Інформаційна безпека, як і захист інформації, завдання комплексне, спрямоване забезпечення безпеки, реалізована запровадженням системи безпеки. Проблема захисту є багатоплановою і комплексною і охоплює низку важливих завдань. Проблеми інформаційної безпеки постійно посилюються процесами проникнення в усі сфери суспільства технічних засобів обробки та передачі даних та, насамперед, обчислювальних систем.

На сьогоднішній день сформульовано три базові принципи, які мають забезпечувати інформаційна безпека:

цілісність даних - захист від збоїв, що ведуть до втрати інформації, а також захист від неавторизованого створення або знищення даних;

конфіденційність інформації;

При розробці комп'ютерних систем, виходу з ладу або помилок у роботі яких можуть призвести до тяжких наслідків, питання комп'ютерної безпеки стають першочерговими. Відомо багато заходів, спрямованих на забезпечення комп'ютерної безпеки, основними серед них є технічні, організаційні та правові.

Забезпечення безпеки інформації - дорога справа, і не лише через витрати на закупівлю або встановлення засобів захисту, але також через те, що важко кваліфіковано визначити межі розумної безпеки та забезпечити відповідну підтримку системи у працездатному стані.

Засоби захисту інформації не можна проектувати, купувати або встановлювати до тих пір, поки не проведений відповідний аналіз.

На сайті аналізується інформаційна безпека та її місце у системі національної безпеки, визначаються життєво важливі інтереси в інформаційній сфері та загрози для них. Розглянуто питання інформаційної війни, інформаційної зброї, принципи, основні завдання та функції забезпечення інформаційної безпеки, функції державної системи забезпечення інформаційної безпеки, вітчизняні та зарубіжні стандарти в галузі інформаційної безпеки. Значну увагу приділяють також правовим питанням інформаційної безпеки.

Так само розглядаються загальні питання захисту інформації в автоматизованих системах обробки даних (АСОД), предмет та об'єкти захисту інформації, завдання захисту інформації в АСОД. Розглянуто типи навмисних загроз безпеці та методи захисту інформації в АСОД. Розглянуто методи та засоби підтвердження справжності користувачів та розмежування їх доступу до комп'ютерних ресурсів, контролю доступу до апаратури, використання простих паролів, що динамічно змінюються, методи модифікації схеми простих паролів, функціональні методи.

Основні засади побудови системи інформаційної безпеки.

При побудові системи інформаційної безпеки об'єкта слід керуватися такими принципами:

Безперервність процесу вдосконалення та розвитку системи інформаційної безпеки, що полягає в обґрунтуванні та реалізації найбільш раціональних методів, способів та шляхів захисту інформації, безперервному контролі, виявленні вузьких та слабких місць та потенційно можливих каналів витоку інформації та несанкціонованого доступу.

Комплексне використання всього арсеналу наявних засобів захисту на всіх етапах виробництва та обробки інформації. При цьому всі засоби, методи і заходи, що використовуються, об'єднуються в єдиний, цілісний механізм - систему інформаційної безпеки.

Контролює функціонування, оновлення та доповнення механізмів захисту залежно від зміни можливих внутрішніх та зовнішніх загроз.

Належна підготовка користувачів та дотримання ними всіх встановлених правил збереження конфіденційності. Без виконання цієї вимоги жодна система інформаційної безпеки не може забезпечити необхідний рівень захисту.

Найважливішою умовою забезпечення безпеки є законність, достатність, дотримання балансу інтересів особи та підприємства, взаємна відповідальність персоналу та керівництва, взаємодія з державними правоохоронними органами.

10) Етапи побудови ІБ

Етапи побудови.

1. Комплексний аналіз інформаційної системи

підприємства різних рівнях. Аналіз ризиків.

2. Розробка організаційно-розпорядчих та

регламентуючих документів.

3. Навчання, підвищення кваліфікації та

перепідготовка спеціалістів.

4. Щорічна переоцінка стану інформаційної

безпеки підприємства

11) Брандмаузер

Брандмауери та антивірусні пакети.

Брандмауер (іноді його називають міжмережевим екраном) допомагає підвищити безпеку комп'ютера. Він обмежує інформацію, що надходить на комп'ютер з інших комп'ютерів, дозволяючи краще контролювати дані на комп'ютері та забезпечуючи лінію захисту комп'ютера від людей або програм (включаючи віруси та «хробаки»), які несанкціоновано намагаються підключитися до комп'ютера. Можна вважати брандмауер прикордонним постом, на якому перевіряється інформація (часто звана трафік), що надходить з Інтернету або локальної мережі. Під час перевірки брандмауер відхиляє або пропускає інформацію на комп'ютер відповідно до встановлених параметрів.

Від чого захищає брандмауер?

Брандмауер МОЖЕ:

1. Блокувати комп'ютерним вірусам та «хробакам» доступ на комп'ютер.

2. Запитати користувача про вибір блокування або дозволу для певних запитів на підключення.

3. Вести облік (журнал безпеки) – за бажанням користувача – записуючи дозволені та заблоковані спроби підключення до комп'ютера.

Чому брандмауер не захищає?

Він не може:

1. Виявити або знешкодити комп'ютерні віруси та «хробаки», якщо вони вже потрапили на комп'ютер.

3. Блокувати спам або несанкціоновані поштові розсилки, щоб вони не надходили до папки вхідних повідомлень.

АПАРАТНІ ТА ПРОГРАМНІ БРАНДМАУЕРИ

Апаратні брандмауери- окремі пристрої, які дуже швидкі, надійні, але дуже дорогі, тому зазвичай використовуються лише захисту великих обчислювальних мереж. Для домашніх користувачів оптимальні міжмережові екрани, вбудовані в маршрутизатори, комутатори, бездротові точки доступу та ін. Комбіновані маршрутизатори-брандмауери забезпечують подвійний захист від атак.

Програмний брандмауер- Це захисна програма. За принципом дії вона аналогічна апаратному брандмауер, але більш «дружня» до користувача: у неї більше готових налаштувань і часто є програми-майстри, які допомагають в налаштуванні. З її допомогою ви зможете дозволяти або забороняти іншим програмам доступ до Інтернету.

Антивірусна програма (антивірус)- будь-яка програма для виявлення комп'ютерних вірусів, а також небажаних (вважаються шкідливими) програм взагалі та відновлення заражених (модифікованих) такими програмами файлів, а також для профілактики - запобігання зараженню (модифікації) файлів або операційній системі шкідливим кодом.

12) Класифікація обчислювальних систем

Залежно від територіального розташування абонентських систем

обчислювальні мережі можна поділити на три основні класи:

глобальні мережі (WAN – Wide Area Network);

регіональні мережі (MAN – Metropolitan Area Network);

Локальні мережі (LAN – Local Area Network).

Основні топології ЛОМ

Топологія ЛОМ - це геометрична схема з'єднань вузлів мережі.

Топології обчислювальних мереж можуть бути різними, але

для локальних обчислювальних мереж типовими є лише три:

Кільцева,

Зіркоподібна.

Будь-яку комп'ютерну мережу можна розглядати як сукупність

Вузол- будь-який пристрій, безпосередньо підключений до

передає середовищі мережі.

Кільцева топологіяпередбачає з'єднання вузлів мережі замкнутої кривої - кабелем передавального середовища. Вихід одного вузла мережі з'єднується із входом іншого. Інформація про кільце передається від вузла до вузла. Кожен проміжний вузол між передавачем та приймачем ретранслює надіслане повідомлення. Вузол, що приймає, розпізнає і отримує тільки адресовані йому повідомлення.

Кільцева топологія ідеальна для мереж, що займають порівняно невеликий простір. У ній відсутня центральний вузол, що підвищує надійність мережі. Ретрансляція інформації дозволяє використовувати як передавальне середовище будь-які типи кабелів.

Послідовна дисципліна обслуговування вузлів такої мережі знижує її швидкодію, а вихід з ладу одного з вузлів порушує цілісність кільця і ​​вимагає вживання спеціальних заходів для збереження тракту передачі інформації.

Шинна топологія- Одна з найпростіших. Вона пов'язана з використанням як передаючого середовища коаксіального кабелю. Дані від передавального вузла мережі розповсюджуються по шині в обидва боки. Проміжні вузли не транслюють повідомлень, що надходять. Інформація надходить на всі вузли, але приймає повідомлення лише той, якому адресовано. Дисципліна обслуговування є паралельною.

Це забезпечує високу швидкодію ЛОМ з шинною топологією. Мережа шинної топології стійка до можливих несправностей окремих вузлів.

Мережі шинної топології найпоширеніші нині. Слід зазначити, що вони мають малу протяжність і не дозволяють використовувати різні типи кабелів у межах однієї мережі.

Зіркоподібна топологіябазується на концепції центрального вузла, якого підключаються периферійні вузли. Кожен периферійний вузол має окрему лінію зв'язку з центральним вузлом. Вся інформація передається через центральний вузол, який ретранслює, перемикає та маршрутизує інформаційні потоки в мережі.

Зіркоподібна топологія значно спрощує взаємодію вузлів ЛОМ один з одним, дозволяє використовувати простіші мережеві адаптери. У той же час працездатність ЛОМ із зіркоподібною топологією цілком залежить від центрального вузла.

У реальних обчислювальних мережах можуть використовуватися більш розвинені топології, що представляють у деяких випадках поєднання розглянутих.

Вибір тієї чи іншої топології визначається областю застосування ЛОМ, географічним розташуванням її вузлів та розмірністю мережі загалом.

Internet- Всесвітня інформаційна комп'ютерна мережа, що є об'єднанням безлічі регіональних комп'ютерних мереж і комп'ютерів, що обмінюють один з одним інформацією по каналах громадських телекомунікацій (виділеним телефонним аналоговим і цифровим лініям, оптичним каналам зв'язку та радіоканалам, у тому числі супутниковим лініям зв'язку).

Провайдер- постачальник послуг – особа або організація, що надають послуги з підключення до комп'ютерних мереж.

Хост (від англ. host – «господар, який приймає гостей»)- будь-який пристрій, що надає послуги формату «клієнт-сервер» в режимі сервера за будь-якими інтерфейсами і унікально визначений на цих інтерфейсах. У приватному випадку під хостом можуть розуміти будь-який комп'ютер, сервер, підключений до локальної чи глобальної мережі.

Мережевий протокол- Набір правил і дій (черговості дій), що дозволяє здійснювати з'єднання та обмін даними між двома та більше включеними до мережі пристроями.

IP-адреса (айпі-адреса, скорочення від англ. Internet Protocol Address)- Унікальна мережна адреса вузла в комп'ютерній мережі, побудованої за протоколом IP. У мережі Інтернет потрібна глобальна унікальність адреси; у разі роботи в локальній мережі потрібна унікальність адреси в межах мережі. У версії протоколу IPv4 IP-адреса має довжину 4 байти.

Доменне ім'я- символьне ім'я, яке допомагає знаходити адреси інтернет-серверів.

13) Завдання одноранговій мережі

Якщо є загроза – мають бути й методи захисту та протидії.. Способи - це засоби досягнення поставлених завдань і порядок методів прийомів використання сил захисту конфіденційної інформації.

Принцип вплив людини на підсвідомості розрахований для досягнення позитивних результатів. Досвід професіоналів у сфері захисту інформації досить чітко визначив сукупність засобів, сил та прийомів, націлених на гарантування інформаційної безпеки чи інформаційної надійності.

Забезпечення інформаційної надійності чи інформаційної безпеки досягається шляхом наступних дій спрямованих на:

• Виявлення загроз виявляється у порядному аналізі та контролі допустимих появ потенційних чи реальних загроз а також своєчасних заходах щодо їх попередження;
• попередження загроз, що досягається шляхом забезпечення інформаційної безпеки або інформаційної надійності на користь попередження та їх виникнення
  виявлення загроз з аналізом ризиків;
• Включення заходів щодо знищення загрози або злочинних дій та локалізацію злочинних дій;
• виявлення загроз, що досягається шляхом визначення конкретних злочинних дій та реальних загроз;
• ліквідацію наслідків щодо загроз та злочинних конкретних дій. Відновлення статус-кво (рис. 1).

Методи захисту інформації:

• перешкода - засіб фізичного перегородження дій зловмиснику щодо критичної інформації
• управління доступом - засоби захисту інформації регулюванням використання всіх ресурсів ІС в ІТ. Такі методи повинні захищати від інформації
• Алгоритми шифрування методи реалізують як при зберіганні так і при обробці інформації. При передачі інформації – це головний та єдиний метод захисту
• Регламентація — створення умов для зберігання та обробки інформації в інформаційній системі, за яких стандартні та норми захисту реалізуються найбільшою мірою
• Примус — засіб захисту, який змушує користувачів дотримуватись правил роботи в інформаційній системі
• Сприяння - засіб захисту, що спонукає користувачів інформаційної системи не порушувати правила, за рахунок етичних та моральних норм
• Апаратні засоби — пристрої, які вбудовані в обчислювальні механізми або підключаються за допомогою інтерфейсів
• фізичні засоби - різні інженерні споруди, які захищають персонал, інформацію, пристрої, речі від зловмисників
• Програмні засоби - ПЗ, яке впроваджується в інформаційну систему для реалізації захисту
• Організаційні засоби — досягаються на основі нормативних документів, які регулюють роботу працівників таким чином, щоб реалізувати максимальний захист інформаційної системи

Попередження протиправних дій та можливих може бути забезпечене різними засобами та заходами, починаючи від дотримання відносин між співробітниками організаційними методами до захисту апаратними, фізичними, програмними та методами (або або ). Попередження загроз також можливе етапом отримання інформації про підготовчі дії, акти, що готуються, плановані розкрадання та інші елементи злочинних дій. Для таких цілей необхідна інформатори в різних сферах дії з різними завданнями. Одні спостерігають і дають об'єктивну оцінку ситуації, що відбувається. Інші оцінюють відносини працівників усередині колективу на різних куточках підприємства. Треті працюють серед злочинних формувань та конкурентів.

Малюнок 1

Для запобігання загрозам дуже суттєво грає діяльність інформаційно-аналітичної служби безпеки на основі аналізу особливої ​​обстановки та діяльності зловмисників та конкурентів. Якщо є доступ до Інтернету, службі безпеки . А також або .

Захист від розголошення даних зводиться до створення каталогу відомостей, що становлять комерційну таємницю для підприємства. Цей каталог відомостей повинен бути доведений до кожного працівника на підприємстві, з зобов'язанням письмово цього співробітника зберігати цю таємницю. Однією з важливих дій є система контролю за збереження цілісності та конфіденційності комерційних секретів.

Захист конфіденційної інформації від витоку працює на основі обліку, виявлення та контролю можливих шляхів витоку в конкретних ситуаціях, а також здійснення технічних, організаційних, організаційно-технічних заходів щодо їх знищення.

Захист конфіденційної інформації від несанкціонованого доступу діє з урахуванням реалізацією технічних, організаційних, організаційно-технічних процедур протидії НСД. А також контролю способів несанкціонованого доступу та аналізу.

Насправді всі заходи певною мірою використовують технічні , і вони поділяються на групи (рис. 2):

• організаційні (у сфері технічних засобів);
• технічні.
• організаційно-технічні;

Малюнок 2

Референція захисних дій

Захисна робота, а також прийоми та процедури з підтримки інформаційної безпеки класифікують за характеристиками та об'єктами захисту, які поділяються на наступні параметри:

За орієнтацією - захисні методи можна класифікувати як дії, курс на захист персоналу, фінансових та матеріальних активів та інформації як фонд.

За методами - це виявлення (наприклад: ) або , попередження, виявлення, припинення та відновлення.

За напрямками – це захист на основі правових методів, організаційних та інженерно-технічних дій.

За охопленням захисні засоби можуть бути націлені на захист периметра підприємства, окремих приміщень, будинки, конкретних груп апаратури, технічних засобів і систем, окремих елементів (будинків, приміщень, апаратури) небезпечних з точки зору НДД до них.

Причиною інформації можуть бути люди, відходи, технічні засоби і т.д. Носії інформації можуть бути акустичні та електромагнітні поля, або речовини (виріб, папір, матеріал). Середовищем поширення служить жорсткі середовища чи повітряний простір.

Правопорушник може мати всі необхідні засоби прийому електромагнітної та акустичної енергії, повітряне спостереження і можливістю аналізувати матеріали подання інформації.

Подання у речових формах. Для унеможливлення неправомірного оволодіння конфіденційною інформацією, слід обробити сигнал або джерело інформації засобами шифрування приглушені або інших.

З підвищенням темпів використання та розповсюдження інформаційних мереж ( або ) та ПК збільшується роль різних факторів, що викликають розголошення, витік та НДД до інформації. Такими є:

• помилки;
• зловмисні чи несанкціоновані вчинки співробітників та користувачів;
• дефолти апаратури мул баги у програмах;
• стихійні катастрофи, аварія різного походження та небезпеки;
• помилки користувачів та персоналу;
• помилки при .

У зв'язку з цим, основні цілі захисту інформації в інформаційних мережах і ПК є:

• попередження витоку інформації та втрат, втручання та перехоплення на всіх ступенях впливу для всіх об'єктів територіально розділених;
• забезпечення прав користувачів та юридичних норм у зв'язку ДОСТУПУдо інформаційних та інших ресурсів, що передбачає адміністративний огляд за інформаційною діяльністю, включаючи дії персональної відповідальності за дотриманням режимів роботи та правил користування;

Малюнок 3

Висновки

1. Забезпечення інформаційної надійності чи безпеки досягається організаційними, технічними та організаційно-технічними процедурами, будь-яке з яких забезпечується своєрідними методами, засобами та заходами, що мають відповідні параметри.

2. Різноманітні дії та умови, що сприяють незаконному чи неправомірному засвоєнню конфіденційними даними, змушує використовувати не менш різноманітних способів, засобів, сил та для забезпечення інформаційної безпеки чи надійності.

3. Основними завданнями охорони інформації є гарантування конфіденційності, цілісності та достатності інформаційних ресурсів. А також впровадити її в систему.

4.Методи забезпечення інформаційного захисту мають бути націлені на запобіжний темперамент дій, наведених на завчасні шляхи попередження можливих загроз комерційним секретам.

Анотація: У лекції розглянуто основні поняття інформаційної безпеки. Ознайомлення з ФЗ "Про інформацію, інформаційні технології та захист інформації".

ГОСТ " Захист інформації. Основні терміни та визначення" вводить поняття інформаційної безпекияк стан захищеності інформації, за якого забезпечені її конфіденційність, доступність та цілісність .

• Конфіденційність– стан інформації, у якому доступом до неї здійснюють лише суб'єкти, які мають нею право.
• Цілісність– стан інформації, у якому відсутня будь-яке її зміна чи зміна здійснюється лише навмисно суб'єктами, які мають нього право;
• Доступність– стан інформації, у якому суб'єкти, мають право доступу, можуть реалізовувати його безперешкодно.

Загрози інформаційної безпеки- Сукупність умов і факторів, що створюють потенційну або реально існуючу небезпеку порушення безпеки інформації [ , ]. Атакоюназивається спроба реалізації загрози, а той, хто робить таку спробу, - зловмисником. Потенційні зловмисники називаються джерелами загрози.

Загроза є наслідком наявності вразливих місць або вразливостейв інформаційній системі. Вразливості можуть виникати з різних причин, наприклад, внаслідок ненавмисних помилок програмістів під час написання програм.

Загрози можна класифікувати за кількома критеріями:

• по властивостям інформації(доступність, цілісність, конфіденційність), проти яких загрози спрямовані насамперед;
• по компонентам інформаційних систем, на які загрози націлені (дані, програми, апаратура, підтримуюча інфраструктура);
• за способом здійснення (випадкові/навмисні, дії природного/техногенного характеру);
• за розташуванням джерела загроз (всередині/поза розглянутою ІВ).

Забезпечення інформаційної безпеки є складним завданням, для вирішення якого потрібно комплексний підхід. Виділяють такі рівні захисту інформації:

1. законодавчий - закони, нормативні акти та інші документи РФ та міжнародного співтовариства;
2. адміністративний - комплекс заходів, що вживаються локально керівництвом організації;
3. процедурний рівень – заходи безпеки, які реалізуються людьми;
4. програмно-технічний рівень– безпосередньо засоби захисту.

Законодавчий рівень є основою для побудови системи захисту інформації, оскільки дає базові поняття предметної областіта визначає міру покарання для потенційних зловмисників. Цей рівень відіграє координуючу та спрямовуючу ролі та допомагає підтримувати в суспільстві негативне (і каральне) ставлення до людей, які порушують інформаційну безпеку.

1.2. ФЗ "Про інформацію, інформаційні технології та про захист інформації"

У російському законодавстві базовим законом у галузі захисту інформації є ФЗ "Про інформацію, інформаційні технології та про захист інформації" від 27 липня 2006 року номер 149-ФЗ. Тому основні поняття та рішення, закріплені в законі, вимагають пильного розгляду.

Закон регулює відносини, що виникають при:

• здійсненні права на пошук, отримання, передачу, виробництво та розповсюдження інформації;
• застосування інформаційних технологій;
• забезпечення захисту інформації.

Закон дає основні визначення у сфері захисту інформації. Наведемо деякі з них:

• інформація- відомості (повідомлення, дані) незалежно від форми їх подання;
• інформаційні технології- процеси, методи пошуку, збору, зберігання, обробки, надання, розповсюдження інформації та способи здійснення таких процесів та методів;
• інформаційна система- сукупність інформації, що міститься в базах даних, і забезпечують її обробку інформаційних технологій та технічних засобів;
• володар інформації- особа, яка самостійно створила інформацію або отримала на підставі закону або договору право дозволяти або обмежувати доступ до інформації, що визначається за будь-якими ознаками;
• оператор інформаційної системи- громадянин або юридична особа, які здійснюють діяльність з експлуатації інформаційної системи, у тому числі щодо обробки інформації, що міститься в її базах даних.
• конфіденційність інформації- обов'язкове для виконання особою, яка отримала доступ до певної інформації, вимога не передавати таку інформацію третім особам без згоди її власника.

У статті 4 Закону сформульовано принципи правового регулювання відносин у сфері інформації, інформаційних технологій та захисту інформації:

1. свобода пошуку, отримання, передачі, виробництва та розповсюдження інформації будь-яким законним способом;
2. встановлення обмежень доступу інформації лише федеральними законами;
3. відкритість інформації про діяльність державних органів та органів місцевого самоврядування та вільний доступ до такої інформації, крім випадків, встановлених федеральними законами;
4. рівноправність мов народів Російської Федерації при створенні інформаційних систем та їх експлуатації;
5. забезпечення безпеки Російської Федерації при створенні інформаційних систем, їх експлуатації та захисту інформації, що міститься в них;
6. достовірність інформації та своєчасність її надання;
7. недоторканність приватного життя, неприпустимість збору, зберігання, використання та розповсюдження інформації про приватне життя особи без її згоди;
8. неприпустимість встановлення нормативними правовими актами будь-яких переваг застосування одних інформаційних технологій перед іншими, якщо обов'язковість застосування певних інформаційних технологій до створення та експлуатації державних інформаційних систем не встановлено федеральними законами.

Вся інформація поділяється на загальнодоступнута обмеженого доступу. До загальнодоступної інформації відносяться відомі відомості та інша інформація , доступ до якої не обмежений. У законі визначається інформація, до якої не можна обмежити доступ, наприклад, інформація про навколишнє середовище або діяльність державних органів. Зазначається також, що обмеження доступудо інформації встановлюється федеральними законами з метою захисту основ конституційного ладу, моральності, здоров'я, правий і законних інтересів інших, забезпечення оборони держави й безпеки держави. Обов'язковим є дотримання конфіденційності інформації, доступ якої обмежений федеральними законами.

Забороняється вимагати від громадянина (фізичної особи) надання інформації про його приватне життя, у тому числі інформації, що становить особисту або сімейну таємницю, та отримувати таку інформацію без волі громадянина (фізичної особи), якщо інше не передбачено федеральними законами.

1. інформацію, що вільно розповсюджується;
2. інформацію, що надається за згодою осіб, які беруть участь у відповідних відносинах;
3. інформацію, яка відповідно до федеральних законів підлягає наданню чи розповсюдженню;
4. інформацію, поширення якої у Російської Федерації обмежується чи забороняється.

Закон встановлює рівнозначність електронного повідомлення, підписаного електронним цифровим підписом або іншим аналогом власноручного підпису, та документа, підписаного власноруч.

Дається таке визначення захисту інформації - є прийняття правових, організаційних та технічних заходів, спрямованих на:

1. забезпечення захисту інформації від неправомірного доступу, знищення, модифікування, блокування, копіювання, надання, розповсюдження, а також інших неправомірних дій щодо такої інформації;
2. дотримання конфіденційності інформації обмеженого доступу;
3. реалізацію права доступу до информации.

Власник інформації, оператор інформаційної системи у випадках, встановлених законодавством України, зобов'язані забезпечити:

1. запобігання несанкціонованому доступу до інформації та (або) передачі її особам, які не мають права на доступ до інформації;
2. своєчасне виявлення фактів несанкціонованого доступу до інформації;
3. запобігання можливості несприятливих наслідків порушення порядку доступу до інформації;
4. недопущення на технічні засоби обробки інформації, у результаті якого порушується їх функціонування;
5. можливість негайного відновлення інформації, модифікованої чи знищеної внаслідок несанкціонованого доступу до неї;
6. постійний контролю над забезпеченням рівня захищеності інформації.

Таким чином, ФЗ "Про інформацію, інформаційні технології та захист інформації" створює правову основу інформаційного обміну в РФ і визначає права та обов'язки його суб'єктів.

Надіслати свою гарну роботу до бази знань просто. Використовуйте форму, розташовану нижче

Студенти, аспіранти, молоді вчені, які використовують базу знань у своєму навчанні та роботі, будуть вам дуже вдячні.

Розміщено на http://www.allbest.ru/

• Вступ
• 1. Класифікація інформації
• 2. Інформаційна безпека
• 2.1 Загрози інформації
• 2.2 Загрози конфіденційної інформації.
• 2.3 Напрями захисту інформації
• 2.4 Система захисту інформації
• Висновок
• Список використаних джерел
• Вступ
• Кожен інформаційний ресурс, будь то комп'ютер користувача, сервер організації або мережеве обладнання, повинен бути захищений від усіляких загроз. Захищені мають бути файлові системи, мережа тощо. Способи реалізації захисту ми в цій статті розглядати не будемо через їхню величезну різноманітність.
• Проте слід розуміти, що забезпечити стовідсотковий захист неможливо. Разом з тим треба пам'ятати: чим вищий рівень захищеності, тим дорожча система, тим більш незручною у використанні вона виходить для користувача, що веде до погіршення захисту від людського фактора. Як приклад згадаємо, що надмірне ускладнення пароля веде до того, що користувач змушений записувати його на папірець, який приклеює до монітора, клавіатури та ін.
• Існує широкий спектр програмного забезпечення, спрямованого вирішення завдань захисту інформації. Це антивірусні програми, брандмауери, вбудовані засоби операційних систем та багато іншого. Проте варто пам'ятати, що найуразливішою ланкою у захисті завжди залишається людина! Адже працездатність будь-якого програмного забезпечення залежить від якості його написання та грамотності адміністратора, який налаштовує той чи інший засіб захисту.
• Багато організацій у зв'язку з цим створюють служби (відділи) захисту чи ставлять відповідні завдання перед своїми ІТ-отделами. Разом з тим, треба розуміти, що не можна звалювати на службу ІТ невластиві їй функції. Про це вже не раз говорилося і писалося. Отже, припустимо, у вашій організації створено відділ інформаційної безпеки. Що робити далі? З чого почати?
• Починати треба з навчання працівників! І надалі зробити цей процес регулярним. Навчання персоналу основ захисту інформації має стати постійним завданням відділу захисту інформації. І робити це потрібно не рідше двох разів на рік.
• 1. Класифікація інформації
• Історично склалося те, що щойно порушується питання класифікації інформації (насамперед це стосується інформації, що належить державі), її відразу ж починають класифікувати за рівнем секретності (конфіденційності). Про вимоги щодо забезпечення доступності, цілісності, спостережуваності якщо і згадують, то мимохіть, у ряді загальних вимог до систем обробки інформації.
• Якщо такий погляд ще можна виправдати необхідністю забезпечення державної таємниці, то перенесення його в іншу предметну область виглядає просто безглуздо. Наприклад, згідно з вимогами українського законодавства, власник інформації сам визначає рівень її конфіденційності (якщо ця інформація не належить державі).
• Багато областях частка конфіденційної інформації порівняно мала. Для відкритої інформації, збиток від розголошення якої невеликий, найважливішими може бути такі властивості, як доступність, цілісність чи захищеність від неправомірного копіювання. Розглянемо як приклад веб-сайт інтернет-видання. На першому місці стоятиме, на мій погляд, доступність і цілісність інформації, а не її конфіденційність. Оцінювати та класифікувати інформацію тільки з позиції та таємності щонайменше непродуктивно.
• І пояснити це можна лише вузькістю традиційного підходу до захисту інформації, відсутністю досвіду щодо забезпечення доступності, цілісності та спостережуваності інформації, яка не є секретною (конфіденційною).
• Схема класифікації інформації щодо значущості
• ІНФОРМАЦІЯ

A. Особливої ​​ваги (ОВ)

B. Цілком таємно (СС)

C. секретно (с)

D. для службового користування

F. І відкритого характеру (О)

З погляду захисту в «Інформації» можна виділити низку істотних властивостей:

1. Конфіденційність - властивість інформації, значення якої встановлюється власником інформації, що відображає обмеження доступу до неї відповідно до чинного законодавства.

2. Доступність – властивість інформації, що визначає ступінь можливості отримання інформації.

3. Достовірність - властивість інформації, що визначає міру довіри до неї.

4. Цілісність - властивість інформації, що визначає структурну придатність інформації для використання.

Категорії конфіденційності інформації, що захищається

· Конфіденційно - інформація, визнана конфіденційною відповідно до вимог закону, або інформація, обмеження на поширення якої введено рішенням керівництва внаслідок того, що її розголошення може призвести до важких фінансово-економічних наслідків для організації аж до банкрутства;

· конфіденційно - до цієї категорії входить інформація, не віднесена до категорії «цілком конфіденційно», обмеження на поширення якої введені рішенням керівництва відповідно до наданих йому як власнику інформації чинним законодавством правами внаслідок того, що її розголошення може призвести до значних збитків та втрати конкурентоспроможності організації (завдання істотних збитків інтересам його клієнтів, партнерів або співробітників);

· Відкрита - до цієї категорії відноситься інформація, забезпечення конфіденційності якої не потрібно.

Категорії цілісності інформації, що захищається

· Висока - інформація, несанкціонована модифікація або підробка якої може призвести до завдання значного збитку організації;

· Низька - до цієї категорії відноситься інформація, несанкціонована модифікація якої може призвести до завдання незначної шкоди організації, її клієнтам, партнерам або співробітникам;

· Немає вимог - до цієї категорії відноситься інформація, до забезпечення цілісності та автентичності якої вимог не пред'являється.

2. Інформаційна безпека

У той час як інформаційна безпека - це стан захищеності інформаційного середовища, захист інформації являє собою діяльність із запобігання витоку інформації, що захищається, несанкціонованих і ненавмисних впливів на інформацію, що захищається, тобто процес, спрямований на досягнення цього стану.

Інформаційна безпека організації - стан захищеності інформаційного середовища організації, що забезпечує її формування, використання та розвиток.

У сучасному соціумі інформаційна сфера має дві складові: інформаційно-технічну (штучно створений людиною світ техніки, технологій тощо) та інформаційно-психологічну (природний світ живої природи, що включає і саму людину). Відповідно, у загальному випадку інформаційну безпеку суспільства (держави) можна уявити двома складовими частинами: інформаційно-технічною безпекою та інформаційно-психологічною (психофізичною) безпекою.

Безпека інформації (даних) - стан захищеності інформації (даних), у якому забезпечені її (їх) конфіденційність, доступність і цілісність.

Інформаційна безпека - захист конфіденційності, цілісності та доступності інформації.

Інформаційна безпека (англ. information security) - всі аспекти, пов'язані з визначенням, досягненням та підтриманням конфіденційності, цілісності, доступності, невідмовності, підзвітності, автентичності та достовірності інформації або засобів її обробки.

2.1 Загрози інформації

Під загрозами інформації будемо розуміти потенційні або реально можливі дії щодо інформаційної сфери, що призводять до несанкціонованих змін властивостей інформації (конфіденційність, доступність, достовірність, цілісність).

По кінцевому прояву можна назвати такі загрози інформації:

1. Ознайомлення.

2. Модифікація.

3. Знищення.

4. Блокування.

Конкретні реалізації загроз інформації називаються сценаріями загроз інформації.

Ознайомлення з конфіденційною інформацією може проходити різними шляхами та способами, при цьому суттєвим є відсутність змін самої інформації.

Порушення конфіденційності або секретності інформації пов'язане з ознайомленням із нею тих осіб, для яких вона не призначалася. Яка інформація є конфіденційною чи секретною вирішує власник чи власник цієї інформації. Вони визначають коло осіб, які мають доступ до неї. Порушення конфіденційності інформації може статися шляхом ознайомлення з нею особами, які не мають на те прав та несанкціонованої модифікації грифу секретності (значущості).

Модифікація інформації спрямовано зміну таких властивостей як конфіденційність, достовірність, цілісність, у своїй мається на увазі зміна складу та змісту відомостей. Модифікація інформації не має на увазі її повне знищення.

Знищення інформації спрямоване, як правило, на цілісність інформації та призводить до її повного руйнування. Порушення цілісності інформації полягає у втраті інформації. При втрати інформації вона пропадає безповоротно і може бути відновлена ​​ніякими засобами. Втрата може статися через руйнування або знищення носія інформації або його зникнення, через стирання інформації на носіях з багаторазовим записом, зникнення живлення в пристроях з енергозалежною пам'яттю. При знищенні інформації порушується також властивість доступності інформації.

Блокування інформації призводить до втрати доступу до неї, тобто. до недоступності інформації. Доступність інформації полягає в тому, що суб'єкт, що має право на її використання, повинен мати можливість на своєчасне її отримання у зручному для нього вигляді. При втраті доступу до інформації вона, як і раніше, існує, але скористатися нею не можна. Тобто. суб'єкт не може з нею ознайомитися, скопіювати, передати іншому суб'єкту або подати у вигляді зручному для використання. Втрата доступу може бути пов'язана з відсутністю або несправністю деякого обладнання автоматизованих систем (АС), відсутністю якогось спеціаліста або недостатньою його кваліфікацією, відсутністю або непрацездатністю якогось програмного засобу, використанням ресурсів АС для обробки сторонньої інформації, виходом з ладу систем забезпечення АС та ін Оскільки інформація не втрачена, то доступ до неї може бути отриманий після усунення причин втрати доступу.

Перелічені загрози інформації можуть бути у вигляді комплексу послідовних і паралельних реалізацій. Реалізація загроз інформації, пов'язана з порушенням властивостей інформації, призводить до порушення режиму управління і в кінцевому підсумку до моральних та (або) матеріальних втрат.

Перелічені вище загрози інформації можуть бути класифіковані за такими напрямами:

по об'єктах:

· Персонал,

· Матеріальні та фінансові цінності,

· Інформація;

зі шкоди:

· Граничний,

· Значний,

· Неістотний;

з причин появи

· Стихійні,

· Умисні;

по відношенню до об'єкта:

· Внутрішні,

· Зовнішні;

за характером дії:

· Активні,

· Пасивні.

Джерела інформаційних загроз може бути як внутрішніми, і зовнішніми. Найчастіше такий поділ відбувається за територіальною ознакою та за ознакою належності до об'єкта інформаційного захисту.

Джерела інформаційних загроз

Співвідношення зовнішніх та внутрішніх загроз на усередненому рівні можна охарактеризувати так:

· 82% загроз вчиняються власними співробітниками фірми або за їх прямої або опосередкованої участі;

· 17% загроз відбувається ззовні - зовнішні загрози;

· 1% загроз відбувається випадковими особами.

Інформаційні небезпеки мають векторний характер, тобто. завжди переслідують певні цілі та спрямовані на конкретні об'єкти.

Джерелами конфіденційної інформації є люди, документи, публікації, технічні носії інформації, технічні засоби забезпечення виробничої та трудової діяльності, продукція та відходи виробництва.

До найважливіших об'єктів забезпечення інформаційної безпеки у правоохоронній та судовій сферах належать:

· Інформаційні ресурси федеральних органів виконавчої влади, що реалізують правоохоронні функції, судових органів, їх інформаційно-обчислювальних центрів, науково-дослідних установ та навчальних закладів, що містять спеціальні відомості та оперативні дані службового характеру;

· Інформаційно-обчислювальні центри, їх інформаційне, технічне, програмне та нормативне забезпечення;

· Інформаційна інфраструктура (інформаційно-обчислювальні мережі, пункти управління, вузли та лінії зв'язку).

2.2 Загрози конфіденційної інформації.

Для систем інформаційного спілкування існує одне загальне становище, дуже важливе розуміння інформаційної безпеки загалом. Інформація завжди адресна і має власника. Понад те, адресність не довільна, а визначається власником інформації. Якщо це право наголошується в повідомленні (вказується гриф секретності), то інформація стає конфіденційною. Отримуючи цю інформацію, користувач неспроможна довільно нею розпоряджатися, вона не належить (якщо було передачі права власності).

Право власності визначається чинним у країні законодавством. Залежно від виду власності конфіденційна інформація може бути віднесена до інформації державної, комерційної, особистої. Таке співвідношення робиться підпорядковане, з низхідною ієрархією.

Перелік відомостей, що становлять державну таємницю, формує держава в особі її інститутів та установ. Ці відомості є обов'язковою таємницею для окремих, нижчих за рангом, юридичних та фізичних осіб країни.

Перелік відомостей, що визначають комерційну таємницю, формує комерційне підприємство. Воно ж забезпечує їх збереження та захист.

Особисту таємницю визначає фізична особа. Природно, що і захист цих відомостей - його турбота, хоча правовий захист за державою.

Неправомірне оволодіння конфіденційною інформацією можливе за рахунок її розголошення джерелами відомостей, за рахунок витоку інформації через технічні засоби та за рахунок несанкціонованого доступу до відомостей, що охороняються.

Дії, що призводять до незаконного оволодіння конфіденційною інформацією:

· Розголошення,

· Витік,

· Несанкціонований доступ.

1. Розголошення - це навмисні чи необережні дії з конфіденційними відомостями, що призвели до ознайомлення з ними осіб, які не допущені до них.

Розголошення виражається у повідомленні, передачі, наданні, пересиланні, опублікуванні, втраті та інших формах обміну та дій з конфіденційною інформацією. Реалізується розголошення формальними і неформальними каналами поширення інформації.

До формальних комунікацій відносяться ділові зустрічі, наради, переговори тощо форми спілкування: обмін офіційними діловими та науковими документами засобами передачі офіційної інформації (пошта, телефон, телеграф та ін.).

Неформальні комунікації включають особисте спілкування, виставки, семінари, конференції та інші масові заходи, і навіть засоби інформації (друк, газети, інтерв'ю, радіо, телебачення та інших.).

Як правило, причиною розголошення конфіденційної інформації є недостатнє знання працівниками правил захисту секретів та нерозуміння (або нерозуміння) необхідності їх ретельного дотримання. Тут важливо відзначити, що суб'єктом у цьому виступає джерело (власник) секретів, що охороняються.

Слід зазначити інформаційні особливості цієї дії. Інформація змістовна, осмислена, впорядкована, аргументована, об'ємна і часто доводиться в реальному масштабі часу. Часто є можливість діалогу. Інформація орієнтована у певній тематичній галузі та документована. Для отримання інформації, що цікавить зловмисника, останній витрачає практично мінімальні зусилля і використовує прості легальні технічні засоби.

2. Витік - це безконтрольний вихід конфіденційної інформації за межі організації або кола осіб, яким вона довірена по технічних каналах витоку інформації.

Витік інформації здійснюється за різними технічними каналами. Відомо, що інформація взагалі переноситься чи передається або енергією, або речовиною. Це або акустична (звук), або електромагнітне випромінювання, або аркуш паперу та ін.

З огляду на це можна стверджувати, що за фізичною природою можливі такі шляхи перенесення інформації світлові промені, звукові хвилі, електромагнітні хвилі, матеріали та речовини.

Відповідно до цього класифікуються і канали витоку інформації на візуально-оптичні, акустичні, електромагнітні та матеріально-речові. Під каналом витоку інформації прийнято розуміти фізичний шлях від джерела конфіденційної інформації до зловмисника, за допомогою якого останній може отримати доступ до відомостей, що охороняються.

Для утворення каналу витоку інформації необхідні певні просторові, енергетичні та часові умови, а також наявність на стороні зловмисника відповідної апаратури прийому, обробки та фіксації інформації.

3. Несанкціонований доступ - це протиправне навмисне оволодіння конфіденційною інформацією особою, яка не має права доступу до секретів, що охороняються.

Задля реалізації цих дій зловмиснику доводиться проникати на об'єкт захисту, використовуючи різні технічні засоби. З розвитком комп'ютерних технологій став доступний дистанційний несанкціонований доступ до інформації, що охороняється, або, інакше кажучи - комп'ютерний злом.

З урахуванням викладеного залишається розглянути питання, які умови сприяють неправомірному оволодінню конфіденційною інформацією:

ü Розголошення (зайва балакучість співробітників) – 32%;

ü Несанкціонований доступ шляхом підкупу та відміни до співпраці з боку конкурентів та злочинних угруповань – 24%;

ü Відсутність на фірмі належного контролю та жорстких умов забезпечення інформаційної безпеки – 14%;

ü Традиційний обмін виробничим досвідом – 12%;

ü Безконтрольне використання інформаційних систем – 10%;

ü Наявність передумов виникнення серед співробітників конфліктів – 8%.

2.3 Напрями захисту інформації

У літературі пропонується така класифікація засобів захисту.

· Засоби захисту від несанкціонованого доступу (НСД):

· Мандатне управління доступом;

· Виборче управління доступом;

· Управління доступом на основі ролей;

· Журналування (так само називається Аудит).

· Системи аналізу та моделювання інформаційних потоків (CASE-системи).

· Системи моніторингу мереж:

· Системи виявлення та запобігання вторгненням (IDS/IPS).

· Аналізатори протоколів.

· Антивірусні засоби.

· Міжмережеві екрани.

· Криптографічні засоби:

· Шифрування;

· Цифровий підпис.

· Системи резервного копіювання.

· Системи безперебійного живлення:

· Джерела безперебійного живлення;

· Резервування навантаження;

· Генератори напруги.

· Системи аутентифікації:

· Пароль;

· Сертифікат;

· Біометрія.

· Засоби запобігання злому корпусів та крадіжок обладнання.

· Засоби контролю доступу до приміщень.

· Інструментальні засоби аналізу систем захисту:

· Моніторинговий програмний продукт.

З урахуванням практики забезпечення інформаційної безпеки, що склалася, виділяють такі напрями захисту інформації:

1. Правовий захист – це спеціальні закони, інші нормативні акти, правила, процедури та заходи, що забезпечують захист інформації на правовій основі;

2. Організаційний захист - це регламентація діяльності та взаємовідносин виконавців на нормативно-правовій основі, що виключає або суттєво ускладнює неправомірне оволодіння конфіденційною інформацією та прояв внутрішніх та зовнішніх загроз.

3. Інженерно-технічний захист - це сукупність спеціальних органів, технічних засобів та заходів щодо їх використання на користь захисту конфіденційної інформації.

Для реалізації захисту створюється система безпеки.

Під Системою безпеки розумітимемо організаційну сукупність спеціальних органів, служб, засобів, методів та заходів, що забезпечують захист життєво важливих інтересів особистості, підприємств, держави від внутрішніх та зовнішніх загроз.

В рамках системи безпеки є система захисту інформації.

Організаційне та інженерно-технічне забезпечення інформаційної безпеки.

Організаційний захист - це регламентація виробничої діяльності та взаємовідносин виконавців на нормативно-правовій основі, що виключає або суттєво ускладнює неправомірне оволодіння конфіденційною інформацією та прояви внутрішніх та зовнішніх загроз.

Організаційний захист забезпечує:

· Організацію охорони, режиму, роботу з кадрами, з документами;

· Використання технічних засобів безпеки та інформаційно-аналітичну діяльність з виявлення внутрішніх та зовнішніх загроз безпеки.

Організаційні заходи відіграють істотну роль у створенні надійного механізму захисту інформації, оскільки можливості несанкціонованого використання конфіденційних відомостей значною мірою обумовлюються не технічними аспектами, а зловмисними діями, недбалістю, недбалістю та недбалістю користувачів або персоналу захисту. Впливу цих аспектів практично неможливо уникнути за допомогою технічних засобів. Для цього необхідна сукупність організаційно-правових та організаційно-технічних заходів, які б виключали (або принаймні зводили б до мінімуму) можливість виникнення небезпеки конфіденційної інформації.

Організаційні заходи - це заходи обмежувального характеру, що зводяться переважно, до регламентації доступу та використання технічних засобів обробки інформації. Вони, зазвичай, проводяться силами самої організації шляхом використання найпростіших організаційних заходів.

До основних організаційних заходів можна віднести:

· Організацію режиму та охорони. Їхня мета - виключення можливості таємного проникнення на територію та у приміщення сторонніх осіб; забезпечення зручності контролю проходу та переміщення співробітників та відвідувачів;

· Створення окремих виробничих зон на кшталт конфіденційних робіт з самостійними системами доступу;

· Контроль та дотримання тимчасового режиму праці та перебування на території персоналу фірми;

· Організація та підтримання надійного пропускного режиму та контролю співробітників та відвідувачів та ін;

· Організацію роботи зі співробітниками, яка передбачає підбір та розстановку персоналу, включаючи ознайомлення зі співробітниками, їх вивчення, навчання правилам роботи з конфіденційною інформацією, ознайомлення з заходами відповідальності за порушення правил захисту інформації та ін;

· Організацію роботи з документами та документованою інформацією, включаючи організацію розробки та використання документів та носіїв конфіденційної інформації, їх облік, виконання, повернення, зберігання та знищення;

· Організацію використання технічних засобів збору, обробки, накопичення та зберігання конфіденційної інформації;

· Організацію роботи з аналізу внутрішніх та зовнішніх загроз конфіденційної інформації та вироблення заходів щодо забезпечення її захисту;

· Організацію роботи з проведення систематичного контролю за роботою персоналу з конфіденційною інформацією, порядком обліку, зберігання та знищення документів та технічних носіїв.

У кожному конкретному випадку організаційні заходи носять специфічну для цієї організації форму та зміст, спрямовані на безпеку інформації в конкретних умовах.

· Визначення меж охоронюваної зони (території);

· Визначення технічних засобів, що використовуються для обробки конфіденційної інформації в межах контрольованої території;

· Визначення «небезпечних», з точки зору можливості утворення каналів витоку інформації, технічних засобів та конструктивних особливостей будівель та споруд;

· Виявлення можливих шляхів проникнення до джерел конфіденційної інформації з боку зловмисників;

· Реалізація заходів щодо виявлення, виявлення та контролю за забезпеченням захисту інформації всіма доступними засобами.

Організаційні заходи виражаються у тих чи інших обмежувальних заходів. Можна виділити такі обмежувальні заходи, як територіальні, просторові та тимчасові.

Територіальні обмеження зводяться до вмілого розташування джерел на місцевості або в будівлях та приміщеннях, що виключають підслуховування переговорів або перехоплення сигналів радіоелектронних засобів.

Просторові обмеження виражаються у виборі напрямів випромінювання тих чи інших сигналів у бік найменшої можливості їхнього перехоплення зловмисниками.

Тимчасові обмеження виявляються у скороченні до мінімуму часу роботи технічних засобів, використанні прихованих методів зв'язку, шифруванні та інших заходів захисту.

Однією з найважливіших завдань організаційної діяльності є визначення стану технічної безпеки об'єкта, його приміщень, підготовка та виконання організаційних заходів, що виключають можливість неправомірного оволодіння конфіденційною інформацією, заборона її розголошення, витоку та несанкціонованого доступу до секретів, що охороняються.

Специфічною областю організаційних заходів є організація захисту ПЕОМ, інформаційних систем та мереж.

Інженерно-технічний захист - це сукупність спеціальних органів, технічних засобів та заходів щодо їх використання на користь захисту конфіденційної інформації.

Засоби інженерно-технічного захисту за функціональним призначенням засобу інженерно-технічного захисту класифікуються на наступні групи:

ü фізичні засоби, що включають різні засоби та споруди, що перешкоджають фізичному проникненню (або доступу) зловмисників на об'єкти захисту та до матеріальних носіїв конфіденційної інформації та здійснюють захист персоналу, матеріальних засобів, фінансів та інформації від протиправних впливів;

ü апаратні засоби. Прилади, пристрої, пристрої та інші технічні рішення, що використовуються в інтересах захисту інформації;

ü програмні засоби, що охоплюють спеціальні програми, програмні комплекси та системи захисту інформації в інформаційних системах різного призначення та засобах обробки (збирання, накопичення, зберігання, обробки та передачі) даних;

ь криптографічні засоби, спеціальні математичні та алгоритмічні засоби захисту інформації, що передається по системах і мережах зв'язку, що зберігається та обробляється на ЕОМ з використанням різноманітних методів шифрування.

Вочевидь, що таке розподіл засобів захисту досить умовно, оскільки практично дуже часто вони взаємодіють і реалізуються у комплексі як програмно-апаратних модулів з широким використанням алгоритмів закриття інформації.

Фізичні засоби це різноманітні пристрої, пристрої, конструкції, апарати, вироби, призначені для створення перешкод на шляху руху зловмисників.

До фізичних засобів відносяться механічні, електромеханічні, електронні, електронно-оптичні, радіотехнічні та інші пристрої для заборони несанкціонованого доступу (входу, виходу), пронесення (винесення) засобів та матеріалів та інших можливих видів злочинних дій.

Ці засоби застосовуються для вирішення наступних завдань:

Охорона території підприємства та спостереження за нею;

Охорона будівель, внутрішніх приміщень та контроль за ними;

Охорона обладнання, продукції, фінансів та інформації;

Здійснення контрольованого доступу до будівель та приміщень.

Усі фізичні засоби захисту об'єктів можна поділити на три категорії: засоби попередження, засоби виявлення та системи ліквідації загроз. Охоронна сигналізація та охоронне телебачення, наприклад, належать до засобів виявлення загроз. Паркани навколо об'єктів - це засоби попередження несанкціонованого проникнення на територію, а посилені двері, стіни, стелі, грати на вікнах та інші заходи є захистом і від проникнення, і від інших злочинних дій (підслуховування, обстріл, кидання гранат і вибухових пакетів та ін.) . Засоби пожежогасіння належать до систем ліквідації загроз.

У загальному плані, за фізичною природою та функціональним призначенням всі засоби цієї категорії можна розділити на наступні групи:

Охоронні та охоронно-пожежні системи;

Охоронне телебачення;

Охоронне висвітлення;

Засоби фізичного захисту.

До апаратних засобів захисту відносяться найрізноманітніші за принципом дії, влаштуванню та можливостям технічні конструкції, що забезпечують припинення розголошення, захист від витоку та протидія несанкціонованому доступу до джерел конфіденційної інформації.

Апаратні засоби захисту інформації застосовуються для вирішення наступних завдань:

Проведення спеціальних досліджень технічних засобів забезпечення виробничої діяльності на наявність можливих каналів витоку інформації;

Виявлення каналів витоку інформації на різних об'єктах та у приміщеннях;

Локалізація каналів витоку інформації;

Пошук та виявлення засобів промислового шпигунства;

Протидія несанкціонованому доступу до джерел конфіденційної інформації та інших дій.

У спеціальну групу виділяються апаратні засоби захисту ЕОМ та комунікаційних систем на їх основі.

Апаратні засоби захисту застосовуються як в окремих ПЕОМ, так і на різних рівнях та ділянках мережі: у центральних процесорах ЕОМ, у їх оперативних ЗУ (ОЗУ), контролерах введення-виводу, зовнішніх ЗУ, терміналах та ін.

Для захисту центральних процесорів (ЦП) застосовується кодове резервування – створення додаткових бітів у форматах машинних команд (розрядів секретності) та резервних регістрів (у пристроях ЦП). Одночасно передбачаються два можливі режими роботи процесора, які відокремлюють допоміжні операції від операцій безпосереднього вирішення завдань користувача. І тому служить спеціальна система переривання, реалізована апаратними засобами.

Одним із заходів апаратного захисту ЕОМ та інформаційних мереж є обмеження доступу до оперативної пам'яті за допомогою встановлення меж або полів. Для цього створюються регістри контролю та регістри захисту даних. Застосовуються також додаткові біти парності - різновид методу кодового резервування.

Для позначення ступеня конфіденційності програм та даних, категорій користувачів використовуються біти, які називаються бітами конфіденційності (це два-три додаткові розряди, за допомогою яких кодуються категорії секретності користувачів, програм та даних).

Для запобігання зчитуванню даних після обробки даних в ОЗУ застосовується спеціальна схема стирання. У цьому випадку формується команда на стирання ОЗУ та вказується адреса блоку пам'яті, яка повинна бути звільнена від інформації. Ця схема записує нулі або якусь іншу послідовність символів у всі осередки даного блоку пам'яті, забезпечуючи надійне стирання раніше завантажених даних.

Апаратні засоби захисту застосовуються у терміналах користувачів. Для запобігання витоку інформації при підключенні незареєстрованого терміналу необхідно перед видачею даних здійснити ідентифікацію (автоматичне визначення коду або номера) терміналу, з якого надійшов запит. У розрахованому на багато користувачів режимі цього терміналу ідентифікації його недостатньо. Необхідно здійснити автентифікацію користувача, тобто встановити справжність і повноваження. Це необхідно тому, що різні користувачі, зареєстровані в системі, можуть мати доступ тільки до окремих файлів і суворо обмежені повноваження їх використання.

Для ідентифікації терміналу найчастіше застосовується генератор коду, включений до апаратури терміналу, а автентифікації користувача -- такі апаратні засоби, як ключі, персональні кодові карти, персональний ідентифікатор, пристрої розпізнавання голосу користувача чи форми його пальців. Але найпоширенішими засобами автентифікації є паролі, які перевіряються не апаратними, а програмними засобами розпізнавання.

Програмні засоби захисту.

Засоби захисту комп'ютера від чужого вторгнення дуже різноманітні і можуть бути класифіковані на такі групи, як:

ü Засоби власного захисту, передбачені загальним програмним забезпеченням. Елементи захисту властиві самому програмному забезпеченню або супроводжують його продаж.

ü Засоби захисту у складі обчислювальної системи. Захист апаратури, дисків та штатних пристроїв. Виконання програм залежить від певних дій, спеціальних запобіжних заходів.

ü Засоби захисту із запитом інформації. Вимагають введення додаткової інформації для ідентифікації повноважень користувача.

ü Засоби активного захисту. Ініціюються у разі особливих обставин (введення неправильного пароля тощо).

ü Засоби пасивного захисту. Направлено на застереження, контроль, пошук доказів і т.д.

Можна виділити такі напрямки використання програм для забезпечення безпеки конфіденційної інформації:

Захист інформації від несанкціонованого доступу;

Захист інформації та програм від копіювання;

Захист інформації та програм від вірусів;

Програмний захист каналів зв'язку.

По кожному із зазначених напрямів є достатня кількість якісних, розроблених професійними організаціями та програмних продуктів, що розповсюджуються на ринках.

Програмні засоби захисту мають такі різновиди спеціальних програм:

Ідентифікація технічних засобів, файлів та аутентифікації користувачів;

Реєстрація та контроль роботи технічних засобів та користувачів;

обслуговування режимів обробки інформації обмеженого користування;

Захист операційних засобів ЕОМ та прикладних програм користувачів;

Знищення інформації у ЗУ після використання;

контроль використання ресурсів;

Допоміжні програми захисту різного призначення.

Криптографічні засоби захисту

Перетворення математичними методами секретного повідомлення, телефонної розмови або комп'ютерних даних, що передається по каналах зв'язку, таким чином, що вони стають абсолютно незрозумілими для сторонніх осіб.

Організаційно-технічні заходи забезпечують блокування розголошення та витоку конфіденційних відомостей через технічні засоби забезпечення виробничої та трудової діяльності, а також протидію технічним засобам промислового шпигунства за допомогою спеціальних технічних засобів, що встановлюються на елементи конструкцій будівель приміщень та технічних засобів, що потенційно утворюють канал.

З цією метою можливе використання:

Технічних засобів пасивного захисту, наприклад фільтрів обмежувачів тощо розв'язки акустичних електричних і електромагнітних систем захисту мереж телефонного зв'язку, енергопостачання, радіо та ін.

Технічні засоби активного захисту: датчики акустичних шумів та електромагнітні перешкоди.

Організаційно-технічні заходи щодо захисту інформації можна поділити на просторові, режимні та енергетичні.

Просторові заходи виражаються у зменшенні ширини діаграми спрямованості, ослабленні бічних та заднього пелюсток діаграми спрямованості випромінювання радіоелектронних засобів (РЕМ).

Режимні заходи зводяться до використання прихованих методів передачі з засобів зв'язку: шифрування, квазипеременные частоти передачі та інших.

Енергетичні - це зниження інтенсивності випромінювання та робота РЕМ на знижених потужностях.

Технічні заходи це заходи, що забезпечують придбання, встановлення та використання в процесі виробничої діяльності спеціальних, захищених від побічних випромінювань (безпечних) технічних засобів або засобів, ПЕМІ яких не перевищують кордон території, що охороняється.

Технічні заходи захисту конфіденційної інформації можна поділити на приховування, придушення та дезінформацію.

Приховування виявляється у використанні радіомовчання та створення пасивних перешкод прийомним засобам зловмисників.

Придушення - створення активних перешкод засобам зловмисників.

Дезінформація – це організація помилкової роботи технічних засобів зв'язку та обробки інформації; зміна режимів використання частот та регламентів зв'язку; показ помилкових демаструючих ознак діяльності та розпізнавання.

Захисні заходи технічного характеру можуть бути спрямовані на конкретний технічний пристрій або конкретну апаратуру і виражаються в таких заходах, як відключення апаратури на час ведення конфіденційних переговорів або використання тих чи інших захисних пристроїв типу обмежувачів буферних засобів фільтрів і пристроїв зашумлення.

2.4 Система захисту інформації

інформаційний безпека цілісність

Під Системою безпеки розумітимемо організаційну сукупність спеціальних органів, служб, засобів, методів та заходів, що забезпечують захист життєво важливих інтересів особистості, підприємств, держави від внутрішніх та зовнішніх загроз

Система безпеки

ü Розробка планів та заходів щодо захисту інформації;

ü Формування, забезпечення та розвиток органів, сил та засобів забезпечення безпеки;

ь Відновлення об'єктів захисту

ü Виявлення загрози;

ü Запобігання загрозі;

ü Нейтралізація загрози;

ü Припинення загрози;

ь Локалізація загрози;

ü Відбиття загрози;

ь Знищення загрози

Система захисту інформації (СЗІ) - це організована сукупність спеціальних органів засобів, методів та заходів, що забезпечують захист інформації від внутрішніх та зовнішніх загроз.

З позицій системного підходу захисту інформації пред'являються певні вимоги. Захист інформації має бути:

1. Безперервний.

2. Плановий. Кожна служба розробляє план захисту у сфері своєї компетенції.

3. Цілеспрямованою. Захищається те, що має захищатися на користь конкретної мети.

4. Конкретним. Захищаються конкретні дані, які об'єктивно підлягають захисту.

5. Активний.

6. Надійний.

7. Універсальний. Поширюється на будь-які канали витоку інформації.

8. Комплексний. Застосовуються всі необхідні види та форми захисту.

Для реалізації цих вимог СЗІ може мати таке забезпечення:

1. Правове.

2. Організаційне. Різні види служб.

3. Апаратне. Технічні засоби захисту.

4. Інформаційне. Відомості, дані, показники.

5. Програмне. Програми.

6. Математичне. Математичні методи.

7. Лінгвістичне. Мовні засоби спілкування.

8. Нормативно-методичне. Регламент діяльності служб, практичні методики.

Способи - це порядок та прийоми використання сил та засобів для досягнення поставленої мети щодо захисту конфіденційної інформації.

Способи захисту інформації - це сукупність прийомів, сил і засобів, що забезпечують конфіденційність, цілісність, повноту та доступність інформації, та протидію внутрішнім та зовнішнім загрозам.

Забезпечення інформаційної безпеки досягається системою заходів, спрямованих на:

· Попередження загроз. Попередження загроз - це превентивні заходи щодо забезпечення інформаційної безпеки на користь запобігання можливості їх виникнення;

· Виявлення загроз. Виявлення загроз виявляється у систематичному аналізі та контролі можливості появи реальних або потенційних загроз та своєчасних заходів щодо їх попередження;

· Виявлення загроз. Виявлення має на меті визначення реальних загроз та конкретних злочинних дій;

· локалізацію злочинних дій та вжиття заходів щодо ліквідації загрози або конкретних злочинних дій;

· Ліквідацію наслідків загроз і злочинних дій та відновлення статус-кво.

Попередження можливих загроз та протиправних дій може бути забезпечене різними заходами та засобами, починаючи від створення клімату глибоко усвідомленого ставлення працівників до проблеми безпеки та захисту інформації до створення глибокої, ешелонованої системи захисту фізичними, апаратними, програмними та криптографічними засобами.

Попередження загроз можливе і шляхом отримання (якщо хочете - і добування) інформації про підготовку протиправних актах, планованих розкраданнях, підготовчих діях та інших елементах злочинних діянь. Для цих цілей необхідна робота співробітників служби безпеки з інформаторами на користь спостереження та об'єктивної оцінки ситуації як усередині колективу співробітників, особливо головних ділянок її фірми, так і поза, серед конкурентів та злочинних формувань.

У запобіганні загрозам дуже важливу роль відіграє інформаційно-аналітична діяльність служби безпеки на основі глибокого аналізу криміногенної обстановки та діяльності конкурентів та зловмисників.

Виявлення має на меті проведення заходів щодо збору, накопичення та аналітичної обробки відомостей про можливу підготовку злочинних дій з боку кримінальних структур або конкурентів на ринку виробництва та збуту товарів та продукції.

Виявлення загроз - це дії щодо визначення конкретних загроз та їх джерел, які завдають той чи інший вид шкоди. До таких дій можна віднести виявлення фактів розкрадання чи шахрайства, а також фактів розголошення конфіденційної інформації або випадків несанкціонованого доступу до джерел комерційних секретів.

Припинення чи локалізація загроз - це дії, спрямовані на усунення чинної загрози та конкретних злочинних дій. Наприклад, припинення підслуховування конфіденційних переговорів за рахунок акустичного каналу витоку інформації щодо вентиляційних систем.

Ліквідація наслідків має на меті відновлення стану попереднього настання загрози.

Природно припустити, що кожному виду загроз притаманні його специфічні методи, сили та засоби.

Висновок

Оскільки людський фактор є ключовим для забезпечення належного рівня безпеки, всі співробітники повинні мати уявлення про можливі загрози і проблеми і повинні у своїй роботі реалізовувати політику інформаційної безпеки компанії. Для досягнення цього має проводитися навчання працівників, які мають доступ до важливої ​​інформації.

Службою безпеки компанії мають бути забезпечені фізична безпека та контроль доступу до ресурсів:

· Робочі місця співробітників, лабораторії та серверні повинні розташовуватися в окремих приміщеннях;

· Доступ до ресурсів, а також безпека всередині центру розробки компанії повинні ефективно контролюватись з метою забезпечення безперервності виробничих процесів;

· Доступ до приміщень з дорогими системами та носіями конфіденційної інформації повинні контролюватись цілодобово.

Також у компанії має бути розроблений та впроваджений план із забезпечення безперервності бізнес-процесів. У цьому плані мають бути визначені основні ризики та загрози безпеці, методи запобігання зупинці ключових виробничих процесів та їх відновлення після позаштатних ситуацій. План повинен включати регулярне проведення внутрішніх аудитів, навчань з відновлення після аварій та ліквідації наслідків надзвичайних подій.

До технічних заходів щодо попередження витоку інформації належить використання компанії інформаційних систем класу ILDP (Information Leakage Detection and Prevention). Це інструменти, які мають виконувати політики інформаційної безпеки. Технічні засоби повинні аналізувати інформацію, що передається по можливих каналах, і, у разі виявлення конфіденційної інформації, перешкоджати її витоку відповідно до правил та політики інформаційної безпеки компанії.

Важливо пам'ятати, що універсального 100% захисту від витоку інформації не існує ніде і не існуватиме ніколи. Отже, ступінь захисту від витоку може бути визначено як співвідношення витрат на захист і вартості самої інформації, що захищається.

Список тавикористовуємоой літератури

1. Бармен Скотт. Розробка правил інформаційної безпеки. М.: Вільямс, 2002. - 208 с. - ISBN 5-8459-0323-8, ISBN 1-5787-0264-X.

2. Бастриков, М.В. Інформаційні технології управління: Навчальний посібник / М.В.Бастриков, О.П.Пономарьов; Інститут «КВШУ». - Калінінград: Вид-во Ін-ту «КВШУ», 2005

3. Домарьов В. В. Безпека інформаційних технологій. Системний підхід - К.: ТОВ ТІД Діа Софт, 2004. - 992 с.

4. Запечніков С. В., Милославська Н. Г., Толстой А. І., Ушаков Д. В. Інформаційна безпека відкритих систем. У 2-х тт.

5. Інформаційна безпека та захист інформації: Навчальний посібник. – Ростов-на-Дону: Ростовський юридичний інститут МВС Росії, 2004. – 82 с.

6. Шаньгін В. Ф. Захист комп'ютерної інформації. Ефективні методи та засоби. М.: ДМК Прес, 2008. - 544 с. - ISBN 5-94074-383-8.

7. Щербаков А. Ю. Сучасна комп'ютерна безпека. Теоретичні основи. Практичні аспекти - М.: Книжковий світ, 2009. - 352 с. - ISBN 978-5-8041-0378-2.

8. «Служба захисту інформації: перші кроки» // Комп'ютерПрес 9"2008 (http://www.compress.ru/Index.aspx)

Розміщено на Allbest.ru

Подібні документи

Стан захищеності інформації та інформаційного середовища від випадкових чи навмисних впливів. Цілі інформаційної безпеки, класифікація загроз. Забезпечення конфіденційності, цілісності, доступності інформації; правовий захист людини.

презентація , доданий 11.04.2016


Класифікація інформації щодо значущості. Категорії конфіденційності та цілісності інформації, що захищається. Поняття інформаційної безпеки, джерела інформаційних загроз. Напрями захисту інформації. Програмні криптографічні засоби захисту.

курсова робота , доданий 21.04.2015


Вплив виду діяльності підприємства на організацію комплексної системи захисту. Склад інформації, що захищається. Потенційні канали несанкціонованого доступу інформації організації. Ефективність системи інформаційної безпеки.

звіт з практики, доданий 31.10.2013


Поняття, значення та напрями інформаційної безпеки. Системний підхід до організації інформаційної безпеки; захист інформації від несанкціонованого доступу. Засоби захисту. Методи та системи інформаційної безпеки.

реферат, доданий 15.11.2011


Поняття та основні засади забезпечення інформаційної безпеки. Поняття безпеки в автоматизованих системах. Основи законодавства РФ у галузі інформаційної безпеки та захисту інформації, процеси ліцензування та сертифікації.

курс лекцій, доданий 17.04.2012


Основні аспекти забезпечення інформаційної безпеки, конфіденційності та цілісності інформації. Приклади загроз, які є порушенням цілісності та доступності інформації. Суб'єкти, об'єкти та операції в інформаційних системах, права доступу.

контрольна робота , доданий 30.12.2010


Аналіз інформаційної захищеності організації, що надає послуги з друку зображень (принтів), логотипів, гасел. Засоби архівації інформації. Класифікація комп'ютерних вірусів, антивірусні програми. Профілактика зараження комп'ютера.

звіт з практики, доданий 19.12.2014


Структурна та просторова моделі банку. Умовні ціни на одиниці інформації. Моделювання загроз безпеки. Система рангів найнебезпечніших технічних каналів витоку інформації. Вимоги щодо організації інформаційної безпеки на підприємстві.

контрольна робота , доданий 24.04.2014


Під інформаційною безпекою систем розуміється підтримання фізичної безпеки, конфіденційності, достовірності, своєчасності інформації, гарантованої працездатності засобів, використовуваних для введення, зберігання, обробки та передачі.

курсова робота , доданий 29.11.2008


Вимоги до інформації: доступність, цілісність та конфіденційність. Модель CIA як інформаційна безпека, що будується на захисті доступності, цілісності та конфіденційності інформації. Прямі та непрямі загрози, засоби захисту інформації.

Інформація грає особливу роль процесі розвитку цивілізації. Володіння інформаційними ресурсами та раціональне їх використання створюють умови оптимального управління суспільством. І навпаки, перекручування інформації, блокування її отримання, використання недостовірних даних ведуть до помилкових рішень.

Одним з головних факторів, що забезпечують ефективність в управлінні різними сферами життя, є правильне використання інформації різного характеру. Темпи прогресу сьогодення, а тим більше завтрашнього дня значною мірою залежать від стану справ у галузі інформаційно-обчислювального обслуговування найважливіших сфер діяльності – науки, техніки, виробництва та управління.

Особливо актуальною є проблема використання економічної інформації у сфері управління матеріальним виробництвом, де зростання інформаційного потоку знаходиться у квадратичній залежності від промислового потенціалу країни. У свою чергу, швидкий розвиток процесів автоматизації, використання комп'ютерів у всіх сферах сучасного життя, окрім безперечних переваг, спричинили появу низки специфічних проблем. Одна з них – необхідність забезпечення ефективного захисту інформації. Виходячи з цього створення правових норм, що закріплюють права та обов'язки громадян, колективів та держави на інформацію, а також захист цієї інформації стають найважливішим аспектом інформаційної політики держави. Захист інформації, особливо в економічній сфері, – дуже специфічний та важливий вид діяльності. Досить сказати, що у світі середня величина збитків від одного банківського крадіжки із застосуванням електронних засобів оцінюється в 9 тис. дол. Щорічні втрати від комп'ютерних злочинів у США та Західній Європі досягають 140 млрд. дол. комп'ютерних мереж призведе до руйнування 20% середніх компаній протягом кількох годин, 40% середніх та 16% великих компаній зазнають краху через кілька днів, 33% банків луснуть за 2–5 годин, 50% банків – через 2–3 дні.

Цікаві відомості про проблеми захисту даних, що призвели до матеріальних втрат у компаніях США:

збої у роботі мережі (24%);

помилки програмного забезпечення (14%);

комп'ютерні віруси (12%);

несправності у комп'ютерах (11%);

розкрадання даних (7%);

саботаж (5%);

несанкціоноване використання у мережу (4 %);

інші (23%).

Бурхливий розвиток та розповсюдження комп'ютерних систем та інформаційних мереж, що обслуговують банки та біржі, супроводжується зростанням правопорушень, пов'язаних з крадіжками та неправомірним доступом до даних, що зберігаються в пам'яті комп'ютерів та передаються по лініях зв'язку.

Комп'ютерні злочини відбуваються сьогодні у всіх країнах світу та поширені у багатьох сферах людської діяльності. Вони характеризуються високою скритністю, складністю збору доказів за встановленими фактами їх вчинення та складністю доказу в суді подібних справ. Правопорушення у сфері комп'ютерної інформації можуть відбуватися у формі:

махінацій шляхом комп'ютерного маніпулювання системою обробки даних з метою отримання фінансової вигоди;

комп'ютерного шпигунства та крадіжки програмного забезпечення;

комп'ютерні диверсії;

крадіжки послуг (часу), неправомірного використання систем обробки даних;

неправомірного доступу до систем обробки даних та «зламування» їх;

традиційних злочинів у сфері бізнесу (економіки), скоєних з допомогою систем обробки даних.

Здійснюють комп'ютерні злочини, як правило, висококваліфіковані системні та банківські програмісти, фахівці у галузі телекомунікаційних систем. Неабияку загрозу інформаційним ресурсам становлять хакериі крекери,що проникають у комп'ютерні системи та мережі шляхом злому програмного забезпечення захисту. Крім того, крекери можуть стерти або змінити дані в інформаційному банку відповідно до своїх інтересів. За останні десятиліття в країнах колишнього СРСР з'явилася потужна генерація високопідготовлених потенційних хакерів, які працювали в організаціях та відомствах, займалися інформаційним піратством на державному рівні для використання отриманої із Заходу інформації у військових та економічних інтересах.

Що ж крадуть хакери? Потенційним об'єктом може бути будь-яка інформація, закладена в ЕОМ, що проходить по обчислювальним мережам чи яка перебуває на носіях ЕОМ і здатна принести прибуток хакеру чи його роботодавцю. До цієї інформації відносяться практично всі відомості, що становлять комерційну таємницю фірм, починаючи від розробок і ноу-хау і закінчуючи платіжними відомостями, якими легко «обчислити» оборот фірми, кількість співробітників тощо.

Особливо цінною є інформація щодо банківських угод та кредитів, що проводиться електронною поштою, а також угоди на біржі. Великий інтерес представляють для хакерів програмні продукти, що оцінюються на сучасному ринку в тисячі, а то й у мільйони доларів.

Крекери – «комп'ютерні терористи» – займаються псуванням програм чи інформації з допомогою вірусів – спеціальних програм, які забезпечують знищення інформації чи збої у роботі системи. Створення «вірусних» програм – справа дуже прибуткова, оскільки деякі фірми-виробники використовують віруси для захисту своїх програмних продуктів від несанкціонованого копіювання.

Для багатьох фірм отримання інформації за допомогою впровадження до конкурентів хакера-програміста – справа найпростіша та найприбутковіша. Впроваджувати суперникам спецтехніку, постійно контролювати їх офіс на випромінювання за допомогою спеціальної апаратури – справа дорога та небезпечна. До того ж фірма-конкурент при виявленні технічних засобів може у відповідь затіяти гру, даючи неправдиву інформацію. Тому свій хакер-програміст у стані ворога – найбільш надійний спосіб боротьби з конкурентами.

Таким чином, небезпека комп'ютерної злочинності, що наростає, насамперед у фінансово-кредитній сфері, визначає важливість забезпечення безпеки автоматизованих інформаційних систем.

Під Безпекою автоматизованої інформаційної системи організації (установи) розуміється її захищеність від випадкового чи навмисного втручання у нормальний процес функціонування, і навіть від спроб розкрадання, модифікації чи руйнації її компонентів.Безпека системи досягається забезпеченням конфіденційності інформації, що обробляється, а також цілісності і доступності компонентів і ресурсів системи.

Конфіденційність комп'ютерної інформаціїце властивість інформації бути відомою лише допущеним і таким, що пройшли перевірку (авторизацію) суб'єктам системи (користувачам, програмам, процесам і т. д.).

Цілісністькомпонента (ресурсу) системи – властивість компонента (ресурсу) бути постійним (в семантичному сенсі) при функціонуванні системи.

Доступністькомпонента (ресурсу) системи – властивість компонента (ресурсу) бути доступним використання авторизованими суб'єктами системи у час.

Безпека системи забезпечується комплексом технологічних та адміністративних заходів, що застосовуються щодо апаратних засобів, програм, даних та служб з метою забезпечення доступності, цілісності та конфіденційності пов'язаних із комп'ютерами ресурсів; сюди ж належать і процедури перевірки виконання системою певних функцій у суворій відповідності до їх запланованого порядку роботи.

Систему безпеки системи можна розбити на наступні підсистеми:

комп'ютерну безпеку;

безпека даних;

безпечне програмне забезпечення;

безпека комунікацій.

Комп'ютерна безпеказабезпечується комплексом технологічних та адміністративних заходів, що застосовуються щодо апаратних засобів комп'ютера з метою забезпечення доступності, цілісності та конфіденційності пов'язаних з ним ресурсів.

Безпека данихдосягається захистом даних від неавторизованих, випадкових, умисних або виникли за недбалістю модифікацій, руйнувань або розголошення.

Безпечне програмне забезпеченняявляє собою загальноцільові та прикладні програми та засоби, що здійснюють безпечну обробку даних у системі та безпечно використовують ресурси системи.

Безпека комунікаційзабезпечується за допомогою аутентифікації телекомунікацій за рахунок вжиття заходів щодо запобігання наданню неавторизованим особам критичної інформації, яка може бути видана системою у відповідь на телекомунікаційний запит.

До об'єктам інформаційної безпекина підприємстві (фірмі) відносять:

інформаційні ресурси, що містять відомості, віднесені до комерційної таємниці, та конфіденційну інформацію, подану у вигляді документованих інформаційних масивів та баз даних;

засоби та системи інформатизації – засоби обчислювальної та організаційної техніки, мережі та системи, загальносистемне та прикладне програмне забезпечення, автоматизовані системи управління підприємствами (офісами), системи зв'язку та передачі даних, технічні засоби збору, реєстрації, передачі, обробки та відображення інформації, а також їх інформативні фізичні поля.

У світі інформаційні ресурси стали однією з потужних важелів економічного розвитку підприємств (фірм), які грають значної ролі у підприємницької діяльності. Більше того, відсутність у сфері вітчизняного бізнесу ефективних комп'ютерних та сучасних інформаційних технологій, що є основою функціонування «швидких» економік, суттєво гальмує перехід на нові форми господарювання.

В інформаційних та автоматизованих системах управління підприємством (фірмою) на перший план виступає забезпечення ефективного вирішення завдань маркетингового управління, тобто завдань обліку та аналізу контрактів та контактів підприємства (фірми), пошуку бізнес-партнерів, організації рекламних кампаній просування товарів, надання посередницьких послуг, розроблення стратегії проникнення на ринки тощо.

Не володіючи підтримкою різних політичних, комерційних та офіційних силових структур, якісно провести якусь серйозну операцію зазвичай вдається, лише приховавши свою справжню діяльність («нелегали справи») та своє справжнє обличчя («нелегали особистості»).

Це відноситься як до самодіяльного індивіда, так і до неофіційного угруповання, спеціально створеного для вирішення якихось делікатних, які не користуються загальним схваленням завдань.

Така сама проблема виникає і тоді, коли з будь-якої причини персони треба ховатися від різних служб комерційного, державного, кримінального, політичного роду.

Типовим нелегалом можна стати і свідомо, і вимушено. У будь-якому випадку необхідно знати хоча б мінімум стандартних тактик безпеки, щоб вдало проскочити цей період, не втративши по явній дурості фізичної або психічної свободи, а часом самого життя.

Рівень використовуваних заходів страховки залежить як від ступеня бажаної конспірації людини (чи групи), і від ситуації, середовища проживання і, зрозуміло, від можливостей самих страхующихся.

Окремі прийоми особистої безпеки мають стати природною звичкою та виконуватися незалежно від потреб сьогохвилинної ситуації.

Представлене тут не вичерпує можливих засобів повсякденної страховки, критерієм для застосування яких завжди є висока думка про противника і, звичайно, здоровий глузд самих, що страхуються.

Типові такі види безпеки:

Зовнішня (під час спілкування з сторонніми);

Внутрішня (при контактуванні у своєму середовищі та групі);

Локальна (у різних ситуаціях та діях).

Розглянемо все це трохи докладніше.

Зовнішня безпека

Різні неприємності можуть виникнути при спілкуванні зі звичайними людьми та держструктурами, але багато тут можна передбачити і уникнути, використовуючи банальний принцип трьох «не»: не дратувати, не зв'язуватися, не виділятися.

Необхідно:

Не привертати себе зайвої уваги (тактика «розчинення серед»):

– не виділятися зовнішнім виглядом (звичайна стрижка, пристойний одяг, відсутність чогось «крикливого»; якщо, однак, ваше оточення екстравагантне, то – будьте як вони…);

– не вплутуватися в сварки та скандали (це, по-перше, привертає до вас непотрібну увагу, а по-друге, може бути просто провокацією, націленою на затримання чи покарання);

– акуратно вносити всі комунальні платежі та інші держмита; завжди оплачувати проїзд у транспорті;

- Намагатися точно слідувати малюнку обраної соціальної ролі і не мати претензій по роботі (і не виділятися там на загальному колективному тлі ...);

– не розпалювати нав'язливої ​​цікавості сусідів незвичайністю способу життя чи візитами різних людей;

– не виявляти надмірної поінформованості в чомусь, якщо, звичайно, цього не вимагає ваша роль (не забувайте давніх: «У пильного має бути закон про трьох немає: „не знаю“, „не чув“, „не розумію“») .

Не породжувати будь-якої неприязні в сусідах, товаришів по службі і знайомих, а викликати в них симпатію:

– не бути «білою вороною» (людей завжди сприяє собі той, хто розкривається зі зрозумілого їм боку…);

– виробити манеру поведінки, яка викликає у оточуючих можливої ​​настороженості (зайвою цікавістю, «розумом» чи нав'язливістю…) чи ворожості (безтактністю, занудством, гординею, грубістю…);

– бути рівним і люб'язним з усіма оточуючими та, по можливості, надавати їм дрібні (але не лакейські!) послуги;

– не робити нічого, що може викликати невдоволення та цікавість сусідів (грюкання дверима вночі, надлишок відвідувачів, повернення додому на таксі, візити жінок, пізні виклики по телефону у спільній квартирі…).

Ретельно контролювати всі свої зв'язки та контакти (пам'ятати, що «найнебезпечніший той ворог, про якого не підозрюєш»):

– зберігати таємниці від своїх ближніх (дружини, друзів, родичів, коханки…);

– зі звичною настороженістю («навіщо і чому?») завжди сприймати спроби зблизитися з вами (випадкове знайомство, чиїсь рекомендації…);

– уважно ставитися до всіх працівників ремонтних служб, реклами та сервісу, переглядати їх документи та ввічливо, але обґрунтовано звіряти ідентичність по телефону, а потім – у товаришів по службі;

- бути обережним з усіма, хто пропонує як би «безкорисливі» послуги (дає гроші в борг, активно в чомусь допомагає, надає дешево щось потрібне ...).

З'ясувати власні вразливості та знати, як можна тут підстрахуватися:

– проаналізувати все своє життя та виділити ті сумнівні моменти, які можуть використовуватися для шантажу чи дискредитації;

– реально оцінити можливі наслідки від оголошення таких фактів усім, кому вони можуть бути повідомлені;

- прикинути, хто і чому здатний знати компромат і як можна нейтралізувати подібну поінформованість;

- Визначити об'єкти своєї вразливості (жінка, діти, моральні підвалини ...), оскільки через них на вас можуть здійснювати тиск;

- Виявити свої слабкості (хобі, вино, секс, гроші, риси характеру ...) і пам'ятати, що їх завжди можуть використовувати проти вас.

- Не вплутуватися в сумнівні афери, не пов'язані із спільною справою. У ризиковані авантюри, що мають відношення до справи, встрявати лише за дозволу згори.

Контакти у середовищі не можна розглядати як гарантовано безпечні. Пам'ятайте, що «найбільша шкода зазвичай виходить від двох умов: від розголошення таємниці та довіри віроломним».

Збереження таємниці особистості:

- замість справжніх імен завжди використовуються псевдоніми (зазвичай іменні, але також цифрові, літерні або прізвиськові); кожному напрямі «гравці» проходять під окремим псевдонімом, хоча можлива робота під кількома варіантами, і навіть дію під загальним псевдонімом кількох різних осіб;

- Члени команди, по можливості, знають один одного тільки під псевдонімами; про справжні прізвища, домашні адреси та телефони повинні бути поінформовані лише довірені особи;

– при нависаючій можливості провалу та розшифровки всі застосовувані псевдоніми, як правило, змінюються;

– не слід давати будь-кому інтимних та інших відомостей про власну персону;

– намагатися створювати (використовуючи натяки чи чутки) вигадану, але зовні правдоподібну «легенду» про себе;

- ніхто в групі не повинен виявляти надмірного інтересу до занять, звичок та інтимного життя своїх товаришів;

– ніхто не повинен повідомляти іншим жодних даних про партнерів, якщо цього не потребує нагальної необхідності;

- В окремих випадках має сенс візуально змінювати вигляд (зачіска, борода, грим, перуки, татуювання, колір шкіри, окуляри з простими або димчастим склом і різними оправами, вставки, що змінюють голос і ходу ...);

– необхідно набути звички не залишати по собі будь-яких матеріальних слідів, які свідчать, що ви тут були (недокурків, кинутих папірців, слідів взуття, контрастних запахів, помітних змін у обстановці…).

Збереження таємниці справи:

– активні робочі контакти підтримуються зі суворо обмеженим набором осіб (система трійок чи п'ятірок залежно від розв'язуваних завдань…), у своїй співтовариші нічого не винні знати, чим конкретно займаються партнери;

– кожен спеціалізується лише у двох-трьох областях, після того, як діяльністю в одній з них йому стало надто небезпечно займатися – можливий перепочинок, а також перехід на інший напрямок;

– необхідно суворо розрізняти оперативну та інформаційну роботи: нехай кожен займається лише своєю справою;

– найкраще маскують підготовку до конкретної акції заходи щодо втілення іншої;

– розповідати про свою діяльність іншим можна лише у тому випадку, якщо це необхідно їм для справи; пам'ятати, що таємниця зберігається максимум п'ятьма людьми;

– передавати отриману інформацію треба лише тим, кому вона свідомо необхідна (висловлювання надмірної поінформованості в чомусь здатне виявити джерело інформації, а це може призвести до його нейтралізації);

– бути обережним при залученні засобів зв'язку, що дають явні можливості для перехоплення інформації (поштові послання, радіо- та телефонні переговори…);

– у жодному разі не писати відкритим текстом у листах реальних адрес, імен та установок, не згадувати їх у розмовах, що ведуть на вулиці або по телефону;

- Використовувати коди і псевдоніми навіть при внутрішньогруповому спілкуванні, іноді змінюючи їх;

– група повинна мати 2–3 окремі шифри, відомі різним людям;

- Більше розраховувати на пам'ять, ніж на запис; у разі треба використовувати свій особистий код і шифр;

– намагатися не мати компрометуючих паперів, написаних власним почерком або надрукованих на власній оргтехніці;

– у спілкуванні з «засвіченими» персонами утримуватись від прямих контактів, використовуючи, якщо знадобиться, побічних осіб чи інші засоби зв'язку;

– завжди враховувати та пам'ятати, що є можливість витоку інформації чи зради, та бути готовим до відповідних контрдій.

Найкращою гарантією успіху є зазвичай підстраховка, і тому будь-які дії бажано здійснювати з урахуванням усіх можливих неприємностей з боку супротивника або свідків, що випадково підвернулися.

Загальні правила прямого спілкування.

намагатися не вести інформативні бесіди відкритим текстом на людній вулиці чи громадському транспорті;

не слід згадувати у відкритій розмові справжніх прізвищ, імен, загальновідомих прізвиськ та адрес, а також не вживати «стрево-живучу» термінологію;

використовувати для позначення окремих процесів кодові найменування;

найтаємніші аспекти розмови (справжні адреси, паролі, дати) пишуться на папері, який потім знищується;

необхідно орієнтуватися в технічних можливостях систем підслуховування та знати елементарні заходи протидії їм (див. розділ отримання інформації…);

якщо один із співрозмовників під час розмови помічає щось насторожуюче, партнер попереджається особливим словом («атас»…) або ж жестом (палець до губ…), і вся розмова перетворюється на нейтральне русло;

якщо ви знаєте, що підслуховують, інформативні переговори краще не вести або використовувати їх для дезінформації;

коли вас імовірно «слухають», а поспілкуватися все ж таки треба, то користуються умовною мовою, де безневинні пропозиції мають зовсім інший сенс; застосовуються також фрази, які слід враховувати (про них зазвичай повідомляється будь-яким обговореним жестом, наприклад, схрещуванням пальців…), а найчастіше й стандартні прийоми (покашлювання, вкладиші у роті…), утрудняють упізнання говорить;

коли необхідно забезпечити повну таємницю спілкування в людному місці, використовують методи умовного (невербального) зв'язку, такі, як мову жестикуляції, рухів тіла і жестів пальцями, а також коди, що спираються на атрибутику одягу (різні положення головного убору, краватки, носової хустки…) або на маніпулювання підручними предметами (годинником, цигарками, ключами…).

А. ЗАБЕЗПЕЧЕННЯ ОСОБИСТОЇ БЕЗПЕКИ:

– намагатися обговорювати час чужих та власних дзвінків та обмежувати частоту контактів;

- не зловживати бесідами по власному телефону (враховуючи, що його можуть прослуховувати) і не давати іншим без потреби свій номер (знаючи, що по ньому неважко вийти на вашу адресу);

– враховувати, що слухати можуть як всю телефонну розмову (при підключенні на лінії…), так і лише те, про що ви говорите (закладений «жучок» або сусід за дверима…);

– корисно вбудувати в апарат найпростішу «контрольку» (яка фіксує падіння напруги…) на підключення до лінії чужої апаратури;

– використовувати АОН (автоматичний визначник номера), а краще б «анти-анти-АОН», щоб не афішувати свій номер під час викликів інших;

- Не покладатися на надійність будь-яких радіотелефонів;

– міжміські та інші фіксовані контакти краще здійснювати з чужого «номера» за стільниковим «двійником» або радіоподовжувачем (див. розділ про шантаж…), а також через безпосереднє підключення до будь-якої пари контактів у розподільному щиті;

- Для більшої таємниці переговорів можна задіяти шифратори (хоча б простенькі імпровізовані інверсори і скремблер), хоча застосування їх здатне різко стимулювати увагу інших;

– не слід особливо довіряти захисту за допомогою «зашумлення» або «підйому напруги в лінії»;

– якщо ви не хочете «розшифровуватися» співрозмовнику, то можна спробувати змінити свій голос (за допомогою механічних та електронних штучок, або простим покашлюванням, витягуванням та розведенням губ, перетисканням носа…) та стилістичний малюнок розмови (використанням жаргону…);

- Не забувати, що іноді прослуховуються і телефони-автомати, розташування яких легко обчислюється, як і всіх інших телефонів;

– якщо чужий дзвінок вам потрібен, але немає бажання давати свої координати, використовується проміжний – з автовідповідачем або живим «диспетчером», який може або знати або не знати (односторонній варіант…) ваш приватний номер – телефон;

– в окремих випадках можливе безсловесне використання телефону, коли один, а частіше кілька «порожніх» дзвінків у певному ритмі виявляють певний код;

- конкретним сигналом іноді може служити просто факт дзвінка певної особи при найдрібнішому розмові, а також кодова згадка умовних імен при помилці номером.

Б. ЗАБЕЗПЕЧЕННЯ СЛОВЕСНОЇ БЕЗПЕКИ:

- Не проводити ділові розмови відкритим текстом;

– не називати справжніх дат, прізвищ, адрес;

- Використовувати кодові найменування окремих дій;

– користуватися умовною мовою, в якій невинні фрази мають зовсім інший сенс;

– дзвонити лише за потребою, хоча можливий також варіант частих розмов «не по ділу» з однією людиною (тактика «розчинення інформації»).

В. БЕСЕДА ПРИ ПОСТОРОННИХ:

– весь діалог веде партнер, а ви лише кажете «так» чи «ні», щоб поряд стоять нічого не зрозуміли і не впізнали;

- Про те, що поруч сторонні, повідомляється відкритим текстом або словесним кодом; бесіду після цього повинен вести партнер, якому не належить ставити будь-які питання, що вимагають розгорнутих відповідей;

- коли є прямий контроль не дуже дружньої особи, партнер попереджається про це обговореною фразою-кодом (краще у привітанні ...), після чого вся розмова ведеться в порожньому або в дезінформаційному стилі;

– якщо один із співрозмовників вважає, що телефон його прослуховують, він одразу ж намагається попередити про це за допомогою добре відомої всім їм фрази («зуби болять»…), і розмова потім згортається в нейтральне русло.

Г. КОРИСТУВАННЯ ЗАГАЛЬНИМ ТЕЛЕФОНОМ (У КВАРТИРІ, НА РОБОТІ…):

- якнайменше використовувати подібний телефон (особливо - «на прийом»), якщо це не пов'язано з роллю, що розігрується (диспетчер, агент з реклами ...);

- дзвонити на цей телефон повинен той самий чоловік;

- Намагатися не дзвонити зайво пізно і занадто рано;

– при спробі сторонніх ідентифікувати голос того, хто дзвонить («Хто запитує?»…), відповісти ввічливо-нейтрально («співробітник»…) і, якщо викликаного немає, відразу припинити подальшу бесіду;

- По суті, нескладно зробити і окремий телефон, використовуючи, наприклад, кодовий розгалужувач, так що при цьому специфічний набір загального номера надійно забезпечить виклик тільки вашого апарату, анітрохи не торкаючись сусіднього.

Рівень необхідних конкретних випадках заходів безпеки залежить від бажаного ступеня конспіративності контакту, від ступеня легальності його і можливого контролю його чужинцями.

А. ВИБІР МІСЦЯ ЗУСТРІЧІ:

- Доглядаючи підходящі місця для контактування, зазвичай спираються на принципи природності, обґрунтованості та випадковості;

– часті зустрічі найпростіше здійснювати дома фанової тусовки (вписуючись у її малюнок…), у залі спортивної секції, у робочому приміщенні…;

– особливо серйозні збори можна реалізувати у мисливських угіддях, спеціально знятих дачах, у лазнях, курортних санаторіях, на усіляких спортивних базах, на пляжах закордону;

– парні зустрічі призначаються у метро та скверах, у туалетах та в автомобілях, на малооживлених вулицях, у зоопарках, музеях та на виставках; перетину в подібних місцях малоймовірні, тому вони менш небезпечні;

– слід утримуватися від конспіративних зустрічей у відомому ресторані, модному кафе та на вокзалі, враховуючи, що такі точки зазвичай контролюються;

– можливе проведення «випадкових» зустрічей у приватних квартирах третіх осіб з обґрунтованого приводу (похорон, ювілей, «обмивання» якоїсь події…);

– не слід здійснювати якихось зустрічей (крім звичайно звичних) у стереотипних комунальних квартирах;

– гранично обмежено використовуватиме контактування власні квартири;

– у деяких випадках має сенс зняти спеціальну конспіративну квартиру, по можливості у тому будинку, де є дублюючий вихід;

- оглядаючи місце зустрічі, переконайтеся, чи можна туди непомітно проникнути і як звідти можна безпечно вислизнути; пам'ятайте стару істину: «Не знаючи, як піти, – не пробуй входити!»

Б. ІНФОРМУВАННЯ ПРО ЗУСТРІЧ:

- місця можливої ​​зустрічі зазвичай обговорюють заздалегідь, і всім їм надається кодове - літерне, цифрове або "хибне" - найменування, причому кілька варіантів кожному;

– про намічений контакт іншим повідомляється по телефону, пейджеру, листом, а також через зв'язки;

– змовляючись про зустрічі по лініях «відкритої» зв'язку, застосовують кодове найменування місця, шифровану дату (наприклад, день перед зазначеним) і зрушений час (на постійне чи ковзна число);

- До настання наміченого терміну необхідно видати підтвердження контакту або відкритим текстом, або сигнальним зв'язком;

– у разі, якщо під час зустрічі допустиме очікування (на зупинці міського транспорту, у черзі на автозаправці…), бажано вказати конкретний проміжок часу, після якого чекати вже не треба.

В. ПРОВЕДЕННЯ ЗУСТРІЧІ:

- На багатолюдні збори слід прибувати не скопом, а розосередившись і не залишаючи в одному місці всі особисті автомобілі;

– намагатися уникати присутності на зборах будь-яких сторонніх та зайвих осіб;

- розуміючи, що про багатолюдні таємні зустрічі, швидше за все, знатимуть і ті, кому не треба, не слід брати з собою явно компрометуючих речей (зброї, підроблених документів ...) і пам'ятати, що їх можуть інколи підсунути;

- дуже бажаний контроль місця спілкування спеціальними людьми до, під час і після зустрічі, з тим, щоб за необхідності вони могли попередити про небезпеку, використовуючи будь-які обговорені (враховуючи своє захоплення) сигнали;

– при всілякому контакті треба прикидати, яким чином вас можуть підглядати чи підслухати, уперто ставлячи собі короткі запитання: «Де? Як? Хто?»;

– особливо таємні розмови треба здійснювати у локальних ізольованих точках, перевірених та підстрахованих на всі можливості підслуховування, підглядання та підриву;

– бажано мати хоча б прості індикатори, що повідомляють про випромінювання радіомікрофонів або ж про наявність у співрозмовника записуючого диктофона;

– корисне застосування навіть «незграбних» іскрових глушників, а також генераторів стирання магнітного запису;

– класичні нелегальні парні зустрічі завжди розраховуються до хвилини та проводяться як «випадкові»;

– щоб у точно призначений час прийти на точку зустрічі, необхідно заздалегідь провести хронометраж руху та дати деякий запас часу на всі несподіванки (перекриття маршрутної траси, прив'язування стороннього, транспортна аварія…);

- якщо зустріч запланована на вулиці, то не заважає прогулятися там за годину до зустрічі, уважно придивляючись до кожного перехожого і всіх автомобілів, що паркуються; якщо вас щось насторожує, то контакт необхідно відкласти, повідомивши про це свого партнера прийомами закамуфльованого сигнального зв'язку;

- при зустрічах з незнайомими персонами останніх дізнаються за описом їх зовнішнього вигляду, конкретної пози або жесту, згадки про речі, що утримуються в руках, а найкраще - по фотографії, з подальшим підтвердженням ідентичності словесним (та іншим) паролем;

- розташовуватися в стаціонарі необхідно так, щоб постійно контролювати явні місця виникнення загрози (скажімо, в кафе - обличчям до входу, спостерігаючи при цьому, що відбувається за вікном і розміщуючись недалеко від відкритого службового ходу ...);

– пам'ятати та виконувати всі раніше зазначені правила словесного спілкування.

Г. ОРГАНІЗАЦІЯ ПРОВЕДЕННЯ ЗАКРИТИХ НАРАД (ПЕРЕГОВОРІВ).

Організація проведення будь-якого заходу, у тому числі нарад та переговорів, пов'язана з його підготовкою. Немає єдиних безпомилкових правил у цьому напрямі. Однак рекомендується наступний варіант схеми такої підготовки: планування, збирання матеріалу та його обробка, аналіз зібраного матеріалу та його редагування.

На початковому етапі планування визначається тема чи питання, які бажано обговорити, та можливі учасники ділової розмови. Крім того, вибирається найбільш вдалий момент, і лише потім домовляються про місце, час зустрічі та організацію охорони підприємства (як правило, такі розмови ведуться тет-а-тет, конфіденційно, без участі сторонніх осіб).

Коли нарада вже призначена, складається план проведення. Спочатку слід визначити цілі, що стоять перед підприємцем, а потім розробляти стратегію їх досягнення і тактику ведення бесіди.

Такий план – це чітка програма дій щодо підготовки та проведення конкретної бесіди. Планування дозволяє пом'якшити, нейтралізувати вплив нових фактів, що несподівано з'явилися, або непередбачених обставин на хід бесіди.

До плану включаються відповідальні за виконання кожного пункту плану та наступні заходи щодо організації безпеки наради (переговорів):

1. Зустріч разом із клієнтом гостей, які прибувають на зустріч.

2. Погодження дій основної охорони та охоронців запрошених осіб.

3. Охорона одягу, речей гостей та їх машин на прилеглій території.

4. Запобігання інцидентам між гостями на зустрічі.

5. Контроль стану напоїв, закусок та інших частування (для цих цілей використовують тренованих собак).

6. Виявлення підозрілих осіб, які перебувають на заході або у суміжних приміщеннях.

7. Зачищення приміщень (зали переговорів та суміжних кімнат) перед проведенням переговорів щодо вилучення підслуховуючих та вибухових пристроїв.

8. Встановлення постів з фіксації та спостереження за особами:

а) тими, хто приходить на діловий прийом або зустріч із згортками, з портфелями тощо;

б) тими, хто приносить на захід аудіо- або відеоапаратуру;

в) які приходять на діловий прийом або на зустріч на нетривалий час або несподівано йдуть із заходу.

9. Недопущення прослуховування розмов організаторів заходу та гостей у приміщеннях та по телефону.

10. Розробка запасних варіантів проведення переговорів (на приватній квартирі, в готелі, в автомобілі, на катері, у лазні (сауні) тощо).

Цей перелік заходів не є вичерпним. Він може бути суттєво розширений та конкретизований залежно від умов об'єкта охорони, характеру заходу та інших умов, обумовлених із клієнтом.

До загальних завдань, які вирішуються при проведенні наради (переговорів) або інших масових заходів, належать:

1) приміщення для переговорів вибираються таким чином, щоб вони знаходилися на першому або останньому поверхах та розміщувалися між тими приміщеннями, що контролюються службою охорони;

2) ознайомлення з об'єктом охорони, встановлення стану криміногенної обстановки навколо нього;

3) встановлення взаємодії з міліцією у період проведення заходів;

4) встановлення пропускного режиму з метою попередження пронесення на об'єкт зброї, вибухових, горючих і отруйних речовин, наркотиків, важких предметів і каміння;

5) попередження проходу на територію, що охороняється, або в приміщення, що охороняється, осіб з собаками;

6) контроль та підтримання порядку на прилеглій території та у суміжних приміщеннях;

7) розподіл ролей серед охоронців групи посилення (підтримки);

8) визначення екіпірування охоронців, у т. ч. їх озброєння та зв'язку;

9) встановлення відкритих та «зашифрованих» постів контролю та спостереження;

10) підготовка транспорту на випадок екстремальних обставин та евакуації учасників заходу;

11) перевірка стійкості зв'язку біля об'єкта з виявлення так званих «мертвих зон»;

12) перевірка можливості застосування газової зброї та балончиків зі сльозогінним газом з метою виявлення напрямку руху повітря, протягів та завихрень, щоб самі охоронці не постраждали внаслідок використання спеціальних засобів;

13) перевірка злагодженості охоронців шляхом відпрацювання різних вступних завдань.

У ході робочого етапу охорони працівники служби безпеки (охоронного підприємства) повинні виконувати свої обов'язки, обумовлені на стадії підготовки.

При цьому особлива увага звертається на такі питання:

1) прибуття учасників заходу, що запізнилися, які розраховують на слабкий пропускний режим після початку наради (переговорів);

2) обов'язковий огляд вмісту портфелів та об'ємних сумок або використання ручних металодетекторів, детекторів пар вибухових речовин, що застосовуються для виявлення мін, гранат, толових шашок та інших вибухових речовин;

3) особливому огляду, хоча б візуальному, повинні піддаватися автомашини, що в'їжджають і виїжджають з території, що охороняється. Це особливо важливо з метою попередження проникнення сторонніх на об'єкт, що охороняється, і виключення мінування автотранспорту учасників наради (переговорів);

4) контроль салонів і багажників автомашин, що виїжджають, може попередити викрадення осіб, які прибули на захід, з метою вимагання у організаторів наради (переговорів);

5) охорона верхнього одягу та особистих речей учасників заходу з метою виключення його розкрадання та встановлення радіозакладок;

6) незважаючи на бажання керівників заходу мати гарний вигляд із вікна, необхідно враховувати, що місцевість має бути зручною для контролю службою безпеки (охоронного підприємства);

7) під вікнами приміщень переговорів не повинні паркуватися автомобілі, в яких може бути апаратура знімання інформації з радіозакладок;

8) створення зон безпеки приміщення, призначеного для переговорів, та обладнання його спеціальною технікою, екранами, генераторами шумів тощо;

9) при веденні переговорів з метою збереження комерційної таємниці вся «секретна» інформація подається письмово, і її обговорення йде езоповою мовою.

На заключному етапі проведення заходу потрібне збереження пильності співробітниками служби безпеки (охоронного підприємства), незважаючи на зовні незначність подій, що відбуваються на об'єкті, які можуть бути дуже оманливі.

Перевірка об'єкта після завершення заходу може бути пов'язана з не меншим ризиком для життя, ніж робота на попередніх етапах. У цей період проводиться остаточна зачистка об'єкта за тією самою методикою, що й під час підготовчих заходів. При цьому обов'язково проводиться пошук осіб, які можуть сховатися на об'єкті, або потерпілих від злочинців, яким потрібна медична допомога. Пильна увага звертається на забуті предмети та речі.

Піддаються контрольному огляду сувеніри та подарунки, вручені керівнику організації (фірми), іншим учасникам заходу.

Все, виявлене охороною на об'єкті, що не належить співробітникам організації (фірми), підлягає передачі клієнту або адміністрації приміщення, що охороняється, разом з одним екземпляром опису. Другий екземпляр опису з підписом особи, яка прийняла речі на зберігання, знаходиться у службі безпеки (охоронному підприємстві).

Квартира, машина, вулиця, ресторан не можуть бути надійними захисниками комерційних таємниць. Тому варто прислухатися до порад професіоналів.

Під час проведення ділових зустрічей необхідно обов'язково закривати вікна та двері. Бажано, щоб кімнатою для переговорів служило ізольоване приміщення, наприклад, хол.

Конкуренти, якщо захочуть, можуть легко прослухати розмови, розташувавшись у сусідніх приміщеннях, наприклад у квартирі поверхом вище або нижче. Часи, коли розвідники всіх країн і народів свердлили дірки в стелях і стінах, давно минули - особливо чутливі мікрофони дозволяють отримувати необхідну інформацію майже безперешкодно.

Для переговорів необхідно вибирати приміщення із ізольованими стінами, познайомитися із сусідами, які проживають поверхом вище та нижче; з'ясувати, чи вони не здають свою квартиру (кімнату) стороннім людям. Варто перетворити сусідів на союзників, але при цьому врахувати, що вони можуть вести подвійну гру або непомітно перетворитися з доброзичливців на шантажистів.

Активність конкурентів залежить насамперед від серйозності їхніх намірів. При необхідності підслуховувальні пристрої («жучки») можуть бути встановлені безпосередньо в квартирі підприємця – і тут уже не допоможуть залізні двері, ні імпортні замки, ні вишколена охорона.

Ділова людина має попросити своїх родичів запрошувати додому лише добре знайомих людей, по можливості контролювати їхню поведінку. Під час прийому гостей повинні бути зачинені двері домашнього офісу на ключ, а щоб не спокушати дітей, відеомагнітофон та комп'ютер повинні бути у доступному для них місці. Комп'ютер, звичайно, повинен бути без робочих програм та конфіденційної інформації.

У разі підозри, що ваш автомобіль обладнаний, перед переговорами в ньому необхідно провести операцію чистий автомобіль.

Напередодні ділової зустрічі один із співробітників фірми або друг підприємця, якому він повністю довіряє, має залишити автомобіль у обумовленому місці. Через кілька хвилин після цього ділова людина пересідає зі своєї машини у залишену і, ніде не зупиняючись, їде на переговори. При цьому слід не забути взяти довіреність на право керування чужим автомобілем!

Під час переговорів автомобіль обов'язково має бути в русі, а його вікна щільно зачинені. На зупинках (наприклад, у світлофорі) конфіденційні питання краще не обговорювати.

Проаналізуємо, де ще ділова людина може провести важливу ділову зустріч?

На вулиці.Для прослуховування розмов можуть бути використані два типи мікрофонів – гостронаправлені та вбудовані. Перші дозволяють знімати інформацію на відстані до кілометра в межах прямої видимості. Вбудовані мікрофони діють так само, як і радіозакладки.

Для ефективної боротьби з гостронаправленими мікрофонами весь час необхідно переміщатися, різко змінюючи напрямок руху, використовуючи при цьому громадський транспорт, організуючи контрспостереження – за допомогою служби безпеки або найнятих агентів приватних детективних фірм.

В ресторані.Статичне становище дозволяє контролювати розмови у загальних ресторанних залах. Тому для проведення подібних ділових зустрічей потрібний надійний метрдотель. У зручний для підприємця час і несподівано для конкурентів резервується столик або окремий кабінет, який, у свою чергу, має бути під надійним контролем служби безпеки фірми. Спроби заглушити розмову звуками ресторанного оркестру, як, до речі, шумом води, малоефективні.

У готельному номері.Бронювання готельного номера для переговорів необхідно проводити потай. Після початку ділової зустрічі співробітники служби безпеки повинні тримати під контролем не лише сусідів, а й усіх людей, які проживають поверхом вище та нижче.

Всі вищевикладені методи та контрзаходи ефективні за умови гарної організації дезінформації оточуючих про час і характер запланованих нарад (переговорів). Коли коло співробітників, присвячених у повний перелік запланованих заходів максимально вузьке і кожен з них знає рівно стільки, скільки це необхідно по колу його обов'язків, тоді можна розраховувати на успіх у будь-якій справі.

Загальна класифікація загроз автоматизованій інформаційній системі об'єкта виглядає так:

Загрози конфіденційності даних та програм.Реалізуються за несанкціонованого доступу до даних (наприклад, до відомостей про стан рахунків клієнтів банку), програм або каналів зв'язку.

Інформація, що обробляється на комп'ютерах або передана локальними мережами передачі даних, може бути знята через технічні канали витоку. При цьому використовується апаратура, що здійснює аналіз електромагнітних випромінювань, що виникають під час роботи комп'ютера.

Такий знімання інформації є складним технічним завданням і вимагає залучення кваліфікованих фахівців. За допомогою приймального пристрою, виконаного на базі стандартного телевізора, можна перехоплювати інформацію, що виводиться на екрани дисплеїв комп'ютерів з відстані тисячі і більше метрів. Певні відомості про роботу комп'ютерної системи отримують навіть у тому випадку, коли ведеться спостереження за процесом обміну повідомленнями без доступу до їх змісту.

Загрози цілісності даних, програм, апаратури.Цілісність даних та програм порушується при несанкціонованому знищенні, додаванні зайвих елементів та модифікації записів про стан рахунків, зміні порядку розташування даних, формуванні фальсифікованих платіжних документів у відповідь на законні запити, при активній ретрансляції повідомлень з їх затримкою.

Несанкціонована модифікація інформації про безпеку системи може призвести до несанкціонованих дій (невірної маршрутизації або втрати передаваних даних) або спотворення сенсу повідомлень, що передаються. Цілісність апаратури порушується при її пошкодженні, викраденні чи незаконній зміні алгоритмів роботи.

Загрози доступності даних.Виникають у тому випадку, коли об'єкт (користувач або процес) не отримує доступу до законно виділених йому служб чи ресурсів. Ця загроза реалізується захопленням всіх ресурсів, блокуванням ліній зв'язку несанкціонованим об'єктом у результаті передачі ними своєї інформації чи винятком необхідної системної інформації.

Ця загроза може призвести до ненадійності або поганої якості обслуговування в системі і, отже, потенційно впливатиме на достовірність та своєчасність доставки платіжних документів.

– Загрози відмовитися від виконання трансакцій.Виникають у разі, коли легальний користувач передає чи приймає платіжні документи, та був заперечує це, щоб зняти із себе відповідальність.

Оцінка вразливості автоматизованої інформаційної системи та побудова моделі впливів передбачають вивчення всіх варіантів реалізації перелічених вище загроз та виявлення наслідків, яких вони призводять.

Загрози можуть бути обумовлені:

– природними факторами (стихійні лиха – пожежа, повінь, ураган, блискавка та інші причини);

– людськими факторами, які у свою чергу поділяються на:

пасивні загрози(Загрози, викликані діяльністю, що носить випадковий, ненавмисний характер). Це загрози, пов'язані з помилками процесу підготовки, обробки та передачі (науково-технічна, комерційна, валютно-фінансова документація); з нецілеспрямованим «відпливом розумів», знань, інформації (наприклад, у зв'язку з міграцією населення, виїздом до інших країн для возз'єднання з сім'єю тощо);

активні загрози(Загрози, зумовлені навмисними, навмисними діями людей). Це загрози, пов'язані з передачею, спотворенням та знищенням наукових відкриттів, винаходів, секретів виробництва, нових технологій за корисливими та іншими антигромадськими мотивами (документація, креслення, описи відкриттів та винаходів та інші матеріали); переглядом та передачею різної документації, переглядом «сміття»; підслуховуванням та передачею службових та інших науково-технічних та комерційних розмов; з цілеспрямованим «відпливом розумів», знань, інформації (наприклад, у зв'язку з отриманням іншого громадянства з корисливих мотивів);

- людино-машинними та машинними факторами, поділяються на:

пасивні небезпеки.Це загрози, пов'язані з помилками процесу проектування, розробки та виготовлення систем та їх компонентів (будівлі, споруди, приміщення, комп'ютери, засоби зв'язку, операційні системи, прикладні програми та ін.); з помилками у роботі апаратури через неякісне її виготовлення; з помилками процесу підготовки та обробки інформації (помилки програмістів та користувачів через недостатню кваліфікацію та неякісне обслуговування, помилки операторів при підготовці, введенні та виведенні даних, коригуванні та обробці інформації);

активні небезпеки.Це загрози, пов'язані з несанкціонованим доступом до ресурсів автоматизованої інформаційної системи (внесення технічних змін у засоби обчислювальної техніки та засоби зв'язку, підключення до засобів обчислювальної техніки та каналів зв'язку, розкрадання різних видів носіїв інформації: дискет, описів, роздруківок та інших матеріалів, перегляд даних, роздруківок, перегляд «сміття»); загрози, що реалізуються безконтактним способом (збір електромагнітних випромінювань, перехоплення сигналів, що наводяться в ланцюгах (токопровідні комунікації), візуально-оптичні способи видобутку інформації, підслуховування службових та науково-технічних розмов тощо).

Основними типовими шляхами витоку інформації та несанкціонованого доступу до автоматизованих інформаційних систем, у тому числі через канали телекомунікації, є:

перехоплення електронних випромінювань;

застосування підслуховуючих пристроїв (закладок);

дистанційне фотографування;

перехоплення акустичних випромінювань та відновлення тексту принтера;

розкрадання носіїв інформації та виробничих відходів;

зчитування даних у масивах інших користувачів;

читання залишкової інформації у пам'яті системи після виконання санкціонованих запитів;

копіювання носіїв інформації з подолання заходів захисту;

маскування під зареєстрованого користувача;

містифікація (маскування під запити системи);

незаконне підключення до апаратури та ліній зв'язку;

зловмисне виведення з ладу механізмів захисту;

використання "програмних пасток".

Можливими каналами навмисного несанкціонованого доступу до інформації за відсутності захисту в автоматизованій інформаційній системі можуть бути:

штатні канали доступу до інформації (термінали користувачів, засоби відображення та документування інформації, носії інформації, засоби завантаження програмного забезпечення, зовнішні канали зв'язку) за їх незаконного використання;

технологічні пульти та органи управління;

внутрішній монтаж апаратури;

лінії зв'язку між апаратними засобами;

побічне електромагнітне випромінювання, що несе інформацію;

побічні наведення на ланцюгах електроживлення, заземлення апаратури, допоміжні та сторонні комунікації, розміщені поблизу комп'ютерної системи.

Способи впливу загроз на об'єкти інформаційної безпеки поділяються на інформаційні, програмно-математичні, фізичні, радіоелектронні та організаційно-правові.

До інформаційних способів відносяться:

порушення адресності та своєчасності інформаційного обміну, протизаконний збір та використання інформації;

несанкціонований доступ до інформаційних ресурсів;

маніпулювання інформацією (дезінформація, приховування чи спотворення інформації);

незаконне копіювання даних у інформаційних системах;

порушення технології опрацювання інформації.

Програмно-математичні методи включають:

використання комп'ютерних вірусів;

встановлення програмних та апаратних заставних пристроїв;

знищення чи модифікацію даних у автоматизованих інформаційних системах.

Фізичні способи включають:

знищення або руйнування засобів обробки інформації та зв'язку;

знищення, руйнування чи розкрадання машинних чи інших оригінальних носіїв інформації;

розкрадання програмних або апаратних ключів та засобів криптографічного захисту інформації;

вплив на персонал;

постачання «заражених» компонентів автоматизованих інформаційних систем.

Радіоелектронними способами є:

перехоплення інформації в технічних каналах її можливого витоку;

впровадження електронних пристроїв перехоплення інформації в технічні засоби та приміщення;

перехоплення, дешифрування та нав'язування помилкової інформації в мережах передачі даних та лініях зв'язку;

вплив на парольно-ключові системи;

радіоелектронне придушення ліній зв'язку та систем управління.

Організаційно-правові способи включають:

невиконання вимог законодавства та затримки у прийнятті необхідних нормативно-правових положень в інформаційній сфері;

неправомірне обмеження доступу до документів, що містять важливу для громадян та організацій інформацію.

Загрози програмного забезпечення. Забезпечення безпеки автоматизованих інформаційних систем залежить від безпеки програмного забезпечення, що використовується в них, і, зокрема, таких видів програм:

звичайних програм користувачів;

спеціальних програм, розрахованих порушення безпеки системи;

різноманітних системних утиліт та комерційних прикладних програм, які відрізняються високим професійним рівнем розробки та можуть містити окремі недоробки, що дозволяють загарбникам атакувати системи.

Програми можуть породжувати проблеми двох типів: по-перше, можуть перехоплювати та модифікувати дані в результаті дій користувача, який до цих даних не має доступу, і, по-друге, використовуючи недогляди у захисті комп'ютерних систем, можуть або забезпечувати доступ до системи користувачів, які не мають на це права, або блокувати доступ до системи законних користувачів.

Чим вище рівень підготовки програміста, тим більше неявними (навіть для нього) стають помилки, що допускаються, і тим більш ретельно і надійно він здатний приховати навмисні механізми, розроблені для порушення безпеки системи.

Метою атаки можуть бути самі програми з наступних причин:

У світі програми можуть бути товаром, що приносить чималий прибуток, особливо тому, хто першим почне тиражувати програму в комерційних цілях і оформить авторські права на неї.

Програми можуть стати також об'єктом атаки, яка має на меті модифікувати ці програми певним чином, що дозволило б у майбутньому провести атаку на інші об'єкти системи. Особливо часто об'єктом атак такого роду стають програми, що реалізують функції захисту системи.

Розглянемо кілька типів програм та прийоми, які найчастіше використовуються для атак програм та даних. Ці прийоми позначаються єдиним терміном – програмні пастки. До них відносяться "програмні люки", "троянські коні", "логічні бомби", атаки "салями", приховані канали, відмови в обслуговуванні та комп'ютерні віруси.

Люки у програмах.Використання люків для проникнення в програму – один із простих та часто використовуваних способів порушення безпеки автоматизованих інформаційних систем.

Люком називається не описана у документації на програмний продукт можливість роботи з цим програмним продуктом. Сутність використання люків полягає в тому, що при виконанні користувачем деяких не описаних у документації дій він отримує доступ до можливостей та даних, які у звичайних умовах для нього закриті (зокрема вихід у привілейований режим).

Люки найчастіше є результатом забудькуватості розробників. Як люк може бути використаний тимчасовий механізм прямого доступу до частин продукту, створений для полегшення процесу налагодження і не віддалений після закінчення. Люки можуть утворюватися також в результаті технології розробки програмних продуктів «згори вниз», що часто практикується: у їх ролі виступатимуть залишені з яких-небудь причин у готовому продукті «заглушки» – групи команд, що імітують або просто позначають місце приєднання майбутніх підпрограм.

Нарешті, ще одним поширеним джерелом люків є так зване «невизначене введення» – введення «безглуздої» інформації, абракадабри у відповідь на запити системи. Реакція недостатньо добре написаної програми на невизначене введення може бути, у кращому разі, непередбачуваною (коли при повторному введенні тієї ж неправильної команди програма реагує щоразу по-різному); набагато гірше, якщо програма в результаті однакового «невизначеного» введення виконує деякі дії, що повторюються, – це дає можливість потенційному загарбнику планувати свої дії з порушення безпеки.

Невизначене введення – приватна реалізація переривання. Тобто в загальному випадку загарбник може навмисне піти на створення в системі деякої нестандартної ситуації, яка б дозволила йому виконати необхідні дії. Наприклад, він може штучно викликати аварійне завершення програми, що працює в привілейованому режимі, для того, щоб перехопити управління, залишившись у цьому привілейованому режимі.

Боротьба з можливістю переривання, зрештою, виливається у необхідність передбачити розробки програм комплексу механізмів, які утворюють так званий «захист від дурня». Сенс цього захисту полягає в тому, щоб гарантовано відсікати будь-яку ймовірність обробки невизначеного введення та різноманітних нестандартних ситуацій (зокрема, помилок) і цим не допускати порушення безпеки комп'ютерної системи навіть у разі некоректної роботи з програмою.

Таким чином, люк (або люки) може бути присутнім у програмі через те, що програміст:

забув видалити його;

навмисне залишив його в програмі для забезпечення тестування або виконання частини налагодження;

навмисне залишив його в програмі на користь полегшення остаточного складання кінцевого програмного продукту;

навмисне залишив його в програмі для того, щоб мати прихований засіб доступу до програми вже після того, як вона увійшла до складу кінцевого продукту.

Люк – перший крок до атаки системи, можливість проникнути в комп'ютерну систему в обхід механізмів захисту.

"Троянські коні".

Існують програми, що реалізують, крім функцій, описаних у документації, та деякі інші функції, документації не описані. Такі програми називаються "троянськими конями".

Імовірність виявлення «троянського коня» тим вища, чим очевидні результати його дій (наприклад, видалення файлів або зміна їхнього захисту). Складніші «троянські коні» можуть маскувати сліди своєї діяльності (наприклад, повертати захист файлів у вихідний стан).

"Логічні бомби".

"Логічною бомбою" зазвичай називають програму або навіть ділянку коду в програмі, що реалізує деяку функцію при виконанні певної умови. Цією умовою може бути, наприклад, наступ певної дати або виявлення файлу з певним ім'ям.

"Вибухаючи", "логічна бомба" реалізує функцію, несподівану і, як правило, небажану для користувача (наприклад, видаляє деякі дані або руйнує деякі системні структури). «Логічна бомба» є одним із улюблених способів помсти програмістів компаніям, які їх звільнили або чимось образили.

Атака салямі.

Атака «салями» перетворилася на справжній бич банківських комп'ютерних систем. У банківських системах щодня виробляються тисячі операцій, пов'язаних із безготівковими розрахунками, переказами сум, відрахуваннями тощо.

При обробці рахунків застосовуються цілі одиниці (рублі, центи), а при обчисленні відсотків часто виходять дробові суми. Зазвичай величини, що перевищують половину рубля (цента), округляються до рубля (цента), а величини менше половини рубля (цента) просто відкидаються. При атаці «салями» ці несуттєві величини не видаляються, а поступово накопичуються на певному спеціальному рахунку.

Як свідчить практика, сума, складена буквально з нічого, за кілька років експлуатації «хитрої» програми в середньому за розміром банку може обчислюватися тисячами доларів. Атаки "салями" досить важко розпізнаються, якщо зловмисник не починає накопичувати на одному рахунку великі суми.

Приховані канали.

Під прихованими каналами маються на увазі програми, що передають інформацію особам, які за звичайних умов цю інформацію отримувати не повинні.

У тих системах, де ведеться обробка критичної інформації, програміст не повинен мати доступу до даних, що обробляється програмою після початку експлуатації цієї програми.

З факту володіння деякою службовою інформацією можна отримати неабияку вигоду, хоча б елементарно продавши цю інформацію (наприклад, список клієнтів) конкуруючій фірмі. Досить кваліфікований програміст завжди може знайти спосіб прихованої передачі; при цьому програма, призначена для створення найнешкідливіших звітів, може бути трохи складнішою, ніж вимагає завдання.

Для прихованої передачі інформації можна з успіхом використовувати різні елементи формату «нешкідливих» звітів, наприклад, різну довжину рядків, пропуски між рядками, наявність або відсутність службових заголовків, керований висновок незначних цифр у величинах, кількість прогалин або інших символів у певних місцях звіту тощо д.

Якщо загарбник має можливість доступу до комп'ютера під час роботи програми, що цікавить його, прихованим каналом може стати пересилання критичної інформації в спеціально створений в оперативній пам'яті комп'ютера масив даних.

Приховані канали найбільш застосовні у ситуаціях, коли загарбника цікавить навіть зміст інформації, а, припустимо, факт її наявності (наприклад, наявність у банку розрахункового рахунки з певним номером).

Відмова у обслуговуванні.

Більшість методів порушення безпеки спрямовано на те, щоб отримати доступ до даних, які не допускаються системою в нормальних умовах. Однак не менш цікавим для загарбників є доступ до управління самою комп'ютерною системою або зміна її якісних характеристик, наприклад, отримати деякий ресурс (процесор, пристрій введення-виводу) монопольне використання або спровокувати ситуацію клінчу для декількох процесів.

Це може бути потрібним для того, щоб явно використовувати комп'ютерну систему у своїх цілях (хоча б для безкоштовного вирішення своїх завдань) або просто заблокувати систему, зробивши її недоступною іншим користувачам. Такий вид порушення безпеки системи називається "відмовою в обслуговуванні" або "відмовою від користі". «Відмова в обслуговуванні» надзвичайно небезпечна для систем реального часу – систем, які керують деякими технологічними процесами, що здійснюють різного роду синхронізацію тощо.

Комп'ютерні віруси

Комп'ютерні віруси є квінтесенцією різноманітних методів порушення безпеки. Одним із найчастіших і найулюбленіших способів поширення вірусів є метод «троянського коня». Від «логічної бомби» віруси відрізняються лише можливістю розмножуватися та забезпечувати свій запуск, тому багато вірусів можна вважати особливою формою «логічних бомб».

Для атаки системи віруси активно використовують різні «люки». Віруси можуть реалізовувати найрізноманітніші капості, у тому числі й атаку салямі. Крім того, успіх атаки одного виду часто сприяє зниженню «імунітету» системи, створює сприятливе середовище для успіху атак інших видів. Загарбники це знають і активно використовують цю обставину.

Зрозуміло, у чистому вигляді описані вище прийоми трапляються досить рідко. Набагато частіше під час атаки використовуються окремі елементи різних прийомів.

Загрози інформації у комп'ютерних мережах. Мережі комп'ютерів мають багато переваг перед сукупністю комп'ютерів, що окремо працюють, серед них можна відзначити: поділ ресурсів системи, підвищення надійності функціонування системи, розподіл завантаження серед вузлів мережі та розширюваність за рахунок додавання нових вузлів.

Разом з тим, при використанні комп'ютерних мереж виникають серйозні проблеми забезпечення інформаційної безпеки. Можна відзначити такі.

Поділ спільно використовуваних ресурсів.

Через спільне використання великої кількості ресурсів різними користувачами мережі, можливо, що знаходяться на великій відстані один від одного, сильно підвищується ризик несанкціонованого доступу, оскільки в мережі його можна здійснити простіше і непомітніше.

Розширення зони контролю.

Адміністратор або оператор окремої системи або підмережі повинен контролювати діяльність користувачів, які перебувають поза її досяжністю.

Комбінація різноманітних програмно-апаратних засобів.

З'єднання кількох систем у мережу збільшує вразливість усієї системи загалом, оскільки кожна інформаційна система налаштована виконання своїх специфічних вимог безпеки, які можуть виявитися несумісними з вимогами інших системах.

Невідомий параметр.

Легка розширюваність мереж веде до того, що визначити межі мережі часом буває складно, оскільки один і той самий вузол може бути доступний для користувачів різних мереж. Більше того, для багатьох із них не завжди можна точно визначити, скільки користувачів мають доступ до певного вузла мережі та хто вони.

Безліч точок атаки.

У мережах той самий набір даних або повідомлення може передаватися через кілька проміжних вузлів, кожен із яких є потенційним джерелом загрози. Крім того, до багатьох сучасних мереж можна отримати доступ за допомогою комутованих ліній зв'язку та модему, що у багато разів збільшує кількість можливих точок атаки.

Складність управління та контролю доступу до системи.

Багато атак на мережу можуть здійснюватись без отримання фізичного доступу до певного вузла – за допомогою мережі з віддалених точок.

І тут ідентифікація порушника може бути дуже складною. Крім того, час атаки може бути занадто малим для вживання адекватних заходів.

З одного боку, мережа – це єдина система з єдиними правилами обробки інформації, з другого – сукупність відокремлених систем, кожна з яких має власні правила обробки інформації. Тому, з урахуванням двоїстості характеру мережі, атака на мережу може здійснюватися з двох рівнів: верхнього та нижнього (можлива їх комбінація).

При верхньому рівні атаки на мережу зловмисник використовує властивості мережі для проникнення на інший вузол та виконання певних несанкціонованих дій. За нижнього рівня атаки на мережу зловмисник використовує властивості мережевих протоколів для порушення конфіденційності або цілісності окремих повідомлень або потоку в цілому.

Порушення потоку повідомлень може призвести до витоку інформації та навіть втрати контролю над мережею.

Розрізняють пасивні та активні загрози нижнього рівня, специфічні для мереж.

Пасивні погрози

(порушення конфіденційності даних, що циркулюють у мережі) – це перегляд та/або запис даних, що передаються лініями зв'язку. До них відносяться:

перегляд повідомлення;

аналіз графіка – зловмисник може переглядати заголовки пакетів, що циркулюють у мережі, і на основі службової інформації, що міститься в них, робити висновки про відправників та одержувачів пакета та умови передачі (час відправлення, клас повідомлення, категорія безпеки, довжина повідомлення, обсяг трафіку тощо) .).

Активні погрози

(порушення цілісності або доступності ресурсів та компонентів мережі) – несанкціоноване використання пристроїв, які мають доступ до мережі для зміни окремих повідомлень або потоку повідомлень. До них відносяться:

відмова служб надсилання повідомлень – зловмисник може знищувати або затримувати окремі повідомлення або весь потік повідомлень;

«маскарад» – зловмисник може привласнити своєму вузлу чи ретранслятору чужий ідентифікатор та отримувати чи надсилати повідомлення від чужого імені;

використання мережевих вірусів – передача через мережу тіла вірусу з його наступною активізацією користувачем віддаленого чи локального вузла;

модифікація потоку повідомлень – зловмисник може вибірково знищувати, модифікувати, затримувати, переупорядковувати та дублювати повідомлення, а також вставляти підроблені повідомлення.

Загрози комерційної інформації.

Умови інформатизації особливу небезпеку становлять також такі способи несанкціонованого доступу до конфіденційної інформації, як копіювання, підробка, знищення.

Копіювання.

При несанкціонованому доступі до конфіденційної інформації копіюють: документи, що містять інформацію, що цікавить зловмисника; технічні носії; інформацію, що обробляється в автоматизованих інформаційних системах. Використовуються такі способи копіювання: світлокопіювання, фотокопіювання, термокопіювання, ксерокопіювання та електронне копіювання.

Підробка

В умовах конкуренції підробка, модифікація та імітація набувають великих масштабів. Зловмисники підробляють довірчі документи, що дозволяють отримати певну інформацію, листи, рахунки, бухгалтерську та фінансову документацію; підробляють ключі, пропуски, паролі, шифри і т.п. -відправник маскується під іншого абонента з метою отримання ним відомостей, що охороняються).

Знищення.

Особливу небезпеку представляє знищення інформації в автоматизованих базах даних та базах знань. Знищується інформація на магнітних носіях за допомогою компактних магнітів та програмним шляхом («логічні бомби»). Значне місце у злочинах проти автоматизованих інформаційних систем займають саботаж, вибухи, руйнування, виведення з ладу з'єднувальних кабелів, систем кондиціювання.

Методами забезпечення захисту є такі: перешкода, управління доступом, маскування, регламентація, примус та спонукання.

Перешкода –метод фізичного перегородження шляху зловмиснику до інформації, що захищається (до апаратури, носіїв інформації тощо).

Управління доступом– метод захисту інформації регулюванням використання всіх ресурсів автоматизованої інформаційної системи організації (фірми). Управління доступом включає такі функції захисту:

ідентифікацію користувачів, персоналу та ресурсів інформаційної системи (присвоєння кожному об'єкту персонального ідентифікатора);

автентифікацію (встановлення справжності) об'єкта чи суб'єкта за пред'явленим ним ідентифікатором;

перевірку повноважень (перевірка відповідності дня тижня, часу доби, запитуваних ресурсів та процедур встановленого регламенту);

дозвіл та створення умов роботи в межах встановленого регламенту;

реєстрацію (протоколювання) звернень до ресурсів, що захищаються;

реагування (сигналізація, відключення, затримка робіт, відмова у запиті) при спробах несанкціонованих дій.

Маскування –метод захисту в автоматизованій інформаційній системі шляхом її криптографічного закриття.

Регламентація- метод захисту інформації, який створює такі умови автоматизованої обробки, зберігання та передачі інформації, за яких можливість несанкціонованого доступу до неї зводилася б до мінімуму.

Примус –такий метод захисту інформації, при якому користувачі та персонал системи змушені дотримуватися правил обробки, передачі та використання інформації, що захищається під загрозою матеріальної, адміністративної або кримінальної відповідальності.

Примушення –такий метод захисту інформації, який спонукає користувачів та персонал системи не порушувати встановлені правила за рахунок дотримання моральних та етичних норм, що склалися.

Вказані вище методи забезпечення інформаційної безпеки організації (фірми) реалізуються на практиці застосуванням різних механізмів захисту, для створення яких використовуються такі основні засоби: фізичні, апаратні, програмні, апаратно-програмні, криптографічні, організаційні, законодавчі та морально-етичні.

Фізичні засоби захиступризначені для зовнішньої охорони території об'єктів, захисту компонентів автоматизованої інформаційної системи підприємства та реалізуються у вигляді автономних пристроїв та систем.

Поряд із традиційними механічними системами за домінуючої участі людини розробляються та впроваджуються універсальні автоматизовані електронні системи фізичного захисту, призначені для охорони територій, охорони приміщень, організації пропускного режиму, організації спостереження; системи пожежної сигналізації; системи запобігання розкраданню носіїв.

Елементну базу таких систем складають різні датчики, сигнали яких обробляються мікропроцесорами, електронні інтелектуальні ключі, пристрої визначення біометричних характеристик людини тощо.

Для організації охорони обладнання, що входить до складу автоматизованої інформаційної системи підприємства, та носіїв інформації (дискети, магнітні стрічки, роздруківки), що переміщуються, використовуються:

різні замки (механічні, з кодовим набором, з керуванням від мікропроцесора, радіокеровані), які встановлюють на вхідні двері, віконниці, сейфи, шафи, пристрої та блоки системи;

мікровимикачі, що фіксують відчинення або зачинення дверей та вікон;

інерційні датчики, для підключення яких можна використовувати освітлювальну мережу, телефонні дроти та проводку телевізійних антен;

спеціальні наклейки з фольги, які наклеюються на всі документи, прилади, вузли та блоки системи для запобігання їх виносу з приміщення. За будь-якої спроби винести за межі приміщення предмет із наклейкою спеціальна установка (аналог детектора металевих об'єктів), розміщена біля виходу, подає сигнал тривоги;

спеціальні сейфи та металеві шафи для встановлення в них окремих елементів автоматизованої інформаційної системи (файл-сервер, принтер тощо) та носіїв інформації, що переміщуються.

Для нейтралізації витоку інформації по електромагнітних каналах використовують екрануючі та поглинаючі матеріали та вироби. При цьому:

екранування робочих приміщень, де встановлені компоненти автоматизованої інформаційної системи, здійснюється шляхом покриття стін, підлоги та стелі металізованими шпалерами, струмопровідною емаллю та штукатуркою, дротяними сітками або фольгою, встановленням загородок з струмопровідної цегли, багатошарових сталевих, алюмінієвих або зі спеціальної пласт;

для захисту вікон застосовують металізовані штори та скла з струмопровідним шаром;

всі отвори закривають металевою сіткою, що з'єднується з шиною заземлення або настінним екрануванням;

на вентиляційних каналах монтують граничні магнітні пастки, що перешкоджають поширенню радіохвиль.

Для захисту від наведень на електричні ланцюги вузлів та блоків автоматизованої інформаційної системи використовують:

екранований кабель для внутрішньостійкового, внутрішньоблочного, міжблочного та зовнішнього монтажу;

екрановані еластичні з'єднувачі (роз'єми), мережеві фільтри придушення електромагнітних випромінювань;

дроти, наконечники, дроселі, конденсатори та інші помеходавляючі радіо- та електровироби;

на водопровідних, опалювальних, газових та інших металевих трубах поміщають розділові діелектричні вставки, які здійснюють розрив електромагнітного ланцюга.

Для контролю електроживлення використовуються електронні відстежувачі – пристрої, що встановлюються у місцях введення мережі змінної напруги. Якщо шнур живлення перерізаний, обірваний або перегорів, кодоване послання включає сигнал тривоги або активує телевізійну камеру для подальшого запису подій.

Для виявлення впроваджених «жучків» найефективнішим є рентгенівське обстеження. Проте реалізація цього пов'язана з великими організаційними і технічними труднощами.

Застосування спеціальних генераторів шумів для захисту від розкрадання інформації з комп'ютерів шляхом знімання її випромінювань з екранів дисплеїв надає несприятливий вплив на організм людини, що призводить до швидкого облисіння, зниження апетиту, головних болів, нудоти. Саме тому вони досить рідко використовуються на практиці.

Апаратні засоби захистуце різні електронні, електромеханічні та інші пристрої, що безпосередньо вбудовані в блоки автоматизованої інформаційної системи або оформлені у вигляді самостійних пристроїв і сполучаються з цими блоками.

Вони призначені для внутрішнього захисту структурних елементів засобів та систем обчислювальної техніки: терміналів, процесорів, периферійного обладнання, ліній зв'язку тощо.

Основні функції апаратних засобів захисту:

заборона несанкціонованого внутрішнього доступу до окремих файлів або баз даних інформаційної системи, можливого внаслідок випадкових або навмисних дій обслуговуючого персоналу;

захист активних та пасивних (архівних) файлів та баз даних, пов'язаний з необслуговуванням або відключенням автоматизованої інформаційної системи;

захист цілісності програмного забезпечення.

Ці завдання реалізуються апаратними засобами захисту з використанням методу управління доступом (ідентифікація, аутентифікація та перевірка повноважень суб'єктів системи, реєстрація та реагування).

p align="justify"> Для роботи з особливо цінною інформацією організації (фірми) виробники комп'ютерів можуть виготовляти індивідуальні диски з унікальними фізичними характеристиками, що не дозволяють зчитувати інформацію. При цьому вартість комп'ютера може зрости у кілька разів.

Програмні засоби захиступризначені для виконання логічних та інтелектуальних функцій захисту та включаються або до складу програмного забезпечення автоматизованої інформаційної системи, або до складу засобів, комплексів та систем апаратури контролю.

Програмні засоби захисту є найбільш поширеним видом захисту, володіючи такими позитивними властивостями: універсальністю, гнучкістю, простотою реалізації, можливістю зміни та розвитку. Ця обставина робить їх одночасно і найуразливішими елементами захисту інформаційної системи підприємства.

В даний час створено велику кількість операційних систем, систем управління базами даних, мережевих пакетів та пакетів прикладних програм, що включають різноманітні засоби захисту інформації.

За допомогою програмних засобів захисту вирішуються такі завдання інформаційної безпеки:

контроль завантаження та входу в систему за допомогою персональних ідентифікаторів (ім'я, код, пароль тощо);

розмежування та контроль доступу суб'єктів до ресурсів та компонентів системи, зовнішніх ресурсів;

ізоляція програм процесу, що виконується на користь конкретного суб'єкта, від інших суб'єктів (забезпечення роботи кожного користувача в індивідуальному середовищі);

управління потоками конфіденційної інформації з метою запобігання запису на носії даних невідповідного рівня (грифу) секретності;

захист інформації від комп'ютерних вірусів;

стирання залишкової конфіденційної інформації розблокованих після виконання запитів полях оперативної пам'яті комп'ютера;

стирання залишкової конфіденційної інформації на магнітних дисках; видача протоколів про результати стирання;

забезпечення цілісності інформації шляхом запровадження надмірності даних;

автоматичний контроль над роботою користувачів системи на базі результатів протоколювання та підготовка звітів за даними записів у системному реєстраційному журналі.

Нині ряд операційних систем спочатку містить вбудовані засоби блокування «повторного використання». Для інших типів операційних систем існує досить багато комерційних програм, а про спеціальні пакети безпеки, що реалізують аналогічні функції.

Застосування надлишкових даних спрямоване на запобігання появі даних випадкових помилок і виявлення неавторизованих модифікацій. Це можливо застосування контрольних сум, контроль даних на чет-нечет, завадостійке кодування тощо.

Часто практикується зберігання у певному захищеному місці системи сигнатур важливих об'єктів системи. Наприклад, для файлу як сигнатура може бути використане поєднання байта захисту файлу з його ім'ям, довжиною та датою останньої модифікації. При кожному зверненні до файлу або у разі виникнення підозр поточні параметри файлу порівнюються з стандартом.

Властивість ревізування системи контролю доступу означає можливість реконструкції подій чи процедур. Засоби забезпечення ревізованості повинні з'ясувати, що фактично сталося. Тут йдеться про документування процедур, що виконуються, ведення журналів реєстрації, а також про застосування чітких і недвозначних методів ідентифікації та перевірки.

Слід зазначити, що завдання контролю доступу за одночасного забезпечення цілісності ресурсів надійно вирішує лише шифрування інформації.