Раздел 5. Организация защиты информационных систем глава 25. Информационная безопасность

25.1 Понятие информационной безопасности

Как практически любая сложная структура, информационная система уязвима в смысле возможности нарушения ее работы. Эти нарушения могут иметь как случайный, так и преднамеренный характер, могут вызываться как внешними, так и внутренними причинами. В соответствии с этим на всех этапах жизни системы необходимо принимать специальные меры по обеспечению ее надежного функционирования и защищенности.

Нарушения, вызванные внутренними причинами, ликвидируются методами обеспечения надежности. В этом ИС имеют много общего с другими сложными системами в том, что касается причин неисправностей и проявлений отказов. Специфическим воздействием на ИС являются так называемые компьютерные вирусы. Они вносятся в систему извне и в специфической форме проявляются при ее работе как внутренняя неисправность.

Особую заботу должна вызывать хранящаяся в системе информация, утрата которой может причинить владельцу значительный ущерб. К тому же информация может быть еще и предметом посягательств, которые необходимо пресекать. В этом плане информационные системы имеют существенную специфику. Защищенность информационных систем позволяет обеспечить секретность данных и операций с ними в системах на основе ЭВМ. Для обеспечения защищенности информационных систем созданы специальные технические и программные средства.

Отдельный вопрос – обеспечение в компьютерных системах и технологиях права личности на неприкосновенность персональной информации. Однако коммерческая, служебная и государственная информация также нуждается в защите. Поэтому особую важность приобретает защищенность информационных ресурсов. Для этого должны быть решены вопросы организации и контроля доступа к ресурсам по всем их компонентам. Злонамеренное проникновение в систему и несанкционированный доступ должны быть своевременно выявлены и по возможности пресечены. Для этого в системе анализируются пути несанкционированного доступа и заранее формируются средства его пресечения.

В связи с коллективным использованием многими субъектами одновременно глобальных ИТ остро актуальна проблема защищенности глобальных ИС. На государственном уровне становится важным и военный аспект защищенности информационных ресурсов: считается, что тот, кто выиграет информационную войну, выиграет и всю войну. Поэтому для любой страны защита ее стратегических интересов требует активного и целенаправленного участия в глобальных процессах информатизации.

25.2. Управление доступом

Особенности доступа к информации в системах передачи данных и в ИС являются внешней характеристикой таких систем. Доступ к ресурсам не может быть неконтролируемым или неуправляемым. Решение проблемы всесторонней защищенности информационных ресурсов в ИС обеспечивает системный подход в силу своей многогранности.

Кроме достаточно широко известной задачи защищенности данных теперь особую важность приобретает комплексная задача управления доступом к ресурсам системы и контроля за их применением. Ресурсы системы при этом следует понимать в самом широком смысле. Возможности управления доступом к ресурсам закладываются на этапе проектирования системы и реализуются на последующих этапах ее жизненного цикла.

В простейшем случае управление доступом может служить для определения того, разрешено или нет тому или иному пользователю иметь доступ к некоторому элементу сети, системы или базы данных. За счет повышения избирательности системы управления можно добиться того, чтобы доступ к избранному элементу разрешался или запрещался независимо от других и обеспечивался даже к определенному объекту (файлу или процессу) внутри этого элемента. Различают управление доступом трех видов:

• централизованное управление – установление полномочий производится администрацией организации или фирмы-владельца ИС. Ввод и контроль полномочий осуществляются представителем службы безопасности с соответствующего объекта управления;

• иерархическое децентрализованное управление – центральная организация, осуществляющая установление полномочий, передает некоторые свои полномочия подчиненным организациям, сохраняя при этом за собой право отменить или пересмотреть решение подчиненного уровня;

• индивидуальное управление – иерархия управления доступом и распределения полномочий в этом случае не формируется: владелец информации, создавая свои информационные структуры, сам управляет доступом к ней и может передавать свои права вплоть до прав собственности. В больших системах все формы могут использоваться совместно в тех или иных частях системы, они реализуются при подготовке информации, при выполнении обработки информации и при завершении работ.

При подготовке ИС к работам управление доступом предполагает выполнение следующих функций:

• уточнение задач, распределение функций элементов ИС и персонала;

• контроль ввода адресных таблиц в элементы ИС;

• ввод таблиц полномочий элементов, пользователей, процессов и т.д.;

• выбор значений, распределение и рассылка ключей шифрования;

• проверка работы систем шифрования и контроля полномочий.

При выполнении обработки информации управление доступом включает такие функции:

• контроль соблюдения полномочий, обнаружение и блокировку несанкционированного доступа;

• контроль шифрования данных и применения ключей;

• регистрацию и документирование информации о попытках и фактах несанкционированного доступа с указанием места, даты, времени и других данных о событиях;

• регистрацию, документирование и контроль всех обращений к защищаемой информации с указанием всех данных о событиях;

• выбор, распределение, рассылку и синхронизацию применения новых ключей шифрования;

• изменение полномочий элементов, процессов и пользователей;

• организационные мероприятия по защите системы.

Соответствующие средства обеспечения управления этими процессами и функциями имеются в том или ином виде во всех современных операционных системах, причем, как правило, возможности возрастают с ростом мощности ОС, т.е. с возрастанием мощности ЭВМ. По этой причине не без оснований считается, что в централизованных системах управление доступом обеспечено лучше, чем в децентрализованных.