Обеспечение безопасности автоматизированных систем обработки экономической информации

Основным назначением любой автоматизированной системы является переработка, сбор, контроль, хранение и выдача информации, поэтому проблема обеспечения информационной безопасности является для АСОИ центральной. Экономические информационные системы являются классом АСОИ, ориентированным на обработку преимущественно экономической и организационно-экономической информацией. Обеспечение безопасности АСОИ предполагает организацию противодействия любому несанкционированному вторжению в процесс функционирования АСОИ, а так же попыткам модификации, хищения, выведения из строя или разрушения ее компонентов. Существует два подхода к созданию АСОИ:

1. Фрагментарный:

Направлен на противодействие четко определенным угрозам в заданных условиях (например, средства управления доступом). Достоинством такого подхода является высокая избирательность к конкретной угрозе. Недостатки: отсутствие единой защищенной среды обработки информации. Фрагментарные меры защиты обеспечивают защиту конкретного объекта АСОИ только от конкретной угрозы.

2. Комплексный:

Ориентирован на создание защищенной среды обработки информации. Объединяет в единый комплекс разнородные меры противодействия угрозам. Организация защищенной среды обработки информации позволяет гарантировать определенный уровень безопасности АСОИ, что является достоинством. Недостатки: ограничение на свободу конечных пользователей, чувствительность к ошибкам, сложность управления.

Комплексный подход к проблеме обеспечения безопасности основан на разработанной для конкретной АСОИ политике безопасности. Политика информационной безопасности представляет собой набор норм, правил и практических рекомендаций. На этой основе строится управление, защита и распределение информации в АСОИ. Политика безопасности реализуется посредством административно-организационных мер. Для конкретной организации политика безопасности должна носить индивидуальный характер и зависеть от конкретной технологии обработки информации. Политика безопасности определяется способом управления доступом, определяющим порядок доступа к объектам системы. Различают два основных вида политики безопасности:

1. Избирательная (дискреционная): основана на избирательном способе управления доступом. Она характеризуется заданным администратором множеством разрешений в отношении доступа.

Для описания свойств избирательного управления доступом применяют математическую модель на основе матрицы доступа. Матрица доступа представляет собой матрицу, в которой столбец соответствует объекту системы, а строка субъекту. На пересечении столбца и строки указывается тип разрешенного доступа субъекта к объекту. Матрица доступа может раздавать права на чтение, запись, исполнение.

2. Полномочная (мандатная): характеризуется совокупностью правил предоставления доступа, определенных на множестве атрибутов безопасности субъектов и объектов. Например, в зависимости от метки или ключа конфиденциальность информации, уровень доступа к конкретному пользователю. Полномочное управление доступом подразумевает, что: все субъекты и объекты однозначно идентифицированы; каждому объекту системы присвоена метка конфиденциальности; каждому субъекту системы присвоен определенный уровень доступа, он и определяет максимальное значение метки конфиденциальности; каждый субъект информирован, что все его запросы к информации фиксируются, в том числе и санкционированные.

Схема (структура информационной системы)!

Результатом этапа планирования является развернутый план защиты АСОИ, содержащий перечень защищаемых компонентов АСОИ и возможных воздействий на них, цель защиты информации в АСОИ, правила обработки информации, обеспечивающие ее защиту от различных воздействий. Сущность этапа реализации систем заключается в установке и настройке средств защиты, необходимой для реализации запланированных правил обработки информации. Заключительный этап: сопровождение контроля и диагностики. Он заключается в контроле работы системы и регистрации происходящих в ней событий.

Электронные носители денежной информации

Деньги лишаются своих твердых копий, они не видимы и распространяются внутри специальной информационной системы. Электронные деньги относятся к безналичным деньгам, они распространяются без участия их владельцев и являются преимущественно именными деньгами. Если денежная транзакция в системе золотых и бумажных денег является бинарной, то электронная денежная транзакция является n-ной, где n>2, потому что в ней участвует плательщик (платежеполучатель и платежепроизводитель). Платежепроизводитель может быть представлен несколькими субъектами денежных отношений.

Магнитные карты

Простейшим видом пластиковых карт являются магнитные карты. Эта карта имеет стандарт ИСО, на обратной стороне имеет полосу объемом около 100 байт. Такие магнитные карты широко используются в стандарте VISA, MasterCard и Euro Card. На магнитной полосе хранится информация, которая включает номер карты, номер счета, имя фамилия владельца и срок годности карты. На магнитной карте не хранится информация о состоянии счета.

Банкоматы (АТМ) – механические устройства предназначенные для выдачи денег. Автоматы придумали под карты памяти, которые более сложны в обращении, там нет магнитной полосы, в нее встроена микросхема. Самой мощной разновидностью пластиковых денег является интеллектуальная карта (smart-карта). Такие карты имеют встроенный микропроцессор. Они могут иметь оперативную и постоянную память. Они так же имеют встроенную систему обеспечения безопасности и защиты данных.