- •Безопасность и управление доступом в Информационных системах
- •Раздел 1 - Автоматизированные системы обработки информации и управления как объекты безопасности информации.
- •Раздел 2 - Методы обеспечения безопасности информации в информационных системах
- •Раздел 3 - Проектирование системы обеспечения безопасности информации в автоматизированных системах обработки информации и данных.
- •Раздел 4 - Построение системы обеспечения безопасности информации в комплексах средств автоматизации ее обработки
- •Раздел 5 - Безопасность информации в информационных сетях и автоматизированных системах управления.
- •Раздел 6 - Оценка уровня безопасности информации в информационных системах.
- •Раздел 7 - Обеспечение безопасности информации в персональных компьютерах и локальных сетях.
- •Раздел 8 - Организационно-правовое обеспечение информационной безопасности.
- • Глава 3 - Персональные данные. Аннотация
- •Предисловие
- •Раздел I. Автоматизированные системы обработки информации и управления как объекты безопасности информации
- •Глава 1. Предмет безопасности информации
- •Глава 2. Объекты информационной безопасности
- •Глава 3. Потенциальные угрозы безопасности информации в информационных системах
- •Раздел II. Методы обеспечения безопасности информации в информационных системах Глава 1. Краткий обзор методов обеспечения безопасности информации
- •Глава 2. Ограничение доступа
- •Глава 3. Контроль доступа к аппаратуре
- •Глава 4. Разграничение и контроль доступа к информации в системе
- •Глава 5. Разделение привилегий на доступ.
- •Глава 6. Идентификация и установление подлинности объекта (субъекта)
- •Глава 7. Криптографическое преобразование информации.
- •Глава 8. Защита информации от утечки за счет побочного электромагнитного излучения и наводок (пэмин)
- •Глава 9. Методы и средства защиты информации от случайных воздействий
- •Глава 10. Методы обеспечения безопасности информации при аварийных ситуациях
- •Глава 11. Организационные мероприятия по обеспечению безопасности информации
- •Глава 2. Основные принципы проектирования систем обеспечения безопасности информации в автоматизированных системах обработки информации.
- •Раздел IV. Построение системы обеспечения безопасности информации в комплексах средств автоматизации ее обработки Глава 1. Исходные предпосылки
- •Глава 2. Состав средств и структура системы обеспечения безопасности информации от несанкционированного доступа в комплексе средств автоматизации обработки информации
- •Глава 4. Обеспечение безопасности информации и программного обеспечения от преднамеренного несанкционированного доступа (пнсд) при вводе, выводе и транспортировке
- •Глава 5. Средства управления обеспечения безопасности информации от несанкционированного доступа в комплексе средств автоматизации обработки информации информационной системы
- •Глава 6. Организационные мероприятия по обеспечению безопасности информации в комплексах средств автоматизации информационных систем
- •Раздел V. Безопасность информации в информационных сетях и автоматизированных системах управления
- •Глава 1. Анализ объектов обеспечения безопасности информации и постановка задачи
- •Глава 2. Принципы построения системы безопасности информации в информационных сетях и автоматизированных системах управления
- •Глава 3. Эталонная модель открытых систем
- •Глава 4. Механизмы безопасности информации в трактах передачи данных и в каналах связи
- •Глава 5. Рекомендации по безопасности информации в телекоммуникационных каналах связи
- •Глава 6. Система безопасности информации в трактах передачи данных автоматизированной системы управления
- •Глава 7. Управление доступом к информации в сети передачи и в автоматизированной системе управления
- •Глава 8. Организационные мероприятия по обеспечению безопасности информации в сетях передачи информации и автоматизированных системах управления
- •Раздел VI. Оценка уровня безопасности информации в информационных системах
- •Глава 1. Анализ методов оценки защищенности информации
- •Глава 2. Принципиальный подход к оценке уровня безопасности информации от преднамеренного несанкционированного доступа в информационной системе
- •Глава 3. Метод оценки уровня безопасности информации в комплексе средств автоматизации обработки информации
- •Глава 4. Метод оценки уровня безопасности информации в информационных сетях и в автоматизированных системах управления
- •Раздел VII. Обеспечение безопасности информации в персональных компьютерах и локальных сетях
- •Глава 1. Безопасность информации в персональных компьютерах
- •Оценка уровня безопасности информации от преднамеренного несанкционированного доступа в персональных компьютерах
- •Глава 2. Обеспечение безопасности информации в локальных сетях
- •Раздел VIII. Организационно-правовое обеспечение информационной безопасности
- •Глава 1. Информация как объект права собственности.
- •Глава 2. Информация как коммерческая тайна
- •Глава 3. Персональные данные
- •Тема 5: Угрозы информационной безопасности в ас
- •Особенности современных ас как объекта защиты
- •Уязвимость основных структурно-функциональных элементов распределенных ас
- •Угрозы безопасности информации, ас и субъектов информационных отношений
- •Источники угроз безопасности
- •Классификация угроз безопасности
- •Основные непреднамеренные искусственные угрозы
- •Основные преднамеренные искусственные угрозы
- •Классификация каналов проникновения в систему и утечки информации
- •Неформальная модель нарушителя
- •Тема 8: Организационная структура системы обеспечения информационной безопасности Цели создания системы обеспечения информационной безопасности
- •Регламентация действий пользователей и обслуживающего персонала ас
- •Понятие технологии обеспечения информационной безопасности
- •Основные организационные и организационно-технические мероприятия по созданию и обеспечению функционирования комплексной системы защиты
- •Разовые мероприятия
- •Периодически проводимые мероприятия
- •Мероприятия, проводимые по необходимости
- •Постоянно проводимые мероприятия
- •Распределение функций по оиб
- •Служба безопасности (отдел защиты информации)
- •Управление автоматизации (отдел эксплуатации и отдел телекоммуникаций
- •Управление автоматизации (фонд алгоритмов и программ - фап
- •Все Управления и отделы (структурные подразделения) организации
- •Система организационно-распорядительных документов по организации комплексной системы защиты информации
Оценка уровня безопасности информации от преднамеренного несанкционированного доступа в персональных компьютерах
Уровень безопасности информации в персональных компьютерах представляется целесообразным оценивать следующими показателями:
РК РС - уровень безопасности информации на возможных каналах несанкционированного доступа, контролируемых системой;
РШ РС - уровень безопасности информации на возможных каналах несанкционированного доступа, выходящих за пределы возможностей системы контроля несанкционированного доступа;
Прочность защиты или вероятность непреодоления нарушителем наиболее слабого звена защиты определяется для каждого показателя по наименьшему значению прочности защиты каждого возможного канала несанкционированного доступа, приведенного в таблице 5.
Таблица 5. Возможные каналы НСД к информации персонального компьютера и средства защиты, рекомендуемые для их перекрытия
№ п/п |
Возможные каналы несанкционированного доступа |
Средства защиты |
Прочность |
Класс защиты |
|||
I |
II |
III |
IV |
||||
1 |
Дисплей, принтер, плоттер, графопостроитель |
Отдельное помещение с контролируемым доступом |
Р2 |
+ |
+ |
+ |
+ |
2 |
Клавиатура, сканер, манипулятор "мышь" |
То же |
Р2 |
+ |
+ |
+ |
+ |
Специальный электронный ключ в сочетании с фрагментами программного обеспечения |
Р11 |
+ |
+ |
— |
— |
||
Программа контроля и разграничения доступа (пароли) |
Р6 |
+ |
+ |
+ |
+ |
||
Средства защиты от отладочных программ |
Р12 |
+ |
+ |
— |
— |
||
Блокировка механическим замком включения электропитания |
Р13 |
+ |
+ |
+ |
+ |
||
Блокировка механическим замком механизма загрузки программного обеспечения |
Р14 |
+ |
+ |
— |
— |
||
Средства контроля целостности программного обеспечения |
Р32 |
+ |
+ |
+ |
+ |
||
3 |
Дисковод |
Отдельное помещение с контролируемым доступом |
Р2 |
+ |
+ |
+ |
+ |
Применение персональных компьютеров без дисковода |
Р15 |
+ |
+ |
— |
— |
||
Установка механической крышки с механическим замком |
Р16 |
— |
+ |
— |
— |
||
Средства защиты от вирусов |
Р17 |
+ |
+ |
+ |
+ |
||
Средства верификации внешних носимых носителей |
Р18 |
+ |
+ |
+ |
+ |
||
Средства защиты от несанкционированной загрузки программного обеспечения |
Р31 |
+ |
+ |
+ |
— |
||
Средства контроля целостности программного обеспечения |
Р32 |
+ |
+ |
+ |
+ |
||
4 |
Внешние носимые накопители, гибкие магнитные диски, стриммер |
Отдельное помещение с контролируемым доступом |
Р2 |
+ |
+ |
+ |
+ |
Учет и регистрация |
Р19 |
+ |
+ |
+ |
+ |
||
Маркировка цветом |
Р20 |
+ |
+ |
+ |
+ |
||
Хранение в металлических шкафах с замком |
Р22 |
— |
— |
+ |
+ |
||
Хранение в сейфах |
Р23 |
+ |
+ |
— |
— |
||
Стирание остатков информации |
Р24 |
+ |
+ |
+ |
— |
||
Уничтожение остатков информации |
Р25 |
+ |
+ |
— |
— |
||
Компрессия данных |
Р26 |
— |
— |
+ |
— |
||
Шифрование данных |
Р10 |
+ |
+ |
— |
— |
||
5 |
Жесткие магнитные диски |
Отдельное помещение с контролируемым доступом |
Р2 |
+ |
+ |
+ |
+ |
Металлический шкаф с замком |
Р22 |
+ |
+ |
+ |
— |
||
Блокировка снятия кожуха системного блока механическим замком |
Р27 |
+ |
+ |
— |
— |
||
Средства контроля целостности программного обеспечения |
Р32 |
+ |
+ |
+ |
+ |
||
Стирание остаточной информации |
Р24 |
+ |
+ |
+ |
— |
||
Уничтожение остаточной информации |
Р25 |
+ |
+ |
— |
— |
||
Шифрование данных |
Р10 |
+ |
+ |
— |
— |
||
6 |
Внутренний монтаж |
Отдельное помещение с контролируемым доступом |
Р2 |
+ |
+ |
+ |
+ |
Блокировка снятия кожуха системного блока механическим замком |
Р27 |
+ |
+ |
— |
— |
||
7 |
ПЭМИН |
Средства уменьшения и зашумления сигналов и установление границ контролируемой зоны |
Р9 |
+ |
— |
— |
— |
8 |
Отходы носителей с информацией |
Отдельное помещение с контролируемым доступом |
Р2 |
+ |
+ |
+ |
+ |
Средства уничтожения отходов носителей |
Р28 |
+ |
+ |
+ |
+ |
||
9 |
Документы |
Отдельное помещение с контролируемым доступом |
Р2 |
+ |
+ |
— |
— |
Учет и регистрация документов |
Р29 |
+ |
+ |
+ |
+ |
||
Сейф |
Р30 |
+ |
+ |
— |
— |
||
Примечания:
1. Знак "+" означает наличие средств защиты, знак "—" — отсутствие средств защиты.
2. На всех каналах действуют также средства контроля доступа на территорию объекта размещения комплекса средств автоматизации обработки информации, вероятность непреодоления которых обозначим через Р1.
Значения прочности РК РС определяются по формуле 15, гл. 1, разд. 3, а значение прочности РШ РС – по формуле 4, гл. 1, разд. 3.
В случае применения на одном возможном канале несанкционированного доступа нескольких средств защиты суммарная прочность рассчитывается по формуле 18, гл. 1, разд. 3.
При работе нескольких пользователей за одним персональным компьютером уровень безопасности информации от нарушителя, являющегося законным пользователем компьютера, оценивается отдельным показателем, рассчитываемым только по параметрам защитной оболочки № 4 согласно табл. 1.
При этом для I класса безопасности информации значения прочности средств защиты согласно формулам 15 и 4, гл. 1, разд. 3, будут определяться следующим образом:
Для контролируемых возможных каналов несанкционированного доступа:
PK PC=[1-(1-Р1)(1-Р2)]U[1-(1-P1)(1-P11)]U[1-(1-P2)(1-P2)(1-P6)]U[1-(1-P1)(1-P2)(1-P12)]U[1-(1-P1)(1-P2)(1-P13)]U[1-(1-P1)(1-P2)(1-P14)]U[1-(1-P1)(1-P2)(1-P15)]U[1-(1-P1)(1-P2)(1-P17)]U[1-(1-P1)(1-P2)(1-P18)]U[1-(1-P1)(1-P2)(1-P19)(1-P20)]U[1-(1-P1)(1-P2)(1-P23)]U[1-(1-P1)(1-P2)(1-P24)]U[1-(1-P1)(1-P2)(1-P22)]U[1-(1-P1)(1-P2)(1-P27)]UP1U[1-(1-P1)(1-P2)(1-P29)]U[1-(1-P1)(1-P2)(1-P30)]
Для неконтролируемых возможных каналов несанкционированного доступа:
РШ РС = Р25UР10UР9UР28