Скачать 4.81 Mb.
|
3.2 Подходы, принципы, методы и средства обеспечения безопасностиПод обеспечением безопасности информационных систем понимают меры, предохраняющие информационную систему от случайного или преднамеренного вмешательства в режимы ее функционирования (243). Существует два принципиальных подхода к обеспечению компьютерной безопасности (34).
Достоинством фрагментарного подхода является его высокая избирательность относительно конкретной угрозы. Недостатком – локальность действия, т.е. фрагментарные меры защиты обеспечивают эффективную защиту конкретных объектов от конкретной угрозы. Но не более того.
Рис. 10 Процесс управления защитой информации включает в себя компоненты, представленные на рис.11. Рис.11 Особенностью системного подхода к защите информации является создание защищенной среды обработки, хранения и передачи информации, объединяющей разнородные методы и средства противодействия угрозам: программно-технические, правовые, организационно-экономические. Организация подобной защищенной среды позволяет гарантировать определенный уровень безопасности автоматизированной информационной системы. Системный подход к защите информации базируется на следующих методологических принципах:
Методы и средства обеспечения безопасности экономического объекта представлены на рис. 12 Рис. 12 Методы и средства информационной безопасности экономического объекта Методами обеспечения защиты информации на предприятии являются следующие: Препятствие – метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.п.). Управление доступом – метод защиты информации регулированием использования всех ресурсов автоматизированной информационной системы предприятия. Управление доступом включает следующие функции защиты:
Маскировка – метод защиты информации в автоматизированной информационной системе предприятия путем ее криптографического закрытия. Регламентация – метод защиты информации, создающий такие условия автоматизированной обработки, хранения и передачи информации, при которых возможность несанкционированного доступа к ней сводилась бы к минимуму. Принуждение – метод защиты информации, при котором пользователи и персонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной и уголовной ответственности. Побуждение – метод защиты информации, который побуждает пользователей и персонал системы не нарушать установленные правила за счет соблюдения сложившихся моральных и этических норм. Указанные выше методы обеспечения информационной безопасности реализуются с помощью следующих основных средств: физических, аппаратных, программных, аппаратно-программных, криптографических, организационных, законодательных и морально-этических. Физические средства защиты предназначены для внешней охраны территории объектов, защиты компонентов автоматизированной информационной системы предприятия и реализуются в виде автономных устройств и систем. Аппаратные средства защиты – это электронные, электромеханические и другие устройства, непосредственно встроенные в блоки автоматизированной информационной системы или оформленные в виде самостоятельных устройств и сопрягающиеся с этими блоками. Они предназначены для внутренней защиты структурных элементов средств и систем вычислительной техники: терминалов, процессоров, периферийного оборудования, линий связи и т.д. Программные средства защиты предназначены для выполнения логических и интеллектуальных функций защиты и включаются либо в состав программного обеспечения автоматизированной информационной системы, либо в состав средств, комплексов и систем аппаратуры контроля. Программные средства защиты информации являются наиболее распространенным видом защиты, обладая следующими положительными свойствами: универсальностью, гибкостью, простотой реализации, возможностью изменения и развития. Данное обстоятельство делает их одновременно и самыми уязвимыми элементами защиты информационной системы предприятия. Аппаратно-программные средства защиты – средства, в которых программные (микропрограммные) и аппаратные части полностью взаимосвязаны и неразделимы. Криптографические средства – средства защиты с помощью преобразования информации (шифрование). Организационные средства – организационно-технические и организационно-правовые мероприятия по регламентации поведения персонала. Законодательные средства – правовые акты страны, которые регламентируют правила использования, обработки и передачи информации ограниченного доступа и которые устанавливают меры ответственности за нарушение этих правил. Морально-этические средства – нормы, традиции в обществе, например: Кодекс профессионального поведения членов Ассоциации пользователей ЭВМ в США. Все рассмотренные средства защиты разделены на формальные (выполняющие защитные функции строго по заранее предусмотренной процедуре без непосредственного участия человека) и «неформальные» (определяемые целенаправленной деятельностью человека либо регламентирующие эту деятельность). Для реализации мер безопасности используются различные механизмы шифрования (криптографии). Криптография – это наука об обеспечении секретности или аутентичности (подлинности) передаваемых сообщений. Сущность криптографических методов заключается в следующем. Готовое к передаче сообщение – будь то данные, речь либо графическое изображение того или иного документа, обычно называется открытым, или незащищенным текстом. В процессе передачи такого сообщения по незащищенным каналам связи оно может быть легко перехвачено или отслежено подслушивающим лицом посредством умышленных или неумышленных действий. Для предотвращения несанкционированного доступа к сообщению оно зашифровывается, преобразуясь в шифрограмму, или закрытый текст. Санкционированный пользователь, получив сообщение, дешифрует или раскрывает его посредством обратного преобразования криптограммы. Вследствие чего получается исходный открытый текст. Шифрование может быть симметричным и асимметричным. Первое основывается на использовании одного и того же секретного ключа для шифрования и дешифрования. Второе характеризуется тем, что для шифрования используется один общедоступный ключ, а для дешифрования – другой, являющийся секретным, при этом знание общедоступного ключа не позволяет определить секретный ключ. Наряду с шифрованием внедряются следующие механизмы безопасности:
Механизмы цифровой подписи основываются на алгоритмах ассиметричного шифрования и включают две процедуры: формирование подписи отправителем и ее опознавание получателем. Первая процедура обеспечивает шифрование блока данных либо его дополнение криптографической, контрольной суммой, причем в обоих случаях используется секретный ключ отправителя. Вторая процедура основывается на использовании общедоступного ключа, знания которого достаточно для опознавания отправителя. Механизмы контроля доступа осуществляют проверку полномочий объектов АИС (программ и пользователей) на доступ к ресурсам сети. При доступе к ресурсу через соединение контроль выполняется как в точке инициации, так и в промежуточных точках, а также в конечной точке. Механизмы обеспечения целостности данных применяются к отдельному блоку и к потоку данных. Целостность блока является необходимым, но не достаточным условием целостности потока и обеспечивается выполнением взаимосвязанных процедур шифрования и дешифрования отправителем и получателем. Отправитель дополняет передаваемый блок криптографической суммой, а получатель сравнивает ее с криптографическим значением, соответствующим принятому блоку. Несовпадение свидетельствует об искажении информации в блоке. Однако описанный механизм не позволяет вскрыть подмену блока в целом. Поэтому необходим контроль целостности потока, который реализуется посредством шифрования с использованием ключей, изменяемых в зависимости от предшествующих блоков. Механизмы постановки трафика, называемые также механизмами заполнения текста, используют для засекречивания потока данных. Они основываются на генерации объектами АИС блоков, их шифровании и организации передачи по каналам сети. Тем самым нейтрализуется возможность получения информации посредством наблюдения за внешними характеристиками потоков, циркулирующих по каналам связи. Механизмы управления маршрутизацией обеспечивают выбор маршрутов движения информации по коммуникационной сети таким образом, чтобы исключить передачу секретных сведений по небезопасным физически ненадежным каналам. Механизмы арбитража обеспечивают подтверждение характеристик данных, передаваемых между объектами АИС, третьей стороной. Для этого вся информация, отправляемая или получаемая объектами, проходит через арбитра, что позволяет ему впоследствии подтверждать упомянутые характеристики. Отметим типичные недостатки, присущие системе безопасности экономических объектов:
|
Рабочая программа учебной дисциплины «информационная безопасность и защита информации» «Теория и математические методы системного анализа и управления в технических и социально-экономических системах» | Авторская программа учебной дисциплины история (для 1 курса) Спо 230113 Компьютерные системы и комплексы, 210723 Сети связи и системы коммутации, 210709 Многоканальные системы, 280703 Пожарная... | ||
Основная образовательная программа по направлению подготовки 090900 Информационная безопасность «Информационная безопасность», утвержденного 28 октября 2009 г. Приказом Министерства образования и науки Российской Федерации n... | Программа дисциплины Информационная безопасность для направления 080700. 62 Бизнес-информатика Международные стандарты информационного обмена. Понятие угрозы. Информационная безопасность в условиях функционирования в России... | ||
Тема: Информационная безопасность Информационная безопасность это защищенность информации от любых случайных или злонамеренных воздействий, результатом которых может... | Кибернетический подход к организации управления в корпоративных системах Специальность: 05. 13. 10 – Управление в социальных и экономических системах (экономические науки) | ||
Программа учебной дисциплины «русский язык и культура речи» Федерального государственного образовательного стандарта (далее – фгос) среднего профессионального образования (далее спо) по специальности... | Рабочая программа для студентов направлений: 090301. 65 «Компьютерная безопасность» ... | ||
Программа учебной дисциплины “ история ” 2012 г Спо) 230401 «Информационные системы (по отраслям)», 090305 “Информационная безопасность автоматизированных систем”, 230115 “Программирование... | Программа учебной дисциплины “ физическая культура” 2012 г Спо) 230401 «Информационные системы (по отраслям)», 090305 “Информационная безопасность автоматизированных систем”, 230115 “Программирование... | ||
Программа учебной дисциплины “ основы философии ” 2012 г Спо) 230401 «Информационные системы (по отраслям)», 090305 “Информационная безопасность автоматизированных систем”, 230115 “Программирование... | Рабочая программа для студентов очной формы обучения, направление... Иванов Д. И. Математическая логика и теория алгоритмов. Учебно-методический комплекс. Рабочая программа для студентов очной формы... | ||
Программа дисциплины «Информационная безопасность мобильных систем» Программа предназначена для преподавателей, ведущих данную дисциплину, учебных ассистентов и студентов направления подготовки/специальности... | Информационная безопасность, этика и право пользования информацией.... Тема: Информационная безопасность, этика и право пользования информацией. Алфавитный подход к измерению информации. Вероятностный... | ||
Конспект установочной лекции по теме «Введение в информационную безопасность» Содержание контрольной работы должно соответствовать программе курса «Информационная безопасность и защита информации» по специальности... | Основная образовательная программа высшего профессионального образования Основная образовательная программа высшего профессионального образования, реализуемая вузом по направлению подготовки 090900 Информационная... |