БИЛЕТ №61

Различают три вида обеспечения информационной безопасности (ИБ): правовое, организационное и инженерно-техническое.

Правовое обеспечение ИБ является основой для реализации остальных двух видов обеспечения. Необходимость правового обеспечения ИБ обусловлена возможностью осуществления компьютерных преступлений. Правовое обеспечение основывается на действующих в стране указах и других нормативных актах, регламентирующих правила обращения с информацией и ответственность за их нарушения. Данный вид обеспечения организуется и осуществляется государством.

Организационное обеспечение ИБ основывается на мерах, регламентирующих процессы функционирования систем обработки данных, использования их ресурсов, деятельность персонала, а также порядок взаимодействия пользователей с системой таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности циркулирующей в ней информации.

Этот вид обеспечения играет особую роль в силу следующих причин:

ü организационные меры обеспечивают исполнение существующих нормативных актов и строятся с учетом существующих правил поведения, принятых в организации;

ü для эффективного применения организационные меры должны быть поддержаны физическими и техническими средствами;

ü применение и использование технических средств требует соответствующей организационной поддержки.

Организационное обеспечение безопасности информационных систем предполагает организацию и осуществление:

ü мероприятий, осуществляемых при проектировании, строительстве и оборудовании вычислительных центров и других объектов систем обработки данных;

ü мероприятий по разработке правил доступа пользователей к ресурсам системы (разработка политики безопасности);

ü мероприятий, осуществляемых при подборе и подготовке персонала системы;

ü надежных систем охраны и пропускного режима;

ü учета, хранения, использования и уничтожения документов и носителей с информацией;

ü явного и скрытого контроля работы пользователей;

ü мероприятий, осуществляемых при проектировании, разработке, ремонте и модификации оборудования и программного обеспечения.

Ответственность за этот вид обеспечения ИБ несет руководитель предприятия. В зависимости от масштабов предприятия выполнение данных мероприятий может быть возложено на руководителей структурных подразделений и сотрудников.

Инженерно-техническое обеспечение информационной безопасности реализуется в двух направлениях: физическая защита элементов информационных систем; программная и аппаратно-программная защита данных.

Первое направление реализуется путем физической защиты кабельных систем и систем энергоснабжения, а также защиты данных путем их дублирования. Также сюда относят разного рода механические, электро- и электронно-механические устройства и сооружения, специально предназначенные для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам информационных систем и защищаемой информации, а также технические средства визуального наблюдения, связи и охранной сигнализации.

Для осуществления программной и аппаратно-программной защиты данных используются разнообразные средства, среди которых можно выделить:

1. Средства предупреждения угроз безопасности:

а) системы разграничения доступа;

б) криптографические средства;

в) антивирусные мониторы и фильтры;

г) межсетевые экраны (файрволлы) и шлюзы;

2. Средства выявления угроз безопасности:

а) системы аудита и «ревизоры»;

б) антивирусные сканеры;

в) системные и сетевые мониторы;

3. Средства минимизации ущерба:

а) системы резервного копирования;

б) средства обеспечения отказоустойчивости.

63.
Правовое обеспечение информационной безопасности.

Созданием законодательной (правовой) основы в области информационной безопасности занимается каждое государство, стремясь защитить свои информационные ресурсы и технологии. И Россия здесь не исключение. Нормативная правовая база по вопросам информационной безопасности включает в себя:

• Конституцию Российской Федерации (далее – РФ);

• Кодексы РФ;

• Международные договоры и соглашения;

• Федеральные законы РФ;

• Указы Президента РФ;

• Постановления Правительства РФ;

• Стандарты и технические регламенты;

• Руководящие документы и другие нормативно-методические документы уполномоченных государственных структур.

64. Концепция национальной безопасности Российской Федерации. Доктрина информационной безопасности Российской Федерации.

Доктрина информационной безопасности Российской Федерации — совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности Российской Федерации.

Доктрина информационной безопасности Российской Федерации была утверждена 9 сентября 2000 года Президентом Российской Федерации В.В. Путиным.

Понятие информационной безопасности в доктрине[править | править вики-текст]

Информационная безопасность - это состояние защищенности национальных интересов в информационной сфере, определяемых совокупностью сбалансированных интересов личности, общества и государства.

Составляющие национальных интересов Российской Федерации в информационной сфере в доктрине:[править | править вики-текст]

1) Обязательное соблюдение конституционных прав и свобод человека в области получения информации и пользования ею.

2) Информационное обеспечение государственной политики РФ(доведение до граждан РФ и международной общественности о государственной политике РФ, официальной позиции по значимым событиям в России и в мире) с доступом граждан к открытым государственным ресурсам.

3) Развитие современных ИТ отечественной индустрии (средств информатизации, телекоммуникации и связи). Обеспечение ИТ внутреннего рынка России и выход на мировые рынки.

4) Защита информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и телекоммуникационных систем.

Виды угроз информационной безопасности РФ в доктрине[править | править вики-текст]

1. Угрозы, направленные на конституционные права и свободы человека в области информационной деятельности.

2. Угрозы информационному обеспечению государственной политики РФ.

3. Угроза развитию современных ИТ отечественной индустрии, а также выходу на внутренний и мировой рынок.

4. Угрозы безопасности информационных и телекоммуникационных средств и систем.

Методы обеспечения информационной безопасности РФ в доктрине:[править | править вики-текст]

Правовые методы

- Разработка нормативных правовых актов, регламентирующих отношения в сфере ИТ

- разработка нормативных методических документов отвечающим по вопросам информационной безопасности РФ

Организационно-технические методы

- создание системы информационной безопасности РФ и ее совершенствование

- привлечение лиц к ответственности, совершивших преступления в этой сфере

- создание систем и средств для предотвращения несанкционированного доступа к обрабатываемой информации

- выявление средств и устройств представляющих опасность для нормального функционирования систем, предотвращение перехвата информации с применение средств криптографической защиты как при передаче информации, так и при ее хранении

- контроль за выполнением требований по защите информации

- контроль за действиями персонала, имеющих доступ к информации, подготовка кадров в области обеспечения информационной безопасности РФ

- создание системы мониторинга информационной безопасности

организационно-техническая система, обеспечивающая процесс создания, управления доступом и распространения электронных документов в компьютерных сетях, а также обеспечивающая контроль над потоками документов в организации.

Система поддержки принятия решений или СППР (Decision Support Systems, DSS) — это компьютерная система, которая путем сбора и анализа большого количества информации может влиять на процесс принятия решений организационного плана в бизнесе и предпринимательстве. Интерактивные системы позволяют руководителям получить полезную информацию из первоисточников, проанализировать ее, а также выявить существующие бизнес-модели для решения определенных задач. С помощью СППР можно проследить за всеми доступными информационными активами, получить сравнительные значения объемов продаж, спрогнозировать доход организации при гипотетическом внедрении новой технологии, а также рассмотреть все возможные альтернативные решения.

Интеллектуа́льная систе́ма (ИС, англ. intelligent system) — это техническая или программная система, способная решать задачи, традиционно считающиесятворческими, принадлежащие конкретной предметной области, знания о которой хранятся в памяти такой системы. Структура интеллектуальной системы включает три основных блока — базу знаний, механизм вывода решений и интеллектуальный интерфейс[1].

Интеллектуальные системы изучаются группой наук, объединяемых под названием «искусственный интеллект».

В технологиях принятия решений интеллектуальная система — это информационно-вычислительная система с интеллектуальной поддержкой, решающая задачи без участия человека — лица, принимающего решение (ЛПР), в отличие от интеллектуализированной системы, в которой оператор присутствует[2].

70.Компоненты и службы Интернета.

Перейдем к службам Всемирной сети. С их помощью мы будем извлекать из Интернета максимальную пользу, вот только познакомимся с ними и сразу начнем извлекать.

Электронная почта (E-mail)

Это одна из самых старых служб Интернета. В настоящее время любой уважающий себя бизнесмен вместе с номерами контактных телефонов указывает в визитке адрес электронной почты.

Электронная почта позволяет обмениваться электронными письмами. Электронные письма – это текстовые файлы, созданные в специальных почтовых программах. Перед отправкой к письму можно присоединить какой-нибудь файл: фотографию, файл Microsoft Word, архив и т. д.

Электронная почта работает на основе почтового протокола POP (Post Office Protocol). Принцип его действия простой. В почтовой программе вы пишете письмо и отправляете его на сервер своей исходящей почты. Затем письмо начинает путешествовать по Сети, пока не доберется до сервера входящей почты адресата. Там письмо хранится, пока получатель не соединится с Интернетом и не загрузит его (письмо) в свою почтовую программу с сервера входящей почты. После чего, если письмо его заинтересует, адресат напишет вам ответ.

Ответ сначала отправляется на сервер исходящей почты вашего адресата, потом путешествует по Сети, пока не доберется до вашего сервера входящей почты. Вам остается только войти в Интернет и загрузить ответ на свой компьютер с помощью почтовой программы.

Электронная почта на данный момент является самым удобным, дешевым и быстрым способом обмена информацией. Скорость доставки может изменяться от нескольких секунд до нескольких часов.[5]

FTP

File Transfer Protocol (протокол передачи файлов) используется для загрузки файлов из сетей, поддерживающих стандарт TCP/IP, то есть из Интернета. Имеется в виду, что в Сети тут и там находятся специальные FTP-серверы, на которых выложены полезные и интересные программы, драйверы и текстовые файлы (энциклопедии, техническая и художественная литература). Файлы можно скачать за деньги или бесплатно. В принципе, существуют специальные программы для работы с FTP-серверами, но и хорошо знакомый Проводник Windows также легко работает с протоколом FTP (см. урок 12, разд. «Загрузка файлов с FTP-cep-веров»).

Группы новостей

Группы новостей

(телеконференции) являются логическим продолжением идеи электронной почты. Только в данном случае общается множество пользователей. Телеконференция представляет собой что-то вроде доски объявлений с тематическими разделами. В определенном разделе пользователь может прочитать интересующие его сообщения (статьи) и при желании вступить в дискуссию.

Одна из старейших систем телеконференций, Usenet, была установлена в 1970 году между двумя американскими университетами для помощи разработчикам операционной системы UNIX, и первые программы для общения были созданы для данной ОС. В Windows для доступа к группам новостей можно воспользоваться программой электронной почты, правда, специалисты утверждают, что она очень неудобная и реализует только минимальные возможности.

Службы мгновенных сообщений

Одной из старейших служб, позволяющей общаться с помощью Интернета в режиме реального времени, является IRC (Internet Relay Chat), или просто чат[6]. Общение происходит путем обмена текстовыми сообщениями, которые отображаются в окне специальной программы.

Чем чат отличается от телеконференции? Тем же, чем разговор отличается от переписки. На телеконференцию зашел, почитал, что пишут, подумал и добавил что-нибудь умное. А в чат заскочил и, как пела Алла Борисовна: «Привет-привет, пока-пока», – болтовня, одним словом.

С помощью специальных программ (ICQ, MSN Messenger, AOL Instant Messenger) можно обмениваться со сколь угодно удаленным собеседником мгновенными (то есть очень быстрыми) текстовыми сообщениями. Если ваш компьютер укомплектован звуковой картой, микрофоном и колонками или наушниками, то можно даже разговаривать друг с другом, как по телефону. А если подключить еще и цифровую камеру, то столь красочно описываемый в научной фантастике видеотелефон наконец придет и в ваш дом. Но имейте в виду, чтобы нормально «видеообщаться», канал, через который вы подключаетесь к Интернету, должен иметь хорошую пропускную способность.

Word Wide Web

Общепризнанный перевод словосочетания Word Wide Web – Всемирная паутина. Для этой службы используются также обозначения Web (веб) и WWW.

Всемирная паутина была изобретена намного позже остальных служб Интернета, в 1989 году, и очень быстро стала популярной. Появление WWW произвело настоящую революцию в развитии Глобальной сети. Сегодня WWW и Интернет – практически синонимы, так как с помощью веб-интерфейса можно передавать файлы, работать с почтой, общаться в чатах, на форумах или в гостевых комнатах (аналог групп новостей, только не в почтовой программе, а в WWW).

72.Системы EDI (Electronic Data Interchange) - обмен электронными документами.

Система электронного обмена данными - EDI (Electronic Data Interchange) - позволяет автоматизировать создание, отправку, получение и обработку любых электронных документов и интегрировать их с действующими бизнес-приложениями. Процесс работы EDI выглядит довольно просто: система извлекает данные для отправки из программного приложения отправителя и автоматически пересылает их от одного контрагента к другому (бизнес-партнеров может быть неограниченное количество) (рисунок 1). При этом в процессе пересылки EDI переводит информацию в стандартный формат, сохраняя содержание. Совместимость бизнес-приложений различных контрагентов не играет никакой роли. Сообщение отображается и создается в удобном для пользователя интерфейсе. Документы для конечного пользователя выглядят как обычная форма, которую предлагают заполнить для регистрации на сайтах, либо как по формам информационных систем (например, 1С, Microsoft Axapta, Sap). Следует помнить, что принципиальное отличие рассматриваемой технологии от систем внутреннего документооборота заключается в том, что EDI - межкорпоративная и даже межотраслевая система обмена электронными документами.

73.Основные принципы защиты информации в Интернете.

Под принципами защиты информации понимаются основные идеи и важнейшие рекомендации по вопросам организации и осуществлению работ для эффективной защиты

конфиденциальной информации.

Данные принципы вырабатывались на протяжении длительной практики в организации работ по защите информации. Использование данных принципов позволяет эффективно организовать работу системы безопасности, а пренебрежение ими негативно сказывается на сохранении защищаемой информации.

Принципы защиты информации можно условно разделить на три следующих группы:

• правовые принципы;

• организационные принципы;

• принципы, реализуемые при защите информации от TCP.

Правовые принципы защиты данных

Правовое регулирование защиты информации опирается на принципы информационного права. Данные принципы, базирующиеся на положениях основных конституционных норм, закрепляют информационные права и свободы, а так же гарантируют их осуществление. Кроме того, основные правовые принципы защиты информации основываются на особенностях и юридических свойствах информации как полноценного объекта правоотношений.

Правовые принципы защиты информации:

• законность;

• приоритет международного права над внутригосударственным;

• собственность и экономическая целесообразность.

Организационные принципы защиты данных

Роль организационной защиты информации в системе мер безопасности определяется своевременностью и правильностью принимаемых руководством управленческих решений, при учете имеющихся в распоряжении средств, способов и методов защиты информации, также на основе действующих нормативно-методических документов.

Организационные методы защиты предполагают проведение организационно-технических и организационно-правовых мероприятий, а так же включают в себя следующие принципы защиты информации:

• научный подход к организации защиты информации;

• системный и комплексный подход к организации защиты информации;

• ограничение числа допускаемых лиц к защищаемой информации;

• личная ответственность персонала за сохранность доверенной информации;

• единство мнений в решении производственных, коммерческих и финансовых вопросов;

• непрерывность процесса защиты информации.

Принципы защиты информации от ТСР (технические средства разведки)

• активная защита информации -целенаправленное навязывание разведке ложных представлений об объекте и его устремлениях, соответственно замыслу защиты;

• убедительная защита информации - принцип, состоящий в оправданности замысла и мер защиты условиям и обстановке. Соответствует характеру защищаемого объекта, а также свойствам окружающей среды, позволяющих применение технических средств защиты в подходящих климатических, сезонных и других условиях;

• непрерывность процесса защиты информации, что предполагает организацию защиты объектов на всех стадиях жизненного цикла разработки и эксплуатации;

• разнообразие средств защиты информации - исключение шаблонов на этапе выбора объектов прикрытия и разнообразных путей реализации