Информационная безопасность – это защищенность информации и поддерживающей ее инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести ущерб владельцам или пользователям информации. Анализ основ информационной безопасности показал, что обеспечение безопасности является задачей комплексной. С одной стороны режима информационной, информационная безопасность предполагает, как минимум, обеспечение трех ее составляющих - доступность, целостность и конфиденциальность данных. И уже с учетом этого проблему информационной безопасности следует рассматривать комплексно. С другой стороны, информацией и информационными системами в буквальном смысле "пронизаны" все сферы общественной деятельности и влияние информации на общество все нарастает, поэтому обеспечение информационной безопасности также требует комплексного подхода.
В этой связи вполне закономерным является рассмотрение проблемы обеспечения информационной безопасности на нескольких уровнях, которые в совокупности обеспечивали бы защиту информации и информационных систем от вредных воздействий, наносящих ущерб субъектам информационных отношений.
Рассматривая проблему информационной безопасности в широком смысле, можно отметить, что в этом случае речь идет об информационной безопасности всего общества и его жизнедеятельности, при этом на информационную безопасность возлагается задача по минимизации всех отрицательных последствий от всеобщей информатизации и содействия развитию всего общества при использовании информации как ресурса его развития.
В этой связи основными задачами информационной безопасности в широком смысле являются:
· защита государственной тайны, т. е. секретной и другой конфиденциальной информации, являющейся собственностью государства, от всех видов несанкционированного доступа, манипулирования и уничтожения;
· защита прав граждан на владение, распоряжение и управление принадлежащей им информацией;
· защита прав предпринимателей при осуществлении ими коммерческой деятельности;
· защита конституционных прав граждан на тайну переписки, переговоров, личную тайну.
Рассматривая проблему информационной безопасности в узком смысле, отметим, что в этом случае речь идет
о совокупности методов и средств защиты информации и ее материальных носителей, направленных на обеспечение целостности, конфиденциальности и доступности информации.
Исходя из этого, выделим следующие задачи информационной безопасности:
· защита технических и программных средств информатизации от ошибочных действий персонала и техногенных воздействий, а также стихийных бедствий;
· защита технических и программных средств информатизации от преднамеренных воздействий.
С учетом изложенного выделим три уровня формирования режима информационной безопасности:
· законодательно-правовой;
· административный (организационный);
· программно-технический.
Законодательные меры в сфере информационной безопасности направлены на создание в стране законодательной базы, упорядочивающей и регламентирующей поведение субъектов и объектов информационных отношений, а также определяющей ответственность за нарушение установленных норм.
Политика безопасности организации (англ. organizational security policies) — совокупность документированных руководящих принципов, правил, процедур и практических приёмов в области безопасности, которые регулируют управление, защиту и распределение ценной информации.
Понятие политики безопасности
Каждая сетевая услуга, которую использует или предоставляет организация, создает риски для всей системы и сети, к которой она подключена. Создание комплексной системы защиты невозможно без политики безопасности.
Политика безопасности – это набор правил, которые применяются ко всем функциям компьютеров и других коммуникационных ресурсов, принадлежащих организации. На практике правила создаются службой безопасности предприятия, администратором безопасности или компаниями, которые предоставляют услуги по защите данных.
Все правила, указанные в политике безопасности, должны применяться к сотрудникам, компьютерам и другим вычислительно-коммуникационным ресурсам, которые принадлежат организации.
Правила ИБ включают:
-
физическую безопасность объекта. Охрана территории предприятия должна регулироваться общими правилами. Также доступ на объект рекомендуется контролировать, чтобы избежать риска проникновения злоумышленника;
-
безопасность персонала. Сюда относят обеспечение надлежащих условий труда, распределение сотрудников по отделам с конкретными рабочими задачами;
-
административную и сетевую безопасность – это правила разграничения доступа к данным и практическая реализация алгоритмов защиты локальных сетей предприятия.
Политика безопасности определяет, что
вы хотите защитить и что вы ожидаете от пользователей системы. Она обеспечивает основу для планирования безопасности при разработке новых объектов или расширения вашей текущей сети.
Правила ИБ описывают обязанности пользователя, такие как
защита конфиденциальной информации и
создание нетривиальных паролей. Также
политика безопасности должна описывать, кто и как будет следить за эффективностью и своевременным выполнением мер безопасности. Такой мониторинг помогает определить, может ли кто-либо попытаться обойти существующую систему защиты.
Цели безопасностиЧтобы
разработать свою политику безопасности, нужно
четко определить цели безопасности.
Цели – это
конкретные шаги, которые в итоге
реализуют правила ИБ. Эти
шаги включают в себя обучение сотрудников и внедрение необходимого
программного обеспечения, оборудования для соблюдения правил. Кроме того, когда вносятся изменения в вычислительную среду,
нужно обновлять политику безопасности. Это необходимо для того, чтобы специалисты могли
определить все новые риски, которые касаются нововведений.Для создания и выполнения политики безопасности у руководителя должны быть четкие цели.
Цели безопасности относятся к одной или нескольким из следующих
категорий:●защита ресурсов;
●аутентификация;
●авторизация;
●целостность;
●конфиденциальность;
●аудит безопасности.
Защита ресурсовСхема защиты ресурсов
должна гарантировать, что
только авторизованные пользователи могут получить доступ к
объектам системы. Возможность защиты всех типов системных ресурсов является основным показателем ее прочности.
Служба безопасности должна определить разные категории пользователей,
которые могут получить доступ к вашей системе. Кроме того, следует продумать, какую авторизацию доступа нужно предоставить этим группам юзеров в рамках создания политики информационной безопасности.
Аутентификация
Аутентификация – это проверка того, что ресурс (человек или машина) на другом конце сеанса действительно соответствует своим характеристикам. Постоянная аутентификация защищает систему от риска взлома, при котором злоумышленник использует ложную идентификацию для доступа к системе.
Традиционно для аутентификации используются пароли и имена пользователей, цифровые сертификаты или параметры биометрии человека (отпечатки пальцев, скан лица). Когда вы связываете свою систему с общедоступной сетью, такой как Интернет, аутентификация пользователя принимает новые параметры. Важным различием между Интернетом и обычной локальной сетью является надежность. Интрасеть позволяет контролировать весь входящий трафик и действия пользователей, в то время как Интернет является средой возможной атаки злоумышленника.
Следовательно, вы должны серьезно подумать о том, как использовать более сильные методы проверки подлинности, чем предоставляют традиционные процедуры ввода имени пользователя и пароля. У проверенных пользователей могут быть разные типы разрешений на основе их уровней авторизации.
Авторизация
Авторизация – это уверенность в том, что лицо или компьютер на другом конце сеанса имеют разрешение на выполнение запроса. Авторизация подразумевает, что существует риск получения доступа к системным ресурсам со стороны. Как правило, авторизация выполняется в контексте аутентификации.
Целостность
Целостность – это уверенность в том, что поступающая информация такая же, как и то, что было отправлено. Понимание целостности требует понимания понятий целостности данных и целостности системы.
Принципы целостности информации:
● Данные защищены от несанкционированных изменений или несанкционированного доступа.
● Защита от перехвата информации неавторизованными пользователями.
Проверка источников получения данных. Если информация поступает из Интернета или другой непроверенной среды, требуется применение дополнительных методик контроля.
Защита данных от модификации
и повреждения производится за счет алгоритмов шифрования.
Конфиденциальность
Секретные данные должны сохраняться. Злоумышленник не должен знать об их существовании. Конфиденциальность имеет решающее значение для обеспечения общей безопасности данных предприятия.
Она достигается с помощью таких принципов:
Шифрование с использованием цифровых сертификатов.
● Защищенное соединение Secure Socket Layer (SSL).
● Работа с Интернетом через виртуальные частные сети (VPN).
Все это помогает обеспечить конфиденциальность при передаче данных через ненадежные сети. Политика безопасности организации должна включать детальное описание шагов, выполнение которых обеспечивает ИБ и конфиденциальность данных в локальной и глобальной сети.
Аудит безопасности
Аудит безопасности – это мониторинг всех событий, которые связаны с получением доступа к сети. Всего рекомендуется использовать два типа записей – с указанием успешных авторизаций и подозрительных подключений. Неудачные попытки получения доступа являются первым сигналом попыток взлома.
Если уполномоченный сотрудник решил ознакомиться с результатами работы другого работника, такое действие должно быть внесено в журнал безопасности. Также нельзя выносить конфиденциальные данные за пределы охраняемого объекта. В случае необходимости передать бумажные копии нужно пользоваться услугами специальных курьерских компаний, которые занимаются передачей засекреченных данных между несколькими объектами.