Понятие конфиденциальности информации

Содержание:

ВВЕДЕНИЕ

Что следует понимать под информационной безопасностью (далее ИБ) - защиту интересов субъектов информационных отношений. Ниже будут описаны основные составляющие ИБ. А именно – конфиденциальность, целостность, доступность. Также приведётся статистика нарушений ИБ, будет описываться наиболее характерные случаи нарушения ИБ.

Согласно определению информационной безопасности, она зависит не только от компьютеров, но и от поддерживающей инфраструктуры, к которой можно отнести системы электро-, водо- и теплоснабжения, кондиционеры, средства коммуникаций и, конечно, обслуживающий персонал. Эта инфраструктура имеет самостоятельную ценность, но нас будет интересовать лишь то, как она влияет на выполнение информационной системой предписанных ей функций. Очевиден факт - застраховаться от всех видов ущерба невозможно, тем более невозможно сделать это экономически целесообразным способом, когда стоимость защитных средств и мероприятий не превышает размер ожидаемого ущерба. Значит, с чем-то приходится мириться и защищаться следует только от того, с чем смириться никак нельзя. Иногда таким недопустимым ущербом является нанесение вреда здоровью людей или состоянию окружающей среды, но чаще порог неприемлемости имеет материальное (денежное) выражение, а целью защиты информации становится уменьшение размеров ущерба до допустимых значений.

1. Общие понятия об информационной безопасности

Информационная безопасность – многогранная, можно даже сказать, многомерная область деятельности, в которой успех может принести только системный, комплексный подход.

Под информационной безопасностью мы будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры. Правильный с методологической точки зрения подход к проблемам информационной безопасности начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем. Из этого положения можно вывести два важных следствия:

1. Описание проблем, связанных с информационной безопасностью, для разных категорий субъектов может сильно различаться. К примеру: можно сопоставить режимные государственные организации и учебные институты: в первом случае "пусть лучше вся аппаратура выйдет из строя, но секретные биты ценнейшей, секретной информации будут скрыты от глаз врага", а во втором – "у нас нет никаких секретов ни от кого, лишь бы все работало и функционировало".
2. Информационная безопасность не сводится только лишь к защите от несанкционированного доступа к информации, это принципиально более широкое понятие. Субъект информационных отношений может пострадать (понести убытки и/или получить моральный ущерб) не только от несанкционированного доступа, но и от поломки системы, вызвавшей перерыв в работе. Более того, для многих открытых организаций, например - учебных, собственно говоря, защита от несанкционированного доступа к информации стоит по важности далеко не на первом месте.
   1. Понятие конфиденциальности информации

Спектр интересов субъектов, связанных с использованием информационных систем, можно разделить на следующие категории: обеспечение доступности, целостности и конфиденциальности информационных ресурсов и поддерживающей инфраструктуры. В данной главе рассмотрим само понятие конфиденциальности и, непосредственно, её значение в обеспечении защиты информации.

Вообще, что такое конфиденциальная информация. Можно сказать, эта та информация, которая, по сути и по факту, равнозначно относится к «доверительной, не подлежащей огласке, секретной». Можно не боясь сравнить данный термин с понятиями тайны или секрета.

Рассматривая ИБ, конфиденциальность – это защита от несанкционированного доступа к информации. То есть: создание средств (криптографические кодировщики, шифровальные программы) для скрытия особо ценной, или вовсе секретной, информации от посторонних глаз.

Конфиденциальность является самым проработанным аспектом информационной безопасности. К сожалению, практическая реализация мер по обеспечению конфиденциальности современных информационных систем наталкивается на серьезные трудности. Во-первых, сведения о технических каналах утечки информации являются закрытыми, так что большинство пользователей лишено возможности составить представление о потенциальных рисках. Во-вторых, на пути пользовательской криптографии как основного средства обеспечения конфиденциальности стоят многочисленные законодательные препоны и технические проблемы.

• 1. Понятие целостности информации и ее доступность

Целостность информации – термин, который означает что данные не были изменены при выполнении какой-либо операции над ними, будь то передача, хранение или отображение. В широком смысле, в ИБ целостность данных означает сохранение данных в том виде, в каком они были созданы. К примеру:

• Злоумышленник хочет изменить номер счета в банковской транзакции;
• Попытка подделки документа (подделка печати, подписи и т.д.);
• Преднамеренное изменение фактов средствами массовой информации для достижения цели – манипулирование общественным мнением.

Целостность данных – свойство, при выполнении которого данные сохраняют заранее определённый вид и качество.

Целостность оказывается важнейшим аспектом ИБ в тех случаях, когда информация служит "руководством к действию". Рецептура лекарств, предписанные медицинские процедуры, набор и характеристики комплектующих изделий, ход технологического процесса – все это примеры информации, нарушение целостности которой может оказаться в буквальном смысле смертельным. Неприятно и искажение официальной информации, будь то текст закона или страница Web-сервера какой-либо правительственной организации.

1. Категории модели безопасности
   1. Стандартная модель безопасности

В качестве стандартной модели безопасности часто приводят модель из трёх категорий:

• конфиденциальность (англ. confidentiality) — состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на неё право;
• целостность (англ. integrity) — избежание несанкционированной модификации информации;
• доступность (англ. availability) — избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа.
  1. Другие (необязательные) категории модели безопасности

Выделяют и другие не всегда обязательные категории модели безопасности:

• неотказуемость или апеллируемость (англ. non-repudiation) — способность удостоверять имевшее место действие или событие так, что эти события или действия не могли быть позже отвергнуты;
• подотчётность (англ. accountability) — свойство, обеспечивающее однозначное прослеживание действий любого логического объекта.;
• достоверность (англ. reliability) — свойство соответствия предусмотренному поведению или результату;
• аутентичность или подлинность (англ. authenticity) — свойство, гарантирующее, что субъект или ресурс идентичны заявленным.

1. Реализация понятия «Информационная безопасность»

Системный подход к описанию информационной безопасности предлагает выделить следующие составляющие информационной безопасности:

• Законодательная, нормативно-правовая и научная база.
• Структура и задачи органов (подразделений), обеспечивающих безопасность ИТ.
• Организационно-технические и режимные меры и методы (Политика информационной безопасности).
• Программно-технические способы и средства обеспечения информационной безопасности.

Ниже в данном разделе подробно будет рассмотрена каждая из составляющих информационной безопасности.

Целью реализации информационной безопасности какого-либо объекта является построение Системы обеспечения информационной безопасности данного объекта (СОИБ). Для построения и эффективной эксплуатации СОИБ необходимо:

• выявить требования защиты информации, специфические для данного объекта защиты;
• учесть требования национального и международного Законодательства;
• использовать наработанные практики (стандарты, методологии) построения подобных СОИБ;
• определить подразделения, ответственные за реализацию и поддержку СОИБ;
• распределить между подразделениями области ответственности в осуществлении требований СОИБ;
• на базе управления рисками информационной безопасности определить общие положения, технические и организационные требования, составляющие Политику информационной безопасности объекта защиты;
• реализовать требования Политики информационной безопасности, внедрив соответствующие программно-технические способы и средства защиты информации;
• реализовать Систему менеджмента (управления) информационной безопасности (СМИБ);
• используя СМИБ организовать регулярный контроль эффективности СОИБ и при необходимости пересмотр и корректировку СОИБ и СМИБ.

Как видно из последнего этапа работ, процесс реализации СОИБ непрерывный и циклично (после каждого пересмотра) возвращается к первому этапу, повторяя последовательно все остальные. Так СОИБ корректируется для эффективного выполнения своих задач защиты информации и соответствия новым требованиям постоянно обновляющейся информационной системы.

1. Угрозы информационной безопасности

Угроза информационной безопасности — это совокупность условий и факторов, создающих опасность нарушения информационной безопасности.

Под угрозой в общем понимается потенциально возможное событие, действие или воздействие, процесс или явление, которые могут привести к нанесению ущерба чьим-либо интересам.

Под угрозой интересам субъектов информационных отношений понимают потенциально возможное событие, процесс или явление которое посредством воздействия на информацию или другие компоненты информационной системы может прямо или косвенно привести к нанесению ущерба интересам данных субъектов.

• 1. Классификация угроз

В целом говоря об угрозе ИБ, они могут быть классифицированы по следующим признакам:

• По аспекту ИБ, на который направлена угроза;
• По расположению источника угроз;
• По размерам наносимого ущерба;
• По степени воздействия на ИБ;
• По природе возникновения;

Рассмотрим каждый из данных признаков в отдельности.

По аспекту ИБ, на который направлена угроза. В данном случае угроза направлена на нарушение конфиденциальности, целостности и доступности информации.

Угроза нарушения конфиденциальности заключается в том, что информация становится известной тому, кто не располагает полномочиями доступа к ней. Она имеет место, когда получен доступ к некоторой информации ограниченного доступа, хранящейся в вычислительной системе или передаваемой от одной системы к другой. В связи с угрозой нарушения конфиденциальности, используется термин «утечка». Подобные угрозы могут возникать вследствие «человеческого фактора» (например, случайное делегировании тому или иному пользователю привилегий другого пользователя), сбоев работе программных и аппаратных средств. К информации ограниченного доступа относится государственная тайна и конфиденциальная информация (коммерческая тайна, персональные данные, профессиональные виды тайна: врачебная, адвокатская, банковская, служебная, нотариальная, тайна страхования, следствия и судопроизводства, переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений (тайна связи), сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации (ноу-хау) и др.).

Угрозы нарушения целостности – это угрозы, связанные с вероятностью модификации той или иной информации, хранящейся в информационной системе. Нарушение целостности может быть вызвано различными факторами – от умышленных действий персонала до выхода из строя оборудования.

Нарушение доступности представляет собой создание таких условий, при которых доступ к услуге или информации будет либо заблокирован, либо возможен за время, которое не обеспечит выполнение тех или иных бизнес-целей.

Расположение угрозы может быть внутреннее, то есть находиться непосредственно внутри системы, и внешнее – находиться удаленно, вне системы, и производить атаку посредством сетевого проникновения (удаленное управление).

Размеры наносимого ущерба можно разбить на три категории: общие, локальные и частные. Под общим размером понимается следующее - нанесение ущерба объекту безопасности в целом, причинение значительного ущерба. Локальный - причинение вреда отдельным частям объекта безопасности. Частный - причинение вреда отдельным свойствам элементов объекта безопасности.

Степень воздействия на ИБ подразделяется на пассивную и активную. В пассивной степени структура и содержание системы не подвергаются изменениям, в то время как в активной степени вся система полностью (или частично) подвержена изменениям в структуре файлов и их содержании.

Природа возникновения может быть естественной и искусственной, либо объективной и субъективной соответственно.

Естественная (объективная) природа возникновения подразумевает под собой воздействие на информационную среду объективных физических процессов или стихийных природных явлений, не зависящих от воли человека.

Говоря об искусственной (субъективной) природе нужно понимать следующее – это воздействие на информационную сферу человека. Среди искусственных угроз в свою очередь выделяют:

• Непреднамеренные (случайные) угрозы – любые ошибки программного обеспечения, персонала, сбои в работе систем, отказы вычислительной и коммуникационной техники;
• Преднамеренные (умышленные) угрозы - неправомерный доступ к информации, разработка специального программного обеспечения, используемого для осуществления неправомерного доступа, разработка и распространение вирусных программ и т.д. Преднамеренные угрозы обусловлены действиями людей. Основные проблемы информационной безопасности связаны прежде всего с умышленными угрозами, так как они являются главной причиной преступлений и правонарушений.
  1. Источники угроз информационной безопасности

Носителями угроз безопасности информации являются источники угроз. В качестве источников угроз могут выступать как субъекты (личность), так и объективные проявления, такие как: конкуренты, преступники, коррупционеры, административно-управленческие органы и так далее.

Источники угроз преследуют при этом следующие цели: ознакомление с охраняемыми сведениями, их модификация в корыстных целях и уничтожение для нанесения прямого материального ущерба.

Все источники угроз ИБ можно разделить на три основные группы:

• Обусловленные действиями субъекта – антропогенные источники;
• Обусловленные техническими средствами – техногенные источники;
• Стихийные источники.

Антропогенные источники - субъекты, действия которых могут привести к нарушению безопасности информации, данные действия могут быть квалифицированы как умышленные или случайные преступления. Источники, действия которых могут привести к нарушению безопасности информации могут быть как внешними, так и внутренними. Данные источники можно спрогнозировать, и принять адекватные меры.

Техногенные источники угроз менее прогнозируемы, напрямую зависят от свойств техники и поэтому требуют особого внимания. Данные источники угроз информационной безопасности, также могут быть как внутренними, так и внешними.

Группа стихийных источников объединяет обстоятельства, составляющие непреодолимую силу (стихийные бедствия или другие обстоятельства, которые невозможно предусмотреть или предотвратить, или возможно предусмотреть, но невозможно предотвратить), такие обстоятельства, которые носят объективный и абсолютный характер, распространяющийся на всех. Такие источники угроз совершенно не поддаются прогнозированию и, поэтому меры против них должны применяться всегда. Стихийные источники, как правило, являются внешними по отношению к защищаемому объекту и под ними, как правило, понимаются природные катаклизмы.

1. Основные программно-технические меры
   1. Основные понятия программно-технического уровня информационной безопасности

В данном разделе хотелось бы ввести такое понятие как «Сервис безопасности». Рассмотрим вопрос об архитектурной безопасности. Будет предложена классификация сервисов.

Итак. Программно-технические меры, то есть меры, направленные на контроль компьютерных сущностей - оборудования, программ и/или данных, образуют последний и самый важный рубеж информационной безопасности. Напомним, что ущерб наносят в основном действия легальных пользователей, по отношению к которым процедурные регуляторы малоэффективны. Главные враги - некомпетентность и неаккуратность при выполнении служебных обязанностей, и только программно-технические меры способны им противостоять.

Компьютеры помогли автоматизировать многие области человеческой деятельности. Вполне естественным представляется желание возложить на них и обеспечение собственной безопасности. Даже физическую защиту все чаще поручают не охранникам, а интегрированным компьютерным системам, что позволяет одновременно отслеживать перемещения сотрудников и по организации, и по информационному пространству.

Это вторая причина, объясняющая важность программно-технических мер. Следует, однако, учитывать, что быстрое развитие информационных технологий не только предоставляет обороняющимся новые возможности, но и объективно затрудняет обеспечение надежной защиты, если опираться исключительно на меры программно-технического уровня. Причин тому несколько:

• повышение быстродействия микросхем, развитие архитектур с высокой степенью параллелизма позволяет методом грубой силы преодолевать барьеры (прежде всего криптографические), ранее казавшиеся неприступными;
• развитие сетей и сетевых технологий, увеличение числа связей между информационными системами, рост пропускной способности каналов расширяют круг злоумышленников, имеющих техническую возможность организовывать атаки;
• появление новых информационных сервисов ведет и к образованию новых уязвимых мест как "внутри" сервисов, так и на их стыках;
• конкуренция среди производителей программного обеспечения заставляет сокращать сроки разработки, что приводит к снижению качества тестирования и выпуску продуктов с дефектами защиты;
• навязываемая потребителям парадигма постоянного наращивания мощности аппаратного и программного обеспечения не позволяет долго оставаться в рамках надежных, апробированных конфигураций и, кроме того, вступает в конфликт с бюджетными ограничениями, из-за чего снижается доля ассигнований на безопасность.

Перечисленные соображения лишний раз подчеркивают важность комплексного подхода к информационной безопасности, а также необходимость гибкой позиции при выборе и сопровождении программно-технических регуляторов.

Центральным для программно-технического уровня является понятие сервиса безопасности.

Следуя объектно-ориентированному подходу, при рассмотрении информационной системы с единичным уровнем детализации мы увидим совокупность предоставляемых ею информационных сервисов. Назовем их основными. Чтобы они могли функционировать и обладали требуемыми свойствами, необходимо несколько уровней дополнительных (вспомогательных) сервисов - от СУБД и мониторов транзакций до ядра операционной системы и оборудования.

К вспомогательным относятся сервисы безопасности (мы уже сталкивались с ними при рассмотрении стандартов и спецификаций в области ИБ); среди них нас в первую очередь будут интересовать универсальные, высокоуровневые, допускающие использование различными основными и вспомогательными сервисами. Далее мы рассмотрим следующие сервисы:

• идентификация и аутентификация;
• управление доступом;
• протоколирование и аудит;
• шифрование;
• контроль целостности;
• экранирование;
• анализ защищенности;
• обеспечение отказоустойчивости;
• обеспечение безопасного восстановления;
• туннелирование;
• управление.

Для проведения классификации сервисов безопасности и определения их места в общей архитектуре меры безопасности можно разделить на следующие виды:

• превентивные, препятствующие нарушениям ИБ;
• меры обнаружения нарушений;
• локализующие, сужающие зону воздействия нарушений;
• меры по выявлению нарушителя;
• меры восстановления режима безопасности.

Большинство сервисов безопасности попадает в число превентивных, и это, безусловно, правильно. Аудит и контроль целостности способны помочь в обнаружении нарушений; активный аудит, кроме того, позволяет запрограммировать реакцию на нарушение с целью локализации и/или прослеживания. Направленность сервисов отказоустойчивости и безопасного восстановления очевидна. Наконец, управление играет инфраструктурную роль, обслуживая все аспекты ИС.

• 1. Архитектурная безопасность

Сервисы безопасности, какими бы мощными они ни были, сами по себе не могут гарантировать надежность программно-технического уровня защиты. Только проверенная архитектура способна сделать эффективным объединение сервисов, обеспечить управляемость информационной системы, ее способность развиваться и противостоять новым угрозам при сохранении таких свойств, как высокая производительность, простота и удобство использования.

Теоретической основой решения проблемы архитектурной безопасности является следующее фундаментальное утверждение: "Пусть каждый субъект (то есть процесс, действующий от имени какого-либо пользователя) заключен внутри одного компонента и может осуществлять непосредственный доступ к объектам только в пределах этого компонента. Далее пусть каждый компонент содержит свой монитор обращений, отслеживающий все локальные попытки доступа, и все мониторы проводят в жизнь согласованную политику безопасности. Пусть, наконец, коммуникационные каналы, связывающие компоненты, сохраняют конфиденциальность и целостность передаваемой информации. Тогда совокупность всех мониторов образует единый монитор обращений для всей сетевой конфигурации."

Обратим внимание на три принципа, содержащиеся в приведенном утверждении:

• необходимость выработки и проведения в жизнь единой политики безопасности;
• необходимость обеспечения конфиденциальности и целостности при сетевых взаимодействиях;
• необходимость формирования составных сервисов по содержательному принципу, чтобы каждый полученный таким образом компонент обладал полным набором защитных средств и с внешней точки зрения представлял собой единое целое (не должно быть информационных потоков, идущих к незащищенным сервисам).

Если какой-либо сервис не обладает полным набором защитных средств, необходимо привлечение дополнительных сервисов, которые мы будем называть экранирующими. Экранирующие сервисы устанавливаются на путях доступа к недостаточно защищенным элементам; в принципе, один такой сервис может экранировать (защищать) сколько угодно большое число элементов.

С практической точки зрения наиболее важными являются следующие принципы архитектурной безопасности:

• непрерывность защиты в пространстве и времени, невозможность миновать защитные средства;
• следование признанным стандартам, использование апробированных решений;
• иерархическая организация ИС с небольшим числом сущностей на каждом уровне;
• усиление самого слабого звена;
• невозможность перехода в небезопасное состояние;
• минимизация привилегий;
• разделение обязанностей;
• эшелонированность обороны;
• разнообразие защитных средств;
• простота и управляемость информационной системы.

Смысл перечисленных принципов: если у злоумышленника или недовольного пользователя появится возможность миновать защитные средства, он, разумеется, так и сделает. Определенные выше экранирующие сервисы должны исключить подобную возможность. Надежность любой обороны определяется самым слабым звеном. Злоумышленник не будет бороться против силы, он предпочтет легкую победу над слабостью. (Часто самым слабым звеном оказывается не компьютер или программа, а человек, и тогда проблема обеспечения информационной безопасности приобретает нетехнический характер.)

Идентификацию и аутентификацию можно считать основой программно-технических средств безопасности, поскольку остальные сервисы рассчитаны на обслуживание именованных субъектов. Идентификация и аутентификация – это первая линия обороны, "проходная" информационного пространства организации.

Идентификация позволяет пользователю, процессу, действующему от имени определенного пользователя, или иному аппаратно-программному компоненту, назвать себя (сообщить свое имя). Посредством аутентификации вторая сторона убеждается, что субъект действительно тот, за кого он себя выдает. В качестве синонима слова " аутентификация " иногда используют словосочетание "проверка подлинности".

1. Что такое информационная безопасность. Основные составляющие информационной безопасности. Важность и сложность проблемы информационной безопасности

Цель мероприятий в области информационной безопасности - защитить интересы субъектов информационных отношений. Интересы эти многообразны, но все они концентрируются вокруг трех основных аспектов:

• Доступность;
• Целостность;
• Конфиденциальность.

Первый и самый важный шаг при построении системы ИБ организации - ранжирование и детализация этих аспектов. Важность проблематики ИБ объясняется двумя основными причинами: ценностью накопленных информационных ресурсов, и критической зависимостью от информационных технологий.

Успех в области информационной безопасности может принести только комплексный подход, сочетающий меры четырех уровней:

• законодательного;
• административного;
• процедурного;
• программно-технического.

Проблема ИБ - не только (и не столько) техническая; без законодательной базы, без постоянного внимания руководства организации и выделения необходимых ресурсов, без мер управления персоналом и физической защиты решить ее невозможно. Комплексность также усложняет проблематику ИБ; требуется взаимодействие специалистов из разных областей.

В качестве основного инструмента борьбы со сложностью предлагается объектно-ориентированный подход. Инкапсуляция, наследование, полиморфизм, выделение граней объектов, варьирование уровня детализации - все это универсальные понятия, знание которых необходимо всем специалистам по информационной безопасности.

Разрушение важной информации, кража конфиденциальных данных, перерыв в работе вследствие отказа - все это выливается в крупные материальные потери, наносит ущерб репутации организации. Проблемы с системами управления или медицинскими системами угрожают здоровью и жизни людей.

Современные информационные системы сложны и, значит, опасны уже сами по себе, даже без учета активности злоумышленников. Постоянно обнаруживаются новые уязвимые места в программном обеспечении. Приходится принимать во внимание чрезвычайно широкий спектр аппаратного и программного обеспечения, многочисленные связи между компонентами.

1. Программно-технические меры

Программно-технические меры, то есть меры, направленные на контроль компьютерных сущностей, то есть оборудования, программ и/или данных, образуют последний и самый важный рубеж информационной безопасности.

На этом рубеже становятся очевидными не только позитивные, но и негативные последствия быстрого прогресса информационных технологий.

Во-первых, дополнительные возможности появляются не только у специалистов по ИБ, но и у злоумышленников.

Во-вторых, информационные системы все время модернизируются, перестраиваются, к ним добавляются недостаточно проверенные компоненты (в первую очередь программные), что затрудняет соблюдение режима безопасности.

Меры безопасности целесообразно разделить на следующие виды:

• Превентивные, препятствующие нарушениям   ИБ;
• Меры обнаружения нарушений;
• Локализующие, сужающие зону воздействия нарушений;
• Меры по выявлению нарушителя;
• Меры восстановления режима безопасности.

В продуманной архитектуре безопасности все они должны присутствовать в обязательном порядке.

С практической точки зрения важными также являются следующие принципы архитектурной безопасности:

• Непрерывность защиты в пространстве и времени, невозможность миновать защитные средства;
• Следование признанным стандартам, использование апробированных решений;
• Иерархическая организация ИС с небольшим числом сущностей на каждом уровне;
• Усиление самого слабого звена;
• Невозможность перехода в небезопасное состояние;
• Минимизация привилегий;
• Разделение обязанностей;
• Эшелонированность обороны;
• Разнообразие защитных средств;
• Простота и управляемость информационной системы.

Центральным для программно-технического уровня является понятие сервиса безопасности. В число таких сервисов входят:

• идентификация и аутентификация;
• управление доступом;
• протоколирование и аудит;
• шифрование;
• контроль целостности;
• экранирование;
• анализ защищенности;
• обеспечение отказоустойчивости;
• обеспечение безопасного восстановления;
• туннелирование;
• управление.

Все эти сервисы обязаны функционировать в открытой сетевой среде с разнородными компонентами, то есть должны быть устойчивыми к соответствующим угрозам, а их применение должно быть удобным для пользователей и администраторов. Например, современные средства идентификации/аутентификации должны быть устойчивыми к пассивному и активному прослушиванию сети и поддерживать концепцию единого входа в сеть.

Выделим важнейшие моменты для каждого из перечисленных сервисов безопасности:

• Предпочтительными являются криптографические методы аутентификации, реализуемые программным или аппаратно-программным способом. Парольная защита стала анахронизмом, биометрические методы нуждаются в дальнейшей проверке в сетевой среде.
• В условиях, когда понятие доверенного программного обеспечения уходит в прошлое, становится анахронизмом и самая распространенная - произвольная (дискреционная) - модель управления доступом. В ее терминах невозможно даже объяснить, что такое "троянская" программа. В идеале при разграничении доступа должна учитываться семантика операций, но пока для этого есть только теоретическая база. Еще один важный момент - простота администрирования в условиях большого числа пользователей и ресурсов и непрерывных изменений конфигурации. Здесь может помочь ролевое управление.

Миссия обеспечения информационной безопасности трудна, во многих случаях невыполнима, но всегда благородна!

ЗАКЛЮЧЕНИЕ

Проблемы информационной безопасности, разумеется, существуют не только в компьютерном, виртуальном, но и в реальном, "физическом" мире (хотя, конечно, там они не носят столь масштабный, всепроникающий характер). Любопытно и, на мой взгляд, весьма поучительно сопоставлять действия, приемы и методы компьютерных хакеров и "физических" мошенников, а также тех, кто оказывается объектом их атак. Ниже хочу привести несколько простых, жизненных факторов, которые помогут понять суть проблемы информационной безопасности.

Отмечу фактор, способствующий сокрытию следов и успеху злоумышленной деятельности – это большой объем регистрационной информации и связанные с этим сложности ее анализа и выявления подозрительной активности. К примеру, в большом банке не запоминают посетителей и нюансы их поведения. Персоналу и без этого хватает мороки и бумажной волокиты.

Опишу, может быть, самый важный урок. В нарушениях информационной безопасности корпоративных систем нередко оказываются замешанными штатные сотрудники, владеющие информацией для служебного пользования и способные, не вызывая подозрений, оперативно добывать новые сведения. Внутренние злоумышленники были и остаются опаснее внешних.

СПИСОК ИСПОЛЬЗОВАНОЙ ЛИТЕРАТУРЫ

• 1. Галатенко В.А. «Основы информационной безопасности»
  2. Домарев В. В. «Безопасность информационных технологий. Системный подход»
  3. Русинов С. «Обеспечение информационной безопасности предприятий торговли, торговых сетей и их инфраструктуры»
  4. Галицкий А. В., Рябко С. Д., Шаньгин В. Ф. «Защита информации в сети — анализ технологий и синтез решений»
  5. Щербаков А. Ю. «Современная компьютерная безопасность. Теоретические основы. Практические аспекты.»
  6. Галатенко В. А. «Стандарты информационной безопасности.»
  7. Запечников С. В., Милославская Н. Г., Толстой А. И., Ушаков Д. В. «Информационная безопасность открытых систем.» В 2-х томах
• Том 1. — Угрозы, уязвимости, атаки и подходы к защите.
• Том 2. — Средства защиты в сетях.

1. Родичев Ю. Информационная безопасность: Нормативно-правовые аспекты.