Меры защиты информации. Организационные меры обеспечения защиты информации

Классификация мер по защите информации в соответствии с ст. 16 π. 1 Федерального закона № 149-ФЗ представляет собой сочетание правовых, организационных и технических мер. При широкой трактовке понятия защита информации, которое в этом случае правильнее заменить на сочетание информационная безопасность, в перечень мер защиты должны быть включены и физические меры защиты.

Законодательные меры

Законодательные меры занимают около 5% объема средств, расходуемых на защиту информации. Это меры но разработке и практическому применению законов, постановлений, инструкций и правил эксплуатации, контроля как аппаратного, так и программного обеспечения компьютерных и информационных систем, включая линии связи, а также все объекты инфраструктуры, обеспечивающие доступ к этим системам. В России деятельность в информационной сфере регулируют более 1000 нормативных документов. Уголовное преследование за преступления в этой сфере осуществляется в соответствии с гл. 28 Уголовного кодекса РФ "Преступления в сфере компьютерной информации", содержащей три статьи.

• 1. Статья 272 – несанкционированный доступ к информации. Несанкционированный доступ к информации – нарушение установленных правил разграничения доступа с использованием штатных средств, предоставляемых ресурсами вычислительной техники и автоматизированными системами (сетями). Отметим, что при решении вопроса о санкционированности доступа к конкретной информации необходимо наличие документа об установлении правил разграничения доступа, если эти правила не прописаны законодательно.
• 2. Статья 273 – создание, использование и распространение (включая продажу зараженных носителей) вредоносных программ для ЭВМ, хотя перечень и признаки их законодательно не закреплены. Вредоносная программа – специально созданная или измененная существующая программа, заведомо приводящая к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ или их сети.
• 3. Статья 274 – нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети. Это – нарушение работы программ, баз данных, выдача искаженной информации, а также нештатное функционирование аппаратных средств и периферийных устройств; нарушение нормального функционирования сети, прекращение функционирования автоматизированной информационной систем в установленном режиме; сбой в обработке компьютерной информации.

Уголовное преследование за незаконные действия с общедоступной информацией осуществляется в соответствии со ст. 146 "Нарушение авторских и смежных прав" и 147 "Нарушение изобретательских и патентных прав" гл. 19 "Преступления против конституционных прав и свобод человека и гражданина" Уголовного кодекса РФ.

Ответственность за соблюдением сотрудниками организации или компании законодательных мер по защите информации лежит на каждом сотруднике организации или компании, а контроль за их соблюдением – на руководителе.

Физические меры

Физические меры (доля 15–20%) обеспечивают ограничение физического доступа к компьютеру, линии связи, телекоммуникационному оборудованию и контроль доступа. Физические меры защиты направлены на управление доступом физических лиц, автомобилей, грузов в охраняемую зону, а также на противодействие средствам агентурной и технической разведки. Эти меры включают: охрану периметра, территории, помещений; визуальное и видеонаблюдение; опознавание людей и грузов; идентификацию техники; сигнализацию и блокировку; ограничение физического доступа в помещения.

Выделяют три основные макрофункции физической защиты (рис. 11.2):

• внешнюю защиту;
• опознавание;
• внутреннюю защиту.

Перечисленные средства служат для обнаружения угроз и оповещения сотрудников охраны или персонала объекта о появлении и нарастании угроз.

Из 12 разбитых по функциональному признаку групп более детально рассмотрим четыре группы, использующие в своей технической реализации собственные компьютерные средства либо пригодные для защиты самих рабочих помещений с компьютерами.

Охранная сигнализация. Основной элемент сигнализации – датчики, фиксирующие изменение одного или нескольких физических параметров, характеристик.

Датчики классифицируют по следующим группам:

• объемные, позволяющие контролировать пространство помещений, например внутри компьютерных классов;
• линейные, или поверхностные, для контроля периметров территорий, зданий, стен, проемов (окна, двери);
• локальные, или точечные, для контроля состояния отдельных элементов (закрыто окно или дверь).

Датчики устанавливаются как открыто, так и скрытно. Наиболее распространены:

Выключатели (размыкатели), механически или магнитным способом замыкающие (размыкающие) управляю-

Рис. 11.2.

щую электрическую цепь при появлении нарушителя. Бывают напольные, настенные, на касание;

• инфраакустические, устанавливаемые на металлические ограждения для улавливания низкочастотных колебаний, возникающих во время их преодоления;
• датчики электрического ноля, состоящие из излучателя и нескольких приемников. Выполняются в виде натянутых между столбами проводов-кабелей. Изменение поля при появлении нарушителя и фиксируется датчиком;
• инфракрасные датчики (излучатель – диод либо лазер), используемые для сканирования поверхностей или объемов помещений. Тепловая "фотография" запоминается и сравнивается с последующей для выявления факта перемещения объекта в защищаемом объеме;
• микроволновые – сверхвысокочастотный передатчик и приемник;
• датчики давления, реагирующие на изменение механической нагрузки на среду, в которой они уложены или установлены;
• магнитные датчики (в виде сетки), реагирующие на металлические предметы, имеющиеся у нарушителя;
• ультразвуковые датчики, реагирующие на звуковые колебания конструкций в области средних частот (до 30– 100 кГц);
• емкостные, реагирующие на изменение электрической емкости между полом помещения и решетчатым внутренним ограждением при появлении инородного объекта.

Средства оповещения и связи. Всевозможные сирены, звонки, лампы, подающие постоянный или прерывистые сигналы о том, что датчик зафиксировал появление угрозы. На больших расстояниях используют радиосвязь, на малых – специальную экранированную защищенную кабельную разводку. Обязательное требование – наличие автоматического резервирования электропитания средств сигнализации.

Охранное телевидение. Распространенное физическое средство защиты. Главная особенность – возможность не только фиксировать визуально факт нарушения режима охраны объекта и контролировать обстановку вокруг объекта, но и документировать факт нарушения, как правило, с помощью видеомагнитофона.

В отличие от обычного телевидения, в системах охранного ТВ монитор принимает изображение от одной или нескольких видеокамер, установленных в известном только ограниченному кругу лиц месте (так называемое закрытое ТВ). Естественно, что кабельные линии для передачи сигналов охранного ТВ не должны быть доступны иным лицам, кроме охраны. Мониторы располагаются в отдельных помещениях, доступ в которые должен быть ограничен.

Рассмотренные выше три группы относятся к категории средств обнаружения вторжения или угрозы.

Естественные средства противодействия вторжению. Сюда относятся естественные или искусственные барьеры (водные преграды, сильно пересекающаяся местность, заборы, спецограждения, особые конструкции помещений, сейфы, запираемые металлические ящики для компьютеров и т.п.).

Средства ограничения доступа, в состав которых входит компьютерная техника. Сюда относятся биометрические или иные, использующие внешние по отношению к компьютеру носители паролей или идентифицирующих кодов: пластиковые карты, флеш-карты, таблетки Touch Memory и другие средства ограничения доступа.

Биометрические средства ограничения доступа. Особенность биометрических методов допуска состоит в их статистической природе. В процессе проверки объекта при наличии ранее запомненного кода устройство контроля выдает сообщение по принципу "совпадает" или "не совпадает". В случае считывания копии биологического кода и его сравнения с оригиналом речь идет о вероятности ошибки, которая является функцией чувствительности, разрешающей способности и программного обеспечения контролирующего доступ прибора. Качество биометрической системы контроля доступа определяется следующими характеристиками:

• вероятностью ошибочного допуска "чужого" – ошибка первого рода;
• вероятностью ошибочного задержания (отказа в допуске) "своего" легального пользователя – ошибка второго рода;
• временем доступа или временем идентификации;
• стоимостью аппаратной и программной частей биометрической системы контроля доступа, включая расходы на обучение персонала, установку, обслуживание и ремонт.

Бо́льшая часть биометрических средств защиты реализована на трех компонентах: сканер (датчик) – преобразователь (сигналы датчика в цифровой код для компьютера) – компьютер (хранитель базы биометрических кодов – характеристик объекта, сравнение с принятой от датчика информацией, принятие решения о допуске объекта или блокировании его доступа).

В качестве уникального биологического кода человека в биометрии используются параметры двух групп.

Поведенческие, основанные на специфике действий человека, – это тембр голоса, подпись, индивидуальная походка, клавиатурный почерк. Главный недостаток поведенческих характеристик – временна́я неустойчивость, т.е. возможность значительного изменения со временем. Это в значительной степени ограничивает применение поведенческих характеристик как средств ограничения доступа. Однако на протяжении относительно короткого временно́го интервала они применимы как идентифицирующие личность средства. Пример – фиксация клавиатурного почерка работающего в процессе осуществления им сетевой атаки и последующий (после задержания злоумышленника) контрольный набор определенного текста желательно на изъятой у него клавиатуре (лучше на его же компьютере).

Физиологические, использующие анатомическую уникальность каждого человека, – радужная оболочка глаза, сетчатка глаза, отпечатки пальцев, отпечаток ладони, геометрия кисти руки, геометрия лица, термограмма лица, структура кожи (эпителия) на пальцах на основе ультразвукового цифрового сканирования, форма ушной раковины, трехмерное изображение лица, структура кровеносных сосудов руки, структура ДНК, анализ индивидуальных запахов. Справедливости ради отметим, что бо́льшая часть перечисленных биометрических средств пока не производится в массовых масштабах.

Устройства биометрического контроля начали распространяться в России еще до 2000 г. Однако из-за высокой цены на российских рынках (десятки тысяч долларов за устройство) подобная техника была экзотикой. Сегодня биометрические средства доступны и имеют устойчивый спрос в России. Иная причина – осознание необходимости защиты от преступности у нас в стране. Как показывает опыт, сложность применяемых устройств контроля допуска растет. Раньше в России на режимных предприятиях применялись замки с PIN-кодом, затем появились магнитные пластиковые карты, которые необходимо было провести через специальные устройства считывания, еще позднее – карточки дистанционного считывания. Опыт, в том числе и российский, показывает, что данные средства эффективны только от случайного посетителя и слабы при жестких формах преступности, когда похищаются и пароли входа в информационную систему, и пластиковые карточки, оказывается давление на отдельных сотрудников служб охраны и безопасности.

Уровень современной биометрической защиты весьма высок: он исключает возможность взлома даже в ситуации, когда злоумышленник пытается использовать труп или изъятые органы. Возможность технического взлома базы эталонов или их подмены на этапе идентификации, как правило, исключена: сканер и каналы связи сильно защищены, а компьютер дополнительно изолирован от сети и не имеет даже терминального доступа.

Известная компания Identix, занимающаяся автоматизированным дактилоскопическим оборудованием, прошла регистрацию в 52 странах. Ее серийно выпускаемое оборудование решает следующие идентификационные задачи:

• контроль физического доступа в здание, на стоянки автомашин и в другие помещения;
• контроль компьютерных станций (серверов, рабочих мест) и систем телекоммуникаций;
• контроль доступа к сейфам, складам и т.п.;
• идентификация в электронной коммерции;
• контроль членства в различных организациях и клубах;
• паспортный контроль;
• выдача и контроль виз, лицензий;
• контроль времени посещения;
• контроль транспортных средств;
• идентификация кредитных и смарт-карт.

В табл. 11.1 сопоставлены характеристики промышленных биометрических систем контроля доступа.

Таблица 11.1

Характеристики промышленных биометрических систем контроля доступа

Ограничителем распространения биометрических средств контроля доступа в ряде стран выступает действующее на их территории законодательство. В России действует закон о персональных данных (Федеральный закон от 27 июля 2006 г. № 152-ФЗ "О персональных данных", введен в действие с 26 января 2007 г.). Подобные законы существуют в других странах, а в некоторых отсутствуют. Статья 11 "Биометрические персональные данные" указанного Закона не содержит исчерпывающего перечня параметров, которые можно отнести к этим данным.

Несомненно, что создание пусть небольших, локальных баз данных, содержащих идентифицирующую гражданина информацию, должно регулироваться законодательно с обязательными мерами ответственности за несанкционированное раскрытие или искажение подобной информации.

Пластиковые карты. Лидером среди переносных носителей персональных идентификационных кодов (PIN) и кодов физического доступа остаются пластиковые карты.

Пластиковая карта представляет собой пластину стандартных размеров (85,6x53,9x0,76 мм), изготовленную из специальной устойчивой к механическим и термическим воздействиям пластмассы. Основная функция пластиковой карты – обеспечение идентификации владельца карты как субъекта системы физического доступа или платежной системы. Па пластиковую карту наносят:

• логотип банка-эмитента (выпустившего карту);
• логотип или название платежной системы, обслуживающей карту;
• имя держателя карты;
• номер его счета;
• срок действия.

Могут присутствовать фотография, подпись владельца и другие параметры.

Алфавитно-цифровые данные – имя, номер счета и другие могут быть нанесены рельефным шрифтом (эмбоссированы), что позволяет при ручной обработке быстро перенести данные с карты на чек с помощью импринтера, осуществляющего "прокатку" карты.

По принципу действия карты делятся на две группы – пассивные и активные.

Пассивные карты только хранят информацию на носителе, но не обеспечивают ее автономной обработки. Пример – широко распространенные во всем мире карты с магнитной полосой на обратной стороне (три дорожки). Две дорожки хранят идентификационные записи. На третью можно записывать, например, текущее значение лимита дебетовой карты. Из-за невысокой надежности магнитного покрытия обычно карты используют только в режиме чтения. При работе с картой необходимо установление связи между банком и банкоматом, что возможно только там, где хорошо развита инфраструктура связи. Данный вид карт уязвим для мошенничества, поэтому системы Visa и MasterCard/Europay используют дополнительные средства защиты карт – голограммы и нестандартные шрифты для эмбоссирования.

Активные пластиковые карты содержат встроенную микросхему и допускают разную степень обработки информации без участия банка, обслуживающего платежную систему. Типичный пример – карты-счетчики и карты с памятью. Но они уступают место интеллектуальным или смарт-картам, в состав которых входит не просто микросхема, а специализированный процессор. Сама карта представляет собой микрокомпьютер, способный при подключении к банкомату самостоятельно (без участия банка, т.е. в режиме offline) проводить не только идентификацию клиента, но и выполнение ряда финансовых операций: снятие денег со счета, безналичную оплату счетов и товаров.

Хотя имеются случаи искажения информации, хранимой в смарт-картах, а также нарушения их работоспособности за счет воздействия высокой или низкой температуры, ионизирующих излучений, данный вид карт обладает высокой надежностью и вытесняет другие виды карт.

Организационные (административные) меры

Административные меры (доля 50–60%) включают:

• разработку политики безопасности применительно к конкретной информационной системе (какие профили, какие пароли, какие атрибуты, какие права доступа);
• разработку средств управления безопасностью (кто, когда и в каком порядке изменяет политику безопасности);
• распределение ответственности за безопасность (кто и за что отвечает при нарушении политики безопасности);
• обучение персонала безопасной работе и периодический контроль за деятельностью сотрудников;
• контроль за соблюдением установленной политики безопасности;
• разработку мер безопасности на случай природных или техногенных катастроф и террористических актов.

Ответственность за соблюдением в организации или компании организационных (административных) мер по защите информации лежит на руководителе, начальнике службы безопасности (информационной безопасности), системном (сетевом) администраторе.

Положение о мерах по обеспечению Защиты информации.

Общие положения

Использование автоматизированных систем значительно повышает эффективность работы организации и одновременно создает предпосылки искажения и потери информации за счет отказов, сбоев, ошибочных или злонамеренных действий обслуживающего персонала, несанкционированных действий третьих лиц, компьютерных преступлений.

Использование сетевых технологий в обработке информации выдвигает проблему безопасности на первый план.

В данном документе определяются следующие аспекты обеспечения безопасности:

• ограничение доступа к аппаратным средствам;
• соблюдение норм безопасности на рабочих местах;
• доступ пользователей к сетевым ресурсам;
• разграничение прав на уровне прикладных программ;
• безопасность при работе с электронной почтой;
• безопасность при работе с Интернет;
• защита информации при работе с электронными финансовыми документами;
• обеспечение защиты при передаче финансовой информации.

1. Защита аппаратных средств

Компьютерное оборудование должно располагаться в местах, которые исключают возможность доступа посторонних лиц без ведома сотрудников организации. Основные серверы должны располагаться в отдельных комнатах серверных, в которые имеет доступ ограниченный круг сотрудников службы автоматизации организации. Перечень этих сотрудников должен утверждаться уполномоченным руководителем организации.

Структура сети должна сводить к минимуму вероятность несанкционированного подключения к магистральным кабелям и/или коммутирующим устройствам.

Для защиты компьютеров, установленных вне территории, контролируемой организацией, должны быть выполнены следующие дополнительные требования:

• корпус компьютера должен быть опломбирован;
• настройка BIOS компьютера должна быть защищена паролем администратора;
• запуск компьютера должен осуществляться после ввода пароля пользователя (этот пароль контролируется BIOS );
• пароли администратора BIOS и пользователя должны иметь длину не менее 6 знаков и не должны совпадать друг с другом;
• если специфика работы пользователя позволяет это, то должны быть заблокированы (отключены физически или путем соответствующей настройки BIOS ) такие устройства, как CD-дисковод, дисковод гибкого диска (дискеты ), порты USB;

2. Соблюдением норм безопасности на рабочих местах

Каждый сотрудник обязан в течение рабочего времени обеспечить защиту от несанкционированного доступа к информации на своем компьютере. На рабочих местах пользователей системы это достигается применением аутентификации при загрузке ОС компьютера и блокировкой клавиатуры при временном уходе с рабочего места.

В подразделениях организации должен быть обеспечен постоянный визуальный контроль сотрудников за компьютерами временно отлучившихся коллег.

При выводе информации на печатающее устройство сотрудники обязаны контролировать процесс печати, при этом принтер не должен оставаться без присмотра. Все распечатанные документы необходимо забирать на рабочее место. Бумажные документы, необходимость дальнейшего использования которых отпала, должны уничтожаться в установленном в организации порядке, т.е. с использованием соответствующего оборудования, исключающего возможность восстановления их содержания.

При необходимости установки на компьютере новой программы пользователь обязан обратиться в Управление автоматизации для выполнения соответствующих действий. Самостоятельная установка программ, равно как и самостоятельное изменение настроек компьютера, операционной системы и прикладных программ, изменение конфигурации компьютера не допускаются. Каждый сотрудник организации несет ответственность за наличие на своей машине посторонних программ и другой неслужебной электронной информации.

При работе сотрудников организации с клиентами желательно исключить возможность просмотра клиентами содержимого экрана монитора. Это достигается взаимным расположением сотрудника и обслуживаемого клиента «лицом к лицу» и соответствующим разворотом монитора.

Особую осторожность необходимо соблюдать при вводе паролей: как сетевых, так и паролей, используемых в прикладных программах. Запрещается записывать или сохранять в файлах информацию о паролях пользователей.

3. Защита на уровне локальной вычислительной сети

3.1. Регистрация пользователей в сети

Система контроля доступа к локальной сети определяет:

• какие пользователи могут работать на файловом сервере;
• в какие дни и в какое время пользователи могут работать;
• с каких рабочих станций пользователи могут работать.

Регистрация учётной записи пользователя на Сервере ЛВС производится Администратором на основании заявки, подписанной руководителем подразделения, в котором работает сотрудник.

Для контроля доступа к сети организации каждому пользователю присваивается один уникальный идентификатор (сетевое имя ), который выдается ему Администратором ЛВС при регистрации, и временный пароль для первичного подключения к сети. При первом подключении к сети система контроля доступа проверит правильность временного пароля и, при положительном результате проверки, предложит сменить пароль на постоянный. Длина пароля, выбираемого пользователем, должна быть достаточной для обеспечения разумной стойкости к подбору, как правило это 6 и более символов. Срок действия пароля должен быть ограничен и составляет, как правило, один год или менее.

Заявка на доступ пользователя к ресурсам ЛВС подписывается руководителем подразделения.

При увольнении сотрудника, отстранении его от работы, изменении его служебных обязанностей и функций, его непосредственный руководитель обязан своевременно письменно известить об этом администратора ЛВС. Администратор обязан немедленно произвести соответствующие изменения в настройках учетной записи и/или в наборе полномочий (прав) пользователя.

Каждому пользователю ЛВС при его регистрации может устанавливаться ограничение на количество соединений с каждым из серверов – как правило, одно подключение к каждому из серверов, необходимых для работы пользователя. В качестве дополнительной защиты может использоваться привязка сетевых имён к MAC-адресам рабочих станций.

В случае необходимости временной передачи полномочий одного пользователя ЛВС другому руководитель соответствующего подразделения обязан своевременно письменно известить об этом администратора ЛВС. В извещении указываются дата начала и дата отмены делегирования полномочий одного пользователя другому. Администратору запрещается делегирование полномочий пользователей по устной просьбе руководителей подразделений и сотрудников. Не допускается передача сетевого имени и/или пароля от одного пользователя другому.

Заявки на подключение, делегирование полномочий и отключение (блокировку ) пользователей к ресурсам сети сохраняются администратором.

Обо всех попытках несанкционированного доступа к информации в ЛВС Администратор обязан немедленно сообщать начальнику управления автоматизации.

Администратор обязан иметь возможность оперативного получения списка пользователей, групп и структуру их доступа к сетевым ресурсам.

3.2. Разграничение доступа к ресурсам сети

Разграничение прав доступа к определенным базам данных и программам, расположенным на файловых серверах, производится на уровне сетевых устройств и директорий. В случае использования серверных СУБД следует использовать их внутренние механизмы аутентификации пользователей и защиты данных.

Для организации совместной работы с ресурсами Сервера и обмена данными через Сервер создаются группы пользователей (например, по принципу административного деления, по используемым приложениям, каталогам и т.п. ). Каждая группа имеет права доступа к определённым ресурсам. Права доступа групп, как правило, не пересекаются.

Каждый пользователь в соответствии с его функциональными обязанностями принадлежит к одной или нескольким группам пользователей.

На Серверах должны отсутствовать учетные записи общего пользования, такие как Guest.

4. Разграничение прав доступа на уровне прикладных программ

Для работы с системами организации каждый пользователь должен иметь свой уникальный идентификатор и/или пароль. В зависимости от выполняемых операций пользователю дается доступ к определенным компонентам системы. При этом ограничивается доступ на уровне используемых функций и выполняемых операций. На самом низком уровне для исполнителей определяются группы доступных счетов и полномочия по работе с этими счетами.

Заявка на доступ пользователя к программам подписывается руководителем подразделения и визируется главным бухгалтером организации.

Функции по назначению прав доступа пользователей к прикладным системам возлагаются на Администраторов систем и программ.

5. Использование корпоративной почтовой системы

Каждый пользователь почтовой системы должен иметь свой уникальный идентификатор и пароль. За подключение пользователей к системе и проведение необходимых регламентных работ отвечает Администратор почтовой системы.

Запрещается использование почтовой системы для пересылки сообщений, не относящихся к работе организации: личной переписки, спама и т.п.

Запрещается пересылка сообщений, содержащих коммерческую и др. виды тайны, в открытом (не защищенном СКЗИ ) виде.

При получении сообщений, содержащих присоединенные файлы, сотрудник должен обеспечить антивирусный контроль этих файлов до момента их использования в прикладных программах.

На корпоративном почтовом сервере целесообразно использование антиспам и антивирусного фильтров.

6. Меры безопасности при работе c Интернет

Основной задачей при взаимодействии с Интернет является защита внутренней сети. Обязательно использование межсетевых экранов (firewall), физическое разделение ресурсов внешней сети от внутренней сети организации.

Поскольку объединение сетей организации, филиалов и доп. офисов осуществляется посредством VPN, построенной на базе Интернет, необходимо обеспечить надежную защиту периметра объединенной сети в каждом из обособленных подразделений. Это достигается использованием соответствующих технических и/или программных средств: VPN-роутеров, брандмауэров, применением антивирусного программного обеспечения.

Запрещается использование доступа в Интернет в личных целях или для неслужебных задач.

В случае появления признаков нестандартного поведения или нестабильной работы компьютера при доступе в интернет, а также при сигналах о попытке заражения от антивирусной системы, необходимо немедленно известить об этом администратора ЛВС организации.

7. Защита при передаче финансовой информации

При обмене платежными документами должны использоваться средства криптозащиты передаваемой информации: шифрование и электронная цифровая подпись (ЭЦП ). Разрешается использовать только сертифицированные средства криптозащиты.

Сотрудники, ответственные за формирование ключевых дискет для средств криптозащиты (администраторы безопасности ), назначаются приказом по организации. Все действия по генерации и передаче ключей должны документироваться администраторами безопасности в специальных журналах.

8. Дополнительные требования к соблюдению норм безопасности при эксплуатации системы «Клиент-Банк»

Требуется соблюдение мер безопасности, предписанных соответствующими документами уполномоченных органов, для обеспечения безопасности в организации, занимающейся техническим обеспечением, распространением и эксплуатацией программ защиты информации по классу «С ».

Требуется соблюдение мер безопасности с работой в системе «Клиент-Банк ».

Доступ в помещение, в котором установлен компьютер, который передаёт и принимает документы по системе «Клиент-Банк » должен быть предоставлен лишь ограниченному кругу лиц, список которых отражен в соответствующих приказах по организации.

В связи с тем, что компьютер с программным обеспечением передачи и приема файлов от участников системы «Клиент-Банк » напрямую подключен к внешним вычислительным сетям, необходимо:

1. Предпринять меры, обеспечивающие невозможность для внешнего пользователя входа с этого компьютера во внутреннюю сеть организации.

2. Вся конфиденциальная информация, хранящаяся на этом компьютере, должна подвергаться шифрованию или иному преобразованию с целью невозможности ее несанкционированного использования.

Все операции и действия, происходящие в системе «Клиент-Банк », должны записываться в файлы (журналы ) протоколов.

С целью быстрого восстановления системы, необходимо ежедневное создание ее резервных копий, которые должны храниться на другом компьютере, физически расположенном в другом помещении организации.

9. Обеспечение целостности и достоверности информации

Периодически должны осуществляться профилактические сканирования жестких дисков компьютеров с помощью антивирусных программ. При использовании съёмных носителей электронной информации обязательна их проверка антивирусной программой при первой установке (а для перезаписываемых носителей – при каждой установке ) в компьютер.

Резервное копирование основной информации, хранящейся в электронном виде на серверах организации, должно осуществляться ежедневно. Необходимо иметь копию баз данных операционной деятельности на начало дня.

Архивная информация подлежит копированию в двух экземплярах на носители длительного хранения (CD-ROM, DVD-ROM магнитооптические диски и т.п. ). Хранить копии архивной информации следует в отдельно стоящих хранилищах, обеспечивающих надлежащие условия их содержания и невозможность несанкционированного доступа к ним.

Скачать ZIP файл (20862)

Пригодились документы - поставь «лайк»:

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Размещено на http://www.allbest.ru/

Введение

«Кто владеет информацией - тот владеет миром» - наверно, одно из самых правдивых выражений на сегодняшний день, которое выражает всю суть самой острой проблемы в мире. За всю историю человечества можно привести тысячи примеров кражи информации, которые приводили к самым неприятным и сложным последствиям. Именно поэтому, всю информацию, представляющую хоть какую-то ценность, необходимо защищать, потому что разведывательная деятельность не спит и только совершенствуется.

Несмотря на запреты, действующие в соответствии с Российским законодательством, вероятность утечки конфиденциальной информации, реализованной с помощью современных технических средств, является вполне высокой. Техника и технологии разведки совершенствуются, и это привело к тому, что некоторые способы добычи информации уже вполне обыденные, совсем недорогие и довольно продуктивные. Следовательно, возникает необходимость комплексного пресечения всех возможных каналов утечки информации, а не только наиболее простых и доступных.

Существует несколько каналов связи, по которым передается информация, и все они должны быть защищены надлежащим образом. Что бы избежать ситуаций с утечкой информации, используются различные технические средства, которые не позволяют информации распространяться дальше заданной зоны. Если информация распространилась за пределы контролируемой зоны, то такие каналы называются каналами утечки информации. Также, существует такое понятие, как несанкционированный доступ, к нему можно отнести случаи преднамеренных искажений, кражи, удаления информации со стороны злоумышленника.

В данной работе будут рассмотрены вопросы обеспечения информационной безопасности предприятия, а также возможные угрозы безопасности помещения, предназначенного для проведения закрытых мероприятий на которых обсуждается информация, составляющая государственную тайну или конфиденциальную информацию (на примере кабинета руководителя предприятия).

Актуальностью данной работы является необходимость защиты конфиденциальных данных, информации и сведений, утеря, разглашение или искажение которых может повлечь за собой негативные последствия для организации, предприятия и государства, а также, необходимость соответствия информационной системы требованиям нормативно-правовых документов РФ.

Целью данной работы является разработка комплекса рекомендаций по обеспечению информационной безопасности на предприятии, исследование методов защиты информации от технических разведок и от ее утечки по техническим каналам, а также исследование и построение системы инженерно-технической защиты выделенного помещения, предназначенного для проведения закрытых мероприятий на которых обсуждается информация, составляющая государственную тайну или конфиденциальную информацию.

Задачи работы

Исследовать угрозы и каналы утечки информации. Рассмотреть реализацию технических мер защиты информации.

Исследовать основные мероприятия по защите информации на предприятии.

Исследовать систему защиты помещения для проведения закрытых мероприятий на которых обсуждается информация, составляющая государственную тайну или конфиденциальную информацию (далее помещение). Провести анализ существующей системы инженерно-технической защиты помещения и предложить возможные варианты модернизации системы инженерно-технической защиты помещения;

Работа выполнена в интересах электронно-промышленного предприятия.

На основе общих положений работы предприятия рекомендована политика безопасности и средства ее обеспечения. В работе, на основе анализа каналов утечки информации, предложена система защиты помещения, с учетом многоканального перехвата.

Практическая значимость данной работы состоит в том, чтобы снизить риски утечки конфиденциальной информации и государственной тайны по различным каналам в рассматриваемом кабинете руководителя электронно-промышленного предприятия.

1. ОБЩИЕ ПОНЯТИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

информационный безопасность доступ вычислительный

1.1 Определение понятия «защита информации» и ее целей

Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

Обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

Соблюдение конфиденциальности информации ограниченного доступа;

Реализацию права на доступ к информации.

На сегодняшний день можно выделить несколько видов защищаемой информации и каждый из них имеет свои особенности в области регламентации, организации и осуществления самой защиты. Стоит выделить несколько общих признаков защиты информации любого вида.

Например,

собственник информации сам организует и предпринимает меры по её защите;

защищая свою информацию, собственник ограничивает её от доступа третьих лиц, незаконного завладения или использования в ущерб своим интересам, а также сохраняет свои права на владение и распоряжение этой информацией;

для защиты информации необходимо осуществить комплекс мер по ограничению доступа к ней и создать условия, которые полностью исключат или затруднят несанкционированный доступ к засекреченной (конфиденциальной) информации и ее носителям.

Защита информации делится на решение двух основных групп задач:

a) Удовлетворение информационных потребностей, которые возникают в процессе какой-либо деятельности, то есть обеспечение специалистов организаций, фирм, предприятий секретной или конфиденциальной информацией.

Каждый специалист, в процессе работы может использовать информацию как открытого, так и закрытого типа. Информация открытого типа редко несет что-то стоящее, поэтому тут никаких ограничений нет. При снабжении специалиста засекреченной информацией действуют некоторые ограничения: наличие у этого человека соответствующего допуска (степень секретности информации, к которой он допущен) и разрешения на доступ к конкретной информации. В решении проблемы доступа специалиста к информации закрытого типа всегда существуют противоречия, с одной стороны -- необходимо максимально ограничить его доступ к засекреченной информации и тем самым снизить вероятность утечки этой информации, с другой стороны -- наиболее полно удовлетворить его потребности в информации, в том числе и засекреченной для обоснованного решения им служебных задач. В таком случае необходимо руководствоваться двумя факторами: его служебным положением и решаемой специалистом в настоящее время проблемой.

b) Ограждение засекреченной информации от несанкционированного доступа к ней в злонамеренных целях.

Эта группа, включает такие условия, как:

Создание условий эффективного использования информационных ресурсов;

Обеспечение безопасности защищаемой информации;

Сохранение секретности или конфиденциальности засекреченной информации в соответствии с установленными правилами ее защиты;

Обеспечение конституционных прав граждан на сохранение личной тайны и конфиденциальной персональной информации;

Недопущение безнаказанного растаскивания и незаконного использования интеллектуальной собственности;

Защита информационного суверенитета страны и расширение возможности государства по укреплению своего могущества за счет формирования и управления развитием своего информационного потенциала;

Виды защищаемой информации представлены на рисунке 1.

Рисунок 1. Виды защищаемой информации

1.2 Режим секретности или конфиденциальности

Понятие защита информации тесно переплетается с вопросом о режиме секретности или конфиденциальности. Режим секретности -- это осуществление системы защиты информации для определенного, конкретно заданного предприятия, фирмы, завода, лаборатории или конкретной программы, например, такой, как разработка новой продукции.

Вывод таков, что режим секретности или конфиденциальности это полный комплекс мер, выполняющий осуществление системы защиты информации, зависящий от всех факторов, которые имеют влияние на построение -- это системы защиты информации. Главная задача этого режима - обеспечение надлежащего уровня защиты информации. Всё зависит от степени её секретности, чем она выше, тем соответственно более высокий уровень защиты, и соответствующий режим секретности.

Режим секретности - реализация на конкретно заданном объекте действующих норм и правил защиты данных и сведений, включающих в себя тайну, охраняемую законом (государственную, коммерческую и т.д.), определенных и упорядоченных соответствующими законодательными нормативными актами. Группы мер, которые включает в себя режим секретности:

Разрешительную систему, а именно точное определение сотрудников, имеющих доступ к той или иной защищаемой информации и в конкретные помещения, где проводятся работы.

Осуществление пропускного режима необходимого для конкретного режима секретности, необходимой объекту.

Точно установленные правила и порядок работы с секретной документацией или иными носителям защищаемой информации.

Постоянный контроль и предупредительные работы с персоналом, имеющим доступ засекреченные информации, что помогает предотвратить её утечку.

1.3 Информационная безопасность и её цели

Под информационной безопасностью Российской Федерации понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

Другими словами, информационная безопасность - это комплекс мер, направленный на обеспечение безопасности информационных активов предприятия. Стоит подчеркнуть, что информационную безопасность можно обеспечить только в случае комплексного подхода. Рассмотрение и решение отдельных вопросов (например, технических или организационных) не решит проблему информационной безопасности предприятия целиком и полностью.

Стратегия информационной безопасности предприятия - комбинация из хорошо продуманных, запланированных действий и быстрых решений по адаптации предприятия к новым возможностям получения конкурентных преимуществ и новым угрозам ослабления её конкурентных позиций.

Главные цели информационной безопасности:

Конфиденциальность

Целостность

Пригодность

1.4 Политика информационной безопасности

Во многих российских предприятиях и компаниях дела с обеспечением информационной безопасности на низком уровне. Это подтверждают результаты статистических исследований и непосредственное общение со специалистами в данной области. Сегодня на предприятиях полноценной процедуры управления рисками информационной безопасности практически не существует. Большинство специалистов-практиков даже не берутся за эту задачу, они отдают предпочтение при решении проблем информационной безопасности руководствоваться только собственным опытом и интуицией. Убытки от нарушений информационной безопасности могут выражаться как в утечке конфиденциальной информации, потере рабочего времени на восстановление данных, ликвидацию последствий вирусных атак, так и материальными ценностями, например, мошенничество в финансовой сфере с применением компьютерных систем.

Политика информационной безопасности - совокупность документированных управленческих решений, нацеленных на защиту информации и ассоциированных с ней ресурсов.

Политику информационной безопасности можно разделить на три уровня.

К самому высокому уровню следует отнести решения, которые касаются организации в целом и исходят от руководства организации или предприятия. Такой список может включать в себя следующие элементы:

Формирование или пересмотр программы обеспечения информационной безопасности;

Постановка целей, которые должна преследовать организация в области информационной безопасности;

Обеспечение законодательной базы;

Формулировка управленческих решений по вопросам реализации программы информационной безопасности.

Политика верхнего уровня имеет дело с тремя аспектами законопослушности и исполнительской дисциплины:

соблюдение существующих законов.

контроль действия лиц, ответственных за выработку программы безопасности.

обеспечение подчинения персонала, соответственно ввести систему поощрений и наказаний.

К среднему уровню относятся вопросы, касающиеся отдельных аспектов информационной безопасности, но важные для различных систем, эксплуатируемых организацией. Например, отношение к недостаточно проверенным технологиям, использование домашних или чужих компьютеров, применение пользователями неофициального программного обеспечения и т.д.

Политика обеспечения информационной безопасности на среднем уровне должна освещать следующие темы:

Область применения;

Позиция предприятия;

Роли и обязанности;

Законопослушность;

Точки контакта;

Политика безопасности нижнего уровня можно отнести к конкретным сервисам. В нее входят цели и правила их достижения. Если сравнивать нижний уровень с двумя верхними, то он должен быть гораздо детальнее. Этот уровень очень важен для обеспечения режима информационной безопасности. Решения на этом уровне должны приниматься на управленческом, а не техническом уровне.

Политика нижнего уровня при формулировке целей может исходить из трех соображений: целостность, доступность и конфиденциальность.

Из этих целей должны быть выведены правила безопасности, которые описывают, кто, что и при каких условиях может делать. Чем детальнее правила, чем более формально они изложены, тем проще поддержать их выполнение программно-техническими мерами. Но и слишком жесткие правила будут мешать работе, придется тратить время на то, чтобы их пересмотреть. Руководителю в такой ситуации необходимо найти рациональное решение, компромисс, когда за приемлемую цену будет обеспечен достойный уровень безопасности, а работники не будут сильно перегружены или скованны.

2. УГРОЗЫ И КАНАЛЫ УТЕЧКИ ИНФОРМАЦИИ, МЕРЫ ЗАЩИТЫ

2.1 Классификация угроз информации

Любые данные, представляющие хоть какую-то ценность всегда находятся под угрозой несанкционированного доступа к ним, случайного или преднамеренного разрушения, или их модификации.

Существует два вида угроз данным - это естественные угрозы и искусственные угрозы.

К естественным угрозам можно отнести угрозы, вызванные воздействиями на информационную систему и ее элементы объективных физических процессов или стихийных природных явлений, которые не зависят от человеческого фактора.

К искусственным угрозам можно отнести угрозы информационной системы и ее элементам, вызванные деятельностью человека. Исходя из мотивации действий, среди искусственных угроз стоит выделить:

преднамеренные (умышленные) преследуют цель нанесения ущерба управляемой системе или пользователям. Это делается нередко злоумышленниками ради получения личной выгоды.

непреднамеренные (неумышленные, случайные). Источником таких угроз может быть выход из строя аппаратных средств, неправильные действия работников или ее пользователей, ошибки в программном обеспечении и т.д. Такие угрозы тоже следует держать во внимании, так как ущерб от них может быть значительным;

По отношению к информационной системе стоит выделить два варианта источника угроз: внешние и внутренние. Классификация угроз сохранности информации приведена на рисунке 2.

Размещено на http://www.allbest.ru/

Рисунок 2. Классификация угроз сохранности информации

2.2 Модель угроз безопасности информации, обрабатываемой на объекте вычислительной техники

Угроза безопасности информации - совокупность условий и факторов, создающих опасность нарушения информационной безопасности. Другими словами, это потенциальная возможность воздействия на объект защиты (преднамеренная или случайная), из-за которой может произойти потеря или утечка информации, следовательно, будет нанесен ущерб владельцу информации.

Модель угроз безопасности информации представлена на рисунке 3.

Рисунок 3. Модель угроз безопасности информации

2.3 Классификация каналов утечки информации

Каналы утечки информации -- пути и методы утечки информации из информационной системы.

a) Электромагнитный канал. Причиной его возникновения является электромагнитное поле. Электрический ток, протекая в технических средствах обработки информации создает электромагнитное поле. Электромагнитное поле может индуцировать токи в близко расположенных проводных линиях (наводки).

Электромагнитный канал в свою очередь делится на:

Радиоканал (высокочастотные излучения).

Низкочастотный канал.

Сетевой канал (наводки на провода заземления).

Канал заземления (наводки на провода заземления).

Линейный канал (наводки на линии связи между компьютерами).

b) Акустический канал. Он связан с распространением звуковых волн в воздухе или упругих колебаний в других средах, возникающих при работе устройств отображения информации.

c) Канал несанкционированного копирования.

d) Канал несанкционированного доступа.

Основные каналы утечки представлены на рисунке 4.

Рисунок 4. Основные каналы утечки информации

2.4 Каналы утечки информации на объекте вычислительной техники

2.4.1 Угроза безопасности информации через акустический канал утечки

Несанкционированный доступ к конфиденциальной информации по акустическому каналу утечки (рисунок 5) может осуществляться:

путем непосредственного прослушивания;

с помощью технических средств.

Непосредственное прослушивание переговоров (разговоров) злоумышленником может быть осуществлено:

через дверь;

через открытое окно (форточку);

через стены, перегородки;

через вентиляционные каналы.

Прослушивание переговоров через дверь возможно при условии, если вход в комнату для переговоров выполнен с нарушением требований по звукоизоляции. Не следует также вести переговоры при открытых окнах либо форточках. В этих условиях может быть непосредственный доступ к содержанию переговоров.

Стены, перегородки, потолки, да и пол комнат для ведения переговоров не являются гарантированной защитой от прослушивания, если они не проверены на звукоизоляцию и нет уверенности в том, что они отвечают требованиям по звукоизоляции.

Очень опасными с точки зрения несанкционированного доступа к содержанию переговоров являются вентиляционные каналы. Они позволяют прослушивать разговор в комнате на значительном удалении. Поэтому к оборудованию вентиляционных каналов предъявляются высокие требования.

Использование для прослушивания разговоров направленных микрофонов в настоящее время имеет широкое распространение. При этом дистанция прослушивания в зависимости от реальной помеховой обстановки может достигать сотен метров.

В качестве направленных микрофонов злоумышленники могут использовать:

микрофоны с параболическим отражателем;

резонансные микрофоны;

щелевые микрофоны;

лазерные микрофоны.

Для прослушивания злоумышленники применяют и так называемые проводные микрофоны. Чаще всего используются микрофоны со специально проложенными проводами для передачи информации, а также микрофоны с передачей информации по линии сети 220 в.

Не исключено использование для передачи прослушиваемой информации и других видов коммуникаций (провода сигнализации, радиотрансляции, часофикации и т.д.).

Поэтому при проведении всевозможных ремонтов и реконструкций на это необходимо уделять особое внимание, ибо в противном случае не исключена возможность внедрения таких подслушивающих устройств. Широкое применение у злоумышленников для прослушивания переговоров (разговоров) находят радиомикрофоны. В настоящее-время их насчитывается более 200 различных типов. Обобщенные характеристики радиомикрофонов следующие:

Диапазон частот: 27 - 1500 мГц;

Вес: единицы грамм - сотни грамм;

Дальность действия: 10 - 1600м;

Время непрерывной работы: от нескольких часов-до нескольких лет (в зависимости от способа питания).

Данные устройства представляют собой большую угрозу безопасности ведения переговоров (разговоров). Поэтому необходимо делать все возможное для исключения их наличия в комнатах для переговоров.

В последнее десятилетие злоумышленники стали применять устройства, позволяющие прослушивать разговоры в помещениях на значительном удалении от них (из других районов, городов и т.д.), используя телефонные линии.

Размещено на http://www.allbest.ru/

Рисунок 5. Модель угроз информации через акустический канал утечки

2.4.2 Угроза безопасности информации за счет высокочастотного Навязывания

Сущность прослушивания переговоров с помощью высокочастотного навязывания состоит в подключении к телефонной линии генератора частоты и последующего приема «отраженного» от телефонного аппарата промодулированного ведущимся в комнате разговором сигнала.

Таким образом, анализ угроз конфиденциальной информации, которые содержатся при ведении переговоров (разговоров) показывает, что если не принять мер защиты, то возможен доступ злоумышленников к ее содержанию.

Размещено на http://www.allbest.ru/

Рисунок 6. Модель угроз информации за счет высокочастотного навязывания

2.4.3 Угроза безопасности информации по оптическому каналу утечки

Если переговоры ведутся в комнате, где окна не оборудованы шторами, жалюзями, то в этом случае у злоумышленника появляется возможность с помощью оптических приборов с большим усилением (бинокли, подзорные трубы) просматривать помещение. Видеть, кто в нем находится и что делает.

Лазерный

Рисунок 7. Модель угроз информации по оптическому каналу

2.4.4 Угроза безопасности информации через виброакустический канал утечки

Несанкционированный доступ к содержанию переговоров (разговоров) злоумышленниками может быть также осуществлен (рисунок 8) с помощью стетоскопов и гидроакустических датчиков.

Размещено на http://www.allbest.ru/

Рисунок 8. Модель угроз информации через виброакустический канал утечки

С помощью стетоскопов возможно прослушивание переговоров (разговоров) через стены толщиной до 1 м 20 см (в зависимости от материала).

В зависимости от вида канала передачи информации от самого вибродатчика стетоскопы подразделяются на:

Проводные (проводной канал передачи);

Радио (канал передачи по радио);

Инфракрасные (инфракрасный канал передачи).

Не исключена возможность использования злоумышленниками и гидроакустических датчиков, позволяющих прослушивать разговоры в помещениях, используя трубы водообеспечения и отопления.

2.4.5 Угрозы безопасности информации, вызванные умышленными факторами

Угрозы, вызванные умышленными факторами, могут исходить как со стороны недобросовестных сотрудников организации (лиц, имеющих доступ на объект вычислительной техники (ВТ), пользователей), так и со стороны посторонних лиц (злоумышленников). Некоторые виды умышленных угроз могут быть отнесены к обоим признакам, однако, рассматривать их целесообразно отдельно.

Угрозы, исходящие со стороны пользователей.

К этому виду угроз относятся:

использование штатного способа доступа к системе с целью навязывания запрещенных действий (нештатное изменение атрибутов доступа);

использование служебного положения для получения привилегированного доступа к информации (на объект ВТ) или отмены ограничений, обусловленных требованиями по защите информации;

физическое разрушение системы или вывод из строя ее компонентов;

отключение или вывод из строя подсистем обеспечения безопасности информации;

хищение носителей информации и несанкционированное их копирование;

чтение остаточной информации из оперативной памяти и с внешних запоминающих устройств (просмотр «мусора»);

внедрение аппаратных и программных “закладок”, “вирусов” и “троянских” программ, позволяющих скрытно и незаконно получать информацию с объекта ВТ или получать доступ к модификации (уничтожению) информации обрабатываемой на объекте ВТ.

Угрозы, исходящие со стороны посторонних лиц (злоумышленников).

маскировка под истинного пользователя путем навязывания характеристик его авторизации (использование подобранных или подсмотренных паролей, ключей шифрования, похищенных идентификационных карточек, пропусков и т. п.);

маскировка под истинного пользователя после получения им доступа;

подкуп или шантаж персонала, имеющего определенные полномочия;

хищение носителей информации;

внедрение аппаратных и программных “закладок”, “вирусов” и “троянских” программ, позволяющих скрытно и незаконно получать информацию с объекта ВТ или получать доступ к модификации (уничтожению) информации обрабатываемой на объекте ВТ;

незаконное подключение к линиям связи;

перехват данных, передаваемых по каналам связи;

перехват информации за счет закладных устройств;

2.5 Реализация технических мер защиты информации на объекте ВТ

Для реализации первичных технических мер защиты требуется обеспечить:

* блокирование каналов утечки информации и несанкционированного доступа к ее носителям;

* проверку исправности и работоспособность технических средств объекта ВТ;

* установить средства выявления и индикации угроз, проверить их работоспособность;

* установить защищенные средства обработки информации, средства защиты информации и проверить их работоспособность;

* применить программные средства защиты в средствах вычислительной техники, автоматизированных системах, осуществить их функциональное тестирование и тестирование на соответствие требованиям защищенности;

* использовать специальные инженерно-технические сооружения и средства (системы).

Выбор средств обеспечения защиты информации обусловлен фрагментарным или комплексным способом защиты информации.

Фрагментарная защита обеспечивает противодействие определенной угрозе.

Комплексная защита обеспечивает одновременное противодействие множеству угроз.

Блокирование каналов утечки информации может осуществляться:

* демонтажем технических средств, линий связи, сигнализации и управления, энергетических сетей, использование которых не связано с жизнеобеспечением предприятия и обработкой информации;

* удалением отдельных элементов технических средств, представляющих собой среду распространения полей и сигналов, из помещений, где циркулирует информация;

* временным отключением технических средств, не участвующих в обработке информации, от линий связи, сигнализации, управления и энергетических сетей;

* применением способов и схемных решений по защите информации, не нарушающих основные технические характеристики средств обеспечения информационных данных.

Блокирование несанкционированного доступа к информации или ее носителям может осуществляться:

* созданием условий работы в пределах установленного регламента;

* исключением возможности использования не прошедших проверку (испытания) программных, программно-аппаратных средств.

Средства выявления и индикации угроз применяются для сигнализации и оповещения владельца (пользователя, распорядителя) информации об утечке информации или нарушении ее целостности. Средства защиты информации применяются для пассивного или активного скрытия информации.

Для пассивного скрытия применяются фильтры-ограничители, линейные фильтры, специальные абонентские устройства защиты и электромагнитные экраны.

Для активного скрытия применяются узкополосные и широкополосные генераторы линейного и пространственного зашумления.

Программные средства применяются для обеспечения:

* идентификации и аутентификации пользователей, персонала и ресурсов системы обработки информации;

* разграничения доступа пользователей к информации, средствам вычислительной техники и техническим средствам автоматизированных систем;

* целостности информации и конфигурации автоматизированных систем;

* регистрации и учета действий пользователей;

* маскирования обрабатываемой информации;

* реагирования (сигнализации, отключения, приостановки работ, отказа в запросе) на попытки несанкционированных действий.

По результатам выполнения рекомендаций акта обследования и реализации мер защиты информации следует составить в произвольной форме акт приемки работ по защите информации, который должен быть подписан исполнителем работ, лицом, ответственным за защиту информации, и утвержден руководителем предприятия.

Для определения полноты и качества работ по защите информации следует провести аттестацию. Аттестация выполняется организациями, имеющими лицензии на право деятельности в области защиты информации. Объектами аттестации являются компоненты информационной системы и их отдельные элементы, в которых циркулирует информация, подлежащая технической защите. В ходе аттестации требуется:

Установить соответствие аттестуемого объекта требованиям защиты информации;

Оценить качество и надежность мер защиты информации;

Оценить полноту и достаточность технической документации для объекта аттестации;

Определить необходимость внесения изменений и дополнений в организационно-распорядительные документы.

Технические меры по защите информации на объекте ВТ должны предусматривать:

Ограничение доступа внутрь корпуса компьютера путем установления механических запорных устройств.

Уничтожение всей информации на винчестере компьютера при ее отправке в ремонт с использованием средств низкоуровневого форматирования.

Организацию питания компьютера от отдельного источника питания или от общей (городской) электросети через стабилизатор напряжения (сетевой фильтр) или мотор-генератор.

Использование для отображения информации жидкокристаллических или плазменных дисплеев, а для печати - струйных или лазерных принтеров.

Размещение дисплея, системного блока, клавиатуры и принтера на расстоянии не менее 2,5-3,0 метров от устройств освещения, кондиционирования воздуха, связи (телефона), металлических труб, телевизионной и радиоаппаратуры, а также других компьютеров, не использующихся для обработки конфиденциальной информации.

Отключение компьютера от локальной сети или сети удаленного доступа при обработке на ней конфиденциальной информации, кроме случая передачи этой информации по сети.

Установка принтера и клавиатуры на мягкие прокладки с целью снижения утечки информации по акустическому каналу.

Во время обработки ценной информации на компьютере рекомендуется включать устройства, создающие дополнительный шумовой фон (кондиционеры, вентиляторы), а также обрабатывать другую информацию на рядом стоящих компьютерах. Эти устройства должны быть расположены на расстоянии не менее 2,5-3,0 метров.

Уничтожение информации непосредственно после ее использования.

3. ОСНОВНЫЕ МЕРОПРИЯТИЯ ПО ЗАЩИТЕ ИНФОРМАЦИИ НА ПРЕДПРИЯТИИ

3.1 Задачи и принципы организации службы информационной безопасности

На многих предприятиях организуют отделы службы безопасности. В обязанности такой службы входит организация защиты сведений, непосредственно связанных с государственной и коммерческой тайной, обучение сотрудников хранить секреты своей фирмы, разъяснение правил соблюдения защиты информации и политики конфиденциальности фирмы, создание методических документов. Служба безопасности собирает всё необходимое о наличии секретной информации, сроках её хранения, коммерческой тайне данного предприятия, определяет круг лиц, имеющих к ней доступ и контролирует его, чтобы доступ был обеспечен только тем сотрудникам, которым она нужна непосредственно по службе. Так же на службу безопасности обычно возложены такие обязанности, как отслеживание информации о состоянии рынка, конкурентах, анализировать и контролировать попытки конкурирующих фирм получить доступ к защищаемой информации, а также уметь четко и быстро устранять недостатки в области защиты коммерческой тайны.

Организуется специальная система доступа к конфиденциальной информации - целый комплекс административно-правовых норм, организующий доступ информации исполнителями или руководителем секретных работ. Целью этой системы является обезопасить работу от несанкционированного получения секретной информации. Подразделяется эта система на:

разрешительную систему доступа к секретной документации;

систему шифров и пропусков для доступа в помещения, где ведутся секретные работы.

Обеспечивает физическую сохранность носителей секретной информации и предотвращение доступа посторонних на территорию секретных работ система охраны. Система охраны - комплекс мероприятий, средств, сил и мероприятий, преграждающих доступ посторонних к защищаемой информации.

Комплекс мер, направленных на защиту конфиденциальной информации, осуществляемый руководством, администрацией и системой безопасности, это:

ежедневный контроль над соблюдением сотрудниками правил защиты информации;

соблюдение всеми сотрудниками правил внутреннего распорядка, пожарной безопасности, инструкций по защите сведений и т.д.;

контроль над прохождением на территорию посторонних лиц и отслеживание их передвижений;

выявления каналов утечки информации и меры по их перекрытию;

предотвращение разглашения защищаемой информации в открытых публикациях;

работа с клиентами, ведение переговоров с партнерами и т.д., важно заключение взаимовыгодных соглашений, а не получение информации о защищаемой информации.

Правовая защита информации.

Правовые меры, регулирующие вопросы защиты секретной и конфиденциальной информации, делят на две группы:

нормативные акты, регламентирующие правила и процедуры защиты информации;

нормативные акты, устанавливающие ответственность за покушение на сведения.

Уголовно-правовые нормы по своему содержанию являются, с одной стороны, запрещающими, то есть они под страхом применения мер уголовного наказания запрещают гражданам нарушать свои обязанности и совершать преступления, а с другой стороны, они обязывают соответствующие органы государства (ФСБ, МВД, прокуратуру) привлечь лиц, виновных в совершении преступления, к уголовной ответственности.
Кроме того, нарушения режима секретности, правил сохранения государственной и коммерческой тайны, не являющиеся преступлением, могут повлечь материальное, дисциплинарное или административное взыскание в соответствии с действующими нормативными актами: отстранение от работы, связанной с секретами или перевод на другую работу, менее оплачиваемую и тоже не связанную с засекреченной информацией.

Организационная защита информации.

Эта группа мер преследует цель организации работы по выполнению правил, процедур и требований защиты государственной и коммерческой тайны на основе правил, установленных законами и подзаконными правовыми актами (инструкциями, положениями и т.п.).

Организационные меры по защите информации подразумевают, прежде всего, работу с кадрами, которые будут осуществлять мероприятия по защите информации, обучение сотрудников правилам защиты засекреченной информации. Нормативно-правовые организационные режимные меры-это основа для решения вопрос защиты информации о соблюдение принципа максимального ограничения числа лиц, которые имеют к секретным работам и документам. Организационные меры защиты информации требуют детального соблюдения правил секретного делопроизводства, чтобы исключить или свести к минимуму утрату секретных документов. Основное назначение организационных мер защиты информации -- предупредить несанкционированный доступ к государственным или коммерческим секретам и утечку защищаемой информации.

Инженерно-техническая защита информации.

Это отдельное направление защиты информации. Развитие технических средств разведки (ТСР) потребовало от государства создания целой системы мер противодействия сбору разведывательной информации с помощью ТСР.

Инженерно-технические меры защиты информации -- это комплекс организационных и инженерно-технических мероприятий, направленных на исключение или существенное затруднение добыванию с помощью ТСР защищаемой информации. Главное здесь, что каждое действие требует противодействие. Противостоять ТСР с помощью только организационных режимных мер явно недостаточно, так как ТСР не знают границ и на их деятельность не влияют погодные условия.

Инженерно-технические меры защиты информации делятся на три группы:

Обще предупредительные меры, включающие правовое регулирование использования технических средств в процессе осуществления международных связей; установление и поддержание режимов, направленных на предотвращение утечки защищаемой информации по каналам, доступным ТСР и др.;

организационные меры включают в себя такие мероприятия, как анализ и обобщение информации о ТСР и выработка путей защиты этих параметров;

технические меры включают комплекс инженерно-технических средств и мероприятий, используемых для скрытия от ТСР защищаемых сведений об объектах защиты и технической дезинформации соперника.

3.2 Охраняемые сведения и объекты защиты информации предприятия

Целью мероприятий по защите информации, проводимых на объектах предприятия, является снижение риска получения ущерба в условиях действия преднамеренных и непреднамеренных угроз информационной безопасности. Достижение требуемого уровня информационной безопасности должно быть обеспечено системным применением организационных, организационно-технических, технических и программно-технических мер на всех этапах эксплуатации объектов предприятия.

Указанная цель достигается путем рационального и взаимосвязанного решения на объектах предприятия следующих задач, увязанных единым замыслом:

a. определения сведений, информационных ресурсов и процессов, которые необходимо защитить;

b. анализа демаскирующих признаков, раскрывающих охраняемые сведения об объектах защиты, каналов утечки, хищения, несанкционированного доступа и воздействия на защищаемую информацию;

c. оценки возможностей технических разведок и криминальных структур по получению защищаемой информации, несанкционированному доступу и воздействию на информационные ресурсы и процессы, оценки реальной опасности утечки информации, искажения, модификации, уничтожения или блокирования информационных ресурсов и процессов;

d. разработки и внедрения технически и экономически обоснованных мероприятий по защите информации с учетом выявленных возможных каналов ее утечки, воздействий и доступа;

e. организации и проведения контроля эффективности защиты информации на объектах информатизации предприятия.

К охраняемым сведениям, защищаемым информационным ресурсам и процессам на всех этапах жизненного цикла объектов предприятия относятся:

a) Речевая информация, содержащая сведения, отнесенные к государственной тайне.

b) Информационные ресурсы, содержащие сведения, отнесенные к государственной тайне, представленные в виде носителей на магнитной и оптической основе, информативных электрических сигналов, электромагнитных полей, информационных массивов и баз данных.

При анализе безопасности охраняемых сведений и информационных ресурсов, должны рассматриваться все возможные виды угроз.

Подлежащие защите объекты информатизации предприятия по требованиям обеспечения информационной безопасности относятся к одной из трех групп:

a. Первая группа - основные технические средства и системы, а также их комплектующие с помещениями, в которых они размещены.

b. Вторая группа - выделенные помещения, специально предназначенные для проведения закрытых мероприятий на которых обсуждается информация, составляющая государственную тайну, а также оборудованные средствами правительственной связи и иных видов специальной связи

c. Третья группа - вспомогательные технические средства и системы, установленные в выделенных помещениях.

К основным техническим средствам относятся:

a) Отдельные автоматизированные рабочие места структурных подразделений предприятия, предназначенные для обработки информации, содержащей сведения, составляющие государственную тайну.

b) Средства обработки речевой, графической, видео информации, используемой для обработки секретной информации.

c) Средства для изготовления и размножения секретных документов.

d) Средства и системы связи, в которых циркулирует секретная информация.

К выделенным помещениям III категории относятся служебные кабинеты и рабочие комнаты подразделений предприятия, в которых проводятся обсуждения и переговоры по вопросам со степенью секретности не выше «секретно», а также актовые залы, предназначенные для закрытых мероприятий.

К выделенным помещениям II категории относятся помещения, специально выделенные для проведения совещаний по совершенно секретным вопросам, а также служебные кабинеты руководящего состава предприятия и основных его подразделений в которых могут вестись обсуждения и переговоры по совершенно секретным вопросам.

К вспомогательным относятся технические средства и системы, не предназначенные для обработки, передачи и хранения секретной информации, размещенные в выделенных помещениях, а также совместно с основными техническими средствами и системами.

3.3 Организационные и технические мероприятия по защите информации

Защита информации на объектах предприятия должна осуществляться посредством выполнения комплекса мероприятий, направленных на: скрытие или существенное затруднение добывания с помощью технических средств разведки охраняемых сведений об объектах защиты; предотвращение утечки информации или воздействия на информационные ресурсы и процессы по техническим каналам и за счет несанкционированного доступа к ним; предупреждение преднамеренных программно-технических воздействий с целью нарушения целостности (уничтожения, искажения) информации (информационных технологий) в процессе ее обработки, передачи и хранения или нарушения работоспособности технических средств.

Исходя из перечня основных угроз информационной безопасности, в комплексе мероприятий по защите информации на объектах предприятия можно выделить несколько направлений:

Защита от утечки по техническим каналам секретной речевой (акустической) информации, обсуждаемой в помещениях объектов предприятия.

Защита основных технических средств и систем от утечки информации, составляющей государственную тайну, по каналам побочных электромагнитных излучений и наводок

Защита информации от несанкционированного доступа, в том числе от компьютерных вирусов и других программно-технических воздействий, от хищения технических средств с находящейся в них информацией или отдельных носителей информации.

Защита информации от воздействия источников дестабилизирующих (разрушающих) электромагнитных излучений, а также от уничтожения и искажения информации через специально внедренные электронные и программные средства (закладки).

Организация защиты от утечки по техническим каналам секретной речевой (акустической) информации предполагает проведение комплекса организационно-технических мероприятий, направленных на устранение акустического и виброакустического каналов утечки информации, а также технических каналов, возникающих при эксплуатации вспомогательных технических средств и за счет внедрения электронных устройств перехвата информации.

Проведение специальной проверки выделенных помещений, а также размещенных в них технических средств иностранного производства с целью выявления возможно внедренных в них электронных устройств перехвата информации (закладок).

Выполнение организационно-режимных мероприятий по допуску и охране выделенных помещений.

Установка в выделенных помещениях технических средств (оконечных устройств телефонной связи, радиотрансляции, сигнализации, электрочасофикации и т.д.), сертифицированных по требованиям безопасности информации либо защищенных по результатам специальных исследований сертифицированными средствами защиты.

Исключение использования в выделенных помещениях радиотелефонов, оконечных устройств сотовой связи.

Выполнение требований по звукоизоляции и виброакустической защите ограждающих конструкций выделенных помещений, их систем вентиляции и кондиционирования. Повышение звукоизоляции ограждающих конструкций помещений или установка активных средств защиты проводятся по результатам проведенных измерений отношения информативный сигнал/шум в местах возможного перехвата информации.

Оформление технических паспортов по вопросам защиты информации на выделенные помещения осуществляет главный специалист по информационной безопасности предприятия с привлечением подразделений, эксплуатирующих здания, системы электроснабжения, коммуникации и технические средства, а также подразделений, располагающихся в выделенных помещениях.

Организация и проведение аттестации выделенных помещений по требованиям безопасности информации с оформлением "Аттестата соответствия". Аттестация проводится организацией, имеющей соответствующую лицензию ФСТЭК России.

В целях защиты информации, обрабатываемой всеми видами основных технических средств и систем, организуется и проводится комплекс организационно-технических мероприятий, направленный на исключение или существенное снижения уровня побочных электромагнитных излучений и наводок в линиях связи и коммуникациях, имеющих выход за пределы контролируемой зоны объектов предприятия.

К таким мероприятиям относятся:

Проведение специальной проверки основных технических средств иностранного производства с целью выявления возможно внедренных в них электронных устройств перехвата информации (закладок).

Проведение специальных исследований основных технических средств и систем и выдача предписания на эксплуатацию.

Выполнение требований предписаний на эксплуатацию по размещению основных технических средств и систем относительно границ контролируемой зоны.

Выполнение требований предписаний на эксплуатацию по размещению основных технических средств и систем относительно вспомогательных технических средств и систем, имеющих выход за пределы контролируемой зоны.

Выполнение требований предписаний на эксплуатацию по защите системы электропитания основных технических средств и систем.

Выполнение требований предписаний на эксплуатацию по защите системы заземления основных технических средств и систем.

Оформление технических паспортов по вопросам защиты информации на основные технические средства и системы осуществляет главный специалист по информационной безопасности предприятия совместно с подразделением, эксплуатирующим данные средства.

В целях защиты информации и информационных процессов (технологий) в системах информатизации (автоматизированных системах) проводятся мероприятия по их защите от несанкционированного доступа и программно-технических воздействий, в том числе от компьютерных вирусов. Защите подлежат автоматизированные системы, предназначенные для обработки информации, составляющей государственную тайну.

Мероприятия по защите автоматизированных систем, предназначенных для обработки информации, составляющей государственную тайну, от несанкционированного доступа к информации направлены на достижение трех основных свойств защищаемой информации: конфиденциальность, целостность, доступность.

Мероприятия по защите информации при нахождении на объектах предприятия иностранных представителей, порядок их реализации и ответственность должностных лиц за их выполнение определяются отдельной инструкцией о приеме иностранных граждан.

Мероприятия по обеспечению информационной безопасности выполняются на всех этапах жизненного цикла объектов предприятия и являются неотъемлемой частью работ по их созданию и эксплуатации.

На стадии эксплуатации объекта предприятия, системы информатизации и средств защиты информации в ее составе осуществляются:

Администрирование систем информатизации и связи с целью обеспечения информационной безопасности при их эксплуатации, в том числе:

управление доступом в систему и к ее элементам;

формирование и распределение реквизитов полномочий пользователей в соответствии с установленными правилами разграничения доступа;

формирование и распределение ключевой и парольной информации;

регистрация и учет действий в системе;

учет носителей информации;

обеспечение сигнализации о попытках нарушения защиты;

поддержание функционирования криптографической подсистемы защиты информации;

поддержание функционирования технических и программных средств и систем защиты информации в установленных эксплуатационной документацией режимах;

контроль целостности эксплуатируемого на средствах вычислительной техники программного обеспечения с целью выявления несанкционированных изменений в нем, а также выполнения мероприятий по антивирусной защите носителей информации и сообщений, получаемых по каналам связи;

инструктаж персонала и пользователей технических средств передачи, обработки и хранения информации по правилам работы со средствами защиты информации;

участие в проведении служебных расследований фактов нарушения или угрозы нарушения безопасности защищаемой информации.

Организация и контроль эксплуатации средств физической защиты, исключающих несанкционированный доступ к объектам защиты и техническим средствам, их хищение и нарушение работоспособности.

Периодическая проверка помещений на отсутствие возможно внедренных радиоэлектронных средств перехвата информации.

Периодическое обследование выделенных помещений, средств и систем информатизации.

Периодическая проверка автоматизированных рабочих мест на выполнение требований по антивирусной защите.

Периодическая аттестация объектов защиты.

Контроль проведения ремонтных и сервисных работ в выделенных помещениях, а также на технических средствах и их коммуникациях

3.4 Программно-технические методы и средства защиты информации от несанкционированного доступа на объекте ВТ

Технической основой системы защиты информации от несанкционированного доступа являются программно-технические методы и средства.

Для того чтобы сформировать оптимальный комплекс программно-технических методов и средств защиты информации, необходимо пройти следующие этапы:

Определение информационных и технических ресурсов, подлежащих защите;

Выявление полного множества потенциально возможных угроз и каналов утечки;

Проведение оценки уязвимости информации для выявленных угроз и каналов утечки;

Определение требований к системе защиты информации;

Осуществление выбора средств защиты информации и их характеристик;

Внедрение и организация использования выбранных мер, способов и средств защиты;

Осуществление контроля целостности и управление системой защиты.

Совокупность защитных методов и средств включает в себя:

Программные средства и методы;

Аппаратные средства;

Защитные (криптографические) преобразования;

Организационные мероприятия.

Программные методы защиты - это совокупность алгоритмов и программ, обеспечивающих разграничение доступа и исключение несанкционированного использования информации.

Сущность аппаратной или схемной защиты состоит в том, что в устройствах и технических средствах обработки информации предусматривается наличие специальных технических решений, обеспечивающих защиту и контроль информации, например, экранирующие устройства, локализующие электромагнитные излучения или схемы проверки информации на четность, осуществляющей контроль правильности передачи информации между различными устройствами информационной системы.

Подобные документы

Необходимость и потребность в защите информации. Виды угроз безопасности информационных технологий и информации. Каналы утечки и несанкционированного доступа к информации. Принципы проектирования системы защиты. Внутренние и внешние нарушители АИТУ.

контрольная работа , добавлен 09.04.2011


Наиболее распространённые пути несанкционированного доступа к информации, каналы ее утечки. Методы защиты информации от угроз природного (аварийного) характера, от случайных угроз. Криптография как средство защиты информации. Промышленный шпионаж.

реферат , добавлен 04.06.2013


Главные каналы утечки информации. Основные источники конфиденциальной информации. Основные объекты защиты информации. Основные работы по развитию и совершенствованию системы защиты информации. Модель защиты информационной безопасности ОАО "РЖД".

курсовая работа , добавлен 05.09.2013


Варианты управления компьютером при автономном режиме. Классификация угроз безопасности, каналов утечки информации. Программно-аппаратные комплексы и криптографические методы защиты информации на ПЭВМ. Программная система "Кобра", утилиты наблюдения.

контрольная работа , добавлен 20.11.2011


Пути несанкционированного доступа, классификация угроз и объектов защиты. Методы защиты информации в системах управления производством. Основные каналы утечки информации при обработке ее на компьютере. Информационные потоки организации ООО "ТД Искра".

курсовая работа , добавлен 15.03.2016


Пути несанкционированного доступа, классификация способов и средств защиты информации. Каналы утечки информации. Основные направления защиты информации в СУП. Меры непосредственной защиты ПЭВМ. Анализ защищенности узлов локальной сети "Стройпроект".

дипломная работа , добавлен 05.06.2011


Понятие и типы мобильной системы связи. Особенности построения и функционирования. Система обеспечения защиты информации. Понятие и классификация угроз. Виды представления информации и возможные каналы ее утечки. Сценарии несанкционированного доступа.

курсовая работа , добавлен 23.11.2013


Моделирование объектов защиты информации. Структурирование защищаемой информации. Моделирование угроз безопасности: способы физического проникновения, технические каналы утечки информации, угрозы от стихийных источников. Инженерно-техническое мероприятия.

курсовая работа , добавлен 13.07.2012


Анализ информации, обрабатываемой на объекте, и программно-аппаратных средств обработки информации. Организационные методы контроля доступа. Программно-аппаратные и технические устройства защиты, датчикового контроля, видеонаблюдения и сигнализации.

реферат , добавлен 22.11.2014


Внешние угрозы информационной безопасности, формы их проявления. Методы и средства защиты от промышленного шпионажа, его цели: получение информации о конкуренте, уничтожение информации. Способы несанкционированного доступа к конфиденциальной информации.

Тема 1.2. Виды мер обеспечения информационной безопасности

Виды мер обеспечения информационной безопасности

План лекции:
1. Направления мер информационной безопасности.
2. Программно - технические меры защиты информации:
- Аппаратные средства защиты информации
- Программные средства защиты информации

Направления мер информационной безопасности

Информационная безопасность подчеркивает важность информации в современном обществе - понимание того, что информация - это ценный ресурс, нечто большее, чем отдельные элементы данных. Целью информационной безопасности является обезопасить ценности системы, защитить и гарантировать точность и целостность информации, и минимизировать разрушения, которые могут иметь место, если информация будет модифицирована или разрушена. Информационная безопасность требует учета всех событий, в ходе которых информация создается, модифицируется, к ней обеспечивается доступ или она распространяется
Можно выделить следующие направления мер информационной безопасности.
- правовые
- организационные
- технические
К правовым мерам следует отнести разработку норм, устанавливающих ответственность за компьютерные преступления, защиту авторских прав программистов, совершенствование уголовного и гражданского законодательства, а также судопроизводства. К правовым мерам относятся также вопросы общественного контроля за разработчиками компьютерных систем и принятие международных договоров об их ограничениях, если они влияют или могут повлиять на военные, экономические и социальные аспекты жизни стран, заключающих соглашение
К организационным мерам отнесу охрану вычислительного центра, тщательный подбор персонала, исключение случаев ведения особо важных работ только одним человеком, наличие плана восстановления работоспособности центра, после выхода его из строя, организацию обслуживания вычислительного центра посторонней организацией или лицами, незаинтересованными в сокрытии фактов нарушения работы центра, универсальность средств защиты от всех пользователей (включая высшее руководство), возложение ответственности на лиц, которые должны обеспечить безопасность центра, выбор места расположения центра и т.п.
К техническим мерам можно отнести защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем, организацию вычислительных сетей с возможностью перераспределения ресурсов в случае нарушения работоспособности отдельных звеньев, установку оборудования обнаружения и тушения пожара, оборудования обнаружения воды, принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов, установку резервных систем электропитания, оснащение помещений замками, установку сигнализации и многое другое.

Программно - технические меры защиты информации

Можно так классифицировать потенциальные угрозы, против которых направлены технические меры защиты информации:
1. Потери информации из-за сбоев оборудования:
- перебои электропитания;
- сбои дисковых систем;
- сбои работы серверов, рабочих станций, сетевых карт и т.д.
2. Потери информации из-за некорректной работы программ:
- потеря или изменение данных при ошибках ПО;
- потери при заражении системы компьютерными вирусами;
3. Потери, связанные с несанкционированным доступом:
- несанкционированное копирование, уничтожение или подделка информации;
- ознакомление с конфиденциальной информацией
4. Ошибки обслуживающего персонала и пользователей:
- случайное уничтожение или изменение данных;
- некорректное использование программного и аппаратного обеспечения, ведущее к уничтожению или изменению данных
Сами программно - технические меры защиты можно разделить на:
- средства аппаратной защиты, включающие средства защиты кабельной системы, систем электропитания, и т.д.
- программные средства защиты, в том числе: криптография, антивирусные программы, системы разграничения полномочий, средства контроля доступа и т.д..
- административные меры защиты, включающие подготовку и обучение персонала, организацию тестирования и приема в эксплуатацию программ, контроль доступа в помещения и т.д.
Следует отметить, что подобное деление достаточно условно, поскольку современные технологии развиваются в направлении сочетания программных и аппаратных средств защиты. Наибольшее распространение такие программно-аппаратные средства получили, в частности, в области контроля доступа, защиты от вирусов и т.д..

Аппаратные средства защиты

Под аппаратными средствами защиты понимаются специальные средства, непосредственно входящие в состав технического обеспечения и выполняющие функции защиты как самостоятельно, так и в комплексе с другими средствами, например с программными. Можно выделить некоторые наиболее важные элементы аппаратной защиты:
защита от сбоев в электропитании
Наиболее надежным средством предотвращения потерь информации при кратковременном отключении электроэнергии в настоящее время является установка источников бесперебойного питания (UPS). Различные по своим техническим и потребительским характеристикам, подобные устройства могут обеспечить питание всей локальной сети или отдельной компьютера в течение какого-то промежутка времени, достаточного для восстановления подачи напряжения или для сохранения информации на магнитные носители. В противном случае используется следующая функция подобных устройств - компьютер получает сигнал, что UPS перешел на работу от собственных аккумуляторов и время такой автономной работы ограничено. Тогда компьютер выполняет действия по корректному завершению всех выполняющихся программ и отключается (команда SHUT-DOWN). Большинство источников бесперебойного питания одновременно выполняет функции и стабилизатора напряжения, является дополнительной защитой от скачков напряжения в сети. Многие современные сетевые устройства - серверы, концентраторы, мосты и т.д. оснащены собственными дублированными системами электропитания.
защита от сбоев процессоров
Один из методов такой защиты - это резервирование особо важных компьютерных подсистем. Пример - симметричное мультипроцессирование. В системе используется более двух процессоров, и в случае сбоя одного из них, второй продолжает работу так, что пользователи вычислительной системы даже ничего не замечают.
защита от сбоев устройств для хранения информации
Организация надежной и эффективной системы резервного копирования и дублирования данных является одной из важнейших задач по обеспечению сохранности информации. В небольших сетях, где установлены один-два сервера, чаще всего применяется установка системы резервного копирования непосредственно в свободные слоты серверов. Это могут быть устройства записи на магнитные ленты (стример), на компакт-диски многоразового использования, на оптические диски и т.д. В крупных корпоративных сетях наиболее предпочтительно организовать выделенный специализированный архивационный сервер. Специалисты рекомендуют хранить дубликаты архивов наиболее ценных данных в другом здании, на случай пожара или стихийного бедствия. В некоторых случаях, когда подобные сбои и потеря информации могут привести к неприемлемой остановке работы - применяются система зеркальных винчестеров. Резервная копия информации формируется в реальном времени, то есть в любой момент времени при выходе из строя одного винчестера система сразу же начинает работать с другим.
защита от утечек информации электромагнитных излучений
Прохождение электрических сигналов по цепям ПК и соединительным кабелям сопровождается возникновением побочных электромагнитных излучений (ПЭМИ) в окружающей среде. Распространение побочных электромагнитных излучений за пределы контролируемой территории на десятки, сотни, а иногда и тысячи метров, создает предпосылки для утечки информации, так как возможен ее перехват с помощью специальных технических средств контроля. В персональном компьютере кроме проводных линий связи также основными источниками электромагнитных излучений являются мониторы, принтеры, накопители на магнитных дисках, а также центральный процессор. Исследования показывают, что излучение видеосигнала монитора является достаточно мощным, широкополосным и охватывает диапазон метровых и дециметровых волн. Для уменьшения уровня побочных электромагнитных излучений применяют специальные средства защиты информации: экранирование, фильтрацию, заземление, электромагнитное зашумление, а также средства ослабления уровней нежелательных электромагнитных излучений и наводок при помощи различных резистивных и поглощающих согласованных нагрузок.
При контроле защиты информации ПК используются специально разработанные тестовые программы, а также специальная аппаратура контроля уровня излучения, которые определяют режим работы ПК, обеспечивающий совместно с другими техническими средствами скрытый режим работы для различных средств разведки.

Программные средства защиты информации

Программные средства защиты - это специальные программы, включаемые в состав программного обеспечения системы, для обеспечения самостоятельно или в комплексе с другими средствами, функций защиты данных.
Среди них можно выделить и подробнее рассмотреть следующие;
- средства архивации данных
- антивирусные программы
- криптографические средства
- средства идентификации и аутентификации пользователей
- средства управления доступом
- протоколирование и аудит
Как примеры комбинаций вышеперечисленных мер можно привести:
- защиту баз данных
- защиту информации при работе в компьютерных сетях.
Подробно программные средства защиты информации мы рассмотрим позже.

Вопросы для самоконтроля:
1. Какие направления мер по защите информации вам известны?
2. Перечислите основные программно - технические средства защиты компьютерной информации.
3. Назовите средства защиты от сбоев в электропитании.
4. Назовите средства защиты от сбоев в работе процессоров и устройств хранения информации.
5. Назовите средства защиты от утечек информации за счет формирования электромагнитных излучений.
6. Что относится к программным средствам защиты информации?

Административный уровень защиты информации.

План лекции:
1. Основные понятия.
2. Политика безопасности.
3. Программа безопасности.

Основные понятия

К административному уровню информационной безопасност и относятся действия общего характера, предпринимаемые руководством организации.
Главная цель мер административного уровня - сформировать программу работ в области информационной безопасности и обеспечить ее выполнение, выделяя необходимые ресурсы и контролируя состояние дел.
Основой программы является политика безопасности , отражающая подход организации к защите своих информационных активов. Руководство каждой организации должно осознать необходимость поддержания режима безопасности и выделения на эти цели значительных ресурсов.
Политика безопасности строится на основе анализа рисков , которые признаются реальными для информационной системы организации. Когда риски проанализированы и стратегия защиты определена, составляется программа обеспечения информационной безопасности. Под эту программу выделяются ресурсы, назначаются ответственные, определяется порядок контроля выполнения программы и т.п.

Политика безопасности

Под политикой безопасности мы будем понимать совокупность документированных решений, принимаемых руководством организации и направленных на защиту информации и ассоциированных с ней ресурсов.
С практической точки зрения политику безопасности целесообразно рассматривать на трех уровнях детализации. К верхнему уровню можно отнести решения, затрагивающие организацию в целом. Они носят весьма общий характер и, как правило, исходят от руководства организации. Примерный список подобных решений может включать в себя следующие элементы:
- решение сформировать или пересмотреть комплексную программу обеспечения информационной безопасности, назначение ответственных за продвижение программы;
- формулировка целей, которые преследует организация в области информационной безопасности, определение общих направлений в достижении этих целей;
- обеспечение базы для соблюдения законов и правил;
- формулировка административных решений по тем вопросам реализации программы безопасности, которые должны рассматриваться на уровне организации в целом.
Для политики верхнего уровня цели организации в области информационной безопасности формулируются в терминах целостности, доступности и конфиденциальности. Если организация отвечает за поддержание критически важных баз данных, на первом плане может стоять уменьшение числа потерь, повреждений или искажений данных. Для организации, занимающейся продажей компьютерной техники, вероятно, важна актуальность информации о предоставляемых услугах и ценах и ее доступность максимальному числу потенциальных покупателей. Руководство режимного предприятия в первую очередь заботится о защите от несанкционированного доступа, то есть о конфиденциальности.
На верхний уровень выносится управление защитными ресурсами и координация использования этих ресурсов, выделение специального персонала для защиты критически важных систем и взаимодействие с другими организациями, обеспечивающими или контролирующими режим безопасности.
В политике должны быть определены обязанности должностных лиц по выработке программы безопасности и проведению ее в жизнь. В этом смысле политика безопасности является основой подотчетности персонала.
Политика верхнего уровня имеет дело с тремя аспектами законопослушности и исполнительской дисциплины. Во-первых, организация должна соблюдать существующие законы. Во-вторых, следует контролировать действия лиц, ответственных за выработку программы безопасности. Наконец, необходимо обеспечить определенную степень исполнительности персонала, а для этого нужно выработать систему поощрений и наказаний.
Вообще говоря, на верхний уровень следует выносить минимум вопросов. Подобное вынесение целесообразно, когда оно сулит значительную экономию средств или когда иначе поступить просто невозможно.
К среднему уровню можно отнести вопросы, касающиеся отдельных аспектов информационной безопасности, но важные для различных эксплуатируемых организацией систем. Примеры таких вопросов - отношение к передовым (но, возможно, недостаточно проверенным) технологиям, доступ в Internet (как совместить свободу доступа к информации с защитой от внешних угроз?), использование домашних компьютеров, применение пользователями неофициального программного обеспечения и т.д.
Политика среднего уровня должна для каждого аспекта освещать следующие темы:
Описание аспекта. Например, если рассмотреть применение пользователями неофициального программного обеспечения, последнее можно определить как ПО, которое не было одобрено и/или закуплено на уровне организации.
Область применения. Следует определить, где, когда, как, по отношению к кому и чему применяется данная политика безопасности. Например, касается ли политика, связанная с использованием неофициального программного обеспечения, организаций-субподрядчиков? Затрагивает ли она сотрудников, пользующихся портативными и домашними компьютерами и вынужденных переносить информацию на производственные машины?
Позиция организации по данному аспекту. Продолжая пример с неофициальным программным обеспечением, можно представить себе позиции полного запрета, выработки процедуры приемки подобного ПО и т.п. Позиция может быть сформулирована и в гораздо более общем виде, как набор целей, которые преследует организация в данном аспекте. Вообще стиль документов, определяющих политику безопасности (как и их перечень), в разных организациях может сильно отличаться.
Роли и обязанности. В "политический" документ необходимо включить информацию о должностных лицах, ответственных за реализацию политики безопасности. Например, если для использования неофициального программного обеспечения сотрудникам требуется разрешение руководства, должно быть известно, у кого и как его можно получить. Если неофициальное программное обеспечение использовать нельзя, следует знать, кто следит за выполнением данного правила.
Законопослушность. Политика должна содержать общее описание запрещенных действий и наказаний за них.
Точки контакта. Должно быть известно, куда следует обращаться за разъяснениями, помощью и дополнительной информацией. Обычно "точкой контакта" служит определенное должностное лицо, а не конкретный человек, занимающий в данный момент данный пост.
Политика безопасности нижнего уровня относится к конкретным информационным сервисам. Она включает в себя два аспекта - цели и правила их достижения, поэтому ее порой трудно отделить от вопросов реализации. В отличие от двух верхних уровней, рассматриваемая политика должна быть определена более подробно. Есть много вещей, специфичных для отдельных видов услуг, которые нельзя единым образом регламентировать в рамках всей организации. В то же время, эти вещи настолько важны для обеспечения режима безопасности, что относящиеся к ним решения должны приниматься на управленческом, а не техническом уровне. Приведем несколько примеров вопросов, на которые следует дать ответ в политике безопасности нижнего уровня:
- кто имеет право доступа к объектам, поддерживаемым сервисом?
- при каких условиях можно читать и модифицировать данные?
- как организован удаленный доступ к сервису?
При формулировке целей политики нижнего уровня можно исходить из соображений целостности, доступности и конфиденциальности, но нельзя на этом останавливаться. Ее цели должны быть более конкретными. Например, если речь идет о системе расчета заработной платы, можно поставить цель, чтобы только сотрудникам отдела кадров и бухгалтерии позволялось вводить и модифицировать информацию. В более общем случае цели должны связывать между собой объекты сервиса и действия с ними.
Из целей выводятся правила безопасности, описывающие, кто, что и при каких условиях может делать. Чем подробнее правила, чем более формально они изложены, тем проще поддержать их выполнение программно-техническими средствами. С другой стороны, слишком жесткие правила могут мешать работе пользователей, вероятно, их придется часто пересматривать. Руководству предстоит найти разумный компромисс, когда за приемлемую цену будет обеспечен приемлемый уровень безопасности, а сотрудники не окажутся чрезмерно связаны. Обычно наиболее формально задаются права доступа к объектам ввиду особой важности данного вопроса.

Программа безопасности

После того, как сформулирована политика безопасности, можно приступать к составлению программы ее реализации и собственно к реализации.
Чтобы понять и реализовать какую-либо программу, ее нужно структурировать по уровням, обычно в соответствии со структурой организации. В простейшем и самом распространенном случае достаточно двух уровней - верхнего, или центрального, который охватывает всю организацию, и нижнего, или служебного, который относится к отдельным услугам или группам однородных сервисов.
Программу верхнего уровня возглавляет лицо, отвечающее за информационную безопасность организации. У этой программы следующие главные цели:
- управление рисками (оценка рисков, выбор эффективных средств защиты);
- координация деятельности в области информационной безопасности, пополнение и распределение ресурсов;
- стратегическое планирование;
- контроль деятельности в области информационной безопасности.
В рамках программы верхнего уровня принимаются стратегические решения по обеспечению безопасности, оцениваются технологические новинки. Информационные технологии развиваются очень быстро, и необходимо иметь четкую политику отслеживания и внедрения новых средств.
Следует подчеркнуть, что программа верхнего уровня должна занимать строго определенное место в деятельности организации, она должна официально приниматься и поддерживаться руководством, а также иметь определенный штат и бюджет.
Цель программы нижнего уровня - обеспечить надежную и экономичную защиту конкретного сервиса или группы однородных сервисов. На этом уровне решается, какие следует использовать механизмы защиты; закупаются и устанавливаются технические средства; выполняется повседневное администрирование; отслеживается состояние слабых мест и т.п. Обычно за программу нижнего уровня отвечают администраторы сервисов.

Вопросы для самоконтроля:
1. Что понимается под административным уровнем защиты информации?
2. Что такое политика безопасности?
3. Дайте характеристику уровням политики безопасности.
4. Что подразумевает программы безопасности?
5. Что является основой программы безопасности?
6. Дайте характеристику уровням программы безопасности.

С чего начинается информационная безопасность компьютерных сетей предприятия? Теория говорит об ана­лизе рисков, выработке политики и организации системы безопасности. И это правильно. Но прежде чем обратиться к теории, надо навести элементарный порядок и наладить дисциплину в информационных служ­бах предприятия.

Вы должны уметь четко ответить на вопросы:

Сколько компьютеров (коммуникационного, вспомогательного оборудования) установлено на вашем предпри­ятии?

Сколько их сейчас, в данный момент, а не сколько их было вчера или месяц назад; сколько их на рабочих местах, сколько в ремонте, сколько в резерве.

Вы сумеете узнать каждый компьютер "в лицо"? Обнаружите ли вы "маскарад" оборудования, когда какой-нибудь компьютер или его часть, или программное обеспечение подменены, так что кажущееся рабочей ло­шадкой оборудование на самом деле является троянским конем?

Какие задачи и с какой целью решаются на каждом компьютере? Уверены ли вы в необходимости каждой единицы контролируемого вами оборудования и в том, что среди него нет ничего лишнего, установленного, скажем, для красоты и ждущего, чтобы на него обратил внимание какой-нибудь хакер из числа молодых и дерзких сотрудников? Ведь если от оборудования нет пользы, с точки зрения информационной безопаснос­ти от него можно ожидать только вреда. А вот еще несколько вопросов по оборудованию. Каков порядок ремонта и технической профилактики компьютеров?

Как проверяется оборудование, возвращаемое из ремонта, перед установкой на штатное рабочее место? Как производится изъятие и передача компьютеров в подразделения и каков порядок приема в работу ново­го оборудования?

Список вопросов можно продолжить... Аналогичные вопросы можно задать и относительно программного обеспечения и персонала.

Другими словами, защита информации начинается с постановки и решения организационных вопросов. Те, кому уже приходилось на практике заниматься вопросами обеспечения информационной безопасности в автоматизированных системах, единодушно отмечают следующую особенность - реальный интерес к проблеме защиты информации, проявляемый менеджерами верхнего уровня, на уровне подразделений, отвечающих за работоспособность автоматизированной системы организации сменяется на резкое неприятие. Как прави­ло, приводятся следующие аргументы против проведения работ и принятия мер по обеспечению информа­ционной безопасности:

Появление дополнительных ограничений для конечных пользователей и специалистов подразделений обеспечения, затрудняющие использование и эксплуатацию автоматизированной системы организации;

Необходимость дополнительных материальных затрат как на проведение таких работ, так и на расшире­ние штата специалистов, занимающихся проблемой информационной безопасности.

Экономия на информационной безопасности может выражаться в различных формах, крайними из которых являются:

Принятие только организационных мер обеспечения безопасности информации в корпоративной сети (КС);

Использование только дополнительных технических средств защиты информации (ТСЗИ).

В первом случае, как правило, разрабатываются многочисленные инструкции, приказы и положения, призван­ные в критическую минуту переложить ответственность с людей, издающих эти документы на конкретных исполнителей. Естественно, что требования таких документов (при отсутствии соответствующей техничес­кой поддержки) затрудняют повседневную деятельность сотрудников организации и, как правило, не выпол­няются.

Во втором случае, приобретаются и устанавливаются дополнительные ТСЗИ. Применение ТСЗИ без соответ­ствующей организационной поддержки также неэффективно в связи с тем, что без установленных правил обработки информации в КС применение любых ТСЗИ только усиливает существующий беспорядок. Рассмотрим комплекс организационных мер, необходимых для реализации защиты информации в сетях ЭВМ. С одной стороны, эти меры должны быть направлены на обеспечение правильности функционирования ме­ханизмов защиты и выполняться администратором безопасности системы. С другой стороны, руководство организации, эксплуатирующей средства автоматизации, должно регламентировать правила автоматизиро­ванной обработки информации, включая и правила ее защиты, а также установить меру ответственности за нарушение этих правил.

К организационным мерам относятся:

Разовые (однократно проводимые и повторяемые только при полном пересмотре принятых решений) мероприятия;

Мероприятия, проводимые при осуществлении или возникновении определенных изменений в самой защищаемой КС или внешней среде (по необходимости);

Периодически проводимые (через определенное время) мероприятия;

Постоянно (непрерывно или дискретно в случайные моменты времени) проводимые мероприятия.

Разовые мероприятия

К разовым мероприятиям относят:

Общесистемные мероприятия по созданию научно-технических и методологических основ (концепции и других руководящих документов) защиты КС;

Мероприятия, осуществляемые при проектировании, строительстве и оборудовании вычислительных цен­тров и других объектов АС (исключение возможности тайного проникновения в помещения, исключение возможности установки прослушивающей аппаратуры и т. п.);

Мероприятия, осуществляемые при проектировании, разработке и вводе в эксплуатацию технических средств и программного обеспечения (проверка и сертификация используемых технических и программ­ных средств, документирование и т. п.);

Проведение спецпроверок всех применяемых в КС средств вычислительной техники и проведения ме­роприятий по защите информации от утечки по каналам побочных электромагнитных излучений и наво­док;

Разработка и утверждение функциональных обязанностей должностных лиц службы компьютерной бе­зопасности;

Внесение необходимых изменений и дополнений во все организационно-распорядительные документы (положения о подразделениях, функциональные обязанности должностных лиц, инструкции пользова­телей системы и т. п.) по вопросам обеспечения безопасности программно-информационных ресурсов КС и действиям в случае возникновения кризисных ситуаций;

Оформление юридических документов (в форме договоров, приказов и распоряжений руководства орга­низации) по вопросам регламентации отношений с пользователями (клиентами), работающими в авто­матизированной системе, между участниками информационного обмена и третьей стороной (арбитра­жем, третейским судом) о правилах разрешения споров, связанных с применением электронной подпи­си;

Определение порядка назначения, изменения, утверждения и предоставления конкретным должност­ным лицам необходимых полномочий по доступу к ресурсам системы;

Мероприятия по созданию системы защиты КС и созданию инфраструктуры;

Мероприятия по разработке правил управления доступом к ресурсам системы (определение перечня задач, решаемых структурными подразделениями организации с использованием КС, а также используе­мых при их решении режимов обработки и доступа к данным; определение перечня файлов и баз дан­ных содержащих сведения, составляющие коммерческую и служебную тайну, а также требования к уров­ням их защищенности от НСД при передаче, хранении и обработке в КС; выявление наиболее вероятных угроз для данной КС, выявление уязвимых мест процесса обработки информации и каналов доступа к ней; оценку возможного ущерба, вызванного нарушением безопасности информации, разработку адек­ватных требований по основным направлениям защиты);

Организацию надежного пропускного режима;

Определение порядка учета, выдачи, использования и хранения съемных магнитных носителей инфор­мации, содержащих эталонные и резервные копии программ и массивов информации, архивные данные и т. п.;

Организацию учета, хранения, использования и уничтожения документов и носителей с закрытой ин­формацией;

Определение порядка проектирования, разработки, отладки, модификации, приобретения, специссле­дования, приема в эксплуатацию, хранения и контроля целостности программных продуктов, а также порядок обновления версий используемых и установки новых системных и прикладных программ на ра­бочих местах защищенной системы (кто обладает правом разрешения таких действий, кто осуществляет, кто контролирует и что при этом они должны делать);

Создание отделов (служб) компьютерной безопасности или, в случае небольших организаций и подраз­делений, назначение нештатных ответственных, осуществляющих единое руководство, организацию и контроль за соблюдением всеми категориями должностных лиц требований по обеспечению безопасно­сти программно-информационных ресурсов автоматизированной системы обработки информации;

Определение перечня необходимых регулярно проводимых превентивных мер и оперативных действий персонала по обеспечению непрерывной работы и восстановлению вычислительного процесса АС в кри­тических ситуациях, возникающих как следствие НСД, сбоев и отказов СВТ, ошибок в программах и дей­ствиях персонала, стихийных бедствий.

Периодически проводимые мероприятия

К периодически проводимым мероприятиям относят:

Распределение реквизитов разграничения доступа (паролей, ключей шифрования и т. п.);

Анализ системных журналов, принятие мер по обнаруженным нарушениям правил работы,

Мероприятия по пересмотру правил разграничения доступа пользователей к информации в организации;

Периодически с привлечением сторонних специалистов осуществление анализа состояния и оценки эф­фективности мер и применяемых средств защиты. На основе полученной в результате такого анализа информации принимать необходимые меры по совершенствованию системы защиты;

Мероприятия по пересмотру состава и построения системы защиты.

Мероприятия, проводимые по необходимости

К мероприятиям, проводимым по необходимости, относят:

Мероприятия, осуществляемые при кадровых изменениях в составе персонала системы;

Мероприятия, осуществляемые при ремонте и модификациях оборудования и программного обеспече­ния (строгое санкционирование, рассмотрение и утверждение всех изменений, проверка их на удовлет­ворение требованиям защиты, документальное отражение изменений и т. п.);

Мероприятия по подбору и расстановке кадров (проверка принимаемых на работу, обучение правилам работы с информацией, ознакомление с мерами ответственности за нарушение правил защиты, обуче­ние, создание условий, при которых персоналу было бы невыгодно нарушать свои обязанности и т. д.).

Постоянно проводимые мероприятия

Постоянно проводимые мероприятия включают:

Мероприятия по обеспечению достаточного уровня физической защиты всех компонентов КС (противо­пожарная охрана, охрана помещений, пропускной режим, обеспечение сохранности и физической цело­стности СВТ, носителей информации и т. п.).

Мероприятия по непрерывной поддержке функционирования и управлению используемыми средствами защиты;

Явный и скрытый контроль за работой персонала системы;

Контроль за реализацией выбранных мер защиты в процессе проектирования, разработки, ввода в строй и функционирования АС;

Постоянно (силами отдела (службы) безопасности) и периодически (с привлечением сторонних специа­листов) осуществляемый анализ состояния и оценка эффективности мер и применяемых средств защи­ты.

Несколько детализируя методологию построения систем информационной безопасности относительно корпоративной сети, а также учитывая вышесказанное по возможным угрозам сети и имеющимся способам борьбы с ними, алгоритм построения системы информационной безопасности корпоративной сети может быть представлен следующим образом.

Весь объект защиты имеет несколько направлений возможных атак. Для каждого вида атаки существуют соответствующие способы и средства борьбы с ними. Определив основные способы борьбы, мы тем самым сформируем политику информационной безопасности. Выбрав в соответствии со сформированной политикой совокупность средств обеспечения информационной безопасности, объединив их системой управления, мы получим фактически систему защиты информации.

Аналогичным образом анализируются угрозы на уровне корпоративной сети. Она может быть представлена тремя основными составляющими – техническое обеспечение, информационное обеспечение и программное обеспечение. Каждый из этих компонент может далее детализироваться до степени, достаточной для формулировки основных угроз на этом уровне и возможных способов борьбы с ними.

Выбор конкретных способов и средств защиты информации на уровне сети также выливается в соответствующую политику и систему информационной безопасности, которые органически вливаются в общую политику и систему информационной безопасности всего объекта (см. ниже схемы “Вероятные угрозы” ).