Загальні рекомендації щодо інформаційної безпеки

1. Необхідний комплексний підхід до інформаційної безпеки.

Інформаційну безпеку слід розглядати як складову частину загальної безпеки, причому як важливу і невід'ємну її частину. Розроблення концепції інформаційної безпеки має обов'язково проходити за участю керівництва об’єкта захисту. У цій концепції потрібно передбачати не тільки заходи, пов'язані з інформаційними технологіями (криптозахист, програмні засоби адміністрування прав користувачів, їх ідентифікації й аутентифікації, "брандмауери" для захисту входів-виходів мережі тощо), але й заходи адміністративного і технічного характеру, включаючи жорсткі процедури контролю фізичного доступу до автоматизованої банківської системи, а також засоби синхронізації й обміну даними між модулем адміністрування безпеки банківської системи і системою охорони.

2. Необхідна участь співробітників керівництва безпеки на етапі вибору-придбання-розроблення автоматизованої системи.

Цю участь не слід зводити до перевірки надійності постачальника та його продукції. Керівництво безпеки має контролювати наявність належних засобів розмежування доступу до інформації, що одержує система.

Необхідний рівень захисту можна визначити за допомогою управління ризиком - процесом, що містить процедури:

• оцінки можливих витрат через використання АІС;

• аналізу потенційних загроз і вразливого місця системи, що впливають на оцінки можливих витрат;

• вибору оптимальних за ціною заходів і засобів захисту, що зменшують ризик до прийнятного рівня.

Шифрування

Одним із поширених методів захисту інформації є її криптографічний захист, тобто шифрування. Найважливіші критерії, за якими оцінюють системи шифрування, визначені К.Шенноном ще у 1945 р. таким чином:

1. Кількість секретності - яка кількість зашифрованої інформації дає можливість її розкодування.

4. Довжина ключа.

5. Складність операцій шифрування та дешифрування.

6. Розростання кількості помилок.

7. Збільшення обсягу зашифрованого повідомлення.

Ці п’ять критеріїв виявляються несумісними, якщо їх застосовують до природномовних текстів зі складною структурою. Але, якщо відкинути будь-який з них, інші чотири задовольняються досить успішно.

Шифрування даних може здійснюватися в режимах On-Line (у темпі надходження інформації) і Off-Line (автономному). Найбільш поширені два алгоритми шифрування: DES та RSA. Ці алгоритми покладені в основу електронного цифрового підпису.

Стандарт шифрування даних DES (Data Encryption Standard) розроблений фірмою IBM на початку 70-х років і в даний час є урядовим стандартом для шифрування цифрової інформації. Він рекомендований Асоціацією Американських Банкірів. Складний алгоритм DES використовує ключ довжиною 56 біт і 8 біт перевірки на парність і вимагає від зловмисника перебору 72 квадрильйонів можливих ключових комбінацій, забезпечуючи високий ступінь захисту при невеликих витратах. При частій зміні ключів алгоритм задовільно вирішує проблему перетворення конфіденційної інформації у недоступну.

Алгоритм RSA був винайдений Ривестом, Шаміром і Альдеманом у 1976 році. Він являє собою значний крок у криптографії. Цей алгоритм також був прийнятий як стандарт Національним Бюро Стандартів.

В асиметричних алгоритмах шифрування використовуються різні ключі при шифруванні і дешифруванні, а у симетричних - один. Користувачі асиметричних алгоритмів шифрування мають два ключі і можуть вільно поширювати свій відкритий ключ. Відкритий ключ використовується для шифрування повідомлення користувачем, але тільки визначений одержувач може дешифрувати його своїм секретним ключем; відкритий ключ не придатний для дешифрування. Це робить непотрібними секретні угоди про передачу ключів між кореспондентами. DES є симетричним алгоритмом, а RSA - асиметричним.

Чим довший ключ, тим вищий рівень безпеки (але стає довшим і процес шифрування та дешифрування). DES визначає довжину даних і ключа в бітах, а RSA може бути реалізований за будь-якої довжини ключа. Ключі DES можна згенерувати за мікросекунди, тоді як зразковий час генерації ключа RSA - десятки секунд. Тому відкритим ключам RSA надають перевагу розроблювачі програмних засобів, а секретним ключам DES - розроблювачі апаратури.