8. Информационная безопасность и защита информации (общие понятия, аспекты информационной безопасности, программные средства защиты информации, понятие угрозы).

В Доктрине информационной безопасности Российской Федерации, а также в Законе РФ "Об участии в международном информационном обмене" термин "информационная безопасность" используется в широком смысле. Имеется в виду состояние защищенности национальных интересов в информационной сфере, определяемых совокупностью сбалансированных интересов личности, общества и государства.

Под информационной безопасностью мы будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры. Защита информации — это комплекс мероприятий, направленных на обеспечение информационной безопасности.

Спектр интересов субъектов, связанных с использованием информационных систем, можно разделить на следующие категории: обеспечение доступности, целостности и конфиденциальности информационных ресурсов и поддерживающей инфраструктуры.

Доступность — это возможность за приемлемое время получить требуемую информационную услугу.

Под целостностью подразумевается актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения.

Наконец, конфиденциальность — это защита от несанкционированного доступа к информации.

Целостность можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий (транзакций)). Средства контроля динамической целостности применяются, в частности, при анализе потока финансовых сообщений с целью выявления кражи, переупорядочения или дублирования отдельных сообщений.

Конфиденциальность — самый проработанный у нас в стране аспект информационной безопасности. К сожалению, практическая реализация мер по обеспечению конфиденциальности современных информационных систем наталкивается в России на серьезные трудности. Во-первых, сведения о технических каналах утечки информации являются закрытыми, так что большинство пользователей лишено возможности составить представление о потенциальных рисках. Во-вторых, на пути пользовательской криптографии как основного средства обеспечения конфиденциальности стоят многочисленные законодательные препоны и технические проблемы.

Программными средствами защиты информации называются специальные программы, которые включают в состав программного обеспечения АСОД (Автоматизированная система обработки данных) для решения в них (самостоятельно или в комплексе с другими средствами) задач защиты. Программные средства являются важнейшей и непременной частью механизма защиты современных АСОД. Такая роль определяется следующими их достоинствами: универсальностью, гибкостью, надежностью, простотой реализации, возможностью модификации и развития.

При этом под универсальностью понимается возможность решения программными средствами большого числа задач защиты.

Гибкость программных средств защиты заключается в двух характерных особенностях этого класса средств защиты: при параметрической реализации программ защиты они могут автоматически адаптироваться к конкретным условиям функционирования АСОД; программные средства защиты могут быть адаптированы в структуре АСОД различным образом (могут быть включены в состав ОС и СУБД, могут функционировать как самостоятельные пакеты программ защиты, их можно распределить между отдельными элементами АСОД и т. д.).

Под надежностью понимается высокая программная устойчивость при большой продолжительности непрерывной работы и удовлетворение высоким требованиям к достоверности управляющих воздействий при наличии различных дестабилизирующих факторов.

Простота реализации программных средств защиты очевидна по сравнению с возможностью реализации любых других средств защиты.

Основными недостатками использования программных средств защиты являются следующие:

• необходимость использования времени работы процессора, что ведет к увеличению времени отклика системы на запросы и, как следствие, к уменьшению эффективности ее работы;

• уменьшение объемов оперативной памяти и памяти на внешних запоминающих устройствах, доступной для использования функциональными задачами;

• возможности случайного или злоумышленного изменения, вследствие чего программы могут не только утратить способность выполнять функции защиты, но и стать дополнительным каналом несанкционированного получения информации; жесткая ориентация на архитектуру определенных типов ЭВМ (даже в рамках одного класса);

• зависимость программ от особенностей базовой системы ввода-вывода, таблицы векторов прерываний и т. п.

Существенным недостатком программных средств защиты является также возможность их реализации только в тех структурных элементах АСОД, где имеется процессор, хотя функции защиты могут реализовы­ваться, осуществляя безопасность других структурных элементов.

Аналогично техническим средствам в классификационной структуре программных средств определяющей является классификация по функциональному признаку, т. е. по классу задач защиты, для решения которых предназначаются программы.

Конкретный перечень программных средств защиты может быть самым различным; общее представление об их составе и содержании можно получить по следующему списку:

1) проверка прав доступа: по простому паролю, по сложному паро­лю, по разовым паролям;

2) опознавание пользователей по различным идентификаторам;

3) опознавание компонентов программного обеспечения;

4) опознавание элементов баз данных;

5) разграничение доступа к защищаемым данным по матрице полномочий, уровню секретности и другим признакам;

6) управление доступом к задачам, программам и элементам баз данных по специальным мандатам;

7) регистрация обращений к системе, задачам, программам и элементам защищаемых данных;

8) подготовка к выдаче конфиденциальных документов: формирование и нумерация страниц, определение и присвоение грифа конфиденциальности, регистрация выданных документов;

9) проверка адресата перед выдачей защищаемых данных в каналы связи;

10) управление выдачей данных в каналы связи;

11) криптографическое преобразование данных;

12) контроль процессов обработки и выдачи защищаемых данных;

13) уничтожение остаточной информации в ОЗУ после выполнения запросов пользователей;

14) сигнализация при попытках несанкционированных действий;

15) блокировка работы пользователей, нарушающих правила защи­ты информации;

16) организация псевдоработы с нарушителем в целях отвлечения его внимания;

17) программное обеспечение комплексных средств и систем защи­ты.

Для организационного построения программных средств до настоящего времени наиболее характерной является тенденция разработки комплексных программ, выполняющих целый ряд защитных функций, причем чаще всего в число этих функций входит опознавание пользова­телей, разграничение доступа к массивам данных, запрещение доступа к некоторым областям ЗУ и т. п. Достоинства таких программ очевидны: каждая из них обеспечивает решение некоторого числа важных задач защиты. Но им присущи и существенные недостатки, предопределяющие необходимость критической оценки сложившейся практики разработки и использования программных средств защиты. Первый и главный недостаток состоит в стихийности развития программ защиты, что, с одной стороны, не дает гарантий полноты имеющихся средств, а с другой - не исключает дублирования одних и тех же задач защиты. Вторым существенным недостатком является жесткая фиксация в каждом из комплексов программ защитных функций. И еще один большой недостаток - ориентация подавляющего большинства имеющихся программных средств на конкретную среду применения: тип ЭВМ и операционную систему.

Отсюда вытекают три принципиально важных требования к формированию программных средств: функциональная полнота, гибкость и унифицированность использования.

Угроза – совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения конфиденциальности, доступности и (или) целостности информации.

Если говорить об угрозах информационно-технического характера, можно выделить такие элементы как кража информации, вредоносное ПО, хакерские атаки, СПАМ, халатность сотрудников, аппаратные и программные сбои, финансовое мошенничество, кража оборудования.