Защита информации и безопасность информационных систем

Быстрое развитие процессов автоматизации, проникновение компьютеров во все сферы современной жизни привели к необходимости обеспечения эффективной защиты информации и средств ее обработки − информационных и телекоммуникационных технологий и систем.

Термин безопасность в законе РФ «О безопасности» определяется как «состояние защищенности жизненно важных интересов личности, общества, государства от внутренних и внешних угроз». Информационная безопасность как составная часть экономической безопасности включает в себя комплексную программу обеспечения безопасности информационных ресурсов предприятия; экономически обоснованную технологическую систему защиты, обеспечивающую должный уровень защищенности, готовности, надежности информационных систем и безопасность информации.

Безопасность информации − это обеспечение ее конфиденциальности, целостности и доступности законным пользователем или, иными словами, обеспечение состояния защищенности информации, обрабатываемой средствами информационных технологий и систем, от внутренних и внешних угроз.

Под угрозой безопасности понимают случайные или намеренные действия, приведшие к утечке, копированию, блокированию, модификации или утрате информации. Разработчики требований безопасности и средств защиты выделяют три вида угроз: угрозы нарушения конфиденциальности обрабатываемой информации, угрозы нарушения целостности обрабатываемой информации и угрозы нарушения работоспособности системы.

Угрозы нарушения конфиденциальности направлены на разглашение информации, т. е. информация становится доступной лицу, не имеющему на нее прав. Иногда для описания этого процесса используется термин несанкционированный доступ. Угрозы нарушения целостности представляют собой любое ис-кажение или изменение неавторизированным на это действие лицом хранящейся в информационной системе или передаваемой информации. Целостность информации может быть нарушена как злоумышленником, так и в результате объективных воздействий со стороны среды эксплуатации системы. Наиболее актуальна эта угроза для телекоммуникационных технологий и систем. Угрозы нарушения работоспособности направлены на создание ситуации, когда в результате преднамеренных действий ресурсы вычислительной системы становятся недоступными.

Цель защиты информации и систем обработки информации − противодействие угрозам безопасности, что обеспечивается комплексом организационно-технологических и программно-технических мер по защите информации и средств ее обработки. Комплекс этих мер называют политикой безопасности.

Для организации системы защиты на предприятиях необходимо провести анализ источников информации, требующих защиты, выполнить анализ угроз безопасности и возможные способы реализации угроз, а также выбрать адекватные способы и средства защиты. В общем виде концептуальная модель защиты информации представлена на рис. 5.

Рис. 5. Концептуальная модель защиты информации

Источники информации − это материальный объект, обладающий определенной информацией, представляющий конкретный интерес для злоумышленников или конкурентов. Выделяют следующие источники информации:

– люди (сотрудники, обслуживающий персонал, контрагенты компании и т. д.);

– документы различного характера и назначения;

– публикации: доклады, статьи, интервью, проспекты, книги, специализированные периодические издания;

– технические носители информации − материальные объекты, в том числе и физические поля, в которых сведения, составляющие тайну, находят свое отображение в виде символов, образов, сигналов, технических решений и процессов;

– технические средства обработки информации, средства связи и средства обеспечения производственной и трудовой деятельности;

– выпускаемая продукция;

– производственные и промышленные отходы.

В соответствии со статьей 21 закона РФ «Об информации, информатизации и защите информации» выделяют следующие виды информации по условиям защиты: общедоступная информация, открытая информация, информация о гражданах и конфиденциальная информация. Конфиденциальная информация в свою очередь подразделяется на информацию, составляющую государственную тайну, и собственно конфиденциальную информацию. Обобщенный перечень конфиденциальной информации приведен в Указе Президента РФ № 188 от 6 марта 1997 г.

Угрозы безопасности деятельности предприятий и информации можно подразделить на внешние и внутренние. Их перечень обширен и для каждого предприятия или организации индивидуален. Общими для всех являются угрозы стихийных бедствий, техногенных катастроф и деятельность людей (непреднамеренные ошибки персонала или преднамеренные действия злоумышленников). В Доктрине информационной безопасности России приводится следующий перечень угроз информационным системам:

– противоправный сбор и использование информации;

– нарушение технологии обработки информации;

– внедрение аппаратных и программных закладок, нарушающих нормальное функционирование информационной системы;

– создание и распространение вредоносных программ;

– уничтожение и повреждение информационной системы и каналов связи;

– компрометация ключей и средств криптографической защиты;

– утечка информации по техническим каналам;

– хищение, повреждение, уничтожение носителей информации;

– несанкционированный доступ в информационную систему, базы и банки данных.