11.3.2. Требования к защите информации в системах

Госкомиссией при президенте РФ были приняты руководящие документы, посвященные вопросам защиты информации.

1. Защита основывается на положениях существующих законов, стандартов и нормативно-методических документов по защите информации.

2. Защита средств вычислительной техники обеспечивается комплексом программно-технических средств.

3. Защита информации обеспечивается комплексом программно-технических средств и поддерживающих их организационных мер.

4. Защита обеспечивается на всех технологических этапах обработки информации и во всех режимах функционирования, в том числе при проведении ремонтных и регламентных работ.

5. Программно-технические средства не должны существенно ухудшать основные функциональные характеристики ИС (надежность, производительность, возможность изменения конфигурации).

6. Оценка эффективности средств защиты, должна учитывать всю совокупность технических характеристик, включая технические решения и практическую реализацию средств защиты.

7. Защита должна предусматривать контроль эффективности средств защиты от несанкционированного доступа. Этот контроль может быть периодическим или включаться по мере необходимости пользователем или контролирующими органами.

11.3.3. Меры по поддержанию работоспособности компьютерных систем

Правила проведения повседневных мероприятий администратором системы:

• Администратор должен организовать поддержку пользователей при решении возникающих у них проблем, связанных с безопасностью системы, и указать пользователям способы их решения;

• Администратор должен следить за целостностью программного обеспечения, следить за изменением файлов программ;

• Пользователь должен иметь возможность проводить резервное копирование своих данных, копии необходимо сохранять на съемных носителях информации;

• Каждая компьютерная система должна быть снабжена источником бесперебойного питания.

11.3.4. Противодействие нарушению конфиденциальности информации

При эксплуатации информационной системы основной задачей защиты информации является предотвращение несанкционированного доступа к аппаратным и программным средствам, а также контроль целостности этих средств. Для решения этой задачи проводятся следующие мероприятия:

• Идентификация (имя пользователя, учетный номер и др.) и аутентификация (пароль, биометрические параметры, съемные носители информации, электронные жетоны, пластиковые карты, механические ключи) пользователей.

• Мониторинг несанкционированных действий – фиксирование и анализ событий в журнале аудита.

• Разграничения доступа к данным и программам.

• Криптографические методы – наиболее эффективные средства защиты информации при передаче ее по протяженным линиям связи. Их называют шифрами. Криптография (от греч. kryptos – тайна и graphō – пишу).

Шифрование – процесс преобразования открытого сообщения в шифрованное с помощью определенных правил, содержащихся в шифре.

Расшифрование – процесс, обратный шифрованию.

Шифрование заменой (подстановка) заключается в том, что символы шифруемого текста заменяются другими символами, взятыми из одного или нескольких алфавитов. Применяется также шифрование методом перестановки, а также методы шифрования, использующие ключи. Эти методы предполагают знание ключа при шифровании и дешифровании.

Системы с открытым ключом. В таких системах для шифрования используется один ключ, а для дешифрования – другой. Первый ключ не является секретным и может быть опубликован для использования всеми пользователями системы. Для дешифрования данных получатель использует второй ключ, который является секретным. Ключ дешифрования не может быть определен из ключа шифрования. Методы шифрования с открытым ключом называют асимметричными.

Применяются также симметричные методы – в них для шифрования и дешифрования используется один и тот же ключ.

Хэш-функция используется для шифрования паролей пользователей информационной системы и при создании электронных подписей. Эта функция преобразует сообщение любой длины в строку фиксированного размера.