Механізми інформаційної безпеки
Перелічені об'єктивні фактори або мета інформаційної безпеки забезпечуються за рахунок виконання наступних механізмів та принципів:
політика – набір формальних (офіційно затверджених або традиційно складених) правил, які регламентують функціонування механізму інформаційної безпеки;
ідентифікація – визначення (розпізнавання) кожного учасника процесу інформаційної взаємодії перед тим, як до нього будуть застосовані всілякі поняття інформаційної безпеки;
аутентифікація – забезпечення впевненості в тому, що учасника процесу обміну інформацією ідентифіковано вірно, а саме дійсно є тим, чий ідентифікатор він пред’явив;
контроль доступу – створення та підтримка пакета правил, які визначають для кожного учасника процесу інформаційного обміну дозвіл на доступ до ресурсів та рівень цього доступу;
авторизація – формування профілю прав для конкретного учасника процесу інформаційного обміну ( аутентифікованого або анонімного) із пакета правил контролю доступу;
аудит та моніторинг – регулярне відслідкування подій, що проходять в процесі обміну інформацією з регістрацією та аналізом передбачених значимих або підозрілих подій. Поняття “аудит” і “моніторинг” при цьому декілька відрізняються одне від одного, оскільки перше припускає аналіз подій постфактум, а друге наближено до режиму реального часу;
реагування на інциденти - сукупність процедур та заходів, які виконуються при порушенні або підозрі на порушення інформаційної безпеки;
управління конфігурацією – створення та підтримання функціонування середовища інформаційного обміну в працездатному стані і в відповідності до вимог інформаційної безпеки;
управління користувачами – забезпечення умов роботи користувача в середовищі інформаційного обміну у відповідності до вимог інформаційної безпеки. У даному випадку під користувача підпадають всі, хто використовує задане інформаційне середовище, у тому числі і адміністратори;
управління ризиками – забезпечення відповідності можливих втрат від порушення інформаційної безпеки потужності захисних засобів (тобто затрати на їх побудову);
забезпечення стійкості – підтримка середовища інформаційного обміну в мінімально припустимому працездатному стані відповідно вимог інформаційної безпеки в умовах деструктивних зовнішніх або внутрішніх впливів.
Таким чином перелічені принципи за рахунок яких досягається мета інформаційної безпеки. В деяких джерелах перелічені принципи, наприклад, аутентифікація, переноситься до мети. Разом з тим, аутентифікація сама по собі не може бути метою інформаційної безпеки, оскільки вона є лише методом визначення учасника інформаційного обміну для того, щоб надалі визначити, яка, наприклад, політика у відношенні конфіденційності або доступності повинна бути застосована для конкретного учасника.
Інструментарій інформаційної безпеки
Основні засоби (інструменти) інформаційної безпеки:
персонал – люди, які будуть забезпечувати перетворення в життя інформаційної безпеки у всіх аспектах, тобто розробляти, впроваджувати, підтримувати, контролювати та виконувати;
нормативне забезпечення – документи, які створюють правовий простір для функціонування інформаційної безпеки;
моделі безпеки - схеми забезпечення інформаційної безпеки, закладені в конкретну інформаційну систему або середовище;
криптографія – методи та засоби перетворення інформації у вигляд, який ускладнює або робить неможливим несанкціоновані операції з нею (читання та/або модифікацію), разом з методами та засобами створення, зберігання та розповсюдження ключів – спеціальних інформаційних об’єктів, що реалізують ці санкції;
антивірусне забезпечення – засіб для виявлення та знищення зловредного кода (віруси, троянські програми тощо);
міжмережеві екрани – пристрої контролю доступу із однієї інформаційної мережі в іншу;
сканери безпеки – пристрої перевірки якості функціонування моделі безпеки для заданої конкретної інформаційної системи;
системи виявлення атак - пристрої моніторингу активності в інформаційному середовищі, іноді із можливістю прийняття самостійної участі у вказаній активній діяльності;
резервне копіювання – зберігання надлишкових копій інформаційних ресурсів на випадок їх можливої втрати або пошкодження;
дублювання (резервування) - створення альтернативних пристроїв, необхідних для функціонування інформаційного середовища, призначених для випадків виходу із ладу основних пристроїв;
аварійний план - низка заходів, призначених для перетворення в життя, в випадку, якщо подія проходить або пройшла не так, як це було визначено правилами інформаційної безпеки;
навчання користувачів - підготовка активних учасників інформаційного середовища для роботи в умовах відповідності вимогам інформаційної безпеки.