II. Меры по обеспечению сохранности информации. Угрозы безопасности в информации

Организационные методы защиты - это организационно-технические и организационно-правовые мероприятия, которые предусматриваются в системах с целью предупреждения несанкционированного использования данных. Организационные методы играют двоякую роль в информационных системах. Во-первых, являясь самостоятельными методами защиты, они устанавливают нормы поведения человека в ИС, определяют права и обязанности исполнителей, обеспечивают подбор и подготовку персонала в соответствии с требованиями конфиденциальности данных. Во-вторых, эти методы объединяют в единую систему все методы защиты информации.

Организационные методы защиты могут быть применены практически на любом этапе переработки информации. Реализация их не требует специальной аппаратуры (как при технических методах) и не снижает производительности ИС (как при программных методах). Применение технических и программных методов при отсутствии или недостаточной разработке организационных методов может свести на нет все усилия работников системы защиты информации.

Программные методы повышения недоступности данных состоят в том, что при каждой попытке проникновения в систему выполняется программа (комплекс программ), которая идентифицирует пользователя и определяет его права, идентифицирует терминал, осуществляет защиту файлов, операционных систем и программ пользователей.

Программные методы не требуют специальной аппаратуры, однако они ведут к снижению производительности ЭВМ, требуют создания определенного дополнительного объема памяти и т.д.

При технических методах повышения недоступности в ИС вводится дополнительная аппаратура или применяются обособленные от ИС устройства, позволяющие тем или иным способом следить за попытками проникновения в систему и осуществлять отказ в доступе в случае несанкционированных действий.

Методы защиты могут классифицироваться также по возможным способам предупреждения несанкционированного доступа к данным. При этом выделяются следующие способы:

• Препятствие проникновению в систему;

• Управление доступом к ресурсам системы;

• Маскировка;

• Регламентация;

• Принуждение;

• Побуждение.

Препятствие проникновению в систему состоит в том, чтобы создать для злоумышленника физическую преграду на пути к защищенным данным (на территорию объекта, в здание объекта и т.д.).

Управление доступом к ресурсам автоматизированной системы состоит в установлении регламента использования всех ресурсов системы и контроля за его выполнением. Система защиты устанавливает регламент работы для:

• пользователей (дни недели и часы суток, в которые разрешена работа; терминалы, с которых разрешается доступ; элементы баз данных, к которым разрешен доступ; перечень процедур, разрешенных для выполнения);

• персонала информационной системы (дни недели и часы суток, в которые разрешена работа; перечень ресурсов системы, к которым разрешен доступ; порядок доступа к ресурсам);

• технических средств (дни недели и часы суток, в которые возможна работа; описание лиц, имеющих право на них работать; порядок работы);

• элементов баз данных (дни недели и время суток, в которые разрешено их использование; список пользователей, имеющих право доступа к ним; перечень процедур, разрешенных для выполнения);

• носителей данных (место постоянного хранения; список лиц, имеющих право получать их; перечень программ, имеющих право обращения к носителям).

Выполнение регламента контролируется при следующих действиях:

• идентификации пользователей, персонала и ресурсов системы. Под идентификацией понимается присвоение каждому вышеуказанному объекту персонального идентификатора (имени, пароля и др.) и опознание субъекта или объекта по предъявленному им идентификатору;

• проверке полномочий, т.е. установлении соответствия дня недели, времени суток, а также запрашиваемых ресурсов и процедур установленному регламенту;

• разрешении и создании условий работы только в пределах установленного регламента.

Маскировка - это способ защиты, при котором защищаемые данные преобразуются так, чтобы их содержание было доступно лишь при осуществлении обратных преобразований. Этот способ называется также криптографическим закрытием данных.

Регламентация как способ защиты заключается в разработке и реализации в процессе функционирования системы мероприятий, создающих такие условия переработки защищаемых данных, при которых возможности несанкционированного доступа были бы незначительны. Считается, что для эффективной защиты необходимо строго регламентировать архитектуру зданий, оборудование помещений, размещение аппаратуры, организацию и обеспечение работы всего персонала, занятого переработкой данных и т.д.

Методы защиты могут быть разделены по типу выполняемой задачи защиты. При этом различают методы, используемые для защиты:

• системы от пользователя;

• пользователей друг от друга;

• пользователя от самого себя, т.е. от собственных ошибок;

• системы от самой себя, т.е. от внутренних ошибок и сбоев компонентов системы.

В методах первого типа механизм защиты должен быть таким, чтобы при предоставлении пользователю всех возможностей вычислительной системы были исключены возможности доступа к данным других пользователей, к общесистемным данным, в супервизорные области; изменение программ общего пользования (особенно общесистемных компонент); сбора информации на регистрах и в полях запоминающих устройств.

Методы второго типа должны обеспечить предупреждение несанкционированного доступа одного пользователя к информации другого как в процессе обработки данных в мультипрограммном режиме, так и при хранении в базах данных.

Методы защиты пользователя от самого себя должны обеспечить в информационной системе такие условия, при которых никакие возможные его ошибки не приведут к искажению данных этого пользователя.

Методы, обеспечивающие защиту системы от самой себя, предназначены для предотвращения утечки данных вследствие ошибок в общесистемных элементах (аппаратуре, программе и др.).

Кроме того, методы защиты данных могут быть разделены по наличию средств реагирования на возникновение опасности несанкционированного действия на:

• Активные;

• Пассивные.

В отличие от активных в пассивных не предусмотрены регистрация и передача лицам, ответственным за защиту данных, сведений о попытках проникновения в систему. Активные методы разделяются на оперативные, т.е. имеющие средства немедленно сообщить о попытках несанкционированного доступа к данным, и неоперативные, которые позволяют регистрировать любые (в том числе несанкционированные) действия по получению данных с целью дальнейшего анализа их лицами, ответственными за защиту. Превалирует классификация методов защиты данных по используемым средствам.