14.2. Категорії безпеки

Інформація з погляду інформаційної безпеки характеризується такими категоріями як конфіденційність, цілісність, автентичність, а також можливість її апеляції.

Конфіденційність є гарантією того, що конкретна інформація доступна тільки тому колу осіб, для кого вона призначена. Порушення конфіденційності називається розкриттям або розкраданням інформації.

Цілісність зумовлює існування інформації в її вихідному виді, тобто при її зберіганні або передачі не має бути несанкціонованих змін. Порушення цілісності називається фальсифікацією інформації.

Автентичність — гарантія того, що джерелом інформації є саме та особа, що заявлена як її автор; порушення цієї категорії також називається фальсифікацією.

Можливість апеляції інформації є гарантією того, що при потребі можна буде довести, що автором повідомлення є саме заявлена людина, а не хтось інший.

Відносно інформаційних систем застосовуються такі категорії:

• надійність — гарантія того, що система поводиться у нормальному й позаштатному режимах так, як заплановано;

• точність — гарантія точного й повного виконання всіх команд;

• контроль доступу — гарантія того, що різні групи осіб мають різний доступ до інформаційних об'єктів і ці обмеження доступу постійно виконуються;

• контрольованість — гарантія того, що у будь-який момент може бути зроблена повноцінна перевірка будь-якого компонента програмного комплексу;

• контроль ідентифікації — гарантія того, що клієнт, підключений у цей момент до системи, є саме тим, за кого себе видає;

• стійкість до навмисних збоїв — гарантія того, що при навмисному внесенні помилок у межах заздалегідь обговорених норм система буде поводитися так, як обговорено заздалегідь.

14.3. Злом інформації

Найпоширенішим способом входу в систему при атаках на інформацію залишається вхід через офіційний login-запит системи. Обчислювальна техніка, що дозволяє здійснити вхід у систему, у теорії інформаційної безпеки називається терміналом.

Доступ до терміналу

При використанні терміналів з фізичним доступом необхідно дотримуватися наступних вимог.

Захищеність терміналу повинна відповідати захищеності приміщення: термінали без пароля можуть бути присутні тільки у тих приміщеннях, куди мають доступ особи відповідного або більш високого рівня доступу. Відсутність імені реєстрації можлива тільки у тому випадку, якщо до термінала має доступ тільки одна людина або якщо на групу осіб, що мають до нього доступ, поширюються загальні міри відповідальності. Термінали, встановлені у доступних місцях, повинні завжди запитувати ім'я реєстрації й пароль.

Системи контролю за доступом у приміщення із установленим терміналом повинні працювати повноцінно й відповідно до загальної схеми доступу до інформації.

У випадку установки термінала у місцях із значним скупченням людей клавіатура (а якщо необхідно, то й дисплей) має бути обладнана пристроями, що дозволяють бачити її тільки працюючому в цей момент клієнтові (непрозорі скляні або пластмасові огородження, шторки, «заглиблена» модель клавіатури).

При використанні віддалених терміналів необхідно дотримуватися наступних правил:

Будь-який віддалений термінал повинен запитувати ім'я реєстрації та пароль. Наступною вимогою є своєчасне відключення всіх модемів, які не потрібні на даний момент.

По можливості рекомендується використовувати схему зворотного дзвінка від модему, оскільки вона гарантує з рівнем надійності АТС те, що визначений клієнт одержав доступ з певного телефонного номера.

З login-запиту термінала рекомендується видалити всі безпосередні згадування імені фірми, її логотипи тощо. Також при вході у систему рекомендується виводити на екран попередження про те, що вхід у систему без повноважень на це переслідується за законом. По-перше, це буде слугувати ще одним застереженням починаючим зловмисникам, а по-друге, буде надійним аргументом на користь атакованої фірми у разі судового розгляду.

Безумовно, від фізичного або комутованого доступу до термінала лінія, що з'єднує термінал із зоною ядра інформаційної системи, повинна бути захищена від прослуховування, або ж весь обмін інформацією має вестися за конфіденційною схемою ідентифікації та при надійній схемі аутентифікації клієнта - цим займаються криптосистеми.