все лекции

Построение системы защиты информации в таком виде позволит обеспе-

чить комплексность процесса защиты информации в системах, управляе-

мость процесса и возможность адаптации при изменении условий функцио-

нирования систем.

Подсистема криптографической защиты объединяет средства такой защиты информации и по ряду функций кооперируется с подсистемой защиты от НСД.

Подсистема обеспечения юридической значимости электронных до-

кументов служит для придания юридического статуса документам в

электронном представлении и является определяющим моментом при переходе к безбумажной технологии документооборота. Данную подсистему удобно и целесообразно рассматривать как часть подсистемы криптографической защиты.

Подсистема защиты от НСД предотвращает доступ несанкционированных пользователей к ресурсам компьютерных систем.

Подсистема управления СЗИ предназначена для управления ключе-

выми структурами подсистемы криптографической защиты, а также

контроля и диагностирования программно-аппаратных средств и обеспечения взаимодействия всех подсистем СЗИ.

Подсистема организационно-правовой защиты предназначена для регламентации деятельности пользователей компьютерных систем и

представляет собой упорядоченную совокупность организационных решений, нормативов, законов и правил, определяющих общую организацию работ по защите информации в системах.

Система защиты информации представляет собой совокупность автомати-

зированных рабочих мест (АРМ), входящих в состав компьютерных систем, и про-

граммно-аппаратных средств, интегрированных в АРМ пользователей компью-

терных систем.

ОРГАНИЗАЦИЯ МЕРОПРИЯТИЙ. Проведите занятия по информационной безопасности. Первые несколько занятий должны носить установочный характер, не пытайтесь разработать окончательный документ в первый же день. Подумайте о приглашении квалифицированного консультанта по безопасности, который мог бы дать вашим пользователям знания по информационной безопасности. Если консультант достаточно квалифицирован и ваша организация может себе это позволить, пригласите его на последующие собрания группы как наставника при разработке правил. Несмотря на то, что привлечение консультанта для самостоятельной разработки правил может снизить расходы, вы потеряете интерес и внимание ря-

23

дового пользователя. Работая таким способом, вы создадите правила безопасности, к которым будет иметь отношение каждый сотрудник. Несмотря на то, что в результате может появиться и не самый совершенный документ, эффективность правил повысится ощутимо.

Нельзя приступать к внедрению правил, пока пользователи не приобретут навыков, необходимых для их соблюдения. Безопасность требует не только знаний, но и действий. Все пользователи должны знать, что нужно предпринять и чего делать не стоит, когда они сталкиваются с нарушением или возможностью его возникновения; к кому нужно обращаться при возникновении подозрений. Пользователи должны быть уверены в том, что меры по обеспечению безопасности принимаются в их же интересах, а не по иным соображениям.

Пользователи помогают внедрить правила в жизнь. Вовлекайте их в этот процесс путем обсуждения предлагаемых мер на открытых собраниях и предоставления им возможности высказывать свои соображения в письменном виде. Поскольку пользователи являются обычными людьми, им свойственно забывать о правилах. Проводите несколько раз в год занятия по правилам обеспечения безопасности. Для закрепления основных положений используйте стенды, электронную почту и инструктажи. Новички не знают правила так, как опытные сотрудники. Необходимо информировать всех вновь принятых на работу о правилах безопасности в организации. Обеспечьте пользователей руководством, в котором изложен материал приемлемого объема. Даже если пользователи усвоили правила, то у них может возникнуть вопрос, как эти правила внедрить. Предоставляйте вместе со всеми правилами модельные процедуры внедрения и примеры. Записывайте вопросы сотрудников (вместе с вашими ответами и пояснениями) в сопроводительной документации к правилам. Сообщайте пользователям об этих дополнениях.

Дополняйте правила модельными процедурами и примерами реализации. Убедитесь, что ваши правила посвящены защите от истинных опасностей — от тех, вероятность возникновения которых достаточно реальна и действительно представляют для вас угрозу.

Прежде всего, очень важно научиться правильно мыслить. Попробуйте задать себе такие вопросы: «Как я могу узнать, кто использует вверенную мне сеть и её информационные ресурсы? Почему это для меня важно? К какой категории

— локальных или удалённых — относятся пользователи? Как я могу заставить пользователей, сообщивших мне свои имена, доказать их подлинность?» Не стоит тратить время на системы и технологии, которые не помогают вам ответить на все эти вопросы.

После того как пользователи доказали подлинность своих имён, задайте себе новую группу вопросов: «Каким образом я могу управлять действиями пользователей? Важно ли это для меня? Должен ли быть ограничен доступ пользователей ко всему объёму информации? Если ограничения есть, то кто их устанавливает и следит за их соблюдением?».

Защищённых линий связи не бывает. Сети, по определению, имеют очень невысокий уровень безопасности или вовсе не защищены. Если вы собираетесь передавать информацию по линиям связи, определите, какая её часть должна иметь закрытый, конфиденциальный характер. Подумайте о том, как вы можете добиться конфиденциальности при передаче данных. Может быть, позаботиться, чтобы содержимое ваших посланий не могло быть искажено? Сегодня конфиденциальность электронных сообщений не выше, чем у почтовых открыток.

При передаче банковской информации нужно тщательно следить за правильностью передачи реквизитов перечисляемых денежных сумм. Достоинства любой системы безопасности нельзя по-настоящему оценить, пока не возникла реальная угроза. Сутью проблемы безопасности является обеспечение работоспособности информационной системы в угрожающих и критических ситуациях.

Две разные организации никогда не придут к одинаковому решению в вопросе защиты информации. Воспроизведите свои текущие или старые бумажные процессы и постарайтесь найти способ использовать их в качестве составного элемента системы управления электронной информацией и ее безопасностью.

2.5.1 Примеры политики безопасности

Взаимодействие с InterNet.

1 Сотрудники не должны использовать InterNet для своих личных целей, и не должны посещать вредные и порнографические сайты, а также не должны получать доступ

или использовать информацию, которая считается оскорбительной. Деятельность сотрудников

может контролироваться. Нарушители могут быть привлечены к ответственности, вплоть до

уголовного наказания.

2 Соединение с InterNet – это ресурс организации. Деятельность сотруд-

ников организации в InterNet может наблюдаться, протоколироваться и пери-

одически проверяться для того, чтобы организация имела гарантии того, сотрудники работают пра-

вильно, и могла защититься от неавторизованного использования Интернета.

3 Организация может получить доступ к любой информации

24

пользователей или к любому взаимодействию пользователей. Организация

может разгласить информацию, полученную таким образом уполномоченным на это третьим

лицам, включая правоохранительные органы. Использование (список ресурсов) означает согласие пользователя с тем, что за его деятельностью осуществляется контроль.

4 В случае использования ресурсов InterNet в личных целях (в исключительных случа-

ях) сообщения должны включать строку о том, что точка зрения, выраженная в письме –

личная точка зрения, а не точка зрения организации.

5Доступ из InterNet к ресурсам организации разрешён только тогда, когда это тре-

буется для выполнения служебных обязанностей.

6Формами неприемлемого использования InterNet, которые могут привести к ответственности, являются:

неавторизованные попытки получить доступ к компьютеру, использование рабочего времени и ресурсов организации для личной выгоды, кража или копирование файлов без разрешения, посылка конфиденциальных файлов организации во внешние компьютеры или в другие внутренние компьютеры неавторизованными на это людьми, отказ помогать сотрудникам отдела информационной безопасности, посылка писем-пирамид по электронной почте.

7 Личные бюджеты пользователей онлайновых сервисов не должны использоваться с компьютеров орга-

низации. Для получения доступа к платным сервисам с компьютера организации, она должна предварительно осуществить подписку на них и заплатить за это деньги.

8 Сотрудники не должны позволять членам своих семей или посторонним

лицам получать доступ к компьютерам организации.

9 Для всех компьютеров организации, на которых размещены критические

приложения или которые предоставляют доступ к критической или конфиденциальной информации, должно быть запрещено взаимодействие с Inter-

Net.

Электронная почта организации.

1 Система электронной почты (ЭП) предоставляется сотрудникам в целях оказания помощи при выполнении ими своих обязанностей.

2 Аппаратное и программное обеспечение для системы ЭП принадлежит организации. Все сообще-

25

ния, созданные, переданные или полученные с помощью системы ЭП, являют-

ся и остаются собственностью организации. Сообщения не могут быть личной соб-

ственностью ни одного из сотрудников.

3 Использовать систему ЭП можно исключительно для выполнения своих служебных обязанностей. ЭП не предназначена для применения в личных целях.

4 Система ЭП не может использоваться для агитации или рекламы ком-

мерческих предприятий, пропаганды религиозных или политических идей и для других целей, не

связанных с выполнением служебных обязанностей.

5 ЭП не может использоваться для создания оскорбительных или провокационных сообщений. Таковыми считаются в том числе сообщения, содержащие сексуальные домогательства, расовые оскорбления, дискриминацию по половому признаку или другие комментарии, затрагивающие в оскорбительной форме вопросы возраста, религиозные или политические пристрастия, национальность или состояние здоровья.

6 Система ЭП не должна использоваться для передачи (выгрузки) или получения (за-

грузки) материалов, защищённых авторским правом, торговых секретов, внутренней финансовой информации или аналогичных документов лицами, не имеющими соответствующих полномочий.

7 Организация оставляет за собой право просматривать, контролировать, перехватывать, изымать и разглашать все сообщения, создан-

ные, полученные или переданные с помощью системы ЭП с любой целью. Содержание сообщения ЭП, даже полученного в рамках выполнения служебных обязанностей, может быть доведено до сведения уполномоченных лиц в пределах организации без разрешения сотрудника.

8 Никакое сообщение не может считаться конфиденциальным

для организации. Использование шифрования в целях защиты не гарантирует конфиденциальности. Все ключи

должны быть предоставлены организации, в противном случае они объявляются незаконными и применяться не могут.

9 Несмотря на то что организация имеет право извлекать и читать все сообщения ЭП, такие сообщения должны рассмат-

риваться как конфиденциальные другими сотрудниками организации, и получить к ним доступ может только сотрудник,

которому эти сообщения адресованы. Любое исключение из этого правила возможно при разрешении руководства организации.

10 Временная шкала на компьютерах организации устанавлива-

ется централизованно. Сотрудник не вправе устанавливать собственное время на личном компьютере.

11 Любой сотрудник, которому стало известно о нарушении пра-

26

вил, изложенных в данном документе, должен уведомить об этом службу безопасности.

12 Любой сотрудник, нарушивший эти правила или использующий систему электронной почты в незаконных целях, бу-

дет подвергнут дисциплинарному наказанию, вплоть до увольнения.

Список использованных источников

1 Романец Ю.В. и др. Защита информации в компьютерных системах и сетях / Ю.В. Романец, П.А. Тимофеев, В.Ф. Шаньгин; Под ред. В.Ф. Шаньгина. – 2-е изд. – М.: Радио и связь, 2001. – 376 с.

2.Малюк А.А. и др. Введение в защиту информации в автоматизированных системах / А.А. Малюк, С.В. Пазизин, Н.С. Погожин. – М.: Горячая Линия – Телеком,

2001. – 148 с.

3.Чмора А.Л. Современная прикладная криптография. – М.: Гелиос АРВ, 2001.

–256 с.

4.Бабенко Л.К. и др. Защита информации с использованием смарт–карт и электронных брелоков / Л.К. Бабенко, С.С. Ищуков, О.Б. Макаревич. – М.: Гелиос АРВ,

2003. – 352 с.

5Теоретические основы компьютерной безопасности: Учеб. пособие / П.Н. Девянин, О.О. Михальский, Д.И. Правиков, А.Ю. Щербаков. – М.: Радио и связь, 2000. – 192 с.

6Теоретические основы компьютерной безопасности: Учеб. пособие / А.А. Грушо, Э.А. Применко, Е.Е. Тимонина. – М.: Издательский центр «Академия», 2009.

–272 с.

27