Тема. Технологии защиты информации.
1. Понятие безопасности данных и модели безопасности данных.
2. Средства защиты информации.
3. Методы защиты информации.
4. Обеспечение информационной безопасности на уровне государства.
Понятие безопасности данных, модели безопасности данных.
Исследования по проблемам защиты компьютерной информации, проведенные в конце 70-х – в начале 80-х годов, развитые в последствии в различных приложениях и закрепленные в соответствующих стандартах, определяют в качестве составных элементов понятия безопасности информации три компонента:
· конфиденциальность (защита от несанкционированного доступа);
· целостность (защита от несанкционированного изменения информации);
· доступность (защита от несанкционированного удержания информации и ресурсов, защита от разрушения, защита работоспособности).
Составляющим безопасности информации противостоят соответствующие угрозы. Под угрозой безопасности информации понимается осуществляемое или потенциально осуществимое воздействие на компьютерную систему, которое прямо или косвенно может нанести ущерб безопасности информации.
Угрозы принято делить на случайные и умышленные. Источником первых могут быть ошибки в программном обеспечении, выходы из строя аппаратных средств, неправильные действия пользователей или администрации и т.п. Умышленные угрозы, в отличие от случайных, преследуют цель нанесения ущерба пользователям АИТ. Умышленные угрозы, в свою очередь, подразделяются на активные и пассивные.
Активные угрозы имеют целью нарушение нормального процесса функционирования посредством целенаправленного воздействия на аппаратные, программные и информационные ресурсы (разрушение или радиоэлектронное подавление линий связи, вывод из строя ПЭВМ или ее операционной системы, искажение сведений в базах данных и т.д.).
Пассивные угрозы направлены на несанкционированное использование информационных ресурсов, не оказывая при этом влияния на функционирование информационной системы.
К основным угрозам безопасности информации относят:
- раскрытие конфиденциальной информации;
- компрометация информации;
- несанкционированное использование информационных ресурсов;
- ошибочное использование информационных ресурсов;
- несанкционированный обмен информацией;
- отказ от информации;
- отказ в обслуживании.
Средствами реализации угрозы раскрытия конфиденциальной информации могут быть несанкционированный доступ к базам данных, прослушивание каналов и т.д.
Компрометация информации, как правило, реализуется посредством внесения несанкционированных изменений в базы данных, в результате чего ее потребитель вынужден либо отказаться от нее, либо предпринимать дополнительные усилия для выявления изменений и восстановления истинных сведений.
Несанкционированное использование информационных ресурсов, с одной стороны, является средством раскрытия или компрометации информации, а с другой – имеет самостоятельное значение, поскольку, даже не касаясь пользовательской или системной информации, может нанести определенный ущерб абонентам и администрации. Ущерб этот может варьироваться в весьма широких пределах – от сокращения поступления финансов до полного выхода АИТ их строя.
Ошибочное использование информационных ресурсов будучи санкционированным, тем не менее может привести к разрушению, раскрытию или компрометации указанных ресурсов. Данная угроза чаще всего является следствием ошибок, имеющихся в программном обеспечении АИТ.
Несанкционированный обмен информацией между абонентами может привести к получению одним из них сведений, доступ к которым ему запрещен.
Отказ от информации состоит в непризнании получателем или отправителем этой информации фактов ее получения или отправки.
Отказ в обслуживании представляет собой весьма существенную и распространенную угрозу, источником которой является сама АИТ. Так, отсутствие у пользователя данных, необходимых для принятия решения, в течение периода времени, когда решение это возможно еще эффективно реализовать, может стать причиной его нерациональных действий.
Угрозы реализуют или пытаются реализовать нарушители информационной безопасности.
Формальное описание или представление комплекса возможностей нарушения по реализации тех или иных угроз безопасности информации называют моделью нарушителя (злоумышленника).
Качественное описание комплекса организационно-технологических и программно-технических мер по обеспечению защищенности информации в компьютерной системе (АИС) называют политикой безопасности. Формальное (математическое, алгоритмическое, схематическое) выражение и формулирование политики безопасности называют моделью безопасности.
Модель безопасности включает:
· модель компьютерной (информационной) системы;
· критерии, принципы, ограничения и целевые функции защищенности информации от угроз;
· формализованные правила, ограничения, алгоритмы, схемы и механизмы безопасного функционирования системы.