Учебник Под редакцией доктора экономических наук, профессора Л. А. Каргиной
 Скачать 4.86 Mb.
|
Управление доступом. Идентификация и аутентификацияПонятие «управление доступом» подразумевает про- цесс обеспечения защиты информации при условии управления всеми ресурсами автоматизированной ком- пьютерной системы. Это технические, программные, информационные средства. Для обеспечения эффективной работы с информацией и вычислительной техникой, для достижения максималь- ной степени их защищенности, необходимо проведение разграничения доступа между пользователями системы. Разграничение доступа пользователей к информа- ции и средствам автоматизации осуществляется по таким параметрам, как: вид информации, степень ее секретности, назначение; выполняемые функции; способы и время обработки, и др. В основу метода разграничения доступа заложен про- цесс идентификации. «Идентификация — присвоение объектам и субъектам доступа определенного идентифи- катора и (или) сравнение заявленного идентификатора с перечнем присвоенных идентификаторов». Иными сло- вами, идентификатор — это признак, по которому опре- деляется объект или субъект. Цель идентификации — установление подлинности объекта или субъекта. Объектами идентификации могут быть человек, техническое устройство, носители информа- ции, документы и т. д. В качестве идентификатора могут выступать коды паролей, которые содержатся в специаль- ных носителях (электронные ключи, карточки), штрих- коды (например, произведенная продукция), биометри- ческие системы опознания личностей (например, голос, отпечаток пальца, радужная оболочка глаза, ладонь). Чаще всего при идентификации используются па- роли, представляющие собой набор букв, символов, слов. Простые пароли проще запомнить, но их легче подобрать методом перебора или подсмотреть во время ввода в систему, поэтому они не обеспечивают надежную защиту. Для обеспечения более высокой степени защиты применяют более сложные пароли, которые трудно под- даются запоминанию и, поэтому записываются на специ- альные носители. В паре с процессом идентификации выступает про- цесс аутентификации. «Аутентификация — проверка принадлежности субъекту доступа предъявленного им идентификатора, подтверждение подлинности» [14]. «Аутентификация или контроль подлинности (равен- ства, тождественности) состоит в проверке введенного (представленного) идентификатора пользователя или устройства с целью получения допуска к системе или ее компонентам» [6]. Каждый объект или субъект заинтересован в обеспе- чении информационной безопасности. В связи с этим периодически проводится аудит паролей, используемых на объекте на подбор, взлом. Поэтому для обеспечения надежности парольной защиты необходимо управление сроками использования паролей, заменой, существенным повышением их сложности. Выполнение этих функций осуществляет, как правило, администратор. В настоящее время, в век цифровых технологий, наблюдается замена многих бумажных документов субъ- ектов на биометрическую идентификацию. Для осуществления надежной защиты информа- ции в настоящее время используется широкий спектр защитных мер, к которым относятся законодательные, морально-этические, организационные, физические, тех- нические и программные средства. Комплексное исполь- зование этих средств обеспечивает более высокую степень защиты. При этом необходимо заметить, что разработка комплекса мер по защите информации должна осущест- вляться параллельно с процессом проектирования и соз- дания информационной системы. Только в этом случае можно проработать все требования к обеспечению без- опасности системы на основе изучения ее узких мест и надежно защитить такую систему. Система защиты информации не может быть создана однажды и навсегда; это мероприятие не одномоментно, а непрерывный про- цесс принятия надлежащих мер на всех стадиях жизнен- ного цикла системы, начиная со стадии проектирования до стадий внедрения и эксплуатации. Не существует совершенной, непреодолимой системы защиты. Любую систему защиты можно взломать, вопрос упирается лишь в количество времени и используемых средств и в квали- фикацию специалиста в этой области. Создание высоко- эффективной системы защиты информации — дорого- стоящий процесс. Поэтому необходимо соблюдать баланс между ценностью защищаемой информации, систем, тех- нологий и затратами, связанными с обеспечением безо- пасности, т. е. уровень защиты должен быть достаточным, чтобы риск, затраты и возможность причиненного убытка были бы приемлемы. Не последняя роль отводится и пер- сональной ответственности каждого сотрудника, наделен- ного определенными полномочиями и обязанностями [6]. |