Основи на информационната сигурност. Глава V

Софтуерните и хардуерните средства за защита срещу неоторизиран достъп включват мерки за идентификация, удостоверяване и контрол на достъпа до информационната система.

Идентификацията е присвояването на уникални идентификатори на субектите за достъп.

Това включва радиочестотни тагове, биометрични технологии, магнитни карти, универсални магнитни ключове, логини за влизане в системата и др.

Автентификация - проверка на собствеността на обекта на достъп по представения идентификатор и потвърждаване на неговата автентичност.

Процедурите за удостоверяване включват пароли, пин кодове, смарт карти, USB ключове, цифрови подписи, сесийни ключове и др. Процедурната част на средствата за идентификация и автентификация е взаимосвързана и всъщност представлява основната основа на всички софтуерни и хардуерни средства за осигуряване на информационна сигурност, тъй като всички останали услуги са предназначени да обслужват конкретни обекти, правилно разпознати от информационната система. IN общ изгледидентификацията позволява на субекта да се идентифицира пред информационната система и с помощта на удостоверяване информационната система потвърждава, че субектът наистина е този, за когото се представя. Въз основа на преминаването на тази операция се извършва операция за предоставяне на достъп до информационната система. Процедурите за контрол на достъпа позволяват на упълномощените субекти да извършват разрешените от нормативната уредба действия, а информационната система да контролира тези действия за правилността и коректността на получения резултат. Контролът на достъпа позволява на системата да скрие от потребителите данни, до които те нямат достъп.

Следващото средство за софтуерна и хардуерна защита е регистриране и одит на информация.

Регистрирането включва събиране, натрупване и съхраняване на информация за събития, действия, резултати, настъпили по време на работата на информационната система, отделни потребители, процеси и целия софтуер и хардуер, които са част от информационната система на предприятието.

Тъй като всеки компонент на информационната система има предварително зададен набор от възможни събития в съответствие с програмираните класификатори, събитията, действията и резултатите се разделят на:

• външни, причинени от действията на други компоненти,
• вътрешни, причинени от действията на самия компонент,
• клиент, причинени от действията на потребители и администратори.

Информационният одит се състои в извършване на оперативен анализ в реално време или за определен период.

Въз основа на резултатите от анализа или се генерира доклад за настъпилите събития, или се инициира автоматична реакция при аварийна ситуация.

Внедряването на регистриране и одит решава следните задачи:

• осигуряване на отчетност на потребителите и администраторите;
• възможност за реконструкция на последователността от събития;
• откриване на опити за нарушаване на информационната сигурност;
• предоставяне на информация за идентифициране и анализиране на проблеми.

Често защитата на информацията е невъзможна без използването на криптографски средства. Те се използват за предоставяне на услуги за криптиране, цялост и удостоверяване, когато средствата за удостоверяване се съхраняват в криптирана форма от потребителя. Има два основни метода за криптиране: симетрично и асиметрично.

Контролът на целостта ви позволява да установите автентичността и идентичността на обект, който е масив от данни, отделни части от данни, източник на данни, както и да гарантирате невъзможността за маркиране на извършеното в системата действие с масив от информация. Изпълнението на контрола на целостта се основава на технологии за преобразуване на данни, използващи криптиране и цифрови сертификати.

Друг важен аспект е използването на екраниране, технология, която позволява, чрез ограничаване на достъпа на субекти до информационни ресурси, да контролира всички информационни потоци между корпоративната информационна система и външни обекти, масиви от данни, субекти и контрасубекти. Контролът на потока се състои в тяхното филтриране и, ако е необходимо, трансформиране на предаваната информация.

Задачата на екранирането е да защити вътрешната информация от потенциално враждебни външни фактори и участници. Основната форма на изпълнение на екранирането е защитни стениили защитни стени от различни видове и архитектури.

Тъй като един от признаците на информационна сигурност е наличието на информационни ресурси, осигуряването на високо ниво на достъпност е важно направление при прилагането на софтуерни и хардуерни мерки. По-специално са разделени две области: осигуряване на устойчивост на грешки, т.е. отказ на системата, възможност за работа при възникване на грешки и осигуряване на безопасно и бързо възстановяване от повреди, т.е. изправност на системата.

Основното изискване към информационните системи е винаги да работят със зададена ефективност, минимално време на престой и скорост на реакция.

В съответствие с това наличието на информационни ресурси се осигурява от:

• използването на структурна архитектура, което означава, че отделните модули могат да бъдат деактивирани или бързо заменени, ако е необходимо, без да се засягат други елементи на информационната система;
• осигуряване на устойчивост на грешки поради: използване на автономни елементи на поддържащата инфраструктура, въвеждане на излишен капацитет в конфигурацията на софтуера и хардуера, резервиране на хардуера, репликация на информационни ресурси в системата, Резервно копиеданни и др.
• осигуряване на ремонтопригодност чрез намаляване на времето за диагностициране и отстраняване на повреди и последствията от тях.

Друг вид средства за информационна сигурност са защитените комуникационни канали.

функциониране информационни системие неизбежно свързано с прехвърлянето на данни, така че е необходимо също така предприятията да осигурят защитата на предаваните информационни ресурси, използвайки сигурни комуникационни канали. Възможността за неоторизиран достъп до данни по време на предаване на трафик през отворени комуникационни канали се дължи на тяхната обща достъпност. Тъй като „комуникациите по цялата им дължина не могат да бъдат физически защитени, следователно е по-добре първоначално да се изхожда от предположението за тяхната уязвимост и да се осигури съответна защита“ . За това се използват технологии за тунелиране, чиято същност е да капсулират данни, т.е. опаковат или опаковат предадените пакети данни, включително всички атрибути на услугата, в техните собствени пликове. Съответно тунелът е защитена връзка чрез отворени комуникационни канали, през които се предават криптографски защитени пакети данни. Тунелирането се използва за гарантиране на поверителността на трафика чрез скриване на информация за услугата и гарантиране на поверителността и целостта на предаваните данни, когато се използва заедно с криптографски елементи на информационна система. Комбинацията от тунелиране и криптиране прави възможно реализирането на виртуална частна мрежа. В същото време крайните точки на тунелите, които реализират виртуални частни мрежи, са защитни стени, които обслужват връзката на организации с външни мрежи.

Защитните стени като точки за внедряване на услуги за виртуални частни мрежи

По този начин тунелирането и криптирането са допълнителни трансформации, извършвани в процеса на филтриране. мрежов трафикзаедно с превод на адреси. Краищата на тунелите, в допълнение към корпоративните защитни стени, могат да бъдат лични и мобилни компютрислужители, по-точно техните лични защитни стени и защитни стени. Благодарение на този подход се осигурява функционирането на защитени комуникационни канали.

Процедури за информационна сигурност

Процедурите за информационна сигурност обикновено се разделят на административно и организационно ниво.

• Административните процедури включват общи действия, предприети от ръководството на организацията за регулиране на цялата работа, действия, операции в областта на осигуряването и поддържането на информационната сигурност, изпълнявани чрез разпределяне на необходимите ресурси и наблюдение на ефективността на предприетите мерки.
• Организационното ниво представлява процедурите за осигуряване на информационна сигурност, включително управление на персонала, физическа защита, поддържане на изправността на софтуерната и хардуерната инфраструктура, своевременно отстраняване на пробиви в сигурността и планиране на възстановителни дейности.

От друга страна, разграничението между административни и организационни процедури е безсмислено, тъй като процедурите на едно ниво не могат да съществуват отделно от друго ниво, като по този начин се нарушава отношението на защита. физически слой, лична и организационна защита в концепцията за информационна сигурност. На практика, докато осигуряват информационна сигурност, организациите не пренебрегват административните или организационните процедури, поради което е по-логично да ги разглеждаме като интегриран подход, тъй като и двете нива засягат физическото, организационното и персоналното ниво на защита на информацията.

В основата на комплексните процедури за осигуряване на информационна сигурност е политиката за сигурност.

Политика за информационна сигурност

Политика за информационна сигурноств една организация това е набор от документирани решения, взети от ръководството на организацията и насочени към защита на информацията и свързаните с нея ресурси.

В организационно-управленско отношение политиката за информационна сигурност може да бъде единичен документ или съставена под формата на няколко независими документа или заповеди, но във всеки случай тя трябва да обхваща следните аспекти на защитата на информационната система на организацията:

• защита на обектите на информационната система, информационните ресурси и преките операции с тях;
• защита на всички операции, свързани с обработката на информацията в системата, включително софтуер за обработка;
• защита на комуникационни канали, включително кабелни, радиоканали, инфрачервени, хардуерни и др.;
• защита на апаратния комплекс от странично електромагнитно излъчване;
• управление на системата за сигурност, включително поддръжка, надграждане и административни действия.

Всеки един от аспектите трябва да бъде подробно описан и документиран във вътрешните документи на организацията. Вътрешните документи обхващат три нива на процеса на защита: горно, средно и долно.

Документация Най-високо нивополитиките за информационна сигурност отразяват основния подход на организацията към защита на собствената й информация и съответствие с националните и/или международни стандарти. На практика има само един документ от най-високо ниво в една организация, озаглавен „Концепция за информационна сигурност“, „Регламент за информационна сигурност“ и др. Формално тези документи нямат поверителна стойност, разпространението им не е ограничено, но могат да бъдат издадени в издание за вътрешно ползване и публично публикуване.

Документите от средно ниво са строго поверителни и се отнасят до конкретни аспекти на информационната сигурност на организацията: използваните средства за защита на информацията, сигурността на базите данни, комуникациите, криптографските инструменти и други информационни и икономически процеси на организацията. Документацията се изпълнява под формата на вътрешни технически и организационни стандарти.

Документите от по-ниско ниво са разделени на два вида: правила за работа и инструкции за работа. Правилата за работа са строго поверителни и са предназначени само за лица, които по време на дежурство извършват работа по администриране на отделни услуги за информационна сигурност. Инструкциите за работа могат да бъдат поверителни или публични; те са предназначени за персонала на организацията и описват процедурата за работа с отделни елементи на информационната система на организацията.

Световният опит показва, че политиката за информационна сигурност винаги е документирана само в големите компании, които имат развита информационна система, която налага повишени изисквания за информационна сигурност, средните предприятия най-често имат само частично документирана политика за информационна сигурност, а малките организации в обширната мнозинството изобщо не се интересуват от документирането на политиката за сигурност. Независимо от това дали форматът на документацията е холистичен или разпределен, основният аспект е режимът на сигурност.

Има два различни подхода, които формират основата политика за информационна сигурност:

1. "Всичко, което не е забранено, е позволено."
2. "Всичко, което не е позволено, е забранено."

Основният недостатък на първия подход е, че на практика е невъзможно да се предвидят всички опасни случаи и да се забранят. Без съмнение трябва да се използва само вторият подход.

Организационно ниво на информационна сигурност

От гледна точка на информационната сигурност, организационните процедури за осигуряване на информационна сигурност се представят като "регулиране на производствените дейности и взаимоотношенията между изпълнителите на правна основа, която изключва или значително възпрепятства присвояването на поверителна информация и проявата на вътрешни и външни заплахи" .

Мерките за управление на персонала, насочени към организиране на работата с персонала с цел осигуряване на информационна сигурност, включват разделяне на задълженията и минимизиране на привилегиите. Разделението на задълженията предписва такова разпределение на компетенциите и областите на отговорност, при което едно лице не е в състояние да наруши критичен за организацията процес. Това намалява вероятността от грешки и злоупотреби. Минимизирането на привилегиите диктува потребителите да получават само нивото на достъп, което е подходящо за тяхната длъжност. Това намалява щетите от случайни или умишлени неправилни действия.

Физическа защита означава проектиране и прилагане на мерки за пряка защита на сградите, в които се помещават информационни ресурсиорганизации, прилежащи територии, инфраструктурни елементи, Информатика, носители на данни и хардуерни комуникационни канали. Те включват физически контрол на достъпа, противопожарна защита, защита на поддържащата инфраструктура, подслушване на данни и защита на мобилната система.

Поддържането на здравето на софтуерната и хардуерната инфраструктура е за предотвратяване на стохастични грешки, които заплашват да повредят хардуерния комплекс, да нарушат програмите и да загубят данни. Основните насоки в този аспект са предоставяне на потребителска и софтуерна поддръжка, управление на конфигурацията, архивиране, управление на медии, документация и превантивна поддръжка.

Бързото разрешаване на пробиви в сигурността има три основни цели:

1. Локализация на инцидента и намаляване на щетите;
2. Идентификация на нарушителя;
3. Предотвратяване на повторни нарушения.

И накрая, планирането на възстановяване ви позволява да се подготвите за инциденти, да намалите щетите от тях и да поддържате поне минимална способност за функциониране.

Използването на софтуер и хардуер и защитени комуникационни канали трябва да се прилага в организацията въз основа на интегриран подход към разработването и одобрението на всички административни и организационни регулаторни процедури за осигуряване на информационна сигурност. В противен случай приемането на отделни мерки не гарантира защитата на информацията, а често, напротив, провокира изтичане на поверителна информация, загуба на критични данни, повреда на хардуерната инфраструктура и прекъсване на софтуерните компоненти на информационната система на организацията.

Методи за защита на информацията

Съвременните предприятия се характеризират с разпределена информационна система, която ви позволява да вземете предвид разпределените офиси и складове на компанията, финансовото счетоводство и управленския контрол, информацията от клиентската база, като вземете предвид избора на показатели и т.н. Така масивът от данни е много значителен, като по-голямата част от него е информация, която е от приоритетно значение за компанията в търговско и икономическо отношение. Всъщност осигуряването на поверителността на данните, които имат търговска стойност, е една от основните задачи за осигуряване на информационна сигурност в компанията.

Осигуряване на информационна сигурност в предприятиетотрябва да се регулира от следните документи:

1. Регулиране на информационната сигурност. Той включва формулирането на целите и задачите за осигуряване на информационна сигурност, списък на вътрешни правила за средствата за информационна сигурност и регламент за администриране на разпределена информационна система на компанията. Достъпът до наредбите е ограничен до ръководството на организацията и ръководителя на отдела за автоматизация.
2. Правила за техническа поддръжка на защита на информацията. Документите са поверителни, достъпът е ограничен до служители на отдела за автоматизация и висшето ръководство.
3. Правила за администриране на разпределена система за защита на информацията. Достъпът до регламентите е ограничен до служители от отдела за автоматизация, отговорни за администрирането на информационната система и висшето ръководство.

В същото време тези документи не трябва да се ограничават, но трябва да се изработят и по-ниските нива. В противен случай, ако предприятието няма други документи, свързани с информационната сигурност, това ще означава недостатъчна степен на административна информационна сигурност, тъй като няма документи от по-ниско ниво, по-специално инструкции за работа с отделни елементи на информационната система.

Задължителните организационни процедури включват:

• основните мерки за диференциране на персонала по ниво на достъп до информационни ресурси,
• физическа защита на офисите на компанията от пряко проникване и заплахи за унищожаване, загуба или прихващане на данни,
• поддържането на функционалността на хардуерната и софтуерната инфраструктура е организирано под формата на автоматизирано архивиране, дистанционна проверка на носителите за съхранение, потребителска и софтуерна поддръжка се предоставя при поискване.

Това трябва да включва и регламентирани мерки за реагиране и отстраняване на случаи на нарушения на информационната сигурност.

В практиката често се наблюдава, че предприятията не обръщат достатъчно внимание на този въпрос. Всички действия в тази посока се извършват изключително в работен режим, което увеличава времето за отстраняване на случаи на нарушения и не гарантира предотвратяването на повторни нарушения на информационната сигурност. В допълнение, практиката за планиране на действия за отстраняване на последствията след аварии, изтичане на информация, загуба на данни и критични ситуации напълно отсъства. Всичко това значително влошава информационната сигурност на предприятието.

На ниво софтуер и хардуер трябва да се внедри тристепенна система за информационна сигурност.

Минимални критерии за осигуряване на информационна сигурност:

1. Модул за контрол на достъпа:

• въведен е затворен вход към информационната система, невъзможно е влизането в системата извън проверени работни места;
• за служителите е реализиран достъп с ограничена функционалност от мобилни персонални компютри;
• Упълномощаването се извършва чрез влизане и пароли, формирани от администратори.

2. Модул за криптиране и контрол на целостта:

• използва се асиметричен метод за криптиране на предаваните данни;
• масиви от критични данни се съхраняват в бази данни в криптиран вид, което не позволява достъп до тях дори при хакване на информационната система на компанията;
• контролът на целостта се осигурява чрез прост цифров подпис на всички информационни ресурси, съхранявани, обработвани или предавани в рамките на информационната система.

3. Защитен модул:

• внедри система от филтри в защитни стени, което ви позволява да контролирате всички информационни потоци през комуникационни канали;
• външните връзки към глобалните информационни ресурси и публичните комуникационни канали могат да се осъществяват само чрез ограничен набор от проверени работни станции, които имат ограничена връзка с корпоративната информационна система;
• защитеният достъп от работните места на служителите за изпълнение на служебните им задължения се осъществява чрез двустепенна система от прокси сървъри.

И накрая, с помощта на технологиите за тунелиране в предприятието трябва да се внедри виртуална частна мрежа в съответствие с типичен моделсграда за осигуряване на сигурни комуникационни канали между различни отдели на компанията, партньори и клиенти на компанията.

Въпреки че комуникациите се осъществяват директно през мрежи с потенциално ниско ниво на доверие, технологиите за тунелиране, чрез използването на криптографски инструменти, позволяват да се осигури надеждна защитавсички предадени данни.

заключения

Основната цел на всички мерки, предприети в областта на информационната сигурност, е защитата на интересите на предприятието, по един или друг начин свързани с информационните ресурси, с които разполага. Въпреки че интересите на предприятията не са ограничени до конкретна област, всички те са съсредоточени около наличността, целостта и поверителността на информацията.

Проблемът с осигуряването на информационна сигурност се обяснява с две основни причини.

1. Информационните ресурси, натрупани от предприятието, са ценни.
2. Критичната зависимост от информационните технологии обуславя тяхното широко приложение.

Като се има предвид голямото разнообразие от съществуващи заплахи за информационната сигурност, като унищожаването на важна информация, неоторизирано използване на поверителни данни, прекъсвания в работата на предприятието поради нарушения на информационната система, можем да заключим, че всичко това обективно води до големи материални загуби.

При осигуряването на информационна сигурност значителна роля играят софтуерните и хардуерни инструменти, насочени към контролиране на компютърни обекти, т.е. хардуер, софтуерни елементи, данни, формиращи последната и най-приоритетна граница на информационната сигурност. Предаването на данни също трябва да бъде сигурно в контекста на запазване на тяхната поверителност, цялост и достъпност. Ето защо в съвременните условия технологиите за тунелиране се използват в комбинация с криптографски средства за осигуряване на сигурни комуникационни канали.

Литература

1. Галатенко В.А. Стандарти за информационна сигурност. - М .: Интернет университет по информационни технологии, 2006.
2. Partyka T.L., Попов I.I. Информационна сигурност. – М.: Форум, 2012.

Информационна сигурност, както и защитата на информацията, задачата е комплексна, насочена към осигуряване на сигурност, реализирана чрез въвеждане на система за сигурност. Проблемът за информационната сигурност е многостранен и сложен и обхваща редица важни задачи. Проблемите на информационната сигурност непрекъснато се изострят от процесите на проникване във всички сфери на обществото технически средстваобработка и предаване на данни и преди всичко изчислителни системи.

Към днешна дата са формулирани три основни принципа, които трябва да гарантира информационната сигурност:

цялост на данните - защита срещу повреди, водещи до загуба на информация, както и защита срещу неразрешено създаване или унищожаване на данни;

конфиденциалност на информацията;

При разработване компютърни системи, повреда или грешки в работата на които могат да доведат до сериозни последици, въпроси компютърна сигурностстане основен приоритет. Известни са много мерки, насочени към осигуряване на компютърна сигурност, като основните са технически, организационни и правни.

Гарантирането на сигурността на информацията е скъпо не само поради разходите за закупуване или инсталиране на защита, но и защото е трудно експертно да се определят границите на разумна сигурност и да се гарантира, че системата се поддържа правилно в здраво състояние.

Инструментите за сигурност не трябва да се проектират, закупуват или инсталират, докато не бъде направен подходящ анализ.

Сайтът анализира информационната сигурност и нейното място в системата за национална сигурност, идентифицира жизненоважни интереси в информационна сфераи заплахи към тях. Разгледани въпроси информационна война, информационни оръжия, принципи, основни задачи и функции за осигуряване на информационна сигурност, функции държавно устройствоза осигуряване на информационна сигурност, вътрешни и чуждестранни стандарти в областта на информационната сигурност. Значително внимание се обръща и на правните въпроси на информационната сигурност.

Също така взети предвид общи въпросизащита на информацията в автоматизирани системиобработка на данни (ASOD), предмет и обекти на защита на информацията, задачи за защита на информацията в ASOD. Разгледани са видовете умишлени заплахи за сигурността и методите за защита на информацията в АСОД. Разглеждат се методи и средства за удостоверяване на потребителите и ограничаване на техния достъп до компютърни ресурси, контролиране на достъпа до оборудване, използване на прости и динамично променящи се пароли, методи за модифициране на схемата. прости пароли, функционални методи.

Основни принципи на изграждане на система за информационна сигурност.

При изграждането на система за информационна сигурност на даден обект трябва да се ръководите от следните принципи:

Непрекъснатостта на процеса на подобряване и развитие на системата за информационна сигурност, която се състои в обосноваване и прилагане на най-рационалните методи, методи и начини за защита на информацията, непрекъснато наблюдение, идентифициране на тесни места и слабости и потенциални канали за изтичане на информация и неоторизиран достъп.

Комплексно използване на целия арсенал от налични средства за защита на всички етапи на производство и обработка на информация. В същото време всички използвани средства, методи и мерки са обединени в единен интегрален механизъм - система за информационна сигурност.

Мониторинг на функционирането, актуализиране и допълване на защитните механизми в зависимост от промените във възможни вътрешни и външни заплахи.

Правилно обучение на потребителите и спазване на всички установени практики за поверителност. Без това изискване нито една система за информационна сигурност не може да осигури необходимото ниво на защита.

Най-важното условие за гарантиране на сигурността е законността, достатъчността, поддържането на баланса на интересите на индивида и предприятието, взаимната отговорност на персонала и ръководството и взаимодействието с държавните правоприлагащи органи.

10) Етапи на изграждане на информационната сигурност

Етапи на изграждане.

1. Цялостен анализ на информационната система

предприятия на различни нива. Анализ на риска.

2. Развитие на организационно-административните и

нормативни документи.

3. Обучение, професионално развитие и

преквалификация на специалисти.

4. Ежегодна преоценка на състоянието на информацията

корпоративна сигурност

11) Защитна стена

Защитни стени и антивирусни пакети.

Защитната стена (понякога наричана защитна стена) помага за подобряване на сигурността на вашия компютър. Той ограничава информацията, която идва до вашия компютър от други компютри, като ви дава повече контрол върху данните на вашия компютър и предоставя на компютъра ви линия на защита срещу хора или програми (включително вируси и червеи), които се опитват да се свържат с вашия компютър без упълномощаване. Можете да мислите за защитна стена като за граничен пункт, който проверява за информация (често наричана трафик), идваща от интернет или локална мрежа. По време на тази проверка защитната стена отхвърля или позволява информация на компютъра според настройките, които сте конфигурирали.

От какво защитава защитната стена?

Защитната стена МОЖЕ:

1. Блокирайте достъпа на компютърни вируси и червеи до вашия компютър.

2. Подканете потребителя да избере да блокира или разреши определени заявки за връзка.

3. Поддържане на записи (дневник за сигурност) - по желание на потребителя - запис на разрешени и блокирани опити за връзка с компютъра.

От какво не защитава защитната стена?

Той не може:

1. Откриване или неутрализиране компютърни вирусии "червеи", ако вече са попаднали на компютъра.

3. Блокирайте спама или нежеланата поща, така че да не отива във входящата ви кутия.

ХАРДУЕРНИ И СОФТУЕРНИ ЗАЩИТНИ СТЕНИ

Хардуерни защитни стени- отделни устройства, които са много бързи, надеждни, но много скъпи, така че обикновено се използват само за защита на големи компютърни мрежи. За домашни потребители защитни стени, вградени в рутери, комутатори, безжични точкидостъп и др. Комбинираните рутер-защитни стени осигуряват двойна защита срещу атаки.

Софтуерна защитна стенае програма за сигурност. По принцип тя е подобна на хардуерна защитна стена, но е по-„приятелска“ към потребителя: има повече готови настройки и често има съветници, които помагат при конфигурирането. С него можете да разрешите или забраните достъп на други програми до интернет.

Антивирусна програма(антивирусна)- всяка програма за откриване на компютърни вируси, както и нежелани (считани за злонамерени) програми като цяло и за възстановяване на файлове, заразени (модифицирани) от такива програми, както и за превенция - предотвратяване на заразяване (модифициране) на файлове или операционна системазловреден код.

12) Класификация на изчислителните системи

В зависимост от териториалното разположение на абонатните системи

Компютърните мрежи могат да бъдат разделени на три основни класа:

глобални мрежи(WAN - Wide Area Network);

регионални мрежи (MAN - Metropolitan Area Network);

Локални мрежи (LAN - Local Area Network).

Основни LAN топологии

Топологията на LAN е геометрична диаграма на връзките на мрежовите възли.

Топологиите на компютърните мрежи могат да бъдат много различни, но

само три са типични за локалните мрежи:

пръстен,

звездовидна.

Всяка компютърна мрежа може да се разглежда като колекция

Възел- всяко устройство, директно свързано към

предавателна среда на мрежата.

Топология на пръстенаосигурява свързване на мрежови възли на затворена крива - кабел на преносната среда. Изходът на един мрежов възел е свързан с входа на друг. Информацията се предава около пръстена от възел на възел. Всеки междинен възел между предавателя и приемника предава изпратеното съобщение. Получаващият възел разпознава и получава само съобщения, адресирани до него.

Топологията на пръстена е идеална за мрежи, които заемат сравнително малко пространство. Няма централен възел, което повишава надеждността на мрежата. Предаването на информация позволява използването на всякакви видове кабели като среда за предаване.

Постоянната дисциплина на обслужване на възлите на такава мрежа намалява нейната производителност, а отказът на един от възлите нарушава целостта на пръстена и изисква приемането на специални мерки за запазване на пътя за предаване на информация.

Шинова топология- един от най-простите. Свързва се с използването на коаксиален кабел като преносна среда. Данните от предавателния мрежов възел се разпределят по шината в двете посоки. Междинните възли не превеждат входящите съобщения. Информацията пристига до всички възли, но само този, до който е адресирана, получава съобщението. Служебната дисциплина е паралелна.

Това осигурява високопроизводителна LAN с топология на шината. Мрежата е лесна за разширяване и конфигуриране и адаптиране към различни системи Мрежата с топология на шината е устойчива на възможни неизправностиотделни възли.

Мрежите с шинна топология са най-често срещаните в момента. Трябва да се отбележи, че те имат малка дължина и не позволяват употреба Различни видовекабели в една и съща мрежа.

Звездна топологиясе основава на концепцията за централен възел, към който са свързани периферни възли. Всеки периферен възел има собствена отделна комуникационна линия с централния възел. Цялата информация се предава през централния възел, който препредава, превключва и маршрутизира информационните потоци в мрежата.

Топологията на звездата значително опростява взаимодействието на LAN възлите един с друг, позволява използването на по-прости мрежови адаптери. В същото време производителността на LAN със звездна топология зависи изцяло от централния възел.

В реално компютърни мрежимогат да се използват по-развити топологии, представляващи в някои случаи комбинации от разглежданите.

Изборът на конкретна топология се определя от обхвата на LAN, географското местоположение на нейните възли и размерите на мрежата като цяло.

интернет- световна информационна компютърна мрежа, която е асоциация от много регионални компютърни мрежи и компютри, които обменят информация помежду си чрез обществени телекомуникационни канали (специализирани телефонни аналогови и цифрови линии, оптични комуникационни канали и радиоканали, включително сателитни комуникационни линии).

Доставчик- доставчик на мрежови услуги - лице или организация, която предоставя услуги за свързване към компютърни мрежи.

Домакин (от английски host - "домакинът, който приема гости")- всяко устройство, което предоставя услуги във формат "клиент-сървър" в сървърен режим на всякакви интерфейси и е уникално идентифицирано на тези интерфейси. В по-конкретен случай под хост може да се разбира всеки компютър, сървър, свързан към локална или глобална мрежа.

мрежов протокол- набор от правила и действия (последователност от действия), който ви позволява да се свързвате и обменяте данни между две или повече устройства, включени в мрежата.

IP адрес (IP адрес, съкращение от адрес на интернет протокол)- уникален мрежов адрес на възел в компютърна мрежа, изградена по IP протокола. Интернет изисква уникалност на глобалния адрес; в случай на работа в локална мрежа се изисква уникалност на адреса в мрежата. Във версията IPv4 на протокола IP адресът е с дължина 4 байта.

Име на домейн - символично име, което помага да се намерят адресите на интернет сървърите.

13) Peer-to-peer задачи

Норберт Винер, създателят на кибернетиката, вярваше, че информацията има уникални характеристики и не може да бъде приписана нито на енергия, нито на материя. Специалният статут на информацията като явление е породил множество дефиниции.

В речника на ISO/IEC 2382:2015 " Информационни технологии” се дава следното тълкуване:

Информация (в областта на обработката на информация)- всякакви данни, представени в електронен вид, написани на хартия, изразени на среща или в друг носител, използван от финансова институция за вземане на решения, движение Париопределяне на проценти, отпускане на заеми, обработка на транзакции и др., включително софтуерни компоненти на системата за обработка.

За да се развие концепцията за информационна сигурност (IS), информацията се разбира като информация, която е налична за събиране, съхранение, обработка (редактиране, трансформиране), използване и трансфер различни начини, включително в компютърни мрежии други информационни системи.

Такава информация е с висока стойност и може да стане обект на посегателство от трети страни. Стремежът да се защити информацията от заплахи е в основата на създаването на системи за информационна сигурност.

Правно основание

През декември 2017 г. в Русия беше приета Доктрина за информационна сигурност. В документа информационната сигурност се определя като състояние на защита на националните интереси в информационната сфера. Под национален интересв този случай се разбира съвкупността от интереси на обществото, индивида и държавата, всяка група интереси е необходима за стабилното функциониране на обществото.

Доктрината е концептуален документ. Правните отношения, свързани с осигуряването на информационна сигурност, се регулират от федералните закони „За държавната тайна“, „За информацията“, „За защита на личните данни“ и други. Въз основа на основните нормативни актове се разработват правителствени постановления и ведомствени нормативни актове по отделни въпроси на защитата на информацията.

Определение за информационна сигурност

Преди да се разработи стратегия за информационна сигурност, е необходимо да се приеме основна дефиниция на самата концепция, която ще позволи използването на определен набор от методи и методи за защита.

Практиците в индустрията предлагат да се разбира информационната сигурност като стабилно състояние на защита на информацията, нейните носители и инфраструктура, което гарантира целостта и стабилността на свързаните с информацията процеси срещу умишлени или непреднамерени въздействия от естествен и изкуствен характер. Въздействията се класифицират като заплахи за ИБ, които могат да причинят щети на субектите на информационните отношения.

По този начин информационната сигурност ще се разбира като набор от правни, административни, организационни и технически мерки, насочени към предотвратяване на реални или предполагаеми заплахи за информационната сигурност, както и към премахване на последствията от инциденти. Непрекъснатостта на процеса на защита на информацията трябва да гарантира борбата срещу заплахите на всички етапи от информационния цикъл: в процеса на събиране, съхранение, обработка, използване и предаване на информация.

Информационната сигурност в този смисъл се превръща в една от характеристиките на производителността на системата. Във всеки момент системата трябва да има измеримо ниво на сигурност, а осигуряването на сигурността на системата трябва да бъде непрекъснат процес, който се извършва през всички времеви интервали през целия живот на системата.

Инфографиката използва данни от нашите собствениSearchInform.

В теорията на информационната сигурност субектите на ИС се разбират като собственици и потребители на информация и потребители не само на постоянна основа (служители), но и потребители, които имат достъп до бази данни в изолирани случаи, например държавни агенции, изискващи информация. В редица случаи, например в стандартите за сигурност на банковата информация, собствениците на информация включват акционери - юридически лица, които притежават определени данни.

Поддържащата инфраструктура, от гледна точка на основите на информационната сигурност, включва компютри, мрежи, телекомуникационно оборудване, помещения, системи за поддържане на живота и персонал. Когато се анализира сигурността, е необходимо да се проучат всички елементи на системите, като се обърне специално внимание на персонала като носител на повечето вътрешни заплахи.

За управление на информационната сигурност и оценка на щетите се използва характеристика за приемливост, като по този начин щетите се определят като приемливи или неприемливи. Полезно е всяка компания да одобри свои собствени критерии за приемане на щети в парично изражение или, например, под формата на приемливо увреждане на репутацията. В публичните институции могат да бъдат приети други характеристики, например въздействие върху процеса на управление или отразяване на степента на увреждане на живота и здравето на гражданите. Критериите за същественост, важност и стойност на информацията могат да се променят по време на жизнения цикъл на информационния масив, следователно те трябва да бъдат прегледани своевременно.

информационна заплаха в тесен смисълпризнава се обективната възможност за въздействие върху обекта на защита, което може да доведе до изтичане, кражба, разкриване или разпространение на информация. В по-широк смисъл заплахите за информационната сигурност ще включват целенасочени информационни въздействия, чиято цел е да причинят щети на държавата, организацията или индивида. Такива заплахи включват, например, клевета, умишлено невярно представяне, некоректна реклама.

Три основни въпроса на концепцията за информационна сигурност за всяка организация

Какво да защитим?

Какви видове заплахи преобладават: външни или вътрешни?

Как да се защитим, с какви методи и средства?

Система за информационна сигурност

Система за информационна сигурност на фирма - юридическо лицевключва три групи основни понятия: цялостност, наличност и поверителност. Под всяко има концепции с много характеристики.

Под интегритетсе отнася до устойчивостта на бази данни, други информационни масиви срещу случайно или умишлено унищожаване, неразрешени промени. Концепцията за почтеност може да се разглежда като:

• статичен, изразяващо се в неизменност, автентичност на информационните обекти спрямо тези обекти, които са създадени по конкретно техническо задание и съдържат количеството информация, необходимо на потребителите за основните им дейности, в необходимата конфигурация и последователност;
• динамичен, което предполага правилното изпълнение на сложни действия или транзакции, които не увреждат безопасността на информацията.

За контрол на динамичната цялост се използват специални технически инструменти, които анализират потока от информация, например финансова, и идентифицират случаи на кражба, дублиране, пренасочване и пренареждане на съобщения. Почтеността като основна характеристика е необходима, когато решенията за предприемане на действия се вземат на базата на постъпваща или налична информация. Нарушаването на реда на командите или последователността от действия може да причини големи щети в случай на описание на технологични процеси, програмни кодове и други подобни ситуации.

Наличносте свойство, което позволява на упълномощени субекти да имат достъп или да обменят данни, които ги интересуват. Основното изискване за легитимиране или упълномощаване на субектите прави възможно създаването на различни нива на достъп. Неспособността на системата да предостави информация се превръща в проблем за всяка организация или потребителска група. Пример за това е недостъпността на уебсайтове за обществени услуги в случай на повреда на системата, което лишава много потребители от възможността да получават необходими услугиили информация.

Конфиденциалностозначава свойството на информацията да бъде достъпна за тези потребители: субекти и процеси, за които първоначално е разрешен достъп. Повечето компании и организации възприемат поверителността като ключов елемент на информационната сигурност, но на практика е трудно тя да се прилага напълно. Не всички данни за съществуващите канали за изтичане на информация са достъпни за авторите на концепции за информационна сигурност и много технически средства за защита, включително криптографски, не могат да бъдат закупени свободно, в някои случаи оборотът е ограничен.

Еднаквите свойства на информационната сигурност имат различни стойности за потребителите, оттук и двете крайни категории в развитието на концепциите за защита на данните. За компании или организации, свързани с държавна тайна, ключов параметърстава поверителността, за обществените услуги или образователните институции най-важният параметър е достъпността.

Дайджест за информационна сигурност

Обекти на защита в концепциите за ИС

Различието в субектите поражда различия в обектите на защита. Основни групи защитени обекти:

• информационни ресурси от всякакъв вид (ресурсът е материален обект: HDD, друг носител, документ с данни и подробности, които помагат за идентифицирането му и приписването му на определена група субекти);
• правата на гражданите, организациите и държавата на достъп до информация, възможността да я получат в рамките на закона; достъпът може да бъде ограничен само от регулаторни правни актове, организирането на всякакви бариери, които нарушават правата на човека, е неприемливо;
• система за създаване, използване и разпространение на данни (системи и технологии, архиви, библиотеки, регламенти);
• система за формиране на обществено съзнание (медии, интернет ресурси, социални институции, образователни институции).

Всеки обект включва специална система от мерки за защита срещу заплахи за информационната сигурност и обществения ред. Осигуряването на информационна сигурност във всеки случай трябва да се основава на систематичен подход, който отчита спецификата на обекта.

Категории и медии

Руската правна система, правоприлагащата практика и установените социални отношения класифицират информацията според критериите за достъпност. Това ви позволява да изясните основните параметри, необходими за гарантиране на информационната сигурност:

• информация, достъпът до която е ограничен въз основа на законови изисквания (държавна тайна, търговска тайна, лични данни);
• информация в свободен достъп;
• публична информация, която се предоставя при определени условия: платена информация или данни, за които се изисква достъп, например билет за библиотека;
• опасна, вредна, невярна и други видове информация, чието разпространение и разпространение е ограничено или от изискванията на законите, или от корпоративните стандарти.

Информацията от първата група има два режима на защита. държавна тайна, според закона това е защитена от държавата информация, чието свободно разпространение може да навреди на сигурността на страната. Това са данни в областта на военната, външната политика, разузнаването, контраразузнаването и стопанска дейностдържави. Собственикът на тази група данни е директно държавата. Органите, упълномощени да предприемат мерки за защита на държавната тайна, са Министерството на отбраната, Федералната служба за сигурност (ФСБ), Службата за външно разузнаване, Федерална службаза технически и експортен контрол (FSTEC).

Конфиденциална информация- по-многостранен обект на регулиране. Списъкът с информация, която може да представлява поверителна информация, се съдържа в президентски указ № 188 „За одобряване на списъка с поверителна информация“. Това са лични данни; тайна на следствието и съдебното производство; служебна тайна; професионална тайна (лекарска, нотариална, адвокатска); търговска тайна; информация за изобретения и полезни модели; информация, съдържаща се в лични делаосъдени, както и информация за изпълнението на съдебните актове.

Личните данни съществуват в отворен и поверителен режим. Частта от личните данни, която е отворена и достъпна за всички потребители, включва собствено име, фамилия, бащино име. Съгласно Федерален закон-152 „За личните данни“, субектите на лични данни имат право на:

• върху информационното самоопределение;
• за достъп до лични лични данни и извършване на промени в тях;
• да блокира лични данни и достъп до тях;
• да обжалвам неправомерно поведениетрети страни, ангажирани във връзка с личните данни;
• за обезщетение за вреди.

Правото на е залегнало в разпоредбите на държавните органи, федералните закони, лицензите за работа с лични данни, издадени от Roskomnadzor или FSTEC. Компаниите, които професионално работят с лични данни на широк кръг хора, например телекомуникационни оператори, трябва да влязат в регистъра, поддържан от Roskomnadzor.

Отделен обект в теорията и практиката на информационната сигурност са информационните носители, достъпът до които е отворен и затворен. При разработването на концепцията за IS методите за защита се избират в зависимост от вида на носителя. Основни носители на информация:

• отпечатани и електронни средствамедии, социална медия, други ресурси в Интернет;
• служители на организацията, които имат достъп до информация въз основа на техните приятелски, семейни, професионални връзки;
• средства за комуникация, които предават или съхраняват информация: телефони, автоматични телефонни централи, други телекомуникационни съоръжения;
• документи от всякакъв вид: лични, официални, държавни;
• софтуеркато независим информационен обект, особено ако версията му е финализирана специално за конкретна компания;
• електронни носители за съхранение, които обработват данни автоматично.

За целите на разработването на концепции за информационна сигурност, инструментите за информационна сигурност обикновено се разделят на регулаторни (неформални) и технически (официални).

Неформалните средства за защита са документи, правила, събития, формалните са специални технически средства и софтуер. Разграничението помага да се разпределят областите на отговорност при създаването на системи за информационна сигурност: с общо управление на защитата административният персонал прилага регулаторни методи, а ИТ специалистите, съответно, технически.

Основите на информационната сигурност предполагат разделяне на правомощията не само по отношение на използването на информация, но и по отношение на работата с нейната защита. Това разделение на властите изисква няколко нива на контрол.

Официални средства за защита

Широка гама от технически средства за защита на информационната сигурност включва:

Физически средства за защита.Това са механични, електрически, електронни механизми, които работят независимо от информационните системи и създават бариери за достъп до тях. Брави, включително електронни, екрани, щори са предназначени да създават пречки за контакт на дестабилизиращи фактори със системите. Групата се допълва от системи за сигурност, например видеокамери, видеорекордери, сензори, които отчитат движение или превишаване на степента електромагнитно излъчванев областта на местоположението на технически средства за премахване на информация, вградени устройства.

Хардуерна защита.Това са електрически, електронни, оптични, лазерни и други устройства, които се вграждат в информационни и телекомуникационни системи. Преди въвеждането на хардуер в информационните системи трябва да се провери съвместимостта.

Софтуер - това са прости и системни, сложни програми, предназначени да решават конкретни и сложни задачи, свързани с осигуряването на информационна сигурност. Пример за комплексни решения са и: първите служат за предотвратяване на изтичане, преформатиране на информация и пренасочване на информационните потоци, вторите - осигуряват защита срещу инциденти в областта на информационната сигурност. Софтуерните инструменти са взискателни към мощността на хардуерните устройства и трябва да се осигурят допълнителни резерви по време на инсталацията.

може да се тества безплатно за 30 дни. Преди инсталирането на системата инженерите на SearchInform ще извършат технически одит във фирмата на клиента.

ДА СЕ специфични средстваинформационната сигурност включва различни криптографски алгоритми, които ви позволяват да шифровате информация на диска и да я пренасочвате през външни комуникационни канали. Преобразуването на информация може да се извърши с помощта на софтуерни и хардуерни методи, които работят в корпоративните информационни системи.

Всички средства, които гарантират сигурността на информацията, трябва да се използват заедно, след предварителна оценка на стойността на информацията и сравняването й с разходите за ресурси, изразходвани за защита. Следователно предложенията за използване на средствата трябва да бъдат формулирани още на етапа на разработване на системите и одобрението трябва да се направи на нивото на управление, което отговаря за одобряването на бюджетите.

За да се гарантира безопасността, е необходимо да се наблюдават всички съвременни разработки, софтуерна и хардуерна защита, заплахи и навременни промени в собствените си системи за защита срещу неоторизиран достъп. Само адекватността и бързата реакция на заплахите ще помогнат за постигане на високо ниво на конфиденциалност в работата на компанията.

Първото издание беше пуснато през 2018 г. Това уникална програмасъставя психологически портрети на служителите и ги разпределя по рискови групи. Този подход за осигуряване на информационна сигурност ви позволява да предвидите възможни инциденти и да предприемете действия предварително.

Неформални средства за защита

Неформалните средства за защита се групират в нормативни, административни и морално-етични. На първо ниво на защита се намират регулаторни инструменти, които регулират информационната сигурност като процес в дейността на организацията.

• Регулаторни средства

В световната практика, когато разработват регулаторни инструменти, те се ръководят от стандартите за информационна сигурност, основният е ISO / IEC 27000. Стандартът е създаден от две организации:

• ISO - Международна комисия по стандартизация, която разработва и утвърждава повечето от международно признатите методи за сертифициране на качеството на производствените и управленските процеси;
• IEC - Международната енергийна комисия, която въведе своето разбиране за системите за информационна сигурност, средствата и методите за нейното осигуряване в стандарта

Текущата версия на ISO/IEC 27000-2016 предлага готови стандарти и доказани методологии, необходими за внедряването на информационна сигурност. Според авторите на методите основата на информационната сигурност е систематичното и последователно изпълнение на всички етапи от разработката до последващия контрол.

За да получите сертификат, който потвърждава съответствието със стандартите за информационна сигурност, е необходимо да приложите всички препоръчани практики изцяло. Ако няма нужда от получаване на сертификат, е позволено да вземете някое от повече ранни версиистандарт, като се започне с ISO / IEC 27000-2002 или руски GOSTs, които имат консултативен характер.

Въз основа на резултатите от проучването на стандарта се разработват два документа, които се отнасят до информационната сигурност. Основната, но по-малко формална, е концепцията за информационна сигурност на предприятието, която определя мерките и методите за внедряване на система за информационна сигурност за информационните системи на организацията. Вторият документ, който всички служители на компанията са длъжни да спазват, е наредбата за информационна сигурност, одобрена на ниво съвет на директорите или изпълнителен орган.

В допълнение към позицията на фирмено ниво трябва да се разработят списъци с информация, представляваща търговска тайна, приложения към трудовите договори, определящи отговорността за разкриване на поверителни данни, други стандарти и методи. Вътрешните правила и разпоредби трябва да съдържат механизми за прилагане и отговорности. Най-често мерките са дисциплинарни, като нарушителят трябва да е подготвен за факта, че нарушението на режима на търговската тайна ще бъде последвано от значителни санкции, чак до уволнение.

• Организационни и административни мерки

Като част от административната дейност по защита на информационната сигурност има място за творчество на служителите по сигурността. Това са архитектурни и планови решения, които ви позволяват да защитите заседателните зали и офисите на ръководителите от подслушване и установяване на различни нива на достъп до информация. Важни организационни мерки ще бъдат сертифициране на дейността на дружеството по стандартите ISO/IEC 27000, сертифициране на отделни хардуерни и софтуерни системи, сертифициране на субекти и обекти за съответствие с необходимите изисквания за сигурност и получаване на лицензи, необходими за работа със защитени информационни масиви.

От гледна точка на регулиране дейността на персонала ще бъде важно да се създаде система от заявки за достъп до Интернет, външни електронна поща, други ресурси. Отделен елемент ще бъде получаването на електронен цифров подписза подобряване на сигурността на финансова и друга информация, която се предава на правителствени агенции чрез канали за електронна поща.

• Морално-етични мерки

Моралните и етични мерки определят личното отношение на лицето към поверителна информация или информация с ограничено разпространение. Повишаването на нивото на знания на служителите относно въздействието на заплахите върху дейността на компанията влияе върху степента на съзнание и отговорност на служителите. За борба с нарушенията на информационния режим, включително например предаване на пароли, небрежно боравене с медии, разпространение на поверителни данни в лични разговори, е необходимо да се подчертае личната съвест на служителя. Ще бъде полезно да се установят показатели за ефективност на персонала, които ще зависят от отношението към корпоративна система IB.