ПЗ 1 (Защита ИМ). Лабораторная работа 1 дисциплина Информационный менеджмент Защита информации и информационная безопасность
 Скачать 155.5 Kb.
|
|
Лабораторная работа №1 дисциплина Информационный менеджмент Защита информации и информационная безопасность Теоретический раздел Термины и понятия Цель: Познакомить студентов с проблемами информационной безопасности и основными направлениями их решения; дать представление с принципах и подходах к решению задач защиты информации; выработать навыки разработки политики информационной безопасности, применения современных методов и средств защиты информационных ресурсов предприятий. Основные понятия. Информационная безопасность и ее составные части. Понятия целостности, конфидециальности, аутентичности и доступности информации. Защищенность информационных ресурсов, систем и технологий. Основы информационной безопасности. Концепция и общие направления обеспечения информационной безопасности. Угрозы безопасности, стратегия и тактика защиты информации. Современное состояние проблемы информационной безопасности. Категории информационной безопасности. Модели защиты информации (Biba, Goguen-Mesenguer, Clark-Wilson). Технологии несанкционированного доступа к информационным ресурсам и системам. Принципы построения систем защиты информации. Стандарты безопасности информационных систем. Программно-аппаратные методы защиты информации. Структура подсистем безопасности операционных систем (Windows, UNIX), их функции: идентификация, разграничение доступа, аудит, защита обмена данных. Критерии защищенности OS. Защита PC: ограничение доступа, хранение ключевой информации, привязка программного обеспечения к аппаратному окружению и физическим носителям. Криптографические методы защиты информации. Классификация алгоритмов шифрования информации. Криптографические стандарты. Безопасность компьютерных сетей. Защита серверов, рабочих станций, среды передачи информации, узлов коммутации сетей. Защита от вирусов, межсетевые экраны (Firewall), анализ трафика. Системы обеспечения корпоративной безопасности информации. Комплексный подход к проблеме защиты информации. Уровни (административный, процедурный, программно-технический) и приоритеты политики безопасности. Анализ рисков, исследование защищенности информации. Обзор новейших технологий защиты информации. В современной рыночной экономике обязательным условием успеха предпринимателя в бизнесе, получения прибыли и сохранения целостности созданной им организационной структуры является обеспечение экономической безопасности его деятельности. Одной из главных составных частей экономической информации является информационная безопасность. Проблемы безопасности становятся все более сложными и практически значимыми в связи с массовым переходом информационных технологий в управление на безбумажную автоматизированную основу. Информационная безопасность носит концептуальный характер и предполагает решение комплекса задач поддержания безопасности информационных ресурсов фирмы (организации). Под безопасностью информационных ресурсов (информации) понимаются защищенности информации во времени и пространстве от любых объективных и субъективных угроз (опасностей), возникающих в обычных условиях функционирования фирмы (организации) и условиях экстремальных ситуаций: стихийных бедствий, других неуправляемых событий, пассивных и активных попыток злоумышленника создать потенциальную или реальную угрозу несанкционированного доступа к документам, делам, базам данных. Необходимый уровень безопасности информационных ресурсов определяется в процессе различных аналитических исследований, которые предопределяют структуру и требуемую эффективность системы защиты этих ресурсов с учетом финансовых возможностей фирмы (организации). В решении проблемы информационной безопасности значительное место занимает построение эффективной системы организации работы с персоналом, обладающим конфиденциальной информацией. В предпринимательских структурах персонал обычно включает в себя всех сотрудников данной фирмы (организации), в том числе и руководителей. Никакая, даже самая совершенная в организационном плане и великолепно оснащенная технически система защиты информации не может соперничать с изобретательностью человека, задумавшего украсть или уничтожить ценную информацию. Многие специалисты по защите информации считают, что при правильной организации работы с персоналом защита информации фирмы (организации) сразу обеспечивает не менее чем на 80%, без применения каких-либо дополнительных методов и средств защиты. Обеспечение безопасности информации в информационных системах от случайных или преднамеренных воздействий персонала, направленных на неправомерное использование, уничтожение, модификацию тех или иных данных, изменение степени доступности ценных сведений в машинной и внешнемашинной сферах предполагают наличие надежной защиты ценных для предпринимателя документов, прежде всего конфиденциальных документов. Необходимый уровень защищенности документированной информации достигается в значительной степени за счет использования в обработке традиционных, машиночитаемых и электронных конфиденциальных документов эффективной для конкретной фирмы специализированной традиционной или автоматизированной технологической системы, позволяющей решать задачи не только документального обеспечения управленческой и производственной деятельности, но и сохранности носителей и конфиденциальности информации. 1.2. Информационные ресурсы и конфиденциальность информации Информационные ресурсы (информация) являются объектами отношений юридических и физических лиц между собой и с государством. В совокупности они составляют информационные ресурсы России и защищаются наряду с другими ресурсами. Документирование информации (создание официального документа) является обязательным условием включения информации в информационные ресурсы. Следует учитывать, что документ может быть не только и даже не столько управленческим (деловым), имеющим в большинстве случаев текстовую, табличную или анкетную форму. Значительно большие объемы наиболее ценных документов представлены в изобразительной форме: конструкторские документы, картографические, научно-технические, документы на фотографических, магнитных и иных носителях. В соответствии с интересами обеспечения национальной безопасности и степенью ценности, а также правовыми, экономическими и другими интересами предпринимательских структур информационные ресурсы могут быть: а) открытыми, то есть общедоступными, используемыми в работе без специального разрешения, публикуемые в средствах массовой информации, оглашаемыми на конфе ренциях, в выступлениях и интервью; б) ограниченного доступа и использования, то есть содержащие сведения, составляющие тот или иной вид тайны и подлежащие защите, охране, наблюдению и контролю. Накопители информационных ресурсов называются источниками (обладателями) информации. Они включают в себя: публикации о фирме и ее разработках; рекламные издания, выставочные материалы, документацию; персонал фирмы и окружающих фирму людей; 4) физические поля, волны, излучения, сопровождающие работу вычислительной и другой офисной техники, различных приборов и средств связи. Источники содержат информацию как открытого, так и ограниченного доступа. Причем информация того и другого рода находится в едином социальном пространстве и разделить ее без тщательного содержательного анализа часто не представляется возможным. Документация как источник информации ограниченного доступа включает: документацию, содержащую ценные сведения, ноу-хау; комплексы обычной деловой и научно-технической документации, содержание общеизвестных сведений, организационно-правовые и распорядительные документы; рабочие записи сотрудников, их служебные дневники, личные рабочие планы, переписку по производственным вопросам; личные архивы сотрудников фирмы. В каждой из указанной групп могут быть: документы на обыкновенных бумажных носителях (листах бумаги, ватмане, фотобумаге и тому подобное); документы на технических носителях (магнитных, фотопленочных и другие); электронные документы, банки электронных документов, видеограммы и тому подобное. Каналы распространения носят объективный характер, отличаются активностью и включают в себя: деловые, управленческие, торговые, научные и другие коммуникативные регламентированные связи; информационные сети; естественные технические каналы излучения, создания фона. Канал распространения информации представляет собой путь перемещения сведений из одного источника в другой в санкционированном режиме или в силу объективных закономерностей. Ценность информации может быть стоимостной категорией и характеризовать конкретный размер прибыли при ее использовании или размер убытков при ее утрате. Информация часто становится ценной ввиду ее правового значения для фирмы или развития бизнеса. Обычно выделяют два вида информации, интеллектуально ценной для предпринимателя: техническая, технологическая: методы изготовления продукции, программное обеспечение, производственные показатели, химические формулы, рецептуры, результаты испытаний опытных образцов, данные контроля качества и другие; деловая: стоимостные показатели, результаты исследования рынка, списки клиентов, экономические прогнозы, стратегия действий на рынке и тому подобное. Ценная информация охраняется нормами права, товарным знаком или защищается включением ее в категорию информации, составляющей тайну фирмы. Состав этих сведений фиксируется в специальном перечне, закрепляющем факт отнесения их к защищаемой информации и определяющем период конфиденциальности этих сведений, уровень (гриф) конфиденциальности, список сотрудников фирмы (организации), которым дано право использовать эти сведения в работе. Перечень представляет собой классифицированный список типовой и конкретной ценной информации о проводимых работах, производимой продукции, научных и деловых идеях, технологических новшествах и является постоянным рабочим материалом руководства фирмы и служб безопасности. Производственная или коммерческая ценность информации, как правило, недолговечна и определяется временем, необходимым конкуренту для выработки той же идеи или ее хищения и воспроизводства, а также временем до патентования, опубликования и перехода в число общеизвестных. Под конфиденциальным (закрытым, защищаемым) документом понимается необходимым образом оформленный носитель документированной информации, содержащий сведения ограниченного доступа или использования, которые составляют интеллектуальную собственность юридического или физического лица. Конфиденциальные документы включают в себя: в государственных структурах — служебную информацию ограниченного распространения, то есть информацию, отнесенную к служебной тайне, а также документы, имеющие рабочий характер и не подлежащие публикации в открытой печати (проекты документов, сопутствующие материалы и так далее); в предпринимательских структурах и направлениях подобной деятельности — сведения, которые их собственник или владелец в соответствии с законодательством имеет право отнести к коммерческой (предпринимательской) тайне, тайне фирмы, тайне мастерства; независимо от принадлежности — любые персональные (личные) данные о гражданах, а также сведения, содержащие профессиональную тайну, технические и технологические новшества (до их патентования), тайну предприятий связи, сферы обслуживания и тому подобное. Особенностью конфиденциального документа является то, что он представляет собой одновременно: массовый носитель ценной, защищаемой информации; основной источник накопления и объективного распространения этой информации, а также ее неправомерного разглашения или утечки; • обязательный объект защиты. Конфиденциальность документов всегда имеет значительный разброс по срокам ограничения свободного доступа к ней персонала фирмы (от нескольких часов до значительного числа лет). Следует учитывать, что основная масса конфиденциальных документов после окончания их исполнения или работы с ними теряет свою ценность. Период конфиденциальности документов определяется по перечню, указанному выше, и специфики деятельности фирмы. 1.3. Угрозы конфиденциальной информации Под угрозой или опасностью утраты информации понимается единичное или комплексное, реальное или потенциальное, активное или пассивное проявление неблагоприятных возможностей внешних или внутренних источников угрозы создавать критические ситуации, события, оказывать дестабилизирующее воздействие на защищаемую информацию, документы и базы данных. Риск угрозы любым информационным ресурсам создают стихийные бедствия, аварии технических средств и линий связи, другие объективные обстоятельства, а также заинтересованные и незаинтересованные в возникновении угрозы лица. К угрозам, создаваемым этими лицами, относятся: несанкционированное уничтожение документов, ускорение угасания (старения) текста или изображения, подмена и изъятие документов, фальсификация текста или его части и другие. Основной угрозой безопасности информационных ресурсов ограниченного распространения является несанкционированный доступ злоумышленника или постороннего лица к документированной информации и, как результат, овладение информацией и противоправное ее использование или совершение иных действий. Целью и результатом может быть не только овладение ценными сведениями и их использование, но и их видоизменение, подмена, уничтожение и тому подобное. Обязательным условием успешного осуществления попытки несанкционированного доступа к информационным ресурсам ограниченного доступа является интерес к ним со стороны конкурентов, определенных лиц, служб и организаций. При отсутствии такого интереса угроза информации не возникает даже в том случае, если создались предпосылки для ознакомления с ней постороннего лица. Основным виновником несанкционированного доступа к информационным ресурсам является, как правило, персонал, работающий с документами, информацией и базами данных. При этом надо иметь в виду, что утрата информации происходит в большинстве случаев не в результате преднамеренных действий, а из-за невнимательности и безответственности персонала. Следовательно, утрата информационных ресурсов ограниченного доступа может наступить: при наличии интереса конкурента, учреждений, фирм или лиц к конкретной информации; при возникновении риска угрозы, организованной злоумышленником, или при случайно сложившихся обстоятельствах; при наличии условий, позволяющих злоумышленнику осуществить необходимые действия и овладеть информацией. Утрата информации характеризуется двумя условиями: информация переходит непосредственно к заинтересованному лицу — конкуренту, злоумышленнику; случайному, третьему лицу. Переход информации к третьему лицу представляется достаточно частным явлением, и его можно назвать непреднамеренным, стихийным, хотя при этом факт разглашения информации, нарушения ее безопасности имеет место. Непреднамеренный переход информации к третьему лицу возникает в результате: утери или неправильного уничтожения документа, пакета с документами, дела, конфиденциальных записей; игнорирования или умышленного невыполнения сотрудником требований по защите документированной информации; излишней разговорчивости сотрудников при отсутствии злоумышленника (с коллегами по работе, родственниками, друзьями, иными лицами в местах общего пользования, транспорте и тому подобное); работы с документами ограниченного доступа при посторонних лицах, несанкционированной передачи их другому сотруднику; использование сведений ограниченного доступа в открытой документации, публикациях, интервью, личных записях, дневниках и тому подобное; отсутствия маркировки (грифования) информации и документов ограниченного доступа (в том числе документов на технических носителях); наличия в документах излишней информации ограниченного доступа; самовольного копирования сотрудником документов в служебных или коллекционных целях. В отличие от третьего лица злоумышленник или его сообщник целенаправленно охотятся за конкретной информацией и преднамеренно, противоправно устанавливают контакт с источником этой информации или преобразуют канал ее объективного разглашения или утечки. Такие каналы всегда являются тайной злоумышленника. Каналы несанкционированного доступа могут быть двух типов: организационные и технические. Обеспечиваются они легальным и нелегальным методами. Организационные каналы разглашения информации отличаются большим разнообразием видов и основаны на установлении разнообразных, в том числе законных, взаимоотношений злоумышленника с фирмой или ее сотрудником для последующего несанкционированного доступа к интересующей информации. Организационные каналы отбираются или формируются злоумышленником индивидуально или в соответствии с его профессиональным умением, конкретной ситуацией, прогнозировать их крайне сложно. Широкие возможности несанкционированного получения подобных сведений создает техническое обеспечение офисных технологий. Любая управленческая деятельность всегда связана с обсуждением ценной информации в кабинетах или по линиям связи, проведением расчетов и анализа ситуации на ЭВМ, изготовлением, размножением документов. Технические каналы утечки информации возникают при использовании специальных технических средств промышленного шпионажа, позволяющих получать информацию без непосредственного контакта с персоналом фирмы, документами, делами и базами данных. Технический канал представляет собой физический путь утечки информации от источника или канала объективного распространения информации к злоумышленнику. В целях практической реализации поставленных задач могут быть определены не только каналы несанкционированного доступа к информации фирмы, но и совокупность методов получения этой информации. Легальные методы входят в содержание понятий «невинного шпионажа» и «разведки в бизнесе», отличаются правовой безопасностью и, как правило, предопределяют возникновение интереса к конкурирующей фирме. Они дают злоумышленнику основную массу интересующей его информации и позволяют определить состав отсутствующих сведений, которые предстоит добыть нелегальными методами. Нелегальные методы получения ценной информации всегда носят незаконный характер и используются в целях доступа к защищаемой информации, которую невозможно получить легальным путем. Нелегальные методы предполагают: воровство, продуманный обман, подделку идентифицирующих документов, взяточничество, инсценирование или организацию экстремальных ситуаций, использование различных криминальных приемов. В результате эффективного использования каналов несанкционированного доступа к информации ограниченного доступа и различных методов ее добывания злоумышленник получает: • подлинник или официальную копию документа (бумажного, машиночитаемого, электронного), содержащего информацию ограниченного доступа; несанкционированно сделанную копию этого документа (рукописную или изготовленную с помощью копировального аппарата, фототехники, компьютера); диктофонную, магнитофонную, видеокассету с записью текста документа, переговоров, совещания; письменное или устное изложение за пределами фирмы содержания документа, ознакомление с которым осуществлялось санкционировано или тайно; устное изложение текста документа по телефону, переговорному устройству, специальной радиосвязи; аналог документа, переданного по факсимильной связи или электронной почте; речевую или визуальную запись текста документа, выполненную с помощью технических средств разведки. Получение ценных документов или информации ограниченного доступа может быть единичным явлением или регулярным процессом, протекающим на протяжении относительно длительного времени. |