turėti priemonių atsitiktiniam ar tyčiniam OS eksploatavimo nutraukimui.

Jei OS suteikia apsaugą ne iš visų pagrindinių grėsmių klasių, bet tik iš kai kurių, tokia OS vadinama iš dalies saugoma.

Saugaus OS kūrimo metodai

Yra du pagrindiniai būdai, kaip sukurti saugias operacines sistemas - fragmentiškas ir sudėtingas. Taikant fragmentišką požiūrį, apsauga nuo vienos grėsmės pirmiausia yra organizuojama, tada prieš kitą, ir tt fragmentiško požiūrio pavyzdys yra situacija, kai pagrindu yra neapsaugota OS, antivirusinis paketas, šifravimo sistema, vartotojų veiksmų registravimo sistema ir kt.

Naudojant fragmentišką metodą, OS apsaugos posistemis yra skirtingų programinės įrangos produktų, paprastai iš skirtingų gamintojų, rinkinys. Šios programinės įrangos priemonės veikia nepriklausomai viena nuo kitos, o beveik neįmanoma organizuoti jų glaudios sąveikos. Be to, atskiri tokios apsaugos posistemio elementai gali neveikti vieni kitiems, o tai lemia staigų sistemos patikimumo sumažėjimą.

Su integruotu požiūriu, apsauginės funkcijos yra įtrauktos į OS OS architektūros projektavimo etape ir yra neatskiriama jo dalis. Atskiros apsaugos posistemio dalys, sukurtos remiantis integruotu požiūriu, glaudžiai tarpusavyje sąveikauja sprendžiant įvairias su informacijos apsaugos organizavimu susijusias užduotis, todėl konfliktai tarp atskirų jos komponentų yra beveik neįmanomi. Paprastai OS apsaugos posistemis, sukurtas remiantis integruotu metodu, yra suprojektuotas taip, kad jo atskiri elementai būtų keičiami. Atitinkamus programinės įrangos modulius galima pakeisti kitais moduliais.

21 . Pagrindinės OS saugumo posistemio funkcijos

OS apsaugos posistemis atlieka šias pagrindines funkcijas.

1. Identifikavimas ir autentifikavimas. Nė vienas naudotojas negali pradėti dirbti su operacine sistema, nepažindamas savęs ar suteikdamas sistemai autentifikavimo informacijos, patvirtinančias, kad vartotojas tikrai yra tas, kurį jis teigia esantis.

2. Prieigos kontrolė. Kiekvienas sistemos naudotojas turi prieigą tik prie tų OS objektų, kuriems jam suteikta prieiga pagal dabartinę saugumo politiką.

3. Auditas. OS įrašo į specialią žurnalo įvykį, kuris gali būti pavojingas sistemos saugumui palaikyti.

4. Saugumo politikos valdymas. Saugumo politika turi būti nuolat palaikoma tinkama būsena, ty ji turi lanksčiai reaguoti į operacinės sistemos veikimo sąlygų pokyčius. Saugumo politiką valdo sistemos administratoriai, naudodami atitinkamas OS sistemas.

5. Kriptografinės funkcijos. Informacijos saugumas neįsivaizduojamas be kriptografinių saugumo priemonių naudojimo. Šifravimas naudojamas OS, kai saugomi ir persiunčiami per ryšio kanalus, vartotojo slaptažodžius ir kitus duomenis, kurie yra svarbūs sistemos saugumui.

6. Tinklo funkcijos. Šiuolaikinės operacinės sistemos paprastai neveikia atskirai, bet kaip vietinių ir (arba) pasaulinių kompiuterių tinklų dalis. Tame pačiame tinkle esančių kompiuterių operacinės sistemos tarpusavyje sąveikauja sprendžiant įvairias užduotis, įskaitant užduotis, kurios yra tiesiogiai susijusios su informacijos saugumu.

2 2. Prieigos kontrolė  OS objektai

Pagrindinės prieigos prie OS objektų atskyrimo proceso sąvokos yra prieigos objektas, prieigos prie objekto būdas ir prieigos objektas.

Prieigos objektas  (arba tiesiog objektas) yra vadinamas bet kuriuo OS elementu, prieigą, prie kurios vartotojai ir kiti prieigos objektai gali būti savavališkai riboti. Gebėjimą pasiekti OS objektus lemia ne tik OS architektūra, bet ir dabartinė saugumo politika. Prieigos objektai reiškia ir aparatūros išteklius, ir programinės įrangos išteklius, t. visa tai yra kontroliuojama.

Prieigos metodas  objektas yra objektui apibrėžta operacija. Operacijos tipas priklauso nuo objektų. Pvz., Procesorius gali vykdyti tik komandas, atminties segmentus galima rašyti ir skaityti, magnetinis kortelių skaitytuvas gali skaityti tik ir failo prieiga gali būti apibrėžta kaip skaitymas, rašymas ir pridėjimas.

Prieigos objektas  skambinti bet kuriam subjektui, galinčiam inicijuoti operacijas objektuose (prieigą prie objektų kai kuriais prieigos metodais). Paprastai daroma prielaida, kad prieigos objektų rinkinys ir prieigos objektų rinkinys nesutampa. Kartais prieigos dalykai apima sistemoje veikiančius procesus. Tačiau logiškiau manyti, kad prieigos objektas yra vartotojas, kurio vardu atliekamas procesas. Žinoma, prieigos objektas reiškia ne fizinį vartotoją, dirbantį su kompiuteriu, bet „loginį“ vartotoją, kurio vardu veikia OS procesai.

Taigi, prieigos objektas yra tai, kas yra prieinama, prieigos objektas yra tas, kuris pasiekia, ir prieigos metodas yra tai, kaip prieiga vykdoma.

23 Auditas

Audito procedūra, susijusi su OS, yra registruoti specialiame žurnale, vadinamame audito žurnalu arba saugumo žurnalu, įvykiais, kurie gali būti pavojingi OS. Sistemos naudotojai, turintys teisę skaityti audito žurnalą, vadinami auditoriais.

Tarp įvykių, kurie gali kelti pavojų OS, paprastai yra šie:

* prisijungimas arba atsijungimas;

* failų operacijos (atidaryti, uždaryti, pervardyti, ištrinti);

* prieiga prie nuotolinės sistemos;

* privilegijų ar kitų saugumo požymių keitimas.

Audito reikalavimai .   OS audito posistemis turi atitikti šiuos reikalavimus.

1. Tik OS gali įtraukti įrašus į audito žurnalą.

2. Jokia prieigos tema, įskaitant pačią OS, negali redaguoti ar ištrinti atskirų įrašų audito žurnale.

3. Tik atitinkamą privilegiją turintys vartotojai gali peržiūrėti audito žurnalą.

4. Tik audi tori vartotojai gali išvalyti audito žurnalą. Išvalius žurnalą, automatiškai įrašomas įrašas, kad audito žurnalas buvo išvalytas, nurodant žurnalo išvalymo laiką ir vartotojo, kuris pašalino žurnalą, pavadinimą. OS turi palaikyti galimybę išsaugoti audito žurnalą prieš jį išvalant kitame faile.

5. Kai OS audito žurnalas yra pilnas, OS sugenda. Po perkrovimo su sistema gali dirbti tik auditoriai. OS eina į įprastą operaciją tik išvalius audito žurnalą.

Audito politika   - yra taisyklių rinkinys, kuris nustato, kurie įvykiai turėtų būti įrašyti į audito žurnalą. Siekiant užtikrinti patikimą OS apsaugą, audito žurnale turi būti įrašomi šie įvykiai:

* bando prisijungti / išjungti naudotojus iš sistemos;

Panašūs dokumentai

Informacijos saugumo sąvoka, sąvoka ir klasifikacija, grėsmių rūšys. Informacijos apsaugos nuo atsitiktinių grėsmių, nuo neteisėto kišimosi grėsmių priemonių ir metodų charakteristikos. Kriptografinės informacijos apsaugos metodai ir ugniasienės.

terminas, pridėtas 2009 10 30


Išorės grėsmės informacijos saugumui, jų pasireiškimo formos. Apsaugos nuo pramoninio šnipinėjimo metodai ir priemonės, jo paskirtis: gauti informaciją apie konkurentą, informacijos sunaikinimą. Neteisėtos prieigos prie konfidencialios informacijos būdai.

egzaminas, pridėtas 2016-08-18


Informacijos saugumo sąvoka, reikšmė ir kryptys. Sistemingas požiūris į informacijos saugumo organizavimą, informacijos apsauga nuo neteisėtos prieigos. Informacijos apsaugos priemonės. Informacijos saugumo metodai ir sistemos.

santrauka, pridėta 2011 11 15


Informacijos saugumo tikslai. Pagrindinių informacijos grėsmių Rusijai šaltiniai. Informacijos saugumo svarba įvairiems specialistams įmonės ir suinteresuotųjų šalių požiūriu. Informacijos apsaugos nuo sąmoningos informacijos grėsmės metodai.

pristatymas pridedamas 2010 m


Informacijos saugumo rizikos analizė. Esamų ir planuojamų priemonių įvertinimas. Organizacinių priemonių kompleksas, užtikrinantis informacijos saugumo ir informacijos saugumo įmones. Projekto įgyvendinimo testas ir jo aprašymas.

disertacija, pridėta 2012 12 19


Pagrindinės informacijos saugumo ir informacijos saugumo sąvokos. Klasifikavimas ir turinys, šaltiniai ir galimos informacijos grėsmės atsiradimo sąlygos. Pagrindinės apsaugos nuo informacinių ginklų sritys (poveikis), tinklo saugumo paslaugos.

santrauka, pridėta 2010 m


Pagrindinės informacijos saugumo srities sąvokos. Veiksmų, kurie pažeidžia informacijos konfidencialumą, tikslumą, vientisumą ir prieinamumą, pobūdis. Grėsmių sudarymo būdai: atskleidimas, informacijos nutekėjimas ir neteisėta prieiga prie jos.

pristatymas pridėtas 2013 07 25


Informacijos saugumo grėsmių tipai. Pagrindinės elektroninės informacijos apsaugos kryptys ir priemonės. Informacinio poveikio priemonės. Informacinis nusikaltimas, terorizmas. Apsauginiai veiksmai, susiję su informacijos saugumu.

santrauka, pridėta 2011 m


Informacijos saugumo režimo formavimo sistema. Visuomenės informacijos saugumo uždaviniai. Informacijos apsaugos priemonės: pagrindiniai metodai ir sistemos. Informacijos apsauga kompiuterių tinkluose. Svarbiausių Rusijos teisės aktų nuostatos.

santrauka, pridėta 2014 m


Informacijos saugumo koncepcija ir pagrindiniai principai. Automatizuotų sistemų saugumo sąvoka. Rusijos Federacijos teisės aktų pagrindai informacijos saugumo ir informacijos apsaugos, licencijavimo ir sertifikavimo procesų srityje.

Asmeniniai kompiuteriai, jų valdymo sistemos ir tinklai greitai patenka į visas žmogaus veiklos sritis (pvz., Karinius, komercinius, bankininkystės, mokslinių tyrimų ir kt.). Plačiai naudojant kompiuterius ir tinklus, remiantis jais, norint apdoroti, saugoti ir perduoti informaciją, būtina patikimai apsaugoti ją nuo neleistinų asmenų prieigos prie jos, jo praradimo ar iškraipymo. Pagal statistiką daugiau kaip 80% įmonių patiria finansinių nuostolių dėl naudojamų duomenų vientisumo ir konfidencialumo.

Be informacijos, kuri yra valstybės ar komercinė paslaptis, yra informacija, kuri yra intelektinė nuosavybė. Tokia informacija gali apimti mokslinių tyrimų rezultatus, programas, užtikrinančias kompiuterio veikimą, žaidimų programas, garso ir vaizdo įrašus. Tokios informacijos kaina pasaulyje yra keletas trilijonų dolerių per metus. Neautorizuotas kopijavimas sumažina jos kūrime dalyvaujančių įmonių ir autorių pajamas.

Didėjantis mašinų apdorojimo organizavimo metodų ir priemonių sudėtingumas bei plačiai paplitęs pasaulinis internetas sukelia informacijos pažeidžiamumą. Tai palengvina tokie veiksniai, kaip nuolat didėjantis duomenų kiekis, duomenų kaupimas ir saugojimas ribotose vietose, nuolatinis vartotojų rato, turinčio prieigą prie išteklių, programų ir duomenų, nepakankamas kompiuterių ir ryšių sistemų įrangos ir programinės įrangos apsaugos lygis ir tt

Atsižvelgiant į visus šiuos veiksnius, informacijos apsauga jos surinkimo, saugojimo ir perdavimo procese tampa labai svarbi.

Pagrindinės informacijos saugumo sąvokos.

Apsvarstykite keletą apibrėžimų, naudojamų apibūdinant informacijos apsaugos priemones ir metodus automatizuotose apdorojimo sistemose, pastatytose remiantis kompiuterių technologijomis.

Kompiuterinė sistema (CS) yra organizacinė ir techninė sistema, apimanti šių komponentų derinį:

Techninės duomenų apdorojimo ir perdavimo priemonės;

Metodai ir apdorojimo algoritmai tinkamos programinės įrangos forma;

Duomenys (informacija apie įvairias žiniasklaidos priemones ir tvarkomi);

Vartotojai (žmonės, naudojanti COP, kad patenkintų informacijos poreikius);

Objektas (bet koks COP elementas, prie kurio gali būti savavališkai ribojamas);

Dalykas (bet kuris subjektas, galintis inicijuoti operacijas objekto naudotojams, procesai).

Informacijos saugumas yra CS būklė, kurioje ji gali atlaikyti išorinių ir vidinių informacijos grėsmių destabilizuojančią įtaką, nesukurdama tokių pačių grėsmių pačios CS ir išorinės aplinkos elementams.

Informacijos konfidencialumas yra tai, kad informacija yra prieinama tik ribotam galutinių vartotojų ratui ir kitiems prieigos subjektams, kuriems buvo atliktas atitinkamas patikrinimas ir kuriems leidžiama jį naudoti.

Informacijos vientisumas yra nuosavybė, skirta saugoti jo struktūrą ir turinį saugojimo, naudojimo ir perdavimo metu.

Informacijos patikimumas - tai nuosavybė, išreikšta griežtai priklausančia informacijai, kuri yra jos šaltinis.

Galimybė susipažinti su informacija - subjekto gebėjimas atlikti tam tikrus veiksmus su informacija.

Įgaliota prieiga prie informacijos - prieiga prie informacijos prieigos kontrolės taisyklių įgyvendinimo.

Neteisėta prieiga prie informacijos (NSD) - prieiga, pažeidžiant prieigos prie informacijos ribojimo taisykles, naudojant standartines COP (programinės įrangos ar aparatinės įrangos) teikiamas priemones.

Prieigos kontrolės taisyklės - subjekto prieigos prie konkretaus sistemos komponento reguliavimas.

Identifikavimas - gauti informaciją iš prieigos prie informacijos, kuri leidžia pasirinkti ją iš įvairių dalykų (vardas, serijos ar sąskaitos numeris ir tt).

Autentifikavimas - informacijos iš dalyko gavimas, patvirtinantis, kad identifikuojamas dalykas yra tas, kurį jis teigia esantis (slaptažodis, biometriniai parametrai ir tt).

COP informacijos saugumo grėsmė - galimybė daryti įtaką COP apdorotai informacijai, siekiant ją iškraipyti, sunaikinti, kopijuoti ar blokuoti, taip pat galimybę daryti įtaką COP komponentams, dėl to jų veikimas nesėkmingas.

COP pažeidžiamumas - bet kokia savybė, kuri gali sukelti grėsmės realizavimą.

COP ataka - užpuoliko veiksmai, kurių imtasi siekiant nustatyti COP pažeidžiamumą ir gauti neteisėtą prieigą prie informacijos.

Saugi arba apsaugota CS-CS, turinti apsaugos priemones, skirtas kovoti su grėsmėmis saugumui.

Apsaugos priemonė - tai įrangos ir programinės įrangos priemonių rinkinys, užtikrinantis informacijos saugumą.

Saugumo politika - taisyklių ir reglamentų, reglamentuojančių apsaugos priemonių nuo tam tikros grėsmės, rinkinys.

Diskretiškas prieigos kontrolės modelis - būdas atskirti subjektų prieigą prie objektų, kuriuose prieigos teisės apibrėžiamos pagal tam tikrą objekto prieigos teisių sąrašą. Šio modelio įgyvendinimas yra matrica, kurios eilutės yra subjektai, o stulpeliai - objektai; matricos elementai apibūdina prieigos teisių rinkinį.

Įgaliotojo prieigos kontrolės modelis yra būdas atskirti subjektų prieigą prie objektų, kuriuose kiekvienam objektui suteikiamas slaptumo lygis, ir kiekvienas objektas turi pasitikėjimo lygiu. Tokiu atveju subjektas gali pasiekti objektą, jei jo pasitikėjimo lygis yra ne mažesnis nei objekto slaptumo lygis.

Pagal informacijos saugumas   suprasti tvarkomų, saugomų ir perduotų duomenų, gautų iš neteisėto susipažinimo, konversijos ir sunaikinimo, saugumo būklę, taip pat informacijos išteklių apsaugos nuo poveikio, nukreipto į jų veikimo sutrikimą, būklę.

Šių poveikių pobūdis gali būti labai įvairus. Tai apima bandymus įsilaužti, personalo klaidas, techninės ir programinės įrangos gedimus, stichines nelaimes (žemės drebėjimą, uraganą, ugnį ir tt). Pagrindinės grėsmės saugumui įmonių kompiuterių tinkluose išsamiai analizuojamos 2 skyriuje.

Kompiuterinių sistemų ir tinklų informacijos saugumas užtikrinamas imantis priemonių, užtikrinančių informacijos konfidencialumą, vientisumą, patikimumą, teisinę vertę, greitą prieigą prie jos, taip pat užtikrinti informacinių išteklių ir sistemos ar tinklo komponentų vientisumą ir prieinamumą. Nurodytos pagrindinės informacijos savybės turi būti aiškesnės.

Informacijos konfidencialumas - tai yra jos nuosavybė, kad ji būtų prieinama tik ribotam informacijos sistemos naudotojų ratui, kuriame ši informacija cirkuliuoja. Iš esmės informacijos konfidencialumas yra jo turinys, kuris žinomas tik įgaliotiems ir patikrintiems sistemos subjektams (naudotojams, procesams, programoms). Likusioms sistemos temoms informacija turėtų būti nežinoma.

Pagal informacijos vientisumas   jos nuosavybė yra išsaugoti jos struktūrą ir (arba) turinį perdavimo ir saugojimo procese. Informacijos vientisumas užtikrinamas, jei sistemoje esantys duomenys semantiniais terminais nesiskiria nuo pradinių dokumentų duomenų, ty jei atsitiktinis ar tyčinis iškraipymas ar jų sunaikinimas nėra.

Informacijos patikimumas   - nuosavybė, išreikšta griežtu informacijos turiniu subjektui, kuris yra jo šaltinis, arba subjektui, iš kurio jis priimtas.

Teisinė informacijos vertė   reiškia, kad dokumentas, kuris yra informacijos teikėjas, turi teisinę galią.

Pagal prieigą prie informacijos tai reiškia informacijos supratimą ir apdorojimą, ypač kopijavimą, modifikavimą ar sunaikinimą. Yra leidžiama ir neleistina prieiga prie informacijos. Įgaliota prieiga prie informacijos   nepažeidžia nustatytų prieigos kontrolės taisyklių.

Neteisėta prieiga   joms būdingas nustatytų prieigos kontrolės taisyklių pažeidimas. Asmuo ar procesas, vykdantis neteisėtą prieigą prie informacijos, pažeidžia tokias prieigos kontrolės taisykles. Neteisėta prieiga yra labiausiai paplitęs kompiuterio pažeidimo tipas.

Prieigos kontrolės taisyklės   reguliuoti prieigos prie sistemos komponentų teises.

Prieigos prie informacijos veiksmingumas   - ar informacija ar tam tikras informacijos šaltinis gali būti prieinamas galutiniam vartotojui pagal savo veiklos poreikius.

Ištekliaus ar sistemos komponento vientisumas   - tai yra jo nuosavybė, kad semantine prasme nepasikeistų, kai sistema veikia atsitiktinio ar tyčinio iškraipymo ar destruktyvaus poveikio sąlygomis.

Išteklių ar sistemos komponento prieinamumas   - tai yra jo nuosavybė, kuria gali naudotis teisėti sistemos naudotojai. Tokių sąvokų, kaip identifikavimas, autentifikavimas, autorizacija, grupė yra susijusi su prieiga prie sistemos informacijos ir išteklių.

Kiekvienas sistemos (tinklo) objektas yra susietas su tam tikra informacija (numeriu, simbolių eilute), kuri identifikuoja objektą. Ši informacija yra identifikatorius   sistemos objektas (tinklas). Apsvarstomas objektas su registruotu identifikatoriumi teisėtas (teisėtas ).

Objekto identifikavimas   - tai procedūra, pagal kurią objektas atpažįstamas pagal jo identifikatorių. Jis vykdomas, kai objektas bando patekti į sistemą (tinklą).

Kitas sistemos ir objekto sąveikos etapas yra autentifikavimas. Objekto autentifikavimas   Ar objekto autentifikavimas su nurodytu identifikatoriumi. Autentiškumo nustatymo procedūra nustato, ar objektas yra būtent tai, ką jis paskelbė.

Nustačius ir autentifikavus objektą, atliekamas leidimas.

Objekto autorizavimas   - Tai yra teisėto subjekto, sėkmingai išlaikiusio atitinkamos institucijos identifikavimą ir autentiškumą bei turimus sistemos išteklius (tinklas), teikimo procedūra.

Pagal grėsmė saugumui   Sistemai (tinklui) suprantamas galimas poveikis, kuris tiesiogiai ar netiesiogiai kenkia jos saugumui. Saugumo žala   reiškia, kad pažeidžiamas sistemoje esančios ir apdorotos informacijos saugumas (tinklas).

Kompiuterinės sistemos (tinklo) pažeidžiamumo sąvoka yra glaudžiai susijusi su saugumo grėsmės sąvoka. Sistemos pažeidžiamumas   (tinklas) yra bet kokia kompiuterinės sistemos savybė, kurios naudojimas gali sukelti grėsmę.

Ataka kompiuterių sistemai   (tinklas) yra veiksmas, kurį užpuolikas imasi tam, kad surastų ir naudotų tam tikrą sistemos pažeidžiamumą. Taigi užpuolimas yra saugumo grėsmės realizavimas.

Kova su grėsmėmis saugumui yra tikslas, kurį turi sukurti kompiuterinės sistemos ir tinklai. Saugi arba saugi sistema   - Tai sistema su saugumo elementais, kurie sėkmingai ir veiksmingai susiduria su grėsmėmis saugumui.

Apsaugos priemonių kompleksas   yra programinės įrangos ir aparatūros tinklo rinkinys. Apsaugos priemonių rinkinys sukuriamas ir tvarkomas pagal organizacijos patvirtintos sistemos informacijos saugumo politiką.

Saugumo politika   - yra taisyklių, reglamentų ir praktinių rekomendacijų, reglamentuojančių kompiuterinės sistemos (tinklo) apsaugos priemonių veikimą prieš tam tikrą grėsmę saugumui, rinkinys.

Verslo tinklai yra paskirstytos kompiuterinės sistemos, atliekančios automatizuotą informacijos apdorojimą. Informacinio saugumo užtikrinimo problema yra pagrindinė tokių kompiuterinių sistemų dalis. Verslo tinklo užtikrinimas - tai organizavimas kovojant su neleistinu įsibrovimu į korporatyvinį tinklą, taip pat bandymu modifikuoti, pavogti, išjungti ar sunaikinti jos komponentus, ty apsaugoti visus įmonės tinklo komponentus (techninę įrangą, programinę įrangą, duomenis ir personalą).

Yra du būdai, kaip užtikrinti įmonės tinklo saugumą: „suskaidytas“ ir sudėtingas.

« Fragmentinis » požiūris   tam tikromis sąlygomis kovoti su aiškiai apibrėžtomis grėsmėmis. Kaip šio požiūrio įgyvendinimo pavyzdžius galite nurodyti: atskirus prieigos kontrolės įrankius, atskirus šifravimo įrankius, specializuotas antivirusines programas ir kt. Šio požiūrio privalumas yra didelis selektyvumas konkrečiai grėsmei. Svarbus jo trūkumas yra vieningos saugios informacijos apdorojimo aplinkos trūkumas. Fragmentinės informacijos apsaugos priemonės užtikrina konkrečių įmonės tinklo objektų apsaugą tik nuo konkrečios grėsmės. Net nedidelis pavojaus pakeitimas sukelia apsaugos veiksmingumo praradimą.

Integruotas požiūris   pagrindinis dėmesys skiriamas saugios informacijos apdorojimo aplinkos kūrimui įmonių tinkle, suburiant įvairias grėsmių prevencijos priemones. Saugomos informacijos apdorojimo aplinkos organizavimas leidžia užtikrinti tam tikrą įmonių tinklo saugumo lygį, kuris gali būti priskirtas neabejotiniems integruoto požiūrio pranašumams. Jo trūkumai yra korporatyvinio tinklo naudotojų veiksmų laisvės apribojimai, jautrumas klaidoms diegiant ir konfigūruojant apsaugos priemones ir valdymo sudėtingumas.

Integruotas požiūris naudojamas siekiant apsaugoti stambių organizacijų ar mažų įmonių tinklų, kurie atlieka atsakingas užduotis arba apdoroja jautrią informaciją, tinklus. Informacinio saugumo pažeidimas didelių organizacijų verslo tinkluose gali sukelti didžiulę materialinę žalą tiek organizacijoms, tiek jų klientams. Todėl tokios organizacijos yra priverstos atkreipti ypatingą dėmesį į saugumo garantijas ir įgyvendinti visapusišką apsaugą. Integruotas požiūris atitinka daugumą valstybinių ir stambių komercinių įmonių ir institucijų. Šis požiūris atsispindi įvairiuose standartuose.

Išsamus požiūris į saugumą yra pagrįstas saugumo politika, sukurta konkrečiam įmonių tinklui.

Informacijos saugumo apibrėžimas ir tikslas.

Pokalbiuose su duomenų apsaugos specialistais dažnai pastebima, kad šios santykinai naujos srities nuomonės ir terminologija kartais beveik skiriasi nuo priešingos. Su tiesioginiu informacijos saugumo apibrėžimo klausimu galima išgirsti tokius daugiapakopius terminus kaip „duomenų apsauga“, „naudojimo kontrolė“, „kova su įsilaužėliais“ ir kt.

Tuo tarpu pačios yra apibrėžtos pačios informacijos saugumo apibrėžtys ir gretimų sąvokų ratas. Kartais jie skiriasi nuo įvairių specialistų (ar mokyklų). Taip atsitinka, kad apibrėžimuose jie tiesiog naudoja sinonimus, kartais netgi visos sąvokų grupės keičiasi. Todėl iš pradžių būtina aiškiai apibrėžti, kas bus aptarta šiame straipsnyje. Nors abu autoriai informacinio saugumo srityje buvo visiškai nepriklausomi vienas nuo kito, tačiau jų apibrėžimai ir sąvokos beveik sutampa, todėl buvo nuspręsta naudoti šį konkretų metodą. Visoje šioje knygoje aptariamų žinių srityje bus vartojamas terminas „informacijos saugumas“. Kartais, ypač užsienio įdarbinimo agentūrų klasifikacijoje, „informacijos saugumas“ laikomas vienu iš bendrojo saugumo poskyrių, taip pat „kompiuterio saugumas“, „tinklo saugumas“, „telekomunikacijų saugumas“, „duomenų saugumas“.

Mūsų nuomone, „informacijos saugumo“ sąvoka yra platesnė, nes ji apima viską, kas sąveikauja su informacija, ir visos šios sąvokos yra poskyriai arba konkrečios informacijos saugumo sritys.

Informacijos saugumas - tai priemonių rinkinys, kuriame pateikiami tokie veiksniai, kurie apima informaciją:

• konfidencialumas - galimybė susipažinti su informacija (būtent su duomenimis ar informacija, kuria atliekama semantinė apkrova, o ne jiems atstovaujančių bitų seka) yra prieinama tik tiems asmenims, kurie turi atitinkamus įgaliojimus;
• vientisumas - gebėjimas keisti informaciją (vėlgi, tai yra semantinė išraiška) turėtų būti tik tie, kuriems leidžiama tai daryti;
• prieinamumas - galimybė gauti įgaliotiems asmenims leidimą susipažinti su informacija atitinkamu laiku, kurį leidžiama dirbti.

Kartais galima atitikti išvardytų veiksnių apibrėžimus priešingame variante, pavyzdžiui, atskleidimą ar atskleidimą, modifikavimą (keitimą ar iškraipymą) ir sunaikinimą ar blokavimą. Svarbiausia yra ne iškreipti šiems apibrėžimams būdingą reikšmę.

Tai nėra išsamus veiksnių sąrašas, pabrėžiamos šios trys sąvokos, nes jos paprastai randamos beveik visuose informacijos saugumo apibrėžimuose ir nesukelia prieštaravimų. Mūsų nuomone, būtina įtraukti papildomus veiksnius ir suprasti jų skirtumus, būtent:

• apskaitą, ty visus svarbius asmens veiksmus, kuriuos jis atlieka saugumo sistemos kontroliuojamoje sistemoje (net jei jie neviršija to asmens nustatytų taisyklių), reikėtų registruoti ir analizuoti;
• nepripažinimas arba apeliacija (būdinga organizacijoms, kuriose keičiamasi elektroniniais dokumentais, turinčiais teisinę, finansinę ar kitokią reikšmę), t. y. asmuo, kuris išsiuntė informaciją kitam asmeniui, negali atsisakyti informacijos siuntimo ir asmuo, gavęs informaciją, negali neigia jo gavimo faktą.

Skirtumas tarp šių dviejų veiksnių, galbūt ne iš karto akivaizdus, ​​yra toks. Apskaita paprastai atliekama naudojant elektroninius žurnalus, kuriuos pirmiausia naudoja įgaliotos tarnybos, o pagrindinis jų skirtumas yra šių žurnalų analizės tvarkingumas. Apeliacija teikiama naudojant kriptografiją (elektroninį skaitmeninį parašą), o jo būdingas bruožas yra galimybė jį naudoti kaip įrodymą išorės atvejais, pavyzdžiui, teisme, atsižvelgiant į atitinkamų teisės aktų prieinamumą.

Informacijos saugumo mechanizmai

Nurodyti objektyvūs informacijos saugumo veiksniai ar tikslai yra pateikiami taikant šiuos mechanizmus ar principus:

• politika - oficialių (oficialiai patvirtintų ar tradiciškai nustatytų) taisyklių, reglamentuojančių informacijos saugumo mechanizmo veikimą, rinkinys;
• identifikavimas - kiekvieno dalyvio apibrėžimas (pripažinimas) informacinės sąveikos procese prieš jam taikant bet kokias informacijos saugumo sąvokas;
• autentiškumo nustatymas - užtikrinimas, kad informacijos mainų proceso dalyvis būtų teisingai identifikuotas, t. y. yra tas, kurio identifikatorius jis pateikė;
• prieigos kontrolė - taisyklių rinkinio, nustatančio leidimą susipažinti su ištekliais ir kiekvieno prieigos prie informacijos mainų procese, lygio sukūrimas ir palaikymas;
• autorizacija - tam tikro informacijos mainų proceso dalyvio teisių profilio (autentiškumo arba anonimiškumo) sudarymas iš prieigos kontrolės taisyklių rinkinio;
• auditas ir stebėsena - reguliarus informacijos mainų proceso įvykių stebėjimas, registruojant ir analizuojant iš anksto nustatytus reikšmingus ar įtartinus įvykius. „Audito“ ir „stebėjimo“ sąvokos yra šiek tiek kitokios, nes pirmoji apima įvykių analizę po faktų, o antrasis - beveik realiu laiku;
• reagavimas į incidentus - procedūrų arba veiklos, vykdomos pažeidus ar įtariant informacijos saugumo pažeidimą, rinkinys;
• konfigūracijos valdymas - informacijos mainų aplinkos veikimo darbinėje aplinkoje ir informacinio saugumo reikalavimų kūrimas ir palaikymas;
• naudotojų valdymas - vartotojų darbo sąlygų užtikrinimas informacijos mainų aplinkoje pagal informacijos saugumo reikalavimus.

Tokiu atveju naudotojai suprantami kaip visi, kurie naudoja šią informacijos aplinką, įskaitant administratorius;
  rizikos valdymas - užtikrinti, kad būtų laikomasi galimų nuostolių, susijusių su apsaugos priemonių galios informacijos saugumo pažeidimu (ty jų statybos sąnaudomis);
  tvarumo užtikrinimas - informacijos mainų aplinkos išlaikymas minimaliomis priimtinomis darbo sąlygomis ir informacijos saugumo reikalavimų laikymasis žalinguose išoriniuose ar vidiniuose poveikiuose.

Taigi išvardijama, kad dėl to pasiekiami aukščiau apibrėžti informacijos saugumo tikslai (kai kuriuose šaltiniuose aprašyti principai, pavyzdžiui, autentifikavimas, perkeliami į tikslus). Mūsų nuomone, vien tik autentiškumo tikrinimas negali būti informacijos saugumo tikslas. Tai tik metodas, kuriuo nustatomas keitimosi informacija dalyvis, siekiant toliau nustatyti, kuris, pavyzdžiui, konfidencialumo ar prieinamumo politika turėtų būti taikomas šiam dalyviui.

Informacijos saugumo priemonių rinkinys

Dabar apsvarstysime, kokių priemonių ar priemonių yra, kaip aprašyti aprašyti principai ar mechanizmai. Natūralu, kad čia neįmanoma pateikti pilno sąrašo - tai daugiausia priklauso nuo konkrečios situacijos, pagal kurią atsižvelgiama į šį ar tokį informacijos saugumo aspektą. Be to, įmanoma, kad kas nors nori perkelti kai kuriuos elementus iš mechanizmų sąrašo į fondų sąrašą arba atvirkščiai. Mūsų argumentai turi tokį pagrindą. Pavyzdžiui, personalas dalyvauja atliekant auditą, kuris teikia apskaitą. Tai reiškia, kad personalas yra priemonė, auditas yra mechanizmas, o apskaita yra tikslas. Arba slaptažodžiai, užtikrinantys autentiškumą, yra saugomi šifruotoje formoje, pvz., Autentifikavimas prieš leidimą keisti. Tai reiškia, kad kriptografija yra slaptažodžių apsaugos priemonė, slaptažodžiai naudojami autentifikavimo mechanizmui, o autentifikavimas - prieš vientisumą.

Mes išvardijame pagrindinius informacijos saugumo įrankius:

• personalas - žmonės, kurie užtikrins informacijos saugumo įgyvendinimą visais aspektais, ty plėtoti, įgyvendinti, prižiūrėti, stebėti ir vykdyti;
• reguliavimo parama - dokumentai, kurie sukuria teisinę erdvę informacijos saugumo veikimui;
• saugumo modeliai - informacijos saugumo schemos, įtrauktos į šią konkrečią informacinę sistemą ar aplinką;
• kriptografija - informacijos konversijos į formą, leidžiančios nesankcionuotus veiksmus su jais (skaitymu ir (arba) modifikavimu) sunku ar neįmanoma, būdai ir priemonės, kartu su raktų kūrimo, saugojimo ir platinimo metodais ir priemonėmis - specialūs informacijos objektai, įgyvendinantys šias sankcijas;
• antivirusinė programinė įranga - priemonė aptikti ir sunaikinti kenkėjišką kodą (virusus, Trojos arklius ir pan.);
• ugniasienės - prieigos prie valdymo įrenginių iš vieno informacinio tinklo į kitą;
• apsaugos skeneriai - prietaisai, skirti tikrinti šios konkrečios informacinės sistemos saugumo modelio veikimo kokybę;
• atakų aptikimo sistemos - priemonės, skirtos stebėti informacijos aplinką, kartais su galimybe savarankiškai dalyvauti konkrečioje veikloje;
• atsarginių kopijų, reikalingų informacijos ištekliams, kopijų išsaugojimas jų galimo praradimo ar sugadinimo atveju;
• dubliavimasis (atleidimas) - alternatyvių prietaisų, būtinų informacinės aplinkos veikimui, sukūrimas, skirtas pagrindinių įrenginių gedimui;
• ekstremalių situacijų valdymo planas - priemonių, skirtų įgyvendinti įvykiams, įvykusiems ar atsiradusiems ne taip, kaip buvo nustatyta informacijos saugumo taisyklėse, rinkinys;
• naudotojų mokymas - aktyvaus informacinės aplinkos dalyvių mokymas dirbti pagal informacijos saugumo reikalavimus.

Tikriausiai kai kurios sąvokos yra pernelyg integruotos (kriptografija), kai kurios, priešingai, yra išsamios (skaitytuvai). Pagrindinis šio sąrašo tikslas buvo parodyti tipinį rinkinį, būdingą įmonei, kuriančiai informacijos saugumo tarnybą.

Pagrindinės informacijos saugumo kryptys

Dabar lieka apsvarstyti pagrindines informacijos saugumo kryptis, kurios kartais skiriasi. Iš tikrųjų, mūsų nuomone, iš jų yra tik du - fizinis ir kompiuterinis saugumas, tačiau, atsižvelgiant į apibrėžimų skirtumus, galime juos apibūdinti taip.

Fizinis saugumas - užtikrinti pačios įrangos, skirtos informacinei aplinkai funkcionuoti, saugumą, žmonių prieigos prie šios įrangos kontrolę. Be to, tai gali apimti informacijos aplinkos naudotojų apsaugos nuo fizinio įsibrovėlių poveikio sąvoką, taip pat apsaugoti ne virtualią informaciją (kopijas - spaudinius, oficialius telefonų katalogus, darbuotojų namų adresus, sugadintas išorines laikmenas ir kt.).

Kompiuterių saugumas (tinklo saugumas, telekomunikacijų saugumas, duomenų saugumas) - užtikrinti informacijos apsaugą jos virtualioje formoje. Galima išskirti informacijos paieškos etapus aplinkoje ir pagal šiuos principus, pavyzdžiui, suskirstyti kompiuterį (informacijos kūrimo, saugojimo ar apdorojimo vietoje) ir tinklo (kai siunčiama) saugumą, tačiau tai iš esmės pažeidžia išsamų saugumo vaizdą. Vienintelis dalykas, kuris būtų logiškas susitarti, yra terminas „duomenų saugumas“, o ne duomenų saugumas šioje paraiškoje. Faktas yra tai, kad konkrečiame programinės įrangos pakete saugumo modelis gali būti įgyvendintas taip, kad tam reikės, kad atskiras specialistas (ar net paslauga) ją išlaikytų. Tokiu atveju galima atskirti duomenų saugumo (konkrečios programos) ir tinklo saugumo (likusios informacijos aplinkos) sąvokas.

Kitas etapas - tai sąlygų sukūrimas, kad galėtume kalbėti ta pačia kalba, ty įvesti pagrindinius apibrėžimų rinkinius.

Terminologija

Taigi, norint kalbėti visiems suprantama kalba, būtina įvesti keletą apibrėžimų. Sąrašas yra sąmoningai šiek tiek išplėstas, kuris yra būtinas šiai knygai ta prasme, kad ne visi čia nurodyti terminai bus toliau naudojami tekste. Viena vertus, tai buvo padaryta konkrečiai siekiant padėti tiems, kurie ir toliau savarankiškai sukurs reguliavimo, metodologines ir kitas informacijos saugumo priemones. Tam tikriems dokumentams, kurie gali būti sudėtingi arba techniniai, būtinai turi būti pateikta apibrėžčių dalis, kad būtų išvengta neatitikimų ir prasmės iškraipymų. Tokiu atveju šį skyrių bus galima panaudoti kaip pagrindą ir naudoti čia pateiktus apibrėžimus arba, jei reikia, juos keisti.

Rūpestinga tokių apibrėžimų formuluotė yra ypač svarbi, kai organizacija, pradėjusi plėtoti informacijos saugumą, pradeda formalizuotus (pavyzdžiui, sutartinius) santykius su subjektais, turinčiais silpną dalyko idėją (pavyzdžiui, su savo klientais, partneriais ar tiekėjais). Faktas yra tas, kad kartais net paprastos ir akivaizdžiai aiškios sąvokos, tokios kaip informacija ar slaptažodis, gali būti suvokiamos skirtingai ir vėliau tampa ginčo subjektais. Kita vertus, skaitytojui nereikia įsiminti visų čia nurodytų terminų, kad būtų sėkmingai įsisavinta gaminio medžiaga. Reikalaujant tolesniam naudojimui, būtinos apibrėžtys bus kartojamos, galbūt labiau supaprastinta versija.

Informacija bus vadinama duomenimis, pateiktais viena ar kita forma, tinkama saugoti, apdoroti ir (arba) perduoti. Kalbant apie praktinį informacijos saugumą, patogu išskirti šias informacijos formas:

• elektroniniai (elektros signalai, magnetizavimo zonos ir tt);
• spausdinti (spaudiniai, knygos ir kt.);
• vaizdiniai (vaizdai ekrane, skaidrės, plakatai ir tt);
• klausos (kalbėti apie žmones, garsus autoinformatorius ir tt).

Objektas mes vadiname faktinį informacijos šaltinį, t. y. tam tikrą integruotą informacijos rinkinį, kuris apima duomenis, susietus su bendra tema, užduotis, apdorojimo metodu ir tt
Tema - informacijos ar proceso, kuris apdoroja tam tikrą informacijos rinkinį (objektą), naudotojas ir į jį atsižvelgiama, kaip tai buvo taikoma šiam svarstymui, tuo metu, kai objektas naudojamas konkrečiai.
Todėl objektas yra   tai yra pasyvus, ir subjektas aktyviai dalyvauja keitimosi informacija procese.
Informacinė sistema -   tai yra potencialiai atviras dalykų rinkinys, veikiantis objektų rinkinį, o vienos sistemos subjektai paprastai turi bendrą tikslą ar tikslus.
Informacijos erdvė -   tai yra informacinių sistemų, veikiančių tarpusavyje, rinkinys, o viena iš šių sistemų dalis gali turėti ir kitų, įskaitant ir tiesiogiai priešingus, interesus.
Informacijos saugumo taisyklės - leidžiamų ir (arba) draudžiamų veiksmų informacinės sistemos subjektams sąrašas. Tokios taisyklės gali būti apibrėžtos ne tik asmeniui (vartotojui, administratoriui ir kt.), Bet ir procesui (pvz., Prieigos prie ugniasienės teikimo procesui).
Teisės (teisės) leistinų veiksmų (taisyklių) rinkinys tam tikrai temai, temos profilio daliai.

Nesankcionuotas veiksmas bus laikomas tokiu veiksmu, kurį atlieka dalykas (arba dalyko dalis), kuriai šis veiksmas neapibrėžtas kaip leidžiamas (arba draudžiamas) pagal informacijos saugumo taisykles.

Informacijos priemonė -   informacijos palaikymo įrenginys, kurio pagalba atliekamas ar užtikrinamas darbas informacinėje sistemoje.
Grėsmė yra   galimybė įgyvendinti tam tikros informacijos saugumo taisyklės pažeidimą.
Pažeidžiamumas (pažeidžiamumas anglų kalba) - nesaugumas ar klaida objekte ar informacinėje sistemoje, kuri kelia arba gali sukelti grėsmę.
Ataka - praktinis grėsmės įgyvendinimas arba bandymas jį įgyvendinti naudojant vieną ar kitą pažeidžiamumą.
Nelaimingas atsitikimas -   neteisėtas nepaprasto pobūdžio incidentas, turintis žalingą poveikį objektui ar informacinei sistemai.
Vartotojas - asmuo, informacinės sistemos objektas, atliekantis verslo funkcijas, ty naudojant objektą gamybai.
Administratorius - asmuo, informacinės sistemos objektas, sudarantis sąlygas vartotojams dirbti jame.
Valdiklis -   informacinės sistemos subjektas (nebūtinai asmuo!), kuris kontroliuoja, kaip naudotojai ir administratoriai naudojasi informacine sistema pagal iš anksto nustatytas taisykles (informacijos saugumo taisykles).
Nusikaltėlis -   asmuo, informacinės sistemos objektas, siekiantis savanaudiškų ar žalingų tikslų, prieštaraujant sistemos verslo tikslams.
ID (vardas, prisijungimas) -   simbolių rinkinys, atitinkantis tam tikro konkretaus objekto ar objekto pavadinimą tam tikroje (kitoje sistemoje, gali būti pakartojamas) informacinės sistemos pavadinimas. Leidžia unikaliai identifikuoti vartotoją prisijungiant prie sistemos, nustatyti jo teises, įrašyti veiksmus ir pan.
Slaptažodis (slaptažodis) -   slapto pobūdžio simbolių, susijusių su tema ir tik jam žinoma, seka, leidžianti jam atpažinti, t.y. patvirtinti, kad objekto esmė atitinka jam pateiktą identifikatorių prie įėjimo.

Profilis (anglų profde) -   konkrečiam objektui ar objektui būdingų įrenginių ir konfigūracijų rinkinys ir jo veikimo informacinėje sistemoje nustatymas.
Šifravimas (šifravimas) -   informacijos pateikimo į formą, kurioje neįmanoma ar labai sunku gauti prasmingus duomenis iš jo, procesas be specialių papildomų žinių (raktų).
Atšifravimas (iššifravimas) -   procesas yra atvirkštinis šifravimo procesui, t. y. atkūrimui naudojant atitinkamą pagrindinę informaciją, esančią jos pradinėje formoje, leidžiančią iš jo semantinius duomenis išgauti.
Kriptoanalizė -   metodų ir priemonių rinkinys, skirtas (arba pačiam procesui) atlikti informacijos iššifravimą be būtino rakto.
Elektroninis dokumentas - duomenų rinkinys elektroniniame atvaizde, kuris gali būti atliekamas standartinėmis transformacijomis, pateikiamomis žmogaus skaitytoje formoje, įskaitant dokumentą popieriuje; yra nedalomas keitimosi informacija vienetas, t. y. jis gali būti perduodamas (gaunamas) arba neperduotas (nepriimtas) tik kaip visuma; susideda iš elementų, vadinamų dokumentų detalėmis.
Privatus raktas (privatus raktas, slaptas raktas) - slapta baito seka, skirta elektroninio elektroninio dokumento elektroninio parašo objektui.
Viešasis raktas (viešasis raktas) -   baito seka, susijusi su privačiu raktu ir skirta elektroninių dokumentų skaitmeniniam parašui patikrinti. Viešasis raktas turi būti patikimos šalies žinioje.

Šiame skyriuje tyčia pateikiamas neišsamus asmeninių ir viešųjų raktų apibrėžimas. Šios apibrėžtys greičiausiai yra labiausiai taikomos, nes šie raktai dažniausiai naudojami elektroniniam skaitmeniniam parašui. Šios sąlygos turi būti įvestos tais atvejais, kai atsakomybė už slaptų raktų saugumą yra paskirta, ir atsiranda poreikis laiku pateikti viešuosius raktus. Išsami informacija apie visų tipų raktų naudojimą, taip pat šifravimo ir skaitmeninio parašo algoritmus yra skirta Kdano knygos daliai.

Elektroninis skaitmeninis parašas (EDS) (anglų skaitmeninis parašas) -   tam tikro formato duomenų blokas, sudarytas tik pagal įgaliotojo subjekto turimą privačią raktą, unikaliai susietas su konkrečiu elektroniniu dokumentu ir naudojamas šio elektroninio dokumento autentiškumui (autorystei) ir vientisumui patikrinti.
Teisingas elektroninis skaitmeninis parašas - elektroninis elektroninio dokumento skaitmeninis parašas, suteikiantis teigiamą rezultatą, kai jį patvirtina atitinkamas viešasis raktas.
Saugumo modelis -   principų, schemų ir mechanizmų rinkinys (kartais nurodant konkrečias priemones ir priemones), skirtas užtikrinti informacijos saugumą šioje konkrečioje informacinėje sistemoje.
Klaida - nenumatytas, iš anksto suplanuotas veiksmas (veiksmo ar neveikimo forma), kurį padarė subjektas (naudotojas ar procesas), kuris yra arba gali kelti grėsmę informacijos saugumui.
Kenkėjiška programa - vykdomasis programos modulis, scenarijus, makro ar kitas programos kodas, sukurtas siekiant pažeisti informacijos saugumą. Kenkėjiškos programos tikslas - nustatyti: minimalų - neteisėtą informacijos išteklių dalies naudojimą - maksimalią kontrolę objekto ar informacinės sistemos atžvilgiu, siekiant toliau jį naudoti neteisėtai. Kenkėjiškos programos apima virusus ir Trojos arklius.
Virusas - kenkėjiška programa, kurios pagrindinis bruožas yra automatinio atgaminimo galimybė (galbūt su savęs modifikacija) ir platinimas naujoms informacinėms sistemoms be kūrėjo kontrolės. Paprastai pagrindinis virusų tikslas yra atlikti destruktyvius veiksmus, nors yra sukurta virusų pramogoms. Dažniausiai viruso kūrėjas negauna jokios materialinės naudos iš jos veikimo, tačiau kartais, pavyzdžiui, kaip pramonės konkurencijos dalis, virusų kūrimą gali sumokėti klientas.
Trojos programa, Trojos arklys (Trojos arklys) -   Kenkėjiška programa, dažnai apimanti keylogger ir atliekanti neleistinus ir dokumentais nesusijusius veiksmus, kartais netgi naudojant nuotolinio valdymo funkcijas užpuolikas, sukurtas siekiant sąmoningai pažeisti sistemos informacijos saugumą. Tuo pačiu metu Trojos arklys dažnai užmaskuoja neteisėtą veiklą naudodamiesi naudingais dokumentais.

Plėtojant tinklo technologijas atsirado Trojos arklių, kurie įsiskverbė į sistemą kompiuterinių virusų principu. Tokie hibridai naudoja tiek pirmojo, tiek antrojo kenkėjiškų programų savybes įsibrovėlio tikslais. Sunkiausia iš jų - „išlaisvinta laisvė“ kažkur įmonės tinkle ir dauginanti kaip normalus virusas, galiausiai gali pasiekti pagrindinį tikslą, kuris gali būti gerai apsaugotas nuo tiesioginių išpuolių iš išorės. Po to Trojanas atlieka savo saugumo pažeidimo užduotį ir informuoja kūrėją, kad jo užduotis buvo baigta, o pirminiai Trojos programų variantai gali atlikti nedidelius nešvarius gudrybės, pavyzdžiui, siųsti vartotojui, kuris netyčia pradėjo programą, grasina ar persekioja kitus tinklo naudotojus.

Žymėjimas (aparatinė įranga, programinė įranga) - kenkėjiškos funkcijos (programa), įdiegtos kaip viena iš paslėptų sistemos ar objekto funkcijų. Skirtingai nuo Trojos arklių, kurie patenka į sistemą iš išorės, juos sukūrė dauguma sistemos kūrėjų. Naudojamos papildomos sąlygos yra „galinės durys“, liukas (anglų kalba yra dokumentais neįrašyta funkcija, kurią kūrėjas nustatė kurdamas sistemą / objektą ir nėra pašalintas dėl bet kokios priežasties, loginė bomba - funkcija įjungiama, kai tenkinamos tam tikros sąlygos).
Patikos sistemos būsena -   būsena, kurioje sistemos elgesys informacijos saugumo požiūriu tiksliai atitinka specifikaciją, kenkėjiškos programos sistemoje neveikia, nebuvo ir nėra galimybės neteisėtai susipažinti su duomenimis skaityti ir (arba) keisti.
PIN -    asmens identifikavimo numeris, skaitmeninis identifikatorius, priskirtas objektui ar objektui. Kartais jis naudojamas kaip slaptažodžio analogas, pavyzdžiui, plastikinių kortelių sistemose.
Token (anglų ženklas) -   apskritai, duomenų laikmena, jo savininko saugumo parametrai. Paprastai kai kurios išorinės nepastovios žiniasklaidos priemonės, skirtos ilgiems slaptažodžiams, kriptografiniams raktams ir kitai saugumo informacijai saugoti, kurią asmuo negali išsaugoti savo atmintyje. Prieiga prie simbolinių duomenų papildomai gali būti apsaugota slaptažodžiu arba PIN kodu;
Sistemos šiukšlės (anglų kalbos sistemos atliekos) - duomenų rinkinys, kurį naudoja sistema arba objektas darbui ir nėra skirtas išorinei analizei, bet dėl ​​bet kokios priežasties, prieinamos trečiosioms šalims. Jis domina užpuolikus, nes jis gali saugoti duomenis apie sistemos savybes, netiesioginę informaciją apie konfidencialius duomenis ar net slaptažodžius ir kriptografinius raktus.
Atsižvelgiant į šias sąlygas, reikia paminėti atminties sąvartyno sąvoką - „momentinė nuotrauka“   įrenginio atminties būsena, naudojama nustatant gedimų priežastis, kai sistema sugenda. Paprastai sukuriama ir saugoma kaip failas diske. Jei kontaktas su užpuolikais gali sukelti labai didelę žalą sistemos saugumui.
Trečiosios šalies programinė įranga -   programinė įranga, kurios neleidžiama naudoti šioje informacinėje erdvėje ir kuri nėra registruota įgaliotų tarnybų.

Į terminų žodyną perkeliami vėlesni terminai, kurie vėliau nėra tiesiogiai susiję su informacijos saugumu, siekiant, kad šis skyrius nepatektų į pernelyg daug informacijos, be to, būtina pažymėti, kad tekstas „organizacijos“, „korporacija“, kuris yra sinonimas žodžiui „įmonė“, yra tekstas. šios knygos prasme. Be to, bus rodomi terminai „verslo procesas“, „verslo logika“. Šiuo atveju žodis „verslas“ reiškia „tai, kas priklauso nuo konkrečios įmonės gamybos tikslų“.

Informacijos saugumo paslaugų organizacijos užduotys ir principai

Šiame skyriuje aptariami būtini biurokratiniai procesai, susiję su saugumo tarnybos steigimu įmonėje, skirtiems paslaugų teikėjams arba tiems, kurie profesionaliai užsiima organizacijos struktūrinės plėtros strategija ir taktika. Todėl skaitytojai, kurie labiau domisi techniniais aspektais, gali lengvai pereiti prie 4 skyriaus - saugumo tarnybos kūrimo.

Tiems, kurie vis dar nusprendžia perskaityti šį skyrių, pastebime, kad čia aprašytų problemų ir problemų sprendimas gali būti naudingas siekiant užkirsti kelią gamybos konfliktams ir neatitikimams, kurie gali kilti dėl informacijos saugumo tarnybos specifikos.

Informacijos saugumo tarnybos užduotys

Nepaisant akivaizdaus informacijos saugumo tarnybos užduočių akivaizdumo („saugumo tarnyba turi užtikrinti saugumą - kas dar?“), Kyla daug klausimų, kurie iš pirmo žvilgsnio neatrodo. Šiuos klausimus ar problemas skirstome į šias grupes:

• informacijos saugumo paslaugų teikimas;
• jos sąveika su kitomis paslaugomis;
• pavaldumo hierarchija.

Kitaip tariant, būtina nustatyti, kur informacijos saugumo tarnyba turėtų būti įmonės personalo struktūroje, kaip ji sąveikauja su kitais padaliniais (ypač su informacinių technologijų skyriumi), ir kiek vadovų turėtų būti tarp saugumo vadovo ir įmonės vadovo.

Yra keletas rekomendacijų dėl saugumo tarnybos išdėstymo, sąveikos ir pavaldumo, tiek pažengusių, tiek vakarinių, sutelktų į elektroninį pasaulį, ir senų, dar sovietinių, kurie buvo iš pirmųjų departamentų. Mūsų nuomone, šios procedūros labai priklauso nuo daugelio konkrečios įmonės veiksnių, galbūt net tokių, kaip esami neoficialūs darbuotojų santykiai. Jei įmonės prioritetas yra informacijos saugumo tarnybos efektyvumas, tokie aspektai negali būti ignoruojami. Norint neapibrėžti griežtos visos šios sistemos, siūlome apsvarstyti problemas ir atsakyti į iškilusius klausimus. Iš gautų atsakymų paaiškėja, kaip ir kur informacijos saugumo tarnyba turėtų būti įsikūrusi įmonės organizaciniame medyje.

Ką turėtų daryti saugumo tarnyba?

• Valdyti esamas saugumo priemones (užkardas, antivirusinius paketus, atakų aptikimo sistemas ir tt)?
• Kurti informacijos apsaugos modelius ir schemas, priimti sprendimus dėl naujų saugumo priemonių įsigijimo?
• Stebėti įmonės informacijos erdvės naudotojų darbą?
• Kurios grupės - tik galutiniai vartotojai ar sistemos administratoriai?
• Kur pagrindinis dėmesys skiriamas paslaugos dėmesiui - vidaus naudotojams (pagal statistiką, dauguma informacijos saugumo pažeidimų - tiek tyčia, tiek netyčia - atsiranda įmonės viduje) arba apsaugoti nuo prieigos iš išorinės informacijos erdvės?

Be abejo, kiekviename iš išvardytų elementų reikėtų atsižvelgti į informacijos saugumo klausimus. Tačiau paraiška gali būti skirtinga ir priklauso nuo įvairių priežasčių, kurios paprastai nėra teikiamos Vakarų rekomendacijose, pvz., Kvalifikuoto personalo trūkumas.

Įvairių sprendimų pavyzdys gali būti dvi skirtingos situacijos: informacijos apsaugos tarnyba analizuoja tik situaciją, plėtoja modelį ir nusprendžia, ar būtina įgyti apsaugą, o jos administravimas atliekamas kaip įprastinio informacinių technologijų skyriaus darbo dalis. Priešinga galimybė - apsauginės įrangos įsigijimas vykdomas pagal bendrąją įmonės informacinių technologijų kūrimo strategiją, o specialus apsaugos įrenginių įrengimo ir palaikymo darbas atliekamas informacijos apsaugos tarnyboje.

Kaip sąveika su informacinių technologijų paslauga, ypač su tinklų ir sistemų administratoriais?

• Informacijos saugumo specialistai turi visišką kontrolę informacinėje sistemoje, kuri yra lygi sistemos administratoriaus teisėms.
• Saugumo specialistai dalyvauja sistemos administravime, pavyzdžiui, nustatant naudotojo teises.
• Informacijos sistemos saugumo specialistai turi prieigą prie visų objektų, tačiau jie turi teisę tik skaityti informaciją apie juos.
• Informacijos saugumo specialistai neturi prieigos prie sistemos, jie naudoja žurnalus, konfigūracijos ataskaitas ir tt, kad galėtų stebėti administratorių darbą.

Visos šios parinktys yra sąmoningai nurodomos, nes saugumo tarnybos ir, pvz., Vietinio tinklo administratoriaus, santykio klausimas gali būti labai įtemptas, ypač jei paslauga yra kuriama tik ir administratorius jau keletą metų vykdo savo funkcijas.

• Ką daryti, jei administratorius ilgai dirba sąžiningai, o saugumo specialistai atvyksta tik į organizaciją, tačiau jiems reikalingos didelės teisės sistemoje ir apribojamos administratoriaus teisės? Ką daryti, jei administratorius šiuo atveju nusprendė išeiti iš organizacijos?
• Bet kas, jei saugumo specialistų kvalifikacija konkrečioje informacinėje sistemoje yra gerokai mažesnė nei administratoriaus kvalifikacija, o su tam tikromis teisėmis gali trukdyti sistemos veikimui?
• Ką daryti, jei sistema yra suprojektuota taip, kad norint valdyti administratorių, reikia visiškos visos sistemos kontrolės?

Yra daugiau klausimų nei atsakymai, todėl reikia priimti sprendimą atsižvelgiant į visas šias problemas.

Gali būti, kad skausmingas teisių perleidimo ar pasidalijimo procesas turi būti ištemptas ilgą laiką, kol saugumo specialistai įgis atitinkamą patirtį, o administratoriai palaipsniui neprisitaikys prie dalinio ir tada visiškai kontroliuoja.

Kiek sprendimų priėmimo veiksmų dėl informacijos saugumo turėtų būti?

Jei informacijos saugumo tarnybos vadovas tiesiogiai pavaldus įmonės direktoriui ir tiesiogiai pateikia sprendimų projektus, tai leidžia piktnaudžiauti savo padėtimi (kadangi aukščiausio lygio vadovė greičiausiai nėra labai kompetentinga informacinių technologijų srityje, bet atsako į žodį „saugumas“ su visais dokumentais). Jei sprendimas dėl sprendimo priėmimo yra pernelyg pasiskirstęs tarp vadovų ir laikui bėgant, kyla pavojus, kad priimant svarbų sprendimą bus vėluojama (tačiau AK už bet kurios kitos paslaugos). Be to, jei sutarčių punktų atstovai nėra kompetentingi saugumo klausimu, tada daug laiko bus neproduktyviai išaiškinta problemoms ir susitarta dėl nuomonių.

• Ar sprendimų priėmimo procesas dėl informacijos saugumo atitinka bendrą informacinių technologijų plėtros strategiją?
• Ar įmonės informacinėje erdvėje bus įdiegtos saugumo priemonės, kurios trukdys veikti kitoms informacinėms sistemoms?

Tokiu atveju yra konkrečių rekomendacijų, kuriose patariama, kad informacijos saugumo tarnyba turi būti pavaldi ne tiesiogiai direktoriui, o tam tikram saugumo komitetui, kuriame, viena vertus, dalyvaus specialistai, galintys įvertinti siūlomo sprendimo kokybę, o vadovai, galintys patvirtinti priimtą sprendimą privalomas vykdymas.