Виды СЗИ и их методы защиты информации

Средства защиты информации, или СЗИ обеспечивают защиту информации в информационных системах, по сути, представляющих собой совокупность хранимой в базах данных информации, информационных технологий, обеспечивающих ее обработку, и технических средств. Для современных информационных систем характерно использование различных аппаратно-программных платформ, территориальная распределённость компонентов, а также взаимодействие с открытыми сетями передачи данных. Основными задачами систем защиты является предотвращение утечки информации, обеспечение ограничения доступа к информации и ее фрагментация, а также защита от несанкционированного доступа, в том числе от попыток внешнего воздействия (физического взлома).

Методы защиты информации системой ЗИ могут быть различными. Для защиты информации могут использоваться методы криптографической защиты, например, с помощью симметричных и ассиметричных ключей, ведущих или не ведущих ключа. Прямое применение ключей может быть ограничено по ряду причин. Например, это может зависеть от производителя сервера.

Вторым методом защиты информации является разделение информации на части, чтобы обеспечить доступ к ним отдельных пользователей. Так для пользователей с определёнными полномочиями разрабатывается специальный пароль. В системе ЗИ необходимо учитывать различие прав доступа для различных пользователей. К недостаткам данного метода можно отнести его сложность и низкую степень реализации.

Также, одним из основных методов защиты информации, используемым в системах ЗИ, является децентрализация полномочий. Он может быть использован не только в СЗИ, но и в распределённых информационных системах, в которых для каждого пользователя создаётся свой файл конфигурации и/или определённый набор инструкций. Таким образом, пользователю на сервер устанавливается свой файл инициализации, свой набор правил и свои ключи. В этом методе решения задач ЗИ используется так называемая «обратная связь» для контроля исполнения правил и инструкций, то есть для получения обратной связи от разработчика и пользователей и исключения двоякого толкования и различных толкований одних и тех же инструкций.

Средства защиты от несанкционированного доступа (CЗИ от НСД) — это программные и/или аппаратные средства, позволяющие предотвратить попытки несанкционированного доступа, такие как неавторизованный физический доступ, доступ к файлам, хранящимся на компьютере, уничтожение конфиденциальных данных.

---

Функции СЗИ от НСД:

• 
  идентификация и аутентификация пользователей и устройств;
  
• 
  регистрация запуска (завершения) программ и процессов;
  
• 
  реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа;
  
• 
  управление информационными потоками между устройствами;
  
• 
  учет носителей информации и другие функции.
  

Существуют 5 видов защиты информации: правовая, организационная, программно-аппаратная, инженерно-техническая, криптографическая. В целом средства обеспечения защиты информации в части предотвращения преднамеренных действий в зависимости от способа реализации можно разделить на группы:

1. 
   Технические (аппаратные) средства.
   

Это различные по типу устройства (механические, электромеханические, электронные и др.), которые аппаратными средствами решают задачи защиты информации. Они либо препятствуют физическому проникновению, либо, если проникновение все же состоялось, блокирует доступ к информации, в том числе с помощью ее маскировки. Первую часть задачи решают замки, решетки на окнах, защитная сигнализация и др. Вторую — генераторы шума, сетевые фильтры, сканирующие радиоприемники и множество других устройств, «перекрывающих» потенциальные каналы утечки информации или позволяющих их обнаружить. Преимущества технических средств связаны с их надежностью, независимостью от субъективных факторов, высокой устойчивостью к модификации. Слабые стороны — недостаточная гибкость, относительно большие объем и масса, высокая стоимость.

2. 
   Программные средства включают программы для идентификации пользователей, контроля доступа, шифрования информации, удаления остаточной (рабочей) информации типа временных файлов, тестового контроля системы защиты и др.
   

Преимущества программных средств — универсальность, гибкость, надежность, простота установки, способность к модификации и развитию. Недостатки — ограниченная функциональность сети, использование части ресурсов файл-сервера и рабочих станций, высокая чувствительность к случайным или преднамеренным изменениям, возможная зависимость от типов компьютеров (их аппаратных средств).

3. 
   Смешанные аппаратно-программные средства реализуют те же функции, что аппаратные и программные средства в отдельности, и имеют промежуточные свойства.
   
4. 
   Организационные средства складываются из организационно-технических (подготовка помещений с компьютерами, прокладка кабельной системы с учетом требований ограничения доступа к ней и др.) и организационно-правовых (национальные законодательства и правила работы, устанавливаемые руководством конкретного предприятия).
   

---

Преимущества организационных средств состоят в том, что они позволяют решать множество разнородных проблем, просты в реализации, быстро реагируют на нежелательные действия в сети, имеют неограниченные возможности модификации и развития. Недостатки — высокая зависимость от субъективных факторов, в том числе от общей организации работы в конкретном подразделении.

5. 
   По степени распространения и доступности выделяются программные средства, другие средства применяются в тех случаях, когда требуется обеспечить дополнительный уровень защиты информации.
   

На сегодняшний день можно выделить множество направлений защиты информации и технических средств, которые им соответствуют:

• 
  Защита информации от несанкционированного доступа тех ресурсов, которые работают автономно, а также от сетевых ПК. Данная функция может быть реализована программно-аппаратными, программными и аппаратными средствами.
  
• 
  Защита отдельных пользователей сети Интернет и серверов от злонамеренных хакеров, что приникают извне. Для этого применяются специальные межсетевые брандмауэры или экраны, которые в современной жизни приобретают широкое распространение.
  
• 
  Защита конфиденциальной, секретной и личной информации от чтения ее посторонними лицами, а также от ее искажения. Для этого используются криптографические средства, которые выделяются в отдельный класс. Сюда относится и подтверждение подлинности сообщений посредством электронной цифровой подписи. Использование криптографических систем с электронной подписью и открытыми ключами приобрело огромную популярность в сфере электронной торговли и в банковском деле.
  
• 
  В последние годы широкое распространение получила защита программного обеспечения от незаконного копирования при помощи электронных ключей.
  
• 
  Защита информации от возможной утечки посредством побочных каналов (цепи питания, каналы электромагнитного излучения от монитора или ПК). В данном случае используются такие испытанные средства, как специальный подбор мониторов, применение генератора шума и экранирование помещений, а также специальный подбор комплектующих ПК, которые обладают наименьшим излучением в том частотном диапазоне, что максимально удобен для дистанционного распознавания и расшифровки сигнала злоумышленниками.
  
• 
  Защита информации от шпионских устройств, которые непосредственно устанавливаются в комплектующие персонального компьютера, так же, как и измерение зоны излучения, выполняемого спецслужбами, что обладают всеми необходимыми лицензиями.
  

---

Глава 2. Эксплуатация системы защиты информации

Эксплуатация системы защиты информации всегда являлась наиболее длительным и важным этапом в существовании системы защиты информации.

К эксплуатации СЗИ подводит сертификация средства. Орган по сертификации проводит оценку поступивших материалов сертификационных испытаний средства защиты информации на соответствие требованиям настоящего Положения и требованиям по безопасности информации, в том числе наличие в средстве защиты информации уязвимостей или недекларированных возможностей, несоответствие средства защиты информации требованиям по безопасности информации, наличие информации об угрозах безопасности, связанных с применением средства защиты информации. Срок проведения оценки материалов сертификационных испытаний устанавливается договором между заявителем и органом по сертификации и не должен превышать 45 календарных дней с даты поступления в орган по сертификации всех документов. По результатам оценки материалов сертификационных испытаний средства защиты информации орган по сертификации оформляет экспертное заключение о возможности (невозможности) выдачи сертификата соответствия.

В случае наличия в экспертном заключении вывода о возможности выдачи сертификата соответствия орган по сертификации подготавливает проект сертификата соответствия

Сертификат соответствия в течение 10 рабочих дней после подписания вручается заявителю или направляется ему заказным почтовым отправлением с уведомлением о вручении. ввод системы защиты информации в постоянную эксплуатацию – осуществляется оператором.

Решение о вводе системы защиты информации в эксплуатацию оформляется локальным нормативным правовым актом, в котором определяются должностные лица, ответственные за эксплуатацию и сопровождение системы защиты информации: начальник объекта, системные администраторы, администраторы информационной безопасности.

После установки и монтажа технических средств защиты информации проводится их опытная эксплуатация в комплексе с другими техническими и программными средствами в целях проверки их работоспособности в составе объекта информатизации и отработки технологического процесса обработки (передачи) информации. По результатам опытной эксплуатации проводятся приемо-сдаточные испытания средств защиты информации с оформлением соответствующего акта.

---

По завершении ввода в эксплуатацию системы защиты информации проводится аттестация объектов информатизации и выделенных помещений по требованиям безопасности. Она является процедурой официального подтверждения эффективности комплекса реализованных на объекте мер и средств защиты информации.

При необходимости по решению руководителя организации могут быть проведены работы по поиску электронных устройств съема информации, возможно внедренных в выделенные помещения, осуществляемые организациями, имеющими соответствующие лицензии ФСБ России.

В период эксплуатации периодически должны проводиться специальные обследования и проверки выделенных помещений и объектов информатизации. Специальные обследования должны проводиться под легендой для сотрудников организации или в их отсутствие.

Вместе с тем, на этапе эксплуатации необходимо соблюдать ряд необходимых мер, таких как:

• 
  Поддержание технических средств в рабочем состоянии;
  
• 
  Своевременное исправление ошибок в системе ЗИ;
  
• 
  Анализировать угрозы для безопасности системы и отслеживать малейшие изменения в системе;
  
• 
  Систематическое повышение квалификации персонала, работающего с системой защиты информации;
  
• 
  Проведение мер по противодействию информационным и техническим угрозам, подготовка к случаю реализации каких-либо угроз;
  
• 
  Своевременное обновление компонентов системы защиты и её дополнение.
  

Глава 3. Организационно-распорядительная документация на этапе эксплуатации системы защиты информации

ОРД этапа эксплуатации системы защиты информации

Одним из важных этапов эксплуатации является разработка организационно-распорядительных документов. Организационно-распорядительная документация (ОРД) — комплекс документов, закрепляющих функции, задачи, цели, а также права и обязанности работников и руководителей по выполнению конкретных действий, необходимость которых возникает в операционной деятельности организации.

Среди большого разнообразия видов деловых документов, обращающихся на предприятиях и в организациях, организационно-распорядительная документация (ОРД) занимает особое место. Можно утверждать, что организационная и управленческая деятельность главным образом заключается в разработке и реализации решений, документируемых в ОРД. ОРД является наиболее широко используемым видом документации.

---

Смотрите также файлы

• Программа электива Азы злектронщика.doc

• 1. 1 Краткая характеристика предприятия 5 2 Структура предприятия 5.docx

• KRIVYE_TITROVANIYa_KISLOTNO_OSNVNOE.docx

• Исследование электромагнитного поля в прямоугольном волноводе Чувствин М. Б проверил Худяков К. Н.docx

• Трбие жмысыны жоспары 2 .doc