Архив Галактики

Экспертиза сообществом-9

Блог редактора / 15.10.2010

Все желающие члены нашего сообщества приглашаются на экспертизу. Подробнее об этой акции читайте в посте Татьяны Подуст "Экспертиза сообществом"
Работа №9 на экспертизу сообщества. "Проблемы современного компьютерного мира и пути их решения".
Автор Дикман Николай.
В тексте сохранены авторские орфография и пунктуация.



Оглавление
Введение
1 Информационная безопасность
1.1 Юридические аспекты информационной безопасности
1.2 Основные понятия информационной безопасности
1.3 Разработка политики информационной безопасности
1.4 Классификация угроз
2 Методы и средства защиты данных
2.1 Физические и программные средства защиты данных
2.2 Модель решения проблемы безопасности данных
Заключение

Введение

В настоящее время информационные технологии все чаще становятся системообразующим фактором всех сфер деятельности человека. Компьютеры, часто объединенные в сети, предоставляют доступ к колоссальному количеству самых разнообразных данных. Но огромные возможности, которые открывают информационные и телекоммуникационные технологии, вместе с тем, несут в себе и большую опасность, создавая совершенно новую, мало изученную область для возможных угроз, реализация которых может приводить к непредсказуемым и даже катастрофическим последствиям.

Сбой в информационных системах, применяемых на военных объектах, системах ПВО, в управлении атомными станциями или химическими предприятиями, в банковской сфере, медицине, управленческих системах разного уровня и других областях человеческой деятельности может привести к экологическим катастрофам, подрыву экономики, политическим конфликтам, создать угрозу жизни и здоровью людей. Поэтому становится ясно, что информация - это ресурс, который надо защищать.

Проблема защиты информации сложная и многогранная, во многом осложняемая отсутствием системы научно-обоснованных законодательных актов, регулирующих правовые отношения и ростом компьютерных преступлений в этой области.

В данном реферате мы затронули основные понятия, связанные с темой информационной безопасности, рассмотрели вопросы формирования адекватной политики безопасности данных и юридические аспекты, связанные с информационной безопасностью.

1 Информационная безопасность

1.1 Юридические аспекты информационной безопасности
Число пользователей Интернет, включая владельцев сетей и ресурсов, растет год от года. Сформировано виртуальное сообщество, состоящее из представителей различных профессий, конфессий, национальностей, стран, вступающих между собой в общественные отношения, которые характеризуется противоречивостью интересов участников.

Интернет достиг такого уровня развития и в такой степени способен оказывать воздействие на жизнь общества, что это предполагает соответствующую реакцию государства - в форме государственного воздействия. Но удачного решения проблем правового регулирования отношений, связанных с использованием Интернета, на уровне национального законодательства в мировой практике пока не наблюдается. Это обусловлено спецификой Интернета, и, прежде всего его экстерриториальностью.

Нормативное регулирование является одним из основных способов согласования интересов людей и их объединений. Нормативная база включает в себя как законодательные акты различных стран, так и "неписанные" нормы и правила, которыми руководствуется большинство пользователей глобальной сети.

Попытки регулирования деятельности Интернет со стороны государств или отдельных организаций часто воспринимаются болезненно. Тот факт, что в определенных ситуациях право как важнейший регулятор общественных отношений не дает желаемых результатов, еще не говорит о невозможности регулирования. В сети должны действовать социальные регуляторы деятельности отдельных лиц, их объединений, организаций и государства.

Рабочая группа по управлению Интернетом при Генеральном секретаре ООН считает, что "управление Интернетом представляет собой разработку и применение правительствами, частным сектором и гражданским обществом … общих принципов, норм, правил, процедур принятия решений и программ, регулирующих эволюцию и применение Интернета".

В законодательной базе РФ существует ряд законов и подзаконных актов, которые на сегодняшний день применимы для работы в Интернете. Среди них и Конституция и кодексы РФ, ФЗ об информации, информационных технологиях и о защите информации, ФЗ об электронной цифровой подписи, ФЗ о персональных данных и другие.

Так как с развитием сетевых и коммуникационных технологий возникают новые объекты (информационные объекты, в том числе веб-сайты; сетевые идентификаторы, адреса электронной почты, IP-адреса и т.д.), субъекты права (операторы интернет-услуг, сетевые сообщества, "сетевые" средства массовой информации и т.д.) и правоотношения между ними, то среди законодателей не прекращаются споры о необходимости разработки закона, специально созданного для регулирования деятельности пользователей в Интернете.

Есть два подхода к разработке законодательной базы в этой области: разработать ФЗ "Об Интернете" (или как вариант "Закон о правовом регулирования общественных отношений, формирующихся в процессе использования информационной среды глобальных компьютерных сетей"), но нам ближе точка зрения М. В. Якушева, председателя Совета Координационного центра национального домена .RU: "РФ необходима СИСТЕМА научно обоснованных федеральных законов, применимых для эффективного регулирования как "ВНЕСЕТЕВЫХ" (обычных, повседневных) правовых отношений, так и правоотношений, "осложнённых" использованием Интернет-технологий. Должно быть "хорошее" законодательство вообще, а не законодательство "только для Интернета" без учёта накопленного нормативного массива. Совершенствование законодательства в сфере Интернета должно учитывать специфику построения и развития Интернета как трансграничной информационной сети, опираться на позитивную практику использования и регулирования Интернета в Российской Федерации и за рубежом, и не должно игнорировать объективные тенденции в развитии Интернет-технологий".

1.2 Основные понятия информационной безопасности
Под информационной безопасностью понимается защищенность информации и поддерживающей ее инфраструктуры от любых случайных или злонамеренных воздействий, результатом которых может явиться нанесение ущерба самой информации, ее владельцам или поддерживающей инфраструктуре.

Объектом защиты является информация или носитель, или информационный процесс, в отношении которого необходимо обеспечить защиту в соответствии с поставленной целью защиты информации. Защита компьютерной информации включает меры предотвращения и отслеживания несанкционированного доступа (НСД) неавторизованных лиц, неправомерного использования, повреждения, уничтожения, искажения, копирования, блокирования информации в формах и носителях, связанных именно с компьютерными средствами и технологиями хранения, обработки, передачи и доступа. Для обеспечения безопасности информации требуется защита: информационных массивов, представленных на различных машинных носителях; технических средств обработки и передачи данных; программных средств, реализующих соответствующие методы, алгоритмов и технологий обработки информации; пользователей.

Информационная безопасность достигается обеспечением конфиденциальности, целостности и достоверности обрабатываемых данных, а также доступности и целостности информационных компонентов и ресурсов.

Конфиденциальность - это свойство, указывающее на необходимость введения ограничения доступа к данной информации для определенного круга лиц.

Целостность - это свойство информации сохранять свою структуру и/или содержание в процессе передачи и хранения в неискаженном виде по отношению к некоторому фиксированному состоянию.

Достоверность - это свойство информации, выражающееся в строгой принадлежности субъекту, который является ее источником, либо тому субъекту, от которого эта информация принята.

Доступность - это свойство информации, характеризующее способность обеспечивать своевременный и беспрепятственный доступ пользователей к необходимой информации. Ущерб от возможной реализации угроз можно свести к минимуму, только приняв меры, которые способствуют обеспечению безопасности информации.

1.3 Разработка политики информационной безопасности
В.В. Домарев в работе "Безопасность информационных технологий. Системный подход" предлагает среди составляющих информационной безопасности помимо законодательной, нормативно-правовой и научной базы выделить организационно-технические и режимные меры и методы (Политику информационной безопасности).

Политика безопасности представляет собой совокупность документированных правил, процедур, практических приемов или руководящих принципов в области безопасности информации, которыми руководствуется организация в своей деятельности.
Для построения Политики информационной безопасности рекомендуется рассматривать следующие этапы создания средств защиты информации:
- определение информационных и технических ресурсов, подлежащих защите;
- выявление полного множества потенциально возможных угроз и каналов утечки информации;
- проведение оценки уязвимости и рисков информации при имеющемся множестве угроз и каналов утечки;
- определение требований к системе защиты;
- осуществление выбора средств защиты информации и их характеристик;
- внедрение и организация использования выбранных мер, способов и средств защиты;
- осуществление контроля целостности и управление системой защиты.

1.4 Классификация угроз
Одним из этапов организации комплексного подхода к политике безопасности является анализ возможных угроз, для защиты от которых затем необходимо выбрать средства и рассмотреть их характеристики, адекватные задачам организации.
Проанализировав различные источники, классифицирующие виды угроз безопасности данным, мы отобразили их в виде схемы, дающей полное представление по данному вопросу (рисунок 1).


Рисунок 1 Классификация наиболее распространенных угроз

Возможные угрозы безопасности данным разделяют на случайные и преднамеренные угрозы. Случайные угрозы возникают независимо от воли и желания людей. Данный тип угроз связан чаще всего с прямым физическим воздействием на элементы информационной системы (природного или техногенного характера) и ведет к нарушению работы этой системы и/или физическому повреждению (уничтожению) носителей информации, средств обработки и передачи данных, телекоммуникационных каналов.
Причиной возникновения угроз случайного характера могут быть как сбои вследствие конкретных ошибок персонала и прямых непреднамеренных действий иных лиц (например, повреждение кабельной линии связи при проведении строительных работ), так и случайные нарушения в работе системы (например, вследствие поломки оборудования, сбоя в работе программного обеспечения и т.д.)
Преднамеренные угрозы, в отличие от случайных, могут быть созданы только людьми, действующими целенаправленно с целью дезорганизовать работу информационной системы. Преднамеренные угрозы, в свою очередь, подразделяются на пассивные и активные.

Пассивные угрозы, как правило, направлены на несанкционированное использование информационных ресурсов, не оказывая при этом влияния на функционирование сети. Пассивной угрозой является, например, попытка получения информации, циркулирующей в каналах передачи данных, посредством прослушивания последних.

Активные угрозы имеют цель нарушения нормального процесса функционирования сети посредством целенаправленного воздействия на ее аппаратные, программные и информационные ресурсы. К активным угрозам относят, например, разрушение или радиоэлектронное подавление линии связи сети передачи данных, вывод из строя ПЭВМ или ее операционной системы, искажение сведений в пользовательских базах данных или системной информации сети, разрушение или искажение операционной системы сети и т.п. Источниками таких угроз могут быть непосредственные действия злоумышленников, программные вирусы и т.п.

Рассмотрев основные этапы создания средств защиты информации и проанализировав угрозы, возникающие в результате действия различных факторов, необходимо перейти к выбору средств защиты информации и их характеристик.

2 Методы и средства защиты данных

2.1 Физические и программные средства защиты данных
Методы защиты подразделяются на физические и программные.
К физическим методам относится защита аппаратных средств, обеспечивающих работу сети. Подобно тому, как беззащитен от постороннего доступа радиоканал, беззащитна и кабельная система большинства локальных вычислительных сетей. Однако именно повреждения кабельной системы являются причиной большинства отказов в работе локальных сетей. Кабельная система (медная или оптоволоконная), устройств защиты от высоковольтных скачков напряжения, надежная система заземления связывает коммуникационную и обрабатывающую аппаратуру в здании. Наилучший способ защиты кабеля от всевозможных внешних воздействий (далеко не всегда предумышленных) - прокладка кабеля с использованием прочных защищенных коробов.

При прокладке кабелей для локальной вычислительной сети необходимо также учитывать воздействие внешних электромагнитных полей. Для обеспечения надежной работы компьютеров и компьютерных сетей и для предотвращения потерь информации при кратковременных неполадках в системах электропитания необходимы специальные меры защиты, наиболее надежным из которых в настоящее время является установка источников бесперебойного питания.

Программные методы защиты
В крупных локальных сетях не так уж редки случаи заражения отдельных компьютеров или целой группы компьютеров различными вирусами. Наиболее распространенными методами защиты от вирусов по сей день остаются всевозможные антивирусные программы. Но вирусные атаки - далеко не единственная опасность, подстерегающая пользователей в сети. Несанкционированный доступ к информации наносит не меньше, а зачастую и гораздо больший ущерб, поэтому необходима продуманная политика безопасности. Политика безопасности включает в себя набор правил для фильтров системы обнаружения взлома. Брандмауэр-это только механизм, который реализует заданную политику работы в сети.

Политика безопасности является пропуском, набором полномочий, предоставленных аналитику сетевого трафика с целью создания активной системы защиты с использованием, например, брандмауэров и систем обнаружения взлома. Ее стержнем является система обнаружения вторжений, которая служит как средство контроля. Также политика безопасности предусматривает ограничение прав пользователя на установку программного обеспечения, изменение существующей конфигурации системы, а также на изменение системных директорий. Данные настройки можно произвести средствам ОС, не используя стороннее ПО, таким образом, минимальными затратами можно добиться высокого уровня безопасности.

2.2 Модель решения проблемы безопасности данных
Меня, как будущего ИТ - специалиста, не может не волновать вопрос безопасности данных. Мной разработано и апробировано на занятиях в колледже мультимедийное учебное пособие "Вопросы информационной безопасности", где более подробно рассмотрены основные аспекты проблемы защиты информации, представлена схема соответствия действий системного администратора основным типам угроз безопасности данным в локальной сети колледжа.

На основе анализа схемы, имеющегося лицензионного программного обеспечения, опыта администрирования сети колледжа была разработана политика безопасности данных и найден баланс между доступностью и безопасностью информации (рисунок 2).


Рисунок 2 Действия администратора, адекватные угрозам безопасности

Заключение

Мы показали, что проблема информационной безопасности является актуальной в связи с использованием информационных и телекоммуникационных технологий во всех сферах человеческой деятельности.

В данном реферате мы затронули основные понятия, связанные с темой информационной безопасности, рассмотрели вопросы формировании адекватной политики безопасности данных и юридические аспекты, связанные с информационной безопасностью.
Для построения модели информационной безопасности в сети колледжа мы разработали мультимедийное учебное пособие, которое используется на занятиях и для самостоятельной подготовки студентов.

Следующим этапом работы над данной темой станет документирование политики безопасности и модернизация модели безопасности на основе новых данных.