1.3. Основні засоби і методи захисту комп'ютерної інформації

Захист інформації - сукупність організаційно-технічних заходів і правових норм для запобігання заподіянню шкоди інтересам власника інформації чи автоматизованій системі та осіб, які користуються інформацією (ч.4 ст.1 Закону України "Про захист інформації в автоматизованих системах") [12].

Виходячи з того, що комп'ютерна інформація може піддаватися фізичному знищенню, несанкціонованій модифікації, копіюванню, блокуванню, а також може бути отримана особами, для яких вона не призначалася, чільне місце займає проблема її захисту [13]. Система захисту інформації має бути адекватною потенційним загрозам. Тому, при плануванні захисту слід мати уяву про те, кого і яка саме інформація може цікавити, яка її цінність для вас і на які фінансові жертви заради неї здатен піти зловмисник. Важливу роль у цьому відіграють адміністративні (або організаційні) заходи, такі, наприклад, як: регулярна зміна паролів і ключів, суворий порядок їх зберігання, аналіз журналів реєстрації подій у системі, правильний розподіл повноважень користувачів та багато іншого. 18

________Поняття і сутність комп'ютерної інформації, основні засоби і методи її захисту

Людина, яка відповідає за всі ці дії, має бути не лише відданим співробітником, але й висококваліфікованим фахівцем, як в області технічних засобів захисту, так і в області обчислювальних засобів взагалі.

На державному рівні для гарантування інформаційної безпеки вживаються наступні заходи: здійснюється формування і реалізація єдиної державної політики щодо забезпечення захисту національних інтересів від загроз в інформаційній сфері; встановлюється баланс між потребою у вільному обміні інформацією та допустимими обмеженнями її розповсюдження; вдосконалюється законодавство України в області забезпечення інформаційної безпеки; координується діяльність органів державної влади щодо забезпечення безпеки в інформаційному середовищі; захищаються державні інформаційні ресурси на оборонних підприємствах; розвиваються вітчизняні телекомунікаційні й інформаційні засоби; вдосконалюється інформаційна структура розвитку інформаційних технологій; уніфікуються засоби пошуку, збирання, зберігання, обробки та аналізу інформації для входження до глобальної інформаційної інфраструктури.

Під захистом комп'ютерної інформації розуміється система основних ідей, необхідних і достатніх для однозначного розуміння сутності проблеми захисту і цілеспрямованого підходу до раціонального її вирішення.

Захист комп'ютерної інформації здійснюється за наступними напрямками:

• деталізація діючого кримінального законодавства і вдосконалення його в даному напрямку;

• вдосконалення форм діяльності і підготовки представників органів правопорядку, в тому числі створення спеціальних підрозділів для виконання цієї роботи;

• посилення заходів безпеки, спрямованих проти можливих зловживань, і пошуку досконалих засобів захисту комп'ютерної

19

________Поняття і сутність комп'ютерної інформації, основні засоби і методи її захисту_________

техніки та інформаційних мереж.

За своїм змістом ці напрямки діяльності умовно об'єднують у правові, організаційні та технічні заходи захисту комп'ютерної інформації.

можна досягти лише за умови використання всіх означених заходів, причому, всі вони однаково важливі і, тільки доповнюючи один одного, утворюють цілеспрямовану систему захисту.

Одним з найважливіших питань є наявність правової бази для захисту комп’ютерної інформації. Правові засоби захисту інформації є комплексом цивільно-правових і кримінально-правових норм, які регулюють суспільні відносини у сфері використання комп'ютерної інформації і встановлюють відповідальність за несанкціоноване використання даних програмних засобів.

До правових заходів слід віднести:

• розробку норм, що встановлюють відповідальність за комп'ютерні злочини;

• захист авторських прав програмістів;

• вдосконалення кримінального і цивільного законодавства, а також судочинства.

Останнім часом обговорюються питання про виділення самостійної галузі права - комп'ютерного, яке б регулювало й охороняло суспільні відносини в сфері обігу комп'ютерної інформації.

Організаційні заходи захисту інформації та засобів комп'ютерної техніки включають у себе сукупність організаційних заходів з питань підбору, перевірки й інструктажу персоналу, який бере участь у всіх стадіях інформаційного процесу, дотримання режиму секретності при функціонуванні комп'ютерних систем забезпечення режиму фізичної охорони об'єктів. Багатьма спеціалістами [14], котрі займаються питаннями безпеки комп'ютерних систем, організаційні заходи розглядаються як

20

________Поняття і сутність комп'ютерної інформації, основні засоби і методи її захисту_________

найбільш важливі й ефективні з усіх видів захисту. Це пов'язане з тим, що вони є фундаментом, на якому будується вся система захисту. Організаційне забезпечення - це регламентація виробничої діяльності та взаємовідносин виконавців на нормативно-правовій основі таким чином, що розголошення, витік і несанкціонований доступ до конфіденційної інформації стають неможливими або істотно утруднюються за рахунок проведення організаційних заходів

[15].

До організаційних заходів відносять:

• охорону обчислювального центру;

• ретельний підбір персоналу, виключення випадків ведення особливо важливих робіт лише одним виконавцем;

• наявність плану відновлення працездатності центру після виходу його з ладу;

• організацію обслуговування обчислювального центру сторонньою структурою або особами, не зацікавленими в приховуванні фактів порушення роботи центру;

• універсальність засобів захисту від усіх користувачів (до вищого керівництва включно);

• покладення відповідальності на осіб, які мають гарантувати безпеку центру, вибір місця розташування центру і т.д.

Організаційно-адміністративні заходи передбачають:

• зведення до мінімуму можливого витоку інформації через персонал (організація заходів щодо підбору і розстановки кадрів, створення сприятливого клімату в колективі і т.д.);

• організацію спеціального діловодства і документообігу для

конфіденційної інформації, що встановлюють порядок підготовки,

■ використання, зберігання, знищення і облік документованої

інформації на будь-яких видах носіїв;

• виділення спеціальних захищених приміщень для розміщення засобів обчислювальної техніки і зв'язку, а також зберігання носіїв інформації;

21

________Поняття і сутність комп'ютерної інформації, основні засоби і методи її захисту_________

• виділення спеціальних засобів комп'ютерної техніки для обробки конфіденційної інформації;

• організацію зберігання конфіденційної інформації на промаркованих відчужуваних носіях у спеціально відведених для цієї мети місцях;

• використання в роботі сертифікованих технічних і програмних засобів, встановлених в атестованих приміщеннях;

• організацію регламентованого доступу користувачів до роботи з засобами комп'ютерної техніки, зв'язку і до сховища (архіву) носіїв конфіденційної інформації;

• установлення заборони на використання відкритих каналів зв'язку для передачі конфіденційної інформації;

- контроль за дотриманням вимог щодо захисту конфіденційної інформації.

Для будь-якого підприємства, організації, закладу, фірми, компанії існують два напрямки, якими може здійснюватися доступ до засобів комп'ютерної техніки.

У першому випадку організація, підприємство, заклад, фірма, компанія купує власний комп'ютер, який використовує для вирішення своїх завдань. При цьому всі питання комп'ютерної безпеки певною мірою контролюються.

У другому - підприємство, організація, заклад стає користувачем якої-небудь розгалуженої колективної комп'ютерної мережі, в результаті чого відбувається об'єднання їх інформаційних ресурсів, і, як наслідок, у багато разів збільшується й ризик неправомірного доступу до комп'ютерної інформації. Аби цього не сталося, необхідно реалізувати комплекс організаційних заходів, які мають бути складовими плану захисту комп'ютерної інформації [16]. В ньому зарані визначаються:

1) коло службових інтересів осіб, які мають доступ до засобів комп'ютерної техніки, перелік інформації, до якої вони допущені, а також вид дозволу на доступ залежно від безпосередніх

22

________Поняття і сутність комп'ютерної інформації, основні засоби і методи її захисту_________

функціональних обов'язків;

2) особи, відповідальні за збереження і санкціонування доступу до інформаційних ресурсів;

3. контроль за якістю захисту інформації (шляхом проведення регламентних, робіт як особою, відповідальною за безпеку, так і з залученням компетентних спеціалістів з, інших організацій);

4. перелік інформації, диференційованої відповідно до її важливості і системи заходів захисту;

5) порядок доступу до комп'ютерної інформації, а також порядок її охорони та знищення;

6) охорона (фізична) комп'ютерної техніки, приміщень і комунікацій від проникнення осіб, які не мають доступу до інформації тощо.

Крім правових та організаційних засобів, для захисту комп'ютерної інформації мають використовуватися заходи технічного характеру. Технічні методи захисту комп'ютерних засобів [17], залежно від характеру і специфіки об'єкта, що знаходиться під охороною, розподіляють на три основні групи, а саме: апаратні, програмні, комплексні [18].

Апаратні методи призначені для захисту апаратних засобів і засобів зв'язку комп'ютерної техніки від незаконного доступу.

Апаратні засоби і методи захисту реалізуються шляхом застосування різних технічних пристроїв спеціального призначення. До їх числа належать: 1) джерела безперебійного живлення апаратури, а також різноманітні пристрої стабілізації, котрі захищають від різких стрибкоподібних перепадів напруги і пікових навантажень у мережі електроживлення (наприклад, мережний фільтр PILOT);

2) пристрої екранування апаратури, ліній провідного зв'язку і приміщень, в яких знаходиться комп'ютерна техніка (наприклад, використання різноманітних широкополосних електромагнітних генераторів - електричних і радіоелектронних генераторів шуму, що

23

________Поняття і сутність комп'ютерної інформації, основні засоби і методи її захисту_________

створюють електромагнітний шумовий бар'єр, кодуючих пристроїв (скремблерів), котрі використовуються в цифровому каналі передачі даних);

3) пристрої з'ясування і фіксації номера викликаючого абонента;

4) пристрої, що забезпечують лише санкціонований фізичний доступ користувача до об'єктів засобів комп'ютерної техніки, які перебувають під охороною (шифрозамки, пристрої ідентифікації особистості і т. д., і т. п.);

5) пристрої ідентифікації і фіксації терміналів і користувачів при спробах несанкціонованого доступу до комп'ютерної мережі; 6) засоби охоронно-пожежної сигналізації;

7) засоби захисту портів комп'ютерної техніки. Останні найефективніші для захисту комп'ютерних мереж від несанкціонованого доступу до них. Ці засоби на сьогодні широко розповсюджені і користуються достатньою популярністю. Вони являють собою комп'ютери, які "вартують" вхід у головний комп'ютер. Даний пристрій складається з мікропроцесора, який ідентифікує користувача і приймає рішення про допуск до комп'ютерної системи, а також пристрою пам'яті, що містить зареєстровані коди користувачів, які мають право на допуск.

Кажучи про засоби захисту персональних комп'ютерів, необхідно назвати ключі блокування, засоби впізнавання користувачів. Зазначимо, що ефективність захисту зростає в разі використання сукупності технічних методів впізнання користувачів і паролів доступу. Своєрідним ключем блокування може бути спеціальний зовнішній пристрій, що знаходиться у користувача, приймальна частина якого монтується безпосередньо в персональний комп'ютер і за рахунок блокування забезпечує доступ до ресурсів персонального комп'ютера. Ключовим блокуючим пристроєм має бути як засіб ідентифікації особи за фізичними параметрами, так і засіб автентифікації.

24

_______Поняття і сутність комп'ютерної інформації, основні засоби і методи її захисту_________

Незаконне копіювання даних з машинних носіїв або безпосередньо з оперативного запам'ятовуючого пристрою відвертається засобом спеціального кодування інформації, що обробляється і зберігається. Кодування може відбуватися при допомозі відповідних підпрограм і додаткового кодуючого обладнання. В такому разі кодування використовується як засіб захисту і безпеки даних не тільки при зберіганні і обробці інформації в персональному комп'ютері, але й при передачі даних з одного обчислювального комплексу до іншого.

Практичне використання технічних засобів захисту даних показало, що третя частина програмного забезпечення для персональних комп'ютерів не має захисту інформації. В решті випадків ці засоби обмежуються, в основному, програмним контролем автентичності користувача. Для персональних комп'ютерів переважно використовується попередній контроль у вигляді простої вимоги паролю (90%).

Програмні методи захисту призначені, по-перше, для безпосереднього захисту машинної інформації, програмних засобів, комп'ютерної техніки від несанкціонованого ознайомлення з нею користувачів, які не мають допуску. По-друге, для забезпечення належного контролю за правильністю здійснення процесів її введення, виведення, обробки, запису, стирання, читання і передачі інформації каналами зв'язку.

Програмні методи захисту інформації спеціалісти вважають одним з перспективних напрямків в комп'ютерних системах колективного користування. Вони розподіляються на методи захисту: масивів інформації, програм користувачів, операційних систем, окремих підсистем комп'ютера, обчислювальних мереж ЕОМ. Наприклад, одним із шляхів гарантування безпеки ЕОМ є вдосконалення системи автоматичного контролю істинності команд, що до них вводяться, при допомозі самих машин. Так, якщо програмою передбачене виконання тільки 100 перерахувань за

25

________Поняття і сутність комп'ютерної інформації, основні засоби і методи її захисту_________

годину, то при періодичній перевірці можна легко виявити збільшення їх кількості. Таким же способом з'ясовується і незаконне збільшення розмірів і кількості виплат одному й тому ж клієнтові.

Забезпечення захисту комп'ютерної інформації має бути сукупністю різних заходів, що здійснюються як під час розробки, так і на всіх етапах експлуатації системи автоматизованої обробки даних.

За оцінками зарубіжних спеціалістів, створення системи захисту інформації в невеликому банківському чи іншому фінансовому закладі, обладнаному ЕОМ, складає 5 -10 тис. доларів. Для великого фінансового закладу, обслуговуючого до 80 тис. користувачів з 30 тис. терміналів, вартість апаратних і програмних засобів захисту складає 15 млн.дол.

Захист інформації на рівні даних і керуючих команд направлений на:

1. захист інформації при її передачі каналами зв'язку "користувач - комп'ютер", "комп'ютер - комп'ютер";

2. забезпечення доступу тільки до дозволених даних, що зберігаються в ЕОМ, і виконання лише допустимих операцій над ними.

Для захисту інформації при її передачі, зазвичай, використовують різні способи шифрування даних перед їх введенням до каналу зв'язку або на фізичний носій з наступною розшифровкою, в тому числі криптографічні. Як показує практика, такі способи шифрування дозволяють досить надійно приховати повідомлення.

Крім використання криптоалгоритмів існує ще цілий набір програмних засобів, дозволяючих шифрувати інформацію. До них, зокрема, можна віднести й загальновідому програму Diskreet з програмного пакета Norton Utilities. Вона дозволяє, крім шифрування магнітних носіїв інформації, виконувати функцію блокування клавіатури й екрану ЕОМ (погашення відеозображення інформації), а також передбачає захист інформаційних об'єктів на 26

________Поняття і сутність комп'ютерної інформації, основні засоби і методи її захисту_________

рівні файлів або віртуальних (логічних) дисків вінчестера. Якщо така програма має місце, то відновити нормальну роботу на ЕОМ можна лише після введення паролю.

Всі програми захисту, які здійснюють управління доступом до машинної інформації, функціонують за принципом відповіді на запитання: хто може здійснювати доступ до комп'ютерної інформації і які операції з цією інформацією вони можуть виконувати? Об'єктом охорони, доступ до якого контролюється, може виступати файл, запис у файлі або окреме поле запису файлу, а фактором, що впливає на прийняття рішення про доступ - зовнішня подія, значення даних, стан комп'ютерної системи, повноваження користувача, причина звертання, семантичні стосунки між даними. Виходячи з цього, доступ може бути визначений як:

• загальний (котрий надається кожному користувачеві безумовно);

• залежний від події (котрий керується подією). Передбачає блокування звертання користувача у певні інтервали часу або при звертанні до комп'ютерної системи з певного терміналу;

• залежний від змісту даних (наприклад, конкретному користувачеві заборонено знайомитися з тими чи іншими даними);

• залежний від динамічного стану комп'ютерної системи (наприклад, може бути заборонений доступ до файла, якщо носій машинної інформації не перебуває в стані "тільки читання" або закритий логічний диск, що містить цей файл);

• частково-залежний (наприклад, користувачеві дозволений доступ лише один чи певна кількість разів). Це дає можливість уникнути можливості динамічного управління подіями;

• залежний від певного віку, імені користувача (наприклад, користувач має бути старшим 18 років);

• залежний від повноважень (наприклад, може бути дозволено "тільки читання", "читання і запис", "тільки виконання");

- залежний від дозволу (за паролем або іншим

27

________Поняття і сутність комп'ютерної інформації, основні засоби і методи її захисту_________

ідентифікатором - карткою, значком і т. д.).

Засоби реєстрації, як і засоби контролю доступу до інформаційних ресурсів, також належать до ефективних засобів протидії спробам несанкціонованого доступу до інформації. Однак, якщо засоби контролю доступу призначені безпосередньо для захисту, то завдання засобів реєстрації полягає у виявленні і фіксації вже скоєних дій злочинця або спроб їх скоєння.

На сьогодні спеціалістами виділяється чотири основних способи ідентифікації особистості користувача, а саме:

1. за предметом, яким володіє особа;

2. за паролем, особистим ідентифікаційним кодом, який вводиться в ЕОМ з клавіатури;

3. за фізичними (антропометричними) характеристиками особи, індивідуально властивим лише їй;

4) за електронним цифровим підписом (ЕЦП), який базується на використанні криптографічної системи з відкритим ключем.

Останні два способи вважаються найперспективнішими і найнадійнішими в плані достовірності ідентифікації особи. До них належать всі існуючі біометричні системи санкціонованого доступу, що ґрунтуються на ідентифікації особи за такими характеристиками, як голос, розмір долоні, відбитки пальців, сітківка ока, почерк, фотознімок і т. п.

Ідентифікація здійснюється і за електронним цифровим підписом, що дозволяє:

• гарантувати авторство повідомлення;

• реалізувати юридичне засвідчення підпису і автентичність документа, переданого каналами радіоелектронних комунікацій;

• підвищити захищеність даних та інформації що передаються каналами зв'язку.

Електронний підпис дає можливість не лише гарантувати автентичність документа щодо його авторства, але й встановити цілісність інформації, яку він містить, а також зафіксувати спроби її

28

_____Поняття і сутність комп'ютерної інформації, основні засоби і методи її захисту_________

перекручування. Переданий отримувачеві підписаний документ складається з тексту, електронного підпису і сертифіката користувача. Останній містить у собі гарантовано справжні дані користувача, в тому числі його ідентифікаційне ім'я і відкритий ключ розшифровки для перевірки підпису отримувачем або третьою особою, яка здійснила реєстрацію сертифіката.

До програмних методів захисту відноситься й захист бази даних, який включає в себе захист від будь-якої несанкціонованої або випадкової їх зміни або знищення. Додатковою метою є захист від несанкціонованого зняття інформації всередині бази даних. В зв'язку з тим, що функціональне призначення бази даних - забезпечення можливості колективного доступу до різних файлів, який здійснюється і в режимі віддаленого доступу, то, значить, загострюється питання захисту бази даних від несанкціонованих користувачів.

Для забезпечення реального захисту бази даних необхідно:

• точно ідентифікувати всіх користувачів;

• забезпечити можливість перевірки повноважень користувача на певні операції;

• забезпечити відновлюваність і перевірку всіх компонентів системи бази даних;

• забезпечити захист баз даних від викрадення, встановити надійний контроль доступу.

Захист системи управління базами даних, поряд з переліченим, вимагає встановлення прав і привілеїв користувача на кожну захищену частину бази даних. Правила доступу мають визначати, які набори операцій можуть бути надані кожному користувачеві:

• операція зчитування інформації;

• операція введення інформації;

• операція стирання інформації;

• операція модифікації інформації.

29

________Поняття і сутність комп'ютерної інформації, основні засоби і методи її захисту_________

Методи фізичного захисту даних. Одним з ефективних способів збереження конфіденційності інформації є її кодування (шифрування). Робиться це при допомозі спеціальних криптографічних програм, які кодують і/або декодують вміст файлів з допомогою шифру. Однак, шифрувати абсолютно всю інформацію - справа вельми трудомістка й дорога. В зашифрованому вигляді інформація, в основному, зберігається - шифруються архіви, бази даних. Але при роботі з інформаційними сховищами на певному етапі відбувається дешифрування даних і передача інформації у відкритому вигляді. В цей момент можливі збої обчислювальних машин можуть спричинити серйозні наслідки. Розглянемо найвразливіші місця обчислювальних систем.

Головною "ахіллесовою п'ятою" більшості локальних обчислювальних мереж залишається кабельна система: за даними різних досліджень, саме кабельна система є причиною більше, ніж половини всіх відмов мережі. Найкращим є використання так званих структурованих кабельних систем. Це означає, що кабельну систему можна розділити на декілька рівнів залежно від призначення і місця розташування компонентів кабельної системи.

Системи електропостачання. Надійним засобом попередження втрат інформації при короткочасному вимиканні електроенергії є встановлення джерел безперебійного живлення. Різні за своїми технічними і споживчими характеристиками, подібні пристрої можуть забезпечити живлення усієї локальної мережі або окремого комп'ютера протягом певного проміжку часу, достатнього для відновлення подачі напруги або для збереження інформації на магнітних носіях. Більшість джерел безперебійного живлення одночасно виконують функції і стабілізатора напруги, що є додатковим захистом від стрибків напруги в мережі. Багато сучасних сітьових пристроїв - сервери, концентратори, мости і т.д. - обладнані власними дубльованими системами електроживлення.

ЗО

________Поняття і сутність комп'ютерної інформації, основні засоби і методи її захисту_________

Системи архівації і дублювання інформації. Організація надійної й ефективної системи архівації даних є одним з найважливіших завдань щодо забезпечення збереження інформації в мережі. У великих корпоративних мережах доцільно організувати виділений спеціалізований архіваційний сервер. Збереження найціннішої архівної інформації має бути організоване в спеціальному приміщенні, яке перебуває під охороною. Спеціалісти рекомендують, на випадок пожежі або іншого стихійного лиха, зберігати дублікати архівів найцінніших даних в іншому приміщенні.

Захист від стихійного лиха. Основний і найбільш розповсюджений метод захисту інформації й обладнання від різних стихійних потрясінь - пожеж, землетрусів, паводків і т.д. - полягає у зберіганні архівних копій інформації або в розміщенні мережних пристроїв, наприклад, серверів баз даних, в спеціальних захищених приміщеннях, розташованих, як правило, в інших будівлях, чи, навіть, в іншому районі міста, чи в іншому місті.

Слід зазначити, що надійний захист комп'ютерної інформації може бути забезпечений лише в разі застосування комплексних засобів захисту. Комплексність полягає у використанні апаратних і програмних засобів захисту. Тільки за таких умов вдається досягти потрібного рівня захищеності як самої комп'ютерної техніки, так і інформації, що в ній знаходиться.

Таким чином, ми розглянули технічні й організаційні питання, що стосуються поняття і сутності комп'ютерної інформації, а також основні способи, засоби й методи її зберігання, передачі та захисту. Маємо надію, що викладене дозволить дізнавачам, слідчим висувати найбільш обгрунтовані перевірочні і слідчі версії, вибирати оптимальні шляхи у встановленні осіб, які могли б бути причетними (виходячи з конкретного способу) до незаконного доступу до комп’ютерної інформації або знати про його вчинення.

Комплекс викладених питань буде базовим і для правильного вибору слідчих дій, формулювання обгрунтованих і цілеспрямованих

31

Понятті» і сутність комп'ютернім інформації, режимі засоби і методи ц захисту

питань для експертних досліджень при розслідуванні незаконного втручання в роботу електронно-обчислювальних машин (комп'ютерів), систем та комп'ютерних мереж.