Билет №11

ОЗИ.Общая характеристика организационных методов и основные направления организационной защиты информации на объекте.

Защита информации – деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.

Организационные методы защиты информации включают меры, мероприятия и действия, которые должны осуществлять должностные лица в процессе работы с информацией для обеспечения заданного уровня её безопасности.

Организационные методы защиты информации тесно связаны с правовым регулированием в области безопасности информации. В соответствии с законами и нормативными актами в министерствах, ведомствах, на предприятиях для защиты информации создаются специальные службы безопасности. Эти службы подчиняются, как правило, руководству учреждения. Руководители служб организуют создание и функционирование систем защиты информации. На организационном уровне решаются следующие задачи обеспечения безопасности информации:

• организация работ по разработке системы защиты информации;

• ограничение доступа на объект и к ресурсам информации; разграничение доступа к ресурсам информации;

• планирование мероприятий; разработка документации;

• воспитание и обучение обслуживающего персонала и пользователей;

• сертификация средств защиты информации; лицензирование деятельности по защите информации;

• аттестация объектов защиты; совершенствование системы защиты информации;

• оценка эффективности функционирования системы защиты информации;

• контроль выполнения установленных правил работы в КС.

Таким образом, организационная защиты информации — это комплекс направлений и методов управленческого, ограничительного и технологического характера, определяющих основы и содержание системы защиты, побуждающих персонал соблюдать правила защиты конфиденциальной информации.

Организационные меры связаны с установлением режима конфиденциальности в организации. Элементы организационной защиты включают в себя: формирование и регламентацию деятельности службы безопасности; организацию составления и регулярного обновления перечней конфиденциальной информации и документации; регламентацию разрешительной системы доступа персонала к конфиденциальной информации; регламентацию направлений и методов работы с персоналом; ведение всех видов аналитической работы; регламентацию системы охраны организации и порядка приобретения, установки и эксплуатации инженерно-технических средств защиты информации и охраны; регламентацию действий персонала в экстремальных ситуациях.

Основные направления организационной защиты информации.

Система защиты информации — рациональная совокупность направлений, методов, средств и мероприятий, снижающих уязвимость информации и препятствующих несанкционированному доступу к информации, ее разглашению или утечке.

Собственники ИР, в том числе государственные учреждения, организации и предприятия, самостоятельно определяют необходимую степень защищенности ресурсов, способы и средства защиты, исходя из ценности информации.

Основной характеристикой системы является ее комплексность, т.е. наличие в ней обязательных элементов, охватывающих все направления защиты информации. Элементами такой системы являются: правовой, организационный, инженерно-технический, программно-аппаратный и криптографический.

Правовой элемент системы защиты информации основывается на нормах информационного права и предполагает юридическое закрепление взаимоотношений объекта и государства по поводу правомерности использования системы защиты информации, фирмы и персонала по поводу обязанности персонала соблюдать установленные собственником информации ограничительные и технологические меры защитного характера, а также ответственности персонала за нарушение порядка защиты информации. Этот элемент включает:

• наличие в организационных документах фирмы, правилах внутреннего трудового распорядка, контрактах, заключаемых с сотрудниками, в должностных и рабочих инструкциях положений и обязательств по защите конфиденциальной информации;

• формулирование и доведение до сведения всех сотрудников фирмы положения о правовой ответственности за разглашение конфиденциальной информации, несанкционированное уничтожение или фальсификацию документов;

Организационный элемент системы защиты информации содержит меры управленческого, ограничительного (режимного) и технологического характера, определяющие основы и содержание системы защиты, побуждающие персонал соблюдать правила защиты конфиденциальной информации фирмы. Эти меры связаны с установлением режима конфиденциальности в фирме. Элемент включает в себя регламентацию:

• формирования и организации деятельности службы безопасности и службы конфиденциальной документации;

• составления и регулярного обновления состава защищаемой информации фирмы;

• разрешительной системы разграничения доступа персонала к защищаемой информации;

• методов отбора персонала для работы с защищаемой информацией, методики обучения и инструктирования сотрудников;

• порядка защиты информации при проведении совещаний, заседаний, переговоров, приеме посетителей;

• пропускного режима на территории, в здании и помещениях фирмы, идентификации персонала и посетителей;

• системы охраны территории, здания, помещений, оборудования, транспорта и персонала фирмы.

Инженерно-технический элемент системы защиты информации предназначен для пассивного и активного противодействия средствам технической разведки и формирования рубежей охраны территории, здания, помещений и оборудования с помощью комплексов технических средств. Элемент включает в себя: сооружения физической защиты от проникновения посторонних лиц на территорию, в здание и помещения; средства защиты технических КУИ; средства обеспечения охраны территории, здания и помеще­ний; средства обнаружения приборов и устройств технической разведки.

Программно-аппаратный элемент системы защиты информации предназначен для защиты ценной информации, обрабатываемой и хранящейся в компьютерах, серверах и рабочих станциях локальных сетей и различных информационных системах.

• Криптографический элемент системы защиты информации предназначен для защиты конфиденциальной информации методами криптографии. Элемент включает: регламентацию использования различных криптографических методов в ЭВМ и локальных сетях; определение условий и методов криптографирования текста документа при передаче его по незащищенным каналам почтовой, телеграфной, телетайпной, факсимильной и электронной связи.

34. Криптографические стандарты. (Блочный алгоритм шифрования, криптографическая хэш-функция, алгоритмы цифровой подписи на основе мультипликативной группы конечного поля и группы точек эллиптической кривой).

ГОСТ 28147-89 — блочный шифр с 256-битным ключом и 32 циклами преобразования, оперирующий 64-битными блоками. Основа алгоритма шифра — Сеть Фейстеля. Базовым режимом шифрования по ГОСТ 28147-89 является режим простой замены (определены также более сложные режимы гаммирование, гаммирование с обратной связью и режим имитовставки (16 циклов)).

DES (Data Encryption Standard) — Симметричный алгоритм шифрования, в котором один ключ используется как для шифрования, так и для расшифрования данных. DES имеет блоки по 64 бит и 16 цикловую структуру сети Фейстеля, для шифрования использует ключ с длиной 56 бит. Алгоритм использует комбинацию нелинейных (S-блоки) и линейных (перестановки E, IP, IP-1) преобразований. Для DES рекомендовано несколько режимов: режим электронной кодовой книги (ECB — Electronic Code Book) , режим сцепления блоков (СВС — Cipher Block Chaining), режим обратной связи по шифротексту (CFB — Cipher Feed Back), режим обратной связи по выходу (OFB — Output Feed Back).

В основе AES лежит алгоритм шифрования Rijndael. Для AES длина блока входных данных и State(состояния) постоянна и равна 128 бит, а длина шифроключа K составляет 128, 192, или 256 бит. Алгоритм AES производит операции над двумерными массивами байт, называемыми state.

DEA является блочным алгоритмом шифрования данных. IDEA использует 128-битный ключ и 64-битный размер блока, открытый текст разбивается на блоки по 64 бит. В IDEA применяются 52 субключа, каждый длиной 16 бит. Исходный блок в IDEA делится на четыре группы по 16 бит.

ГОСТ Р34.11-94 — российский криптографический стандарт вычисления хэш-функции. Размер хэша: 256 бит. Размер блока входных данных: 256 бит. Использован метод последовательного (итерационного) сжатия (по существу модифицированной схемы Фейстеля).

MD5 (англ. Message Digest 5) — 128-битный алгоритм хеширования. Использован метод параллельного сжатия.

ГОСТ Р 34.10-2001 основан на эллиптических кривых. Его стойкость основывается на сложности вычисления дискретного логарифма в группе точек эллиптической кривой, а также на стойкости хэш-функции. После подписания сообщения М к нему дописывается цифровая подпись размером 512 бит и текстовое поле. Простое число p — модуль эллиптической кривой такой, что p > 2255

ГОСТ Р 34.10-94 основан на мультипликативной группы конечного поля. Простое число р - модуль конечного поля, 2⁵⁰⁹ < р < 2⁵¹² либо 2¹⁰²⁰ < р <2¹⁰²⁴.

Вопрос №39. Технология электронной цифровой подписи (ЭЦП).

ЭЦП – механизм защиты информации, который обеспечивает категорию апеллируемости, и как дополнительную, категорию аутентичности и целостности.

Порядок формирования ЭЦП

ЭЦП с полным восстановлением применяется для подписи коротких сообщений:

3. весь текст сообщения шифруется на закрытом ключе, передается вместе с сообщением;

4. абонент расшифровывает текст на открытом ключе и сравнивает его с открытом текстом.

ЭЦП без восстановления:

5. по тексту вычисляется хэш-функция;

6. результат вычисления шифруется на закрытом ключе, передается вместе с сообщением;

7. на приемном конце по принятому тексту вычисляется хэш-функция;

8. принятая хэш-функция расшифровывается на открытом ключе и сравнивается с вычисленной.

Стандарты

Действующие стандарты в РФ на 2007 год:

1 . Хэш-функция ГОСТ Р 34.11-98

2. ЭЦП ГОСТ Р 34.10-2002

3. Стандарт цифрового шифрования ГОСТ 27148-89

Зарубежные стандарты:

Стандарт цифрового шифрования США (S-DES, 3-DES)