Информационная безопасность предприятия

Введение

Информационная безопасность предприятия - это защищенность информации, которой располагает предприятие (производит, передает или получает) от несанкционированного доступа, разрушения, модификации, раскрытия и задержек при поступлении. Информационная безопасность включает в себя меры по защите процессов  создания данных, их ввода, обработки и вывода. 
Целью обеспечения информационной безопасности предприятий является сохранение информационной системы предприятия в целости и сохранности, защита и гарантирование полноты и точности выдаваемой ею информации, минимизация разрушений и модификация информации, если таковые случаются.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

1. Теоретические  основы защиты информации на  предприятии

1.1 Сущность и задачи защиты информации на предприятии

 

Обеспечение информационной безопасности является одним из необходимых  аспектов ведения бизнеса в условиях рыночной экономики.

В современном деловом  мире происходит процесс миграции материальных активов в сторону информационных. По мере развития организации усложняется  ее информационная система, основной задачей  которой является обеспечение максимальной эффективности ведения бизнеса  в постоянно меняющихся условиях конкуренции на рынке.

Рассматривая информацию как товар, можно сказать, что  информационная безопасность в целом  может привести к значительной экономии средств, в то время как ущерб, нанесенный ей, приводит к материальным затратам. Например, раскрытие технологии изготовления оригинального продукта приведет к появлению аналогичного продукта, но от другого производителя, и как следствие нарушения  информационной безопасности, владелец технологии, а может быть и автор, потеряют часть рынка и т.д. С  другой стороны, информация является субъектом  управления, и ее изменение может  привести к катастрофическим последствиям в объекте управления.

Информационная безопасность, как и защита информации, задача комплексная, направленная на обеспечение безопасности, реализуемая внедрением системы безопасности. Проблема защиты информации является многоплановой и комплексной и охватывает ряд важных задач. Проблемы информационной безопасности постоянно усугубляются процессами проникновения во все сферы общества технических средств обработки и передачи данных и, прежде всего, вычислительных систем.

На сегодняшний день сформулировано три базовых принципа, которые  должна обеспечивать информационная безопасность:

• целостность данных – защита от сбоев, ведущих к потере информации, а также зашита от неавторизованного создания или уничтожения данных;
• конфиденциальность информации;
• доступность информации для всех авторизованных пользователей.

Широкое применение компьютерных технологий в автоматизированных системах обработки информации и управления привело к обострению проблемы защиты информации, циркулирующей в компьютерных системах, от несанкционированного доступа.

Защита информации в компьютерных системах обладает рядом специфических  особенностей, связанных с тем, что  информация не является жёстко связанной  с носителем, может легко и  быстро копироваться и передаваться по каналам связи. Известно очень  большое число угроз информации, которые могут быть реализованы  как со стороны внешних нарушителей, так и со стороны внутренних нарушителей.

В области защиты информации и компьютерной безопасности в целом  наиболее актуальными являются три  группы проблем¹:

1. нарушение конфиденциальности информации;
2. нарушение целостности информации;
3. нарушение работоспособности информационно-вычислительных систем.

Защита информации превращается в важнейшую проблему государственной  безопасности, когда речь идет о  государственной, дипломатической, военной, промышленной, медицинской, финансовой и другой доверительной, секретной  информации. Огромные массивы такой  информации хранятся в электронных  архивах, обрабатываются в информационных системах и передаются по телекоммуникационным сетям. Основные свойства этой информации - конфиденциальность и целостность, должны поддерживаться законодательно, юридически, а также организационными, техническими и программными методами.

Конфиденциальность информации (от лат. confidentia - доверие) предполагает введение определенных ограничений на круг лиц, имеющих доступ к данной информации. Степень конфиденциальности выражается некоторой установленной характеристикой (особая важность, совершенно секретно, секретно, для служебного пользования, не для печати и т.п.), которая субъективно определяется владельцем информации в зависимости от содержания сведений, которые не подлежат огласке, предназначены ограниченному кругу лиц, являются секретом. Естественно, установленная степень конфиденциальности информации должна сохраняться при ее обработке в информационных системах и при передаче по телекоммуникационным сетям.

Другим важным свойством  информации является ее целостность (integrty). Информация целостна, если она в любой момент времени правильно (адекватно) отражает свою предметную область. Целостность информации в информационных системах обеспечивается своевременным вводом в нее достоверной (верной) информации, подтверждением истинности информации, защитой от искажений и разрушения (стирания).

Несанкционированный доступ к информации лиц, не допущенных к  ней, умышленные или неумышленные ошибки операторов, пользователей или программ, неверные изменения информации вследствие сбоев оборудования приводят к нарушению  этих важнейших свойств информации и делают ее непригодной и даже опасной. Ее использование может  привести к материальному и/или  моральному ущербу, поэтому создание системы защиты информации, становится актуальной задачей. Под безопасностью  информации понимают защищенность информации от нежелательного ее разглашения (нарушения конфиденциальности), искажения (нарушения целостности), утраты или снижения степени доступности информации, а также незаконного ее тиражирования.

Безопасность информации в информационной системе или  телекоммуникационной сети обеспечивается способностью этой системы сохранять  конфиденциальность информации при  ее вводе, выводе, передаче, обработке  и хранении, а также противостоять  ее разрушению, хищению или искажению. Безопасность информации обеспечивается путем организации допуска к  ней, защиты ее от перехвата, искажения  и введения ложной информации. С  этой целью применяются физические, технические, аппаратные, программно-аппаратные и программные средства защиты. Последние занимают центральное место в системе обеспечения безопасности информации в информационных системах и телекоммуникационных сетях.

Задачи обеспечения безопасности²:

- защита информации в  каналах связи и базах данных  криптографическими методами;

- подтверждение подлинности  объектов данных и пользователей  (аутентификация сторон, устанавливающих  связь);

- обнаружение нарушений  целостности объектов данных;

- обеспечение защиты технических  средств и помещений, в которых  ведется обработка конфиденциальной  информации, от утечки по побочным  каналам и от возможно внедренных  в них электронных устройств  съема информации;

- обеспечение защиты программных  продуктов и средств вычислительной  техники от внедрения в них  программных вирусов и закладок;

- защита от несанкционированных  действий по каналу связи от  лиц, не допущенных к средствам  шифрования, но преследующих цели  компрометации секретной информации  и дезорганизации работы абонентских  пунктов;

- организационно-технические  мероприятия, направленные на  обеспечение сохранности конфиденциальных  данных.

1.2 Меры и методы защиты информации

 

Для обеспечения безопасности информации в офисных сетях проводятся различные мероприятия, объединяемые понятием «система защиты информации». Система защиты информации – это  совокупность мер, программно-технических  средств, правовых и морально-этических  норм, направленных на противодействие  угрозам нарушителей с целью  сведения до минимума возможного ущерба пользователям и владельцам системы.

Традиционные меры для  противодействия утечкам информации подразделяются на технические и организационные³.

К техническим мерам можно  отнести защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем, организацию вычислительных сетей  с возможностью перераспределения  ресурсов в случае нарушения работоспособности  отдельных звеньев, установку оборудования обнаружения и тушения пожара, оборудования обнаружения воды, принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов, установку  резервных систем электропитания, оснащение  помещений замками, установку сигнализации и многое другое.

К организационным мерам  можно отнести охрану серверов, тщательный подбор персонала, исключение случаев  ведения особо важных работ только одним человеком, наличие плана  восстановления работоспособности  сервера после выхода его из строя, универсальность средств защиты от всех пользователей (включая высшее руководство).

Несанкционированный доступ к информации может происходить  во время профилактики или ремонта  компьютеров за счет прочтения остаточной информации на носителях, несмотря на ее удаление пользователем обычными методами. Другой способ – прочтение  информации с носителя во время его  транспортировки без охраны внутри объекта или региона.

Современные компьютерные средства построены на интегральных схемах. При работе таких схем происходят высокочастотные изменения уровней  напряжения и токов, что приводит к возникновению в цепях питания, в эфире, в близрасположенной аппаратуре и т.п. электромагнитных полей и наводок, которые с помощью специальных средств можно трансформировать в обрабатываемую информацию. С уменьшением расстояния между приемником нарушителя и аппаратными средствами вероятность такого рода съема и расшифровки информации увеличивается.

Несанкционированное ознакомление с информацией возможно также  путем непосредственного подключения  нарушителем «шпионских» средств к каналам связи и сетевым аппаратным средствам.

Традиционными методами защиты информации от несанкционированного доступа  являются идентификация и аутентификация, защита паролями.⁴

Идентификация и аутентификация. В компьютерных системах сосредоточивается  информация, право на пользование которой принадлежит определенным лицам или группам лиц, действующим в порядке личной инициативы или в соответствии с должностными обязанностями. Чтобы обеспечить безопасность информационных ресурсов, устранить возможность несанкционированного доступа, усилить контроль санкционированного доступа к конфиденциальной либо к подлежащей засекречиванию информации, внедряются различные системы опознавания, установления подлинности объекта (субъекта) и разграничения доступа. В основе построения таких систем находится принцип допуска и выполнения только таких обращений к информации, в которых присутствуют соответствующие признаки разрешенных полномочий.

Ключевыми понятиями в  этой системе являются идентификация  и аутентификация. Идентификация  – это присвоение какому-либо объекту  или субъекту уникального имени  или образа. Аутентификация – это установление подлинности, т.е. проверка, является ли объект (субъект) действительно тем, за кого он себя выдает.

Конечная цель процедур идентификации и аутентификации объекта (субъекта) – допуск его к информации ограниченного пользования в случае положительной проверки либо отказ в допуске в случае отрицательного исхода проверки.

Объектами идентификации  и аутентификации могут быть: люди (пользователи, операторы и др.); технические  средства (мониторы, рабочие станции, абонентские пункты); документы (ручные, распечатки и др.); магнитные носители информации; информация на экране монитора и др.

Установление подлинности  объекта может производиться  аппаратным устройством, программой, человеком  и т.д.

Защита паролями. Пароль – это совокупность символов, определяющая объект (субъекта). При выборе пароля возникают вопросы о его размере, стойкости к несанкционированному подбору, способам его применения. Естественно, чем больше длина пароля, тем большую безопасность будет обеспечивать система, ибо потребуются большие усилия для его отгадывания. При этом выбор длины пароля в значительной степени определяется развитием технических средств, их элементной базой и быстродействием.

В случае применения пароля необходимо периодически заменять его  на новый, чтобы снизить вероятность его перехвата путем прямого хищения носителя, снятия его копии и даже физического принуждения человека. Пароль вводится пользователем в начале взаимодействия с компьютерной системой, иногда и в конце сеанса (в особо ответственных случаях пароль нормального выхода может отличаться от входного). Для правомочности пользователя может предусматриваться ввод пароля через определенные промежутки времени.