Отделка 

Какими способами обеспечивается информационная безопасность в системе. Средства обеспечения информационной безопасности

Информационная безопасность , как и защита информации, задача комплексная, направленная на обеспечение безопасности, реализуемая внедрением системы безопасности. Проблема защиты информации является многоплановой и комплексной и охватывает ряд важных задач. Проблемы информационной безопасности постоянно усугубляются процессами проникновения во все сферы общества технических средств обработки и передачи данных и, прежде всего, вычислительных систем.

На сегодняшний день сформулировано три базовых принципа, которые должна обеспечивать информационная безопасность:

целостность данных - защита от сбоев, ведущих к потере информации, а также зашита от неавторизованного создания или уничтожения данных;

конфиденциальность информации;

При разработке компьютерных систем, выход из строя или ошибки в работе которых могут привести к тяжелым последствиям, вопросы компьютерной безопасности становятся первоочередными. Известно много мер, направленных на обеспечение компьютерной безопасности, основными среди них являются технические, организационные и правовые.

Обеспечение безопасности информации - дорогое дело, и не только из-за затрат на закупку или установку средств защиты, но также из-за того, что трудно квалифицированно определить границы разумной безопасности и обеспечить соответствующее поддержание системы в работоспособном состоянии.

Средства зашиты информации нельзя проектировать, покупать или устанавливать до тех пор, пока не произведен соответствующий анализ.

На сайте анализируется информационная безопасность и ее место в системе национальной безопасности, определяются жизненно важные интересы в информационной сфере и угрозы для них. Рассмотрены вопросы информационной войны, информационного оружия, принципы, основные задачи и функции обеспечения информационной безопасности, функции государственной системы по обеспечению информационной безопасности, отечественные и зарубежные стандарты в области информационной безопасности. Значительное внимание уделяется также правовым вопросам информационной безопасности.

Так же рассматриваются общие вопросы защиты информации в автоматизированных системах обработки данных (АСОД), предмет и объекты зашиты информации, задачи защиты информации в АСОД. Рассмотрены типы преднамеренных угроз безопасности и методы защиты информации в АСОД. Рассмотрены методы и средства подтверждения подлинности пользователей и разграничения их доступа к компьютерным ресурсам, контроля доступа к аппаратуре, использования простых и динамически изменяющихся паролей, методы модификации схемы простых паролей, функциональные методы.

Основные принципы построения системы информационной безопасности.

При построении системы информационной безопасности объекта следует руководствоваться следующими принципами:

Непрерывность процесса совершенствования и развития системы информационной безопасности, заключающаяся в обосновании и реализации наиболее рациональных методов, способов и путей защиты информации, непрерывном контроле, выявлении узких и слабых мест и потенциально возможных каналов утечки информации и несанкционированного доступа.

Комплексное использование всего арсенала имеющихся средств защиты на всех этапах производства и обработки информации. При этом все используемые средства, методы и мероприятия объединяются в единый, целостный механизм - систему информационной безопасности.

Контроль функционирования, обновление и дополнение механизмов защиты в зависимости от изменения возможных внутренних и внешних угроз.

Надлежащая подготовка пользователей и соблюдение ими всех установленных правил сохранения конфиденциальности. Без выполнения этого требования никакая система информационной безопасности не может обеспечить требуемого уровня защиты.

Важнейшим условием обеспечения безопасности являются законность, достаточность, соблюдение баланса интересов личности и предприятия, взаимная ответственность персонала и руководства, взаимодействие с государственными правоохранительными органами.

10) Этапы построения ИБ

Этапы построения.

1. Комплексный анализ информационной системы

предприятия на различных уровнях. Анализ рисков.

2. Разработка организационно-распорядительных и

регламентирующих документов.

3. Обучение, повышение квалификации и

переподготовка специалистов.

4. Ежегодная переоценка состояния информационной

безопасности предприятия

11) Брандмаузер

Брандмауэры и антивирусные пакеты.

Брандмауэр (иногда его называют межсетевым экраном) помогает повысить безопасность компьютера. Он ограничивает информацию, поступающую на компьютер с других компьютеров, позволяя лучше контролировать данные на компьютере и обеспечивая линию обороны компьютера от людей или программ (включая вирусы и «черви»), которые несанкционированно пытаются подключиться к компьютеру. Можно считать брандмауэр пограничным постом, на котором проверяется информация (часто называемая трафик), приходящая из Интернета или локальной сети. В ходе этой проверки брандмауэр отклоняет или пропускает информацию на компьютер в соответствии с установленными параметрами.

От чего защищает брандмауэр?

Брандмауэр МОЖЕТ:

1. Блокировать компьютерным вирусам и «червям» доступ на компьютер.

2. Запросить пользователя о выборе блокировки или разрешения для определенных запросов на подключение.

3. Вести учет (журнал безопасности) - по желанию пользователя - записывая разрешенные и заблокированные попытки подключения к компьютеру.

От чего брандмауэр не защищает?

Он не может:

1. Обнаружить или обезвредить компьютерных вирусов и «червей», если они уже попали на компьютер.

3. Блокировать спам или несанкционированные почтовые рассылки, чтобы они не поступали в папку входящих сообщений.

АППАРАТНЫЕ И ПРОГРАММНЫЕ БРАНДМАУЭРЫ

Аппаратные брандмауэры - отдельные устройства, которые весьма быстры, надежны, но очень дороги, поэтому обычно они используются лишь для защиты крупных вычислительных сетей. Для домашних же пользователей оптимальны межсетевые экраны, встроенные в маршрутизаторы, коммутаторы, беспроводные точки доступа и др. Комбинированные маршрутизаторы-брандмауэры обеспечивают двойную защиту от атак.

Программный брандмауэр - это защитная программа. По принципу действия она аналогична аппаратному брандмауэру, но более «дружественна» к пользователю: у нее больше готовых настроек и часто есть программы-мастера, которые помогают в настройке. С ее помощью вы сможете разрешать или запрещать другим программам доступ в Интернет.

Антивирусная программа (антивирус) - любая программа для обнаружения компьютерных вирусов, а также нежелательных (считающихся вредоносными) программ вообще и восстановления зараженных (модифицированных) такими программами файлов, а также для профилактики - предотвращения заражения (модификации) файлов или операционной системы вредоносным кодом.

12) Классификация вычислительных систем

В зависимости от территориального расположения абонентских систем

вычислительные сети можно разделить на три основных класса:

глобальные сети (WAN - Wide Area Network);

региональные сети (MAN - Metropolitan Area Network);

Локальные сети (LAN - Local Area Network).

Основные топологии ЛВС

Топология ЛВС - это геометрическая схема соединений узлов сети.

Топологии вычислительных сетей могут быть самыми различными, но

для локальных вычислительных сетей типичными являются всего три:

Кольцевая,

Звездообразная.

Любую компьютерную сеть можно рассматривать как совокупность

Узел - любое устройство, непосредственно подключенное к

передающей среде сети.

Кольцевая топология предусматривает соединение узлов сети замкнутой кривой - кабелем передающей среды. Выход одного узла сети соединяется со входом другого. Информация по кольцу передается от узла к узлу. Каждый промежуточный узел между передатчиком и приемником ретранслирует посланное сообщение. Принимающий узел распознает и получает только адресованные ему сообщения.

Кольцевая топология является идеальной для сетей, занимающих сравнительно небольшое пространство. В ней отсутствует центральный узел, что повышает надежность сети. Ретрансляция информации позволяет использовать в качестве передающей среды любые типы кабелей.

Последовательная дисциплина обслуживания узлов такой сети снижает ее быстродействие, а выход из строя одного из узлов нарушает целостность кольца и требует принятия специальных мер для сохранения тракта передачи информации.

Шинная топология - одна из наиболее простых. Она связана с использованием в качестве передающей среды коаксиального кабеля. Данные от передающего узла сети распространяются по шине в обе стороны. Промежуточные узлы не транслируют поступающих сообщений. Информация поступает на все узлы, но принимает сообщение только тот, которому оно адресовано. Дисциплина обслуживания параллельная.

Это обеспечивает высокое быстродействие ЛВС с шинной топологией. Сеть легко наращивать и конфигурировать, а также адаптировать к различным системам Сеть шинной топологии устойчива к возможным неисправностям отдельных узлов.

Сети шинной топологии наиболее распространены в настоящее время. Следует отметить, что они имеют малую протяженность и не позволяют использовать различные типы кабеля в пределах одной сети.

Звездообразная топология базируется на концепции центрального узла, к которому подключаются периферийные узлы. Каждый периферийный узел имеет свою отдельную линию связи с центральным узлом. Вся информация передается через центральный узел, который ретранслирует, переключает и маршрутизирует информационные потоки в сети.

Звездообразная топология значительно упрощает взаимодействие узлов ЛВС друг с другом, позволяет использовать более простые сетевые адаптеры. В то же время работоспособность ЛВС со звездообразной топологией целиком зависит от центрального узла.

В реальных вычислительных сетях могут использоваться более развитые топологии, представляющие в некоторых случаях сочетания рассмотренных.

Выбор той или иной топологии определяется областью применения ЛВС, географическим расположением ее узлов и размерностью сети в целом.

Internet – всемирная информационная компьютерная сеть, представляющая собой объединение множества региональных компьютерных сетей и компьютеров, обменивающих друг с другом информацией по каналам общественных телекоммуникаций (выделенным телефонным аналоговым и цифровым линиям, оптическим каналам связи и радиоканалам, в том числе спутниковым линиям связи).

Провайдер - поставщик сетевых услуг – лицо или организация, предоставляющие услуги по подключению к компьютерным сетям.

Хост (от англ. host - «хозяин, принимающий гостей») - любое устройство, предоставляющее сервисы формата «клиент-сервер» в режиме сервера по каким-либо интерфейсам и уникально определённое на этих интерфейсах. В более частном случае под хостом могут понимать любой компьютер, сервер, подключённый к локальной или глобальной сети.

Сетево́й протоко́л - набор правил и действий (очерёдности действий), позволяющий осуществлять соединение и обмен данными между двумя и более включёнными в сеть устройствами.

IP-адрес (айпи-адрес, сокращение от англ. Internet Protocol Address) - уникальный сетевой адрес узла в компьютерной сети, построенной по протоколу IP. В сети Интернет требуется глобальная уникальность адреса; в случае работы в локальной сети требуется уникальность адреса в пределах сети. В версии протокола IPv4 IP-адрес имеет длину 4 байта.

Доменное имя - символьное имя, помогающее находить адреса интернет-серверов.

13) Задачи одноранговой сети

Информационная безопасность Российской Федерации является одной из составляющих национальной безопасности Российской Федерации и оказывает влияние на защищенность национальных интересов Российской Федерации в различных сферах жизнедеятельности общества и государства. Угрозы информационной безопасности Российской Федерации и методы ее обеспечения являются общими для этих сфер.

В различных сферах жизнедеятельности имеются свои особенности обеспечения информационной безопасности, связанные со спецификой объектов обеспечения безопасности, степенью их уязвимости в отношении угроз информационной безопасности Российской Федерации.

Общие методы обеспечения информационной безопасности Российской Федерации разделяются на правовые, организационно-технические и экономические.

Рис. 5.1. Методы обеспечения информационной безопасности

К правовым методам обеспечения информационной безопасности Российской Федерации относится разработка нормативных правовых актов, регламентирующих отношения в информационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности Российской Федерации.

Наиболее важными направлениями этой деятельности являются:

 внесение изменений и дополнений в законодательство Российской Федерации, регулирующее отношения в области обеспечения информационной безопасности, в целях создания и совершенствования системы обеспечения информационной безопасности Российской Федерации, устранения внутренних противоречий в федеральном законодательстве, противоречий, связанных с международными соглашениями, к которым присоединилась Российская Федерация, и противоречий между федеральными законодательными актами и законодательными актами субъектов Российской Федерации, а также в целях конкретизации правовых норм, устанавливающих ответственность за правонарушения в области обеспечения информационной безопасности Российской Федерации;



 законодательное разграничение полномочий в области обеспечения информационной безопасности Российской Федерации между федеральными органами государственной власти и органами государственной власти субъектов Российской Федерации, определение целей, задач и механизмов участия в этой деятельности общественных объединений, организаций и граждан;

 разработка и принятие нормативных правовых актов Российской Федерации, устанавливающих ответственность юридических и физических лиц за несанкционированный доступ к информации, ее противоправное копирование, искажение и противозаконное использование, преднамеренное распространение недостоверной информации, противоправное раскрытие конфиденциальной информации, использование в преступных и корыстных целях служебной информации или информации, содержащей коммерческую тайну;

 уточнение статуса иностранных информационных агентств, средств массовой информации и журналистов, а также инвесторов при привлечении иностранных инвестиций для развития информационной инфраструктуры России;

 законодательное закрепление приоритета развития национальных сетей связи и отечественного производства космических спутников связи;

 определение статуса организаций, предоставляющих услуги глобальных информационно-телекоммуникационных сетей на территории Российской Федерации, и правовое регулирование деятельности этих организаций;

 создание правовой базы для формирования в Российской Федерации региональных структур обеспечения информационной безопасности.

К организационно-техническим методам обеспечения информационной безопасности Российской Федерации относятся:

 создание и совершенствование системы обеспечения информационной безопасности Российской Федерации;

 усиление правоприменительной деятельности федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, включая предупреждение и пресечение правонарушений в информационной сфере, а также выявление, изобличение и привлечение к ответственности лиц, совершивших преступления и другие правонарушения в этой сфере;

 разработка, использование и совершенствование средств защиты информации и методов контроля эффективности этих средств, развитие защищенных телекоммуникационных систем, повышение надежности специального программного обеспечения;

 создание систем и средств предотвращения несанкционированного доступа к обрабатываемой информации и специальных воздействий, вызывающих разрушение, уничтожение, искажение информации, а также изменение штатных режимов функционирования систем и средств информатизации и связи;

 выявление технических устройств и программ, представляющих опасность для нормального функционирования информационно-телекоммуникационных систем, предотвращение перехвата

информации по техническим каналам, применение криптографических средств защиты информации при ее хранении, обработке и передаче по каналам связи, контроль за выполнением специальных требований по защите информации;

 сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандартизация способов и средств защиты информации;

 совершенствование системы сертификации телекоммуникационного оборудования и программного обеспечения автоматизированных систем обработки информации по требованиям информационной безопасности;

 контроль за действиями персонала в защищенных информационных системах, подготовка кадров в области обеспечения информационной безопасности Российской Федерации;

 формирование системы мониторинга показателей и характеристик информационной безопасности Российской Федерации в наиболее важных сферах жизни и деятельности общества и государства.

К экономическим методам обеспечения информационной

безопасности Российской Федерации относятся:

 разработку программ обеспечения информационной безопасности Российской Федерации и определение порядка их финансирования;

 совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов защиты информации, создание системы страхования информационных рисков физических и юридических лиц.

Обеспечение информационной безопасности Российской Федерации в сфере экономики играет ключевую роль в обеспечении национальной безопасности Российской Федерации.

Воздействию угроз информационной безопасности Российской Федерации в сфере экономики наиболее подвержены:

 система государственной статистики;

 кредитно-финансовая система;

 информационные и учетные автоматизированные системы подразделений федеральных органов исполнительной власти, обеспечивающих деятельность общества и государства в сфере экономики;

 системы бухгалтерского учета предприятий, учреждений и организаций независимо от формы собственности;

 системы сбора, обработки, хранения и передачи финансовой, биржевой, налоговой, таможенной информации и информации о внешнеэкономической деятельности государства, а также предприятий, учреждений и организаций независимо от формы собственности.

Переход к рыночным отношениям в экономике вызвал появление на внутреннем российском рынке товаров и услуг множества отечественных и зарубежных коммерческих структур – производителей и потребителей информации, средств информатизации и защиты информации. Бесконтрольная деятельность этих структур по созданию и защите систем сбора, обработки, хранения и передачи статистической, финансовой, биржевой, налоговой, таможенной информации создает реальную угрозу безопасности России в экономической сфере. Аналогичные угрозы возникают при бесконтрольном привлечении иностранных фирм к созданию подобных систем, поскольку при этом складываются благоприятные условия для несанкционированного доступа к конфиденциальной экономической информации и для контроля за процессами ее передачи и обработки со стороны иностранных спецслужб.

Критическое состояние предприятий национальных отраслей промышленности, разрабатывающих и производящих средства информатизации, телекоммуникации, связи и защиты информации, приводит к широкому использованию соответствующих импортных средств, что создает угрозу возникновения технологической зависимости России от иностранных государств.

Серьезную угрозу для нормального функционирования экономики в целом представляют компьютерные преступления, связанные с проникновением криминальных элементов в компьютерные системы и сети банков и иных кредитных организаций.

Недостаточность нормативной правовой базы, определяющей ответственность хозяйствующих субъектов за недостоверность или сокрытие сведений об их коммерческой деятельности, о потребительских свойствах производимых ими товаров и услуг, о результатах их хозяйственной деятельности, об инвестициях и тому подобном, препятствует нормальному функционированию хозяйствующих субъектов. В то же время существенный экономический ущерб хозяйствующим субъектам может быть нанесен вследствие разглашения информации, содержащей коммерческую тайну. В системах сбора, обработки, хранения и передачи финансовой, биржевой, налоговой, таможенной информации наиболее опасны противоправное копирование информации и ее искажение вследствие преднамеренных или случайных нарушений технологии работы с информацией, несанкционированного доступа к ней. Это касается и федеральных органов исполнительной власти, занятых формированием и распространением информации о внешнеэкономической деятельности Российской Федерации.

Основными мерами по обеспечению информационной безопасности Российской Федерации в сфере экономики являются:

 организация и осуществление государственного контроля за созданием, развитием и защитой систем и средств сбора, обработки,

хранения и передачи статистической, финансовой, биржевой, налоговой, таможенной информации;

 коренная перестройка системы государственной статистической отчетности в целях обеспечения достоверности, полноты и защищенности информации, осуществляемая путем введения строгой

юридической ответственности должностных лиц за подготовку первичной информации, организацию контроля за деятельностью этих лиц и служб обработки и анализа статистической информации, а

также путем ограничения коммерциализации такой информации;

 разработка национальных сертифицированных средств защиты информации и внедрение их в системы и средства сбора, обработки, хранения и передачи статистической, финансовой, биржевой, налоговой, таможенной информации;

 разработка и внедрение национальных защищенных систем электронных платежей на базе интеллектуальных карт, систем электронных денег и электронной торговли, стандартизация этих систем, а также разработка нормативной правовой базы, регламентирующей их использование;

 совершенствование нормативной правовой базы, регулирующей информационные отношения в сфере экономики;

 совершенствование методов отбора и подготовки персонала для работы в системах сбора, обработки, хранения и передачи экономической информации.

Наиболее важными объектами обеспечения информационной безопасности Российской Федерации в области науки и техники являются:

 результаты фундаментальных, поисковых и прикладных научных исследований, потенциально важные для научно-технического, технологического и социально-экономического развития страны, включая сведения, утрата которых может нанести ущерб национальным интересам и престижу Российской

Федерации;

 открытия, незапатентованные технологии, промышленные образцы, полезные модели и экспериментальное оборудование;

 научно-технические кадры и система их подготовки;

 системы управления сложными исследовательскими комплексами (ядерными реакторами, ускорителями элементарных частиц, плазменными генераторами и др.).

Ограничение доступа.

Ограничение доступа заключается в создании некоторой физической замкнутой преграды вокруг объекта защиты с организацией контролируемого доступа лиц, связанных с объектом защиты по

своим функциональным обязанностям.

Ограничение доступа к автоматизированной системе обработки информации (АСОИ) заключается:

 в выделении специальной территории для размещения АСОИ;

 в оборудовании по периметру выделенной зоны специальных ограждений с охранной сигнализацией;

 в сооружении специальных зданий или других сооружений;

 в выделении специальных помещений в здании;

 в создании контрольно-пропускного режима на территории, в зданиях и помещениях.

Задача средств ограничения доступа – исключить случайный и преднамеренный доступ посторонних лиц на территорию размещения АСОИ и непосредственно к аппаратуре. В указанных целях создается защитный контур, замыкаемый двумя видами преград: физической и контрольно-пропускной. Такие преграды часто называют системой охранной сигнализации и системой контроля доступа.

Традиционные средства контроля доступа в защищаемую зону заключаются в изготовлении и выдаче допущенным лицам специальных пропусков с размещенной на них фотографией личности владельца и сведений о нем. Данные пропуска могут храниться у владельца или непосредственно в пропускной кабине охраны. В последнем случае допущенное лицо называет фамилию и свой номер, либо набирает его на специальной панели кабины при проходе через турникет, пропускное удостоверение выпадает из гнезда и поступает в руки работника охраны, который визуально сверяет личность владельца с изображением на фотографии, названную фамилию с фамилией на пропуске. Эффективность защиты данной системы выше первой. При этом исключаются потеря пропуска, его перехват и подделка. Кроме того, есть резерв в повышении эффективности защиты с помощью увеличения количества проверяемых параметров. Однако основная нагрузка по контролю при этом ложится на человека, а он, как известно, может ошибаться.

К проверяемым параметрам можно отнести биометрические методы аутентификации человека.

Биометрические технологии

Биометрические технологии – это идентификация человека по уникальным, присущим только ему биологическим признакам.

На сегодняшний день биометрические системы доступа являются самыми надежными. Важным фактором увеличения популярности биометрической защиты является простота их эксплуатации, поэтому они становятся доступными для домашних пользователей.

Рис. 5.2. Статистика

Отпечатки пальцев

Идентификация человека по отпечаткам пальцев – самый распространенный способ, использующийся биометрическими системами защиты информации. Сегодня существует три технологии снятия отпечатков пальцев. Первая из них – это использование оптических сканеров. Принцип действия этих устройств практически идентичен принципам работы обычных сканеров. Главное достоинство оптических сканеров – это их дешевизна. К недостаткам следует отнести то, что это весьма капризные приборы, требующие постоянного ухода. Пыль, грязь и царапины могут отказать в допуске легальному пользователю, кроме того, отпечаток, полученный с помощью оптического сканера, очень сильно зависит от состояния кожи. Жирная или, наоборот, сухая и уж тем более потрескавшаяся кожа может послужить причиной размытости изображения и невозможности идентификации личности.

Вторая технология основана на использовании не оптических, а электрических сканеров. Суть ее заключается в следующем. Пользователь прикладывает палец к специальной пластине, которая со-

стоит из кремниевой подложки, содержащей 90 тысяч конденсаторных пластин с шагом считывания 500 тнд. При этом получается своеобразный конденсатор. Одна пластина – это поверхность сенсора, вторая – палец человека. А поскольку потенциал электрического поля внутри конденсатора зависит от расстояния между пластинами, то карта этого поля повторяет папиллярный рисунок пальца.

Электрическое поле измеряется, а полученные данные преобразуются в восьмибитовое растровое изображение. К достоинствам этой технологии можно отнести очень высокую точность получаемого отпечатка пальца, не зависящую от состояния кожи пользователя.

Система прекрасно сработает даже в том случае, если палец человека испачкан. Кроме того, само устройство имеет маленькие размеры, что позволяет использовать его во многих местах. Но есть

у электрического сканера и недостатки. Во-первых, изготовление сенсора, содержащего 90 тысяч конденсаторных пластин достаточно дорогое. Во-вторых, кремниевый кристалл, лежащий в основе скане-

ра, требует герметичной оболочки. А это накладывает дополнительные ограничения на условия применения системы, в частности на внешнюю среду, наличие вибрации и ударов. В-третьих, отказ от работы при наличии сильного электромагнитного излучения.

Третья технология идентификации человека по отпечаткам пальцев – TactileSense, разработанная компанией Who Vision Systems. В этих сканерах используется специальный полимерный материал, чувствительный к разности электрического поля между гребнями и впадинами кожи. То есть фактически принцип работы устройств TactileSense такой же, как и у электрических сканеров, но у них есть ряд преимуществ. Первое – стоимость производства полимерного сенсора в сотни раз меньше, чем цена кремниевого.

Второе – отсутствие хрупкой основы обеспечивает высокую прочность как поверхности сканера, так и всего устройства. Третье – миниатюрные размеры сенсора. Фактически для получения отпечатка нужна только пластинка площадью, равной площади подушечки пальца, и толщиной всего 0,075 мм. К этому нужно добавить небольшую электронную начинку. Получившийся сенсор настолько мал, что его можно без какого-либо ущерба встроить практически в любое компьютерное устройство.

Глаза

У человеческого глаза есть две уникальные для каждого человека характеристики. Это сетчатка и радужная оболочка. Первую для построения биометрических систем обеспечения информационной безопасности используют уже давно. В этих системах сканер определяет либо рисунок кровеносных сосудов глазного дна, либо отражающие и поглощающие характеристики самой сетчатки. Обе эти технологии считаются самыми надежными среди биометрических. Сетчатку невозможно подделать, ее нельзя сфотографировать или снять откуда-нибудь, как отпечаток пальца. Правда, недостатков у систем, работающих с сетчаткой глаза, более чем достаточно.

Во-первых, это высокая стоимость сканеров и их большие габариты.

Во-вторых, долгое время анализа полученного изображения (не менее одной минуты). В-третьих, – неприятная для человека процедура сканирования. Дело в том, что пользователь должен во время этого процесса смотреть в определенную точку. Причем сканирование осуществляется с помощью инфракрасного луча, из-за чего человек испытывает болезненные ощущения. И, наконец, в-четвертых, – значительное ухудшение качества снимка при некоторых заболеваниях, например при катаракте. А это значит, что люди

с ухудшенным зрением не смогут воспользоваться этой технологией.

Недостатки идентификации человека по сетчатке глаза привели к тому, что эта технология плохо подходит для использования в системах защиты информации. Поэтому наибольшее распространение она получила в системах доступа на секретные научные и военные объекты.

По-другому обстоят дела с системами, использующими для идентификации радужную оболочку глаза. Для их работы нужны только специальное программное обеспечение и камера. Принцип работы таких систем очень прост. Камера снимает лицо человека.

Программа из полученного изображения выделяет радужную оболочку. Затем по определенному алгоритму строится цифровой код, по которому и осуществляется идентификация. Данный метод имеет ряд преимуществ. Во-первых, небольшая цена. Во-вторых, ослабленное зрение не препятствует сканированию и кодированию идентифицирующих параметров. В-третьих, камера не доставляет никакого дискомфорта пользователям.

Лицо

На сегодняшний день существует две биометрические технологии, использующие для идентификации человека его лицо. Первая представляет специальное программное обеспечение, которое получает изображение с веб-камеры и обрабатывает его. На лице выделяются отдельные объекты (брови, глаза, нос, губы), для каждого из которых вычисляются параметры, полностью его определяющие. При этом многие современные системы строят трехмерный образ лица человека. Это нужно для того, чтобы идентификация оказалась возможной, например, при наклоне головы и повороте под небольшим углом. Достоинство у подобных систем одно – это цена. Ведь для работы нужны только специальное программное обеспечение и веб-камера, которая уже стала привычным атрибутом многих компьютеров. Недостатков идентификации человека по форме лица гораздо больше. Самый главный минус – низкая точность. Человек во время идентификации может не так повернуть голову, или его лицо может иметь не то выражение, которое хранится в базе данных. Кроме того, система, скорее всего, откажет в доступе женщине, которая накрасилась не так, как обычно, например изменив форму бровей. Можно еще вспомнить и близнецов, форма лица которых практически идентична.

Вторая технология, основанная на идентификации человека по его лицу, использует термограмму. Дело в том, что артерии человека, которых на лице довольно много, выделяют тепло. Поэтому, сфотографировав пользователя с помощью специальной инфракрасной камеры, система получает «карту» расположения артерий, которая и называется термограммой. У каждого человека она различна. Даже у однояйцевых близнецов артерии расположе ны по-разному. А поэтому надежность этого метода достаточно вы-

сока. К сожалению, он появился недавно и пока не получил большого распространения.

Ладонь

Так же как и в предыдущем случае существуют два способа идентификации человека по ладони. В первом используется ее форма. Основой системы является специальное устройство. Оно состоит из камеры и нескольких подсвечивающих диодов. Главная задача этого устройства – построить трехмерный образ ладони, который потом сравнивается с эталонными данными. Надежность этого способа идентификации довольно велика. Вот только прибор, сканирующий ладонь, – довольно хрупкое устройство. А поэтому условия его использования ограничены.

Вторая биометрическая технология, использующая ладонь человека, использует для идентификации термограмму. В общем, этот способ полностью идентичен определению пользователя

по термограмме лица, так что его достоинства и недостатки точно

такие же.

Динамические характеристики

Динамические параметры – это поведенческие характеристики, то есть те, которые построены на особенностях, характерных для подсознательных движений в процессе воспроизведения какого-либо действия. В биометрических системах чаще всего используются голос, почерк и клавиатурный почерк.

Главными достоинствами систем, идентифицирующих людей по голосу, являются низкая цена и удобство как для пользователей, так и для администраторов. Для этого необходимо специальное программное обеспечение и микрофон, подключенный к компьютеру. К недостаткам биометрических систем, использующих голос, в первую очередь следует отнести довольно низкую надежность. Дело в том, что, используя современные высококачественные устройства, можно записать и воспроизвести голос человека

и нет никакой гарантии, что система распознает подделку. Кроме того, простуда может немного изменить голос пользователя, в результате чего ему будет отказано в доступе.

Личная подпись для идентификации человека используется уже много веков. Первые компьютерные системы, использующие этот параметр, просто сравнивали полученную картинку

с эталоном. Но, к сожалению, этот способ идентификации очень ненадежен. При желании злоумышленник может натренироваться и легко подделать практически любую подпись. Поэтому современные системы не просто сравнивают две картинки, но и измеряют динамические характеристики написания (время нанесения подписи, динамику нажима на поверхность и т. п.). Естественно, что для этого нужно специальное оборудование. В большинстве случаев компьютер доукомплектовывается сенсорной поверхностью, похожей на графический планшет. Но все большую и большую популярность завоевывают специальные «ручки», способные измерять степень нажима во время «письма» и прочие параметры. Главное их достоинство перед сенсорными поверхностями – минимум занимаемого места, что существенно расширяет область применения биометрических систем этого класса.

Наиболее распространенный способ идентификации человека по динамическим характеристикам – клавиатурный почерк. Дело в том, что каждый человек по-своему набирает текст на клавиатуре.

Поэтому по определенным характеристикам можно идентифицировать пользователя с довольно высокой точностью. Плюсы подобных систем очевидны. Во-первых, не нужно никакое дополнительное оборудование. Во-вторых, идентификация очень удобна для пользователя: он вводит обычный пароль, а на самом деле система точно определяет, имеет ли право сидящий за компьютером на доступ

к информации. Главный недостаток использования клавиатурного почерка для идентификации личности – временное изменение этого самого почерка у пользователей под влиянием стрессовых ситуаций. Что, в свою очередь, может привести к отказу в доступе человеку, имеющему на это право.

Необходимо отметить, что ситуация на рынке биометрических систем изменяется очень быстро. Постоянно появляются новые, более надежные, а зачастую и более дешевые технологии.

Совершенствование контрольно-пропускной системы в настоящее время ведется также в направлении совершенствования конструкции пропуска-удостоверения личности путем записи кодовых значений паролей.

Физическая преграда защитного контура, размещаемая по периметру охраняемой зоны, снабжается охранной сигнализацией.

В настоящее время ряд предприятий выпускает электронные системы для защиты государственных и частных объектов от проникновения в них посторонних лиц. Гарантировать эффективность системы охранной сигнализации можно только в том случае, если обеспечены надежность всех ее составных элементов и их согласованное функционирование. При этом имеют значение тип датчика, способ оповещения или контроля, помехоустойчивость, а также реакция на сигнал тревоги. Местная звуковая или световая сигнализация может оказаться недостаточной, поэтому местные устройства охраны целесообразно подключить к специализированным средствам централизованного управления, которые при получении сигнала тревоги высылают специальную группу охраны.

Следить за состоянием датчиков может автоматическая система, расположенная в центре управления, или сотрудник охраны, который находится на объекте и при световом или звуковом сигнале принимает соответствующие меры. В первом случае местные охранные устройства подключаются к центру через телефонные линии, а специализированное цифровое устройство осуществляет периодический опрос состояния датчиков, автоматически набирая номер приемоответчика, расположенного на охраняемом объекте. При поступлении в центр сигнала тревоги автоматическая система включает сигнал оповещения.

Датчики сигналов устанавливаются на различного рода ограждениях, внутри помещений, непосредственно на сейфах и т. д.

При разработке комплексной системы охраны конкретного объекта учитывают его специфику: внутреннюю планировку здания, окон, входной двери, размещение наиболее важных технических средств.

Все эти факторы влияют на выбор типа датчиков, их расположение и определяют ряд других особенностей данной системы. По принципу действия системы тревожной сигнализации можно классифицировать следующим образом:

 традиционные (обычные), основанные на использовании цепей сигнализации и индикации в комплексе с различными контактами (датчиками);

 ультразвуковые;

 прерывания луча;

 телевизионные;

 радиолокационные;

 микроволновые;

Существует два подхода к проблеме обеспечения безопасности компьютерных систем и сетей (КС): «фрагментарный» и комплексный .

«Фрагментарный» подход направлен на противодействие четко определенным угрозам в заданных условиях. В качестве примеров реализации такого подхода можно указать отдельные средства управления доступом, автономные средства шифрования, специализированные антивирусные программы и т. п.

Достоинством такого подхода является высокая избирательность к конкретной угрозе. Существенный недостаток - отсутствие единой защищенной среды обработки информации. Фрагментарные меры защиты информации обеспечивают защиту конкретных объектов КС только от конкретной угрозы. Даже небольшое видоизменение угрозы ведет к потере эффективности защиты.

Комплексный подход ориентирован на создание защищенной среды обработки информации в КС, объединяющей в единый комплекс разнородные меры противодействия угрозам. Организация защищенной среды обработки информации позволяет гарантировать определенный уровень безопасности КС, что является несомненным достоинством комплексного подхода. К недостаткам этого подхода относятся: ограничения на свободу действий пользователей КС, чувствительность к ошибкам установки и настройки средств защиты, сложность управления.

Комплексный подход применяют для защиты КС крупных организаций или небольших КС, выполняющих ответственные задачи или обрабатывающих особо важную информацию. Нарушение безопасности информации в КС крупных организаций может нанести огромный материальный ущерб как самим организациям, так и их клиентам. Поэтому такие организации вынуждены уделять особое внимание гарантиям безопасности и реализовывать комплексную защиту. Комплексного подхода придерживаются большинство государственных и крупных коммерческих предприятий и учреждений. Этот подход нашел свое отражение в различных стандартах.

Комплексный подход к проблеме обеспечения безопасности основан на разработанной для конкретной КС политике безопасности. Политика безопасности регламентирует эффективную работу средств защиты КС. Она охватывает все особенности процесса обработки информации, определяя поведение системы в различных ситуациях. Надежная система безопасности сети не может быть создана без эффективной политики сетевой безопасности. Политики безопасности подробно рассматриваются в гл. 3.

Для защиты интересов субъектов информационных отношений необходимо сочетать меры следующих уровней:

  • законодательного (стандарты, законы, нормативные акты и т. п.);
  • административно-организационного (действия общего характера, предпринимаемые руководством организации, и конкретные меры безопасности, имеющие дело с людьми);
  • программно-технического (конкретные технические меры).

Меры законодательного уровня очень важны для обеспечения

информационной безопасности. К этому уровню относится комплекс мер, направленных на создание и поддержание в обществе негативного (в том числе карательного) отношения к нарушениям и нарушителям информационной безопасности.

Информационная безопасность - это новая область деятельности, здесь важно не только запрещать и наказывать, но и учить, разъяснять, помогать. Общество должно осознать важность данной проблематики, понять основные пути решения соответствующих проблем. Государство может сделать это оптимальным образом. Здесь не нужно больших материальных затрат, требуются интеллектуальные вложения.

Меры административно-организационного уровня. Администрация организации должна сознавать необходимость поддержания режима безопасности и выделять на эти цели соответствующие ресурсы. Основой мер защиты административно-организационного уровня является политика безопасности (см. гл. 3) и комплекс организационных мер.

К комплексу организационных мер относятся меры безопасности, реализуемые людьми. Выделяют следующие группы организационных мер:

  • управление персоналом;
  • физическая защита;
  • поддержание работоспособности;
  • реагирование на нарушения режима безопасности;
  • планирование восстановительных работ.

Для каждой группы в каждой организации должен существовать набор регламентов, определяющих действия персонала.

Меры и средства программно-технического уровня. Для поддержания режима информационной безопасности особенно важны меры программно-технического уровня, поскольку основная угроза компьютерным системам исходит от них самих: сбои оборудования, ошибки программного обеспечения, промахи пользователей и администраторов и т. п. В рамках современных информационных систем должны быть доступны следующие механизмы безопасности:

  • идентификация и проверка подлинности пользователей;
  • управление доступом;
  • протоколирование и аудит;
  • криптография;
  • экранирование;
  • обеспечение высокой доступности.

Необходимость применения стандартов. Информационные системы (ИС) компаний почти всегда построены на основе программных и аппаратных продуктов различных производителей. Пока нет ни одной компании-разработчика, которая предоставила бы потребителю полный перечень средств (от аппаратных до программных) для построения современной ИС. Чтобы обеспечить в разнородной И С надежную защиту информации требуются специалисты высокой квалификации, которые должны отвечать за безопасность каждого компонента И С: правильно их настраивать, постоянно отслеживать происходящие изменения, контролировать работу пользователей. Очевидно, что чем разнороднее ИС, тем сложнее обеспечить ее безопасность. Изобилие в корпоративных сетях и системах устройств защиты, межсетевых экранов (МЭ), шлюзов и VPN, а также растущий спрос на доступ к корпоративным данным со стороны сотрудников, партнеров и заказчиков приводят к созданию сложной среды защиты, трудной для управления, а иногда и несовместимой.

Интероперабельность продуктов защиты является неотъемлемым требованием для КИС. Для большинства гетерогенных сред важно обеспечить согласованное взаимодействие с продуктами других производителей. Принятое организацией решение безопасности должно гарантировать защиту на всех платформах в рамках этой организации. Поэтому вполне очевидна потребность в применении единого набора стандартов как поставщиками средств защиты, так и компаниями - системными интеграторами и организациями, выступающими в качестве заказчиков систем безопасности для своих корпоративных сетей и систем.

Стандарты образуют понятийный базис, на котором строятся все работы по обеспечению информационной безопасности, и определяют критерии, которым должно следовать управление безопасностью. Стандарты являются необходимой основой, обеспечивающей совместимость продуктов разных производителей, что чрезвычайно важно при создании систем сетевой безопасности в гетерогенных средах. Международные и отечественные стандарты информационной безопасности рассматриваются в гл. 4.

Комплексный подход к решению проблемы обеспечения безопасности, рациональное сочетании законодательных, административно-организационных и программно-технических мер и обязательное следование промышленным, национальным и международным стандартам - это тот фундамент, на котором строится вся система защиты корпоративных сетей.

К методам и средствам защиты информации относят правовые, организационно-технические и экономические мероприятия информационной защиты и меры защиты информации (правовая защита информации, техническая защита информации, защита экономической информации и т.д.).

К правовым методам обеспечения информационной безопасности относится разработка нормативных правовых актов, регламентирующих отношения в ин-формационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности Российской Федерации. Наиболее важными направлениями этой деятельности являются:

  • внесение изменений и дополнений в законодательство Российс-кой Федерации, регулирующее отношения в области обеспечения информационной безопасности, в целях создания и совершенствова-ния системы обеспечения информационной безопасности Российской Федерации, устранения внутренних противоречий в федеральном за-конодательстве, противоречий, связанных с международными согла-шениями, к которым присоединилась Россия, и противоречий между федеральными законодательными актами и законодательными ак-тами субъектов Российской Федерации, а также в целях конкретиза-ции правовых норм, устанавливающих ответственность за правона-рушения в области обеспечения информационной безопасности Рос-сийской Федерации;
  • законодательное разграничение полномочий в области обеспе-чения информационной безопасности Российской Федерации между федеральными органами государственной власти и органами государ-ственной власти субъектов Российской Федерации, определение це-лей, задач и механизмов участия в этой деятельности общественных объединений, организаций и граждан;
  • разработка и принятие нормативных правовых актов Российс-кой Федерации, устанавливающих ответственность юридических и физических лиц за несанкционированный доступ к информации, ее противоправное копирование, искажение и противозаконное исполь-зование, преднамеренное распространение недостоверной информа-ции, противоправное раскрытие конфиденциальной информации, использование в преступных и корыстных целях служебной инфор-мации или информации, содержащей коммерческую тайну;
  • уточнение статуса иностранных информационных агентств, СМИ и журналистов, а также инвесторов при привлечении иност-ранных инвестиций для развития информационной инфраструкту-ры России;
  • законодательное закрепление приоритета развития нацио-нальных сетей связи и отечественного производства космических спутников связи;
  • определение статуса организаций, предоставляющих услуги
    глобальных информационно-телекоммуникационных сетей на территории Российской Федерации, и правовое регулирование деятель-ности этих организаций;
  • создание правовой базы для формирования в Российской Феде-рации региональных структур обеспечения информационной безопас-ности.

Организационно-техническими методами обеспечения информационной безопасности являются:

  • создание и совершенствование системы обеспечения информа-ционной безопасности РФ;
  • усиление правоприменительной деятельности федеральных ор-ганов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, включая предупреждение и пресе-чение правонарушений в информационной сфере, а также выявле-ние, изобличение и привлечение к ответственности лиц, совершив-ших преступления и другие правонарушения в этой сфере;
  • разработка, использование и совершенствование средств защи-ты информации и методов контроля эффективности этих средств, развитие телекоммуникационных систем, повышение надежности специального программного обеспечения;
  • создание систем и средств предотвращения несанкционирован-ного доступа к обрабатываемой информации и специальных воздей-ствий, вызывающих разрушение, уничтожение, искажение инфор-мации, а также изменение штатных режимов функционирования систем и средств информатизации и связи;
  • выявление технических устройств и программ, представляю-щих опасность для нормального функционирования информацион-но-телекоммуникационных систем, предотвращение перехвата ин-формации по техническим каналам, применение криптографических средств защиты информации при ее хранении, обработке и передаче по каналам связи, контроль над выполнением специальных требова-ний по защите информации;
  • сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандарти-зация способов и средств защиты информации;
  • совершенствование системы сертификации телекоммуникаци-онного оборудования и программного обеспечения автоматизирован-ных систем обработки информации по требованиям информацион-ной безопасности;
  • контроль над действиями персонала в защищенных информа-ционных системах, подготовка кадров в области обеспечения инфор-мационной безопасности Российской Федерации;
  • формирование системы мониторинга показателей и характе-ристик информационной безопасности Российской Федерации в наи-более важных сферах жизни и деятельности общества и государства.

Экономические методы обеспечения информационной безопасности включают в себя:

  • разработку программ обеспечения информационной безопасно-сти Российской Федерации и определение порядка их финансирова-ния;
  • совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов за-щиты информации, создание системы страхования информационных рисков физических и юридических лиц.

В современных информационных технологиях для эффектив-ного использования этих методов широко применяются организационные, физические, программно-технические средства.

Организационные мероприятия предполагают объединение всех составляющих (компонент) безопасности. Во всем мире основную угрозу информации организации представляют ее сотруд-ники, оказывающиеся психически неуравновешенными, обижен-ными или неудовлетворенными характером их работы, заработной платой, взаимоотношениями с коллегами и руководителями.

Американские специалисты утверждают, что до 85% случаев промышленного шпионажа ведется силами сотрудников компании, в которой это происходит. Они отмечают, что более трети финансовых потерь и потерь данных в организациях происходит по вине их собственных сотрудников. Даже сотрудники – авторизованные пользователи – случайно или намерено нарушают политику безопасности. Существует даже некоторая их классификация. Например, «неграмотный» - сотрудник, открывающий любые письма, вложения и ссылки; «инсайдер» - сотрудник, стремящийся, как правило в корыстных целях, поручить и вынести конфиденциальную информацию; «нецелевик» - сотрудник, использующий ресурсы организации в личных целях (веб-серфинг, почта, чаты, мгновенные сообщения, игры, обучение, хранилища и др.). При этом специалисты отмечают, что преднамеренные утечки информации (злой умысел) обычно составляют 1-2% всех инцидентов.

Решение этих проблем относится к компетенции администрации и службы безопасности организации.

Физические мероприятия примыкают к организационным. Они заключаются в применении человеческих ресурсов, специальных технических средств и устройств, обеспечивающих защиту от про-никновения злоумышленников на объект, несанкционированного использования, порчи или уничтожения ими материальных и люд-ских ресурсов. Такими человеческими ресурсами являются лица ведомственной или вневедомственной охраны и вахтеры, отдель-ные, назначаемые руководством организации, сотрудники. Они ограничивают, в том числе с помощью соответствующих техни-ческих устройств, доступ на объекты нежелательных лиц.

Программные средства защиты являются самым распро-страненным методом защиты информации в компьютерах и ин-формационных сетях. Они обычно применяются при затруднении использования некоторых других методов и средств и делятся на основные и вспомогательные.

Основные программные средства защиты информации спо-собствуют противодействию съема, изменения и уничтожения ин-формации по основным возможным каналам воздействия на нее. Для этого они помогают осуществлять: аутентификацию объектов (работников и посетителей организаций), контроль и регулирова-ние работы людей и техники, самоконтроль и защиту, разграниче-ние доступа, уничтожение информации, сигнализацию о несанк-ционированном доступе и несанкционированной информации.

Вспомогательные программы защиты информации обеспечи-вают: уничтожение остаточной информации на магнитных и иных перезаписываемых носителях данных, формирование грифа сек-ретности и категорирование грифованной информации, имитацию работы с несанкционированным пользователем для накопления сведений о его методах, ведение регистрационных журналов, об-щий контроль функционирования подсистемы защиты, проверку системных и программных сбоев и др.

Программные средства защиты информации представляют собой комплекс алгоритмов и программ специального назначения и общего обеспечения функционирования компьютеров и инфор-мационных сетей, нацеленных на: контроль и разграничение до-ступа к информации; исключение несанкционированных действий с ней; управление охранными устройствами и т.п. Они обладают универсальностью, простотой реализации, гибкостью, адаптив-ностью, возможностью настройки системы и др. и применяются для борьбы с компьютерными вирусами Для защиты машин от компьютерных вирусов, профилактики и «лечения» используются программы-антивирусы, а также средства диагностики и профилактики, позволяющие не допустить попада-ния вируса в компьютерную систему, лечить зараженные файлы и диски, обнаруживать и предотвращать подозрительные действия Антивирусные программы оцениваются по точности обнаружении и эффективному устранению вирусов, простоте использовании, стоимости, возможности работать в сети. Наибольшей популярностью пользуются отечественные антивирусные программы DrWeb (Doctor Web ) И. Данилова и AVP (Antiviral Toolkit Pro ) E . Касперского. Они обладают удобным интерфейсом, средствами сканирования программ, проверки системы при загрузке и т.д.

Однако абсолютно надежных программ, гарантирующих об-наружение и уничтожение любого вируса, не существует. Только многоуровневая оборона способна обеспечить наиболее полную защиту от вирусов. Важный элемент защиты от компьютерных вирусов - профилактика. Антивирусные программы применяют одновременно с регулярным резервированием данных и профилактическими мероприятиями. Вместе эти меры позволяют значи-тельно снизить вероятность заражения вирусом.

Основными мерами профилактики вирусов являются:

  • применение лицензионного программного обеспечения;
  • регулярное использование нескольких постоянно обновляе-мых антивирусных программ для проверки не только собственных носителей информации при переносе на них сторонних файлов, но и любых «чужих» дискет и дисков с любой информацией на них, в том числе и переформатированных;
  • применение различных защитных средств при работе на компьютере в любой информационной среде (например, в Интер-нете), проверка на наличие вирусов файлов, полученных по сети;
  • периодическое резервное копирование наиболее ценных данных и программ.

Чаще всего источниками заражения являются компьютерные игры, приобретенные «неофициальным» путем, и нелицензион-ное программное обеспечение. Надежной гарантией от вирусов является аккуратность пользователей при выборе программ и установке их на компьютере, а также во время сеансов в Интер-нете.

Информационные ресурсы в электронной форме размещаются стационарно на жестких дисках серверов и компьютеров пользо-вателей и т.п., хранятся на переносимых носителях информации.

Они могут представлять отдельные файлы с различной инфор-мацией, коллекции файлов, программы и базы данных. В зависи-мости от этого к ним применяются различные меры, способству-ющие обеспечению безопасности информационных ресурсов. К основным программно-техническим мерам, применение которых позволяет решать проблемы обеспечения безопасности информа-ционных ресурсов, относят: аутентификацию пользователя и уста-новление его идентичности; управление доступом к базе данных; поддержание целостности данных; протоколирование и аудит; за-щиту коммуникаций между клиентом и сервером; отражение уг-роз, специфичных для СУБД и др.

В целях защиты информации в базах данных важнейшими яв-ляются следующие аспекты информационной безопасности

  • доступность - возможность получить некоторую требуемую информационную услугу;
  • целостность - непротиворечивость информации, ее защищен-ность от разрушения и несанкционированного изменения;
  • конфиденциальность - защита от несанкционированного про-чтения.

Эти аспекты являются основополагающими для любого про-граммно-технического обеспечения, предназначенного для созда-ния условий безопасного функционирования данных в компьюте-рах и компьютерных информационных сетях.

Контроль доступа представляет собой процесс защиты дан-ных и программ от их использования объектами, не имеющими на это права.

Одним из наиболее известных способов защиты информации является ее кодирование (шифрование, криптография).

Криптография - это система изменения информации (кодиро-вания, шифрования) с целью ее защиты от несанкционированных воздействий, а также обеспечения достоверности передаваемых данных.

Код характеризуется: длиной - числом знаков, используемых при кодировании, и структурой - порядком расположения символов, обозначающих классификационный признак.

Средством кодирования служит таблица соответствия. Приме-ром такой таблицы для перевода алфавитно-цифровой информа-ции в компьютерные коды является кодовая таблица ASCII .

Для шифрования информации все чаще используют криптогра-фические методы ее защиты.

Криптографические методы защиты информации содержат комплекс (совокупность) алгоритмов и процедур шифрования и кодирования информации, используемых для преобразования смыслового содержания передаваемых в информационных сетях данных. Они подразумевают создание и применение специальных секретных ключей пользователей.

Общие методы криптографии существуют давно. Она счи-тается мощным средством обеспечения конфиденциальности и контроля целостности информации. Пока альтернативы методам криптографии нет. И хотя криптография не спасает от физических воздействий, в остальных случаях она служит надежным средс-твом защиты данных.

Стойкость криптоалгоритма зависит от сложности методов пре-образования. Главным критерием стойкости любого шифра или кода являются имеющиеся вычислительные мощности и время, в течение которого можно их расшифровать. Если это время равня-ется нескольким годам, то стойкость таких алгоритмов является вполне приемлемой и более чем достаточной для большинства организаций и личностей. Если использовать 256- и более раз-рядные ключи, то уровень надежности защиты данных составит десятки и сотни лет работы суперкомпьютера. При этом для ком-мерческого применения достаточно 40-, 44-разрядных ключей.

Для кодирования ЭИР, с целью удовлетворения требованиям обес-печения безопасности данных от несанкционированных воздействий на них, используется электронная цифровая подпись (ЭЦП).

Цифровая подпись для сообщения представляет последова-тельность символов, зависящих от самого сообщения и от неко-торого секретного, известного только подписывающему субъекту, ключа. Она должна легко проверяться и позволять решать три следующие задачи:

  • осуществлять аутентификацию источника сообщения,
  • устанавливать целостность сообщения,
  • обеспечивать невозможность отказа от факта подписи конк-ретного сообщения.

Первый отечественный стандарт ЭЦП появился в 1994 году. Вопросами использования ЭЦП в России занимается Федераль-ное агентство по информационным технологиям (ФАИТ).

Существующий в мире опыт свидетельствует, что строить сис-темы безопасности из отдельных продуктов неэффективно. Поэ-тому отмечается общая потребность в комплексных решениях ин-формационной безопасности и их сопровождения. При этом специалисты отмечают, что наиболее эффективные меры защиты кроются не в технических средствах, а в применении различных организационных и административных мер, регламентов, инс-трукций и в обучении персонала.

Технические мероприятия базируются на применении сле-дующих средств и систем: охранной и пожарной сигнализации; контроля и управления доступом; видеонаблюдения и защиты периметров объектов; защиты информации; контроля состояния окружающей среды и технологического оборудования, систем безопасности, перемещения людей, транспорта и грузов; учета рабочего времени персонала и времени присутствия на объектах различных посетителей.

Для комплексного обеспечения безопасности объекты обору-дуются системами связи, диспетчеризации, оповещения, контроля и управления доступом; охранными, пожарными, телевизионными и инженерными устройствами и системами; охранной, пожарной сигнализацией, противопожарной автоматикой и др.

Биометрические методы защиты информации. Понятие «биометрия» определяет раздел биологии, занимаю-щийся количественными биологическими экспериментами с при-влечением методов математической статистики.

Биометрия представляет собой совокупность автоматизирован-ных методов и средств идентификации человека, основанных на его физиологических или поведенческих характеристик. Биометрическая идентификация позволяет идентифицировать индивида по присущим ему специфическим биометрическим признакам, то есть его статическими (отпечаткам пальца, роговице глаза, генетическому коду, запаху и др.) и динамическими (голосу, почерку, поведению и др.) характеристиками.

Биометрическая идентификация считается одним из наиболее надежных способов. Уникальные биологические, физиологические и поведенческие характеристики, индивидуальные для каждого человека, называют биологическим кодом человека.

Первые биометрические системы использовали рисунок (отпе-чаток) пальца. Примерно одну тысячу лет до н.э. в Китае и Вави-лоне знали об уникальности отпечатков пальцев. Их ставили под юридическими документами. Однако дактилоскопию стали приме-нять в Англии с 1897 года, а в США - с 1903 года.

Считыватели обеспечивают считывание идентификационного кода и передачу его в контроллер. Они преобразуют уникальный код пользователя в код стандартного формата, передаваемый контроллеру для принятия управленческого решения. Считыва-тели бывают контактные и бесконтактные. Они могут фиксиро-вать время прохода или открывания дверей и др. К ним относят устройства: дактилоскопии (по отпечаткам пальцев); идентифи-кации глаз человека (идентификация рисунка радужной оболоч-ки глаза или сканирование глазного дна); фотоидентификации (сравнение создаваемых ими цветных фотографий (банк данных) с изображением лица индивида на экране компьютера); иденти-фикации по форме руки, генетическому коду, запаху, голосу, по-черку, поведению и др.

В различных странах (в том числе в России) включают биомет-рические признаки в загранпаспорта и другие идентифицирую-щие личности документы. Преимущество биологических систем идентификации, по сравнению с традиционными (например, PI №-кодовыми, доступом по паролю), заключается в идентификации не внешних предметов, принадлежащих человеку, а самого челове-ка. Анализируемые характеристики человека невозможно утерять, передать, забыть и крайне сложно подделать. Они практически не подвержены износу и не требуют замены или восстановления.

С помощью биометрических систем осуществляются:

  • ограничение доступа к информации и обеспечение персо-нальной ответственности за ее сохранность;
  • обеспечение допуска сертифицированных специалистов;
  • предотвращение проникновения злоумышленников на охра-няемые территории и в помещения вследствие подделки и (или) кражи документов (карт, паролей);
  • организация учета доступа и посещаемости сотрудников, а также решается ряд других проблем.

Самой популярной считается аутентификация по отпечаткам пальцев, которые, в отличие от пароля, нельзя забыть, потерять, и заменить. Однако в целях повышения надежности аутентификации и защиты ценной информации лучше использовать комбинацию биометрических признаков. Удачным считается одновременное использование двухфакторной аутентификации пользователя, включающее оптический сканер отпечатков пальцев и картридер для смарт-карты, в которой в защищенном виде хранятся те же отпечатки пальцев.

К новым биометрическим технологиям следует отнести трех-мерную идентификацию личности, использующую трехмерные сканеры идентификации личности с параллаксным методом ре-гистрации образов объектов и телевизионные системы регис-трации изображений со сверхбольшим угловым полем зрения. Предполагается, что подобные системы будут применяться для идентификации личностей, трехмерные образы которых войдут в состав удостоверений личности и других документов. Сканирова-ние с помощью миллиметровых волн - быстрый метод, позволя-ющий за две-четыре секунды сформировать трехмерное топогра-фическое изображение, которое можно поворачивать на экране монитора для досмотра предметов, находящихся в одежде и на теле человека. С этой же целью используют и рентгеновские ап-параты. Дополнительным преимуществом миллиметровых волн в сравнении с рентгеном является отсутствие радиации - этот вид просвечивания безвреден, а создаваемое им изображение гене-рируется энергией, отраженной от тела человека. Энергия, излу-чаемая миллиметровыми волнами, в 10 000 раз слабее излучения от сотового телефона.

Защита информации в информационных компьютерных сетях осуществляется с помощью специальных программных, техничес-ких и программно-технических средств. С целью защиты сетей и контроля доступа в них используют:

  • фильтры пакетов, запрещающие установление соединений,
    пересекающих границы защищаемой сети;
  • фильтрующие маршрутизаторы, реализующие алгоритмы
    анализа адресов отправления и назначения пакетов в сети;
  • шлюзы прикладных программ, проверяющие права доступа к
    программам.

В качестве устройства, препятствующего получению злоумыш-ленником доступа к информации, используют Firewalls (рус. «огненная стена» или «защитный барьер» - брандмауэр). Такое устройство располагают между внутренней локальной сетью организации и Интернетом. Оно ограничивает трафик, пресекает по-пытки несанкционированного доступа к внутренним ресурсам орга-низации. Это внешняя защита. Современные брандмауэры могут «отсекать» от пользователей корпоративных сетей незаконную и нежелательную для них корреспонденцию, передаваемую по электронной почте. При этом ограничивается возможность получении избыточной информации и так называемого «мусора» (спама).

Считается, что спам появился в 1978 г., а значительный его рост наблюдается в 2003 г. Сложно сказать, какой почты приходит больше: полезной или бестолковой. Выпускается много ПО, предназначенного для борьбы с ним, но единого эффективного средства пока нет.

Техническим устройством, способным эффективно осущест-влять защиту в компьютерных сетях, является маршрутизатор. Он осуществляет фильтрацию пакетов передаваемых данных. В результате появляется возможность запретить доступ некоторым пользователям к определенному «хосту», программно осущест-влять детальный контроль адресов отправителей и получателей. Также можно ограничить доступ всем или определенным катего-риям пользователей к различным серверам, например ведущим распространение противоправной или антисоциальной информа-ции (пропаганда секса, насилия и т.п.).

Защита может осуществляться не только в глобальной сети или локальной сети организации, но и отдельных компьютеров. Для этой цели создаются специальные программно-аппаратные комп-лексы.

Защита информации вызывает необходимость системного под-хода, т.е. здесь нельзя ограничиваться отдельными мероприятиями. Системный подход к защите информации требует, чтобы средства и действия, используемые для обеспечения информационной безо-пасности - организационные, физические и программно-техни-ческие - рассматривались как единый комплекс взаимосвязанных взаимодополняющих и взаимодействующих мер. Один из основных принципов системного подхода к защите информации - принцип «разумной достаточности», суть которого: стопроцентной защиты не существует ни при каких обстоятельствах, поэтому стремиться стоит не к теоретически максимально достижимому уровню защи-ты, а к минимально необходимому в данных конкретных условиях и при данном уровне возможной угрозы.

Быстро развивающиеся компьютерные информационные технологии вносят заметные изменения в нашу жизнь. Информация стала товаром, который можно приобрести, продать, обменять. При этом стоимость информации часто в сотни раз превосходит стоимость компьютерной системы, в которой она хранится.

От степени безопасности информационных технологий в настоящее время зависит благополучие, а порой и жизнь многих людей. Такова плата за усложнение и повсеместное распространение автоматизированных систем обработки информации.

Под информационной безопасностью понимается защищенность информационной системы от случайного или преднамеренного вмешательства, наносящего ущерб владельцам или пользователям информации.

На практике важнейшими являются три аспекта информационной безопасности:

  • доступность (возможность за разумное время получить требуемую информационную услугу);
  • целостность (актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения);
  • конфиденциальность (защита от несанкционированного прочтения).

Нарушения доступности, целостности и конфиденциальности информации могут быть вызваны различными опасными воздействиями на информационные компьютерные системы.

Основные угрозы информационной безопасности

Современная информационная система представляет собой сложную систему, состоящую из большого числа компонентов различной степени автономности, которые связаны между собой и обмениваются данными. Практически каждый компонент может подвергнуться внешнему воздействию или выйти из строя. Компоненты автоматизированной информационной системы можно разбить на следующие группы:

  • аппаратные средства - компьютеры и их составные части (процессоры, мониторы, терминалы, периферийные устройства - дисководы, принтеры, контроллеры, кабели, линии связи и т.д.);
  • программное обеспечение - приобретенные программы, исходные, объектные, загрузочные модули; операционные системы и системные программы (компиляторы, компоновщики и др.), утилиты, диагностические программы и т.д.;
  • данные - хранимые временно и постоянно, на магнитных носителях, печатные, архивы, системные журналы и т.д.;
  • персонал - обслуживающий персонал и пользователи.

Опасные воздействия на компьютерную информационную систему можно подразделить на случайные и преднамеренные. Анализ опыта проектирования, изготовления и эксплуатации информационных систем показывает, что информация подвергается различным случайным воздействиям на всех этапах цикла жизни системы. Причинами случайных воздействий при эксплуатации могут быть:

  • аварийные ситуации из-за стихийных бедствий и отключений электропитания;
  • отказы и сбои аппаратуры;
  • ошибки в программном обеспечении;
  • ошибки в работе персонала;
  • помехи в линиях связи из-за воздействий внешней среды.

Преднамеренные воздействия - это целенаправленные действия нарушителя. В качестве нарушителя могут выступать служащий, посетитель, конкурент, наемник. Действия нарушителя могут быть обусловлены разными мотивами:

  • недовольством служащего своей карьерой;
  • взяткой;
  • любопытством;
  • конкурентной борьбой;
  • стремлением самоутвердиться любой ценой.

Можно составить гипотетическую модель потенциального нарушителя:

  • квалификация нарушителя на уровне разработчика данной системы;
  • нарушителем может быть как постороннее лицо, так и законный пользователь системы;
  • нарушителю известна информация о принципах работы системы;
  • нарушитель выбирает наиболее слабое звено в защите.

Наиболее распространенным и многообразным видом компьютерных нарушений является несанкционированный доступ (НСД). НСД использует любую ошибку в системе защиты и возможен при нерациональном выборе средств защиты, их некорректной установке и настройке.

Проведем классификацию каналов НСД, по которым можно осуществить хищение, изменение или уничтожение информации:

  • Через человека:
    • хищение носителей информации;
    • чтение информации с экрана или клавиатуры;
    • чтение информации из распечатки.
  • Через программу:
    • перехват паролей;
    • дешифровка зашифрованной информации;
    • копирование информации с носителя.
  • Через аппаратуру:
    • подключение специально разработанных аппаратных средств, обеспечивающих доступ к информации;
    • перехват побочных электромагнитных излучений от аппаратуры, линий связи, сетей электропитания и т.д.

Особо следует остановиться на угрозах, которым могут подвергаться компьютерные сети. Основная особенность любой компьютерной сети состоит в том, что ее компоненты распределены в пространстве. Связь между узлами сети осуществляется физически с помощью сетевых линий и программно с помощью механизма сообщений. При этом управляющие сообщения и данные, пересылаемые между узлами сети, передаются в виде пакетов обмена. Компьютерные сети характерны тем, что против них предпринимают так называемые удаленные атаки . Нарушитель может находиться за тысячи километров от атакуемого объекта, при этом нападению может подвергаться не только конкретный компьютер, но и информация, передающаяся по сетевым каналам связи.

Обеспечение информационной безопасности

Формирование режима информационной безопасности - проблема комплексная. Меры по ее решению можно подразделить на пять уровней:

  1. законодательный (законы, нормативные акты, стандарты и т.п.);
  2. морально-этический (всевозможные нормы поведения, несоблюдение которых ведет к падению престижа конкретного человека или целой организации);
  3. административный (действия общего характера, предпринимаемые руководством организации);
  4. физический (механические, электро- и электронно-механические препятствия на возможных путях проникновения потенциальных нарушителей);
  5. аппаратно-программный (электронные устройства и специальные программы защиты информации).

Единая совокупность всех этих мер, направленных на противодействие угрозам безопасности с целью сведения к минимуму возможности ущерба, образуют систему защиты .

Надежная система защиты должна соответствовать следующим принципам:

  • Стоимость средств защиты должна быть меньше, чем размеры возможного ущерба.
  • Каждый пользователь должен иметь минимальный набор привилегий, необходимый для работы.
  • Защита тем более эффективна, чем проще пользователю с ней работать.
  • Возможность отключения в экстренных случаях.
  • Специалисты, имеющие отношение к системе защиты должны полностью представлять себе принципы ее функционирования и в случае возникновения затруднительных ситуаций адекватно на них реагировать.
  • Под защитой должна находиться вся система обработки информации.
  • Разработчики системы защиты, не должны быть в числе тех, кого эта система будет контролировать.
  • Система защиты должна предоставлять доказательства корректности своей работы.
  • Лица, занимающиеся обеспечением информационной безопасности, должны нести личную ответственность.
  • Объекты защиты целесообразно разделять на группы так, чтобы нарушение защиты в одной из групп не влияло на безопасность других.
  • Надежная система защиты должна быть полностью протестирована и согласована.
  • Защита становится более эффективной и гибкой, если она допускает изменение своих параметров со стороны администратора.
  • Система защиты должна разрабатываться, исходя из предположения, что пользователи будут совершать серьезные ошибки и, вообще, имеют наихудшие намерения.
  • Наиболее важные и критические решения должны приниматься человеком.
  • Существование механизмов защиты должно быть по возможности скрыто от пользователей, работа которых находится под контролем.

Аппаратно-программные средства защиты информации

Несмотря на то, что современные ОС для персональных компьютеров, такие, как Windows 2000, Windows XP и Windows NT, имеют собственные подсистемы защиты, актуальность создания дополнительных средств защиты сохраняется. Дело в том, что большинство систем не способны защитить данные, находящиеся за их пределами, например при сетевом информационном обмене.

Аппаратно-программные средства защиты информации можно разбить на пять групп:

  1. Системы идентификации (распознавания) и аутентификации (проверки подлинности) пользователей.
  2. Системы шифрования дисковых данных.
  3. Системы шифрования данных, передаваемых по сетям.
  4. Системы аутентификации электронных данных.
  5. Средства управления криптографическими ключами.

1. Системы идентификации и аутентификации пользователей

Применяются для ограничения доступа случайных и незаконных пользователей к ресурсам компьютерной системы. Общий алгоритм работы таких систем заключается в том, чтобы получить от пользователя информацию, удостоверяющую его личность, проверить ее подлинность и затем предоставить (или не предоставить) этому пользователю возможность работы с системой.

При построении этих систем возникает проблема выбора информации, на основе которой осуществляются процедуры идентификации и аутентификации пользователя. Можно выделить следующие типы:

  • секретная информация, которой обладает пользователь (пароль, секретный ключ, персональный идентификатор и т.п.); пользователь должен запомнить эту информацию или же для нее могут быть применены специальные средства хранения;
  • физиологические параметры человека (отпечатки пальцев, рисунок радужной оболочки глаза и т.п.) или особенности поведения (особенности работы на клавиатуре и т.п.).

Системы, основанные на первом типе информации, считаются традиционными . Системы, использующие второй тип информации, называют биометрическими . Следует отметить наметившуюся тенденцию опережающего развития биометрических систем идентификации.

2. Системы шифрования дисковых данных

Чтобы сделать информацию бесполезной для противника, используется совокупность методов преобразования данных, называемая криптографией [от греч. kryptos - скрытый и grapho - пишу].

Системы шифрования могут осуществлять криптографические преобразования данных на уровне файлов или на уровне дисков. К программам первого типа можно отнести архиваторы типа ARJ и RAR, которые позволяют использовать криптографические методы для защиты архивных файлов. Примером систем второго типа может служить программа шифрования Diskreet, входящая в состав популярного программного пакета Norton Utilities, Best Crypt.

Другим классификационным признаком систем шифрования дисковых данных является способ их функционирования. По способу функционирования системы шифрования дисковых данных делят на два класса:

  • системы "прозрачного" шифрования;
  • системы, специально вызываемые для осуществления шифрования.

В системах прозрачного шифрования (шифрования "на лету") криптографические преобразования осуществляются в режиме реального времени, незаметно для пользователя. Например, пользователь записывает подготовленный в текстовом редакторе документ на защищаемый диск, а система защиты в процессе записи выполняет его шифрование.

Системы второго класса обычно представляют собой утилиты, которые необходимо специально вызывать для выполнения шифрования. К ним относятся, например, архиваторы со встроенными средствами парольной защиты.

Большинство систем, предлагающих установить пароль на документ, не шифрует информацию, а только обеспечивает запрос пароля при доступе к документу. К таким системам относится MS Office, 1C и многие другие.

3. Системы шифрования данных, передаваемых по сетям

Различают два основных способа шифрования: канальное шифрование и оконечное (абонентское) шифрование.

В случае канального шифрования защищается вся информация, передаваемая по каналу связи, включая служебную. Этот способ шифрования обладает следующим достоинством - встраивание процедур шифрования на канальный уровень позволяет использовать аппаратные средства, что способствует повышению производительности системы. Однако у данного подхода имеются и существенные недостатки:

  • шифрование служебных данных осложняет механизм маршрутизации сетевых пакетов и требует расшифрования данных в устройствах промежуточной коммуникации (шлюзах, ретрансляторах и т.п.);
  • шифрование служебной информации может привести к появлению статистических закономерностей в шифрованных данных, что влияет на надежность защиты и накладывает ограничения на использование криптографических алгоритмов.

Оконечное (абонентское) шифрование позволяет обеспечить конфиденциальность данных, передаваемых между двумя абонентами. В этом случае защищается только содержание сообщений, вся служебная информация остается открытой. Недостатком является возможность анализировать информацию о структуре обмена сообщениями, например об отправителе и получателе, о времени и условиях передачи данных, а также об объеме передаваемых данных.

4. Системы аутентификации электронных данных

При обмене данными по сетям возникает проблема аутентификации автора документа и самого документа, т.е. установление подлинности автора и проверка отсутствия изменений в полученном документе. Для аутентификации данных применяют код аутентификации сообщения (имитовставку) или электронную подпись.

Имитовставка вырабатывается из открытых данных посредством специального преобразования шифрования с использованием секретного ключа и передается по каналу связи в конце зашифрованных данных. Имитовставка проверяется получателем, владеющим секретным ключом, путем повторения процедуры, выполненной ранее отправителем, над полученными открытыми данными.

Электронная цифровая подпись представляет собой относительно небольшое количество дополнительной аутентифицирующей информации, передаваемой вместе с подписываемым текстом. Отправитель формирует цифровую подпись, используя секретный ключ отправителя. Получатель проверяет подпись, используя открытый ключ отправителя.

Таким образом, для реализации имитовставки используются принципы симметричного шифрования, а для реализации электронной подписи - асимметричного. Подробнее эти две системы шифрования будем изучать позже.

5. Средства управления криптографическими ключами

Безопасность любой криптосистемы определяется используемыми криптографическими ключами. В случае ненадежного управления ключами злоумышленник может завладеть ключевой информацией и получить полный доступ ко всей информации в системе или сети.

Различают следующие виды функций управления ключами: генерация, хранение, и распределение ключей.

Способы генерации ключей для симметричных и асимметричных криптосистем различны. Для генерации ключей симметричных криптосистем используются аппаратные и программные средства генерации случайных чисел. Генерация ключей для асимметричных криптосистем более сложна, так как ключи должны обладать определенными математическими свойствами. Подробнее на этом вопросе остановимся при изучении симметричных и асимметричных криптосистем.

Функция хранения предполагает организацию безопасного хранения, учета и удаления ключевой информации. Для обеспечения безопасного хранения ключей применяют их шифрование с помощью других ключей. Такой подход приводит к концепции иерархии ключей. В иерархию ключей обычно входит главный ключ (т.е. мастер-ключ), ключ шифрования ключей и ключ шифрования данных. Следует отметить, что генерация и хранение мастер-ключа является критическим вопросом криптозащиты.

Распределение - самый ответственный процесс в управлении ключами. Этот процесс должен гарантировать скрытность распределяемых ключей, а также быть оперативным и точным. Между пользователями сети ключи распределяют двумя способами:

  • с помощью прямого обмена сеансовыми ключами;
  • используя один или несколько центров распределения ключей.

Перечень документов

  1. О ГОСУДАРСТВЕННОЙ ТАЙНЕ. Закон Российской Федерации от 21 июля 1993 года № 5485-1 (в ред. Федерального закона от 6 октября 1997 года № 131-ФЗ).
  2. ОБ ИНФОРМАЦИИ, ИНФОРМАТИЗАЦИИ И ЗАЩИТЕ ИНФОРМАЦИИ. Федеральный закон Российской Федерации от 20 февраля 1995 года № 24-ФЗ. Принят Государственной Думой 25 января 1995 года.
  3. О ПРАВОВОЙ ОХРАНЕ ПРОГРАММ ДЛЯ ЭЛЕКТРОННЫХ ВЫЧИСЛИТЕЛЬНЫХ МАШИН И БАЗ ДАННЫХ. Закон Российской Федерации от 23 фентября 1992 года № 3524-1.
  4. ОБ ЭЛЕКТРОННОЙ ЦИФРОВОЙ ПОДПИСИ. Федеральный закон Российской Федерации от 10 января 2002 года № 1-ФЗ.
  5. ОБ АВТОРСКОМ ПРАВЕ И СМЕЖНЫХ ПРАВАХ. Закон Российской Федерации от 9 июля 1993 года № 5351-1.
  6. О ФЕДЕРАЛЬНЫХ ОРГАНАХ ПРАВИТЕЛЬСТВЕННОЙ СВЯЗИ И ИНФОРМАЦИИ. Закон Российской Федерации (в ред. Указа Президента РФ от 24.12.1993 № 2288; Федерального закона от 07.11.2000 № 135-ФЗ.
  7. Положение об аккредитации испытательных лабораторий и органов по сертификации средств защиты информации по требованиям безопасности информации / Государственная техническая комиссия при Президенте Российской Федерации.
  8. Инструкция о порядке маркирования сертификатов соответствия, их копий и сертификационных средств защиты информации / Государственная техническая комиссия при Президенте Российской Федерации.
  9. Положение по аттестации объектов информатизации по требованиям безопасности информации / Государственная техническая комиссия при Президенте Российской Федерации.
  10. Положение о сертификации средств защиты информации по требованиям безопасности информации: с дополнениями в соответствии с Постановлением Правительства Российской Федерации от 26 июня 1995 года № 608 "О сертификации средств защиты информации" / Государственная техническая комиссия при Президенте Российской Федерации.
  11. Положение о государственном лицензировании деятельности в области защиты информации / Государственная техническая комиссия при Президенте Российской Федерации.
  12. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации: Руководящий документ / Государственная техническая комиссия при Президенте Российской Федерации.
  13. Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации: Руководящий документ / Государственная техническая комиссия при Президенте Российской Федерации.
  14. Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации: Руководящий документ / Государственная техническая комиссия при Президенте Российской Федерации.
  15. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации: Руководящий документ / Государственная техническая комиссия при Президенте Российской Федерации.
  16. Защита информации. Специальные защитные знаки. Классификация и общие требования: Руководящий документ / Государственная техническая комиссия при Президенте Российской Федерации.
  17. Защита от несанкционированного доступа к информации. Термины и определения: Руководящий документ / Государственная техническая комиссия при Президенте Российской Федерации.
Есть вопросы?

Сообщить об опечатке

Текст, который будет отправлен нашим редакторам:

Отправить