Основные функции системы защиты информации

Функционирование системы защиты информации от несанкционированного доступа, как комплекса программно-технических средств и организационных (процедурных) решений, предусматривает:

• учет, хранение и выдачу пользователям информационных носителей, паролей, ключей;

• ведение служебной информации (генерация паролей, ключей, сопровождение правил разграничения доступа);

• оперативный контроль за функционированием систем защиты секретной информации;

• контроль соответствия общесистемной программной среды эталону;

• приемку включаемых в автоматизированную информационную систему новых программных средств;

• контроль за ходом технологического процесса обработки финансово-кредитной информации путем регистрации анализа действий пользователей;

• сигнализацию опасных событий и т.д.

Без надлежащей организационной поддержки программно-технических средств защиты информации от несанкционированного доступа и точного выполнения предусмотренных проектной документацией процедур в должной мере не решить проблему обеспечения безопасности информации, какими бы совершенными эти программно-технические средства не были.

Методы обеспечения безопасности информации

Проблема создания системы защиты информации включает в себя две взаимно дополняющие задачи.

1. Разработка системы защиты информации (ее синтез).

2. Оценка разработанной системы защиты информации.

Вторая задача решается путем анализа ее технических характеристик с целью установления, удовлетворяет ли система защиты информации комплексу требований к таким системам.

Такая задача в настоящее время решается почти исключительно экспертным путем с помощью сертификации средств защиты информации и аттестации системы защиты информации в процессе ее внедрения.

Основные методы защиты информации являются общими для всех конкретных способов её защиты. Один и тот же метод может быть реализован с помощью разработки и внедрения тех или иных аппаратных средств, программных средств, работы охраны той или иной организации и т.п.

Основными методами защиты информации являются следующие.

1. Препятствие — метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.д.).

2. Управление доступом — метод защиты информации регулированием использования всех ресурсов компьютерной информационной системы банковской деятельности (элементов баз данных, программных и технических средств). Управление доступом включает следующие функции защиты:

• идентификацию пользователей, персонала и ресурсов системы (присвоение каждому объекту персонального идентификатора);

• опознание (установление подлинности) объекта или субъекта по предъявленному им идентификатору;

• проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту);

• разрешение и создание условий работы в пределах установленного регламента;

• регистрацию (протоколирование) обращений к защищаемым ресурсам;

• реагирование (сигнализация, отключение, задержка работ, отказ в запросе) на попытки несанкционированных действий с информацией.

3. Маскировка — метод защиты информации путем ее криптографического закрытия или её сокрытия, т.е. обеспечения невозможности её найти. Этот метод защиты широко применяется в информатике, как при обработке, так и при хранении информации, в том числе на дискетах, лазерных дисках, сайтах в сети Интернет. При передаче информации по каналам связи большой протяженности метод криптографического закрытия информации является весьма надежным.

4. Регламентация — метод защиты информации, создающий за счёт организации работ такие условия автоматизированной обработки, хранения и передачи защищаемой информации, при которых возможности несанкционированного доступа к ней сводились бы к минимуму.

5. Принуждение — такой метод защиты, при котором пользователи и персонал системы вынуждены соблюдать регламенты и правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.

6. Побуждение — такой метод защиты, который мотивирует пользователя и персонал системы не разрушать установленные регламенты и порядки за счет соблюдения сложившихся моральных и этических норм (как регламентированных, так и неписаных). Мотивация в побуждении может быть как материальной (повышение доходов, предоставление социальных льгот и преимуществ, например), так и нематериальной (формирование стремления осуществить крупный и интересный проект, содействовать своей организации в конкуренции с другими, стать самому лучшим по профессии и т.п.).

Перечисленные методы обеспечения безопасности реализуются разными средствами, но сущность этих методов остаётся сходной. Так для обеспечения безопасности можно поставить препятствие в виде турникета или железной двери при входе в офис, можно в виде специального тестирования при приёме на работу персонала, можно в форме специальных кодов или компьютерных ключей, позволяющих получить доступ к информации уже работающему за компьютером пользователю. Но общий принцип обеспечения безопасности во всех этих случаях – один: установка препятствий для доступа к информации.