"Інформацiйна безпека економiчних систем"
Способи i засоби захисту iнформацiї в АІС
Досвiд експлуатацiї iснуючих комп'ютерних систем обробки iнформацiї показує, що проблема забезпечення безпеки ще далека вiд свого рiшення, а пропонованi виробниками рiзних систем засоби захисту сильно розрiзняються як за важливiсть справ i використовуваним методам, так i за досягнутими результатами.
Полiтика безпеки – сукупнiсть норм i правил, що забезпечують ефективний захист системи обробки iнформацiї вiд заданої множини загроз.
Модель безпеки – формальне подання полiтики безпеки.
Дискрецiйне, або довiльне, управлiння доступом – управлiння доступом, засноване на сукупностi правил надання доступу, визначених на множинi атрибутiв безпеки суб'єктiв i об'єктiв, наприклад, в залежностi вiд грифа секретностi iнформацiї та рiвня допуску користувача.
Ядро безпеки – сукупнiсть апаратних, програмних i спецiальних компонентiв обчислювальної системи (ОС), що реалiзують функцiї захисту та забезпечення безпеки.
Ідентифiкацiя – процес розпiзнавання сутностей шляхом присвоєння їм унiкальних мiток (iдентифiкаторiв).
Аутентифiкацiя – перевiрка достовiрностi iдентифiкаторiв сутностей за допомогою рiзних (переважно криптографiчних) методiв.
Адекватнiсть – показник реально забезпечуваного рiвня безпеки, що вiдображає ступiнь ефективностi та надiйностi реалiзованих засобiв захисту та їх вiдповiдностi поставленим завданням (в бiльшостi випадкiв це завдання реалiзацiї полiтики безпеки).
Квалiфiкацiйний аналiз, квалiфiкацiя рiвня безпеки-аналiз ВС з метою визначення рiвня її захищеностi i вiдповiдностi вимогам безпеки на основi критерiїв стандарту безпеки.
Таксономiя – наука про систематизацiї та класифiкацiї складноорганiзованих об'єктiв i явищ, що мають iєрархiчну будову.
Таксономiя заснована на декомпозицiї явищ та поетапному уточнення властивостей об'єктiв (iєрархiя будується зверху вниз).
Пряма взаємодiя – принцип органiзацiї iнформацiйної взаємодiї (як правило, мiж користувачем i системою), який гарантує, що передана iнформацiя не пiддається перехопленню чи спотворення.
Захищена система обробки iнформацiї для певних умов експлуатацiї забезпечує безпеку (доступнiсть, конфiденцiйнiсть i цiлiснiсть) оброблюваної iнформацiї i пiдтримує свою працездатнiсть в умовах впливу на неї заданої множини загроз.
Захищена система обробки iнформацiї
Пiд захищеної системою обробки iнформацiї пропонується розумiти систему, яка:
• здiйснює автоматизацiю деякого процесу обробки конфiденцiйної iнформацiї, включаючи всi аспекти цього процесу, пов'язанi з забезпеченням безпеки оброблюваної iнформацiї;
• успiшно протистоїть загрозам безпеки, що дiють в певному середовищi;
• вiдповiдає вимогам та критерiям стандартiв iнформацiйної безпеки.
Звiдси випливають такi завдання, якi необхiдно i достатньо вирiшити, для того щоб створити захищену систему обробки iнформацiї, а саме:
• в ходi автоматизацiї процесу обробки конфiденцiйної iнформацiї реалiзувати всi аспекти цього процесу, пов'язанi з забезпеченням безпеки оброблюваної iнформацiї;
• забезпечити протидiю загрозам безпецi, що дiють у середовищi експлуатацiї захищеної системи;
• реалiзувати необхiднi вимоги вiдповiдних стандартiв iнформацiйної безпеки.
Загрози безпецi комп'ютерних систем
Випадковi загрози виникають незалежно вiд волi i бажання людей.
носiїв iнформацiї, засобiв обробки та передачi даних, фiзичних лiнiй зв'язку.
Навмиснi загрози на вiдмiну вiд випадкових можуть бути створенi тiльки людьми та спрямованi саме на дезорганiзацiю комп'ютерної системи.
Передумови кризової ситуацiї забезпечення безпеки iнформацiйних систем
• сучаснi комп'ютери за останнi роки набули великої обчислювальну потужнiсть, але одночасно з цим стали набагато простiше в експлуатацiї;
машин i iнтерпретаторiв;
• невiдповiднiсть бурхливого розвитку засобiв обробки iнформацiї та повiльної опрацювання теорiї iнформацiйної безпеки призвело до появи iстотного розриву мiж теоретичними моделями безпеки, що оперують абстрактними поняттями типу «об'єкт», «суб'єкт» i реальними категорiями сучасних ІТ;
• необхiднiсть створення глобального iнформацiйного простору та забезпечення безпеки протiкають в ньому процесiв зажадали розробки мiжнародних стандартiв, дотримання яких може забезпечити необхiдний рiвень гарантiї забезпечення захисту.
Внаслiдок сукупної дiї всiх перерахованих факторiв перед розробниками сучасних ІС, призначених для обробки конфiденцiйної iнформацiї, стоять наступнi завдання, що вимагають негайного i ефективного вирiшення:
• забезпечення безпеки нових типiв iнформацiйних ресурсiв;
• органiзацiя довiреної взаємодiї сторiн (взаємної iдентифiкацiї / аутентифiкацiї) в iнформацiйному пространстве;
• захист вiд автоматичних засобiв нападу;
Пiд захистом iнформацiї в комп'ютерних системах прийнято розумiти створення i пiдтримку органiзованої сукупностi засобiв, способiв, методiв i заходiв, призначених для попередження спотворення, знищення i несанкцiонованого використання iнформацiї, що зберiгається та обробляється в електронному виглядi.
Поряд з визначенням поняття «захист iнформацiї» важливим питанням є класифiкацiя наявних способiв i засобiв захисту, якi дозволяють перешкодити забороненого (незаконному) її використання.
Способи захисту iнформацiї в комп'ютерних мережах та засоби, якими вони можуть бути реалiзованi
Розглянемо кожен iз способiв.
Перешкоди передбачають створення перешкод, фiзично не допускають до iнформацiї.
Управлiння доступом – спосiб захисту iнформацiї за рахунок регулювання використання всiх ресурсiв системи (технiчних, програмних, тимчасових i iн.)
Маскування iнформацiї, як правило, здiйснюється шляхом її криптографiчного закриття.
Регламентацiя полягає у реалiзацiї системи органiзацiйних заходiв, якi визначають всi сторони обробки iнформацiї.
Примус змушує дотримуватись певних правил роботи з iнформацiєю пiд загрозою матерiальної, адмiнiстративної чи кримiнальної вiдповiдальностi.
Спонукання засноване на використаннi дiєвостi морально-етичних категорiй (наприклад, авторитету чи колективної вiдповiдальностi).
Засоби захисту iнформацiї, що зберiгається та обробляється в електронному виглядi, подiляють на три самостiйнi групи: технiчнi, програмнi та соцiально-правовi.
У свою чергу, серед технiчних засобiв захисту видiляють фiзичнi та апаратнi.
До фiзичних засобiв захисту вiдносяться:
• механiчнi перешкоди, турнiкети (загородження); спецiальне склiння;
• механiчнi та електромеханiчнi замки, в тому числi з дистанцiйним управлiнням;
• замки з кодовим набором;
• теле-i фотосистеми спостереження i реєстрацiї;
• СВЧ, ультразвуковi, радiолокацiйнi, лазернi, акустичнi системи та iн;
• пристрої маркування;
• пристрої з iдентифiкацiйними картками;
• пристрої iдентифiкацiї за фiзичними ознаками;
• системи фiзичного контролю доступу;
• системи охоронного телебачення та охоронної сигналiзацiї;
• системи пожежегасiння та оповiщення про пожежу та iн
• пристрої для вимiрювання iндивiдуальних характеристик людини (наприклад, кольору i будови райдужної оболонки очей, овалу обличчя тощо);
• схеми контролю кордонiв адреси iмен для визначення законностi звернення до вiдповiдних полiв (областях) пам'ятi i окремими програмами;
• схеми переривання передачi iнформацiї в лiнiї зв'язку з метою перiодичного контролю адрес видачi даних;
• екранування ЕОМ;
• установка генераторiв перешкод i iн
Програмнi засоби захисту даних в даний час набули значного розвитку. За цiльовим призначенням їх можна роздiлити на декiлька великих класiв (груп):
• програми iдентифiкацiї користувачiв;
• програми визначення прав (повноважень) користувачiв (технiчних пристроїв);
• програми реєстрацiї роботи технiчних засобiв i користувачiв (ведення так званого системного журналу);
• програми знищення (затирання) iнформацiї пiсля розв'язання вiдповiдних задач або при порушеннi користувачем певних правил обробки iнформацiї;
Засоби захисту в економiчних ІС, у тому числi банкiвських системах, дозволяють реалiзувати наступнi функцiї захисту даних:
• упiзнання по iдентифiкуючої iнформацiї користувачiв i елементiв ІС, дозвiл на цiй основi роботи з iнформацiєю на певному рiвнi;
• ведення Багаторозмiрнi таблиць профiлiв доступу користувачiв до даних;
• управлiння доступом за профiлями повноважень;
• знищення тимчасово фiксованих областей iнформацiї при завершеннi її обробки;
• формування протоколiв звернень до захищуваних даними з iдентифiкацiєю даних про користувача i тимчасових характеристик;
• програмна пiдтримка роботи термiналу особи, яка вiдповiдає за безпеку iнформацiї;
• подача сигналiв при порушеннi правил роботи з системою або правил обробки iнформацiї;
• пiдготовка звiтiв про роботу з рiзними даними – ведення докладних протоколiв роботи та iн
заснованi на попередньому розрахунку спецiальних контрольних кодiв (по дiлянках контрольованих програм) та їх порiвняннi з кодами, якi отримуються в результатi виконання завдання.
Органiзацiйнi та законодавчi засоби захисту iнформацiї передбачають створення системи нормативно-правових документiв, що регламентують порядок розробки, впровадження та експлуатацiї iнформацiї, а також вiдповiдальнiсть посадових та юридичних осiб за порушення встановлених правил, законiв, наказiв, стандартiв i т. п.
Морально-етичнi засоби захисту
iнформацiї заснованi на використаннi моральних та етичних норм, якi панують у суспiльствi, i вимагають вiд керiвникiв усiх рангiв особливої турботи про створення в колективах здорової моральної атмосфери.
Шифрування iнформацiї
Специфiчним способом захисту iнформацiї можна назвати шифрування. Шифрування iнформацiї, що зберiгається та обробляється в електронному виглядi, – це нестандартна кодування даних, що виключає або серйозно ускладнює можливiсть їх прочитання (одержання у вiдкритому виглядi) без вiдповiдного програмного або апаратного забезпечення i, як правило, вимагає для вiдкриття даних пред'явлення строго певного ключа (пароля, карти, вiдбитка i т. д.). Шифрування умовно об'єднує чотири аспекти захисту iнформацiї: керування доступом, реєстрацiю i облiк, криптографiчний захист, забезпечення цiлiсностi iнформацiї. Воно включає в себе безпосереднє шифрування iнформацiї, електронний пiдпис i контроль доступу до iнформацiї.
Захист даних за допомогою електронного пiдпису.
Електронний пiдпис – вставка в данi (додавання) фрагмента чужорiдної зашифрованої iнформацiї. Застосовується для iдентифiкацiї автентичностi переданих через третi особи документiв i довiльних даних.
Сама передана iнформацiя при цьому нiяк не захищається, тобто залишається вiдкритою i доступною для ознайомлення тим особам, через яких вона передається (наприклад, адмiнiстраторам мережi та iнспекторам поштових вузлiв електронного зв'язку).
Шифрування для забезпечення контролю прав доступу.
них вiдношення i не мають спецiального намiру отримати до них доступ або не володiють достатньою для цього квалiфiкацiєю.
З iншого боку, однiєю з найбiльш поширених причин втрати iнформацiї були i залишаються комп'ютернi вiруси.
користувача дiї на комп'ютерi.
Життєвий цикл вiрусу
Життєвий цикл вiрусу включає чотири основних етапи:
• впровадження;
• деструкцiя (спотворення та / або знищення iнформацiї).
Боротьба з вiрусами ведеться шляхом застосування програм-антивiрусiв. Антивiрус – програма, що здiйснює виявлення чи виявлення та видалення вiрусу. Найбiльш популярними i ефективними антивiрусними програмами є антивiруснi сканери.
На закiнчення пiдкреслимо два найважливiших обставини:
по-перше, захист iнформацiї вiд несанкцiонованих дiй ефективна тiльки тодi, коли комплексно (системно) застосовуються всi вiдомi способи i засоби,
по-друге, захист повинен здiйснюватися безперервно.
Лiтература
1. Автоматизированные информационные технологии в экономике: учебник. Под ред. проф. Титоренко Г. А. – М.: ЮНИТИ, 2000. – 400 с.
2. Информационные системы в экономике: учебное пособие. Под ред. В. Б. Уткина, Г. В. Балдина. – М.: Академия, 2006. – 288 с.
3. Информационные технологии в экономике: учебное пособие. Под ред. Ю. Ф. Симионова. – Ростов-на-Дону: Феникс, 2003. – 352 с.
4. Мишенин А. И. Теория экономических информационных систем: учебник. – М.: Финансы и статистика, 1999. – 240 с.
5. Матвеев Л. А. Компьютерная поддержка решений: учебник. – СПБ.: Специальная литература, 1998. – 472.
7. Петров В. Н. Информационные системы / учебник для вузов. – СПб. -2002. – 186 с.
| 
