5.4 Організаційні заходи захисту інформації.

Закони й нормативні акти виконуються тільки в тому випадку, якщо вони підкріплюються організаторською діяльністю відповідних структур, створюваних у державі, у відомствах, установах і організаціях. При розгляді питання безпеки інформації така діяльність ставиться до організаційних методів захисту інформації.

Відповідно до законів і нормативних актів у міністерствах, відомствах, на підприємствах (незалежно від форм власності) для захисту інформації створюються спеціальні служби безпеки (на практиці вони можуть називатися й інакше). Ці служби підпорядковуються, як правило, керівництву установи. Керівники служб організують створення й функціонування систем захисту інформації. Повну відповідальність за стан інформаційної безпеки несуть керівники організації. На організаційному рівні вирішуються наступні завдання забезпечення безпеки інформації в системи:

• організація робіт з розробки системи захисту інформації;

• обмеження доступу на об'єкт і до ресурсів системи;

• розмежування доступу до ресурсів системи;

• планування заходів;

• розробка документації;

• виховання й навчання обслуговуючого персоналу й користувачів;

• сертифікація засобів захисту інформації;

• ліцензування діяльності по захисту інформації;

• атестація об'єктів захисту;

• удосконалювання системи захисту інформації;

• оцінка ефективності функціонування системи захисту інформації;

• контроль виконання встановлених правил роботи в системи.

Організаційні методи є базисом комплексної системи захисту інформації в системи. Тільки за допомогою цих методів можливе об'єднання на правовій основі технічних, програмних і криптографічних засобів захисту інформації в єдину комплексну систему. Конкретні організаційні методи захисту інформації будуть приводитися при розгляді протидії загрозам безпеки інформації. Найбільша увага організаційним заходам приділяється при викладі питань побудови й організації функціонування комплексної системи захисту інформації.

5.5 Загрози інформаційної безпеки бухгалтерського обліку.

Аналіз можливих загроз - це ідентифікація і вибір з усієї безлічі можливих впливів на систему лише таких, які реально можуть виникати і завдавати значних збитків.

Усі загрози можна поділити, згідно з їхніми характеристиками, на такі класи.

За цілями реалізації:

• загрози порушення конфіденційності інформації;

• загрози порушення цілісності (повна або часткова компрометація інформації; дезінформація; несанкціоноване знищення або модифікація інформації чи програмного забезпечення);

• загрози порушення (часткового або повного) працездатності системи.

За принципом впливу на систему:

• за допомогою доступу до об'єктів системи (файлів, даних, каналів зв’язку);

• за допомогою прихованих каналів (у тому числі через роботу з пам'яттю).

За причинами появи помилок у системі захисту:

• некоректність системи захисту, що призведе до дій, які можна розглядати як несанкціоновані, при тому, що система захисту не розрахована на їх припинення або недопущення;

• помилки адміністрування системи;

• помилки в алгоритмах програм, зв'язках між ними тощо, які виникають на етапі проектування;

• помилки реалізації алгоритмів, тобто помилки програмування, які виникають на етапі реалізації або тестування програмного забезпечення.

За об'єктом атаки:

• загрози, що впливають на систему загалом;

• загрози, що впливають на об'єкти системи з порушенням конфіденційності, цілісності або функціонування об'єктів системи (дані, програми, устаткування системи, канали передачі даних);

• загрози, що впливають на суб'єкти системи (процеси, користувачів);

• загрози, що впливають на канали передачі даних, причому як на пакети даних, що передаються, так і на самі канали передачі даних.

За засобами атаки, які використовують:

• за допомогою штатного програмного забезпечення;

• за допомогою спеціально розробленого програмного забезпечення.

Найпоширенішою загрозою для безпеки інформаційних систем є несанкціонований доступ (НСД), тобто отримання користувачем доступу до об'єкта, на який він не має дозволу (зокрема несанкціонований доступ з однієї мережі до іншої). За характером впливу, НСД є активним впливом, в якому може бути використана якась помилка в системі захисту. Це може бути здійснено за допомогою стандартного (штатного) або спеціально розробленого програмного забезпечення. НСД може стосуватися як усієї системи, так і окремих її елементів. Для реалізації НСД використовують два способи: подолання системи захисту або спостереження за процесами та аналіз інформації.

Досить часто виникає така загроза безпеці, як незаконне використання привілеїв. Найчастіше для цього використовують штатне програмне забезпечення, яке функціонує в позаштатному режимі. Деякі захищені системи мають засоби, які можуть функціонувати в умовах порушення системи безпеки. Такі засоби дуже важливі, коли доводиться вирішувати питання в надзвичайних ситуаціях, і їх використовують системні адміністратори, системні програмісти, які мають для цього свої певні набори привілеїв. Незаконне захоплення привілеїв можливе за наявності помилок у самій системі або за недбалого ставлення до керування всією системою і розподілом привілеїв зокрема.

Інша загроза безпеки - виконання будь-яких дій одним користувачем від імені іншого користувача, якому ці дії дозволені. До цього типу загроз належить також передача повідомлень від імені іншого користувача ("маскарад"). Цьому часто передує перехоплення пароля або порушення системи захисту.

Досить небезпечною загрозою є вірусні атаки будь-якого типу. Вони можуть призводити до повної зупинки системи, повної або часткової модифікації програмного забезпечення системи, модифікації або порушення даних, викрадення інформації.

Виявлено внутрішні та зовнішні загрози економічній безпеці підприємства в системі бухгалтерського обліку (рис. 1).

Рис. 1. Зовнішні та внутрішні загрози економічній безпеці підприємства в системі бухгалтерського обліку

Зовнішні загрози виникають за межами підприємства, не пов’язані з його виробничою діяльністю та можуть завдати значних збитків. Внутрішні загрози пов’язані з його персоналом. Ці загрози зумовлені процесами, які виникають у ході господарської діяльності та можуть впливати на фінансовий результат підприємства. Найсуттєвішими з них є: протиправні дії співробітників бухгалтерської служби, порушення режиму збереження бухгалтерської інформації, що становить комерційну таємницю, відсутність належної кваліфікації бухгалтерського персоналу, неналежний рівень технічного забезпечення, суттєві прорахунки як в тактичному, так і в стратегічному управлінні. Виявлення наведених вище загроз є передумовою, яка допоможе власникам підприємств забезпечити захист бухгалтерської інформації у складі комерційної таємниці та попередити її розголошення, щоб зменшити негативні наслідки для підприємства.