Провести анализ характеристик способов и средств по видам защиты информации
К правовым способам (мерам) защиты информации относятся разработка законов, нормативных правовых документов органов исполнительной власти обеспечивающих защиту информации на уровне государства, нормативных документов организаций предприятий, учреждений, регламентирующих правила обращения с информацией, закрепляющих права и обязанности участников информационных отношений в процессе ее обработки и использования, а также устанавливающие ответственность за нарушения этих правил, препятствуя тем самым, неправомерному использованию информации и являющиеся сдерживающим фактором для потенциальных нарушителей.
Правовые способы основаны на принципах законности. Основной способ их реализации - регламентация.
В качестве правовых способов (мер) защиты следует рассматривать:
установление категорий информации ограниченного доступа на уровне законодательства;
законодательное ограничение прав на доступ к категориям информации ограниченного доступа;
лицензирование деятельности связанной с защитой информации;
сертификация средств защиты информации;
регламентация приобретения и применения определённых средств защиты и средств оценки эффективности защиты информации на объектах информатизации;
установление правовой ответственности за разглашение различных видов тайны и компьютерные преступления, за нарушение правил защиты информации и т.п.
В качестве правовых средств защиты при реализации этих способов следует выделить:
конкретные нормы законодательства, устанавливающие права, обязанности, конкретные меры, подлежащие исполнению и правовую ответственность за их неисполнение или нарушение;
правовые документы, подтверждающие: право на осуществление деятельности по защите информации (лицензии), использование определённых средств обработки информации (лицензии, патенты, товарные знаки), соответствие требованиям законодательства средств обработки, передачи и систем защиты информации (сертификаты на СрЗИ, аттестаты соответствия на объекты информатизации по требованиям безопасности, сертификаты ключей ЭЦП и т.п.);
локальные нормативные акты организаций закрепляющие правовой статус защищаемой информации, органов защиты информации, и регулирующих обращение с этой информацией.
Морально - этические меры включают нормы поведения, которые традиционно сложились или складываются по мере распространения ЭВМ в стране или обществе. Эти нормы большей частью не являются обязательными, как законодательно утвержденные нормативные акты, однако, их несоблюдение ведет обычно к падению авторитета, престижа человека, группы лиц или организации. Морально-этические нормы бывают как неписаные (например, общепризнанные нормы честности, патриотизма и т.п.), так и писаные, то есть оформленные в некоторый свод (устав) правил или предписаний.
Достоинства и недостатки правовых и морально-этических мер защиты. Эти меры определяют (регламентируют) правила обращения с информацией и ответственность субъектов информационных отношений за их соблюдение.
Законодательные и морально-этические меры противодействия, являются универсальными в том смысле, что принципиально применимы для всех каналов проникновения и НСД к АС и информации. В некоторых случаях они являются единственно применимыми, как, например, при защите открытой информации от незаконного тиражирования или при защите от злоупотреблений служебным положением при работе с информацией.
Их основным недостатком является то, что на реализацию требуется достаточно много времени и сил, поскольку в основном они реализуются через суд.
Организационные (административные) способы - это меры организационного характера, регламентирующие процессы функционирования системы обработки данных, использование ее ресурсов, деятельность персонала, а также порядок взаимодействия пользователей с системой таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности информации. Они основаны на принципах управления коллективом и предприятием (службой) и принципах законности. Организационные способы включают:
мероприятия, осуществляемые при проектировании, строительстве и оборудовании вычислительных центров и других объектов систем обработки данных;
мероприятия по разработке правил доступа пользователей к ресурсам системы (разработка политики безопасности);
мероприятия, осуществляемые при подборе и подготовке персонала системы;
организацию охраны и надежного пропускного режима;
организацию учета, хранения, использования и уничтожения документов и носителей с информацией;
распределение реквизитов разграничения доступа (паролей, ключей шифрования и т.п.);
организацию явного и скрытого контроля за работой пользователей;
мероприятия, осуществляемые при проектировании, разработке, ремонте и модификациях оборудования и программного обеспечения и т.п.
Достоинства и недостатки. Организационные меры - это единственное, что остается, когда другие методы и средства защиты отсутствуют или не могут обеспечить требуемый уровень безопасности. Однако, это вовсе не означает, что систему защиты необходимо строить исключительно на их основе, как это часто пытаются сделать на практике.
Достоинства организационных мер:
широкий круг решаемых задач;
простота реализации;
гибкость реагирования на несанкционированные действия;
практически неограниченные возможности изменения и развития.
Этим мерам присущи серьезные недостатки, такие как:
необходимость использования людей;
повышенная зависимость от субъективных факторов;
высокая зависимость от общей организации работ в организации;
низкая надежность без соответствующей поддержки физическими, техническими и криптографическими средствами (люди склонны к нарушению любых установленных дополнительных ограничений и правил, если только их можно нарушить);
дополнительные неудобства, связанные с большим объемом рутинной формальной деятельности.
Организационные меры необходимы для обеспечения эффективного применения других мер и средств защиты в части, касающейся регламентации действий людей. В то же время организационные меры необходимо поддерживать более надежными физическими и техническими и всеми другими средствами. В связи с этим в системе организационного обеспечения ИБ выделяют два направления: - направление, связанное с реализацией мер организационно-правового характера и направление, связанное с реализацией мер организационно-технического характера. Первое направлено на реализацию правовых методов защиты информации и поддержание правового режима обработки информации. Второе направлено на поддержание правового режима обработки информации методами инженерно-технической защиты.
Инженерно-техническая защита информации. Способы инженерно-технической защиты с использованием аппаратных и аппаратно-программных средств защиты ИОД основаны, в основном, на принципе маскировки, они включают:
способы и соответствующие им средства защиты объектов от наблюдения в оптическом диапазоне электромагнитных волн, от радиолокационного и радиотеплолокационного (ИК) наблюдения;
способы защиты линий связи учреждений и предприятий от утечки ИОД;
способы и средства устранения (снижения) утечки информации за счет побочных электромагнитных излучений и наводок (ПЭМИН),
способы защиты акустической информации, меры по скрытию объектов от акустической, гидроакустической и сейсмической разведки;
способы радиоэлектронного противодействия средствам радио и радиотехнической разведки;
способы защиты объектов от химической, радиационной и магнитометрической разведки.
Недостатком инженерно-технических способов и средств защиты является то, что они не могут защитить информацию от персонала, допущенного к работе в АС. Для решения этой задачи предназначены программно-аппаратные способы и средства защиты. Кроме того, эти способы являются зачастую дорогостоящими. Цена большинства средств, особенно средств оценки эффективности инженерно-технической защиты, в десятки, а иногда и в сотни раз превышает стоимость программно-аппаратных средств.
Программно-аппаратная защита информации. Способы и средства программно-аппаратной защиты предназначены для защиты внутренней среды АС и хранящейся в ней информации, от угроз, которые могут быть реализованы с использованием инфо-телекоммуникационных и системно-программных каналов, и в первую очередь от НСД и НСВ.
Классификация программно-аппаратных способов и средств защиты по объектам защиты приведена на рисунке.
Как правило, современные программно-аппаратные средства защиты реализуют несколько способов. Особым направлением является разработка и внедрение системы защиты от НСД в виде программно-аппаратного комплекса на базе операционной системы.
Достоинства и недостатки. Достоинства программно- аппаратных способов и средств:
универсальность;
гибкость;
надежность функционирования;
простота реализации;
широкие возможности модификации и развития.
Недостатки программно-аппаратных средств:
снижение функциональных возможностей АС;
необходимость использования запоминающих устройств АС;
подверженность случайным или закономерным модификациям;
ориентация на вполне определённые типы ЭВМ и ПО (ОС, СУБД).
Криптографические способы защиты информации могут применяться как для защиты информации, обрабатываемой в ЭВМ или хранящейся в различного рода запоминающих устройствах, так и для закрытия информации, передаваемой между различными элементами системы по линиям связи и каналам телекоммуникаций. Классификация криптографических средств защиты информации приведена на рисунке.
Криптографические средства могут быть с программной, программно-аппаратной или аппаратной реализацией.
Возможность программной реализации обуславливается тем, что все методы криптографического закрытия формальны и могут быть представлены в виде конечной алгоритмической процедуры.
Средства шифрования - аппаратные, программные и аппаратно-программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты информации от НСД при ее передаче по каналам связи и (или) при ее обработке и хранении.
Средства имитозащиты - аппаратные, программные и аппарат-но- программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты от навязывания ложной информации;
Средства кодирования - средства, реализующие алгоритмы криптографического преобразования информации с выполнением части преобразования путем ручных операций или с использованием автоматизированных средств на основе таких операций;
Средства электронной цифровой подписи (ЭЦП) - аппаратные, программные и аппаратно-программные средства, обеспечивающие на основе криптографических преобразований реализацию хотя бы одной из следующих функций: создание ЭЦП с использованием закрытого ключа ЭЦП, подтверждение с использованием открытого ключа ЭЦП подлинности ЭЦП, создание закрытых и открытых ключей ЭЦП.
Средства изготовления ключевых документов - средства, предназначенные для выработки по определенным правилам криптоключей (независимо от вида носителя ключевой информации).
Ключевой документ - физический носитель определенной структуры, содержащий ключевую информацию (совокупность данных, предназначенных для выработки по определенным правилам криптоключей), а при необходимости - контрольную, служебную и технологическую информацию.
Выработанные криптоключи могут «записываться» на ключевые носители разового или многократного использования. К носителям многократного использования относятся: магнитная лента, дискета, компакт-диск, Data Key, Smart Card, Touch Memory и т.п.
Основным достоинством программных способов реализации криптографической защиты является их гибкость, т.е. возможность быстрого изменения алгоритма шифрования. При этом можно предварительно создать пакет шифрования, содержащий программы для различных методов шифрования или их комбинаций. Смена программ будет производиться оперативно в процессе функционирования системы.
При аппаратной реализации все процедуры шифрования и дешифрования выполняются специальными электронными модулями, сопряженными с ЭВМ.
Криптографические методы и средства на современном этапе являются наиболее надежными. При этом используется как шифрование так и кодирование информации.
Под шифрованием понимается такой вид криптографического закрытия, при котором преобразованию подвергается каждый символ защищаемого сообщения.
Под кодированием понимается такой вид криптографического закрытия, когда некоторые элементы защищаемых данных (это не обязательно отдельные символы) заменяются заранее выбранными кодами (цифровыми, буквенными, буквенно-цифровыми сочетаниями и т.п.). Этот метод имеет две разновидности: смысловое и символьное кодирование. При смысловом кодировании кодируемые элементы имеют вполне определенный смысл (слова, предложения, группы предложений). При символьном кодировании кодируется каждый символ защищаемого сообщения. Символьное кодирование по существу совпадает с шифрованием заменой.
Недостатки криптографических способов и средств. Надёжность защиты зависит от способа (алгоритма) шифрования, его устойчивости к криптоанализу. Несмотря на высокую устойчивость, СКЗИ подвержены криптоанализу и компрометации криптоключей (хищение, утрата, разглашение, несанкционированное копирование и другие происшествия, в результате которых криптоключи могут стать доступными несанкционированным лицам и (или) процессам).