Билет 21

1.Дайте определение процесса конфигурации. В чем суть задачи инвентаризации параметров ис? Что должна включать политика безопасности с точки зрения конфигурации? Перечислите задачи учета.

Под конфигурацией ИС будем понимать разработку и реализацию концепции, позволяющей администратору системы быть уверенным в непротиворечивости, целостности, проверяемости и повторяемости параметров системы.

Инвентаризация параметров и документирование функциональных схем работы компонент системы. Эта задача обсуждалась ранее. Укажем только, что АС при ее решении должен проверять версии установленных компонент ИС, иметь графическое представление о взаимодействии всех аппаратных и программных компонент, производить аудит работы всех сетевых протоколов. Следует также отметить, что инвентаризация системы входит в регламентные работы администратора системы и должна выполняться регулярно по выработанному им расписанию регламентных работ.

Политика безопасности с точки зрения конфигурации должна включать в себя:

—способ задания паролей пользователей и способ задания паролей АС;

—политику доступа к ИС;

—политику доступа мобильных пользователей;

—политику кодирования информации;

—политику использования антивирусов и антиспамов.

Основные задачи учета перечислены ниже:

—отслеживание исполняемых сервисов и затрачиваемых ресурсов;

—отслеживание цены сервисов, используемых в системе;

—учет лимитов пользователя в системе;

—учет квот ресурсов, которые выдавались процессам и пользователям ИС;

—получение отчетов о результатах решения всех предыдущих задач;

—получение отчетов о жульничестве;

—интеграция различных отчетов и учет совокупной цены использования различных ресурсов.

Билет 22

1.Какие события можно отнести к непреднамеренным угрозам? Перечислите виды преднамеренных угроз безопасности? Каковы средства и мероприятия по обеспечению безопасности ис?

Непреднамеренная угроза всегда вызывается сбоями питания, сбоями аппаратных или программных средств, неквалифицированными действиями персонала.

К непреднамеренным угрозам можно отнести следующий ряд событий:

—разрушение данных в результате отключения питания серверного или сетевого оборудования;

—разрушение данных из-за сбоев оборудования серверов операционной системы, серверов баз данных или ком мутационного оборудования;

—разрушение данных в результате сбоев операционной системы;

—разрушение данных в результате сбоев СУБД;

—ввод неправильных данных из-за ошибок прикладного обеспечения;

—нарушение целостности данных или их разрушение из за ошибок прикладного математического обеспечения;

—нарушение целостности данных из-за сбоев системного прикладного математического обеспечения или аппаратных средств;

—недостаточный профессионализм персонала или его не хватка;

—разрушение кабельной системы или аппаратуры;

—пожары по причине коротких замыканий;

—электростатические проблемы;

—неквалифицированные действия администратора системы, что обычно является наиболее частой и самой опасной причиной всех проблем с информационной системой.

Преднамеренные угрозы всегда осуществляются пользователями системы или прикладными программистами.

К средствам, мероприятиям и нормам обеспечения безопасности процессов переработки информации, которые используются администратором системы, относятся аппаратные и программные средства, организационные мероприятия, законодательные и морально-этические нормы

Аппаратные средства реализуются в виде электронных или электрических устройств. Они могут быть встроены непосредственно в вычислительную технику или реализовываться автономно, например, электронные замки на дверях помещений.

Программные средства выполняют функции защиты процессов обработки информации (например, сетевые экраны — фаерволлы). Обычно все программные продукты включают средства AAA (Авторизация пользователей, Аутентификация пользователей и Аудит системы).

Организационные мероприятия представляют собой организационно-технические и организационно-правовые мероприятия, осуществляемые администратором системы в процессе установки или эксплуатации ИС. Организационные мероприятия являются наиболее действенными и существенными средствами. Они охватывают все этапы жизненного цикла ИС, а именно: строительство помещений, проектирование ИС, монтаж и настройка оборудования, эксплуатация системы. Организационные мероприятия включают ограничение доступа к частям объекта, где работает ИС, разграничение доступа к ресурсам, разработку документации и инструкций пользователям, сертификацию средств защиты, контроль выполнения правил.

Законодательные нормы определяются законодательными актами страны, регламентирующими правила пользования и обработки информации и устанавливающими меры ответственности за нарушение этих правил. Законодательное регулирование осуществляется в России на основании Федерального закона от 25.01.95 № 24-ФЗ «Об информации, информатизации и защите информации», Закона РФ от 21.07.93 № 5485-1 «О государственной тайне».

Морально-этические нормы реализуются в виде сложившихся норм, которые не являются обязательными, но приняты в профессиональных сообществах. Несоблюдение этих норм ведет к потере возможности взаимодействия внутри со обществ. К таким нормам относится, например, Кодекс профессионального поведения членов ассоциации пользователей ЭВМ США.

К основным преднамеренным угрозам относятся:

—использование прав доступа другого пользователя сети;

—несанкционированный доступ к данным и их чтение, удаление, модифицирование или ввод;

—модификация программного продукта без санкции администратора системы;

—несанкционированное копирование данных;

—несанкционированный доступ к зашифрованным данным, вскрытие системы кодирования данных или паролей;

—внедрение компьютерных вирусов;

—электронные помехи;

—несанкционированное подключение к кабельной системе;

—несанкционированный доступ к консолям серверов баз данных, систем управления информационных систем.