Защита информационной системы от несанкционированного доступа.

Опасное воздействие на информационную систему можно подразделить

• Случайное -
• Преднамеренное

Причинами случайных воздействий при эксплуатации информационной системы могут быть аварийные ситуации из-за стихийных бедствий и отключений электропитания/отказы и сбои аппаратуры/ошибки в программном обеспечении/ошибки в работе персонала/помехи в линиях связи из-за воздействия внешней среды.

Преднамеренное воздействие - целенаправленное действие нарушителя, в качестве нарушителя могут выступать служащие, посетители, конкуренты, наемник.

Действия нарушителя могут быть обусловлены разными мотивами:

1. Недовольство служащего своей карьерой;
2. Взяткой
3. Конкурентной борьбой
4. Стремлением самоутвердиться любой ценой
5. И иные

Гипотетическая модель потенциального нарушителя:

1. Квалификация нарушителя на уровне разработчика данной системы
2. Нарушителем может быть как постороннее лицо, так и законный пользователь системы.
3. Нарушителю известна информация о принципах работы системы.
4. Нарушитель выбирает наиболее слабое звено в защите.

Наиболее распространенным видом компьютерных нарушений является несанкционированный доступ к информации.

Несанкционированный доступ - это чтение, обновление или разрушение информации при отсутствии на это соответствующих полномочий.

К перечню каналов несанкционированного доступа относятся:

1. Через человека
1. Хищение носителя информации
2. Чтение информации с экрана/клавиатуры
3. Чтение информации из распечатки
2. Через программы
1. Копирование информации с носителя
2. Перехват паролей
3. Дешифровка зашифрованной информации
3. Через аппаратуру
1. Подключение спец. Средств
2. Перехват побочных излучений, фотоаппаратуры, линий связи и сетей электропитания

Для защиты информации применяются организационные мероприятия, технические средства, программные средства и криптография.

Организационные мероприятия - пропускной режим/ограничение доступа лиц в компьютерное помещение/хранение носителей и устройств в сейфе.

Технические средства - фильтры и экраны на аппаратуру/ключи для блокировки клавиатуры/устройства аутентификации для чтения отпечатков пальцев, радужки глаз, скорости и приемов работы на клавиатуре/ электронные ключи на микросхемах.

Программные средства- парольный доступ/ блокировка экрана и клавиатуры с помощью комбинации клавиш/ использование средств парольной защиты на BIOS.

Криптографический способ - ее шифрование при вводе и выводе в компьютерную систему/ цифровая подпись.

Системы защиты конфиденциальной информации:

Категории конфиденциальной информации

Состав сведений, составляющих конфиденциальную информацию должен приводиться в документе, который называется перечень сведений ограниченного распространения, который утверждается руководителем организации.

В коммерческих организациях можно выделить категории данной информации

1. Сведения составляющие коммерческую тайну организации
2. Персональные данные сотрудников организации
3. Сведения, составляющие конфиденциальную информацию третьих лиц (партнеров, клиентов, подрядчиков)

Предметом зашиты коммерческой информации являются все особенности и детали коммерческой деятельности компании, деловые связи, закупка сырья и материалов, сведения о поставщиках, предполагаемые прибыли, методика установления цен, результаты маркетинговых исследований.

Система предотвращения утечки конфиденциальной информации состоит из

1. Работа с персоналом
2. Политика безопасности
3. Сервисы безопасности

работа с персоналом:

Основным источником утечки информации из организации является ее персонал, который способен свести на нет все самые изощренные способы защиты.

Основные принципы и правила управления персоналом, с учетом требований информационной безопасности определены в международном стандарте ISO/IEC 17799:2000

Соблюдение этих правил помогает существенно снизить влияние человеческого фактора, избежать характерных ошибок и предотвратить утечку информации.

При работе с персоналом необходимо соблюдать требования

• Ответственность за информационную безопасность должна быть включена в должностные инструкции сотрудника
• Должны выполняться проверки сотрудников при приеме на работу
• При приеме на работу необходимо подписание соглашения о неразглашении конфиденциальной информации

Меры пресечения

На основании статьи 192 ТК, сотрудники, нарушившие требования политики информационной безопасности могут быть подвержены дисциплинарному взысканию.

Сотрудники несут материальную ответственность в пределах своего месячного заработка, а за умышленное разглашение сведений, составляющих коммерческую тайну, сотрудники несут ответственность в полном размере причиненного ущерба. 243

В основе системы защиты информации на предприятии должны лежать внутренние нормативные документы, написанные в соответствии с международным стандартом:

• Правило работы пользователей в корпоративной сети
• Руководство по защите конфиденциальной информации
• Инструкция по защите от компьютерных вирусов
• Правила использования мобильных устройств для работы в корпоративной сети
• Правила работы в сети интернет.

Основные правила обращения с конфиденциальной информацией:

1. Маркирование документов - все документы, содержащие конфиденциальную информацию должны иметь соответствующий гриф
2. Закрытое обсуждение - не обсуждать конфиденциальную информацию в присутствии посторонних лиц или в общественных местах, в том числе в столовой или курилке.
3. Шифрование - электронный обмен конфиденциальной информацией с внешними респондетнами должен вестись в зашифрованном виде.
4. Использование соглашения о конфиденциальности - Передача сведений, содержащих конфиденциальную информацию третьей стороне должна выполняться только после заключения подобного соглашения.
5. Ограничение доступа к информации - требования не хранить электронные документы, содержащие конфиденциальную информацию в общедоступных местах.
6. Информирование - Требуется не только владеть методами защиты информации, но и следить за их выполнением другими сотрудниками и обо всех фактах утечки информации следует незамедлительно сообщать.

Система электронного документооборота (продолжение)

Классификация систем электронного документооборота

1. Системы с развитыми средствами хранения и поиска информации (электронные архивы) - предназначен для эффективного хранения и поиска информации.
2. Системы с развитыми средствами управления потоками.
3. Системы ориентированные на поддержку управления организаций и накопление знаний. - эти системы активно используются в государственных структурах управления.
4. Системы ориентированные на поддержку совместной работы - сервисы хранения и публикации документов в интранет. Используются в коммерческих компаниях и крупных фирмах.

Основные системы электронного документооборота, используемые в России.

1. Docs Open - самый популярный электронный архив. Эффективно применяется как в крупных организациях, так и в небольших фирмах. Реализована на архитектуре "клиент-сервер" и не предназначена для территориально-распределенных организаций.
2. Documentum - включает в себя маршрутизацию, утверждение, распределение, уведомление и контроль исполнения. Недостаток - высокая стоимость внедрения. Поэтому используется преимущественно в крупных корпорациях.
3. Босс-Референт - разработана компанией "IТ". Относится к категории систем, ориентированных на поддержку управления организацией, эффективной работы сотрудников и накопление знаний. В ней реализованы функции контроля договоров, учет материальных ценностей, потоковое сканирование и распознавание, автоматизация деятельности бюро пропусков и генератор отчетов.
4. Дело - разработчик - компания "Электронные офисные системы" эта система интересна для организаций, в которых необходимо внедрить централизованное делопроизводство для канцелярии, секретариата и общих отделов. Функции хранения и контроля исполнения.
5. Евфрат - выполнена по архитектуре "Клиент-сервер" и представляет собой средство сканирования, распознавания, регистрации документов и полнотекстового поиска. В ней реализована функция контроля исполнения задания.

Правовая статистика.

Предметом правовой статистики служат количественная сторона качественно-однородных, массовых правовых и юридически-значимых явлений.

В составе правовой статистики выделяются 3 правовые части

1. Уголовно-правовая статистика

1. Объект - количественная сторона преступности, судимости и мероприятия по ее предупреждению.
1. Гражданско-правовая статистика

1. Задача - учет гражданско-правовых споров, находящихся на рассмотрении арбитражных судов и судов общей юрисдикции
1. Административно-правовая статистика

1. Объект - количественная сторона административных нарушений, по видам, причиненному ущербу и мероприятиям по борьбе с ними.

Самостоятельным разделом правовой статистики является статистика прокурорского надзора.

Отличают три метода правовой статистики.

• Массовое статистическое наблюдение
• Сводка и группировка
• Обобщение и анализ собранных и сгруппированных данных, на основе применения обобщающих статистических показателей.

Статистический анализ позволяет выявить причинно-следственные связи, установить закономерности и зависимости и оценить эффективность борьбы с преступностью.

Наиболее распространенным способом изображения статистической информации являются диаграммы.

1. Линейные диаграммы применяются для характеристики динамики, изменения, и оценки выполнения плановых заданий.
2. Статистические карты представляют собой графические изображения статистических данных на схематических контурных картах.
3. Картограмма - план местности на которой штриховкой различной частоты и расцветки показывается сравнительная интенсивность, какого показателя в пределах каждой единицы территориального деления.