Curs scurt de prelegeri privind securitatea informațiilor. Securitatea informatiei a activitatilor profesionale
Conceptul de securitate a informațiilor Securitatea informațiilor se referă la securitatea informațiilor și a infrastructurii suport de impacturi accidentale sau intenționate de natură naturală sau artificială care pot cauza daune inacceptabile subiecților relațiilor informaționale, inclusiv proprietarilor și utilizatorilor de informații și infrastructurii suport. Protecția informațiilor este un set de măsuri care vizează asigurarea securității informațiilor.
Probleme de securitate a informațiilor Securitatea informațiilor este unul dintre cele mai importante aspecte ale siguranței integrale. Ilustrațiile sunt următoarele fapte: În Doctrina Securității Informaționale a Federației Ruse, protecția împotriva accesului neautorizat la resursele informaționale, asigurarea securității sistemelor de informații și telecomunicații sunt evidențiate ca componente importante ale intereselor naționale; În cursul perioadei Au fost făcute aproape 500 de încercări de a pătrunde în rețeaua de calculatoare a Băncii Centrale a Federației Ruse. În 1995, au fost furate 250 de miliarde de ruble. Potrivit FBI, daunele din cauza crimelor informatice din Statele Unite în 1997 s-au ridicat la 136 de milioane de dolari.
Probleme de securitate a informațiilor Potrivit raportului „Criminalitate și securitate informatică - 1999: probleme și tendințe”, 32% dintre respondenți au contactat agențiile de aplicare a legiiîn ceea ce privește infracțiunile informatice, 30% dintre respondenți au raportat că IP-ul lor a fost piratat de atacatori; 57% - au fost atacate prin internet; 55% au constatat cazuri de încălcări ale securității informațiilor de către propriii angajați; 33% nu au putut să răspundă la întrebarea „serverele dvs. web și sistemele de comerț electronic au fost piratate?”
Probleme de securitate a informațiilor Studiul global de securitate a informațiilor din 2004 realizat de firma de consultanță Ernst&Young a identificat următoarele aspecte cheie: Doar 20% dintre respondenți sunt convinși că organizațiile lor abordează problemele de securitate a informațiilor la nivel de conducere; Potrivit respondenților, „lipsa de conștientizare a problemelor de securitate a informațiilor” este principalul obstacol în calea creării sistem eficient IB. Doar 28% au menționat ca sarcină prioritară „creșterea nivelului de pregătire a angajaților în domeniul securității informațiilor”; " Conduita greșită angajații care lucrează cu sistemele informaționale” s-au clasat pe locul al doilea în ceea ce privește prevalența amenințărilor la securitatea informațiilor, după viruși, troieni și viermi de internet. Mai puțin de 50% dintre respondenți oferă angajaților instruire în domeniul securității informațiilor; Doar 24% dintre respondenți consideră că departamentele lor de securitate a informațiilor merită cele mai mari note pentru satisfacerea nevoilor de afaceri ale organizațiilor lor; Doar 11% dintre respondenți consideră că reglementările adoptate de agențiile guvernamentale în domeniul securității au îmbunătățit semnificativ starea securității informațiilor lor.
Amenințări la securitatea informațiilor O amenințare la securitatea informațiilor (IS) este un eveniment potențial, acțiune, proces sau fenomen care ar putea duce la deteriorarea intereselor cuiva. O încercare de a implementa o amenințare se numește atac. Clasificarea amenințărilor la securitatea informațiilor poate fi efectuată după mai multe criterii: după aspectul securității informațiilor (disponibilitate, integritate, confidențialitate); de componentele IS vizate de amenințări (date, program, hardware, infrastructură suport); prin metoda de implementare (acțiuni accidentale sau intenționate de natură naturală sau artificială); după locația sursei amenințării (în interiorul sau în afara SI în cauză).
Proprietățile informațiilor Indiferent de tipurile specifice de amenințări, sistemul informațional trebuie să asigure proprietățile de bază ale informațiilor și ale sistemelor de prelucrare a acesteia: accesibilitate - capacitatea de a obține informații sau serviciul de informareîntr-un termen rezonabil; integritate – proprietatea de relevanță și consistență a informațiilor, protecția acesteia împotriva distrugerii și modificărilor neautorizate; confidențialitate – protecție împotriva accesului neautorizat la informații.
Exemple de implementare a amenințării de încălcare a confidențialității O parte din informațiile stocate și prelucrate în sistemul informațional trebuie să fie ascunse persoanelor din exterior. Transferul acestor informații poate provoca daune atât organizației, cât și sistemului informațional însuși. Informațiile confidențiale pot fi împărțite în informații despre subiect și despre servicii. Informațiile de serviciu (de exemplu, parolele utilizatorului) nu se aplică unui anumit domeniul subiectului, cu toate acestea, dezvăluirea acesteia poate duce la accesul neautorizat la toate informațiile. Informațiile despre subiect conțin informații, a căror dezvăluire ar putea duce la daune (economice, morale) unei organizații sau persoane. Mijloacele de atac pot fi diverse mijloace tehnice (interceptarea conversațiilor, rețele), alte metode (transfer neautorizat al parolelor de acces etc.). Aspect important– continuitatea protecției datelor pe parcursul întregului ciclu de viață al stocării și prelucrării acestora. Un exemplu de încălcare este stocarea accesibilă a datelor de rezervă.
Exemple de amenințare de încălcare a integrității datelor Una dintre cele mai frecvent implementate amenințări la adresa securității informațiilor este furtul și falsificarea. În sistemele informaționale, modificările neautorizate ale informațiilor pot duce la pierderi. Integritatea informațiilor poate fi împărțită în statică și dinamică. Exemple de încălcări ale integrității statice sunt: introducerea datelor incorecte; modificarea neautorizată a datelor; Schimbare modul software virus; Exemple de încălcări ale integrității dinamice: încălcarea atomicității tranzacției; duplicarea datelor; depozit pachete suplimentareîn traficul de rețea.
Software rău intenționat O modalitate de a efectua un atac este injectarea de programe malware în sisteme. Acest tip software-ul este folosit de atacatori pentru a: introduce alt software rău intenționat; obținerea controlului asupra sistemului atacat; consum agresiv de resurse; modificarea sau distrugerea programelor și/sau datelor. După mecanismul de distribuție se disting: viruși – cod care are capacitatea de a se răspândi prin introducerea în alte programe; viermii sunt coduri care pot determina în mod independent să se răspândească copii ale ei înșiși pe întreaga IP și să fie executate.
Software rău intenționat În GOST R „Protecția informațiilor. Obiect informativ. Factorii care influențează informația. Dispoziții generale” introduce următorul concept de virus: Un virus software este un executabil sau interpretat codul programului, care deține proprietatea distribuției neautorizate și a auto-reproducției în sisteme automate sau rețele de telecomunicații în scopul modificării sau distrugerii software-ului și/sau datelor stocate în sisteme automate.
Exemple de implementare a amenințării de refuzare a accesului Eșecul serviciilor (interzicerea accesului la sistemele informaționale) este una dintre cele mai frecvent implementate amenințări la adresa securității informațiilor. În ceea ce privește componentele IS, această clasă de amenințări poate fi împărțită în următoarele tipuri: refuzul utilizatorilor (reticenta, incapacitatea de a lucra cu IS); eșec intern Sistem informatic(erori în timpul reconfigurarii sistemului, software și hardware, distrugerea datelor); defectarea infrastructurii suport (intreruperea sistemelor de comunicații, alimentarea cu energie, distrugerea și deteriorarea spațiilor).
Conceptul de atac asupra unui sistem informatic Un atac este orice acțiune sau succesiune de acțiuni care exploatează vulnerabilitățile unui sistem informatic și conduc la o încălcare a politicii de securitate. Mecanism de securitate – software și/sau hardware, care detectează și/sau previne un atac. Serviciul de securitate este un serviciu care oferă securitate definită de politică a sistemelor și/sau a datelor transmise sau determină implementarea unui atac. Serviciul utilizează unul sau mai multe mecanisme de securitate.
Clasificarea atacurilor Clasificarea atacurilor asupra unui sistem informatic poate fi efectuată după mai multe criterii: După locul de origine: Atacurile locale (sursa acestui tip de atac sunt utilizatorii și/sau programele). sistem local); Atacurile de la distanță(sursa atacului este utilizatori la distanță, servicii sau aplicații); Prin impact asupra sistemului informatic Atacuri active (al căror rezultat este o întrerupere a sistemului informatic); Atacurile pasive (concentrate pe obținerea de informații din sistem fără a perturba funcționarea sistemului informațional);
Atacurile de rețea I. Atacul pasiv Un atac pasiv este un atac în care inamicul nu are capacitatea de a modifica mesajele transmise și de a le introduce în canal de informareîntre expeditorul și destinatarul mesajelor lor. Scop atac pasiv nu poate fi decât ascultarea mesajelor transmise și analiza traficului.
Atacuri în rețea Un atac activ este acela în care inamicul are capacitatea de a modifica mesajele transmise și de a introduce propriile mesaje. Se disting următoarele tipuri de atacuri active: Denial of Service - Atac DoS (Denial of Service) Încălcare refuzul serviciului functionare normala servicii de rețea. Un adversar poate intercepta toate mesajele trimise unui anumit destinatar. Un alt exemplu de astfel de atac este crearea unui trafic semnificativ, ceea ce duce la imposibilitatea unui serviciu de rețea să proceseze cererile de la clienții legitimi. Un exemplu clasic de astfel de atac în rețelele TCP/IP este un atac SYN, în care atacatorul trimite pachete care inițiază stabilirea unei conexiuni TCP, dar nu trimite pachete care finalizează stabilirea acestei conexiuni. Ca urmare, serverul poate deveni copleșit și serverul poate să nu se poată conecta la utilizatori legitimi.
Atacuri în rețea Modificarea fluxului de date - atac „om în mijloc” Modificarea fluxului de date înseamnă fie modificarea conținutului mesajului redirecționat, fie modificarea ordinii mesajelor.
Atacuri de rețea Reutilizare Reutilizare înseamnă capturarea pasivă a datelor și apoi redirecționarea acestora pentru a obține acces neautorizat - acesta este așa-numitul atac de reluare. De fapt, atacurile de reluare sunt un tip de manipulare, dar datorită faptului că sunt una dintre cele mai comune opțiuni de atac pentru obținerea accesului neautorizat, ele sunt adesea tratate ca un tip separat de atac.
Abordări pentru asigurarea securității informațiilor Pentru a proteja AIS, pot fi formulate următoarele prevederi: Securitatea informațiilor se bazează pe prevederile și cerințele legilor, standardelor și documentelor de reglementare existente; Securitatea informațională a AIS este asigurată de un complex de instrumente software și hardware și de măsuri organizaționale care le susțin; Securitatea informațională a AIS trebuie să fie asigurată în toate etapele prelucrării datelor tehnologice și în toate modurile de funcționare, inclusiv în timpul lucrărilor de reparații și întreținere;
Abordări pentru asigurarea securității informațiilor Pentru a proteja AIS, pot fi formulate următoarele prevederi: Instrumentele de protecție software și hardware nu ar trebui să degradeze semnificativ caracteristici functionale AIS; O parte integrantă a activității de securitate a informațiilor este evaluarea eficacității măsurilor de securitate, realizată folosind o metodologie care ia în considerare întregul set de caracteristici tehnice a obiectului evaluat, inclusiv solutii tehniceși implementare practică; Protecția AIS trebuie să includă monitorizarea eficienței echipamentului de protecție. Această monitorizare poate fi periodică sau inițiată după cum este necesar de către utilizatorul AIS.
Sistematicitatea mijloacelor de securitate a informațiilor Sistematicitatea în dezvoltarea și implementarea sistemelor de securitate a informațiilor presupune identificarea posibilelor amenințări la adresa securității informațiilor și alegerea metodelor și mijloacelor care vizează contracararea acestui set de amenințări. Soluțiile trebuie să fie de natură sistemică, adică să includă un set de măsuri pentru a contracara întreaga gamă de amenințări.
Continuitatea protecției Continuitatea protecției presupune că setul de măsuri pentru asigurarea securității informațiilor trebuie să fie continuu în timp și spațiu. Protecţie obiecte informaţionale trebuie asigurat în timpul lucrărilor de întreținere și reparații de rutină, în timpul instalării și configurării sistemelor și serviciilor informaționale.
Suficiență rezonabilă Construirea și întreținerea sistemelor de securitate a informațiilor necesită anumite fonduri, uneori semnificative. În același timp, este imposibil să se creeze un sistem de protecție cuprinzător. Atunci când alegeți un sistem de protecție, este necesar să găsiți un compromis între costurile de protecție a obiectelor informaționale și posibilele pierderi atunci când se realizează amenințările informaționale.
Flexibilitatea managementului și a aplicațiilor Amenințările la adresa securității informațiilor sunt multiple și nu sunt predeterminate. Pentru contramăsuri de succes, este necesar să se poată schimba mijloacele utilizate, să se activeze sau să se excludă rapid mijloacele de protecție a datelor utilizate și să se adauge noi mecanisme de protecție.
Deschiderea algoritmilor și a mecanismelor de securitate Instrumentele de securitate a informațiilor în sine pot reprezenta o amenințare pentru un sistem sau obiect informațional. Pentru a preveni această clasă de amenințări, este necesar ca algoritmii și mecanismele de protecție să permită verificarea independentă a securității și aderării la standarde, precum și posibilitatea utilizării acestora împreună cu alte măsuri de protecție a datelor.
Ușurința în aplicare a măsurilor și mijloacelor de protecție La proiectarea sistemelor de securitate a informațiilor, este necesar să rețineți că implementarea măsurilor și mijloacelor propuse va fi efectuată de utilizatori (de multe ori nu specialiști în domeniul securității informației). Prin urmare, pentru a crește eficacitatea măsurilor de protecție, este necesar ca algoritmul de lucru cu acestea să fie înțeles de utilizator. În plus, instrumentele și mecanismele de securitate a informațiilor utilizate nu trebuie să încalce munca normala utilizator cu sistem automatizat(reduceți drastic productivitatea, creșteți complexitatea muncii etc.).
Metode de asigurare a securității informațiilor Să luăm în considerare un exemplu de clasificare a metodelor utilizate pentru asigurarea securității informațiilor: obstacol - o metodă de blocare fizică a căii către informație a unui atacator; controlul accesului – o metodă de protecție prin reglementarea utilizării resurselor informaționale ale sistemului; mascarea este o metodă de protejare a informațiilor prin transformarea sa criptografică; reglementarea este o metodă de protejare a informațiilor care creează condiții pentru prelucrarea automată în care posibilitatea de acces neautorizat este minimizată; constrângerea este o metodă de protecție în care personalul este obligat să respecte regulile de prelucrare, transmitere și utilizare a informațiilor; inducerea este o metodă de protecție prin care utilizatorul este încurajat să nu încalce modurile de prelucrare, transmitere și utilizare a informațiilor prin respectarea standardelor etice și morale.
Mijloace de protecţie a sistemelor informaţionale Astfel de mijloace pot fi clasificate după următoarele criterii: mijloace tehnice - diverse dispozitive electrice, electronice şi informatice; mijloace fizice – implementate sub formă de dispozitive și sisteme autonome; software – software conceput pentru a îndeplini funcții de securitate a informațiilor; mijloace criptografice– algoritmi matematici care oferă transformări ale datelor pentru a rezolva problemele de securitate a informațiilor; mijloace organizatorice – un ansamblu de măsuri organizatorice, tehnice și organizatorice și legale; mijloace morale și etice - sunt implementate sub forma unor norme care s-au dezvoltat odată cu răspândirea computerelor și a tehnologiilor informaționale; mijloace legislative - un set de acte legislative care reglementează regulile de utilizare a PI, prelucrarea și transferul de informații.
Informatizarea activităților socio-politice, economice și militare ale țării și, drept consecință, dezvoltarea rapidă a sistemelor informaționale sunt însoțite de o creștere semnificativă a atacurilor asupra informațiilor atât din exterior. țări străine, și de la elementele criminale și cetățenii care nu au acces la acesta. Fără îndoială, în situația actuală, una dintre sarcinile principale cu care se confruntă statul de drept este soluționarea contradicției profunde dintre nivelul de securitate efectiv existent și cel necesar. nevoi de informare indivizii, societatea și statul însuși, oferindu-le securitatea informațiilor.Destinat cadrelor didactice universitare și studenților cu specializarea „Securitate informațională”, specialiști în securitate, manageri și directori de companii.
A. V. Artemov - Securitatea informaţiei. Citiți cursul de prelegeri online
Referent:
Candidat la științe economice, conferențiar al Departamentului de antreprenoriat și marketing, Instituția de învățământ bugetar de stat federal de învățământ profesional superior „Universitatea de stat - UNPC” N.A. Lebedeva
A. V. Artemov, candidat stiinte tehnice, Profesor asociat al Departamentului de Electronică, Informatică și Securitate Informațională, Instituția de Învățământ de la Bugetul de Stat Federal de Învățământ Profesional Superior „Universitatea de Stat - UNPC”
Securitatea informațiilor ca componentă determinantă a securității naționale a Rusiei
Întrebări de studiu:
1. Locul securității informațiilor în sistemul de securitate națională rus: concept, structură și conținut.
2. Documente de bază care reglementează problemele de securitate a informațiilor.
3. Amenințări moderne securitatea informațiilor în Rusia
Întrebarea 1. Locul securității informațiilor în sistemul de securitate națională rus: concept, structură și conținut
Informatizarea activităților socio-politice, economice și militare ale țării și, pe cale de consecință, dezvoltarea rapidă a sistemelor informaționale sunt însoțite de o creștere semnificativă a atacurilor asupra informațiilor atât din partea statelor străine, cât și din partea elementelor criminale și a cetățenilor care nu au acces la aceasta. Fără îndoială, în situația actuală, una dintre sarcinile primare cu care se confruntă statul de drept este soluționarea contradicției profunde dintre nivelul de securitate efectiv existent și necesar al nevoilor de informare ale individului, ale societății și ale statului însuși, asigurând informarea acestora. Securitate. în care sub securitatea informațiilor (SI) a individului, a societății, a statului și a sistemelor moderne automatizate și de telecomunicații este inteles starea de securitate a mediului informaţional corespunzătoare intereselor (nevoilor) individului, societăţii şi statului în sfera informațională, care asigură oportunități de formare, utilizare și dezvoltare a acestora, indiferent de prezența amenințărilor interne și externe.
Securitatea informațiilor este definită capacitatea statului (societate, individ):
– asigura, cu o anumită probabilitate, resurse informaționale suficiente și protejate și fluxurile de informații să-și mențină funcțiile vitale și viabilitatea, funcționarea și dezvoltarea durabilă;
– rezistă pericolelor și amenințărilor informaționale, impactului informațional negativ asupra conștiinței individuale și sociale și asupra psihicului oamenilor, precum și asupra rețelelor de calculatoare și a altor surse tehnice de informare;
– dezvoltarea abilităților personale și de grup și abilități de comportament sigur;
– menținerea constantă a pregătirii pentru măsuri adecvate în războiul informațional, indiferent cine îl impune.
Nici un domeniu al vieții societate modernă nu poate funcționa fără dezvoltat structura informatiei. Resursa națională de informații este astăzi una dintre principalele surse de putere economică și militară a statului. Pătrunzând în toate sferele activităţii statului, informaţia capătă o expresie politică, materială şi de cost specifică. Pe acest fundal, probleme de securitate a informațiilor al Federației Ruse ca element integral al securității naționale, iar protecția informațiilor devine una dintre sarcinile guvernamentale prioritare.
În orice țară, securității cibernetice i se acordă o importanță deosebită. În dezvoltarea sa, această sarcină parcurge mai multe etape în funcție de nevoile statului, de capacitățile, metodele și mijloacele de obținere a informațiilor (în special, informații), de regimul juridic al statului și de eforturile sale reale de a asigura protecția informațiilor. .
O etapă importantă în formarea și perfecționarea unui astfel de sistem în țara noastră a fost perioada anilor 70–80. De la începutul anilor '70. În activitățile de informații ale principalelor țări ale lumii, a început utilizarea pe scară largă a mijloacelor de informații tehnice. Anii 80, marcați de progresul științific și tehnologic rapid, mai ales în domeniul militar, au dat un nou impuls pentru creșterea în continuare a capacităților mijloacelor tehnice ale serviciilor de informații străine: până la 70% din informațiile de informații erau obținute la acea vreme prin mijloace tehnice.
Situația actuală impunea îmbunătățirea sistemului de măsuri de contracarare a serviciilor de informații străine. O sarcină de importanță națională și una dintre componentele în sistem comun contracararea informațiilor tehnice a devenit o măsură de păstrare a secretelor de stat și oficiale.
Până la începutul anilor 90. Au existat schimbări calitative în sfera militaro-politică și științifico-tehnică, care ne-au obligat să reconsiderăm în mare măsură politica statului în domeniul securității informaționale în general.
În primul rând, tehnologiile informaționale au schimbat fundamental volumul și importanța informațiilor care circulă în mijloacele tehnice de transmitere și prelucrare a acesteia. În al doilea rând, în Rusia monopolul de stat de facto asupra resurselor informaționale a devenit un lucru din trecut; în special, dreptul cetățeanului de a căuta, primi și difuza informații a fost consacrat constituțional. În al treilea rând, mecanismul administrativ anterior de gestionare a securității informațiilor a devenit ineficient, în timp ce, în același timp, nevoia de coordonare interdepartamentală în acest domeniu a crescut în mod obiectiv. În al patrulea rând, din cauza includerii tot mai mari a Rusiei în diviziunea internațională a muncii, a întăririi contactelor economice, culturale și umanitare cu alte state, multe măsuri restrictive de regim care facilitează protecția informațiilor, de exemplu, sistemul de regiuni închis. la vizitele cetăţenilor străini, au devenit inacceptabile.
În condițiile actuale, ținând cont de amenințările considerate la adresa securității informaționale ale indivizilor, societății și statului, este important să se ia în considerare problemele și sarcinile de asigurare a securității informației, care este o parte integrantă. parte integrantă asigurarea securităţii naţionale a oricărui stat din comunitatea mondială într-o nouă etapă a dezvoltării sale – etapa de formare a societăţii informaţionale. faimos trasaturi caracteristice o astfel de societate este o condiționalitate clară a dezvoltării economice, sociale, științifice și de ansamblu a țării implementare pe scară largă noi tehnologii informaționale care asigură informatizarea eficientă a societății, care, la rândul său, asigură securitatea informațională a societății, inclusiv furnizarea acesteia de informații de înaltă calitate, produse de informare, servicii și cunoștințe, care sunt astăzi cea mai importantă resursă strategică a țării. Informatizarea individului și a societății este cea mai importantă direcție strategică a activităților statului, determinând dezvoltarea și prioritățile socio-economice și politice stabile și sigure în toate domeniile, inclusiv informarea și activitățile din comunitatea mondială. Acest lucru este confirmat de etape practicețările lider ale lumii și Rusia, ceea ce este confirmat de adoptarea unei serii de acte juridice de reglementare și alte documente:
– 2000 – „Carta Okinawa a Societății Informaționale Globale” (semnată de Președinte în numele Rusiei);
– 2000 prin Conceptul de Securitate Națională a Federației Ruse (aprobat prin decret prezidențial, modificat la 10 ianuarie 2000);
– 2000 – Programe țintă federale „Dezvoltarea unui mediu informațional educațional unificat (2001–2005)”, „ Rusia electronică»;
– 25 iulie 2007 – programul „Strategia pentru Dezvoltarea Societății Informaționale în Rusia” (adoptat de Consiliul de Securitate al Federației Ruse);
– 2002 – Programul țintă federal „Rusia electronică pentru 2002–2010” (aprobat prin Decretul Guvernului Rusiei din 28 ianuarie 2002 nr. 65);
– 2007 „Strategia de dezvoltare a societății informaționale în Rusia” (aprobată la 25 iulie 2007 de Consiliul de Securitate al Federației Ruse) și altele.
Întrebarea 2. Documente de bază care reglementează problemele de securitate a informațiilor
Având în vedere Conceptul de securitate națională a Rusiei, aprobat prin Decretul președintelui Federației Ruse din 17 decembrie 1997 nr. 1300 (modificat la 10 ianuarie 2000), care reflectă numita „Carta Okinawa a Societății Informaționale Globale, ” se poate argumenta că în el sistemul intereselor naționale al Rusiei este determinat de combinația următoarelor interese principale:
indivizii - constau în asigurarea reală a drepturilor și libertăților constituționale, siguranța personală, în îmbunătățirea calității și a nivelului de trai, în dezvoltarea fizică, spirituală și intelectuală;
– societatea – includ consolidarea democrației, realizarea și menținerea armoniei publice, creșterea activității creatoare a populației și renașterea spirituală a Rusiei;
– state – constau în protejarea ordinii constituționale, suveranității și integrității teritoriale a Rusiei, stabilirea stabilității politice, economice și sociale, implementarea necondiționată a legilor și menținerea ordinii și dezvoltarea cooperării internaționale bazate pe parteneriat.
Conceptul definește interesele naționale ale Rusiei în sfera informațională.
Interesele naționale ale Rusiei determina necesitatea de a concentra eforturile societatii si ale statului asupra rezolvarii anumitor probleme. Acestea sunt:
– respectarea drepturilor și libertăților constituționale ale cetățenilor în domeniul obținerii și schimbului de informații;
– protecția valorilor spirituale naționale; – promovarea patrimoniului național, cultural, a standardelor morale și a eticii publice;
– asigurarea dreptului cetățenilor de a primi informații fiabile;
– dezvoltarea tehnologiilor moderne de telecomunicații. Activitățile sistematice ale statului pentru a implementa aceste sarcini vor permite Federației Ruse să devină unul dintre centrele dezvoltării mondiale în secolul XXI. În același timp, este inacceptabil să folosim informații pentru a manipula conștiința de masă. Protecția statului este necesară resursă informațională de la scurgerea de informații importante politice, economice, științifice, tehnice și militare.
În conformitate cu acest Concept, cel mai important Sarcini de suport IS sunt:
– stabilirea echilibrului necesar între necesitatea schimbului liber de informații și restricții admisibile distribuția acestuia;
– îmbunătățirea structurii informaționale, accelerarea dezvoltării noilor tehnologii informaționale și răspândirea lor pe scară largă, unificarea mijloacelor de căutare, colectare, stocare, procesare și analiză a informațiilor, ținând cont de intrarea Rusiei în infrastructura globală a informațiilor;
– dezvoltarea unui cadru juridic de reglementare adecvat și a unei coordonări, cu rolul principal al Agenției Federale pentru Comunicații și Informații Guvernamentale sub președintele Federației Ruse, activitățile organismelor guvernamentale federale și ale altor organisme; rezolvatorii de probleme suport pentru securitatea informațiilor;
– dezvoltarea telecomunicaţiilor interne şi medii de informare, distribuția lor prioritară pe piața internă față de analogii străini;
– protecția resurselor informaționale ale statului, în primul rând în organismele guvernamentale federale și la întreprinderile din industria de apărare.
Doctrina Securității Informaționale a Federației Ruse din 09.09.2001 Nr. Pr-1895 este un set de opinii oficiale cu privire la scopurile, obiectivele, principiile și direcțiile principale de asigurare a securității informațiilor din Federația Rusă. Acesta servește ca bază:
– formularea politicii de stat în domeniul securității informațiilor în Federația Rusă;
– întocmirea propunerilor de îmbunătățire a suportului juridic, metodologic, științific, tehnic și organizatoric al securității informațiilor;
– dezvoltarea de programe țintite pentru asigurarea securității informațiilor în Federația Rusă.
Structura Doctrinei este formată din 4 secțiuni și 11 capitole. În prima secțiune " Securitatea informațiilor din Federația Rusă" dat sunt evidențiate conceptul de securitate a informațiilor, interesele naționale ale individului, societății și statului în sfera informațională. Ele sunt specificate mai detaliat în Doctrină decât în Conceptul de securitate națională.
Obiectivele strategice și actuale ale politicii interne și externe a statului de asigurare a securității informațiilor se formează pe baza următoarelor interese informaționale:
– persoane fizice – constau în punerea în aplicare a drepturilor constituționale ale omului și cetățeanului de a accesa informații, de a utiliza informații în interesul desfășurării unor activități neinterzise de lege, fizice, spirituale și dezvoltare intelectuala, precum și în protecția informațiilor care asigură securitatea personală;
– societatea – urmează să asigure interesele individului în acest domeniu, întărirea democrației, crearea unui stat social juridic, realizarea și menținerea armoniei publice și reînnoirea spirituală a Rusiei;
– statele – urmează să creeze condiții pentru dezvoltarea armonioasă a infrastructurii informaționale rusești, implementarea drepturilor și libertăților constituționale ale omului și cetățeanului în domeniul obținerii și utilizării informațiilor în vederea asigurării inviolabilității sistemului constituțional, a suveranității. și integritatea teritorială a Rusiei, stabilitatea politică, economică și socială, în asigurarea necondiționată a legii și ordinii, dezvoltarea cooperării internaționale egale și reciproc avantajoase.
Sunt determinate tipurile de amenințări la securitatea informațiilor și sursele acestora. Ele sunt de asemenea, spre deosebire de Conceptul de Securitate Națională, specificate în detaliu.
În a doua secțiune „Metode de asigurare a securității informațiilor”:
– sunt determinate metode generale asigurarea securității informațiilor din Federația Rusă;
– dezvăluie caracteristicile asigurării securității informațiilor în Federația Rusă în domenii diverse viata sociala;
– se determină cooperarea internațională în domeniul securității informațiilor.
În a treia secțiune „Dispoziții de bază ale politicii de stat pentru asigurarea securității informațiilor a Federației Ruse” contine:
– principii de asigurare a politicii de stat;
– măsuri prioritare pentru implementarea politicii de stat pentru asigurarea securității informaționale a Federației Ruse.
Secțiunea a patra " Baza organizatorică a sistemului de securitate a informațiilor din Federația Rusă" stabilește principalele funcții ale sistemului de securitate a informațiilor și baza organizatorică a acestuia.
Protecția informațiilor ar trebui să se bazeze pe o abordare sistematică. Abordarea sistematică este că toate mijloacele utilizate pentru a asigura securitatea informațiilor ar trebui considerate ca un singur set de măsuri interdependente. Unul dintre principiile protecției informațiilor este principiul „suficienței rezonabile”, care este următorul: protecție sută la sută nu există în nicio circumstanță, de aceea trebuie să ne străduim nu pentru nivelul maxim teoretic de protecție a informațiilor, ci pentru minim necesar în condiții specifice date și la un anumit nivel posibil amenințare.
Protecția informațiilor poate fi împărțită în protecție:
de la pierdere și distrugere;
de la acces neautorizat.
2. Protejarea informațiilor împotriva pierderii și distrugerii
Pierderea informațiilor poate apărea din următoarele motive:
defecțiune a calculatorului;
pene de curent sau defecțiuni;
deteriorarea suporturilor de stocare;
acțiunile eronate ale utilizatorului;
efectul virușilor informatici;
acțiuni intenționate neautorizate ale altor persoane.
Aceste cauze pot fi prevenite copia de rezerva a datelor, adică creându-și copiile de rezervă. Mijloacele de rezervare includ:
software de backup inclus cu majoritatea sistemelor de operare. De exemplu, MS Backup, Norton Backup;
crearea de arhive pe medii externe informație.
Dacă sunt pierdute, informațiile pot fi restaurate. Dar acest lucru este posibil numai dacă:
după ștergerea unui fișier, nu au fost scrise informații noi în spațiul liber;
dacă fișierul nu a fost fragmentat, adică (prin urmare, trebuie să efectuați în mod regulat defragmentarea folosind, de exemplu, utilitarul Disk Defragmenter inclus în sistemul de operare Windows).
Recuperare produs de următorul software:
Anulați ștergerea din pachetul de utilitate DOS;
Unerase de la Norton Utilites.
Dacă datele sunt de o valoare deosebită pentru utilizator, atunci le puteți utiliza protectie impotriva distrugerii:
atribuiți fișierelor proprietatea Numai citire;
utilizați un software special pentru a salva fișierele după ștergere, simulând ștergerea. De exemplu, Norton Protected Cos de gunoi(cărucior securizat). .
Încălcările securității datelor reprezintă o amenințare majoră la adresa securității datelor. sistem de alimentare cu energie- întreruperi de curent, supratensiuni și căderi de tensiune etc. Pierderea de informații în astfel de cazuri poate fi aproape complet evitată prin utilizarea surselor de alimentare neîntreruptibile. Acestea asigură funcționarea normală a computerului chiar și atunci când alimentarea este oprită prin trecerea la alimentarea cu baterie.
Protecția informațiilor împotriva accesului neautorizat
Acces neautorizat- citirea, modificarea sau distrugerea informațiilor fără autoritatea corespunzătoare pentru a face acest lucru.
De bază poteci tipice primirea neautorizată a informațiilor:
furt de medii de stocare;
copierea mediilor de stocare prin depășirea măsurilor de securitate;
deghizați în utilizator înregistrat;
farsă (deghizat ca cereri de sistem);
exploatarea punctelor slabe sisteme de operareși limbaje de programare;
interceptarea radiațiilor electronice;
interceptarea radiațiilor acustice;
fotografie la distanță;
utilizarea dispozitivelor de ascultare;
dezactivarea intenționată a mecanismelor de protecție.
Pentru protectia informatiilorîmpotriva accesului neautorizat se aplică:
Evenimente organizatorice.
Mijloace tehnice.
Software.
Criptografie.
1. Evenimente organizatorice include:
modul de acces;
stocarea mediilor și a dispozitivelor într-un seif (dischete, monitor, tastatură);
restricționarea accesului persoanelor la sălile de calculatoare.
2. Mijloace tehnice include diferite metode hardware pentru protejarea informațiilor:
filtre, ecrane pentru echipamente;
cheie pentru blocarea tastaturii;
dispozitive de autentificare - pentru citirea amprentelor, forma mâinii, irisul, viteza și tehnicile de tastare etc.
3. Software securitatea informațiilor presupune dezvoltarea unui software special care să nu permită unei persoane neautorizate să obțină informații din sistem. Instrumentele software includ:
acces prin parolă;
blocați ecranul și tastatura folosind o combinație de taste;
utilizarea instrumentelor de protecție prin parolă protectie BIOS(sistem de bază de intrare-ieșire - sistem de bază de intrare-ieșire).
4. Sub într-un mod criptografic Protejarea informațiilor înseamnă criptarea lor atunci când sunt introduse într-un sistem informatic. Esența acestei protecții este că o anumită metodă de criptare (cheie) este aplicată documentului, după care documentul devine ilizibil prin mijloace obișnuite. Citirea unui document este posibilă dacă aveți o cheie sau folosiți o metodă adecvată de citire. Dacă schimbul de informații folosește aceeași cheie pentru criptare și citire, atunci procesul criptografic este simetric. Dezavantajul este că cheia este transferată împreună cu documentul. Prin urmare, INTERNET-ul folosește sisteme criptografice asimetrice, unde nu se utilizează una, ci două chei. Pentru serviciu se folosesc 2 chei: una este deschisă (publică), iar cealaltă este închisă (privată). Cheile sunt construite în așa fel încât un mesaj criptat de o jumătate poate fi decriptat doar de cealaltă jumătate. Prin crearea unei perechi de chei, compania distribuie cheia publică pe scară largă și stochează cheia privată în siguranță.
Ambele taste reprezintă o anumită secvență de cod. Cheia publică este publicată pe serverul companiei. Oricine poate cripta orice mesaj folosind cheia publică, iar după codare, doar proprietarul cheii private îl poate citi.
Principiul suficienței protecției. Mulți utilizatori, după ce au primit cheia publică a altcuiva, doresc să le obțină și să le folosească, studiind algoritmul mecanismului de criptare și încercând să stabilească o metodă de decriptare a mesajului pentru a reconstrui cheia privată. Principiul suficienței este verificarea numărului de combinații ale cheii private.
Conceptul de semnatura electronica. Folosind o semnătură electronică, clientul poate comunica cu banca, dând ordine de a-și transfera fondurile în conturile altor persoane sau organizații. Dacă trebuie să creați o semnătură electronică, ar trebui să utilizați un program special (primit de la bancă) pentru a crea aceleași 2 chei: private (rămâne la client) și publice (transferate băncii).
Protecție la citire efectuate:
la nivel DOS prin introducerea de atribute Hidden pentru fișier;
criptare.
Protejarea înregistrării efectuate:
setarea proprietății Numai citire pentru fișiere;
interzicerea scrierii pe o dischetă prin deplasarea sau ruperea pârghiei;
interzicerea scrierii prin instalarea BIOS - „unitatea de disc nu este instalată”
La protejarea informațiilor, apare adesea problema distrugerii fiabile a datelor, care se datorează următoarelor motive:
La ștergere, informațiile nu sunt șterse complet;
Chiar și după formatarea unei dischete sau a unui disc, datele pot fi recuperate folosind mijloace speciale bazate pe câmpul magnetic rezidual.
Pentru ștergerea securizată, sunt utilizate utilități speciale care șterg datele prin scrierea repetă a unei secvențe aleatorii de zerouri și unu în locul datelor șterse.
Protejarea informațiilor din rețeaINTERNET
Când lucrați pe Internet, ar trebui să aveți în vedere asta în ceea ce privește resursele World wide web sunt deschise fiecărui client, la fel cum resursele sistemului său informatic pot fi, în anumite condiții, deschise oricui are mijloacele necesare. Pentru un utilizator privat, acest fapt nu joacă un rol deosebit, dar este necesar să se cunoască despre el pentru a preveni acțiunile care încalcă legile acelor țări în care se află serverele de internet. Astfel de acțiuni includ încercări voluntare sau involuntare de a perturba funcționalitatea sistemelor informatice, încercările de a pirata sistemele protejate, utilizarea și distribuirea de programe care perturbă funcționalitatea sistemelor informatice (în special, virușii informatici). Când lucrați pe World Wide Web, ar trebui să vă amintiți că absolut toate acțiunile sunt înregistrate și înregistrate de software special și informații despre acțiunile legale și ilegale sunt în mod necesar acumulate undeva. Prin urmare, comunicările online ar trebui tratate ca și cum ar fi o corespondență obișnuită de carte poștală. Informația circulă liber în ambele direcții, dar în general este disponibilă tuturor participanților la procesul de informare. Acest lucru se aplică tuturor serviciilor de internet deschise publicului.
Cu toate acestea, chiar și în serviciul poștal obișnuit, împreună cu cărțile poștale, există și plicuri poștale. Folosirea plicurilor poștale atunci când corespund nu înseamnă că partenerii au ceva de ascuns. Utilizarea lor corespunde unei tradiții istorice de lungă durată și standardelor morale și etice stabilite de comunicare. Necesitatea unor „plicuri” similare pentru a proteja informațiile există și pe Internet. Astăzi, internetul nu este doar un mijloc de comunicare și un sistem de referință universal - circulă obligații contractuale și financiare, nevoia de a le proteja atât de vizionare, cât și de falsificare este evidentă. Din 1999, INTERNET a devenit un mijloc puternic de asigurare a cifrei de afaceri în comerțul cu amănuntul, iar acest lucru necesită protecția datelor cărților de credit și a altor mijloace electronice de plată.
Principiile de protecție a informațiilor de pe Internet se bazează pe definiția informațiilor pe care am formulat-o în primul capitol al acestui manual. Informația este un produs al interacțiunii datelor și metodelor adecvate acestora.. Dacă în timpul procesului de comunicare datele sunt transmise prin sisteme deschise (și Internetul este unul dintre acestea), atunci este imposibil să se excludă accesul la acestea de către persoane neautorizate chiar și teoretic. În consecință, sistemele de securitate se concentrează pe a doua componentă a informațiilor – metodele. Principiul lor de funcționare se bazează pe eliminarea sau cel puțin complicarea posibilității de selectare metoda adecvata pentru a transforma datele în informații.
Procesul de informatizare a societății moderne duce la o creștere bruscă a valorii anumitor informații și la pierderi care pot apărea în cazul scurgerii, modificării sau distrugerii acestora. În acest sens, problema asigurării securității informațiilor devine deosebit de relevantă.
Conceptul de securitate în sfera informațională este foarte larg. În sens general, sub securitatea informatiei să înțeleagă securitatea informațiilor din încercările neautorizate de a le obține, modificarea, distrugerea și întârzierile de acces. Securitatea informațiilor trebuie să asigure atingerea următoarelor obiective:
Integritatea datelor - protecție împotriva defecțiunilor care conduc la pierderea informațiilor, precum și la crearea sau distrugerea neautorizată a datelor;
Confidențialitatea informațiilor;
Motivele care conduc la pierderea sau modificarea nedorită a informațiilor includ următoarele:
1) Acces neautorizat la date (accidental sau intenționat):
Copierea, denaturarea, distrugerea sau falsificarea informațiilor;
Familiarizarea persoane neautorizate cu informații confidențiale.
2) Operarea incorectă a software-ului, care duce la pierderea sau coruperea datelor:
Erori în aplicația sau software-ul de rețea;
Infectarea sistemelor cu viruși informatici.
3) Defecțiuni ale echipamentelor tehnice cauzate de:
Pana de curent;
Defecțiunea sistemelor de discuri și a sistemelor de arhivare a datelor;
Întreruperea serverelor, stațiilor de lucru, plăci de rețea, modemuri;
Prăbușiri sistem de cabluri.
4) Erori ale personalului de întreținere sau ale utilizatorilor.
5) Stocarea incorectă a informațiilor.
În calcul, conceptul Securitate este destul de larg. Implică fiabilitatea computerului, siguranța datelor valoroase, protecția informațiilor împotriva modificărilor aduse acestuia de către persoane neautorizate și păstrarea secretului corespondenței în timpul comunicațiilor electronice. Desigur, în toate țările civilizate există legi care să protejeze siguranța cetățenilor, dar în sferă tehnologia calculatoarelor Practica de aplicare a legii este încă subdezvoltată, iar procesul legislativ nu ține pasul cu dezvoltarea tehnologiei. Prin urmare, fiabilitatea sistemelor informatice se bazează în mare măsură pe măsuri de autoapărare.
Securitatea sistemului informatic este un sistem de măsuri organizatorice și tehnice care vizează prevenirea amenințărilor, adică a evenimentelor sau acțiunilor care încalcă funcționarea normală a unui sistem informatic sau drepturile cetățenilor, întreprinderilor și statului de a avea informații.
Măsurile de asigurare a securității unui sistem informatic trebuie să includă toate posibile amenințăriși includ de obicei protecția fizică a serverului, mijloace de restaurare a sistemelor și a datelor după defecțiuni și mijloace de protecție împotriva accesului neautorizat.
Cu siguranță, solutie universala Nu există probleme de securitate a informațiilor care să excludă toate motivele de mai sus: protecția fizică a datelor și a programelor de sistem, protecție împotriva accesului neautorizat la datele transmise prin linii de comunicație și aflate pe dispozitivele de stocare.
Dezvoltat în prezent și utilizat cu succes diverse metodeși mijloace pentru a minimiza riscul de pierdere a datelor sau modificări nedorite. Cu toate acestea, nu există o abordare uniformă a clasificării lor.
De exemplu, există juridice, tehnice și organizatorice aspecte de securitate a informațiilor.
Spre măsuri legale includ: elaborarea unor reglementări care implică răspunderea administrativă și penală pentru furtul de informații, încălcarea drepturilor de autor ale programatorilor și toate acele tipuri de infracțiuni informatice despre care au fost discutate anterior.
La măsuri tehnice includ: protecție împotriva accesului neautorizat la sistem; program antivirus; backup și arhivare a documentelor deosebit de importante; organizarea rețelelor locale de calculatoare cu posibilitatea de redistribuire a resurselor în cazul eșecului legăturilor individuale; instalarea sistemelor de protecție împotriva defecțiunilor de alimentare cu energie; precum si dotarea incintei cu sistem de alarma de securitate.
Sub măsuri organizatorice Aceasta se referă în primul rând la selecția angajaților companiei, precum și la asigurarea faptului că persoanelor neverificate nu li se permite accesul la informații protejate. Aceasta include, de exemplu, dotarea spațiilor cu un sistem de blocare cu combinație, astfel încât doar o persoană care cunoaște codul care deschide ușa să poată intra într-o cameră dată.
Există și alte abordări pentru clasificarea instrumentelor de securitate a informațiilor:
- protectia fizica inseamna: mijloace de protecție pentru sisteme de cabluri, sisteme de alimentare cu energie, instrumente de arhivare, matrice de discuri etc.
Protecția fizică, în special, include:
a) asigurarea securității incintelor în care sunt instalate serverele, ținând cont de cerințele de fiabilitate a clădirilor, de temperatură și umiditate, precum și de disponibilitatea echipamentelor de stingere a incendiilor;
b) măsuri de limitare acces fizic La sisteme informaticeȘi infrastructura retelei fură persoanele neautorizate care pot opri, reporni și chiar reinstala serverul hard disk-uri, instalați echipamente și software de recunoaștere.
c) mijloace de protecție împotriva căderilor de curent - de la surse de alimentare neîntreruptibile până la măsuri de împământare eficientă și protecție împotriva loviturilor de trăsnet.
- protectie software: programe antivirus, sisteme de delimitare a puterii, software de control acces;
Instrumentele software și metodele de protecție sunt utilizate mai activ și pe scară largă decât altele pentru a proteja informațiile de pe computerele personale și retele de calculatoare, implementarea unor funcții de protecție precum delimitarea și controlul accesului la resurse; înregistrarea și analiza proceselor, evenimentelor, utilizatorilor în derulare; prevenirea posibilelor impacturi distructive asupra resurselor; protecţie criptografică informație; identificarea și autentificarea utilizatorilor și proceselor etc.
În prezent, ponderea cea mai mare în acest grup de măsuri în sistemele de prelucrare a informaţiei economice este pachete software speciale sau programe individuale , incluse în software în scopul implementării sarcinilor de securitate a informațiilor.
- mijloace tehnologice de securitate a informaţiei este un set de activități care sunt integrate organic în procesele tehnologice de conversie a datelor. Printre ei:
Creare copii de arhivă transportatoare;
Manual sau salvare automată fișiere procesate în memoria externă a computerului;
Înregistrarea utilizatorilor facilităților informatice în jurnalele;
Înregistrarea automată a accesului utilizatorilor la anumite resurse;
Elaborarea de instrucțiuni speciale pentru efectuarea tuturor procedurilor tehnologice etc.
- la măsurile și remediile legale și morale și etice să includă legile și reglementările în vigoare în țară care reglementează regulile de manipulare a informațiilor și răspunderea pentru încălcarea acestora; standarde de comportament, a căror respectare contribuie la protecția informațiilor.
- masuri administrative de protectie: controlul accesului la sedii, dezvoltarea unei strategii de securitate a companiei, planuri de actiune Situații de urgență etc.
Mijloacele organizatorice și administrative de protecție se reduc la reglementarea accesului la informații și a resurselor de calcul, procesele funcționale ale sistemelor de prelucrare a datelor, reglementarea activităților personalului etc. Scopul lor este de a complica sau elimina cel mai mult posibilitatea realizării amenințărilor de securitate. Cele mai tipice mijloace organizatorice și administrative:
Crearea unui regim de puncte de control pe teritoriul unde se află instalațiile de prelucrare a informațiilor;
Producerea și eliberarea permiselor speciale;
Activitati de recrutare legate de prelucrarea datelor;
Permiterea numai funcționarilor verificați să prelucreze și să transmită informații confidențiale;
Stocarea magnetice si a altor medii de stocare care reprezinta un anumit secret, precum si a jurnalelor de inregistrare in seifuri inaccesibile persoanelor neautorizate;
Organizarea protectiei impotriva instalarii de echipamente de ascultare in spatii asociate procesarii informatiilor;
Organizarea contabilității utilizării și distrugerii documentelor (media) cu informații confidențiale;
Dezvoltare descrierea postuluiși reguli pentru lucrul cu instrumente informatice și matrice de informații;
Limitarea accesului funcționarilor la informații și resurse de calcul în conformitate cu responsabilitățile funcționale ale acestora.
Oricare dintre clasificările luate în considerare este destul de condiționată. Tehnologiile moderne se dezvoltă spre sinteza diferitelor mijloace de protecție, iar atingerea nivelului necesar de securitate este posibilă numai cu o combinație optimă de metode organizaționale, software, hardware, fizice și alte metode de protecție, adică dacă abordare sistematica la rezolvarea problemei securității informațiilor.
IS (securitatea informațiilor)
Prelegerea nr. 1
Securitatea informațiilor – capacitatea sistemului de prelucrare de a asigura o anumită perioadă de timp pentru îndeplinirea anumitor cerințe de prelucrare în funcție de probabilitatea apariției unor evenimente, exprimată în scurgerea pierderii sau modificării ilegale a datelor care prezintă o oarecare valoare pentru proprietarii acestora. Se crede că sursa acestor acțiuni poate fi atât influențe aleatorii, cât și influența unui distrugător uman.
Sistem automat de procesare a informațiilor (AS) – sistem organizatoric și tehnic, care este un set de componente interconectate:
Calculatoare și comunicații.
Metode și algoritmi de prelucrare a datelor (software).
Matrice și baze de date prezentate pe orice suport.
Personalul informatic si utilizatorii.
Subiectele relațiilor informaționale:
Statul și organisme guvernamentale.
organizații comerciale de stat ( entitati legale).
Cetăţeni (persoane fizice).
Surse de informare.
Utilizatori (consumatori) de informații.
Proprietarii (proprietari) de informații.
Persoane fizice sau juridice de la care se colectează informații.
Proprietarii de AS și participanții la procesul de prelucrare a informațiilor.
Confidențialitate. O proprietate care indică faptul că numai utilizatorii autorizați și cei furnizați de sistemul de prelucrare a informațiilor pot avea acces la informații.
Integritate. Proprietatea informațiilor, care constă, în primul rând, că informațiile pot fi modificate numai de către utilizatorii care au dreptul de a face acest lucru și, în al doilea rând, că informațiile nu sunt contradictorii și reflectă situație reală de lucruri.
Disponibilitate. Proprietatea unui sistem în care circulă informația, caracterizată prin capacitatea de a oferi acces la informații în timp util și nestingherit pentru utilizatorii care au autoritatea corespunzătoare pentru a le accesa.
Acces la informatii:
Familiarizarea cu informațiile, inclusiv copierea.
Modificarea informațiilor.
Distrugerea informațiilor.
Subiect de sistem – o componentă activă a sistemului (utilizator sau proces), ale cărei acțiuni în raport cu obiectele sunt reglementate de reguli de control al accesului.
Obiect sistem – o componentă pasivă a sistemului (dispozitiv, disc, director, fișier), la care accesul este reglementat de reguli de control al accesului.
Acces neautorizat (USD) – accesul unui subiect la un obiect ocolind regulile de control al accesului stabilite în sistem.
Intrus – un subiect care a încercat sau a încercat să încerce accesul neautorizat la obiectele sistemului din greșeală, ignoranță sau intenție rău intenționată.
Autentificare – verificarea autenticității unui subiect sau obiect.
Identificare – atribuirea unui nume unui subiect sau obiect al sistemului.
Verificare – verificarea integrităţii unor informaţii.
Puterea de protecție – probabilitatea ca un atacator să nu depășească apărarea într-o anumită perioadă de timp.
Prelegerea nr. 2
Metode de bază de asigurare a securității informațiilor
În funcțiune securitatea retelei” reprezintă un mecanism de protecție a informațiilor procesate în sistemele și rețelele de calcul distribuite.
Metodele „inginerești și tehnice” urmăresc să asigure protecția informațiilor prin canale tehnice, de exemplu, protecția împotriva interceptării radiațiilor electromagnetice sau a informațiilor de vorbire.
Metodele „legale” și „organizaționale” de protecție a informațiilor creează cadrul de reglementare pentru organizarea diverselor activităţi legate de asigurarea securităţii informaţiei.
„Metodele teoretice” de asigurare a securității informațiilor și-au stabilit 2 sarcini:
Formalizarea diferitelor tipuri de procese legate de securitatea informațiilor, de exemplu, un model formal de control al accesului într-un sistem automatizat, face posibilă descrierea tuturor fluxurilor de informații care trec de la subiecți la obiecte și invers și, prin urmare, protejarea eficientă a acestor informații.
Justificare strictă a corectitudinii și adecvării sistemelor de securitate a informațiilor. Această sarcină apare, de exemplu, la certificarea unui sistem în funcție de nivelul de securitate a informațiilor.
Sub amenințare Este obișnuit să înțelegem evenimente sau acțiuni potențial posibile care ar putea dăuna oricăror interese.
Amenințare la securitatea informațiilor – acțiuni potențiale care ar putea încălca confidențialitatea, integritatea sau disponibilitatea informațiilor, precum și posibilitatea de a afecta componentele sistemului de difuzoare, ducând la defectarea acestora, pierderea sau defectarea funcțiilor.
Clasificarea amenințărilor la securitatea informațiilor se poate face după următoarele criterii:
După gradul de intenționalitate :
Aleatoriu. Neglijența personalului sau acțiuni accidentale.
Intenționat. Acțiunile atacatorului.
În funcție de sursa amenințării:
Amenințări la adresa mediului natural.
Amenințări care provin de la oameni.
Amenințări care provin din software sau hardware autorizat. Manevrare greșită.
Amenințări provenite din software sau hardware neautorizat. Viruși, dispozitive de ascultare, camere ascunse etc.
După poziția sursei amenințării :
Amenințări a căror sursă se află în afara zonei controlate. Înregistrare audio sau video de la distanță.
Amenințări a căror sursă se află în interiorul zonei controlate.
După gradul de impact asupra difuzoarelor :
Pasiv.
Activ.
Pentru încălcarea a trei proprietăți de bază ale informațiilor protejate :
Confidențialitate.
Integritate.
Disponibilitate.
Model sistem de protectie:
Măsuri organizatorice și de securitate fizică.
.
Controlul accesului.
4.1. Metode criptografice.
Metode de protecție perimetrală.
Inregistrare si auditare.
ÎN caz general Aceste metode utilizate la întreprindere includ următoarele:
Implementarea unui sistem de control și delimitarea accesului fizic la elementele AS.
Crearea unui serviciu de securitate și securitate fizică.
Crearea de mecanisme pentru a controla mișcarea angajaților și a vizitatorilor, de exemplu folosind supraveghere video sau carduri de acces.
Elaborarea și implementarea reglementărilor, a fișelor posturilor și a altor documente de reglementare.
Reglementarea lucrului cu mass-media care conțin informații confidențiale.
Clasificarea metodelor de autentificare:
Metode bazate pe cunoașterea de către subiect a unor informații secrete. Exemplu clasic: Autentificare prin parolă. Aceste metode sunt cele mai comune.
Metode bazate pe deținerea de către subiect a unui obiect unic. De exemplu: cheie electronică, card de acces etc.
Metode bazate pe scanarea caracteristicilor biometrice umane. De exemplu: scanarea unei amprente, iris, chip uman, scriere de mână simplă și tastatură.
Autentificare prin parolă
Schema generală de autentificare prin parolă:
Introducerea unui ID de utilizator.
Verificarea dacă un astfel de identificator există în sistem.
Dacă există, atunci se efectuează procedura de autentificare.
Dacă procedura este finalizată cu succes, are loc autorizarea.
Dacă procedura de autentificare nu reușește, se fac mai multe încercări de reintrare.
Avantajele și dezavantajele unui sistem de parole
Ușurință relativă de implementare. De regulă, sistemele de parole nu necesită hardware suplimentar.
Tradiționalitatea. Mecanisme protecție cu parolă sunt familiare pentru majoritatea utilizatorilor.
Parolele care sunt rezistente la cracare tind să fie de puțin folos.
Există 3 tipuri de amenințări:
Recomandări pentru implementarea practică a sistemelor de parole
Setarea lungimii minime a parolei. Această recomandare face mai dificilă forțarea completă a unei parole.
Creșterea puterii alfabetului parolelor. Această recomandare complică o căutare completă.
Verificarea și filtrarea parolelor după conditii diferite. Această recomandare face dificilă ghicirea unei parole folosind un dicționar.
Setarea perioadei maxime de valabilitate a parolei (de exemplu, schimbați parola la fiecare 2 săptămâni). Expirarea parolei limitează timpul pe care un atacator îl poate petrece încercând să ghicească parola.
Screening bazat pe istoricul parolelor. Acest mecanism previne reutilizarea parolelor care ar fi putut fi compromise anterior.
Limitați numărul de încercări de introducere a parolei. Această recomandare face dificilă ghicirea interactivă a parolei.
Fără expirare a timpului de tastare parola corecta. Acest mecanism face, de asemenea, dificilă selecția interactivă.
Interzicerea utilizatorului de a alege o parolă și generare automată parola. Această recomandare garantează puterea parolelor generate, dar utilizatorii pot avea probleme în a le aminti.
Evaluarea puterii sistemelor de parole
A – puterea alfabetului parametrilor. Numărul de litere din care poate fi compusă o parolă.
L – lungimea parolei.
S=A^L – numărul de parole de lungime L care pot fi compuse folosind alfabetul A.
V – viteza medie de selectare a parolei.
T – perioada maximă de valabilitate a parolei.
P – probabilitatea de a ghici parola într-o anumită perioadă de timp.
P = (V*T)/S = (V*T)/(A^L)
De obicei, viteza medie de ghicire a parolei V și timpul în care este valabilă în sistem T sunt considerate valori cunoscute. În acest caz, setând probabilitatea maximă de a ghici V în timpul funcționării sale, puteți calcula puterea necesară a spațiului de parole.
S = A^L = (V*T)/P
Reducerea vitezei de ghicire a parolei V reduce probabilitatea de ghicire a parolei. În special, rezultă din aceasta că, dacă selectarea parolei este efectuată prin calcularea funcțiilor Hash, atunci o putere mai mare a sistemului de parole va fi asigurată prin utilizarea unuia lent pentru a calcula Funcții HASH.
Metode de stocare și transmitere a parolelor
ÎN formă deschisă. Acest tip de stocare și transmitere nu este recomandat, chiar și ținând cont de prezența altor mecanisme de protecție.
Sub forma valorilor HASH corespunzătoare. Acest mecanism este convenabil pentru verificarea parolelor, deoarece valorile Hash sunt aproape unic asociate cu parola, dar prezintă puțin interes pentru un atacator.
În formă criptată. Parolele pot fi criptate folosind unele algoritm criptografic, în timp ce cheia de criptare poate fi stocată fie pe unul dintre elementele permanente ale sistemului, fie pe suporturi amovibile.
La înregistrarea unui utilizator nou în sistem sau schimbarea parolei unui utilizator existent, valoarea unei funcție Hash unidirecțională este calculată din această parolă, care este apoi introdusă în baza de date (H = h(M) -> în Bază de date).
Când un utilizator încearcă să se autentifice în sistem, se calculează valoarea Hash a parolei pe care a introdus-o (H’ = h(M’)), apoi valoarea rezultată este comparată cu cea din baza de date. Dacă aceste două valori sunt egale, atunci parola este introdusă corect și utilizatorul este autorizat în sistem (H = H’ – parola este corectă).
Controlul accesului este în general înțeles ca stabilirea competențelor subiecților pentru controlul ulterior al utilizării autorizate a resurselor (obiectelor) disponibile în sistem. Există două tipuri principale de control al accesului:
Discreționar. D – controlul accesului între obiectele numite și subiectele numite din sistem. În practică, o astfel de distincție este cel mai adesea implementată folosind o matrice de drepturi de acces.
Mandat. M - implementat de obicei ca control al accesului prin niveluri de securitate. Puterile fiecărui utilizator sunt stabilite în conformitate cu nivelul maxim de confidențialitate la care este admis, iar toate resursele AS trebuie clasificate în conformitate cu aceleași niveluri de confidențialitate.
Regulă simplă de securitate. O entitate cu nivel de securitate X(e) poate citi informații de la un obiect cu nivel de securitate X(0) numai dacă X(0) nu depășește X(e). Se numește: No Read Up.
Proprietate suplimentară (*-proprietate). O entitate cu nivel de securitate X(e) poate scrie date pe un obiect cu nivel de securitate X(0) numai dacă X(e) nu depășește X(0).
Dacă, în cazul controlului accesului discreționar, drepturile de acces la o resursă pentru utilizatori sunt determinate de proprietarul acestei resurse, atunci în cazul controlului accesului obligatoriu, nivelul de secretizare este stabilit din afara sistemului. Diferențierea obligatorie este înțeleasă ca obligatorie; este mai strictă.
Prelegerea nr. 4
Transformarea informațiilor criptografice
Definitii de baza:
Criptologie- știința care studiază metode matematice protejarea informațiilor prin transformarea acesteia. Criptologia este împărțită în 2 domenii:
Criptografie. Explorează metode de transformare a informațiilor pentru a asigura confidențialitatea și autenticitatea acesteia. Autenticitate informația constă în autenticitatea paternității și integrității sale.
Criptanaliză. Combină metode matematice pentru încălcarea confidențialității și autenticității fără cunoașterea cheilor secrete.
Transferuri informații confidențiale prin canale de comunicare nesecurizate.
Stabilirea autenticității mesajelor transmise.
Stocarea informațiilor pe medii în formă criptată.
Alfabet– un set finit de simboluri utilizate pentru a codifica informații.
Text– un set ordonat de caractere din setul alfabetic.
Sistem criptografic (cifrare) reprezintă o familie T transformări reversibile text simpluîn criptare. Un element al acestei familii poate fi unul la unu asociat cu un anumit număr k, numită cheie de criptare. Transformări Tk este complet determinată de algoritmul corespunzător( T) și cheie k.
Cheie– o anumită stare secretă specifică a parametrilor algoritmului de conversie a datelor criptografice, asigurând alegerea unei opțiuni dintr-un set de stări posibile pentru a acestui algoritm. Secretul cheii trebuie să asigure că este imposibilă convertirea textului cifrat în text simplu, în timp ce algoritmul în sine poate fi publicat și cunoscut pe scară largă.
KeyspaceK– un set de valori cheie posibile (K = A^L).
CheieȘi parola– unele informații clasificate, diferența constă în utilizarea acestor termeni. Parola este folosită pentru autentificare, iar cheia este folosită pentru a cripta informațiile.
Diferența de concepte codificareȘi criptare:
Termen codificare mai general, implică conversia informațiilor dintr-o formă în alta, de exemplu din analog în digital. Criptare– un caz special de codificare, folosit în primul rând pentru a asigura confidențialitatea informațiilor.
Criptarea datelor este procesul de conversie a datelor deschise în date închise (criptate) și decriptare– proces invers.
Decriptare– conversia datelor private în date publice fără a cunoaște cheia secretă.
Rezistent la criptare– o caracteristică a unui cifr care determină rezistența acestuia la decriptare. De obicei, această caracteristică este determinată de perioada de timp necesară pentru criptare.
Procesul de închidere a datelor criptografice poate fi efectuat fie în hardware, fie în software. Implementarea hardware are viteză de calcul mai mare, dar, de regulă, costuri mai mari. Avantajul implementării software constă în flexibilitatea setărilor algoritmului. Indiferent de modalitatea de implementare, pentru sistemele moderne de securitate a informațiilor criptografice există următoarele cerințe:
Prelegerea nr. 6
Trei proprietăți critice ale cifrului Vernam (cifrul blocnoteselor):
Cheia trebuie să fie cu adevărat aleatorie.
Potriviți dimensiunea textului simplu dat.
Folosit o singură dată și distrus după utilizare.
În practică, puteți transfera fizic un mediu de stocare cu o cheie lungă, cu adevărat aleatorie, o dată și apoi trimiteți mesaje după cum este necesar; aceasta este ideea din spatele cifrului notepad-ului. În timpul unei întâlniri personale, criptatorul este prevăzut cu un blocnotes, fiecare pagină conține o cheie, iar partea care primește are și același blocnotes. Paginile folosite sunt distruse dacă există două canale independente în care probabilitatea de interceptare a informațiilor este scăzută, dar diferită de zero, un astfel de cifru este de asemenea util. O propoziție criptată poate fi transmisă pe un canal, iar în alt mod cheia, pentru a decripta mesajul, trebuie să ascultați ambele canale simultan.
Cifrul Vernam este cel mai sigur sistem criptografic posibil, iar restricțiile pe care trebuie să le îndeplinească cheia sunt atât de puternice încât uz practic Acest cifru devine dificil de implementat, deci este folosit doar pentru transmiterea de mesaje cu cel mai mare secret.
DES ( Date Criptare Standard )
În 1972, Biroul Național de Standarde al SUA a inițiat un program de protecție a comunicațiilor și a datelor computerizate. Unul dintre obiectivele programului a fost dezvoltarea unui standard criptografic unificat. În 1973, Biroul a publicat cerințe pentru un algoritm criptografic:
Algoritmul trebuie să ofere un nivel ridicat de securitate.
Algoritmul trebuie să fie complet definit și ușor de înțeles.
Securitatea unui algoritm ar trebui să se bazeze doar pe secretul cheii și nu ar trebui să depindă de păstrarea secrete a detaliilor algoritmului în sine.
Algoritmul trebuie să fie disponibil pentru toți utilizatorii.
Algoritmul trebuie să permită adaptarea la diferite aplicații.
Algoritmul ar trebui să permită implementarea economică sub formă de dispozitive electronice.
Algoritmul trebuie să fie verificabil.
Algoritmul trebuie să fie permis pentru export.
DES este un combinat cifru blocși criptează datele în blocuri de 64 de biți (8 octeți fiecare). Pe o parte a algoritmului, sunt introduși 64 de biți de text simplu, pe de altă parte, sunt ieșiți 64 de biți de text cifrat, DES este algoritm simetric. Lungimea cheii este de 56 de biți. La cel mai simplu nivel, algoritmul este doar o combinație de două metode principale de criptare:
Rearanjamente.
Înlocuiri.
Utilizarea repetată a unei etape este determinată de atingerea unui anumit nivel de efect de avalanșă (aproximativ 50%).
Exemple: Triple DES, DES cu chei independente, DES X, GDES (DES generalizat).
Prelegerea nr. 7
Algoritmi cu chei publice
Conceptul de criptare cu cheie publică a fost propus de Diffe și Halman și independent de Merkle în 1976. Contribuția lor la criptografie a fost convingerea că cheile ar putea fi folosite în perechi (o cheie de criptare și o cheie de decriptare) și că ar putea să nu fie posibil să se obțină o cheie de la cealaltă.
Din 1976, au fost propuși mulți algoritmi criptografic cu cheie publică, mulți dintre ei nu sunt siguri și mulți nu sunt practici, fie folosesc o cheie prea lungă, fie lungimea textului cifrat este mult mai mare decât lungimea textului simplu.
