Progress-servis55.ru

Новости из мира ПК
2 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Цели и задачи технической защиты информации

Цели и задачи инженерно-технической защиты информации (ИТЗИ)

ИТЗИсовокупность методов и средств, основывающихся на исполнении: инж.ср-тв и конструкций; программных ср-тв; криптографических ср-тв. Принципы: скрытность; гибкость (подстраивание системы под цели и характер угроз); многозональность и многорубежность (закл. в дифференцированном уровне защиты для различных объектов защиты). Методы: скрытие; охрана и ограничение доступа к ОЗ. Методы скрытия: информационное (маскировка и дезинформация) и энергетическое скрытие. Инженерно-техническая зашита информации включает комплекс органи­зационных и технических мер по обеспечению безопасности информации техническими средствами. Она решает следующие задачи:

1. Предотвращение проникновения злоумышленника к источникам ин­формации с целью ее уничтожения, хищения или изменения.

2. Защита носителей информации от уничтожения в результате воздей­ствия стихийных сил и прежде всего, пожара и воды (пены) при его тушении.

3. Предотвращение утечки информации по различным техническим каналам.

Для обеспечения эффективной инженерно-тех­нической защиты информации необходимо определить:

— что защищать техническими средствами в конкретной организации, зда­нии, помещении:

— каким угрозам подвергается защищаемая информация со стороны зло­умышленников и их технических средств;

— какие способы и средства целесообразно применять для обеспечения
безопасности информации с учетом как величины угрозы, так и затратна ее предотвращение;

— как организовать и реализовать техническую защиту информации в ор­ганизации.

2. Защита информации от утечки, непреднамеренного и несанкционированного воздей­ствия на нее.

ЗИ от утечки — деятельность по предотвращению неконтролируемого распространения защищаемой информации, от ее разглашения, НСД к защищаемой информации и от получения защищаемой информации (иностр) разведками. ЗИ от НСВ -деятельность по предотвращению воздействия на защищаемую информацию с нарушением установленных прав и/или правил на изменение инф, приводящего к искажению, уничтожению, копированию, блокированию доступа к защищаемой информации, а также к утрате, уничтожению или сбою функционирования носителя информации. ЗИ от НПВ — деятельность по предотвращению воздействия на защищаемую информацию от ошибок пользователя инф, сбоя тех. и программных ср-тв информационных систем, а также природных явлений или иных не целенаправленных на изменение инф.воздействий, связанных с функционированием тех.ср-тв, систем или с деятельностью людей, приводящих к искажению, уничтожению, копированию, блокированию доступа к инф., а также к утрате, уничтожению или сбою функционирования носителя информации.

3. Объект защиты — конфиденциальная информация, носитель информации, информа­ционные процессы.

Носитель инф. – мат.объект, в т.ч. физическое поле, в котором инф.находит свое отображение в виде сигналов (символов, образов, процессов, тех.решений). Защищаемая инф. – инф., являющиеся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устан-ми собственником инф.

Объект защиты — информация или носитель информации или информационный процесс, в отношении которых необходимо обеспечивать защиту в соответствии с поставленной целью защиты информации.

Конфиденциальная информация — документированная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации;

Не нашли то, что искали? Воспользуйтесь поиском:

Цели, задачи и ресурсы системы защиты информации

Delphi site: daily Delphi-news, documentation, articles, review, interview, computer humor.

Формулирование целей и задач защиты информации, как любой другой деятельности, представляет начальный и значимый этап обеспечения безопасности информации. Важность этого этапа часто недооценивается и ограничивается целями и задачами, напоминающими лозунги. В то же время специалисты в области системного анализа считают, что от четкости и конкретности целей и постановок задач во многом зависит успех в их достижении и решении. Провал многих, в принципе полезных, начинаний обусловлен именно неопределенностью и расплывчатостью целей и задач, из которых не ясно, кто, что и за счет какого ресурса предполагает решать продекларированные задачи.

Цели защиты информации сформулированы в ст. 20 Закона РФ «Об информации, информатизации и защите информации»:

• предотвращение утечки, хищения, искажения, подделки информации;

• предотвращение угроз безопасности личности, общества, государства;

• предотвращение несанкционированных действий по уничтожению, модификации, копированию, блокированию информации, предотвращение других форм незаконного вмешательства в ин формационные ресурсы и информационные системы, обеспечение правового режима как объекта собственности;

• защита конституционных прав граждан по сохранению личной тайны, конфиденциальности персональных данных, имеющихся в информационных системах;

• сохранение государственной тайны, конфиденциальности документированной информации в соответствии с законодательством;

• обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологии и средств их обеспечения.

В общем виде цель защиты информации определяется как обеспечение безопасности информации, содержащей государственную или иные тайны. Но такая постановка цели содержит неопределенные понятия: информация и безопасность.

Информация — первичное понятие, используемое в понятийном аппарате информационной безопасности. Предпринимаются многочисленные попытки дать корректное определение понятию «информация», но список попыток пока не закрыт. Учитывая, что любой материальный объект или физическое явление отображаются в виде совокупности признаков (свойств), а человек, кроме того, на основе этих признаков формирует их модели или образы, то информацию можно представить как отображение реального или виртуального мира на языке признаков материальных объектов или абстрактных символов. Более подробно понятие «информация» рассмотрено в разд. II.

Чем больше ресурс на защиту информации, тем более высокий уровень безопасности информации может он обеспечить. В принципе, при неограниченном ресурсе можно получить сколь угодно малую вероятность реализации угрозы. Если обозначить через Си и Ру цену информации и вероятность реализации угрозы соответственно, то ущерб от реализации угрозы можно оценить величиной Су = СиРу. Величину ущерба можно рассматривать как возможные (потенциальные) косвенные расходы, а ресурс — как прямые (учитываемые бухгалтерией) расходы Спр на защиту информации. Следовательно, владелец (пользователь) информации объективно вынужден нести расходы на нее, равные сумме прямых и косвенных расходов: Сри = Спр + Скр. Между этими слагаемыми существует тесная связь — косвенные расходы обратно пропорциональны прямым расходам. Эта связь позволяет оценить на качественном уровне зависимость суммарных расходов на информацию от прямых расходов, качественно отображенной на рис. 1.2.

Читать еще:  Защита информации в базах данных

Рис. 1.2. Зависимость суммарных расходов на информацию от прямых расходов

Рост суммарных расходов на информацию при малых прямых расходах вызван тем обстоятельством, что эффект защиты, начинает проявляться, когда прямые расходы превышают некоторую критическую массу. Например, для получения эффекта от средства защиты необходимо предварительно вложить средства в его покупку и установку.

Из этого рисунка следует, что при некоторых прямых расходах наблюдается область с минимальными суммарными расходами на информацию. Эта область является областью рациональной защиты информации.

Задачи инженерно-технической защиты, как любые иные задачи, — не микроцели, как часто их определяют, а четкое и конкретное описание того, что надо сделать для достижения цели. Сформулировать задачи можно только тогда, когда определена защищаемая информация и угрозы ей. В постановке задачи указывается необходимость определения рациональных мер для конкретной защищаемой информации и угрозы ей с учетом имеющегося ресурса.

Техническая защита информации, данных, информационных систем

Компания «Интегрус» оказывает услуги по настройке систем технической защиты информации предприятий, помогая предотвратить утечку данных и (или) несанкционированный доступ к сведениям компании.

Техническая защита информации представляет собой целый комплекс работ: от оборудования помещений средствами ограничения доступа, шифрования данных, информирования коллектива и обнаружения предполагаемых каналов утечки до постоянного обновления средств и способов поддержания безопасности.

Техническая защита направлена на повышение сохранности технологических данных, ноу-хау, информации из патентов, собственных наработок или приобретенных методик, лицензий. Также методами и средствами технической защиты обеспечивается информационная безопасность сведений о финансовых операциях организации, кредитах, контрагентах, персональных данных (ПНд) сотрудников, руководства, клиентов и поставщиков.

Для построения эффективной технической защиты информации в информационных системах, базах данных, интернете, на предприятиях в целом все хранимые и обрабатываемые данные следует предварительно рассортировать по уровню ценности и их специфике. Объектами системы технической защиты информации являются:

  • базы данных (БД) с информацией о партнерах, клиентах (заказчиках), поставщиках (услуг, товаров, ресурсов);
  • документация в электронном виде (в том числе в системах электронного документооборота, ЭДО) и на бумажных носителях;
  • любые сведения, составляющие коммерческую тайну (обычно это финансовые данные: активы и пассивы предприятия, кредиты и дебиторская задолженность, размеры заработной платы ключевых сотрудников и т.д.);
  • технологическая, техническая и производственная информация – специфика производственных процессов, ноу-хау, состав оборудования и топология технологических цепочек.

Опасность для объектов технической защиты информации представляют:

  • внешние источники – конкуренты, злоумышленники;
  • собственные сотрудники (вплоть до руководства).

Сотрудники имеют доступ к объектам коммерческой информации и могут передать его посторонним (третьим) лицам. Руководители – не обращают должного внимания на обеспечение безопасности сведений, полагая угрозы ложными (мнимыми) или несущественными. Построение системы защиты данных начинается с разработки норм технического контроля защиты информации.

Как правило, организация контроля над действиями персонала является относительно простой задачей. Контроль за действиями руководства осуществить гораздо сложнее.

Защита информации по техническим каналам

Техническое обеспечение безопасности защиты конфиденциальной и коммерческой информации является совокупностью мероприятий, направленных на решение трех задач:

  1. Закрытость для посторонних лиц строений и помещений, где хранятся носители важных сведений.
  2. Исключение порчи или уничтожения информационных носителей как в результате действий злоумышленников, так и в случае стихийных бедствий.
  3. Безопасность хищения конфиденциальных сведений по техническим каналам.

Требования к оборудованию и средствам обеспечения защиты данных:

  1. Готовность 24/7 к атаке хакеров.
  2. Разноуровневые зоны контроля (степень охраны зависит от ценности данных).
  3. Использование нескольких видов обеспечения защиты единовременно.
  4. Своевременное обновление технических средств и каналов связи.

Каналами, по которым «сливается» информация, часто являются неэкранированные проводка, контуры, приборы, подверженные воздействию электромагнитных полей. Доступ к техническому каналу передачи информации означает ее беззащитность перед искажением, наведением помех, блокировкой либо несанкционированным использованием. С целью получения информации злоумышленники могут использовать импульсопередающие устройства, выводящие из строя инженерно-техническую защиту.

Методы защиты технических каналов утечки информации основываются на решениях службы безопасности и проектных организаций, лицензированных ФСТЭК. Выделяют три этапа работ:

  1. Подготовительный, оценивающий угрозы для помещений, определяющий категории защищаемых данных и бюджет на инженерно-технические разработки.
  2. Проектировочный, устанавливающий программное обеспечение и технические средства.
  3. Финальный, вводящий в эксплуатацию и определяющий дальнейшее сопровождение с обновлением систем безопасности.

Основными мероприятиями на пути к полноценной охране информации являются:

  • создание службы (отдела) безопасности;
  • использование специальных технических устройств;
  • мониторинг «слабого звена» для получения неконтролируемого доступа к информационным сигналам.
Читать еще:  Как полностью очистить компьютер от вирусов

Разработка системы и методов по технической защите информации начинается с оценки рисков – наиболее проблемными зонами обычно являются:

  • возможности для несанкционированного доступа к охраняемой информации;
  • «дыры» для действия по копированию, изменению, уничтожению и иные преступным действиям с данными;
  • каналы утечки финансовой, коммерческой и технологической информации.

Разработка системы и выбор средств технической защиты информации на этапе оценки рисков включает в себя изучение действий персонала, категоризацию запросов на «свои» и «чужие», распределение доступов между доверенными лицами и рядовыми пользователями. Для выявления подозрительных (ненадежных) сотрудников помогает так называемый поведенческий анализ.

Технические средства защиты информации (СЗИ)

Существуют разные виды обеспечения безопасности технических средств и систем информационной защиты. Методы и средства выбираются исходя из оценки прогнозируемых рисков – вероятностей и степени опасности:

  • аппаратных сбоев в работе средств обработки, хранения, передачи, шифрования информации;
  • несанкционированного доступа со стороны персонала предприятия или «внешних» злоумышленников;
  • искажения, хищения, целенаправленного изменения информации посредством технических средств (посредством электромагнитного излучения, физического подключения к линиям связи, визуального или акустического наблюдения) или программного обеспечения

Программные средства защиты данных

Программные средства позволяют защитить техническую информацию, секретные данные, технологии. Для этой цели используются:

  • антивирусы;
  • программы, обеспечивающие безопасность на уровне каналов связи и предотвращающие несанкционированный доступ к ним;
  • программы-блокираторы доступа во всемирную сеть.

Использование специального программного обеспечения (ПО) эффективно контролирует способы обмена информацией, нуждающейся в защите, и ограничивает доступность к секретным данным. Категорически запрещается использовать на предприятиях программные продукты, не имеющие лицензии либо специальные сертификаты безопасности. Нелицензионное ПО чревато распространением вирусов, способных собирать и передавать информацию третьим лицам.

Аппаратные средства защиты информации

Аппаратные средства защиты данных представляют собой различные по принципу работы устройства, решающие задачи по пресечению разглашения, утечки информации, несанкционированному использованию конфиденциальных данных. К аппаратно-техническим средствам относят шумогенераторы, фильтры сети, сканирующие радиоприемники и другие устройства, способные:

  • проводить исследования на наличие вероятных каналов «слива» информации;
  • выявлять и перекрывать каналы утечки на объектах и в помещениях;
  • локализовывать места «пробоя»;
  • обнаруживать шпионские программы/приборы;
  • противодействовать стороннему доступу к конфиденциальным сведениям.

Аппаратные средства надежны, не зависят от субъективных обстоятельств, устойчивы к модификации. Их минусы – малая гибкость, объем и масса, большая стоимость. По функционалу различаются средства обнаружения, поиска, детализации измерений, активной / пассивной защиты.

Организационно-техническая защита информации

Организационно-техническая защита информации оперирует доступом к информации, подразумевая ограничение на работу с ней, разграничение полномочий лиц и контроль. Совокупность мер означает:

  • подбор, проверку, инструктаж персонала;
  • обеспечение программно-технических работ;
  • назначение лиц, отвечающих за конкретные участки (оборудование);
  • осуществление режимности (в т.ч. секретной);
  • физическую охрану объектов;
  • оборудование помещения металлическими решетками, дверями, замками.

Инженерно-технические средства защиты

Инженерно-технические СЗИ помимо физических, аппаратных и программных подразумевает наличие криптографических средств шифрования данных, позволяя сохранить тайну телефонных переговоров, телеметрических/компьютерных данных, сообщений. Математический метод преобразования передаваемой информации делает их нераспознаваемыми для сторонних лиц. Криптографическая защита бывает с открытым либо симметричным ключом.

Обычно на предприятиях устанавливается комбинированная система защиты, реализуемая в виде аппаратных, программных, физических и криптографических методов противодействия проникновению и похищению информации. Деление на группы условно. На практике методы образуют комплексы программно-аппаратных модулей с разными алгоритмами шифрования информации.

Требования по технической защите информации

Всевозможные вариации требований по технической защите и криптографической защите информации сформулированы в ГОСТах: 50922-2007, 51275-2007, 51624-2000, 52863-2007.

Разработка СЗИ осуществляется только организациями, имеющими лицензию ФСТЭК, во взаимодействии с отделом безопасности заказчика. Совместно вырабатываются конкретные требования, аналитику, определяют необходимый уровень СЗИ, согласовывают выбор аппаратуры и ПО, организуя работы с целью предупреждения и выявления целостности контуров защиты, а также аттестуя объекты информатизации.

Рекомендации по технической защите информации

Рекомендации по технической защите информации конкретизированы в СТР-К («Специальных требованиях и рекомендациях по технической защите конфиденциальной информации», приказ № 282 ГТК при Президенте РФ от 30.08.2002,) и зависят от категорийности защиты, уровня секретности, режима обработки данных. Дифференцированный подход считается достаточным для разработки и применения мер противодействия незаконному доступу к информации.

Лицензирование в области технической защиты информации

Особенностью технического обеспечения является обязательная сертификация средств защиты. Получение лицензии ФСТЭК для работы с информацией, представляющей коммерческую тайну, обязательно.

Вид лицензии (СЗКИ, ТЗКИ, ТЗИ ГТ, СЗИ ГТ, ПД ИТР) зависит от сферы деятельности компании (предприятия) и уровня задач, которые ставятся по обеспечению безопасности.

Для получения лицензии необходимо:

  • выполнить работы по соответствию требований закона;
  • обеспечить защиту, тестирование компьютерных систем и помещений;
  • разработать нормативные документы и ПО;
  • заказать экспертизу.

Получить лицензию можно за 45 дней с момента подачи документов.

Цели и задачи информационной безопасности

Защита данных
с помощью DLP-системы

И нформационная безопасность – обеспечение конфиденциальности и целостности информации, недопущение несанкционированных действий с ней, в частности, ее использования, раскрытия, искажения, изменения, исследования и уничтожения. Положения информационной безопасности одинаковы для всех форм хранения информации: физических, цифровых или любых других. С появлением компьютеризированных информационных систем безопасность данных вышла на первый план.

Основные цели информационной безопасности

Использование систем информационной безопасности ставит перед собой конкретные задачи по сохранению ключевых характеристик информации и обеспечивает:

  • конфиденциальность данных – доступ есть только у лиц, имеющих на это полномочия;
  • доступность информационных систем с находящимися в них данными конкретным пользователям, у которых есть право доступа к таким сведениям;
  • целостность данных предполагает блокировку несанкционированного изменения информации;
  • подлинность – полнота и общая точность информации;
  • неотказуемость – возможность определить источник или авторство информации.
Читать еще:  Устройство системы противодымной защиты

Главная цель систем информационной безопасности – гарантия защиты данных от внешних и внутренних угроз.

Для обеспечения в информационной системе полной конфиденциальности применяются четыре метода, актуальных для любого формата информации:

  • ограничение или полное закрытие доступа к информации;
  • шифрование;
  • дробление на части и разрозненное хранение;
  • скрытие самого факта существования информации.

Виды информационных угроз

Для определения правильной стратегии информационной защиты необходимо определить, что угрожает безопасности данных. Угрозы информационной безопасности – вероятные события и действия, которые в перспективе способны привести к утечке или потере данных, несанкционированному доступу к ним. Это, в свою очередь, приведет к моральному или материальному ущербу.

Первичное свойство угроз информационных систем – происхождение, по которому угрозы делятся на следующие:

  1. Техногенные источники – угрозы, вызванные проблемами с техническим обеспечением, их прогнозирование затруднительно.
  2. Антропогенные источники – угрозы человеческих ошибок. Могут быть как нечаянными, так и преднамеренными атаками. Непреднамеренные угрозы – это случайная ошибка, например, пользователь по незнанию отключил антивирус. Как правило, антропогенные проблемы можно спрогнозировать для принятия предупредительных мер. Умышленные угрозы безопасности приводят к информационным преступлениям.
  3. Стихийные источники – непреодолимые обстоятельства, которые имеют низкую вероятность прогнозирования, и их предотвращение невозможно. Это различные стихийные бедствия, пожары, землетрясения, прекращение подачи электричества из-за ураганов.

Также по расположению источника относительно информационной системы угрозы классифицируются на внешние и внутренние. Особенно применительно такое разделение к масштабным системам государственного уровня.

Если внешний уровень – это атаки со стороны хакеров, компаний-конкурентов или враждебно настроенных государств, то внутренние угрозы обусловлены:

  • низким уровнем программно-технического обеспечения;
  • на государственном уровне – плохим развитием технологии передачи данных и ИТ-сектора в целом;
  • низкой компьютерной грамотностью пользователей.

Основная цель систем информационной безопасности – ликвидация внутренних угроз. Они обычно состоят в следующем:

  • происходит изъятие данных злоумышленниками, уничтожаются информационные пакеты, что нарушает работу информационной среды;
  • сотрудники создают бэкдоры или сливают информацию;
  • шпионские программы незаметно воздействуют на рабочий код и системное оборудование.

Поэтому фактически вся работа системы информационной безопасности сводится к созданию безопасных каналов связи, защите серверов, обеспечению безопасности внешних носителей и рабочих мест пользователей.

Информационная безопасность в компьютерной среде

Вопрос поддержания безопасности информационных систем одинаково остро стоит и перед обычными пользователями, и перед предприятиями. Потеря данных для компаний влечет за собой, прежде всего, потерю доверия и репутации. Для человека же в лучшем случае утечка выливается в навязчивый показ таргетированной рекламы, в худшем – конфиденциальная информация (пароли, данные банковских карт, сведения для входа в системы) может быть использована мошенниками в корыстных целях.

Для контроля данных, обращающихся в информационной среде, используют различные программные средства:

  • сверхмощные приложения, работа которых состоит в обеспечении безопасности и шифровании финансовых и банковских реестров информации;
  • глобальные решения, работающие на уровне всего информационного массива;
  • утилиты для решения конкретных проблем.

Методы защиты информационных систем

Смысл информационной защиты в сохранении информации в первозданном виде, исключая доступ посторонних.

Системный подход состоит из четырех составляющих обеспечения безопасности:

  • законы и нормативно-правовые акты;
  • распределение задач между ИБ-подразделениями;
  • политика информационной безопасности;
  • техническое и программное обеспечение.

Всем методам защиты на предприятии присущи такие характеристики:

  • применение технических средств, фактическое использование которых растет по мере расширения информационного пространства и количества рабочих станций;
  • постоянный мониторинг баз данных;
  • непрерывная разработка новых вычислительных систем с улучшенными методами шифрования, постоянное шифрование уже имеющимися методами;
  • ограничение доступа к информации на предприятии.

Наиболее серьезную угрозу для информационных систем представляют компьютерные вирусы. Они приносят больше всего убытков информационной инфраструктуре. Основная проблема состоит в том, что антивирусное программное обеспечение не может полностью предупредить появление новых угроз. Вследствие этого, так или иначе, происходит повреждение информационных пакетов и нарушение работы информационных систем. Устранение проблемы возможно только по факту после нахождения вредоносного вмешательства. Также стоит упомянуть физические методы защиты информации – устройства, мгновенно распознающие стороннее вмешательство в систему.

Чтобы защитить определенный объект от внешних и внутренних угроз, необходимо создание Системы обеспечения информационной безопасности (СОИБ).

Для построения эффективной и работоспособной системы руководствуются примерным планом:

  • выявляют необходимые данному объекту степени защиты;
  • соотносят их с положениями законов и постановлений, действующих на территории страны в этом направлении деятельности;
  • обращаются к предыдущим наработкам;
  • назначают ответственные подразделения и распределяют ответственность между ними;
  • определяют политику информационной безопасности данного объекта и используют необходимые программно-технические методы для ее внедрения.

В итоге происходит создание системы менеджмента информационной безопасности на предприятии, при помощи которой производятся постоянный и действенный контроль эффективности средств защиты, своевременная коррекция предпринимаемых действий и пересмотр существующих положений для обеспечения максимальной безопасности.

Ссылка на основную публикацию
Adblock
detector