Контрольні питання

1. Розкрийте сутність поняття інформаційної технології. Які состав типових процедур і операцій, їхнє призначення?

2. Назвіть види обробки інформації, найбільш уживані в економічній і іншій сферах.

3. У чому складаються особливості технології баз і банків даних?

4. Які передумови появи технології " клієнт-сервер", характеристи-ка її моделі, рівні моделі, види використовуваних ресурсів?

5. Визначите сутність технології обробки документів, відеозображень і візуалізації.

6. У чому складається специфіка обробки даних у вигляді таблиць, тексту? Дайте поняття гіпертексту й гіперсередовища.

7. Де може використовуватися технологія обробки мови й сигналів?

8. У чому складається сутність технологій електронного підпису, електронного офісу, електронної пошти?

9. Назвіть режими організації інформаційних технологій, охарактеризуйте їхню сутність і розходження.

10. Розглянете передумови організації інтегрованих інформаційних технологій і розкрийте призначення принципу інтеграції.

11. У чому відмінність інтегрованих і локальних технологій?

12. Приведіть приклади побудови технологій на промисловій основі. У чому їхня відмінність від несерійних аналогів?

13. Які напрямки розвитку нових інформаційних технологій?

14. Охарактеризуйте системи підтримки прийняття рішень. Які їхня структура й состав елементів?

15. Назвіть типові процедури машинної технології формування рішення за допомогою системи підтримки прийняття рішень.

16. Розкрийте зміст і зміст етапу "Формування проблеми, мети або гіпотези".

17. Визначите призначення й зміст етапу "Постановка завдання й вибір моделі бази знань".

18. У чому складається сутність етапу "Наповнення системи даними й знаннями"?

19. Яка мета етапу "Аналіз запропонованого варіанта рішення"?

Література

1. Информационные технологии в маркетинге: Учебник для вузов / Под ред. Г.А. Титаренко. - М.: ЮНИТИ-ДАНА, 2000.

2. Карминский А.М., Нестеров П.В. Информатизация бизнеса. - М.: Финансы и статистика, 1997.

3. Клепцов М.Я. Информационные системы органов государственного управления. - М.: РАГС, 1996.

4. Мишинин А.И. Теория экономических информационных систем. - М.: Финансы и статистика, 1999.Тема 6. 

Захист інформації в інформаційних системах і інформаційних технологіях керування організацією

Під безпекою інформаційної системи розуміється захищеність системи від випадкового або навмисного втручання в нормальний процес її функціонування, від спроб розкрадання (несанкціонованого одержання) інформації, модифікації або фізичного руйнування її компонентів. Інакше кажучи, це здатність протидіяти різним впливам, що обурюють, на ИС.

Під погрозою безпеки інформації розуміються події або дії, які можуть привести до перекручування, несанкціонованому використанню або навіть до руйнування інформаційних ресурсів керованої системи, а також програмних і апаратних засобів.

Сьогодні можна затверджувати, що народжується нова сучасна технологія - технологія захисту інформації в комп'ютерних інформаційних системах і в мережах передачі даних. Реалізація цієї технології вимагає витрат, що збільшуються, і зусиль. Однак все це дозволяє уникнути значно переважаючих втрат і збитку, які можуть виникнути при реальному здійсненні погроз ИС і ИТ.

Активні погрози мають на меті порушення нормального функціонування ИС шляхом цілеспрямованого впливу на її компоненти. До активних погроз ставляться, наприклад:

• вивід з ладу комп'ютера або його операційної системи;

• перекручування відомостей у Бид;

• руйнування ПО комп'ютерів;

• порушення роботи ліній зв'язку й т.д.

Джерелом активних погроз можуть бути дії зломщика, шкідливі програми й т.п.

Розголошення інформації її власником або власником навмисні або необережні дії посадових осіб і користувачів, яким відповідні відомості у встановленому порядку були довірені по службі або по роботі, приведшие до ознайомлення з ним осіб, не допущених до цих відомостей. Можливий безконтрольний відхід конфіденційної інформації з візуально-оптичних, акустичних, електромагнітних і інших каналів.

Несанкціонований доступ - це протиправне навмисне оволодіння конфіденційною інформацією особою, що не має права доступу до охоронюваних відомостей.

Логічні бомби, як випливає з назви, використовуються для перекручування або знищення інформації, рідше з їхньою допомогою відбуваються крадіжка або шахрайство. Маніпуляціями з логічними бомбами звичайно займаються чимсь незадоволені що служать, що збираються покинути дану організацію, але це можуть бути й консультанти, що служать із певними політичними переконаннями й т.п.

Троянський кінь - програма, що виконує на додаток до основних, тобто запроектованим і документованим деист діям, додаткові, не описані в документації.

Вірус - програма, що може заражати інші програми шляхом включення в них модифікованої копії, що володіє здатністю до подальшого розмноження.

Хробак - програма, що поширюється через мережу й не залишає своєї копії на магнітному носії. Хробак використовує механізми підтримки мережі для визначення вузла, що може бути заражений. Потім за допомогою тих же механізмів передає своє тіло або його частина на цей вузол і або активізується, або чекає для цього підходящих умов.

Загарбник паролів - це програми, спеціально призначені для злодійства паролів. При спробі обігу користувача до термінала системи на екран виводиться інформація, необхідна для закінчення сеансу роботи.

Компрометація інформації (один з видів інформаційних інфекцій). Реалізується, як правило, за допомогою несанкціонованих змін у базі даних, у результаті чого її споживач змушений або відмовитися від її, або вживати додаткові зусилля для виявлення змін і відновлення щирих відомостей.

Несанкціоноване використання інформаційних ресурсів, з одного боку, є наслідками її витоку й засобом її компрометації. З іншого боку, воно має самостійне значення, тому що може завдати великої шкоди керованій системі (аж до повного виходу ИТ з ладу) або її абонентам.

Помилкове використання інформаційних ресурсів будучи санкціонованим проте може привести до руйнування, витоку або компрометації зазначених ресурсів. Дана погроза найчастіше є наслідком помилок, наявних у ПО ИТ.

Несанкціонований обмін інформацією між абонентами може привести до одержання одним з них відомостей, доступ до яких йому заборонений. Наслідки - ті ж, що й при несанкціонованому доступі.

Відмова від інформації складається в невизнанні одержувачем або відправником цієї інформації фактів її одержання або відправлення. Це дозволяє однієї зі сторін розривати укладені фінансові угоди "технічним" шляхом, формально не відмовляючись від них, наносячи тим самим другій стороні значний збиток.

Порушення інформаційного обслуговування - погроза, джерелом якої є сама ИТ. Затримка з наданням інформаційних ресурсів абонентові може привести до важкого для нього наслідкам. Відсутність у користувача своєчасних даних, необхідних для ухвалення рішення, може викликати його нераціональні дії.

Незаконне використання привілеїв. Будь-яка захищена система містить засоби, використовувані в надзвичайних ситуаціях, або засобу які здатні функціонувати з порушенням існуючої політики безпеки.

Під зломом системи розуміють навмисне проникнення в систему, коли зломщик не має санкціонованих параметрів для входу. Способи злому можуть бути різними, і при деяких з них відбувається збіг з раніше описаними погрозами.

Політика безпеки - являє собою набір законів, правил і практичного досвіду, на основі яких будуються керування, захист і розподіл конфіденційної інформації.

Методи й засоби побудови систем інформаційної безпеки. Їхня структура. Створення систем інформаційної безпеки (СИБ) в ИС і ИТ ґрунтується на наступних принципах:

1. Системний підхід до побудови системи зашиті, що означає оптимальне сполучення взаємозалежних організаційних, програмних, апаратних, фізичних і інших властивостей, підтверджених практикою створення вітчизняних і закордонних систем захисту й застосовуваних на всіх етапах технологічного циклу обробки інформації.

2. Принцип безперервного розвитку системи. Цей принцип, що є одним з основних для комп'ютерних інформаційних систем, ще більш актуальний для СИБ.

3. Поділ і мінімізація повноважень по доступі до оброблюваної інформації й процедур обробки, тобто надання як користувачам, так і самим працівникам ИС мінімуму строго певних повноважень, достатніх для виконання ними своїх службових обов'язків.

4. Повнота контролю й реєстрації спроб несанкціонованого доступу, тобто необхідність точного встановлення ідентичності кожного користувача й протоколювання його дій для проведення можливого розслідування, а також неможливість здійснення будь-якої операції обробки інформації в ИТ без її попередньої реєстрації.

5. Забезпечення надійності системи захисту, тобто неможливість зниження рівня надійності при виникненні в системі збоїв, відмов, навмисних дій зломщика або ненавмисних помилок користувачів і обслуговуючого персоналу.

6. Забезпечення контролю за функціонуванням системи захисти, тобто створення засобів і методів контролю працездатності механізмів захисту.

7. Забезпечення всіляких засобів боротьби зі шкідливими програмами.

8. Забезпечення економічної доцільності використання системи захисту, що виражається в перевищенні можливого збитку ИС і ИТ від реалізації погроз над вартістю розробки й експлуатації СИБ.

Правове забезпечення

Cовокупность законодавчих актів нормативно-правових документів, положень, інструкцій, руководств, вимоги яких є обов'язковими в рамках сфери їхньої діяльності в системі захисту інформації.

Організаційне забезпечення.

Мається на увазі, що реалізація інформаційної безпеки здійснюється певними структурними одиницями, такими, наприклад, як служба безпечне фірми і її складені структури: режим, охорона й ін.

Інформаційне забезпечення.

Bключающее в себе відомості, дані, показники, параметри, що лежать в основі рішення завдань, що забезпечують функціонування СИБ.

Технічне (апаратне) забезпечення.

Передбачається широке використання технічних засобів як для захисту інформації, так і для забезпечення діяльності СИБ.

Програмне забезпечення.

Маються на увазі різні інформаційні, облікові, статистичні й розрахункові програми, що забезпечують оцінку наявності й небезпеки різних каналів витоку й способів несанкціонованого доступу до інформації.

Математичне забезпечення.

Це - математичні методи, використовувані для різних розрахунків, пов'язаних з оцінкою небезпеки технічних засобів, якими розташовують зловмисники, зон і норм необхідного захисту.

Лінгвістичне забезпечення.

Сукупність спеціальних мовних засобів спілкування фахівців і користувачів у сфері забезпечення інформаційної безпеки.

Нормативно-методичне забезпечення.

Сюди входять норми й регламенти діяльності органів, служб, засобів, що реалізують функції захисту інформації; різного роду методики, що забезпечують діяльність користувачів при виконанні своєї роботи в умовах твердих вимог дотримання конфіденційності.

Із засобів ПО системи захисту виділимо ще програмні засоби, що реалізують механізми шифрування (криптографії).Криптографія - це наука про забезпечення таємності й/або автентичності (дійсності) переданих повідомлень. На фізичному рівні, що представляє середовище поширення даних (кабель, оптоволокно, радіоканал, каналообразующее встаткування), застосовують звичайно засобу шифрування або приховання сигналу. Вони малозастосовні в комерційних відкритих мережах, тому що є більше надійне шифрування.

На канальному рівні, відповідальному за організацію взаємодії двох суміжних вузлів (двухточечные ланки), можуть бути використані засоби шифрування й достовірної ідентифікації користувача. Однак використання й тих і інших засобів на цьому рівні може виявитися надлишковим. Необов'язково робити (пері-) шифрування на кожному двухточечном ланці між двома вузлами.

Мережний рівень вирішує завдання поширення й маршрутизації пакетів інформації з мережі в цілому. Цей рівень критичний відносно реалізації засобів криптозащиты. Поняття пакета існує на цьому рівні. На більше високих рівнях є поняття повідомлення. Повідомлення може містити контекст або формуватися на прикладному рівні, захист якого утруднена з погляду керування мережею.

Перший етап (аналіз об'єкта захисту)

Cостоит у визначенні того, що потрібно захищати:

• визначається інформація, що має потребу в захисті;

• виділяються найбільш важливі елементи (критичні) захет информации, щоМ;

• визначається строк життя критичної інформації (час, необхідний конкурентові для реалізації добутої інформації);

• визначаються ключові елементи інформації (індикатори) отражающие характер охоронюваних відомостей;

• класифікуються індикатори по функціональних зонах підприємства (вичитано процеси, система матеріально-технічного забезпечення виробництва, підрозділу керування).

Другий етап

Передбачає виявлення погроз:

• визначається, кого може зацікавити захет информация, щоМ;

• оцінюються методи, використовувані конкурентами для одержання цієї інформації;

• оцінюються ймовірні канали витоку інформації;

• розробляється система заходів щодо припинення дій конкурента або будь-якого зломщика.

Tретий етап

Проводиться аналіз ефективності прийнятих і постійно діючих підсистем забезпечення безпеки (фізична безпека документації, надійність персоналу, безпека використовуваних для передачі конфіденційної інформації ліній зв'язку й т.д.).

Четвертий етап

Визначаються необхідні міри захисту. На підставі проведених на перших трьох етапах аналітичних досліджень виробляються необхідні додаткові заходи й засоби по забезпеченню безпеки підприємства.

П'ятий етап

Керівниками фірми (організації) розглядаються представлені пропозиції по всіх необхідних мірах безпеки й розрахунки їхньої вартості й ефективності.

Шостий етап

Cостоит у реалізації вжитих додаткових заходів безпеки з урахуванням установлених пріоритетів.

Сьомий етап

Припускає контроль і доведення до персоналу фірми реалізованих мір безпеки.