16. Защита информации при реализации информационных процессов.

Защита информации при реализации информационных процессов. Безопасность информационных технологий является одной из важнейших составляющих проблемы обеспечения экономической безопасности организации. В 1983 году министерство обороны США выпустило «Оранжевую книгу» - «критерии оценки надёжности компьютерных систем», положив тем самым систематическому формированию знаний об информационной безопасности за пределом правительственных ведомств. Увеличение числа атак распространения вирусов ещё не самая большая неприятность – постоянно обнаруживаются новые уязвимые места в программном обеспечении. За период с 1999 по 2003 год выявлено более 30 существенных проблем с программным обеспечением, риск использования которых оценивается как средний или высокий.(Uniks,windows,MacOS,.net).

К настоящему времени сложилось общепринятая точка зрения на концептуальные основы информационной безопасности. Суть её заключается в том, что подход к обеспечению информационной безопасности должен быть комплексным, сочетающим следующие аспекты: Законодательный(федеральные и региональные законы), административный(действия общего характера предпринимаемое руководителем организации), процедурный(меры безопасности закреплённые в соответствующих методологиях и реализуемые ответственными менеджерами и персоналом предприятия), научно-технический( конкретные методики, программно-аппаратные, технологические, технические меры).

В общем случае информационную безопасность можно определить как защищённость информации, ресурсов и поддерживающей инфраструктуры, от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, требования по обеспечению безопасности в различных ИС направленные на достижения свойств:

1.целостности-данные и информация, на основе которой приниматься решения, должны быть достоверными, точными и защищёнными от искажений.

2.доступность-данные, информация и соответствующие службы, сервисы, средства связи должны быть доступны и готовы к работе всегда, когда в них возникает необходимость.

3.конфидецальность – засекреченная информация должна быть доступно только тому, кому она принадлежит.

Деятельность по обеспечению информационной безопасности направлена на то, чтобы не допустить, предотвратить или нейтрализовать: нисанкцианированый доступ у ИР, искажение, частичное или полную утрату информации, целенаправленные действия по разрушению целостности программных комплексов, систем данных, информационных структур, отказы и сбои в работе программного обеспечения.

Можно говорить о степени доверия или надёжности системы, после оценки по двум критериям: наличие и полнота политики безопасности и гарантированность безопасности(мера доверия, которая может быть оказана архитектуре, инфраструктуре, программно-аппаратной реализации системы и методом управления её конфигурации и целостности показывает на сколько корректны механизмы, отвечающие за проведения жизни политики безопасности).

Требования к архитектуре информационных систем. При создании ИС следует учитывать ряд специфических требований для обеспечения безопасности самой системы данных:

-Архитектура системы должна быть достаточно гибкой, т.е. допускать относительно простое развитие инфраструктур и изменении конфигурации средств, наращивание функций.

-Должны быть обеспеченны безопасность системы при различных видах угроз и надёжная защита данных от ошибок проектирования, разрушение или потеря информации.

-Следует обеспечить комфортные максимально упрощённый доступ пользователей к сервисам и результатам функционирования ИС на основе графических средств и наглядных пользовательских интерфейсов.

-Систему должна сопровождать документация, обеспечивающая квалифицированную эксплуатацию и возможность развития ИС.

Только сфокусированный на безопасности архитектуры ИС, способна сделать эффективным объедением сервисов, управляемость, способность развиваться и противостоять угрозам и с сохранением таких свойств как простота, производительность и удобство использования. Для этого ИС должна строиться на принципах :

1. проектирование ИС с учётом требований открытых систем, следования стандартам, использование иерархической организации с небольшим числом сущности на каждом уровне – это способствует прозрачности и хорошей управляемости.

2. Непрерывность защиты в пространстве и времени.

3. Усиление самого слабого звена, минимизация привилегий доступа, разделения функций обслуживающих сервисов и обязанностей персонала.

4. Разнообразие защитных средств и простота управляемости системой безопасности.

5. Продуманная и упорядоченная структура средств баз данных.

Полное устранение угроз невозможна. Задача состоит в выявлении факторов, от которых они зависят и создании методов и средств уменьшения из влияния, а так же в эффективном распределении ресурсов для обеспечения защиты равнопрочной по отношению ко всем негативным воздействиям.