7. Защита информации

Иформационная безопасность – это защищенность информации от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации.

Требования, предъявляемые к надежности системы и ее информационной безопасности:

1. исключение возможности просмотра, изменения или уничтожения информации лицами, не имеющими на это права;

2. исключение несанкционированного доступа к информации, для обеспечения предотвращения утечки обрабатываемой информации;

3. предотвращение различного рода воздействий, которые способны вызвать изменение, уничтожение и искажение информации, а также сбои в работе средств автоматизации;

4. предотвращение утечки информации за счет побочных электромагнитных излучений и наводок, специальных устройств перехвата (уничтожения) при передаче между объектами вычислительной техники;

5. подотчетность (руководитель должен всегда знать, кто работает в системе и с чем).

Таким образом, защита информации – это совокупность мероприятий, направленных на обеспечение конфиденциальности и целостности обрабатываемой информации, а также доступности информации для пользователей. Средства и методы поддержки информационной безопасности должны обеспечивать:

• Конфиденциальность –сохранение в секрете критичной информации, доступ к которой ограничен узким кругом пользователей (отдельных лиц или организаций).

• Целостность– свойство, при наличии которого информация сохраняет заранее определенные вид и качество.

• Доступность –такое состояние информации, когда она находится в том виде, месте и времени, которые необходимы пользователю, и в то время, когда она ему необходима.

Программное обеспечение

Выбранное программное обеспечение и технические средства КИС обеспечивают целостность баз данных при любых нарушениях в системе безопасности.

На всех компьютерах отдела используется шифрованная файловая система EncryptingFileSystem (EFS) — система шифрования данных, реализующая шифрование на уровне файлов в операционных системах MicrosoftWindows NT. Данная система предоставляет возможность «прозрачного шифрования» данных, хранящихся на разделах с файловой системой NTFS, для защиты потенциально конфиденциальных данных от несанкционированного доступа при физическом доступе к компьютеру и дискам. Плюсом данной системы является то, что EFS использует симметричное шифрование для защиты файлов, а также шифрование, основанное на паре открытый/закрытый ключ для защиты случайно сгенерированного ключа шифрования для каждого файла. По умолчанию закрытый ключ пользователя защищён с помощью шифрования пользовательским паролем, и защищённость данных зависит от стойкости пароля пользователя.

Антивирус Kaspersky Endpoint Security Cloud был выбран для обеспечения защиты всех компьютеров. Его ключевые функции:

• Антивирусная проверка файлов, программ и веб-сайтов

• Анти-Фишинг

• Контроль интернет-трафика

• Защита от программ-шифровальщиков

• Поиск уязвимостей

• Бесплатное автоматическое обновление и переход на новую версию

Организационно-административные методы защиты информации — это меры, регламентирующие процессы функционирования КИС, использование ее ресурсов, деятельности персонала, а также порядок взаимодействия пользователей системой таким образом, чтобы максимально затруднить или исключить возможность реализации угроз безопасности информации. А именно:

• наличие надлежащей настройки операционных систем и программного обеспечения сервера, рабочих мест пользователей;

• выделение специальных ЭВМ для обработки конфиденциальной информации;

• наличие межсетевого программно-аппаратного экрана (firewall, брандмауэр, МСЭ), контролирующего доступ к сети;

• наличие специальных защищенных помещенийдля размещения ЭВМ и средств связи и хранения носителей информации;

• организация регламентированного доступапользователей к работе на ЭВМ, средствах связи и в хранилищах носителей конфиденциальной информации;

• установление запрета на использованиеоткрытых каналов связи для передачи конфиденциальной информации;

• создание и внедрение специальных нормативно-правовых и распорядительных документовпо организации защиты конфиденциальной информации;

• постоянный контрольза соблюдением установленных требований по защите информации.

Организационно-техническая защита информации:

• отключение ЭВМ от локальной вычислительной сети или сети удаленною доступа (региональные и глобальные вычислительные сети) при обработке на ней конфиденциальной информации, кроме случаев передачи этой информации по каналам связи;

• организация электропитания ЭВМ от отдельного блока питания;

• использование бесперебойных источников питания для персональных компьютеров для силовых электрических сетей с неустойчивым напряжением и плавающей частотой.

Физические меры защиты — различные механические, электро- или электронно-механические устройства, предназначение для создания физических препятствий на путях проникновения потенциальных нарушителей к защищаемой информации, а также техник визуального наблюдения, связи и охранной сигнализации. А именно:

• перекрытие незаконным пользователям физического доступа к месту, где имеется (хранится или передается) защищаемая информация;

• установки аппаратуры компьютерной системы, что называется, под замком в помещении, снабженном сигнализацией, надежной охраной аппаратных и узлов управления, электромагнитным экранированием зданий и помещений;

• установка специальных сейфов и металлических шкафов для установки в них отдельных узлов и блоков компьютера для вычислительной системы (принтер, файл-сервер).

Технические (аппаратно-программные) средства защиты — различные электронные устройства и специальные программы, выполняющие (самостоятельно или в комплексе с другими средствами) функции защиты информации (идентификацию пользователей, разграничение доступа к ресурсам, криптографическое закрытие информации).

Функции:

• аутентификация партнеров по взаимодействию, позволяющая убедиться в подлинности партнера при установлении соединения;

• аутентификация источника информации, позволяющая убедиться в подлинности источника сообщения;

• управление доступом, обеспечивающее защиту от несанкционированного использования ресурсов;

• конфиденциальность данных, которая обеспечивает защиту от несанкционированного получения информации;

• целостность данных, позволяющая обнаружить, а в некоторых случаях и предотвратить изменение информации при ее хранении и передаче;

• принадлежность, которая обеспечивает доказательство принадлежности информации определенному лицу.

Для реализации указанных функций используются следующие механизмы:

• шифрование, преобразующее информацию в форму, недоступную для понимания неавторизованными пользователями;

• электронная цифровая подпись, переносящая свойства реальной подписи на электронные документы;

• механизмы управления доступом, которые управляют процессом доступа к ресурсам пользователей на основе такой информации как базы данных управления доступом, пароли, метки безопасности, время доступа, маршрут доступа, длительность доступа;

• механизмы контроля целостности, контролирующие целостность как отдельного сообщения, так и потока сообщений и использующие для этого контрольные суммы, специальные метки, порядковые номера сообщений, криптографические методы;

• механизмы аутентификации, которые на основании предъявляемых пользователем паролей, аутентифицирующих устройств или его биометрических параметров принимают решение о том, является ли пользователь тем, за кого себя выдает;

• механизмы дополнения трафика, добавляющие в поток сообщений дополнительную информацию, «маскирующую» от злоумышленника полезную информацию.