Защита информации

Следует осознать ту степень зависимости  от компьютерной обработки данных, в которую попало современное  общество. Без всякого преувеличения  можно сказать, что необходима информационная гражданская оборона. Спокойно, без  нагнетания страстей, нужно разъяснять обществу не только преимущества, но и  опасности, связанные с использованием информационных технологий.

На  процедурном уровне можно выделить следующие классы мер:

• управление персоналом;
• физическая защита;
• поддержание работоспособности;
• реагирование на нарушения режима безопасности;
• планирование восстановительных работ.

Управление персоналом

Управление  персоналом начинается с приема нового сотрудника на работу и даже раньше - с составления описания должности. Уже на данном этапе желательно подключить к работе специалиста по информационной безопасности для определения компьютерных привилегий, ассоциируемых с должностью. Существует два общих принципа, которые  следует иметь в виду:

• разделение обязанностей;
• минимизация привилегий.

Принцип разделения обязанностей предписывает так распределять роли и ответственность, чтобы один человек не мог нарушить критически важный для организации  процесс.

Принцип минимизации привилегий предписывает выделять пользователям только те права  доступа, которые необходимы им для  выполнения служебных обязанностей. Назначение этого принципа очевидно - уменьшить ущерб от случайных или умышленных некорректных действий.

Программно-технический уровень информационной безопасности

Программно-технические  меры, то есть меры, направленные на контроль компьютерных сущностей - оборудования, программ и/или данных, образуют последний  и самый важный рубеж информационной безопасности. Напомним, что ущерб  наносят в основном действия легальных  пользователей, по отношению к которым  процедурные регуляторы малоэффективны. Главные враги - некомпетентность и  неаккуратность при выполнении служебных  обязанностей, и только программно-технические  меры способны им противостоять.

Компьютеры  помогли автоматизировать многие области  человеческой деятельности. Вполне естественным представляется желание возложить  на них и обеспечение собственной  безопасности. Даже физическую защиту все чаще поручают не охранникам, а  интегрированным компьютерным системам, что позволяет одновременно отслеживать  перемещения сотрудников и по организации, и по информационному  пространству.

Это вторая причина, объясняющая важность программно-технических мер.

Следует, однако, учитывать, что быстрое развитие информационных технологий не только предоставляет обороняющимся новые возможности, но и объективно затрудняет обеспечение надежной защиты, если опираться исключительно на меры программно-технического уровня. Причин тому несколько:

• повышение быстродействия микросхем, развитие архитектур с высокой степенью параллелизма позволяет методом грубой силы преодолевать барьеры (прежде всего криптографические), ранее казавшиеся неприступными;
• развитие сетей и сетевых технологий, увеличение числа связей между информационными системами, рост пропускной способности каналов расширяют круг злоумышленников, имеющих техническую возможность организовывать атаки;
• появление новых информационных сервисов ведет и к образованию новых уязвимых мест как "внутри" сервисов, так и на их стыках;
• конкуренция среди производителей программного обеспечения заставляет сокращать сроки разработки, что приводит к снижению качества тестирования и выпуску продуктов с дефектами защиты;
• навязываемая потребителям парадигма постоянного наращивания мощности аппаратного и программного обеспечения не позволяет долго оставаться в рамках надежных, апробированных конфигураций и, кроме того, вступает в конфликт с бюджетными ограничениями, из-за чего снижается доля ассигнований на безопасность.

Перечисленные соображения  лишний раз подчеркивают важность комплексного подхода к информационной безопасности, а также необходимость гибкой позиции при выборе и сопровождении  программно-технических регуляторов.

 

Методы защиты информации

Для защиты информации используют следующие основные методы: ранжирование, дезинформация, скрытие, морально-нравственные меры, учет, кодирование и шифрование, дробление.

 

Ранжирование  защищаемой информации осуществляется путем деления ее по степени секретности, разграничения доступа к ней в соответствии с имеющимся у пользователя допуском, предоставления отдельным пользователям индивидуальных прав на      пользование секретными документами и выполнение секретных работ. Разграничение доступа к информации может осуществляться по тематическому признаку или по признаку секретности информации. Этот метод является частным случаем метода скрытия, так как информация скрывается от тех пользователей, которые не имеют к ней допуска.

Дезинформация заключается в распространении заведомо ложных сведений относительно истинного       назначения          каких-либо          объектов или содержания защищаемых сведений. Она обычно проводится путем распространения ложной информации по различным каналам, имитацией или искажением признаков и свойств отдельных элементов объектов защиты, осуществлением ложных действий, по своим признакам похожих на интересующие соперника действия и др. Частным случаем дезинформации является легендирование – снабжение противника искаженными сведениями о характере и предназначении защищаемой информации или объекта, когда их наличие полностью не скрывается, а маскируются действительное предназначение и характер действий. На практике, учитывая очень высокую степень развития современных средств ведения разведки, является чрезвычайно сложным полное скрытие информации об объектах. Так, современные средства фоторазведки позволяют делать из космоса снимков с разрешающей способностью в несколько десятков сантиметров. Дробление (расчленение) информации на части осуществляется для того, чтобы знание какой-то одной ее части не позволило восстановить всю картину. Этот метод широко применяется при производстве средств вооружения, но может использоваться и для защиты технологических секретов, составляющих коммерческую тайну.

Скрытие защищаемой информации является одним из наиболее широко применяемых методов. Его сущность заключается в проведении следующих мероприятий:

- засекречивание информации, установление на носителях соответствующего ей грифа секретности и разграничение в связи с этим доступа к ней пользователей в соответствии с имеющимся у них допуском;

- устранение или ослабление технических демаскирующих признаков объектов защиты и технических каналов утечки информации.

Морально-нравственные методы защиты информации предполагают воспитательную работу с сотрудником, допущенным к секретным работам и документам, направленную на формирование у него определенных моральных принципов, взглядов и убеждений, таких как патриотизм, понимание важности защиты информации для него лично, его работы, организации, ведомства и государства в целом. При этом воспитательная работа может дополняться методами профилактики и контроля, иными способа ми привития положительных качеств у сотрудников.

Учет один из важнейших методов защиты информации, позволяющий контролировать наличие и местонахождение носителей защищаемой информации, а также данные о лицах, которые ими пользовались. Основными принципами учета являются:

- обязательность регистрации всех носителей защищаемой информации;

- однократность регистрации конкретного носителя такой информации;

- указание в учетах адреса, куда отправлен или где находится в настоящее время данный носитель засекреченной информации;

- единоличная ответственность за сохранность каждого носителя защищаемой информации.

Криптографическое закрытие информации заключается в преобразовании ее составных частей (слов, букв, слогов, цифр) с помощью специальных алгоритмов либо аппаратных решений и кодов ключей, т.е. в приведении к неявному виду. Для ознакомления с шифрованной информацией применяется обратный процесс – декодирование (дешифрование). Под кодированием понимается такой вид криптографического закрытия, когда некоторые элементы защищаемых данных заменяются заранее выбранными кодами (цифровыми, буквенными, буквенно-цифровыми сочетаниями и т.п.). Кодирование информации может производиться с использованием технических средств или вручную. Этот метод имеет две разновидности:

- смысловое, когда кодируемые элементы имеют вполне определенный смысл (слова, предложения, группы предложений);

- символьное, когда кодируется каждый символ защищаемого сообщения.

Под шифрованием понимается такой вид криптографического закрытия, при котором преобразованию подвергается каждый символ защищаемого сообщения. Все известные способы шифрования можно разбить на пять групп: подстановка (замена), перестановка, аналитическое преобразование, гаммирование и комбинированной шифрование. Шифрование информации обычно используется при передаче сообщений по техническим каналам связи (радио, проводным, компьютерным сетям). Для шифрования обычно используется специальная засекречивающая аппаратура (шифрмашины), аналоговые и цифровые скремблеры. О важности и эффективности такой меры защиты информации свидетельствует то, что государственным шифрам, кодам и соответствующей засекречивающей аппаратуре обычно присваивается наиболее высокий гриф секретности, так как они дают ключ к рассекречиванию перехваченных радиограмм.

Дробление (расчленение) информации на части осуществляется для того, чтобы знание какой-то одной ее части не позволило восстановить всю картину. Этот метод широко применяется при производстве средств вооружения, но может использоваться и для защиты технологических секретов, составляющих коммерческую тайну.

 

Заключение

Подводя итоги, следует упомянуть  о том, что известно множество  случаев, когда фирмы (не только зарубежные) ведут между собой настоящие  «шпионские войны», вербуя сотрудников  конкурента с целью получения  через них доступа к информации, составляющую коммерческую тайну. Регулирование  вопросов, связанных с коммерческой тайной, еще не получило в России достаточного развития. Имеющееся законодательство все же не обеспечивает соответствующего современным реалиям регулирования  отдельных вопросов, в том числе  и о коммерческой тайне. В то же время надо отдавать себе отчет, что  ущерб, причиненный разглашением коммерческой тайны, зачастую имеет весьма значительные размеры (если их вообще можно оценить). Наличие норм об ответственности, в  том числе уголовной, может послужить  работникам предостережением от нарушений  в данной области, поэтому целесообразно  подробно проинформировать всех сотрудников  о последствиях нарушений. Хотелось бы надеяться что создающаяся  в стране система защиты информации и формирование комплекса мер  по ее реализации не приведет к необратимым  последствиям на пути зарождающегося в России информационно - интеллектуального объединения со всем миром.

 

 

 

 

 

Список литературы

1. Симонович С.В. Информатика. Базовый курс. 2-е изд. - СПб.: Питер, 2004. — 640 с.
2. Информатика: Учебник / под ред. Проф. Н.В. Макаровой. - М.: Базовый курс. Теория. 2004 г.
3. Основы информационной безопасности. Учебное пособие для вузов / Е. Б. Белов, В. П. Лось, Р. В. Мещеряков, А. А. Шелупанов. -М.: Горячая линия - Телеком, 2006. - 544 с.: ил.
4. Федеральный закон Российской Федерации от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации».