Основные положения: ИБ ИС основывается на положениях и требованиях существующих законов, стандартов и нормативно методологических документов; ИБ обеспечивается комплексом инженерно технических средств и организационных мер; ИБ должна обеспечиваться на всех стадиях ЖЦ информации; инженерно технические средства не должны существенно ухудшать основные характеристики ИС; неотъемлемой частью работ по ИБ является оценка эффективности средств защиты; защита должна предоставлять контроль эффективности средств защиты. Основные принципы: Принцип системности – предполагает необходимость учета всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов: при всех видах информационной деятельности; во всех структурных элементах; при всех режимах функционирования; на всех этапах ЖЦ; с учетом взаимодействия объекта защиты с внешней средой. Принцип комплексности – предполагает согласование разнородных средств при построении целостной системы защиты, перекрывающей все существенные каналы угроз и не содержащей слабых мест на стыке отдельных компонентов. Принцип непрерывности защиты – защита информации не разовое мероприятие, а непрерывный целенаправленный процесс. Принцип разумной достаточности – предполагает выбор такого уровня защиты при котором затраты, риск и размер возможного ущерба приемлемы. Принцип гибкости – предполагает возможность варьирования уровня защиты ИС. Принцип открытости – защита должна обеспечиваться не только за счет секретности структурной организации и алгоритмов функционирования ее подсистем. Знание алгоритмов не должно давать возможности ее преодоления, даже разработчику. Принцип простоты – механизмы защиты должны быть понятны и просты в использовании и не должны вызывать дополнительных трудозатрат при обычной работе пользователей.

Билет №3

1. Наследование в объектно-ориентированном программировании

Наследование (inheritance) - это процесс, посредством которого один объект может приобретать свойства другого. Точнее, объект может наследовать основные свойства другого объекта и добавлять к ним черты, характерные только для него. Наследование является важным, поскольку оно позволяет поддерживать концепцию иерархии классов (hierarchical classification). Применение иерархии классов делает управляемыми большие потоки информации. Например, подумайте об описании жилого дома. Дом - это часть общего класса, называемого строением. С другой стороны, строение - это часть более общего класса - конструкции, который является частью ещё более общего класса объектов, который можно назвать созданием рук человека. В каждом случае порождённый класс наследует все, связанные с родителем, качества и добавляет к ним свои собственные определяющие характеристики. Без использования иерархии классов, для каждого объекта пришлось бы задать все характеристики, которые бы исчерпывающи его определяли. Однако при использовании наследования можно описать объект путём определения того общего класса (или классов), к которому он относится, с теми специальными чертами, которые делают объект уникальным. Наследование играет очень важную роль в OOП.

Насле́дование - один из 3 важнейших механизмов объектно-ориентированного программирования (наряду с инкапсуляцией и полиморфизмом), позволяющий создать новый объект на основе уже существующего объекта, при этом данные и функциональность существующего объекта «наследуются» новым объектом.

Наследование в языке C++

class A{ //базовый класс

class B: public A{ //public наследование

class C: protected A{ //protected наследование

class Z: private A{ //private наследование

Класс, от которого произошло наследование, называеться «базовым». Классы, которые произошли от базового, называются «потомками» или «наследниками».

В C++ существует три типа наследования: public, protected, private. Спецификаторы доступа членов базового класса меняются в потомках следующим образом:

при public-наследовании все спецификаторы остаются без изменения.

при protected-наследовании все спецификаторы остаются без изменения, кроме спецификатора public, который меняется на спецификатор protected (то есть public-члены базового класса в потомках становятся protected).

при private-наследовании все спецификаторы меняются на private.

Одним из основных преимуществ наследования является то, что указатель на классы-наследники может быть неявно преобразован в указатель на базовый класс, то есть для примера выше, можно написать

Эта интересная особенность открывает возможность динамической идентификации типа.

Динамическое определение типа (англ. Run-time Type Information или RTTI) позволяет узнать тип объекта во время выполнении программы (run time).

Для этого применяется оператор dynamic_cast в C++.

"Целевой тип операции должен быть типом указателя, ссылки или void*.

Если целевой тип - тип указателя, то аргументом должен быть указатель на объект класса;

Если целевым типом является void*, то аргумент также должен быть указателем, а результатом операции будет указатель, с помощью которого можно обратиться к любому элементу “самого производного” класса иерархии, который сам не может быть базовым ни для какого другого класса."

Иерархические базы данных

Иерархические базы данных - это самая первая модель представления данных в которой все записи базы данных представлены в виде дерева с отношениями предок потомок (см рис. 1). Физически данные отношения реализуются в виде указателей на предков и потомков, содержащихся в самой записи. Такая модель представления данных связана с тем что на ранних этапах базы данных часто использовались для планирования производственного процесса: каждое выпускаемое изделие состоит из узлов, каждый узел из деталей и т.д. Для того чтобы знать, сколько деталей каждого вида надо заказать, строилось дерево (см. рис. 1.1.) Поскольку список составных частей изделия представлял из себя дерево, то для его хранения в базе данных наилучшим образом подходила иерархическая модель организации данных.

Однако иерархическая модель не всегда удобна. Допустим, что один и тот же тип болтов используется в автомобиле 300 раз в различных узлах. При использовании иерархической модели, данных тип болтов будет фигурировать в базе данных не 1 раз, а 300 раз (в каждом узле – отдельно). Налицо дублирование информации. Чтобы устранить этот недостаток была введена сетевая модель представления данных.

Сетевая МОДЕЛЬ базЫ данных

Сетевая база данных - это база данных, которой одна запись может участвовать в нескольких отношениях предок-потомок (см. рис. 1.2.) Фактически база данных представляет собой не дерево а произвольный граф.

Физически данная модель также реализуется за счет хранящихся внутри самой записи указателей на другие записи, только, в отличие от иерархической модели, число этих указателей может быть произвольным.

И иерархическая и сетевая модель достаточно просты, однако они имеют общий недостаток: для того, чтобы получить ответ даже на простой запрос, необходимо было разрабатывать отдельную программу, которая просматривала базу данных, двигаясь по указателям от одной записи к другой.

Реляционные базы данных

Общими понятиями баз данных являются тип данных, домен, атрибут, кортеж, отношение, первичный ключ.

Понятие типа данных аналогично используемому в языках программирования.

Домен можно рассматривать как допустимое потенциальное множество значений данного типа. В некоторых реляционных СУБД понятие домена не используется.

Отношение. Схема отношения показывает, какие атрибуты определены для одного элемента баз данных. Для СУБД Access – структура таблицы. Каждая таблица имеет свою схему отношения.

Кортеж – соответствующий данной схеме отношения, множество пар: атрибут, значение атрибута. По установившейся терминологии кортеж – определенная запись базы данных.

Отдельное отношение – множество кортежей, соответствующих одной схеме отношения.

Реляционная база данных – набор отношений, имена которой совпадают с именами схем отношений, определенных в базе данных.

При ООП система рассматривается как совокупность независимых между собой объектов.

Объект ООМ - это некоторая сущность предметной области которая имеет некоторый набор атрибутов и обладает некоторой определённой линией поведения.

Атрибут соответствует некоторой характеристики реального объекта. В качестве атрибутов выдаются характеристики, выделяющие на функциональные системы.

Типы атрибутов:

Описательные, соответствуют внутренним характеристикам реальных объектов, с помощью которых один экземпляр объекта отличается от другого (цвет, вес, координаты, скорость и т.д.)

Указывающие атрибуты используются для указания на экземпляры объектов(номер, код, метка)

Вспомогательные атрибуты – для указания на экземпляры объектов, с которыми связан рассматриваемый экземпляр объекта

В ООП различают понятия объект и экземпляр объекта.

Объект – обозначение некоторой группы, типа, сущностей имеющих одинаковый набор атрибутов.

Объекты соответствуют классам в языках программирования.

Экземпляр – конкретный объект, с конкретными значениями атрибутов.

Среди атрибутов объекта обычно выделяются идентифицирующие атрибуты, т. е. атрибуты, с помощью которых 1 экземпляр объекта можно отделить от другого экземпляра. С помощью идентификационных атрибутов происходит обращение к экземплярам объекта.

В качестве идентифицирующих атрибутов обычно используется один из указывающих атрибутов или их набор.

Под информационной моделью подразумевается состав объектов системы и описание их атрибутов, т. е. для разработки информационной модели необходимо установить, какие объекты входят в состав системы. Какими атрибутами они обладают, и каковы значения могут принимать их атрибуты.

Кроме этого информационная модель должна включать описание связей между объектами системы.

Основные принципы информационной безопасности

Информатика, кибернетика и программирование

Основные принципы информационной безопасности Под безопасностью автоматизированной информационной системы организации (учреждения) понимается ее защищенность от случайного или преднамеренного вмешательства в нормальный процесс функционирования, а та...


А также другие работы, которые могут Вас заинтересовать
79926. Ток-шоу «Твоє життя – твій вибір» 70 KB
Ведуча Вітаю всіх присутніх і зацікавлених в проблемі що обговорюватиметься сьогодні. В зеленому секторі їхні опоненти які вважають що алкоголь тютюн і наркотики неприємлимі в будьякій кількості за будьяких обставин ведуча представляє учасників та проблеми над якими вони працювали.
79927. Тренинг личностного роста «Я – реальный» и «Я - идеальный» 56 KB
Цель. Помочь участникам тренинга лучше узнать себя, осознать важность позитивного принятия своего «Я», свои сильные стороны, способствовать развитию чувства собственного достоинства, умений и навыков делать самоанализ, преодолевать психологические барьеры, мешающие полноценному самовыражению.
79928. Славу человеку создает труд 44 KB
Дом не построить без топора. Стену не покрасить без кисти. Дорогу в заснеженной тайге не проложить без могучего бульдозера. И всё-таки не одно дело не обходиться без умелых и крепких рабочих рук. Игла лишь тогда заскользит по шитью, когда она в руках мастерицы.
79929. Комбіновані роботи. Конструювання найпростіших виробів, іграшок за допомогою засвоєних раніше технологій аплікації. Практична робота: виготовлення аплікації «Великодній кошик» 37.5 KB
Мета. Розповісти про звичаї та обряди святкування Великодня, навчити виготовляти аплікацію з паперу на картоні, гармонійно підбирати кольори, розвивати уяву, фантазію, виховувати старанність, акуратність, любов і повагу до праці, до народних традицій.
79930. Робота з природним матеріалом. Аплікація із засушеного листя 34 KB
Мета: навчити милуватися красою довкілля, вміти образно уявляти листочок; розвивати художній смак, мислення, пробуджувати пізнавальні інтереси, сприяти розширенню кругозору дітей; виховувати почуття відповідальності, любов до природи.
79931. ОБЩИЕ ПОЛОЖЕНИЯ, СИСТЕМА И ВИДЫ ОБЯЗАТЕЛЬСТВ 85 KB
Обязательства представляют собой типичные относительные правоотношения. Поскольку обязательства оформляют процесс товарообмена они относятся к группе имущественных отношений неимущественного характера которые не могут обретать форму обязательств. Например невозможно существование обязательства по защите чести и достоинства гражданина или выдаче патента. Участники обязательства именуются кредитором или верителем crego верю и должником.
79932. Договор поставки и контрактации, поставка для государственных нужд 88.5 KB
Договор поставки и контрактации поставка для государственных нужд Действующим законодательством договор поставки отнесен к разновидностям куплипродажи и этот факт отдельные исследователи называют необоснованным поскольку единственное что объединяет поставку и куплюпродажу это их правовая цель т. Разберемся в сущности и особенностях договора поставки. В соответствии с действующим законодательством договор поставки гражданскоправовой договор по которому поставщик т. Ключевой особенностью договора поставки выступает тот факт...
79933. Торговые договоры 73.5 KB
Торговые договоры. Договор поручения По договору поручения поверенный обязуется совершать от имени и за счет доверителя определенные юридические действия ст. Помимо юридических действий поверенный совершает и фактические действия но они носят сопутствующий не основной характер поэтому не изменяют квалификацию договора. Права и обязанности поверенного определяются договором а также доверенностью которую доверитель обязан выдать поверенному ст.
79934. Внешнеторговая деятельность. Регулирование внешнеторговых отношений 60 KB
Под ней понимается предпринимательская деятельность в области международного обмена товарами работами услугами информацией результатами интеллектуальной деятельности. Существенные условия контракта: наименование товара его обозначение; количество товара или порядок его определения...

Новые информационные технологии активно внедряются во все сферы народного хозяйства. Появление локальных и глобальных сетей передачи данных предоставило пользователям компьютеров новые возможности оперативного обмена информацией. Если до недавнего времени подобные сети создавались только в специфических и узконаправленных целях (академические сети, сети военных ведомств и т.д.), то развитие Интернета и аналогичных систем привело к использованию глобальных сетей передачи данных в повседневной жизни практически каждого человека. По мере развития и усложнения средств, методов и форм автоматизации процессов обработки информации повышается зависимость общества от степени безопасности используемых им информационных технологий.

Актуальность и важность проблемы обеспечения информационной безопасности обусловлена следующими факторами:

Современные уровни и темпы развития средств информационной безопасности значительно отстают от уровней и темпов развития информационных технологий.

Высокие темпы роста парка персональных компьютеров, применяемых в разнообразных сферах человеческой деятельности. Согласно данным исследований компании Gartner Dataquest в настоящее время в мире более миллиарда персональных компьютеров. А следующий миллиард будет достигнут уже в 2008 году.

Резкое расширение круга пользователей, имеющих непосредственный доступ к вычислительным ресурсам и массивам данных; Доступность средств вычислительной техники, и, прежде всего персональных ЭВМ, привела к распространению компьютерной грамотности в широких слоях населения. Это, в свою очередь, вызвало многочисленные попытки вмешательства в работу государственных и коммерческих систем, как со злым умыслом, так и из чисто «спортивного интереса». Многие из этих попыток имели успех и нанесли значительный урон владельцам информации и вычислительных систем. По неофициальным данным до 70% всех противонарушений, совершаемых так называемыми хакерами, приходится на долю script-kiddies, в дословном переводе - дети, играющиеся со скриптами. Детьми их называют, потому что они не являются специалистами в компьютерных технологиях, но умеют пользоваться готовыми программными средствами, которые достают на хакерских сайтах в Интернете, для осуществления деструктивных действий.

Значительное увеличение объемов информации, накапливаемой, хранимой и обрабатываемой с помощью компьютеров и других средств автоматизации;

По оценкам специалистов в настоящее время около 70-90% интеллектуального капитала компании хранится в цифровом виде - текстовых файлах, таблицах, базах данных.

Многочисленные уязвимости в программных и сетевых платформах;

Стремительное развитие информационных технологий открыло новые возможности для бизнеса, однако привело и к появлению новых угроз. Современные программные продукты из-за конкуренции попадают в продажу с ошибками и недоработками.

Разработчики, включая в свои изделия всевозможные функции, не успевают выполнить качественную отладку создаваемых программных систем. Ошибки и недоработки, оставшиеся в этих системах, приводят к случайным и преднамеренным нарушениям информационной безопасности. Например, причинами большинства случайных потерь информации являются отказы в работе программно-аппаратных средств, а большинство атак на компьютерные системы основаны на найденных ошибках и недоработках в программном обеспечении. Так, например, за первые полгода после выпуска серверной операционной системы компании Microsoft Windows Server 2003 было обнаружено 14 уязвимостей, 6 из которых являются критически важными.

Несмотря на то, что со временем Microsoft разрабатывает пакеты обновления, устраняющие обнаруженные недоработки, пользователи уже успевают пострадать от нарушений информационной безопасности, случившихся по причине оставшихся ошибок. Такая же ситуация имеет место и с программными продуктами других фирм. Пока не будут решены эти многие другие проблемы, недостаточный уровень информационной безопасности будет серьезным тормозом в развитии информационных технологий.

Бурное развитие глобальной сети Интернет, практически не препятствующей нарушениям безопасности систем обработки информации во всем мире. Подобная глобализация позволяет злоумышленникам практически из любой точки земного шара, где есть Интернет, за тысячи километров, осуществлять нападение на корпоративную сеть.

Современные методы накопления, обработки и передачи информации способствовали появлению угроз, связанных с возможностью потери, искажения и раскрытия данных, адресованных или принадлежащих конечным пользователям.

Например, в настоящее время в банковской сфере свыше 90% всех преступлений связано с использованием автоматизированных систем обработки информации.

Под угрозой безопасности понимается возможная опасность (потенциальная или реально существующая) совершения какого-либо деяния (действия или бездействия), направленного против объекта защиты (информационных ресурсов), наносящего ущерб собственнику или пользователю, проявляющегося в опасности искажения, раскрытия или потери информации. Реализацию угрозы в дальнейшем будем называть атакой. Реализация той или иной угрозы безопасности может преследовать следующие цели:

нарушение конфиденциальности информации. Информация, хранимая и обрабатываемая в корпоративной сети, может иметь большую ценность для ее владельца. Ее использование другими лицами наносит значительный ущерб интересам владельца;

нарушение целостности информации. Потеря целостности информации (полная или частичная, компрометация, дезинформация) - угроза близкая к ее раскрытию. Ценная информация может быть утрачена или обесценена путем ее несанкционированного удаления или модификации. Ущерб от таких действий может быть много больше, чем при нарушении конфиденциальности,

нарушение (частичное или полное) работоспособности корпоративной сети (нарушение доступности). Вывод из строя или некорректное изменение режимов работы компонентов КС, их модификация или подмена могут привести к получению неверных результатов, отказу КС от потока информации или отказам при обслуживании. Отказ от потока информации означает непризнание одной из взаимодействующих сторон факта передачи или приема сообщений. Имея в виду, что такие сообщения могут содержать важные донесения, заказы, финансовые согласования и т.п., ущерб в этом случае может быть весьма значительным.

Поэтому обеспечение информационной безопасности компьютерных систем и сетей является одним из ведущих направлений развития информационных технологий.

Корпоративная информационная система (сеть) - информационная система, участниками которой может быть ограниченный круг лиц, определенный ее владельцем или соглашением участников этой информационной системы (из закона об Электронно-цифровой подписи).

Корпоративные сети (КС) относятся к распределенным компьютерным системам, осуществляющим автоматизированную обработку информации. Проблема обеспечения информационной безопасности является центральной для таких компьютерных систем. Обеспечение безопасности КС предполагает организацию противодействия любому несанкционированному вторжению в процесс функционирования КС, а также попыткам модификации, хищения, вывода из строя или разрушения ее компонентов, то есть защиту всех компонентов КС аппаратных средств, программного обеспечения, данных и персонала.

Рассмотрим, как в настоящее время обстоит вопрос обеспечения ИБ на предприятии. Исследовательская компания Gartner Group выделяет 4 уровня зрелости компании с точки зрения обеспечения информационной безопасности (ИБ):

  • 0 уровень: ИБ в компании никто не занимается, руководство компании не осознает важности проблем ИБ; Финансирование отсутствует; ИБ реализуется штатными средствами операционных систем, СУБД и приложений (парольная защита, разграничение доступа к ресурсам и сервисам). Наиболее типичным примером здесь является компания с небольшим штатом сотрудников, занимающаяся, например, куплей/продажей товаров. Все технические вопросы находятся в сфере ответственности сетевого администратора, которым часто является студент. Здесь главное, чтобы все работало.
  • 1 уровень: ИБ рассматривается руководством как чисто "техническая" проблема, отсутствует единая программа (концепция, политика) развития системы обеспечения информационной безопасности (СОИБ) компании; Финансирование ведется в рамках общего ИТ-бюджета; ИБ реализуется средствами нулевого уровня + средства резервного копирования, антивирусные средства, межсетевые экраны, средства организации VPN (традиционные средства защиты).
  • 2 и 3 уровни: ИБ рассматривается руководством как комплекс организационных и технических мероприятий, существует понимание важности ИБ для производственных процессов, есть утвержденная руководством программа развития СОИБ компании; Финансирование ведется в рамках отдельного бюджета; ИБ реализуется средствами первого уровня + средства усиленной аутентификации, средства анализа почтовых сообщений и web-контента, IDS (системы обнаружения вторжений), средства анализа защищенности, SSO (средства однократной аутентификации), PKI (инфраструктура открытых ключей) и организационные меры (внутренний и внешний аудит, анализ риска, политика информационной безопасности, положения, процедуры, регламенты и руководства).
  • 3 уровень отличается от 2-го следующим: ИБ является частью корпоративной культуры, назначен CISA (старший офицер по вопросам обеспечения ИБ); Финансирование ведется в рамках отдельного бюджета, который согласно результатам исследований аналитической компании Datamonitor в большинстве случаев составляет не более 5% ИТ- бюджета; ИБ реализуется средствами второго уровня + системы управления ИБ, CSIRT (группа реагирования на инциденты нарушения ИБ), SLA (соглашение об уровне сервиса). Таким образом, серьезный подход к вопросам обеспечения ИБ появляется только на 2-м и 3-м уровнях. А на 1-м и частично 0-м уровне зрелости согласно данной классификации имеет место так называемый «фрагментарный» подход к обеспечению ИБ. «Фрагментарный» подход направлен на противодействие четко определенным угрозам в заданных условиях. В качестве примеров реализации такого подхода можно указать отдельные средства управления доступом, автономные средства шифрования, специализированные антивирусные программы и т.п. Достоинство этого подхода заключается в высокой избирательности к конкретной угрозе. Существенным недостатком подхода является отсутствие единой защищенной среды обработки информации.

Фрагментарные меры защиты информации обеспечивают защиту конкретных объектов КС только от конкретной угрозы. Даже небольшое видоизменение угрозы ведет к потере эффективности защиты.

Таких компаний по статистике Gartner - 85%.(0 - 30 %, 1 - 55%) по состоянию на 2001. Более серьезные организации, соответствующие 2-му и 3-му уровням зрелости классификации Gartner, применяют «комплексный» подход к обеспечению ИБ. Этот же подход предлагают и крупные компании, профессионально занимающиеся защитой информации. Комплексный подход основывается на решении комплекса частных задач по единой программе. Этот подход в настоящее время является основным для создания защищенной среды обработки информации в корпоративных системах, сводящей воедино разнородные меры противодействия угрозам. Сюда относятся правовые, морально-этические, организационные, программные и технические способы обеспечения информационной безопасности.

Комплексный подход позволил объединить целый ряд автономных систем путем их интеграции в так называемые интегрированные системы безопасности. Методы решения задач обеспечения безопасности очень тесно связаны с уровнем развития науки и техники и, особенно, с уровнем технологического обеспечения. А характерной тенденцией развития современных технологий является процесс тотальной интеграции. Этой тенденцией охвачены микроэлектроника и техника связи, сигналы и каналы, системы и сети. В качестве примеров можно привести сверхбольшие интегральные схемы, интегральные сети передачи данных, многофункциональные устройства связи и т. п. Дальнейшим развитием комплексного подхода или его максимальной формой является интегральный подход, основанный на интеграции различных подсистем обеспечения безопасности, подсистем связи в единую интегральную систему с общими техническими средствами. Каналами связи, программным обеспечением и базами данных.

К основным способам обеспечения информационной безопасности относят:

законодательные (правовые)

морально-этические

организационные (административные)

технические

программные

Законодательные меры защиты определяются законодательными актами страны, которыми регламентируются правила использования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил. Действительно, большинство людей не совершают противоправных действий вовсе не потому, что это технически сложно, а потому, что это осуждается и/или наказывается обществом, а также потому, что так поступать не принято. К морально-этическим мерам противодействиям относятся нормы поведения, которые традиционно сложились или складываются по мере распространения сетевых и информационных технологий. Эти нормы большей частью не являются обязательными, как законодательные меры, однако несоблюдение их ведет обычно к потере авторитета и престижа человека. Данные нормы могут быть оформлены в некоторый свод правил и предписаний. Так, например, морально-этические принципы врачебной деятельности получили название клятвы Гиппократа. Наиболее показательным примером таких норм является Кодекс профессионального поведения членов Ассоциации пользователей ЭВМ США. А на кафедре Безопасные Информационные Технологии сложилась традиция - все первокурсники принимают клятву защитника информации. В данной клятве сформулированы принципы, которым должны следовать обучающиеся по данной специальности.

Организационные (административные) средства защиты представляют собой организационно-технические и организационно- правовые мероприятия, осуществляемые в процессе создания и эксплуатации аппаратуры телекоммуникаций для обеспечения защиты информации. Организационные мероприятия охватывают все структурные элементы аппаратуры на всех этапах их жизненного цикла (строительство помещений, проектирование системы, монтаж и наладка оборудования, испытания и эксплуатация). Технические средства реализуются в виде механических, электрических, электромеханических и электронных устройств, предназначенных для препятствования на возможных путях проникновения и доступа потенциального нарушителя к компонентам защиты. Вся совокупность технических средств делится на аппаратные и физические.

Под аппаратными техническими средствами принято понимать устройства, встраиваемые непосредственно в телекоммуникационную аппаратуру, или устройства, которые сопрягаются с подобной аппаратурой по стандартному интерфейсу. Например, в системе защиты рабочей станции Secret Net реализована добавочная аппаратная поддержка для идентификации пользователей по специальному электронному ключу. Физические средства реализуются в виде автономных устройств и систем. Например, замки на дверях, где размещена аппаратура, решетки на окнах, электронно-механическое оборудование охранной сигнализации.

Компоненты, из которых состоят современные комплексы защиты территории охраняемых объектов, включают:

Механическая система защиты Реальное физическое препятствие, характеризующиеся временем сопротивления и включающее в себя датчики оповещения.

Система оповещения Повышение вероятности обнаружения нарушителя системой оповещения обязательно сопровождается увеличением числа ложных срабатываний. Таким образом, разработка систем оповещения связана, прежде всего, с поиском рационального компромисса относительно соотношения величин названых показателей. Дальнейшее совершенствование систем оповещения должно обеспечить, прежде всего, повышение вероятности обнаружения и снижения интенсивности ложных срабатываний путем использования нескольких систем оповещения различного принципа действия в одном комплексе.

Системы опознавания. Одно из условий надежного функционирования - анализ поступающих сообщений о проникновении для точного определения их типа. Самый распространенный способ - телевизионные установки дистанционного наблюдения. Вся контролируемая системой оповещения зона делится на участки, на каждом из которых устанавливается 1 камера. При срабатывании датчиков оповещения, изображение, передаваемое телекамерой, выводится на экран монитора на центральном посту. Фактические причины срабатывания системы устанавливаются при условии высокой оперативности дежурного охранника. Телевизионные системы могут применяться и для контроля действий персонала внутри объектов.

Оборонительные системы Используются для предотвращения развития вторжения на охраняемую территорию - обычно это осветительные или звуковые установки.

Центральный пост и персонал охраны Работа всех технических установок постоянно контролируется и управляется с центрального поста охраны, к центральным устройствам комплексов защиты предъявляются особые требования. На данный момент из систем безопасности наиболее динамично развиваются системы контроля доступа (СКД), которые обеспечивают безопасность персонала и посетителей, сохранность материальных ценностей и информации и круглосуточно держат ситуацию на фирме под контролем.

Механические замки остаются более приемлемыми для небольших предприятий, несмотря на появление новейших СКД. Существует масса разнообразных замков повышенной секретности, как внутренних, так и наружных, которые могут использоваться для установки в местах, требующих специальной защиты. Производители продолжают рассматривать механические замки повышенной секретности в качестве гибкого, эффективного и недорогого средства обеспечения потребностей в защите собственности и наращивают объем их выпуска. Поэтому наличие механического ключа все еще остается простейшим идентификационным признаком при контроле доступа. Еше одна группа средств идентификации это - удостоверения с фотографией владельца и жетоны.

Удостоверения выдаются служащим фирмы, а жетоны - посетителям. Удостоверения и жетоны могут применяться вместе со средствами контроля доступа по карточкам, тем самым превращаясь в машиночитаемые пропуска. Для усиления защиты карточки с фотографией могут дополняться устройствами считывания и набором персонального кода.

Считается, что карточки-жетоны целесообразно использовать для прохода в контролируемые области на крупных предприятиях. Существует широкий набор электронных СКД, среди которых большее место занимает аппаратура с применением микропроцессоров и компьютеров. Одним из достоинством подобного рода средств защиты является возможность анализа ситуации и ведения отчета. К разряду электронных систем контроля доступа относятся системы с цифровой клавиатурой (кнопочные), с карточками и с электронными ключами. Клавиатура совместно с электрозамком в системах повышенной защищенности дополнены системой считывания карточек. В системах контроля доступа по карточкам ключом является специальным образом закодированная карта, которая выполняет функцию удостоверения личности служащего. Программные средства представляют из себя программное обеспечение, специально предназначенное для выполнения функций защиты информации.

Программные средства и составляли основу механизмов защиты на первой фазе развития технологии обеспечения безопасности связи в каналах телекоммуникаций. При этом считалось, что основными средствами защиты являются программные. Первоначально программные механизмы защиты включались, как правило, в состав операционных систем управляющих ЭВМ или систем управления базами данных. Практика показала, что надежность подобных механизмов защиты является явно недостаточной. Особенно слабым звеном оказалась защита по паролю. Поэтому в дальнейшем механизмы защиты становились все более сложными, с привлечением других средств обеспечения безопасности. К данному классу средств защиты относятся: антивирусные, криптографические средства, системы разграничения доступа, межсетевые экраны, системы обнаружения вторжений и т.п.

Построение системы защиты должно основываться на следующих основных принципах:

Системность подхода.

Комплексности решений.

Разумная достаточность средств защиты.

Разумная избыточность средств защиты.

Гибкость управления и применения.

Открытость алгоритмов и механизмов защиты.

Простота применения защиты, средств и мер.

Унификация средств защиты.

Защита информации предполагает необходимость учета всех взаимосвязанных и изменяющихся во времени элементов, условий и факторов, существенно значимых для понимания и решения проблемы обеспечения информационной безопасности.

При создании системы защиты необходимо учитывать все слабые и наиболее уязвимые места системы обработки информации, а также характер возможных объектов и нарушения атак на систему со стороны нарушителя, пути проникновения в систему для НСД к информации. Система защиты должна строиться с учетом не только всех известных каналов проникновения, но и с учетом возможности появления преимущественно новых путей реализации угроз безопасности. Системный подход также предполагает непротиворечивость применяемых средств защиты. Различают следующие виды системности: Пространственная системность может практиковаться как увязка вопросов защиты информации по вертикали: государство (правительственные органы) министерство корпоративные государственные учреждения частные предприятия автоматизированные системы обработки данных, вычислительные системы по горизонтали пространственная системность предполагает увязку вопросов ЗИ в локальных узлах и территориях распределения элементов АСОД. Временная системность (принцип непрерывности функционирования системы защиты):

Защита информации это не разовые мероприятия, а непрерывный целенаправленный процесс, предполагающий принятие соответствующих мер на всех этапах жизненного цикла защиты системы. Разработка системы защиты должна начинаться с момента проектирования системы защиты, а ее u1072 адаптация и доработка должна осуществляться на протяжении всего времени функционирования системы.

В частности по времени суток система защиты должна функционировать круглосуточно. Действительно, большинству средств защиты для выполнения своих функций необходима поддержка (администрирование), в частности для назначения и смены паролей, назначения секретных ключей, реакции на факты НСД и т.д. Перерывы в работе средств защиты могут быть использованы злоумышленниками для анализа защищаемых систем и СЗИ (средств защиты информации). Такие. перерывы в работе СЗИ могут использоваться для внесения закладок, совершения НСД и т.д.

Для защиты ИС, на основании руководящих документов гостехкомиссии, могут быть сформулированы следующие положения:

1) информационная безопасность ИС основывается на положениях и требованиях существующих законов, стандартов и нормативно-методических документов

2) ИБ обеспечивается комплексом инженерно-технических средств и поддерживающих их организационных мер

3) ИБ должна обеспечиваться на всех технологических этапах обработки информации и во всех режимах функционирования, в том числе и при проведении ремонтных и регламентных работ

4) Инженерно-технические средства защиты не должны существенно ухудшать функциональные характеристики ИС (надёжность, быстродействие, возможность изменения конфигурации)

5) Неотъемлемой частью работ по ИБ является оценка эффективности средств защиты, осуществляемая по методике, учитывающей всю совокупность технических характеристик оцениваемого объекта, включая технические решения и практическую реализацию средств защиты

6) Защита ИС должна предусматривать контроль эффективности средств защиты, этот контроль может быть периодическим или выполняемым по необходимости.

Основные принципы обеспечения ИБ:

1. системности : предполагает необходимость учёта всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов: а) при всех видах инф деятельности, б) во всех структурных элементах, в) при всех режимах функционирования, г) на всех этапах ЖЦ, д) с учётом взаимодействия объекта защиты с внешней средой. Система защиты должна стоится с учётом возможности появления принципиально новых путей реализации угроз ИБ.

2. принцип комплексности : предполагает согласование разнородных средств при построении целостной системы защиты, перекрывающей все существующие каналы реализации угроз и не содержащей слабых мест на стыках отдельных компонентов.

3. принцип непрерывности защиты : защита инф не разовое мероприятие, а непрерывный целенаправленный процесс, предполагающий принятие соответствующих мер на всех этапах ЖЦ (с самого начала стадии проектирования). Разработка системы защиты должна вестись должна вестись параллельно с разработкой самой ИС.



4. принцип разумной достаточности : предполагает выбор такого уровня защиты, при котором затраты, риск и размер возможного ущерба были бы приемлемыми.

5. принцип гибкости системы защиты: предполагает возможность варьирования уровня защищённости ИС.

6. принцип открытости алгоритмов и механизмов защиты: предполагает, что защита не должна обеспечиваться только за счёт секретности, структурной организации и алгоритмов функционирования её подсистем. Знание алгоритмов работы системы защиты не должно давать возможности её преодоления даже разработчиками. Принцип открытости алгоритмов и механизмов защиты не предполагает что информация о конкретной системе защиты должна быть общедоступна. Необходимо обеспечивать защиту от угрозы раскрытия параметров системы.

7. принцип простоты применения средств защиты: предполагает, что механизмы защиты должны быть интуитивно понятны и просты и использовании; применение средств защиты не должно быть связано со знанием специальных языков или с выполнением действий, требующих значительных дополнительных трудозатрат, при обычной работе законных пользователей.

Направления обеспечения информационной безопасности

1. Правовая защита; 2. Организационно методические мероприятия; 3. Инженерно технические средства.

Правовая защита

Правовая защита – это специальные законы, нормативные акты, правила и процедуры, мероприятия обеспечивающие защиту информации на правовом уровне.

Об информации, информатизации и защите информации. - Об участии в международном информационном обмене. - О связи. - Об авторском праве и смежных правах. - О государственной тайне. - О коммерческой тайне. - О правовой охране программ ЭВМ и топологии микросхем. - Об органах государственной безопасности. - Об архивах. - О патентах. - О страховании. - О создании гостех комиссии при президенте РФ.

Коммерческая тайна – не являющиеся государственными секретами сведения, связанные с производством, технологией, управлением, финансами и другой деятельностью, разглашение утечка и несанкционированный доступ к которой может нанести ущерб их владельцам.

ГОСТ 29.339-92 «Информационная технология. Защита информации от утечки за счёт побочного электромагнитного излучения и наводок при её обработке»

ГОСТ-Р 50.752 «Защита информации от утечки за счёт побочного электромагнитного излучения и наводок при её обработке средствами ВТ. Методы испытаний.»

- «Нормы эффективности защиты АСУ и ЭВМ от утечки информации за счёт побочных электромагнитных излучений и наводок.»

ГОСТ 50.739-95 «Средства ВТ. Защита от несанкционированного доступа к информации.»

ГОСТ 28.147-89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования.»

ГОСТ-Р 34.10-94 «Процедуры выработки и проверки электронной подписи на базе ассиметрического криптографического алгоритма.»

ГОСТ-Р.В 50.170-92 «Противодействие инженерно-технической разведке. Термины и определения.»

Правовые меры обеспечения безопасности являются основой порядка деятельности и поведения сотрудников предприятия и определяют меры их ответственности за нарушение установленных норм.

7. Организационная защита

Это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерный доступ к конфиденциальной информации и проявление внутренних и внешних угроз.

Организационные меры:

- организация охраны и режима: При создании охраны и режима необходимо предусмотреть необходимость создания специальных производственных зон для работы с конфиденциальной информацией.

- организация работы сотрудников: Включает в себя подбор и расстановку персонала, обучение его правилам работы с конфиденциальной информацией, ознакомление с мерами ответственности за нарушение защиты информации на предприятии.

- организационная работа с документами, документированной информацией и их носителями: Сюда относится организация разработки и использования документов и их носителей, их учёт, использование, возврат, хранение и уничтожение.

- организация использования технических средств сбора, обработки, накопления и хранения информации.

- организация работ по анализу внутренних и внешних угроз и выработки мер по защите.

- организация работ по проведению систематического контроля за работой персонала с конфиденциальной информацией, порядком учёта, хранения и уничтожения документов и технических средств.

Всю организационную работу по защите информации должна проводить специально выделенная в составе предприятия служба безопасности. Подчиняется служба безопасности непосредственно руководителю предприятия.

Организационно служба безопасности должна состоять из: подразделения режима и охраны, подразделения обработки документов конфиденциального характера, инженерно-технического подразделения, информационно-аналитического подразделения.

К основным документам которые должны разработать служба безопасности на любом предприятии:

Положение о сохранении конфиденциальности информации; Перечень сведений составляющих конфиденциальную информацию; Инструкция о порядке допуска сотрудников к сведениям составляющих конфиденциальную информацию; Положение о специальном делопроизводстве и документообороте; Перечень сведений разрешённых к опубликованию в открытой печати; Обязательство сотрудника о сохранении конфиденциальности информации; Памятка сотруднику о сохранении коммерческой тайны.

Для защиты АС на основании руководящих документов Гостехкомиссии сии могут быть сформулированы следующие положения.

1. ИБ АС основывается на положениях требованиях существующих законов, стандартов и нормативно-методических документов.

2. ИБ АС обеспечивается комплексом программно-технических средств и поддерживающих их организационных мер.

3. ИБ АС должна обеспечиваться на всех технологических этапах обработки информации и во всех режимах функционирования, в том числе при проведении ремонтных и регламентных работ.

4. Программно-технические средства защиты не должны существенно ухудшать основные функциональные характеристики АС (надежность, быстродействие, возможность изменения конфигурации АС).

5. Неотъемлемой частью работ по ИБ является оценка эффективности средств защиты, осуществляемая по методике, учитывающей всю совокупность технических характеристик оцениваемого объекта, включая технические решения и практическую реализацию средств защиты.

6. Защита АС должна предусматривать контроль эффективности средств защиты. Этот контроль может быть периодическим либо инициироваться по мере необходимости пользователем АС или контролирующим органом.

Рассмотренные подходы могут быть реализованы при обеспечении следующих основных принципов:

Принцип системности . Системный подход к защите информационных систем предполагает необходимость учета всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов:

При всех видах информационного проявления и деятельности;

Во всех структурных элементах;

При всех режимах функционирования;

На всех этапах жизненного цикла;

С учетом взаимодействия объекта защиты с внешней средой.

Система защиты должна строиться не только с учетом всех известных каналов проникновения, но и с учетом возможности появления принципиально новых путей реализации угроз безопасности.

Принцип комплексности . В распоряжении специалистов по компьютерной безопасности имеется широкий спектр мер, методов и средств защиты компьютерных систем (современные СВТ, ОС, инструментальные и прикладные программные средства обладающие теми или иными встроенными элементами защиты). Комплексное их использование предполагает согласование разнородных средств при построении целостной системы защиты, перекрывающей все существенные каналы реализации угроз и не содержащей слабых мест на стыках отдельных ее компонентов.

Принцип непрерывности защиты. Защита информации – это не разовое мероприятие и даже не конкретная совокупность уже проведенных мероприятий и установленных средств защиты, а непрерывный целенаправленный процесс, предполагающий принятие соответствующих мер на всех этапах жизненного цикла АС. Разработка системы защиты должна вестись параллельно с разработкой самой защищаемой системы. Это позволит учесть требования безопасности при проектировании архитектуры и, в конечном счете, позволит создать более эффективные (как по затратам ресурсов, так и по стойкости) защищенные системы. Большинству физических и технических средств защиты для эффективного выполнения своих функций необходима постоянная организационная поддержка (своевременная смена и обеспечение правильного хранения и применения имен, паролей, ключей шифрования, переопределение полномочий и т.п.). Перерывы в работе средств защиты могут быть использованы злоумышленниками для анализа применяемых методов и средств защиты, внедрения специальных программных и аппаратных "закладок" и других средств преодоления системы защиты после восстановления ее функционирования.

Разумная достаточность. Создать абсолютно непреодолимую систему защиты принципиально невозможно; при достаточных времени и средствах можно преодолеть любую защиту. Поэтому имеет смысл вести речь только о некотором приемлемом уровне безопасности. Высокоэффективная система защиты стоит дорого, использует при работе существенную часть мощности и ресурсов ИС и может создавать ощутимые дополнительные неудобства пользователям. Важно правильно выбрать тот достаточный уровень зашиты, при котором затраты, риск и размер возможного ущерба были бы приемлемыми.

Гибкость системы защиты . Часто приходится создавать систему защиты в условиях большой неопределенности. Поэтому принятые меры и установленные средства защиты, особенно в начальный период их эксплуатации, могут обеспечивать как чрезмерный, так и недостаточный уровень защиты. Для обеспечения возможности варьирования уровнем защищенности средства защиты должны обладать определенной гибкостью. Особенно важно это свойство в тех случаях, к средствам защиты необходимо устанавливать на работающую систему, нарушая процесс ее нормального функционирования.

Открытость алгоритмов и механизмов защиты . Суть принципа открытости алгоритмов и механизмов защиты состоит в том, что защиту не должна обеспечиваться только за счет секретности структурной организации и алгоритмов функционирования ее подсистем. Знание алгоритмов работы системы защиты не должно давать возможности ее преодоления. Но это вовсе не означает, что информация конкретной системе защиты должна быть общедоступна - необходимо обеспечивать защиту от угрозы раскрытия параметров системы.

Принцип простоты применения средств защиты. Механизмы защиты должны быть интуитивно понятны и просты в использовании, применение средств защиты не должно быть связано со знанием специальных языков или с выполнением действий, требующих значительных дополнительных трудозатрат при обычной работе законных пользователей, а также не должно требовать от пользователя выполнения рутинных непонятных ему операций (ввод нескольких паролей и имен и т.д.).

6.2. Анализ угроз информационной безопасности

6.2.1. Понятие угрозы информационной безопасности

Угроза – это потенциальная возможность определенным образом нарушить информационную безопасность.

Угроза – это потенциально возможно событие, действие (воздействие), процесс или явление, которое может привести к нанесению ущерба чьим-либо интересам.

Угрозой информационной безопасности АС называется возможность реализации воздействия на информацию, обрабатываемую АС, приводящего к искажению, уничтожению, копированию, блокированию доступа к информации, а также возможность воздействия на компоненты АС, приводящего к утрате, уничтожению или сбою функционирования носителя информации, средства взаимодействия с носителем или средства его управления.

Попытка реализации угрозы называется атакой , а тот, кто предпринимает такую попытку, – злоумышленником . Потенциальные злоумышленники называются источниками угрозы .

Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем (таких как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении).

Промежуток времени от момента, когда появляется возможность использовать слабое место, и до момента, когда пробел ликвидируется, называется окном опасности , ассоциированным с данным уязвимым местом. Пока существует окно опасности, возможны успешные атаки на ИС.

Если речь идет об ошибках в ПО, то окно опасности "открывается" с появлением средств использования ошибки и ликвидируется при наложении заплат, ее исправляющих.

Для большинства уязвимых мест окно опасности существует сравнительно долго (несколько дней, иногда – недель), поскольку за это время должны произойти следующие события:

Должно стать известно о средствах использования пробела в защите;

Должны быть выпущены соответствующие заплаты;

Заплаты должны быть установлены в защищаемой ИС.

Новые уязвимые места и средства их использования появляются постоянно; это значит, во-первых, что почти всегда существуют окна опасности и, во-вторых, что отслеживание таких окон должно производиться постоянно, а выпуск и наложение заплат – как можно более оперативно.

Некоторые угрозы нельзя считать следствием каких-то ошибок или просчетов; они существуют в силу самой природы современных ИС. Например, угроза отключения электричества или выхода его параметров за допустимые границы существует в силу зависимости аппаратного обеспечения ИС от качественного электропитания.

Рассмотрение наиболее распространенных угроз, которым подвержены современные информационные системы дает представление о возможных угрозах, а также об уязвимых местах, которые эти угрозы обычно эксплуатируют, необходимо для того, чтобы выбирать наиболее экономичные средства обеспечения безопасности.

Угрозы, как и все в ИБ, зависят от интересов субъектов информационных отношений (и от того, какой ущерб является для них неприемлемым). Задание возможных угроз информационной безопасности проводится с целью определения полного перечня требований к разрабатываемой системе защиты. Перечень угроз, оценки вероятностей их реализации, а также модель нарушителя служат основой для анализа риска реализации угроз и формулирования требований к системе защиты АС. Кроме выявления возможных угроз, должен быть проведен их анализ на основе классификационных признаков. Каждый из признаков классификации отражает одно из обобщенных требований к системе защиты. При этом угрозы, соответствующие каждому признаку классификации, позволяют детализировать отражаемое этим признаком требование.

Угрозы можно классифицировать по нескольким критериям:

- по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены в первую очередь;

- по компонентам информационных систем , на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);

- по способу осуществления (случайные/преднамеренные действия природного/техногенного характера);

- по расположению источника угроз (внутри/вне рассматриваемой ИС).

Необходимость классификации угроз ИБ АС обусловлена тем, что архитектура современных средств автоматизированной обработки информации, организационное, структурное и функциональное построение информационно-вычислительных систем и сетей, технологии и условия автоматизированной обработки информации такие, что накапливаемая, хранимая и обрабатываемая информация подвержена случайным влияниям чрезвычайно большого числа факторов, в силу чего становится невозможным формализовать задачу описания полного множества угроз. Как следствие, для защищаемой системы определяют не полный перечень угроз, а перечень классов угроз.

Классификация всех возможных угроз информационной безопасности АС может быть проведена по ряду базовых признаков.

По природе возникновения.

1.1. Естественные угрозы -угрозы, вызванные воздействиями на АС и ее компоненты объективных физических процессов или стихийных природных явлений, независящих от человека.

1.2. Искусственные угрозы - угрозы информационной безопасности АС, вызванные деятельностью человека.


Похожая информация.