42. Защита информации в консалтинговом сервисе.

Главной задачей любой организации является не только извлечение прибыли от своей деятельности, но и обеспечение информационной безопасности этой деятельности.

Под информационными отношениями понимают отношения по поводу получения, хранения, обработки, распределения и использования информации, которые возникают между субъектами производственно-хозяйственных отношений при выполнении экономических задач.

Субъектами информационных отношения называют: государственные учреждения; общественные или коммерческие организации (объединения) и предприятия (юрид.лица); отдельных граждан (физические лица).

Субъекты информационных отношений смогут успешно осуществлять свою деятельность, если они обеспечены: 1) своевременным доступом (за приемлемое время) необходимой информации; 2) конфиденциальностью всей информации или определенной ее части; 3) достоверностью, полнотой, точностью, адекватность, целостностью информации; 4) защитой информации от навязывания ложной, незаконной информации (дезинформации); 5) защитой авторских прав, прав собственника информации; 6) возможностью соблюдения законных прав и правилами обращения с информацией с информацией, а также если происходит разграничение законных прав других субъектов информационных отношений; 7) контроль и управление процессами обработки и передачи информации.

По уровню важности информация распределяется след.образом: - жизненно важная (незаменимая информация, наличие которой необходимо для функционирования организации); - важная (инфо, которая может быть заменена или восстановлена, но процесс восстановления очень сложен и связан с большими затратами); - полезная (информация, которую трудно восстановить, однако организация может функционировать и без нее); - несущественная (информация, которая больше не нужна организации).

Для удовлетворения законных прав и перечисленных выше интересов субъектов (обеспечение их информационной безопасности) необходимо постоянно поддерживать следующие свойства информации и систем ее обработки: а) доступность информации (обеспечивать своевременный доступ субъектов к интересующим их данным); б) целостность информации (неискаженность вида информации, т.е. неизменность состояния); в) конфиденциальность информации (защита законных интересов субъектов информационных отношений).

Цель защиты информации – противодействие угрозам безопасности информации.

Угроза безопасности информации – действие или событие, которое может привести к разрушению, искажению или несанкционированному использованию информационных ресурсов (т.е. утечке, модификации и утрате), включая хранимую, передаваемую и обрабатываемую информацию, а также программные и аппаратные средства. Для обеспечения безопасности информации необходима защита всех сопутствующих компонентов информационных отношений (т.е. компонентов ИТ и автоматизированных систем, используемых субъектами информационных отношений): технических средств, программных средств, информации, персонала.

С этой целью в организациях на соответствующих объектах строится система защиты.

Система защиты – это совокупность специальных мер правового и административного характера, организационных мероприятий, физических и технических (программно-аппаратных) средств защиты, а также специального персонала, предназначенных для обеспечения безопасности информации, информационных технологий и автоматизированной системы в целом.

Для построения эффективной системы защиты консультанту необходимо: - определить угрозы безопасности информации в организации; - выявить возможные каналы утечки информации и несанкционированного доступа к защищаемым данным; - построить модель потенциального нарушителя; - выбрать соответствующие меры, методы, механизмы и средства защиты; - построить замкнутую, комплексную, эффективную систему защиты, проектирование которой начинается параллельно с проектированием автоматизированных систем и технологий.

Создание системы защиты информации включает две взаимосвязанных задачи: 1) разработка системы защиты информации (ее синтез);

2) оценка разработанной системы защиты информации на основе анализа ее технических характеристик с целью установления, удовлетворяет ли система защиты информации комплексу требований к данным системам.

Основу механизма защиты информации составляют следующие методы: 1) препятствие – метод физического преграждения злоумышленнику пути к защищаемой информации);

2) управление доступом. Включает такие функции защиты, как: - идентификация пользователей, персонала и ресурсов системы; - опознание объекта или субъекта по предъявленному им идентификатору; - проверка полномочий; - разрешение и создание условий работы в пределах установленного регламента; - регистрация обращений к защищаемым ресурсам; - регистрация при попытках несанкционированных действий;

3) маскировка – метод защиты информации путем ее криптографического закрытия;

4) регламентация – метод защиты информации, при котором возможности несанкционированного доступа сводятся к минимуму;

5) принуждение – вынуждение к соблюдению правил обработки, передачи и использования информации, чтобы не подвергаться материальной, административной или уголовной ответственного;

6) побуждение – побуждает не нарушать установленный порядок за счет соблюдения сложившихся моральных и этических норм.

Основными направлениями обеспечения информации является: 1) нормативно-правовое – это совокупность законодательных актов, нормативно-правовых документов, положений, инструкций, выполнение которых является обязательным;

2) инженерно-техническое – то есть совокупность средств, включающих в себя: а) физические средства; б) аппаратные средства; в) программные средства; г) криптографические средства.

3) организационные направления – система организационных мероприятий, четкая организация системы производства и делопроизводства.

Вся работа консультанта подчиняется определенному алгоритму и проходит поэтапно: - предпроектная; - проектная; - послепроектная стадия.