Определить стратегию информационной безопасности

1. Классификация информации по уровням конфиденциальности (публичная, проприетарная, секретная, совершенно секретная)

2. Определение субъектов доступа (сотрудники, клиенты и пр)

3. Определение правил разграничения доступа (политика безопасности)

4. Определение возможных источников угроз (конкуренты, недобросовестные клиенты, пользователи)

5. Определение сценариев несанкционированного доступа к информации со стороны источников угроз

6. Моделирование нарушения по каждому из возможных сценариев

7. Определение уязвимости каждого из компонентов информационной системы

8. Определение комплекса мер по защите компонент ИС.

9. Контроль за реализацией мероприятий

10. Уточнение стратегии

Методы обеспечения конфиденциальности информации при передаче информации между абонентами включают в себя:

- методы Идентификация и аутентификация.

Идентификация обеспечивает выполнение следующих функций:

-        установление подлинности и определение полномочий субъекта при его допуске в систему,

- контролирование установленных полномочий в процессе сеанса работы;

- регистрация действий и др.

Аутентификацией (установлением подлинности) называется проверка принадлежности субъекту доступа предъявленного им идентификатора и подтверждение его подлинности. Другими словами, аутентификация заключается в проверке: является ли подключающийся субъект тем, за кого он себя выдает.

- Методы разграничения доступа

Обычно полномочия субъекта представляются: списком ресурсов, доступных пользователю, и правами по доступу к каждому ресурсу из списка. В качестве вычислительных ресурсов могут быть программы, информация, логические устройства, объем памяти, время процессора, приоритет и т. д.

Обычно выделяют следующие методы разграничения доступа:

- разграничение доступа по спискам;

- использование матрицы установления полномочий;

- по уровням секретности и категориям;

- парольное разграничение доступа.

- Криптографические методы обеспечения конфиденциальности информации.

Криптография - наука о методах шифрования информации с целью ее защиты от несанкционированного доступа.

Распространенные алгоритмы: симметричные DES, AES, IDEA, RC4 и др. ассиметричные RSA и Elgamal (Эль-Гамаль) - хэш-функций MD4, MD5, SHA-1, электронно-цифровая подпись

В криптографии с симметричными ключами отправитель и получатель используют один и тот же (общий) ключ, как для шифрования, так и для расшифрования.

Ассимитричное шифрование популярная разновидность – шифры с открытым ключом. Имеет два ключа – открытый (public), который можно свободно распространять, и закрытый (private), который держится в секрете. Зашифровать сообщение (и использованием открытого ключа получаетеля, хранимого в Центре хранения открытых ключей) может кто угодно, но расшифровать его сможет только владелец закрытого ключа. Алгоритм RSA основан на сложности разложения на множители произведения двух больших простых чисел.

Хеш применяется в системах аутентификации для проверки паролей – открытый пароль пользователя не храниться в системе, вместо него хранится его хеш, который затем и сравнивается с хешем от вводимого пароля

Эл. цифровая подпись (ЭЦП), позволяет установить некую отметку, указывающую на принадлежность электронного сообщения конкретному автору. Алгоритмы цифровой подписи тесно связаны с асимметричными шифрами. Но шифрование производится не на открытом ключе, а на закрытом. В этом случае любой получатель, имеющий открытый ключ автора, может расшифровать дайджест и проверить его правильность.

- Межсетевое экранирование - служит для фильтрации исходящего и входящего трафика, циркулирующего между ЛВС и внешней сетью связи.