Državna poduzeća, privatne organizacije i određene kategorije građana posjeduju informacije koje su vrijedne ne samo za njih, već i za napadače, konkurente ili strane obavještajne službe. Nije bitno u kojem se obliku informacije pohranjuju i kojim kanalima se prenose, jer inženjerska i tehnička zaštita informacija mora funkcionirati u svim fazama. Ne radi se samo o skupu mjera koje će onemogućiti izvlačenje vrijednih podataka, već i o posebnom znanstvenom području.

Tehnička zaštita je učinkovita uz temeljito proučavanje zgrade u kojoj se podaci čuvaju, sastava osoblja, mogućih kanala curenja informacija, modernim metodama te sredstva zaštite i krađe. Menadžer poduzeća treba jasno odrediti razmjere problema i visinu potrebnih troškova. Fizički objekti, oprema, obuka zaposlenika i stvaranje posebnog tijela zahtijevat će troškove (oko 15% dobiti poduzeća). je pravo svakog subjekta i vlasnika na borbu protiv metoda neovlaštenog curenja podataka, nekontroliranog širenja informacija i uplitanja u informacijske procese organizacije.

Pojam cjelovitog sustava

Svaki pojedinac ili pojedinac može zaštititi vrijedne informacije i organizirati rad kontrolne strukture. entitet ovisno o prirodi i razini zaštite informacija te u skladu sa zakonima Ruske Federacije. Izrada inženjerskog i tehničkog sustava i mjera provodi se nakon proučavanja problematike i utvrđivanja potrebnih mjera za sigurnost informacija. Da bi se to postiglo, vrijedni podaci moraju biti zaštićeni od svih mogućih kanala curenja, neovlaštenog pristupa i neopreznih (nenamjernih) radnji osoblja organizacije.

Podatke je moguće ne samo ukrasti, već i iskriviti dodavanjem lažnih podataka, kopirati i prikazati u svoje ime, a što je još gore, pristup im se može blokirati. Prevaranti mogu ukrasti, uništiti ili oštetiti bilo koji medij za pohranu. Ali to nije jedini izvor opasnosti, iste se posljedice mogu dogoditi kao rezultat pogrešnih nenamjernih radnji korisnika ili tijekom prirodne katastrofe. Stoga, inženjerstvo tehnički sustav radnje i mjere trebale bi biti usmjerene na zaštitu ne samo informacije, nego i nositelja informacije, kao i cjelokupne informacijski proces rad s klasificiranim podacima.

Glavne zadaće sustava

Stvaranjem inženjerskog i tehničkog sustava, poduzeće provodi niz organizacijskih mjera i niz tehničkih mjera koje će zaštititi vrijedne informacije. Tri su glavna zadatka na kojima sustav radi:

1. Osigurati zgradu i prostore od ulaska neovlaštenih osoba u svrhu krađe, oštećenja ili izmjene podataka;
2. Spriječiti oštećenje ili potpuno uništenje nositelja informacija od posljedica elementarnih nepogoda i izlaganja vodi pri gašenju požara;
3. Onemogućite napadačima pristup svim tehničkim kanalima kroz koje može doći do curenja podataka.

Inženjerska i tehnička zaštita mora zadovoljiti suvremene zahtjeve:

• Dosljednost i spremnost na sve prijetnje;
• Stvaranje zona s različitim razinama sigurnosti;
• Budite uvijek korak ispred prevaranata, budite u toku s tehnološkim inovacijama;
• Razina zaštite informacija mora biti razmjerna važnosti i vrijednosti informacija;
• Nemogućnost vanjskim osobama da dobiju pristup tajnim podacima;
• Nemojte koristiti jednu vrstu zaštite, kombinirajte različite mjere i stavite u rad kompleks zaštitne opreme;
• Najprije zaštitite najvažnije podatke.

Cjelokupno područje poduzeća mora biti podijeljeno u zone, ulazak u koji podliježe posebnom dopuštenju. Što je zona bliža tajnim informacijama, to je veća razina kontrole i manji je broj ljudi koji tamo mogu proći. To se može postići postavljanjem stupova ili kontrolnih točaka. Takve mjere se poduzimaju kako bi se osiguralo da mogući autsajder ima prepreke na putu svog kretanja u obliku kontrolnih zona i granica, gdje bi se krađa mogla otkriti, a prevarant uhapsiti.

Webinar o zaštiti informacija:

Kako dolazi do curenja?

U posljednje vrijeme privatni uredi iznajmljuju prostore koji se nalaze u stambenim zgradama, gdje su susjedni prostori stanovi običnih građana. Zidovi višekatnica su vrlo tanki, a sve što je rečeno u susjednom stanu može se čuti 98%. Postoji mnogo takvih tehničkih kanala curenja, svaki od njih povezan je s fizičkim, kemijskim ili biološkim poljem ili drugim obavještajnim sredstvom. Informacije se mogu uhvatiti tijekom procesa prijenosa, rasprave, stvaranja ili obrade. Kanal curenja nije samo izravan put kretanja podataka, već i tehnički kanali koji prate rad drugih objekata.

Doba novih tehnologija omogućuje prevarantima korištenje podataka iz reflektiranih signala, iz prislušnih radio uređaja, magnetskih i elektromagnetskih polja tajnog objekta. Neovlaštene osobe uzemljenjem i elektroenergetskom mrežom uklanjaju informativni signal koji prolazi kroz njih. Čak i nešto tako jednostavno kao što su neoklopljene žice, transformatori, zvučnici, konektori ili otvoreni krugovi mogu propuštati signale koje će pokupiti elektromagnetska polja.

Ako subjekti koriste jedan od tehničkih kanala za prijenos informacija i obrađuju ih, moći će ne samo prigrabiti tajne podatke, već ih i iskriviti ili blokirati. Podaci i informacijski signali distribuiraju se zračnim, informacijskim i električnim vodovima. Stoga, povezivanje s njima na kontaktni ili beskontaktni način neće biti teško. Da bi to učinili, napadači koriste radio uređaje koji prenose informacije na daljinu (uređaji koji potiskuju zvučni signali oprema za snimanje).

Cilj prevaranata može biti ne samo kopiranje ili uništavanje podataka, već i ometanje rada uređaja poduzeća. A to dovodi do činjenice da neki inženjerski i tehnički sustavi zaštite neće raditi punim kapacitetom ili loše kvalitete. Posljedica toga su brojni kvarovi u radu pojedinih procesa, au ekstremnim slučajevima i izvanredne situacije.

Načini i sredstva za zaštitu podataka

Inženjerska i tehnička zaštita podataka poduzeća počinje ograničavanjem pristupa neovlaštenim osobama na teritorij stvaranjem kontroliranih zona: perimetar zgrade i okolnog prostora, sve zgrade poduzeća, odvojeni uredi i prostorije. Šef tvrtke mora stvoriti posebnu sigurnosnu službu. Inženjerski i tehnički tim će provoditi stalni nadzor i osiguranje svih prostora.

Sljedeća faza zaštite informacija bit će nabava i ugradnja tehničkih sredstava za rad s povjerljivim podacima (telefonija, komunikacijski sustavi na više razina, razglas, dispečerska komunikacija, oprema za snimanje i reprodukciju zvuka). Zaštititi tvrtku od utjecaja prislušnih tehničkih sredstava, pronaći slabe točke u svim kontroliranim područjima gdje napadač može doprijeti do informativnih akustičnih, električnih ili magnetskih signala. Otkriti sve moguće sustave, kojima se može pristupiti neovlašteno (neklasificirano telefonska linija, protupožarni ili zvučni alarmi, sigurnosni alarmni sustavi, oprema za nadzor i drugo). Ako je moguće, otkloniti uočene slabosti ili smanjiti njihov broj.

Identificirati i razgraničiti prostore u skupine važnosti i tajnosti (dvorane, sobe za sastanke, uredi). Na temelju svih prikupljenih podataka povjerenstvo za izvid poduzeća sastavlja zapisnik o čijem činjeničnom stanju sastavlja akt koji potvrđuje čelnik poduzeća. Nakon pregleda mora se izraditi nacrt cijele zgrade, njenih prostorija i kontrolnih zona. U uredima i drugim visokozaštićenim prostorijama proizvodi se TZI (nekriptografska metoda zaštite tehničkih kanala od curenja informacija).

Kako sigurno izbrisati podatke na mediju za pohranu:

Hardver i softver

– tehnika koja sprječava napadače u kopiranju, otkrivanju ili neovlaštenom pristupu informacijama. Oprema je podijeljena u grupe:

• Potražite kanale curenja;
• Alati za otkrivanje;
• Aktivna opozicija;
• Pasivna opozicija.

Postoji još jedan podsustav ITZ (inženjersko-tehnička zaštita) - programski alati koji štite podatke na programskoj razini ( antivirusni programi, zaštita komunikacijskih kanala od neovlaštenog kopiranja ili pristupa). Riječ je o uvođenju programa koji pažljivo identificiraju korisnika, ograničavaju pristup zaštićenim informacijama i na svaki mogući način kontroliraju način na koji drugi programi komuniciraju sa zaštićenim informacijama. Nije dopušteno koristiti na poslu računalni sustavi programe bez licence ili certifikata, jer se mogu sakriti malware, koja prikuplja i prenosi tajne podatke.

Na ovaj trenutak Najsigurniji načini šifriranja podataka su kriptografska sredstva. Ovaj visoka razina pouzdanost i zaštita informacija od neprofesionalnih prevaranata. Za implementaciju takvih alata informacije će biti zaštićene kriptosustavom s javnim ključem, elektroničkim potpisom ili simetričnim kriptosustavima. Jedina točka u njihovoj uporabi bit će pogodnost korisnika, koji mora odabrati metodu kriptografije koja mu je najudobnija.

Inženjersko-tehnički sustav, nakon puštanja u rad cjelokupnog kompleksa tehničkih sredstava i mjera, mora biti pod stalnim nadzorom radi pravilnog izvršavanja svih točaka planiranog plana tehničke specifikacije. Sustav će s vremenom zahtijevati usavršavanje i modernizaciju, pa služba informacijske sigurnosti mora pravovremeno reagirati na nova tehnička sredstva zaštite i učinkovito ih implementirati.

Zahtjevi za informacijsku sigurnost pri projektiranju informacijskih sustava ukazuju na karakteristike koje karakteriziraju sredstva informacijske sigurnosti koja se koriste. Definirani su različitim aktima regulatora u području sigurnosti sigurnost informacija, posebno - FSTEC i FSB Rusije. Koje sigurnosne klase postoje, vrste i vrste zaštitne opreme, kao i gdje možete saznati više o tome, prikazani su u članku.

Uvod

Danas su pitanja osiguranja informacijske sigurnosti predmet velike pozornosti, jer tehnologije koje se svugdje implementiraju bez osiguravanja informacijske sigurnosti postaju izvor novih ozbiljnih problema.

Ruski FSB izvještava o ozbiljnosti situacije: iznos štete koju su tijekom nekoliko godina prouzročili napadači diljem svijeta kretao se od 300 milijardi do 1 trilijun dolara. Prema podacima glavnog tužitelja Ruske Federacije, samo u prvoj polovici 2017. godine broj zločina u području visoke tehnologije u Rusiji povećao se šest puta, a ukupna šteta premašila je 18 milijuna dolara.Porast ciljanih napada u industrijskom sektoru u 2017. zabilježen je u cijelom svijetu. Konkretno, u Rusiji je povećanje broja napada u usporedbi s 2016. bilo 22%.

Informacijske tehnologije počele su se koristiti kao oružje u vojno-političke, terorističke svrhe, za uplitanje u unutarnje stvari suverenih država, kao i za činjenje drugih kaznenih djela. Ruska Federacija zalaže se za stvaranje međunarodnog sustava informacijske sigurnosti.

Na području Ruske Federacije nositelji informacija i operateri informacijskih sustava dužni su blokirati pokušaje neovlaštenog pristupa informacijama, kao i pratiti stanje sigurnosti IT infrastrukture na stalna osnova. Istodobno, zaštita informacija osigurava se poduzimanjem raznih mjera, uključujući i tehničke.

Alati za informacijsku sigurnost, odnosno sustavi za zaštitu informacija, osiguravaju zaštitu informacija u informacijskim sustavima, koji su u biti skup informacija pohranjenih u bazama podataka, informacijske tehnologije osiguranje njegove obrade i tehnička sredstva.

Suvremene informacijske sustave karakterizira korištenje različitih hardverskih i softverskih platformi, teritorijalna distribucija komponenti, kao i interakcija s otvorene mreže prijenos podataka.

Kako zaštititi podatke u takvim uvjetima? Odgovarajuće zahtjeve predstavljaju ovlaštena tijela, posebno FSTEC i FSB Rusije. U okviru članka pokušat ćemo prikazati glavne pristupe klasifikaciji sustava informacijske sigurnosti, uzimajući u obzir zahtjeve ovih regulatora. Ostali načini opisivanja klasifikacije informacijske sigurnosti, koji se odražavaju u regulatornim dokumentima ruskih odjela, kao i stranih organizacija i agencija, izvan su opsega ovog članka i dalje se ne razmatraju.

Članak može biti koristan stručnjacima početnicima u području informacijske sigurnosti kao izvor strukturiranih informacija o metodama klasifikacije informacijske sigurnosti na temelju zahtjeva FSTEC-a Rusije (u većoj mjeri) i, ukratko, FSB-a Rusije.

Struktura koja utvrđuje postupak i koordinira pružanje informacijske sigurnosti korištenjem nekriptografskih metoda je FSTEC Rusije (ranije Državna tehnička komisija pri predsjedniku Ruske Federacije, Državna tehnička komisija).

Ako je čitatelj ikada vidio Državni registar certificiranih alata za informacijsku sigurnost, koji je formirao FSTEC Rusije, onda je svakako obratio pozornost na prisutnost u opisnom dijelu svrhe sustava zaštite informacija kao što je "RD SVT razreda”, “razina nepostojanja nesukladnosti s podacima o nesukladnosti” itd. (Slika 1) .

Slika 1. Isječak registra certificiranih uređaja za zaštitu informacija

Klasifikacija alata za kriptografsku zaštitu informacija

FSB Rusije definirao je klase sustava kriptografske zaštite informacija: KS1, KS2, KS3, KV i KA.

Glavne značajke IPS-a klase KS1 uključuju njihovu sposobnost da izdrže napade koji se izvode izvan kontroliranog područja. To podrazumijeva da se stvaranje metoda napada, njihova priprema i implementacija provodi bez sudjelovanja stručnjaka u području razvoja i analize kriptografske informacijske sigurnosti. Pretpostavlja se da se informacije o sustavu u kojem se koriste navedeni sustavi informacijske sigurnosti mogu dobiti iz otvorenih izvora.

Ako kriptografski informacijski sigurnosni sustav može izdržati napade blokirane pomoću klase KS1, kao i one koji se izvode unutar kontroliranog područja, tada takva informacijska sigurnost odgovara klasi KS2. Pretpostavlja se, primjerice, da bi tijekom pripreme napada mogle postati dostupne informacije o fizičkim mjerama zaštite informacijskih sustava, osiguravanju kontroliranog prostora i sl.

Ako je moguće oduprijeti se napadima ako postoji fizički pristup računalnoj opremi s instaliranim kriptografskim sigurnosnim informacijama, kaže se da je takva oprema u skladu s klasom KS3.

Ako se kriptografska informacijska sigurnost odupire napadima, u čije su stvaranje uključeni stručnjaci u području razvoja i analize ovih alata, uključujući istraživačke centre, te je bilo moguće provesti laboratorijske studije sigurnosnih sredstava, tada govorimo o usklađenosti s HF klasom .

Ako su stručnjaci u području korištenja softvera NDV sustava bili uključeni u razvoj metoda napada, bila je dostupna odgovarajuća projektna dokumentacija i postojao pristup bilo kojoj hardverskoj komponenti kriptografskih informacijskih sigurnosnih sustava, tada se zaštita od takvih napada može osigurati pomoću KA klasa.

Klasifikacija sredstava zaštite elektroničkog potpisa

Objekti Elektronički potpis ovisno o sposobnosti podnošenja napada, uobičajeno ih je uspoređivati ​​sa sljedećim klasama: KS1, KS2, KS3, KV1, KV2 i KA1. Ova je klasifikacija slična onoj o kojoj se raspravljalo u odnosu na sigurnost kriptografskih informacija.

zaključke

U članku su ispitane neke metode klasifikacije informacijske sigurnosti u Rusiji, čija je osnova regulatorni okvir regulatora u području zaštite informacija. Razmotrene opcije klasifikacije nisu iscrpne. Ipak, nadamo se da će predstavljeni sažetak informacija omogućiti početniku stručnjaku u području informacijske sigurnosti da se brzo snađe.

krivotvorina Prema novinama USA Today, još 1992. godine, kao rezultat sličnih nezakonitih radnji korištenja osobnih računala Američke organizacije pretrpjele su ukupni gubitak od 882 milijuna dolara. Može se pretpostaviti da je stvarna šteta bila mnogo veća, jer mnoge organizacije razumljivo skrivaju takve incidente; Nema sumnje da su ovih dana štete od ovakvih radnji višestruko povećane.

U većini slučajeva krivci su bili stalno zaposlenici organizacija koji su bili dobro upoznati s režimom rada i zaštitnim mjerama. Ovo još jednom potvrđuje opasnost od unutarnjih prijetnji.

Prethodno smo razlikovali statički i dinamički integritet. U svrhu kršenja statički integritet napadač (obično zaposlenik s punim radnim vremenom) može:

• unesite netočne podatke;
• Za promjenu podataka.

Ponekad se mijenjaju podaci o sadržaju, ponekad se mijenjaju informacije o usluzi. Naslovi elektronička pošta mogu biti krivotvoreni; pismo kao cjelinu može krivotvoriti osoba oni koji znaju lozinku pošiljatelj (naveli smo relevantne primjere). Imajte na umu da je potonje moguće čak i kada se integritet kontrolira kriptografskim sredstvima. Postoji interakcija između različitih aspekata informacijske sigurnosti: ako je povjerljivost ugrožena, integritet može biti ugrožen.

Prijetnja integritetu nije samo krivotvorenje ili izmjena podataka, već i odbijanje izvršenih radnji. Ako ne postoji način da se osigura "neporicanje", računalni podaci ne mogu se smatrati dokazom.

Potencijalno osjetljiv na poremećaje integritet Ne samo podaci, ali također programa. Prijetnje dinamički integritet predstavljaju prekršaj atomičnost transakcije, preuređivanje, krađa, dupliciranje podataka ili uvođenje dodatnih poruka ( mrežni paketi i tako dalje.). Ova aktivnost u mrežnom okruženju naziva se aktivnim slušanjem.

Glavne prijetnje privatnosti

Povjerljive informacije mogu se podijeliti na predmetne i službene informacije. Servisne informacije (na primjer, korisničke lozinke) ne odnose se na određeno područje, u informacijski sistem ima tehničku ulogu, ali je njegovo otkrivanje posebno opasno, jer je prepuno neovlaštenog pristupa svim informacijama, uključujući informacije o subjektu.

Čak i ako su informacije pohranjene na računalu ili namijenjene za korištenje računalom, prijetnje njihovoj povjerljivosti mogu biti ne-računalne i ne-tehničke prirode.

Mnogi ljudi moraju djelovati kao korisnici ne jednog, već više sustava (informacijskih usluga). Ako se za pristup takvim sustavima koriste višekratne lozinke ili druge povjerljive informacije, tada će ti podaci najvjerojatnije biti pohranjeni ne samo u glavi, već iu bilježnici ili na komadima papira koje korisnik često ostavlja na radnoj površini ili gubi. A poanta ovdje nije nedostatak organizacije ljudi, već početna neprikladnost sheme zaporki. Nemoguće je zapamtiti mnogo različitih lozinki; preporuke za njihovu redovitu (ako je moguće, čestu) izmjenu samo pogoršavaju situaciju, prisiljavajući korištenje jednostavnih alternacijskih shema ili čak pokušavajući svesti stvar na dvije ili tri lako pamtljive (i jednako lako pogodljive) lozinke.

Opisana klasa ranjivosti može se nazvati postavljanjem povjerljivih podataka u okruženje u kojem im nije pružena (a često se i ne može) potrebna zaštita. Osim lozinki pohranjenih u bilježnice korisnicima, ovaj razred uključuje prijenos povjerljivih podataka u čistom tekstu (u razgovoru, u pismu, preko mreže), što omogućuje njihovo presretanje. Različiti se mogu koristiti za napad tehnička sredstva(prisluškivanje ili prisluškivanje razgovora, pasivno slušanje mreže itd.), ali ideja je ista - pristupiti podacima u trenutku kada su najmanje zaštićeni.

Prijetnju presretanja podataka treba uzeti u obzir ne samo tijekom početne konfiguracije IS-a, već i, što je vrlo važno, tijekom svih promjena. Izložbe na koje mnoge organizacije šalju opremu proizvodna mreža sa svim podacima pohranjenim na njima. Lozinke ostaju iste kada daljinski pristup nastavljaju se prenositi u jasnom obliku.

Drugi primjer promjene: pohranjivanje podataka na sigurnosne medije. Za zaštitu podataka na primarnim medijima koriste se napredni sustavi kontrole pristupa; kopije često samo leže u ormarićima i mnogi im ljudi mogu pristupiti.

Presretanje podataka je ozbiljna prijetnja, a ako je privatnost doista kritična i podaci se prenose preko mnogo kanala, njihova zaštita može biti vrlo teška i skupa. Tehnička sredstva presretanja su dobro razvijena, dostupna, laka za korištenje i svatko ih može instalirati, primjerice, na kabelsku mrežu, tako da ova prijetnja postoji ne samo za vanjske, već i za interne komunikacije.

Krađa hardvera prijetnja je ne samo medijima za sigurnosne kopije, već i računalima, posebno prijenosnim. Prijenosna računala često ostaju bez nadzora na poslu ili u automobilu, a ponekad se jednostavno izgube.

Opasna netehnička prijetnja povjerljivosti su metode moralnog i psihološkog utjecaja, kao npr maskenbal- obavljanje radnji pod krinkom ovlaštene osobe za pristup podacima.

Neugodne prijetnje od kojih se teško obraniti uključuju: zlouporaba moći. Na mnogim vrstama sustava, povlašteni korisnik (na primjer Administrator sustava) može čitati bilo koju (nekriptiranu) datoteku, dobiti pristup bilo kojoj korisničkoj pošti, itd. Drugi primjer je nanošenje štete tijekom servisnog održavanja. Tipično, servisni inženjer dobiva neograničeni pristup opremi i ima mogućnost zaobići mehanizme zaštite softvera.

Metode zaštite

Postojeće metode i alati za informacijsku sigurnost računalni sustavi (CS) mogu se podijeliti u četiri glavne skupine:

• metode i sredstva organizacijske i pravne zaštite informacija;
• metode i sredstva inženjerske i tehničke zaštite informacija;
• kriptografske metode i sredstva informacijske sigurnosti;
• programske i hardverske metode i sredstva informacijske sigurnosti.

Metode i sredstva organizacijske i pravne zaštite informacija

Metode i sredstva organizacijske zaštite informacija obuhvaćaju organizacijske, tehničke i organizacijsko-pravne mjere koje se provode u procesu stvaranja i rada računalnog sustava radi osiguranja zaštite informacija. Navedene aktivnosti treba provoditi tijekom izgradnje ili obnove prostora u kojem će biti smještena kompresorska stanica; projektiranje sustava, ugradnja i prilagodba njegovih tehničkih i softver; testiranje i provjeru performansi CS-a.

Na ovoj razini zaštite informacija razmatraju se međunarodni ugovori, državni propisi, državni standardi i lokalni propisi određene organizacije.

Metode i sredstva inženjerske zaštite

Inženjersko-tehnička sredstva informacijske sigurnosti su fizički objekti, mehanički, električni i elektronički uređaji, konstruktivni elementi građevina, sredstva za gašenje požara i druga sredstva koja osiguravaju:

• zaštita teritorija i prostorija kompresorske stanice od uljeza;
• zaštita CS hardvera i medija za pohranu od krađe;
• sprječavanje mogućnosti daljinskog (izvan štićenog prostora) videonadzora (prisluškivanja) rada osoblja i funkcioniranja tehničkih sredstava KS;
• sprječavanje mogućnosti presretanja PEMIN-a (strana elektromagnetska radijacija i smetnje) uzrokovane radom tehničkih sredstava CS-a i vodova za prijenos podataka;
• organiziranje pristupa prostorijama kompresorske stanice za djelatnike;
• kontrola rasporeda rada osoblja CS-a;
• kontrola kretanja djelatnika CS-a u različitim proizvodnim područjima;
• zaštita od požara prostorija kompresorske stanice;
• minimiziranje materijalne štete od gubitka informacija uslijed prirodnih katastrofa i nesreća uzrokovanih ljudskim djelovanjem.

Najvažniji sastavni dio Inženjersko-tehnička sredstva informacijske sigurnosti su tehnička sredstva zaštite koja čine prvu liniju zaštite CS-a i nužan su ali nedovoljan uvjet za očuvanje povjerljivosti i cjelovitosti informacija u CS-u.

Metode kriptografske zaštite i enkripcija

Šifriranje je primarni način osiguravanja povjerljivosti. Dakle, u slučaju osiguranja povjerljivosti podataka na lokalno računalo koriste enkripciju tih podataka, au slučaju mrežne interakcije i šifrirane kanale prijenosa podataka.

Znanost o zaštiti podataka pomoću enkripcije naziva se kriptografija(kriptografija u prijevodu znači tajanstveni zapis ili tajni zapis).

Kriptografija se koristi:

• zaštititi povjerljivost informacija koje se prenose otvorenim komunikacijskim kanalima;
• za autentifikaciju (potvrdu autentičnosti) prenesenih informacija;
• za zaštitu povjerljivih informacija kada su pohranjene na otvorenim medijima;
• osigurati cjelovitost informacija (zaštita informacija od neovlaštenih promjena) kada se prenose otvorenim komunikacijskim kanalima ili pohranjuju na otvorenim medijima;
• osigurati neupitnost informacija koje se prenose mrežom (spriječavanje mogućeg poricanja činjenice slanja poruke);
• za zaštitu softvera i drugih informacijskih izvora od neovlaštene uporabe i kopiranja.

Programske i hardversko-softverske metode i sredstva za osiguranje informacijske sigurnosti

Hardverska informacijska sigurnost uključuje elektroničke i elektroničko-mehaničke uređaje koji su uključeni u tehnička sredstva računalnog sustava i obavljaju (samostalno ili u sprezi s programskom opremom) neke funkcije osiguranja informacijske sigurnosti. Kriterij za klasifikaciju uređaja kao hardvera, a ne kao inženjerskog sredstva zaštite je njegovo obvezno uključivanje u sastav tehničkih sredstava CS-a.

Na glavno hardver zaštita informacija uključuje:

• uređaji za unos podataka za identifikaciju korisnika (magnetske i plastične kartice, otisci prstiju itd.);
• uređaji za šifriranje informacija;
• uređaji za sprječavanje neovlaštenog aktiviranja radnih stanica i poslužitelja (elektroničke brave i blokade).

Primjeri pomoćnog hardvera za informacijsku sigurnost:

• uređaji za uništavanje informacija na magnetskim medijima;
• alarmni uređaji o pokušajima neovlaštenih radnji korisnika CS-a i sl.

Softver za informacijsku sigurnost znači posebne programe uključene u CS softver isključivo za obavljanje zaštitnih funkcija. Na glavno softver zaštita informacija uključuje:

• programi za identifikaciju i autentifikaciju CS korisnika;
• programi za ograničavanje korisničkog pristupa CS resursima;
• programi za šifriranje informacija;
• programe za zaštitu informacijskih resursa (sustavnog i aplikativnog softvera, baza podataka, alata za računalnu obuku i dr.) od neovlaštene izmjene, uporabe i kopiranja.

Napominjemo da se pod identifikacijom, u odnosu na osiguranje informacijske sigurnosti računalnog sustava, podrazumijeva nedvosmisleno prepoznavanje jedinstvenog naziva subjekta računalnog sustava. Autentifikacija znači potvrđivanje da prikazano ime odgovara danom subjektu (potvrđivanje identiteta subjekta).

Primjeri prateći softver zaštita informacija:

• programi za uništavanje zaostalih informacija (u blokovima RAM memorija, privremene datoteke itd.);
• programe revizije (vođenje dnevnika) događaja vezanih uz sigurnost CS-a kako bi se osigurala mogućnost oporavka i dokaza o činjenici nastanka tih događaja;
• programi za simulaciju rada s prekršiteljem (odvraćajući mu pažnju da dobije navodno povjerljive informacije);
• testiranje kontrolnih programa za sigurnost CS-a itd.

Rezultati

Od potencijala prijetnje sigurnosti Informacije su vrlo raznolike, ciljevi zaštite informacija mogu se postići samo stvaranjem cjelovitog sustava zaštite informacija, koji se shvaća kao skup metoda i sredstava objedinjenih za jedinstvenu svrhu i osiguranje potrebne učinkovitosti zaštite informacija u CS.

Informacija su svi podaci koji se nalaze u memoriji računalnog sustava, svaka poruka poslana preko mreže i svaka datoteka pohranjena na bilo kojem mediju. Informacija je bilo koji rezultat rada ljudskog uma: ideja, tehnologija, program, različiti podaci (medicinski, statistički, financijski), bez obzira na oblik njihovog prikazivanja. Sve što nije fizički objekt, a može se koristiti čovjeku, opisuje se jednom riječju – informacija.

Informacija:

Slobodan pristup informacijama

Ograničene informacije

1. Povjerljive informacije

   Tajne informacije

Povjerljivo(povjerljive, privatne) - službene, profesionalne, industrijske, trgovačke ili druge informacije, čiji pravni režim uspostavlja njihov vlasnik na temelju zakona o trgovačkim, industrijskim tajnama i drugih zakonodavnih akata. Vlasnik informacija može samostalno utvrditi njihov status povjerljivosti (na primjer, osobna tajna). Zahtijeva bezuvjetnu zaštitu.

Službena tajna- podaci koji se odnose na proizvodne, upravljačke, financijske ili druge gospodarske aktivnosti organizacije, čije otkrivanje (prijenos, curenje, krađa) može štetiti njezinim interesima i nisu državna tajna. Ove informacije uključuju:

informacije koje sadrže informacije koje zaposlenici organizacije koriste za rad u službene svrhe;

podaci dobiveni kao rezultat obrade službenih informacija tehničkim sredstvima (uredska oprema);

dokumenti (mediji) nastali kao rezultat kreativne aktivnosti zaposlenika organizacije, uključujući informacije bilo kojeg podrijetla, vrste i namjene potrebne za normalno funkcioniranje organizacije.

Tajne informacije– informacije koje sadrže u skladu s državnim zakonom. Tajni podaci koji predstavljaju takve. Zahtijeva najviše visok stupanj zaštita

Državna tajna– podatke koje država štiti u području svoje vojske, obrane, vanjske politike, gospodarstva, obavještajnog i dr. aktivnosti čije bi širenje moglo naštetiti sigurnosti države. Širenje GOS TAJNI regulira država i kontroliraju obavještajne službe.

Vrste ograničenih informacija

I informativni b sigurnost (IS) je zaštita informacija i njihove prateće infrastrukture od slučajnih ili namjernih utjecaja prirodne ili umjetne prirode koji mogu uzrokovati neprihvatljivoštete vlasnicima i korisnicima informacija.

ZAŠTITA INFORMACIJA je skup mjera usmjerenih na sprječavanje curenja zaštićenih informacija, kao i neovlaštenih i nenamjernih utjecaja na te informacije.

NSD - Neovlašteni pristup-neovlašteni pristup Jedan od najčešćih i najrazličitijih tipova kršenja sigurnosti računalnog sustava. Sastoji se od toga da uljez dobije pristup resursu (objektu) kršeći pravila kontrole pristupa utvrđena u skladu sa sigurnosnom politikom. Za NSD se koristi svaka pogreška u sigurnosnom sustavu, a može se izvršiti korištenjem standardnog softvera i VT alata ili posebno razvijenog hardvera i/ili softvera.

IS mora osigurati:

integritet podataka– cjelovitost označava relevantnost i dosljednost informacija, njihovu zaštitu od uništenja i neovlaštenih promjena.

2. povjerljivost informacija je zaštita od neovlaštenog pristupa ograničenim informacijama, uključujući zaštitu od nezakonite krađe, izmjene ili uništenja. (PRIMJER s komercijalnim i osobnim podacima, službenim, državnim tajnama)

3. dostupnost za ovlašteni pristup– ovo je prilika da se tražene informacije dobiju u razumnom roku.

Glavna područja djelatnosti zaštite informacija

Načela izgradnje sustava zaštite informacija (informacijska sigurnost)

Sustavnost

Složenost

Kontinuitet zaštite

Razumna dostatnost

Fleksibilnost kontrole i primjene

Otvorenost algoritama i zaštitnih mehanizama

Jednostavnost korištenja zaštitnih metoda i sredstava

Osim toga, svi alati i mehanizmi za informacijsku sigurnost koji se koriste ne bi trebali ometati normalan rad korisnika s automatiziranim informacijskim sustavom - oštro smanjiti produktivnost, povećati složenost rada itd. Sustav informacijske sigurnosti trebao bi biti usmjeren na taktičko predviđanje mogućih prijetnji, te imati mehanizme oporavka normalna operacija CS u slučaju realizacije prijetnji.

Načela zaštite informacija od neovlaštenog pristupa

Zatvaranje kanala za neovlašteno primanje informacija treba započeti kontrolom pristupa korisnika informacijskim resursima. Ovaj se zadatak rješava na temelju niza načela:

Načelo razumnog pristupa sastoji se u obveznom ispunjavanju sljedećeg uvjeta: korisnik mora imati dostatan oblik pristupa za dobivanje informacija tražene razine povjerljivosti za obavljanje navedenih proizvodnih funkcija. Korisnici mogu biti aktivni programi i procese, kao i medije za pohranu.

Princip diferencijacije– spriječiti narušavanje informacijske sigurnosti, koje se, primjerice, može dogoditi pri snimanju klasificiranih podataka na neklasificiranim medijima iu neklasificiranim datotekama, pri njihovom prijenosu programima i procesima koji nisu namijenjeni obradi klasificiranih podataka, kao i pri prijenosu klasificiranih podataka nezaštićenim kanalima. i komunikacijske linije, potrebno je provesti odgovarajuće razgraničenje tokova informacija i prava pristupa tim informacijama

Načelo čistoće resursa je očistiti resurse koji sadrže povjerljive informacije, kada ih korisnik izbriše ili otpusti prije nego što se ti resursi redistribuiraju drugim korisnicima.

Načelo osobne odgovornosti- svaki IP korisnik mora snositi osobnu odgovornost za svoje aktivnosti u sustavu, uključujući sve operacije s klasificiranim podacima i moguće povrede njihove zaštite - slučajne ili namjerne radnje koje dovode ili mogu dovesti do neovlaštenog pristupa ili, obrnuto, čine takve podatke nedostupnima legitimnim korisnika

Načelo sigurnosnog integriteta podrazumijeva da alati za informacijsku sigurnost u informacijskim sustavima moraju točno obavljati svoje funkcije u skladu s navedenim načelima i biti izolirani od korisnika. U svrhu održavanja, zaštitna oprema mora sadržavati posebno sigurno sučelje za kontrolu, signalizaciju i snimanje.

2. Metode i sredstva zaštite informacija

Metode informacijske sigurnosti

neka – metoda fizičkog blokiranja napadačevog puta do zaštićenih informacija

kontrola pristupa – metoda za određivanje i dodjelu resursa sustava ovlaštenim korisnicima

šifriranje - metoda zaštite informacija u komunikacijskim kanalima njihovim kriptografskim zatvaranjem. Ova metoda zaštite naširoko se koristi za obradu i pohranu informacija. Kod prijenosa informacija putem komunikacijskih kanala na velike udaljenosti, ova metoda je jedina pouzdana.

regulacija – način zaštite informacija kojim se stvaraju posebni uvjeti za automatiziranu obradu, pohranu i prijenos zaštićenih informacija, pri kojima bi se mogućnost neovlaštenog pristupa istima svela na minimum.

prinuda - način zaštite informacija u kojem su korisnici i osoblje sustava prisiljeni pridržavati se pravila obrade, prijenosa i korištenja zaštićenih informacija pod prijetnjom materijalne, administrativne ili kaznene odgovornosti.

motivacija - način zaštite informacija koji potiče korisnika i osoblje sustava da ne krše utvrđene standarde (visoka plaća)

Objekti

tehničkog implementiraju se u obliku električnih, elektromehaničkih i elektroničkih uređaja. Cjelokupni skup tehničkih sredstava dijeli se na hardver I fizički.

Pod, ispod hardver Obično se shvaća kao ugrađeni elektronički uređaji. Neki od najpoznatijih hardvera uključuju krugove za kontrolu informacija o paritetu, sklopove za zaštitu memorijskog polja ključem, itd.

Fizički sredstva se prodaju u obliku autonomnih uređaja i sustava. Na primjer, brave na vratima prostorija s opremom, rešetke na prozorima, sigurnosni alarmi, CCTV kamere.

Fizička zaštita:

osigurati sigurnost prostorija u kojima se nalaze mrežni poslužitelji;

ograničavanje fizičkog pristupa serverima, hubovima, switchevima za neovlaštene osobe, mrežni kablovi i ostala oprema;

osigurati zaštitu od nestanka struje.

softver predstavljati softver, posebno dizajniran za obavljanje funkcija informacijske sigurnosti.

Standardni sigurni softver:

Sigurnosni alati koji koriste lozinke identifikacija te ograničavanje pristupa korisnika prema dodijeljenim pravima - kontrola pristupa i razgraničenje ovlasti (identifikacija + autentifikacija + autorizacija)

Identifikacija omogućuje subjektu (korisniku, procesu koji djeluje u ime određenog korisnika ili drugoj hardverskoj i softverskoj komponenti) da se identificira (prijavi svoje ime). Kroz ovjera druga strana se uvjerava da je subjekt stvarno onaj za kojeg se predstavlja. Kao sinonim za riječ " ovjera"Ponekad se koristi izraz "autentifikacija".

Registracija I analiza događaji koji se događaju u sustavu - osigurava zaprimanje i analizu informacija o stanju resursa sustava pomoću posebnih kontrolnih alata, kao i registraciju radnji prepoznatih kao potencijalno opasne za sigurnost sustava. Analiza prikupljenih informacija omogućuje nam da identificiramo sredstva i apriorne informacije kojima se prekršitelj koristi prilikom utjecaja na sustav i utvrdimo dokle je kršenje otišlo, predložimo metodu za njegovo istraživanje i načine ispravljanja situacije;

Kontrola integriteta resursa sustava dizajniran je za pravovremeno otkrivanje njihove izmjene. To vam omogućuje da osigurate ispravno funkcioniranje sustava i cjelovitost obrađenih informacija.

Kriptografski informacije o zatvaranju

Zaštita od vanjskih upada - vatrozidi

Obrana od računalni virusi - antivirusni paketi, Protiv spama filteri

Objekti Rezervni primjerak i oporavak podataka

hardver i softver sredstva zaštite temelje se na uporabi raznih elektronički uređaji I posebni programi, koji su dio sustava informacijske sigurnosti i obavljaju takve (samostalno ili u kombinaciji s drugim sredstvima) sigurnosne funkcije kao što su: identifikacija i autentifikacija korisnika, razlikovanje pristupa resursima, registracija događaja, kriptografsko zatvaranje informacija, osiguranje tolerancije na pogreške komponenti i sustav u cjelini itd. .d.

Organizacijski sredstva zaštite su organizacijske, tehničke i organizacijsko-pravne mjere koje se provode u procesu izrade i rada posebne programske i hardverske opreme za osiguranje zaštite informacija. Organizacijske mjere obuhvaćaju sve strukturne elemente u svim fazama životni ciklus zaštićeni sustav (izrada zaštićenog perimetra, izgradnja prostora, projektiranje sustava u cjelini, ugradnja i podešavanje opreme, ispitivanje i rad), kao i kadrovska politika i odabir osoblja.

moralni i etički sredstva zaštite provode se u obliku normi koje su se razvile tradicionalno ili se razvijaju širenjem VT i komunikacija u određenoj zemlji ili društvu. Ove norme u pravilu nisu obvezujuće, poput zakonskih mjera, ali njihovo nepoštivanje dovodi do gubitka autoriteta i prestiža organizacije.

zakonodavna – pravni lijekovi određeni su zakonima zemlje. Oni reguliraju pravila korištenja, utvrđuju se obrada i prijenos informacija s ograničenim pristupom te sankcije za kršenje ovih pravila.

Prema svojoj funkcionalnoj namjeni Metode i sredstva zaštite informacija mogu se podijeliti u sljedeće vrste:

Metode i sredstva upozorenja- namijenjeni su stvaranju uvjeta u kojima je mogućnost nastanka i provedbe destabilizirajućih čimbenika (prijetnji) isključena ili minimizirana;

Metode i sredstva otkrivanje- dizajniran za otkrivanje prijetnji u nastajanju ili mogućnosti njihovog nastanka i prikupljanje dodatnih informacija;

Metode i sredstva neutralizacija- dizajniran za uklanjanje prijetnji u nastajanju;

Metode i sredstva oporavak- namijenjeni su uspostavljanju normalnog rada štićenog sustava (ponekad i samog sustava zaštite).

Metode i sredstva zaštite računalne informacije predstavljaju skup različitih mjera, hardverskih i softverskih, moralnih, etičkih i pravnih standarda koji su usmjereni na suprotstavljanje prijetnjama napadača i minimiziranje moguće štete vlasnicima sustava i korisnicima informacija.

Razmotrimo sljedeće vrste tradicionalnih mjera za suzbijanje curenja informacija s računala.

Tehničke metode i sredstva informacijske sigurnosti

To uključuje:

• zaštita od neovlaštenog pristupa računalnom sustavu;
• redundantnost svih važnijih računalnih podsustava;
• organizacija mreža s naknadnom mogućnošću preraspodjele resursa ako dođe do kvara pojedinih mrežnih veza;
• ugradnja opreme za detekciju;
• ugradnja opreme za detekciju vode;
• donošenje skupa mjera za zaštitu od krađe, sabotaže, sabotaže i eksplozija;
• montaža rezervni sustav napajanje;
• opremanje prostorija bravama;
• ugradnja alarmnih sustava i sl.

Organizacijske metode i sredstva informacijske sigurnosti

To uključuje:

• sigurnost poslužitelja;
• pažljivo organiziran odabir osoblja;
• isključenje takvih slučajeva kada sve posebno važne poslove obavlja jedna osoba;
• razvoj plana kako vratiti funkcionalnost poslužitelja u situaciji kada zakaže;
• univerzalna sredstva zaštite od bilo kojeg korisnika (čak i od višeg menadžmenta).

Metode i tehnike zaštite informacija: autentifikacija i identifikacija

Identifikacija je dodjeljivanje jedinstvene slike ili imena subjektu ili objektu. A autentifikacija je provjera je li subjekt/objekt ono za što se pokušava predstavljati. Krajnji cilj obje mjere je pristup subjekta/objekta informacijama koje su u ograničenoj uporabi ili uskraćivanje takvog pristupa. Autentičnost objekta može se izvršiti pomoću programa, hardverskog uređaja ili osobe. Objekti/subjekti autentifikacije i identifikacije mogu biti: tehnička sredstva (radne stanice, monitori, pretplatničke stanice), osobe (operatori, korisnici), informacije na monitoru, magnetski mediji i sl.

Metode i sredstva zaštite podataka: korištenje lozinki

Lozinka je skup znakova (slova, brojeva, itd.) koji je dizajniran za identifikaciju objekta/subjekta. Kada se postavlja pitanje koju lozinku odabrati i postaviti, uvijek se postavlja pitanje njezine veličine, načina primjene otpora odabiru od strane napadača. Logično je da što je lozinka duža, to će sustavu biti veća razina sigurnosti, budući da će trebati mnogo više truda da se pogodi/pokupi kombinacija.

No čak i ako ga treba povremeno mijenjati u novi, kako bi se smanjio rizik od presretanja u slučaju izravne krađe medija, bilo kopiranjem s medija, bilo prisilnim prisiljavanjem korisnika da kaže "čarobna" riječ.