Файл: Программные и аппаратные средства ограничения доступа к ресурсам ПК и сетей (Понятие защита информации).pdf

Сформулируем типовые требования к документационному обеспечению технологии защиты информации на предприятии в разрезе типовых угроз.

Таблица 1. Типовые требования к документационному обеспечению защиты информации

Также организационное обеспечение защиты информации включает в себя комплекс мероприятий по защите от несанкционированного доступа.

Средства вычислительной техники, с использованием которых производится обработка конфиденциальной информации, подлежат особому порядку учета и обращения.

Приведем требования организации защиты от НСД согласно документам ФСТЭК.

• При приобретении вычислительной техники в комплекте (системный блок, монитор, клавиатура с «мышью»), предназначенной для обработки и хранения конфиденциальной информации (КИ), каждому узлу, содержащему устройство хранения КИ, присваивается единый инвентарный номер.
• Ответственный за защиту информации производит учет СВТ предназначенных для работы с КИ в «Журнале учета СВТ, предназначенных для работы с конфиденциальной информацией». Данный журнал включается в номенклатуру дел предприятия. Все указанные СВТ специалист подразделения по защите информации опечатывает специальным защитным знаком (СЗЗ).
• СЗЗ наклеиваются на винты крепежа корпуса или на стыки сдвижных крышек и корпусов СВТ на предварительно обезжиренную (любой спиртосодержащей жидкостью) поверхность. Количество СЗЗ опечатывающих конкретное устройство зависит от его конструктивных особенностей (минимум 2 СЗЗ) и должно обеспечить невозможность вскрытия устройства без нарушения целостности СЗЗ.
• Номер СЗЗ записывается в «Журнале учета СВТ, предназначенных для работы с конфиденциальной информацией».
• СВТ предназначенные для работы с КИ защищаются от НСД с помощью программных и аппаратных средств обеспечения доступа к защищённой информации (BioLink, iKey 3000, стандартные системные средства аутентификации), в пределах выделяемых средств или централизовано поставляемых средств защиты от НСД.
• Доступ к информационным ресурсам СВТ предназначенных для работы с КИ разрешается в соответствии с инструкцией по ведению системы разграничения доступа к информационным ресурсам в ЛВС, содержащим КИ.
• Перед проведением планового или внепланового обслуживания СВТ связанного с вскрытием корпуса аппаратной части, а значит и нарушением СЗЗ, специалист производящий работы, обязан проинформировать ответственного за защиту информации о факте вскрытия СВТ. Ответственный за защиту информации факт вскрытия СВТ фиксирует в «Журнале учета СВТ, предназначенных для работы с конфиденциальной информацией».
• Факт выхода из строя СВТ содержащего КИ, как в период гарантийной, так и послегарантийной их эксплуатации, устанавливается постоянно действующей экспертной комиссией (ЭК), назначаемой руководителем подразделения, для определения характера и причины неисправности. В состав экспертной комиссии обязательно включают: IT-специалиста, ответственного по защите информации. Акт технической экспертизы составляется членами экспертной комиссии по форме. При вскрытии СВТ, находящихся в гарантийной эксплуатации, гарантийные организации уведомляются о факте вскрытия.
• Акт технической экспертизы составляется в одном экземпляре и передаётся в отдел по защите информации.
• При выходе из строя СВТ содержащего КИ, при исправном НЖМД, НЖМД извлекается из компьютера в установленном порядке и после этого компьютер передают в гарантийный или послегарантийный ремонт.
• В случае выхода из строя НЖМД находящегося в гарантийной эксплуатации, НЖМД передаётся на ремонт в IT подразделение предприятия.
• Разрешение на уничтожение неисправного негарантийного НЖМД дается руководителем подразделения предприятия на основании служебной записки и акта технической экспертизы экспертной комиссии.
• Неисправный негарантийный НЖМД подлежит уничтожению путем механической разборки или же информация, записанная на нем уничтожается в устройствах гарантированного уничтожения информации типа «Стек-НС1в».
• Уничтожение неисправного НЖМД производится ответственным за защиту информации и списывается в соответствии с положением по списанию материальных средств.
• После уничтожения неисправного НЖМД ответственный за защиту информации составляет акт (приложение 5) в двух экземплярах. Акт является основанием для списания НЖМД с материального учета, а также с карточек учета средств вычислительной техники и является основанием для получения НЖМД из резерва обменного фонда или закупки нового. Один экземпляр акта передается в подразделение учета материальных ценностей. Второй экземпляр акта остается в подразделении по принадлежности НЖМД.
• Взамен неисправного НЖМД устанавливается диск из обменного фонда с обязательной регистрацией в «Журнале учета СВТ, предназначенных для работы с конфиденциальной информацией». [6]

Выполнение требований организационного обеспечения защиты информации повышает ответственность сотрудников, работающих с ресурсами, содержащими конфиденциальную информацию. Требования организационного обеспечения защиты информации должны соответствовать законодательству Российской Федерации в данной области.

ГЛАВА 2. Проблемы защиты информации в государственных органах

2.1 Система защиты информации

Система защиты информации - это совокупность специальных правовых и административных мер, мероприятий, организационного характера, различных средств защиты (физических и технических), а также персонала, который предназначен для обеспечения информационной безопасности. Основной идеей защиты информации как общественного явления является установление и реализация организационных, морально-этических и нормативно правовых взаимоотношений между людьми, которые обеспечивают сбалансирование интересов человека, государства и общественности в сфере информации [9]

Правовыми мерами защиты информации являются действующие в стране законы, указы и иные нормативные акты, которые регламентируют правила обращения с информацией, а также ответственность в случаях их нарушения [8].

Организационными (административными) мерами защиты являются меры, которые регламентируют процессы функционирования автоматизированных систем обработки экономической информации (АСОЭИ), использование ресурсов данного вида информации, деятельность специального персонала, в том числе и порядок взаимодействия пользователей информационной системой так, чтобы можно было максимально затруднить либо вовсе исключить возможность для реализации угроз безопасности информации.

Под информационной безопасностью государственных учреждений Российской Федерации (ее информационной системы) понимается техника ее защиты от преднамеренного либо случайного и несанкционированного доступа, следовательно, тем самым нанесения вреда нормальному процессу документооборота в государственных учреждениях и обмена данными в информационной системе, в том числе хищения, модификации или уничтожения информации [6].

Иными словами, проблемы защиты информации в информационных системах необходимо решать для того, чтобы можно было изолировать нормально функционирующую информационную систему государственного учреждения от любых несанкционированных управляющих воздействий, доступа каких-либо посторонних лиц, либо программ к данным для хищений.

Для осуществления защиты информации и компьютерной безопасности в государственных учреждениях наиболее актуальными считаются следующие нарушения:

1. конфиденциальности информации;
2. целостности информации;
3. работоспособности существующих информационно­вычислительных систем [3].

Основными направлениями исследований и разработок по защите информации, как в России, так и за рубежом, являются следующие:

• защита от любых несанкционированных действий и разграничение доступа к данным коллективного пользования в информационно­вычислительных системах;
• идентификация и аутентификация всех пользователей и технических средств (например, «цифровая» подпись);
• обеспечение защиты от появления какой-либо дезинформации;
• создание высокотехнического и надежного системного

программного обеспечения и использование международных,

национальных и корпоративных стандартов для обеспечения

безопасности данных;

• осуществление защиты информации в социальных и телекоммуникационных сетях;
• разработка правовых аспектов для компьютерной безопасности.

Из-за интенсивного развития телекоммуникационной инфраструктуры в Российской Федерации и ее интеграции в международные сети, особо важной считается проблема защиты информационных систем от компьютерных вирусов. Сетевые вирусы (то есть репликаторы) считаются особым классом вирусов, которые имеют логику, что обеспечивает их рассылку пользователям сети.

Защита информации в информационных системах от компьютерных вирусов предполагает средства защиты информации в сети, то есть программно аппаратные средства защиты информации, предотвращающие несанкционированное выполнение вредных программ, которые делают попытки завладения данными и высылка их злоумышленникам, или уничтожение информации базы данных. Однако, защита информации от вирусов не имеет возможности в полном объеме отражать атаки хакеров либо людей, именуемых компьютерными пиратами.

2.2 Защита государственной информации

Основная задача защиты информации от компьютерных вирусов - это усложнение либо создание невозможности для проникновения, как самих вирусов, так и хакеров к секретным. А, поскольку хакеры пытаются получать достоверные секретные данные с минимум затрат, то задачами защиты информации является стремление запутать злоумышленников (служба по защите информации может предоставлять им неверные данные), или изолировать базу данных по максимуму от внешнего несанкционированного вмешательства и т.п.

В настоящий момент наблюдается большая международная активность по вопросам стандартизации способов и методов по обеспечению безопасности данных в информационных системах.

Существуют четыре основных групп методов для обеспечения информационной безопасности:

1. Организационные методы.
2. Инженерно-технические методы.
3. Технические методы.
4. Программно-аппаратные методы.

Отличительной особенностью организационных методов является их ориентация на работу с персоналом, рассматривается выбор местоположения и размещения объектов, организация системы физической и пожарной безопасности, проведение контроля, а также возложение персональной ответственности за выполнение мер защиты.

Инженерно-технические методы - это построение инженерных сооружений и коммуникаций, которые учитывают требования безопасности.

Технические методы - это применение специальных технических средств для защиты информации и осуществления контроля обстановки. Данные методы могут дать значительный эффект только при устранении угроз, которые связаны с действиями криминогенных элементов по добыче информации какими-либо незаконными техническими средствами.

Программно-аппаратные методы - это методы, направленные на устранение угроз, которые непосредственным образом связанны с процессами обработки и передачи информации. Данную группу методов можно разделить на следующие подгруппы:

1. Аппаратные методы, к которым относятся разнообразные электронные, электронно-механические и электронно-оптические устройства. В настоящее время разработано значительное количество аппаратных средств, причем различного назначения, но наибольшее распространение получают такие, как специальные регистры для хранения реквизитов защиты, генераторы кодов, которые предназначены для автоматического генерирования идентифицирующего кода устройства, устройства для измерения индивидуальных характеристик людей (голоса, отпечатков пальцев) для их идентификации, специальные биты секретности, значение которых определяется уровнем секретности информации, схемы для прерывания передачи информации по линии связи для осуществления периодической проверки адресов выдачи