6.2.2. Защита информации от преднамеренных действий

Административные меры защиты информации.

При разработке мер безопасности руководствуются принципом достаточности защиты,который гласит. что защита информации достаточна, если мероприятия для ее преодоления превышают ценность самой информации.

Процедура авторизации.

Надо разработать и внедрить в организации процедуры, которые определяют, кто из пользователей должен иметь доступ к той или иной информации или приложениям. Причем для получения доступа к информации, приложениям, паролям надо предусмотреть разрешение тех или иных начальников.

Должна быть гарантия доступа к данным и приложениям только авторизованных пользователей. Процедура входа в компьютер должна быть средством идентификации пользователя. Некоторые компьютеры стоит делать однопользовательскими.

Защита файлов. Для защиты файлов используются:

• внешние и внутренние метки файлов с указание типа информации, которую они содержат и требуемого уровня безопасности;

• ограничение доступа в архивы и хранилища файлов данных;

• использование организационных мер и программно-аппаратных средств для доступа к файлам только авторизованных пользователей.

Блокирование угрозы целостности информации. Информация должна быть авторизована, точна, полна, подвергаться проверкам на ошибки. При разработке в организации информационно-программного обеспечения нужно предусматривать проверку вводимых данных на:

• нахождение числовых данных и символов в допустимых диапазонах;

• корректность связей с другими данными, в других файлах;

• разумность, соответствие ожидаемым стандартным значениям;

Для защиты особо ценной информацииприменяются:

• предъявление чего-то, чем владеет только пользователь (например, магнитная карта);

• уникальные характеристики пользователя (голос, отпечатки пальцев, радужная оболочка глаза).

• сравнивают входные данные с административно установленными ограничениями на транзакции.

Меры защиты информации со стороны пользователя.

Пароль – самая распространенная защита. Это то, что в идеале знает только пользователь. При защите пароля:

• нельзя им делиться ни с кем;

• используют строчные и прописные буквы, цифры, знаки препинания;

• можно выбрать знаменитое изречение и взять оттуда каждую четвертую букву;

• еще лучше позволить компьютеру самому сгенерировать пароль;

• нельзя использовать очевидный пароль: ваш адрес, телефонный номер. Имя жены и т.д.;

• пароль должен содержать не менее 6-8 символов;

• пароль надо держать в памяти, не записывать на рабочем месте: столе, стене и пр.;

Предосторожности при работе:

• отключать неиспользуемые мониторы;

• закрывать комнаты, где находятся компьютеры;

• экраны разворачивать так, чтобы они были не видны со стороны окон, дверей, неконтролируемых мест помещения;

• использовать устройства, ограничивающие число неудачных попыток доступа, обеспечивающих обратный звонок при доступе к компьютеру по телефону;

• отключать систему в нерабочее время (если это возможно).

Можно блокировать компьютер: нажать Ctrl+Alt+Delete, затем кнопку «Блокировка». Разблокировать компьютер можно только при введении пароля. Можно настроить автоматическую блокировку, если компьютер простаивает заданное время.

Полезно сделать так, чтобы после входа пользователя система сообщала бы ему время последнего сеанса и число неудачных попыток установления сеанса после этого.