Загрузка...
Учебная работа. Реферат: Безопасность информации в информационных системах
Сохранность инфы в информационных системах является весьма принципиальным вопросцем. Потому что, информация, находящаяся на электрических носителях играет огромную роль в жизни современного общества. Уязвимость таковой инфы обоснована целым причин: большие объемы, огромное количество юзеров, работающих с данной для нас информацией, анонимность доступа, передача инфы по каналам связи, возможность «информационных диверсий»… Все это делает задачку обеспечения защищенности инфы, размещенной в компьютерной среде, еще наиболее сложной неувязкой, чем скажем, сохранение потаенны классической почтовой переписки.
Вследствие этого реальная работа посвящена конкретно дилемме обеспечения информационной сохранности в электрических информационных системах.
При рассмотрении сохранности информационных систем обычно выделяют две группы заморочек: сохранность компа и сетевая сохранность. К сохранности компа относят все трудности защиты данных, хранящихся и обрабатывающихся компом, которая рассматривается как автономная система. Эти трудности решаются средствами операционных систем и приложений, таковых как базы данных, также встроенными аппаратными средствами компа. Под сетевой сохранностью соображают все вопросцы, связанные с взаимодействием устройств в сети, это до этого всего защита данных в момент их передачи по линиям связи и защита от несанкционированного удаленного доступа в сеть.
Автономно работающий комп можно отлично защищать от наружных покушений различными методами, к примеру просто запереть на замок клавиатуру либо снять твердый накопитель и поместить его в сейф. комп, работающий в сети по определению не может стопроцентно отгородиться от мира, он должен разговаривать с иными компами, может быть даже удаленными от него на огромные расстояния. Потому обеспечение сохранности в сети является задачей существенно наиболее сложной.
защита инфы в информационных системах
Понятия сохранности
Неопасная информационная система – это система, которая, во-1-х, защищает данные от несанкционированного доступа, во-2-х, постоянно готова предоставить их своим юзерам, а в-3-х, накрепко хранит информацию и гарантирует неизменность данных. Таковым образом, неопасная система по определению владеет качествами конфиденциальности, доступности и целостности.
Конфиденциальность – гарантия того, что скрытые данные будут доступны лишь тем юзерам, которым этот доступ разрешен.
Доступность – гарантия того, что авторизованные юзеры постоянно получат доступ к данным.
Целостность – гарантия сохранности данными правильных значений, которая обеспечивается запретом для неавторизованных юзеров каким или образом изменять, видоизменять, разрушать либо создавать данные.
Требования сохранности могут изменяться зависимо от предназначения системы, нрава применяемых данных и типа вероятных угроз. Тяжело представить систему, для которой могли быть не важны характеристики целостности и доступности, но свойство конфиденциальности не постоянно является неотклонимым. к примеру , если мы публикуем информацию в Вебе на WEB-сервере и нашей целью является создать ее доступной для широкого круга людей, то конфиденциальность в этом случае не требуется.
неувязка обеспечения сохранности носит полный нрав, для ее решения нужно сочетание законодательных, организационных и программно-технических мер. К огорчению, законодательная база еще отстает от потребностей практики. Имеющиеся в Рф законы и указы носят в главном запрещенный нрав. В то же время следует учесть, что в нашей стране доминирует иностранное программно-аппаратное обеспечение. В критериях ограничения на импорт и отсутствия межгосударственных соглашений о обоюдном признании сертификатов, пользователи, желающие быть полностью законопослушными, оказываются по существу в безнадежном положении – у их нет способности заказать и получить «под ключ» современную систему, имеющую сертификат сохранности.
Хоть какое действие, которое ориентировано на нарушение конфиденциальности, целостности и доступности инфы, также на незаконное внедрение остальных ресурсов сети, именуется опасностью. Реализованная угроза именуется атакой. Риск – это вероятностная оценка величины вероятного вреда, который может понести обладатель информационного ресурса в итоге удачно проведенной атаки.
Опасности делят на два вида: предумышленные и нечаянные.
Нечаянные опасности вызываются неверными действиями приклнных служащих, стают следствием их низкой квалификации либо безответственности. Так же эти опасности могут возникнут вследствие технических сбоев.
Предумышленные опасности могут ограничиваться или пассивным чтением данных либо мониторингом системы, или включать в себя активные деяния, к примеру нарушение целостности и доступности инфы, приведение в нерабочее состояние приложений и устройств. Так, предумышленные опасности появляются в итоге деятель взломщиков и очевидно ориентированы на нанесение вреда предприятию.
В вычислительных сетях можно выделить последующие типы предумышленных угроз:
— нелегальное проникновение в один из компов сети под видом законного юзера;
— разрушение системы при помощи программ-вирусов;
— незаконные деяния законного юзера;
— «подслушивание» локального трафика;
Делят последующие методы защиты инфы:
— методы многофункционального контроля, обеспечивающие обнаружение и диагностику отказов, сбоев аппаратуры и ошибок человека, также программные ошибки;
— методы увеличения достоверности инфы;
— методы защиты инфы от аварийных ситуаций;
— методы контроля доступа к внутреннему монтажу аппаратуры, линиям связи и технологическим органам управления;
— методы разграничения и контроля доступа к инфы;
— методы идентификации и аутентификации юзеров, технических средств, носителей инфы и документов;
— методы защиты от побочного излучения и наводок инфы.
Политика сохранности
Значимость и сложность трудности обеспечения сохранности просит выработки политики информационной сохранности, которая предполагает ответы на последующие вопросцы:
— Какую информацию защищать?
— Какой вред понесет предприятие при потере либо при раскрытии тех либо других данных?
— Кто либо что является вероятным источником опасности, какого рода атаки на сохранность системы могут быть предприняты?
— Какие средства употреблять для защиты всякого вида инфы?
Спецы, ответственные за сохранность системы, формируя политику сохранности, должны учесть несколько принципиальных принципов. Одним из таковых принципов является предоставление любому сотруднику компании того малого уровня приемуществ на доступ к данным, который нужен ему для выполнения его должностных обязательств. Беря во внимание, что большая часть нарушений в области сохранности компаний исходит конкретно от собственных служащих, принципиально ввести точные ограничения для всех юзеров сети, не наделяя их лишними способностями.
Последующий принцип – внедрение всеохватывающего подхода к обеспечению сохранности. Чтоб затруднить злодею доступ к данным, нужно предугадать самые различные средства сохранности, начиная с организационно-административных запретов и кончая встроенными средствами сетевой аппаратуры. Административный запрет на работу в воскресные деньки ставит потенциального нарушителя под зрительный контроль админа и остальных юзеров, физические средства защиты (закрытые помещения, блокировочные ключи) ограничивают конкретный контакт юзера лишь прописанным ему компом, интегрированные средства ОС (система аутентификации и авторизации) предупреждают вход в сеть незаконных юзеров, а для законных юзеров ограничивают способности лишь разрешенными для него операциями (подсистема аудита фиксирует его деяния). Таковая система защиты с неоднократным резервированием средств сохранности наращивает возможность сохранности данных.
Используя многоуровневую систему защиты, принципиально обеспечить баланс надежности всех уровней. Если в сети все сообщения шифруются, но ключи вседоступны, то эффект от шифрования нулевой. Либо если на компах установлена файловая система, поддерживающая избирательный доступ на уровне отдельный файлов, но имеется возможность получить твердый диск и установить его на иной машине, то все плюсы средств защиты файловой системы сводятся на нет.
Последующим всепригодным принципом является внедрение средств, которые при отказе перебегают в состояние наибольшей защиты. Это касается самых разных средств сохранности. Если, к примеру, автоматический пропускной пункт в какие или помещения ломается, то он должен фиксироваться в таком положении, чтоб ни один человек не мог пройти на защищаемую местность. А если в сети имеется устройство, которое анализирует весь входной трафик и отбрасывает кадры с определенным, заблаговременно данным оборотным адресом, то при отказе оно обязано стопроцентно перекрыть вход в сеть. Неприемлемым следовало бы признать устройство, которое бы при отказе пропускало в сеть весь наружный трафик.
Принцип одного контрольного-пропускного пт – весь входящий во внутреннюю сеть и выходящий во внешнюю сеть трафик должен проходить через единственный узел сети, к примеру межсетевой экран. Лишь это дозволяет в достаточной степени надзирать трафик. В неприятном случае, когда в сети имеется огромное количество пользовательских станций, имеющих независящий вход во внешнюю сеть, весьма тяжело скоординировать правила, ограничивающие права юзеров внутренней сети по доступу к серверам наружной сети и назад – права наружных клиентов по доступу к ресурсам внутренней сети.
Принцип баланса вероятного вреда от реализации опасности и издержек на ее предотвращение. Ни одна система сохранности не гарантирует защиту данных на уровне 100%, так как является результатом компромисса меж вероятными рисками и вероятными затратами. Определяя политику сохранности, админ должен взвесить величину вреда, которую может понести предприятие в итоге нарушения защиты данных, и сопоставить ее с величиной издержек, требуемых на обеспечение сохранности этих данных. Так в неких вариантах можно отрешиться от дорогостоящего межсетевого экрана в пользу обычных средств фильтрации обыденного маршрутизатора, в остальных же можно пойти на беспримерные Издержки. основное, чтоб принятое решение было обусловлено экономически.
Базисные технологии сохранности
В разных программных и аппаратных продуктах, созданных для защиты данных, нередко употребляются схожие подходы, приемы и технические решения. К таковым базисным технологиям сохранности относятся аутентификация, авторизация, аудит и разработка защищенного канала.
Шифрование – это краеугольный гранит всех служб информационной сохранности, будь то система аутентификации либо авторизации, средства сотворения защищенного канала либо метод неопасного хранения данных.
Неважно какая процедура шифрования, превращающая информацию из обыденного «понятного» вида в «нечитабельный» зашифрованный вид, естественно обязана быть дополнена процедурой дешифрования, которая будучи примененной к зашифрованному тексту, опять приводит ее в понятный вид. Пара процедур — шифрование и дешифрование – именуется криптосистемой.
информацию, над которой производятся функции шифрования и дешифрования, будем условно именовать «текст», беря во внимание, что это быть может также числовой массив либо графические данные.
В современных методах шифрования предусматривается наличие параметра – секретного ключа. В криптографии принято правило Керкхоффа: «Стойкость шифра обязана определяться лишь секретностью ключа». Так все обычные методы шифрования обширно известны, их детализированное описание содержится в просто доступных документах, но от этого их эффективность не понижается. Злодею быть может все понятно о методе шифрования, не считая секретного ключа. Но существует также много фирменных алгоритмов, описание которых не публикуется.
метод шифрования является раскрытым, если найдена процедура, позволяющая подобрать ключ за реальное время. Сложность метода раскрытия является одной из принципиальных черт криптосистемы и именуется криптостойкостью.
Существует два класса криптосистем – симметричные и асимметричные. В симметричных системах шифрования (традиционная тайнопись) скрытый ключ зашифровки совпадает с скрытым ключом расшифровки. В ассиметричных схемах шифрования (тайнопись с открытым ключом) открытый ключ зашифровки не совпадает с скрытым ключом расшифровки.
Компьютерные вирусы
защита от компьютерных вирусов — отдельная неувязка, решению которой посвящено много исследовательских работ.
Для современных вычислительных сетей, состоящих из индивидуальных компов, гигантскую опасность представляют хакеры. Этот термин, сначала обозначавший энтузиаста-программиста, в истинное время применяется для описания человека, который употребляет свои познания и опыт для вторжения в вычислительные сети и сети связи с целью исследования их способностей, получения секретных данных или совершения вредных действий.
Предпосылкой для возникновения компьютерных вирусов служило отсутствие в операционных системах действенных средств защиты инфы от несанкционированного доступа. В связи с сиим разными фирмами и программерами разработаны программки, которые в определенной степени восполняют обозначенный недостаток. Эти программки повсевременно находятся в оперативки (являются «резидентными») и «перехватывают» все запросы к операционной системе на выполнение разных «подозрительных» действий, другими словами операций, которые употребляют компьютерные вирусы для собственного «размножения» и порчи инфы в системе.
При любом запросе на такое действие на экран компа выводится сообщение о том, какое действие желает выполнить та либо другая программка. юзер может либо разрешить выполнение этого деяния, либо запретить его.
Политика сохранности гипотетичной организации
Чтоб создать изложение наиболее определенным, разглядим политику обеспечения информационной сохранности гипотетичной локальной сети, которой обладает организация.
В сферу деяния политики обеспечения информационной сохранности попадают все аппаратные, программные и информационные ресурсы, входящие в локальную сеть компании. Политика нацелена также на людей, работающих с сетью , в том числе на юзеров, субподрядчиков и поставщиков.
Целью организации является обеспечение целостности, доступности и конфиденциальности данных, также их полноты и актуальности. Наиболее личными целями являются:
— обеспечение уровня сохранности, соответственного требованиям нормативных документов;
— исследование экономической необходимости в выборе защитных мер (расходы на защиту не должны превосходить предполагаемый вред от нарушения информационной сохранности)
— обеспечение сохранности в каждой многофункциональной области локальной сети;
— обеспечение подотчетности всех действий юзеров с информацией и ресурсами;
— обеспечение анализа регистрационной инфы;
— предоставление юзерам достаточной инфы для сознательного поддержания режима сохранности
— выработка планов восстановления опосля аварий и других критичных ситуаций для всех многофункциональных областей с целью обеспечения непрерывности работы сети;
— обеспечение соответствия с имеющимися законами и общеорганизационной политикой сохранности.
Распределение ролей и обязательств
Перечисленные ниже группы людей отвечают за реализацию сформулированных ранее целей.
— управляющий организации отвечает за выработку соответственной политики обеспечения информационной сохранности и проведение ее в жизнь;
— руководители подразделений отвечают за доведение положений политики сохранности до юзеров и за контакты с ними;
— админы сети обеспечивают непрерывное функционирование сети и отвечают за реализацию технических мер, нужных для проведения в жизнь политики обеспечения информационной сохранности;
— юзеры должны работать с локальной сетью в согласовании с политикой сохранности, подчиняться распоряжениям лиц, отвечающих за отдельные нюансы сохранности, ставить в известность управление обо всех подозрительных ситуациях.
Нарушение политики обеспечения информационной сохранности может подвергнуть локальную сеть и циркулирующую в ней информацию недопустимому риску. Так как более уязвимым звеном хоть какой информационной системы является человек, особенное значение приобретает воспитание законопослушности служащих по отношению к законам и правилам информационной сохранности. Случаи нарушения этих законов и правил со стороны персонала должны рассматриваться управлением для принятия мер, прямо до увольнения.
Заключение
Из рассмотренного становится разумеется, что обеспечение информационной сохранности является всеохватывающей задачей. Это обосновано тем, что информационная среда является сложным многоплановым механизмом, в каком действуют такие составляющие, как электрическое оборудование, программное обеспечение, персонал.
Для решения трудности обеспечения информационной сохранности нужно применение законодательных, организационных и программно-технических мер. Пренебрежение хотя бы одним из качеств данной для нас трудности может привести к утрате либо утечке инфы, стоимость и роль которой в жизни современного общества приобретает все наиболее принципиальное
Перечень использованных источников
1. Информатика [текст] : Учебник / Под ред. проф. Н.В. Мака-
ровой. — М. :деньги и статистика, 1997. — 768 с. : ил. — ISBN 5-
279-01841-4.
2. Острейковский, В.А. Информатика [текст] : Учебник для вузов /
Осрейковский В.А. — М. : Высш. шк., 2001. — 511 с. : ил. — ISBN 5-
06-003533-06.
3. Сохранность электрических банковских систем [текст] / В. Г. Гайкович., А.Л. Першин. – Москва, 2003.
4. Сетевые операционные системы [Текст]: Учебник для вузов / В. Г. Олифер, Н. А. Олифер. – СПб.: Питер, 2003. – 539 с.: ил. ISBN 5-272-00120-6
5.INTUIT.ru: веб Институт Информационных Техно-
логий — дистанционное образование [электрический ресурс]. — Элек-
трон, дан. — Режим доступа: HTTP//www.INTUIT.ru, вольный.
]]>