Безопасность информации
«Защита никогда не бывает дорогой!» Пока не доказано обратное, система защиты должна проектироваться в расчете на враждебное окружение. Из опыта руководителя
Постановлением Правительства Российской Федерации установлен перечень сведений, которые не могут быть отнесены к коммерческой тайне.
К ним относятся:
• учредительные документы (решение о создании предприятия, договор учредителей, устав);
• документы, дающие право заниматься предпринимательской деятельностью (регистрационное удостоверение, лицензии, патенты);
• сведения по установленным формам отчетности о финансово-хозяйственной деятельности и иные данные, необходимые для проверки правильности исчисления и уплаты налогов и других обязательных платежей в государственную бюджетную систему;
• документы о платежеспособности;
• сведения о численности, составе работающих, их заработной плате и условиях труда, а также о наличии свободных рабочих мест;
• документы об уплате налогов и обязательных платежей;
• сведения о загрязнении окружающей среды, нарушениях антимонопольного законодательства, несоблюдения безопасных условий труда, реализации продукции, причиняющей вред здоровью населения, а также других нарушениях законодательства и размерах причиненного при этом ущерба;
• сведения об участии должностных лиц предприятия в кооперативах, малых предприятиях, объединениях и других организациях, занимающихся предпринимательской деятельностью.
В Уголовном кодексе Российской Федерации введено понятие «компьютерные преступления», которое предусматривает неправомерный доступ к компьютерной информации, создание и использование вредоносных программ, нарушение правил эксплуатации ЭВМ или их систем.
Вероятными угрозами информационной базе предприятия представляются следующие:
• несанкционированный доступ;
• перехват информации в каналах связи;
• кража документов;
• уничтожение (случайное/сознательное) информации;
• ошибки в работе персонала;
• разрушение информации вирусами;
• ошибки в программах обработки данных;
• отключение электропитания;
• фальсификация сообщений;
• несанкционированная модификация информации.
Система защиты информации должна удовлетворять следующим требованиям:
1) на стадии проектирования должна быть создана системы управления и корректировки;
2) объединить внутри себя законодательные, технические и организационные способы защиты;
3) расходы на защиту должны быть меньше, чем сумма возможного ущерба от утечки информации;
4) не должна создавать дополнительные трудности в управлении предприятием;
5) обеспечивать защиту от всех реальных угроз.
С точки зрения защищенности всю управленческую информацию делят на семь классов:
• первый — наличие развитой службы безопасности;
• второй — наличие полного набора механизмов защиты на нескольких ступенях;
• третий — защита при большом количестве субъектов и объектов, имеющих доступ к информации;
• четвертый — защита электронной передачи данных;
• пятый — защита распределенных информационных сетей;
• шестой — защита локальных информационных сетей;
• седьмой — минимальные требования к защищенности.
Систему управления можно считать защищенной, если все операции выполняются в соответствии со строго определенными правилами, обеспечивающими непосредственную защиту объектов, ресурсов и операций.
Искажение информации происходит из-за случайных ошибок персонала при первичном учете, ошибках при переработке информации, повреждении информации компьютерными вирусами.
Угроза раскрытия заключается в доступности информации конкурентам, что может привести к экономическим потерям организации. Раскрытие может произойти на всех стадиях использования, переработки и передачи информации.
Потеря целостности заключается в нарушении части информации, что приводит к потере полезности всего массива данных. Целостность может быть нарушена сознательно либо при случайном искажении в процессе использования.
Потеря доступности может оказаться сознательной и объективной (например, при большом спросе со стороны различных служб).
Безопасность информации обеспечивается комплексом специальных мероприятий по правилам использования, доступности со стороны персонала, процедур компьютерной обработки.
Мерами защиты могут стать:
• проверка подлинности информации;
• контроль доступа в помещения;
• разделение полномочий;
• шифрование информации;
• применение цифровой подписи на сообщениях;
• использование биометрических характеристик для контроля;
• применение электронных карт;
• использование антивирусной защиты;
• контроль целостности информации;
• резервирование, регламентирование правил и способов защиты документов;
• наличие инструкций для пользователей информации;
• ограничение доступа к архивам;
• сокращение привилегий пользователей информации. Ограничение доступности
Систему управления можно считать защищенной, если все операции выполняются в соответствии со строго определенными правилами, которые обеспечивают непосредственную защиту объектов, ресурсов и операций. Политика безопасности — это конфиденциальность, целостность, готовность. Одним из наиболее распространенных способов защиты информации является регламентирование доступа к ней. Типовыми вариантами при этом могут быть:
• дискретный доступ — по массиву данных формируется правило, определяющее для каждой структурной части данных совокупность персонала и алгоритма переработки информации для каждого пользователя;
• мандатный доступ — по массиву данных вводится система кодов, привязанных к процедурам переработки информации. Только знание соответствующего кода позволяет пользователю произвести соответствующее преобразование информации (дополнение, изменение, корректировка и т. п.).
Электронные способы защиты
При передаче или приеме информации по электронным каналам используют специальные способы.
«Открытый ключ» — использование ключа шифрования, который передается неэлектронным способом (стандарт криптографического преобразования информации).
Система ключей — использование главного ключа, ключей шифрования, сеансовых ключей (международный стандарт системы ключей). Неэлектронным способом передается только главный ключ.
Нумерация сообщений — каждое сообщение нумеруется порядковым номером, и контролируются последовательность и повторяемость номеров.
Единый график связи — для клиентов устанавливается график связи и контролируется время фактического и планового обращения.
Программно-аппаратный контроль — разрабатывается система контроля за передаваемой информацией на базе технических и программных средств связи. В 1994 г. корпорация Intel предложила новую технологию, опирающуюся на сетевые адаптеры со специальной антивирусной программой. До запуска компьютера осуществляется сканирование всех систем компьютера.
Идентификация клиента — используется специальная система идентификации клиента до начала приема сообщения.
Архивирование — создается архив всех электронных документов, который привлекается для сравнения при возникновении спорных ситуаций.
Похожие рефераты:
