Informacijos apsaugos rūšys, jų aprėpties apimtis.

Informacijos saugumo metodų klasifikacija. Universalūs informacijos apsaugos metodai, jų taikymo sritys. Informacijos apsaugos organizacinių, kriptografinių ir inžinerinių metodų taikymo sritys.

Informacijos saugumo priemonių samprata ir klasifikacija. Programinės įrangos paskirtis, kriptografinės ir techninės apsaugos priemonės.

Prisidengdami ZI turime omenyje gana izoliuota informacijos saugumo sritis, įskaitant jai būdingus metodus, priemones ir priemones informacijos saugumui užtikrinti.

Teisinė apsauga– apsaugos rūšis, apimanti valstybės nustatytų ir saugomų taisyklių, reglamentuojančių informacijos apsaugą, visumą.

Teisinė informacijos apsauga reglamentuoja:

1) nustato paslapties rūšį; informacijos, kuri yra susijusi ir gali būti klasifikuojama kaip kiekvienos rūšies paslaptis, išskyrus komercinę, sudėtis; ir informacijos priskyrimo įvairių rūšių paslaptims tvarka;

3) nustato saugomos informacijos savininkų teises ir pareigas;

4) nustato pagrindines darbo su saugoma informacija, išskyrus sudarančią komercinę paslaptį, taisykles (standartus);

5) nustato baudžiamąją, administracinę ir materialinę atsakomybę už neteisėtą pasikėsinimą į saugomą informaciją, taip pat jos praradimą ir atskleidimą, dėl kurio atsirado ar galėjo atsirasti neigiamų padarinių informacijos savininkui ar valdytojui.

Dalis šių klausimų turėtų būti reglamentuota tik įstatymu, kita dalis – įstatymais ir poįstatyminiais aktais.

Organizacinės informacijos saugumas– tai apsaugos rūšis, apimanti organizacinių ir administracinių dokumentų rinkinį, organizacinius metodus ir priemones, reguliuojančias ir užtikrinančias informacijos apsaugos organizavimą, technologiją ir kontrolę.

Organizacinė informacijos apsauga yra svarbiausia informacijos apsaugos rūšis, tai yra dėl to, kad ji yra daugiafunkcė ir, skirtingai nuo kitų apsaugos rūšių, gali savarankiškai (savarankiškai) užtikrinti atskiras apsaugos sritis, o kartu lydėti kitas apsaugos sritis. apsaugos rūšys, nes ne viena iš jų negali numatyti vienokios ar kitokios apsaugos krypties neįgyvendinus reikiamų organizacinių priemonių.

Kalbant apie veiklos sritis, galima išskirti penkias organizacijos apsaugos taikymo sritis:

1. Užtikrinti, kad būtų laikomasi nustatytų teisinių informacijos apsaugos standartų. Ši kryptis vykdoma reguliuojant įmonės ir jos darbuotojų veiklą, kuri leidžia, įpareigoja ar verčia laikytis informacijos apsaugos teisinių standartų reikalavimų. Tam teisės normos arba nustatomos (perkeliamos) į įmonės norminius dokumentus, reglamentuojančius darbo organizavimą ir technologiją, darbuotojų santykius, darbuotojų priėmimo į darbą ir atleidimo sąlygas, darbo reglamentą ir kt., arba pertvarkomos į specialius norminius aktus. dokumentai dėl informacijos apsaugos. Tuo pačiu metu vienas neatmeta kito: kai kurie klausimai gali atsispindėti bendruosiuose dokumentuose, kai kurie specialiuose dokumentuose.

2. Kriptografinės, programinės, techninės ir inžinerinės informacijos apsaugos įgyvendinimo užtikrinimas. Ši kryptis vykdoma rengiant norminius, metodinius, organizacinius ir techninius dokumentus, taip pat vykdant būtinas organizacines priemones, užtikrinančias šių apsaugos rūšių metodų ir priemonių įgyvendinimą ir veikimą.

3. Atskirų teritorijų apsaugos užtikrinimas savarankiškai tik organizaciniais metodais ir priemonėmis. Tai leidžia išspręsti šias problemas tik organizaciniais metodais:

Saugomų informacinių laikmenų nustatymas;

Saugomos informacijos apyvartos apimties nustatymas;

Diferencijuoto požiūrio į informacijos apsaugą užtikrinimas (paslapčių saugojimo ypatumai, informacijos apsaugos specifika);

Asmenų, kuriems leidžiama prieiti prie saugomos informacijos, rato sudarymas;

Užtikrinti, kad jos naudotojai laikytųsi darbo su informacija taisyklių;

Saugomos informacijos naudojimo atvirų darbų ir renginių metu prevencija, įskaitant rengiant medžiagą žiniasklaidai, demonstruojant atvirose parodose, kalbant atviruose renginiuose, atliekant neįslaptintus biuro darbus ir pan.

4. Apsaugos užtikrinimas tam tikroms vietoms kartu su kitomis apsaugos rūšimis. Ši kryptis kartu su kitomis apsaugos rūšimis leidžia:

Nustatyti destabilizuojančio poveikio informacijai šaltinius, tipus ir būdus;

Nustatyti destabilizuojančio poveikio informaciją įgyvendinimo priežastis, aplinkybes ir sąlygas;

Nustatyti neteisėtos prieigos prie saugomos informacijos kanalus ir būdus;

Nustatyti informacijos saugumo metodus;

Nustatyti saugomos informacijos tvarkymo tvarką;

Įdiegti saugomos informacijos prieigos sistemą;

Užtikrinti informacijos apsaugą: jos gamybos, apdorojimo ir saugojimo metu; perduodant jį ryšio linijomis ir fiziškai perduodant trečiųjų šalių organizacijoms; kai vartotojai su juo dirba; uždarų konferencijų, susirinkimų, seminarų, parodų metu; uždaro ugdymo proceso ir disertacijos gynimo metu; įgyvendinant tarptautinį bendradarbiavimą; avarinių situacijų atveju.

5. Ši kryptis reiškia visų informacijos saugumo tipų, metodų ir priemonių sujungimą į vieną sistemą. Ji įgyvendinama kuriant ir diegiant norminius ir metodinius dokumentus apie vietinių sistemų organizavimą ir visapusę informacijos apsaugą, organizacinę sistemų funkcionavimo palaikymą, taip pat užtikrinant sistemų patikimumo kontrolę.

Pagrindas kriptografinė apsauga informaciją sudaro kriptografija, kuri reiškia slaptą rašymą, informacijos keitimo sistema, kad ji taptų nesuprantama nežinančiam, todėl kriptografinės informacijos apsauga apibrėžiama kaip apsaugos rūšis, atliekama transformuojant (uždarant) informaciją naudojant šifravimą, kodavimas ar kiti specialūs metodai.

Per visą istoriją kriptografijos tikslai keitėsi. Iš pradžių ji labiau pasitarnavo slaptumui užtikrinti, užkirsti kelią neteisėtam informacijos, perduodamos kariniais ir diplomatiniais ryšiais, atskleidimui. Atėjus informacijos amžiui, atsirado poreikis naudoti kriptografiją privačiame sektoriuje. Konfidencialios informacijos kiekis milžiniškas – medicininiai dokumentai, teisiniai, finansiniai dokumentai. Naujausi kriptografijos pasiekimai leido ją panaudoti ne tik informacijos autentiškumui ir vientisumui užtikrinti. Norint išlaikyti pranešimo slaptumą, be kriptografinių metodų, naudojama fizinė apsauga ir steganografija. Kaip parodė praktika, efektyviausia informacijos apsauga užtikrinama kriptografiniais metodais ir, kaip taisyklė, derinant su kitais metodais. Svarbi kriptografijos sąvoka yra stiprumas – tai gebėjimas atsispirti moderniomis technologijomis ir žiniomis gerai apsiginklavusio kriptoanalitiko bandymams iššifruoti perimtą pranešimą, atskleisti šifravimo raktus arba pažeisti informacijos vientisumą ir (arba) autentiškumą.

Šiuolaikinė kriptografinė apsauga įgyvendinama derinant matematinius, programinius, organizacinius metodus ir priemones. Jis naudojamas ne tik ir ne tiek informacijai aprėpti jos saugojimo ir apdorojimo metu, bet ir perduodant ją tiek tradiciniais būdais, tiek ypač radijo ir kabelinio ryšio kanalais.

Programinės ir techninės įrangos informacijos apsauga– informacijos apsaugos rūšis, įskaitant specialias apsaugos programas, kurios veikia savarankiškai arba yra įdiegtos informacijos apdorojimo programinėje įrangoje ar techniniuose informacijos apsaugos įrenginiuose.

Programinės ir techninės informacijos apsaugos metodų nėra, todėl informacijos apsauga vykdoma tik informacijos saugos priemonėmis.

Daugelio visuomenės sričių (gynybos, politikos, finansų ir bankininkystės, aplinkai pavojingų pramonės šakų, sveikatos priežiūros ir kitų) informatizavimas lemia, kad atliekant darbus, susijusius su konfidencialios informacijos apdorojimu ir saugojimu ir reikalaujant garantuoto rezultatų patikimumo, naudojami kompiuteriniai įrankiai. ir apdorojama informacija. Pagrindiniai kompiuteriai ir programinė įranga dažniausiai naudojami kaip skaičiavimo įrankiai. Tai verčia mus kurti ir taikyti papildomas informacijos saugos priemones kuriant saugias automatizuotas sistemas ir saugias informacines technologijas.

Taigi programinės ir techninės įrangos apsauga skirta apsaugoti informacines technologijas ir technines informacijos apdorojimo priemones.

Sprendžiant iš didėjančio publikacijų ir įmonių, profesionaliai užsiimančių informacijos apsauga kompiuterinėse sistemose, skaičiaus, šios problemos sprendimui teikiama didelė reikšmė. Viena iš akivaizdžiausių saugumo sistemos pažeidimo priežasčių yra tyčinė neteisėta neteisėtų vartotojų prieiga prie konfidencialios informacijos (UNA) ir vėlesnės nepageidaujamos manipuliacijos šia informacija.

Duomenų apsauga– tai visuma priemonių, kurių imamasi siekiant išvengti informacijos nutekėjimo, vagystės, praradimo, neteisėto sunaikinimo, iškraipymo, modifikavimo (padirbimo), neteisėto kopijavimo, blokavimo ir kt. Kadangi informacija gali būti prarasta dėl grynai techninių, objektyvių ir netyčinių priežasčių, šis apibrėžimas taip pat apima priemones, susijusias su serverio patikimumo didinimu dėl standžiųjų diskų gedimų ar gedimų, naudojamos programinės įrangos trūkumų ir pan.

Informacijos saugumo priemonių klasifikacija

Informacijos saugumo užtikrinimo priemones siekiant užkirsti kelią tyčiniams veiksmams, priklausomai nuo įgyvendinimo būdo, galima suskirstyti į grupes:

1. Techninės (aparatinės) priemonės. Tai įvairaus tipo įrenginiai (mechaniniai, elektromechaniniai, elektroniniai ir kt.), kurie naudoja techninę įrangą informacijos saugumo problemoms spręsti. Jie arba užkerta kelią fiziniam įsiskverbimui, arba, jei prasiskverbia, prieigą prie informacijos, įskaitant jos maskavimą. Pirmoji problemos dalis sprendžiama spynomis, grotomis ant langų, apsaugos signalizacijos ir kt. Antrąją dalį sprendžia triukšmo generatoriai, apsaugos nuo viršįtampių, skenuojantys radijo imtuvai ir daugelis kitų įrenginių, kurie „blokuoja“ galimus informacijos nutekėjimo kanalus arba leidžia juos. kad būtų aptikta. Privalumai techninės priemonės siejamos su jų patikimumu, nepriklausomumu nuo subjektyvių veiksnių, dideliu atsparumu modifikacijai. Silpnosios pusės– nepakankamas lankstumas, santykinai didelis tūris ir svoris, didelė kaina.

2. Programinė įranga apima vartotojo identifikavimo, prieigos kontrolės, informacijos šifravimo, likutinės (darbinės) informacijos, pvz., laikinųjų failų, pašalinimo, apsaugos sistemos testavimo valdymo programas ir kt. Programinės įrangos privalumai– universalumas, lankstumas, patikimumas, montavimo paprastumas, galimybė modifikuoti ir tobulinti. Trūkumai– ribotas tinklo funkcionalumas, dalies failų serverio ir darbo stočių resursų panaudojimas, didelis jautrumas atsitiktiniams ar tyčiniams pakeitimams, galima priklausomybė nuo kompiuterių tipų (jų techninės įrangos).

3. Mišri aparatinė ir programinė įrangaįgyvendinti tas pačias funkcijas, kaip ir aparatinė bei programinė įranga atskirai, ir turėti tarpines savybes.

4. Organizacinės priemonės susideda iš organizacinių ir techninių (patalpų paruošimas kompiuteriais, kabelių sistemos nutiesimas, atsižvelgiant į prieigos prie jos ribojimo reikalavimus ir kt.) ir organizacinių bei teisinių (nacionaliniai teisės aktai ir konkrečios įmonės vadovybės nustatytos darbo taisyklės). Privalumai organizaciniai įrankiai yra tai, kad jie leidžia išspręsti daugybę skirtingų problemų, yra lengvai įgyvendinami, greitai reaguoja į nepageidaujamus veiksmus tinkle, turi neribotas modifikavimo ir tobulinimo galimybes. Trūkumai– didelė priklausomybė nuo subjektyvių veiksnių, įskaitant bendrą darbo organizavimą konkrečiame skyriuje.

Programinės įrangos įrankiai yra išskiriami pagal platinimo ir prieinamumo laipsnį, todėl jie išsamiau aptariami toliau. Kitos priemonės naudojamos tais atvejais, kai būtina numatyti papildomą informacijos apsaugos lygį.

Šifravimas duomenų apsauga yra informacijos saugos programinės įrangos rūšis ir yra ypač svarbi praktikoje kaip vienintelė patikima ilgomis nuosekliosiomis linijomis perduodamos informacijos apsauga nuo nutekėjimo. Šifravimas sudaro paskutinę, beveik neįveikiamą apsaugos nuo neteisėtos prieigos „liniją“. Terminas „šifravimas“ dažnai vartojamas kalbant apie bendresnę kriptografijos sąvoką. Kriptografija apima informacijos konfidencialumo (įskaitant šifravimą) ir autentifikavimo užtikrinimo metodus ir priemones. Konfidencialumas– informacijos apsauga, kad su jos turiniu nesusipažintų asmenys, neturintys teisės prie jos susipažinti. Savo ruožtu autentifikavimas yra įvairių informacijos sąveikos aspektų: komunikacijos seanso, šalių (identifikavimo), turinio (apsauga nuo imitacijos) ir šaltinio (priskyrimas naudojant skaitmeninį parašą) autentiškumo nustatymas.

Klasikiniai duomenų šifravimo algoritmai

Galimi šie „klasikiniai“ šifravimo metodai:

Pakeitimas (paprastas – vienos abėcėlės, kelių raidžių vienos kilpos, kelių abėcėlės kelių kilpų);

Permutacija (paprasta, sudėtinga);

Gama (maišymas su trumpa, ilga arba neribota kauke).

Pakeitimas apima alternatyvios abėcėlės (arba kelių) naudojimą vietoj originalios. Paprasto angliškos abėcėlės simbolių pakeitimo atveju galite pasiūlyti, pavyzdžiui, tokį pakeitimą (žr. 1 lentelę).

1 lentelė. Simbolių keitimo pakeitimo metu pavyzdys

Tada žodis „cache“ užšifruojamas kaip „usuxk“.

Pertvarkymas potencialiai suteikia didesnį atsparumą iššifravimui nei pakeitimas ir yra atliekamas naudojant skaitmeninį raktą arba lygiavertį raktinį žodį, kaip parodyta toliau pateiktame pavyzdyje (žr. 2 lentelę). Skaitmeninis raktas susideda iš nesikartojančių skaičių, o atitinkamas raktinis žodis – iš nesikartojančių simbolių. Šaltinio tekstas (paprastas tekstas) rašomas eilutė po eilutės po klavišu. Šifruotas pranešimas (šifruotas tekstas) išrašomas stulpeliuose tokia tvarka, kokia yra nurodyta rakto skaitmenyse arba tokia tvarka, kokia yra atskiri raktinio žodžio simboliai.

2 lentelė. Paprastosios permutacijos naudojimo pavyzdys

Nagrinėjamame pavyzdyje šifruotas pranešimas atrodys taip: AIHHORTTPHPαEααα…SSCEα.

Guminimas(maišymas su kauke) yra pagrįstas pradinio pranešimo su iš anksto pasirinkta dvejetaine seka (kauke) 2 bitų pridėjimu moduliu (pagal IŠSKIRTINĮ ARBA logiką). Kompaktiškas kaukės vaizdas gali būti skaičiai dešimtainėje skaičių sistemoje arba tam tikras tekstas (šiuo atveju atsižvelgiama į vidinius simbolių kodus - angliškam tekstui ASCII lentelė). Fig. 1 paveiksle parodyta, kaip pradinis simbolis „A“, pridėtas prie kaukės 0110 10012, užšifruotame pranešime tampa simboliu „(“.

Ryžiai. 1 Gama naudojimo pavyzdys

Išvardinti „klasikiniai“ šifravimo metodai (pakeitimas, permutacija ir gama) yra linijiniai ta prasme, kad užšifruoto pranešimo ilgis yra lygus pradinio teksto ilgiui. Gal būt netiesinė transformacija pakeitimo tipas vietoj originalių simbolių (arba ištisų žodžių, frazių, sakinių) iš anksto pasirinktų skirtingo ilgio simbolių kombinacijų. Informacijos apsauga taip pat veiksminga pjovimo ir paskleidimo būdu, kai šaltinio duomenys yra suskirstyti į blokus, kurių kiekviename nėra naudingos informacijos, o šie blokai yra saugomi ir perduodami nepriklausomai vienas nuo kito. Tekstinei informacijai tokių blokų duomenų pasirinkimas gali būti atliekamas grupėse, kuriose yra fiksuotas bitų skaičius, mažesnis nei bitų skaičius vienam simboliui kodavimo lentelėje. Pastaruoju metu vadinamasis kompiuteris steganografija(iš graikų kalbos žodžių steganos – paslaptis, paslaptis ir grafija – įrašas), tai yra pranešimo ar failo slėpimas kitame pranešime ar faile. Pavyzdžiui, galite paslėpti užšifruotą garso ar vaizdo failą dideliame informacijos arba grafiniame faile. Sudėtinio failo tūris turi būti bent aštuonis kartus didesnis nei pradinio failo tūris. Įprastų programų, įgyvendinančių kompiuterinę steganografiją, pavyzdžiai yra S – Tools (skirta Windows’95/NT OS). ir „Steganos“, skirta „Windows'95“. Tikrasis informacijos šifravimas atliekamas naudojant standartinius arba nestandartinius algoritmus.

Standartiniai šifravimo metodai (nacionaliniai ar tarptautiniai), siekiant padidinti atsparumo iššifravimui laipsnį, įgyvendina kelis šifravimo etapus (žingsnius), kurių kiekvienas naudoja skirtingus „klasikinius“ šifravimo metodus pagal pasirinktą raktą (arba raktus). Yra dvi iš esmės skirtingos standartinių šifravimo metodų grupės:

Šifravimas naudojant tuos pačius raktus (šifrus) šifravimo ir iššifravimo metu (simetrinio šifravimo arba privačiojo rakto sistemos);

Šifravimas naudojant viešuosius raktus šifravimui ir privačius raktus iššifruoti (asimetrinis šifravimas arba viešojo rakto sistemos).

Informacijos saugos programinė įranga

Tinklo operacinėse sistemose yra integruotų informacijos saugos priemonių, tačiau jos ne visada gali iki galo išspręsti praktikoje kylančias problemas. Pavyzdžiui, tinklo operacinės sistemos NetWare 3.x, 4.x leidžia patikimai „išsamią“ duomenų apsaugą nuo aparatinės įrangos gedimų ir pažeidimų. „Novell“ SFT (sistemos gedimų tolerancijos) sistema apima tris pagrindinius lygius:

SFT I lygis visų pirma suteikia galimybę sukurti papildomas FAT ir katalogų įrašų lentelių kopijas, nedelsiant patikrinti kiekvieną duomenų bloką, naujai įrašytą į failų serverį, taip pat rezervuoti apie 2% disko talpos kiekviename standžiajame diske. . Aptikus gedimą, duomenys nukreipiami į rezervuotą disko sritį, o sugedęs blokas pažymimas kaip „blogas“ ir nenaudojamas ateityje.

SFT Level II turi papildomų galimybių kurti „veidrodinius“ diskus, taip pat kopijuoti disko valdiklius, maitinimo šaltinius ir sąsajos kabelius.

SFT III lygis leidžia vietiniame tinkle naudoti pasikartojančius serverius, iš kurių vienas yra „pagrindinis“, o antrasis, kuriame yra visos informacijos kopija, pradeda veikti, jei „pagrindinis“ serveris sugenda.

Prieigos teisių valdymo ir ribojimo NetWare tinkluose sistema (apsauga nuo neteisėtos prieigos) taip pat turi kelis lygius:

Pradinis prieigos lygis (apima vartotojo vardą ir slaptažodį, apskaitos apribojimų sistemą, pvz., aiškų leidimą arba draudimą dirbti, leistiną darbo tinkle laiką, konkretaus vartotojo asmeninių failų užimtą vietą standžiajame diske ir kt.) ;

Vartotojo teisių lygis (atskirų operacijų atlikimo ir (arba) tam tikro vartotojo, kaip skyriaus nario, darbo apribojimai tam tikrose tinklo failų sistemos dalyse);

Katalogų ir failų atributų lygis (atskirų operacijų, įskaitant ištrynimą, redagavimą ar kūrimą, atlikimo apribojimai, gaunami iš failų sistemos ir turi įtakos visiems vartotojams, bandantiems dirbti su šiais katalogais ar failais);

Failų serverio konsolės lygis (failų serverio klaviatūros užrakinimas, kai tinklo administratoriaus nėra, kol jis įveda specialų slaptažodį).

Specializuota programinė įranga informacijos apsauga nuo neteisėtos prieigos paprastai turi geresnes galimybes ir charakteristikas nei įtaisytieji tinklo OS įrankiai. Be šifravimo programų ir kriptografinių sistemų, yra daug kitų išorinių informacijos saugos priemonių. Iš dažniausiai minimų sprendimų reikėtų pažymėti šias dvi sistemas, kurios leidžia riboti ir kontroliuoti informacijos srautus.

1. Ugniasienės – ugniasienės (pažodžiui ugniasienė – ugniasienė). Tarp vietinio ir pasaulinio tinklų sukuriami specialūs tarpiniai serveriai, kurie tikrina ir filtruoja visą per juos einantį tinklo/transporto lygio srautą. Tai leidžia žymiai sumažinti neteisėtos prieigos iš išorės prie įmonių tinklų grėsmę, tačiau visiškai nepašalina šio pavojaus. Saugesnė metodo versija yra maskavimo metodas, kai visas srautas, kilęs iš vietinio tinklo, siunčiamas ugniasienės serverio vardu, todėl vietinis tinklas praktiškai nematomas.

2. Įgaliotieji serveriai (įgaliotinis – įgaliojimas, patikimas asmuo). Visas tinklo/transporto lygio srautas tarp vietinio ir globalaus tinklų yra visiškai draudžiamas – nėra maršruto kaip tokio, o skambučiai iš vietinio tinklo į pasaulinį tinklą vyksta per specialius tarpinius serverius. Akivaizdu, kad šiuo atveju skambučiai iš pasaulinio tinklo į vietinį iš principo tampa neįmanomi. Šis metodas neužtikrina pakankamos apsaugos nuo atakų aukštesniuose lygiuose – pavyzdžiui, taikomųjų programų lygiu (virusai, Java ir JavaScript kodas).

Informacijos apsauga tinkle ryžių. 9.1. gali būti patobulintas naudojant specialius triukšmo generatorius, maskuojančius šoninę elektromagnetinę spinduliuotę ir trukdžius, triukšmo slopinimo tinklo filtrus, maitinimo šaltinio triukšmo įrenginius, kodavimo įrenginius (telefoninių pokalbių kodavimo įrenginius), mobiliųjų telefonų trukdžius ir kt. Radikali išeitis – pereiti prie šviesolaidinių jungčių, kurios yra be elektromagnetinių laukų įtakos ir leidžia aptikti neteisėto prisijungimo faktą.

Apskritai informacijos saugumo užtikrinimo priemones siekiant užkirsti kelią tyčiniams veiksmams, priklausomai nuo įgyvendinimo būdo, galima suskirstyti į grupes:

1. Techninės (aparatinės) priemonės. Tai įvairaus tipo įrenginiai (mechaniniai, elektromechaniniai, elektroniniai ir kt.), kurie naudoja techninę įrangą informacijos saugumo problemoms spręsti. Jie arba užkerta kelią fiziniam įsiskverbimui, arba, jei prasiskverbia, prieigą prie informacijos, įskaitant jos maskavimą. Pirmoji problemos dalis sprendžiama spynomis, langų grotomis, apsaugos signalizacijomis ir kt. Antroji – aukščiau paminėti triukšmo generatoriai, apsauga nuo viršįtampių, skenuojantys radijo imtuvai ir daugelis kitų įrenginių, kurie „blokuoja“ galimus informacijos nutekėjimo kanalus arba leidžia jiems nutekėti. būti aptiktas. Techninių priemonių privalumai siejami su jų patikimumu, nepriklausomumu nuo subjektyvių veiksnių, dideliu atsparumu modifikacijai. Trūkumai: nepakankamas lankstumas, santykinai didelis tūris ir svoris, didelė kaina.

2. Programinės įrangos įrankiai apima vartotojo identifikavimo, prieigos kontrolės, informacijos šifravimo, likutinės (darbinės) informacijos, pvz., laikinųjų failų, pašalinimo, apsaugos sistemos testavimo valdymo programas ir kt. Programinės įrangos įrankių privalumai yra universalumas, lankstumas, patikimumas, paprastumas. diegimo, galimybės modifikuoti ir tobulinti. Trūkumai – ribotas tinklo funkcionalumas, dalies failų serverio ir darbo stočių resursų panaudojimas, didelis jautrumas atsitiktiniams ar tyčiniams pakeitimams, galima priklausomybė nuo kompiuterių tipų (jų techninės įrangos).

3. Mišri techninė ir programinė įranga atlieka tas pačias funkcijas, kaip ir programinė įranga, ir turi tarpines savybes.

4. Organizacines priemones sudaro organizacinės ir techninės (patalpų su kompiuteriais paruošimas, kabelių sistemos nutiesimas, atsižvelgiant į prieigos prie jos ribojimo reikalavimus ir kt.) ir organizacinės bei teisinės (nacionalinės teisės aktai ir darbo taisyklės, kurias nustato įmonės vadovybė). konkrečioje įmonėje). Organizacinių įrankių privalumai yra tai, kad jie leidžia išspręsti daugybę skirtingų problemų, yra lengvai įgyvendinami, greitai reaguoja į nepageidaujamus veiksmus tinkle, turi neribotas modifikavimo ir tobulinimo galimybes. Trūkumai – didelė priklausomybė nuo subjektyvių veiksnių, įskaitant bendrą darbo organizavimą konkrečiame skyriuje.

Programinės įrangos įrankiai yra išskiriami pagal platinimo ir prieinamumo laipsnį, todėl jie išsamiau aptariami toliau (žr. „Standartiniai šifravimo metodai ir kriptografinės sistemos“ ir „Informacijos saugos programinė įranga“). Kitos priemonės naudojamos tais atvejais, kai būtina numatyti papildomą informacijos apsaugos lygį.

Šifravimas duomenų apsauga yra informacijos saugos programinės įrangos rūšis ir yra ypač svarbi praktikoje kaip vienintelė patikima ilgomis nuosekliosiomis linijomis perduodamos informacijos apsauga nuo nutekėjimo. Šifravimas sudaro paskutinę, beveik neįveikiamą apsaugos nuo neteisėtos prieigos „liniją“. Terminas „šifravimas“ dažnai vartojamas kalbant apie bendresnę kriptografijos sąvoką. Kriptografija apima informacijos konfidencialumo (įskaitant šifravimą) ir autentifikavimo užtikrinimo metodus ir priemones. Konfidencialumas– informacijos apsauga, kad su jos turiniu nesusipažintų asmenys, neturintys teisės prie jos susipažinti. Savo ruožtu autentifikavimas yra įvairių informacijos sąveikos aspektų: komunikacijos seanso, šalių (identifikavimo), turinio (apsauga nuo imitacijos) ir šaltinio (priskyrimas naudojant skaitmeninį parašą) autentiškumo nustatymas.

Naudojamų šifravimo programų skaičius yra ribotas, o kai kurios iš jų yra de facto arba de jure standartai. Tačiau net jei šifravimo algoritmas nėra paslaptis, iššifruoti (iššifruoti) nežinant privataus rakto yra itin sunku. Ši savybė šiuolaikinėse šifravimo programose užtikrinama atliekant daugiapakopį originalios atviros informacijos (paprasto teksto anglų kalbos literatūroje) transformavimą, naudojant raktą (arba du raktus - po vieną šifravimui ir iššifravimui). Galiausiai bet koks sudėtingas šifravimo metodas (algoritmas) yra gana paprastų metodų derinys.

Specializuota informacijos saugos programinė įranga nuo neteisėtos prieigos, jie paprastai turi geresnes galimybes ir charakteristikas nei įtaisytieji tinklo OS įrankiai. Be šifravimo programų ir kriptografinių sistemų, yra daug kitų išorinių informacijos saugos priemonių. Iš dažniausiai minimų sprendimų reikėtų pažymėti šias dvi sistemas, kurios leidžia riboti ir kontroliuoti informacijos srautus.

1. Ugniasienės – ugniasienės (pažodžiui ugniasienė – ugniasienė). Tarp vietinio ir pasaulinio tinklų sukuriami specialūs tarpiniai serveriai, kurie tikrina ir filtruoja visą per juos einantį tinklo/transporto lygio srautą. Tai leidžia žymiai sumažinti neteisėtos prieigos iš išorės prie įmonių tinklų grėsmę, tačiau visiškai nepašalina šio pavojaus. Saugesnė metodo versija yra maskavimo metodas, kai visas srautas, kilęs iš vietinio tinklo, siunčiamas ugniasienės serverio vardu, todėl vietinis tinklas praktiškai nematomas.

2. Įgaliotieji serveriai (įgaliotinis – įgaliojimas, patikimas asmuo). Visas tinklo/transporto lygio srautas tarp vietinio ir globalaus tinklų yra visiškai draudžiamas – nėra maršruto kaip tokio, o skambučiai iš vietinio tinklo į pasaulinį tinklą vyksta per specialius tarpinius serverius. Akivaizdu, kad šiuo atveju skambučiai iš pasaulinio tinklo į vietinį iš principo tampa neįmanomi. Šis metodas neužtikrina pakankamos apsaugos nuo atakų aukštesniuose lygiuose – pavyzdžiui, taikomųjų programų lygiu (virusai, Java ir JavaScript kodas).

Ugniasienė arba ugniasienė- aparatinės ar programinės įrangos rinkinys, kuris įvairiais lygiais stebi ir filtruoja per jį einančius tinklo paketus OSI modeliai pagal pateiktas taisykles.

Pagrindinis ugniasienės tikslas yra apsaugoti kompiuterių tinklai arba atskirus mazgus nuo neteisėtos prieigos. Taip pat ugniasienės dažnai vadinamos filtrais, nes pagrindinė jų užduotis yra nepraleisti (filtruoti) paketų, kurie neatitinka konfigūracijoje nustatytų kriterijų.

Kitas vardas: Ugniasienė (vokiečių Brandmaueris) – terminas, pasiskolintas iš vokiečių kalbos, kuris yra anglų kalbos analogas ugniasienė pradine prasme (siena, skirianti gretimus pastatus, neleidžianti plisti Ugnis). Įdomu tai, kad kompiuterių technologijų srityje vokiečių kalba žodis „ ugniasienė».

Pateikiamas tinklo saugos produktų rinkinys, vadinamas „Check Point FireWall-1“. prieigos kontrolė internete, intranete, ekstranete, taip pat nuotolinė prieiga su pažangiomis funkcijomis autorizavimas ir vartotojų autentifikavimas. FireWall-1 leidžia tinklo adreso vertimas (NAT) Ir nuskaityti duomenų srautus dėl netinkamos informacijos ir virusų. Platus pagrindinių ir aptarnavimo funkcijų spektras leidžia įdiegti integruotą tinklų ir informacijos saugos sprendimą, visiškai atitinkantį šiuolaikinius bet kurios didelės ir mažos organizacijos reikalavimus. Produktų rinkinys, vadinamas „Check Point“ „Atvira saugaus įmonių bendradarbiavimo platforma“, yra pagrįstas informacinių saugos technologijų suvienijimo koncepcija, kuri apima vieną priemonę, atspindinčią įmonės informacijos saugumą vienos išsamios saugos politikos forma. Šis metodas leidžia glaudžiau integruoti kitų gamintojų produktus, pagrįstus FireWall-1. Tai užtikrina centralizuotą šių sistemų stebėjimą, valdymą ir konfigūravimą. Tik FireWall-1 leidžia organizacijai sukurti vieną integruotą saugos politiką, kuri būtų taikoma kelioms ugniasienėms ir būtų valdoma iš bet kurio šiam tikslui pasirinkto įmonės tinklo taško. Taip pat gaminys turi daug papildomų funkcijų, pvz tvarkyti aparatinės įrangos maršrutizatorių prieigos sąrašus,

Su tūkstančiais įrenginių visame pasaulyje, Check Point FireWall-1 yra labiausiai paplitęs ir geriausiai patikrintas ugniasienės produktas, kurį galima įsigyti šiandien.

Remiantis būsenos paketų tikrinimo technologija, pramonėje pirmaujančia tinklo srauto valdymo technologija, kurią sukūrė ir užpatentavo „Check Point“, „FireWall-1“ užtikrina aukščiausią saugumo lygį. Šis metodas užtikrina informacijos rinkimą iš duomenų paketų, tiek ryšio, tiek taikomųjų programų lygių, o tai pasiekiama išsaugant ir kaupiant ją specialiose konteksto lentelėse, kurios dinamiškai atnaujinamos.Šis metodas suteikia visišką net programos lygio kontrolę, nereikia įvesti atskira tarpinė programa (proxy) kiekvienai apsaugoto tinklo paslaugai.

Taigi vartotojas padidina našumą ir turi galimybę lanksčiai plėsti sistemą, greitai ir patikimai apsaugoti naujas programas ir protokolus, nesiimant tarpinių programų kūrimo.

„Check Point FireWall-1“ palaiko šimtus iš anksto nustatytų tinklo paslaugų, protokolų ir programų. Be esamų paslaugų ir protokolų, FireWall-1 leidžia greitai ir efektyviai sukurti savo protokolų tvarkykles naudojant integruotą aukšto lygio kalbą INSPECT. INSPECT virtuali mašina sudaro Check Point FireWall-1 technologijos pagrindą.

„Check Point FireWall-1“ naudoja paskirstytą kliento-serverio architektūrą, kuri suteikia unikalias sistemos išplėtimo galimybes, taip pat centralizuotą įdiegto komplekso valdymą.

Produkto komponentai palaiko Windows 95, Windows NT, UNIX, maršrutizatorius, jungiklius, nuotolinės prieigos įrenginius (per Check Point OPSEC partnerius) ir kelių platformų sąveiką suteikia pramonėje pirmaujančią lankstumą ir lengvą diegimą.

„Check Point FireWall-1“ patentuotas tikrinimas užtikrina aukščiausią įmanomą kontrolės ir saugumo lygį. FireWall-1 valdo ryšius 3–7 OSI tinklo modelio sluoksniuose, o tarpiniai serveriai gali valdyti tik 5–7 sluoksnius.

Taigi „Check Point FireWall-1“ turi unikalią informaciją apie tinklo paketų turinį, ryšius ir programas. Šie sukaupti duomenys apie ryšio būseną, programos kontekstą, tinklo topologiją kartu su saugos politikos taisyklėmis naudojami visos įmonės saugos politikai teikti. Papildoma apsauga pačiam kompiuteriui suteikiama naudojant FireWall-1, nes ši programinė įranga perima, analizuoja, atlieka reikiamus veiksmus, susijusius su visomis jungtimis ir tik tada perduoda šiuos informacijos paketus į šliuzo kompiuterio operacinę sistemą, kuri išsaugo operacinę sistemą. nuo neteisėtos prieigos.

„Check Point“ įdiegta būsenos tikrinimo technologija naudoja dinamines lenteles informacijai apie aktyvių ir jau esamų ryšių kontekstą saugoti. Šių lentelių turinys tikrinamas bandant prisijungti. Šis metodas užtikrina puikų našumą ir užtikrina, kad ryšys būtų apdorojamas naudojant naujausią ryšio būsenos informaciją. Būsenos lentelės yra operacinės sistemos branduolyje ir negali būti sugadintos ar perrašytos, kaip failai diske. Jei sistema perkraunama, „FireWall-1“ pradeda formuoti naujas lenteles, o tai neleidžia dirbti su pažeistais duomenimis. Lentelių išvalymas prilygsta visiškam ryšių atsisakymui, o tai tokiais atvejais užtikrina tinklo saugumą.

Informacija šiandien yra svarbus šaltinis, kurio praradimas yra kupinas nemalonių pasekmių. Konfidencialių įmonės duomenų praradimas kelia finansinių nuostolių grėsmę, nes gauta informacija gali pasinaudoti konkurentai ar užpuolikai. Siekdamos išvengti tokių nepageidaujamų situacijų, visos šiuolaikinės įmonės ir įstaigos taiko informacijos saugos metodus.

Informacinių sistemų (IS) apsauga – tai visas kursas, kurį išklauso visi IS kūrimo srities programuotojai ir specialistai. Tačiau žinoti informacinių grėsmių tipus ir apsaugos technologijas būtina kiekvienam, dirbančiam su įslaptintais duomenimis.

Informacinių grėsmių rūšys

Pagrindinis informacijos grėsmės tipas, prieš kurį kiekvienoje įmonėje sukuriama visa technologija, yra neteisėta užpuolikų prieiga prie duomenų. Užpuolikai iš anksto planuoja nusikalstamus veiksmus, kurie gali būti atliekami tiesiogine prieiga prie įrenginių arba nuotoliniu būdu, naudojant programas, specialiai sukurtas informacijai pavogti.

Be įsilaužėlių veiksmų, įmonės dažnai susiduria su informacijos praradimo situacijomis dėl programinės ir techninės įrangos sutrikimų.

Tokiu atveju slaptos medžiagos nepatenka į užpuolikų rankas, tačiau jos prarandamos ir negali būti atkurtos arba jos atkūrimas užtrunka per ilgai. Kompiuterinių sistemų gedimai gali atsirasti dėl šių priežasčių:

• Informacijos praradimas sugadinus laikmenas – kietuosius diskus;
• Programinės įrangos veikimo klaidos;
• Aparatūros gedimas dėl pažeidimo ar susidėvėjimo.

Šiuolaikiniai informacijos apsaugos metodai

Duomenų apsaugos technologijos pagrįstos šiuolaikinių metodų, užkertančių kelią informacijos nutekėjimui ir praradimui, naudojimu. Šiandien yra šeši pagrindiniai apsaugos būdai:

• Leisti;
• Maskuoti;
• reglamentas;
• Kontrolė;
• Prievarta;
• Skatinimas.

Visais šiais metodais siekiama sukurti efektyvią technologiją, kuri eliminuotų nuostolius dėl neatsargumo ir sėkmingai atremtų įvairaus pobūdžio grėsmes. Kliūtis – informacinių sistemų fizinės apsaugos būdas, kurio dėka užpuolikai negali patekti į saugomą zoną.

Maskavimas yra informacijos apsaugos metodas, apimantis duomenų pavertimą tokia forma, kuri netinkama neįgaliotiems asmenims suvokti. Norint iššifruoti, reikia žinoti principą.

Valdymas – informacijos apsaugos metodai, kuriais valdomi visi informacinės sistemos komponentai.

Reguliavimas yra svarbiausias informacinių sistemų apsaugos būdas, kuris apima specialių nurodymų įvedimą, pagal kuriuos turi būti atliekamos visos manipuliacijos su saugomais duomenimis.

Prievarta – su reguliavimu glaudžiai susiję informacijos apsaugos metodai, apimantys priemonių komplekso įvedimą, kai darbuotojai verčiami laikytis nustatytų taisyklių. Jei naudojami darbuotojų poveikio metodai, kai jie vadovaujasi nurodymais dėl etinių ir asmeninių priežasčių, tai kalbame apie motyvaciją.

Vaizdo įraše parodyta išsami paskaita apie informacijos saugumą:

Informacinių sistemų apsaugos priemonės

Informacijos apsaugos metodai reikalauja naudoti tam tikrą priemonių rinkinį. Siekiant išvengti slaptos informacijos praradimo ir nutekėjimo, naudojamos šios priemonės:

• Fizinis;
• Programinė įranga ir aparatinė įranga;
• Organizacinis;
• Teisėkūros;
• Psichologinis.

Fizinės informacijos saugumo priemonės neleidžia pašaliniams asmenims patekti į saugomą teritoriją. Pagrindinė ir seniausia fizinio trukdymo priemonė – tvirtų durų, patikimų spynų, langų grotų montavimas. Informacijos saugumui sustiprinti naudojami patikros punktai, kuriuose prieigos kontrolę vykdo žmonės (sargybiniai) arba specialios sistemos. Siekiant išvengti informacijos praradimo, taip pat patartina įrengti priešgaisrinę sistemą. Duomenims apsaugoti tiek popierinėje, tiek elektroninėje laikmenoje naudojamos fizinės priemonės.

Programinė ir techninė įranga yra nepakeičiamas komponentas, užtikrinantis šiuolaikinių informacinių sistemų saugumą.

Aparatinę įrangą atstovauja įrenginiai, kurie yra įmontuoti į informacijos apdorojimo įrangą. Programinės įrangos įrankiai – programos, kurios atbaido įsilaužėlių atakas. Taip pat programinės įrangos kategorijai priskiriami programinės įrangos paketai, kurie atlieka prarastos informacijos atkūrimą. Naudojant įrangos ir programų kompleksą, sukuriama informacijos atsarginė kopija, kad būtų išvengta nuostolių.

Organizacinės priemonės siejamos su keliais apsaugos būdais: reguliavimu, valdymu, prievarta. Organizacinės priemonės apima pareigybių aprašymų rengimą, pokalbius su darbuotojais, baudų ir atlygio priemonių rinkinį. Efektyviai išnaudodami organizacines priemones, įmonės darbuotojai puikiai išmano darbo su saugoma informacija technologijas, aiškiai atlieka savo pareigas ir yra atsakingi už melagingos informacijos pateikimą, duomenų nutekėjimą ar praradimą.

Įstatyminės priemonės – tai visuma reglamentų, reglamentuojančių asmenų, turinčių prieigą prie saugomos informacijos, veiklą ir nustatančią atsakomybės už įslaptintos informacijos praradimą ar vagystę mastą.

Psichologinės priemonės – tai priemonių visuma, kuria siekiama sukurti asmeninį darbuotojų susidomėjimą informacijos saugumu ir tikrumu. Siekdami sukurti asmeninį personalo susidomėjimą, vadovai naudoja įvairias paskatas. Psichologinės priemonės taip pat apima įmonės kultūros kūrimą, kai kiekvienas darbuotojas jaustųsi svarbia sistemos dalimi ir būtų suinteresuotas įmonės sėkme.

Perduotų elektroninių duomenų apsauga

Siekiant užtikrinti informacinių sistemų saugumą, šiandien aktyviai naudojami elektroninių dokumentų šifravimo ir apsaugos būdai. Šios technologijos leidžia nuotoliniu būdu perduoti duomenis ir nuotolinį autentifikavimą.

Informacijos apsaugos šifravimo (kriptografijos) metodai yra pagrįsti informacijos keitimu naudojant specialius slaptus raktus. Elektroninių duomenų kriptografijos technologija pagrįsta transformacijos algoritmais, pakeitimo metodais ir matricos algebra. Šifravimo stiprumas priklauso nuo to, koks sudėtingas buvo konvertavimo algoritmas. Šifruota informacija yra patikimai apsaugota nuo bet kokių grėsmių, išskyrus fizines.

Elektroninis skaitmeninis parašas (EDS) yra elektroninio dokumento parametras, skirtas patvirtinti jo autentiškumą. Elektroninis skaitmeninis parašas pakeičia pareigūno parašą ant popierinio dokumento ir turi tokią pat teisinę galią. Skaitmeninis parašas padeda identifikuoti jo savininką ir patvirtinti, kad nėra neteisėtų transformacijų. Skaitmeninio parašo naudojimas ne tik užtikrina informacijos apsaugą, bet ir padeda sumažinti dokumentų srauto technologijos kainą bei sutrumpina dokumentų perkėlimo rengiant ataskaitas laiką.

Informacinių sistemų saugumo klasės

Naudojama apsaugos technologija ir jos efektyvumo laipsnis lemia informacinės sistemos saugumo klasę. Tarptautiniai standartai išskiria 7 sistemų saugumo klases, kurios sujungiamos į 4 lygius:

• D – nulinis saugos lygis;
• C – laisvosios prieigos sistemos;
• B – sistemos su priverstine prieiga;
• A – sistemos su patikrinama sauga.

D lygis atitinka sistemas, kuriose apsaugos technologija yra menkai išvystyta. Esant tokiai situacijai, bet kuris pašalinis asmuo turi galimybę gauti informaciją.

Naudojant nepakankamai išvystytą saugos technologiją, informacija gali būti prarasta arba prarasta.

C lygis turi šias klases – C1 ir C2. C1 saugumo klasė apima duomenų ir vartotojų atskyrimą. Tam tikra vartotojų grupė turi prieigą tik prie tam tikrų duomenų, informacijai gauti reikalingas autentifikavimas – vartotojo autentiškumo patikrinimas reikalaujant slaptažodžio. Su C1 saugos klase sistema turi techninės ir programinės įrangos apsaugą. Sistemos, turinčios C2 klasę, papildytos vartotojo atsakomybę garantuojančiomis priemonėmis: sukuriamas ir prižiūrimas prieigos žurnalas.

B lygis apima saugumo technologijas, turinčias C lygio klases, ir keletą papildomų. B1 klasė reiškia, kad yra saugos politika, patikima kompiuterinė bazė, skirta saugos etiketėms valdyti, ir priverstinė prieigos kontrolė. B1 klasėje specialistai kruopščiai analizuoja ir išbando šaltinio kodą ir architektūrą.

B2 saugos klasė būdinga daugeliui šiuolaikinių sistemų ir apima:

• Saugos etikečių suteikimas visiems sistemos ištekliams;
• Įvykių, susijusių su slaptų atminties mainų kanalų organizavimu, registravimas;
• Patikimos skaičiavimo bazės struktūrizavimas į gerai apibrėžtus modulius;
• Formali saugumo politika;
• Didelis sistemos atsparumas išoriniams išpuoliams.

B3 klasė, be B1 klasės, reiškia, kad praneša administratoriui apie bandymus pažeisti saugumo politiką, analizuoja slaptų kanalų atsiradimą, turi duomenų atkūrimo mechanizmus po aparatinės įrangos gedimo arba.

A lygis apima vieną, aukščiausią saugumo klasę – A. Į šią klasę įeina sistemos, kurios buvo išbandytos ir gavo patvirtinimą, kad jos atitinka oficialias aukščiausio lygio specifikacijas.

Vaizdo įraše parodyta išsami paskaita apie informacinių sistemų saugumą:

Pirmoje dalyje „Informacijos saugumo pagrindai“ nagrinėjome pagrindinius informacijos saugumui kylančių grėsmių tipus. Tam, kad galėtume pradėti rinktis informacijos saugos priemones, būtina išsamiau apsvarstyti, kas gali būti klasifikuojama kaip informacija.

Informacija ir jos klasifikacija

Informacija gali būti suskirstyta į keletą tipų ir, priklausomai nuo prieigos prie jos kategorijos, skirstoma į viešai prieinama informacija, taip pat informacija, prie kurios prieiga yra ribota - konfidencialių duomenų ir valstybės paslapčių.

Informacija, priklausomai nuo jos teikimo ar platinimo tvarkos, skirstoma į informaciją:

1. Laisvai platinamas
2. Pateikiama asmenų susitarimu dalyvauja atitinkamuose santykiuose
3. Kuris pagal federalinius įstatymus teikti ar platinti
4. Platinimas, kuris Rusijos Federacijoje apribotas arba draudžiamas

1. Mišios- yra triviali informacija ir veikia su daugybei visuomenės suprantamų sąvokų.
2. Specialusis- yra tam tikras sąvokų rinkinys, kuris gali būti nesuprantamas didžiajai visuomenės daliai, tačiau yra būtinas ir suprantamas siauroje socialinėje grupėje, kurioje ši informacija naudojama.
3. Paslaptis- prieiga prie kurios suteikiama siauram žmonių ratui ir uždarais (saugiais) kanalais.
4. Asmeninis (privatus)- informacijos apie asmenį rinkinys, lemiantis socialinę padėtį ir socialinių sąveikų tipus.

Pagal Rusijos Federacijos 1993 m. liepos 21 d. įstatymą N 5485-1 (su 2015-08-03 redakcija) „Dėl valstybės paslapčių“ 5 str. „Valstybės paslaptį sudarančios informacijos sąrašas“ taikoma:

1. Informacija karinėje srityje.
2. Informacija ekonomikos, mokslo ir technologijų srityse.
3. Informacija užsienio politikos ir ekonomikos srityse.
4. Informacija žvalgybos, kontržvalgybos ir operatyvinės paieškos veiklos, taip pat kovos su terorizmu srityje ir asmenų, kurių atžvilgiu priimtas sprendimas taikyti valstybės apsaugos priemones, saugumo užtikrinimo srityje.

Konfidencialūs duomenys– tai informacija, prie kurios prieiga yra ribojama pagal valstybės įstatymus ir kitus teisės aktus, kuriuos įmonės nustato savarankiškai. Galima išskirti šiuos konfidencialių duomenų tipus:

• Asmens konfidencialūs duomenys: Informacija apie piliečio privataus gyvenimo faktus, įvykius ir aplinkybes, leidžianti nustatyti jo tapatybę (asmens duomenys), išskyrus informaciją, kuri federalinių įstatymų nustatytais atvejais gali būti skleidžiama žiniasklaidoje. Vienintelė išimtis yra žiniasklaidoje skleidžiama informacija.
• Paslaugos konfidencialūs duomenys: Oficiali informacija, prie kurios prieigą riboja vyriausybės institucijos pagal Rusijos Federacijos civilinį kodeksą ir federalinius įstatymus (tarnybinės paslaptys).
• Konfidencialūs teismo duomenys: Dėl teisėjų, teisėsaugos ir reguliavimo institucijų pareigūnų valstybinės apsaugos. Dėl nukentėjusiųjų, liudytojų ir kitų baudžiamojo proceso dalyvių valstybinės apsaugos. Informacija, esanti nuteistųjų asmens bylose, taip pat informacija apie priverstinį teismo veiksmų, kitų įstaigų ir pareigūnų aktų vykdymą, išskyrus informaciją, kuri yra viešai prieinama pagal 2007 m. spalio 2 d. federalinį įstatymą N 229-FZ „Dėl vykdymo procedūrų“.
• Komerciniai konfidencialūs duomenys: visų rūšių informacija, kuri yra susijusi su komercija (pelnu) ir kurios prieinamumą riboja įstatymai arba informacija apie išradimo, naudingo modelio ar pramoninio dizaino esmę, kol įmonė oficialiai paskelbia informaciją apie juos (slapti plėtojimas, gamyba technologijos ir kt.).
• Profesionalūs konfidencialūs duomenys: Informacija, susijusi su profesine veikla, prie kurios prieinamumas ribojamas pagal Rusijos Federacijos konstituciją ir federalinius įstatymus (medicinos, notaro, advokato-kliento konfidencialumas, korespondencijos, telefoninių pokalbių, pašto siuntų, telegrafinių ar kitų pranešimų konfidencialumas ir kt. įjungta)

Asmeninė informacija

Asmens duomenų valdytojas yra- valstybės įstaiga, savivaldybės įstaiga, juridinis ar fizinis asmuo, savarankiškai ar kartu su kitais asmenimis, organizuojančiais ir (ar) vykdančiais asmens duomenų tvarkymą, taip pat nustatančiais asmens duomenų tvarkymo tikslus, tvarkomų asmens duomenų sudėtį. , su asmens duomenimis atliekami veiksmai (operacijos).

Asmens duomenų tvarkymas- bet koks veiksmas (operacija) ar veiksmų (operacijų) visuma, atliekama naudojant automatizavimo priemones arba nenaudojant tokių priemonių su asmens duomenimis, įskaitant rinkimą, įrašymą, sisteminimą, kaupimą, saugojimą, išaiškinimą (atnaujinimą, keitimą), išgavimą, naudojimą, asmens duomenų perdavimas (platinimas, teikimas, prieiga), nuasmeninimas, blokavimas, ištrynimas, sunaikinimas.

Teisė tvarkyti asmens duomenis yra įtvirtinta teisės aktuose dėl vyriausybinių institucijų, federaliniuose įstatymuose ir Roskomnadzor arba FSTEC išduotose licencijose dirbti su asmens duomenimis.

Įmonės, kurios profesionaliai dirba su įvairiausių žmonių asmeniniais duomenimis, pavyzdžiui, virtualių serverių prieglobos įmonės ar telekomunikacijų operatoriai, turi patekti į registrą, kurį tvarko Roskomnadzor.

Pavyzdžiui, mūsų virtualių serverių priegloba VPS.HOUSE veikia pagal Rusijos Federacijos teisės aktus ir pagal Federalinės ryšių, informacinių technologijų ir masinių komunikacijų priežiūros tarnybos licencijas Nr. 139322, 2015 m. gruodžio 25 d. Telematinio ryšio paslaugos) ir 2015 m. gruodžio 25 d. Nr. 139323 (Duomenų perdavimo ryšių paslaugos, išskyrus ryšio paslaugas, skirtas duomenų perdavimui, siekiant perduoti balso informaciją).

Remiantis tuo, bet kuri svetainė, turinti vartotojo registracijos formą, kurioje nurodoma ir vėliau tvarkoma su asmens duomenimis susijusi informacija, yra asmens duomenų operatorius.

Atsižvelgiant į įstatymo 7 str Nr. 152-FZ„Dėl asmens duomenų“ operatoriai ir kiti asmenys, turintys prieigą prie asmens duomenų, privalo neatskleisti asmens duomenų trečiosioms šalims ir neplatinti asmens duomenų be asmens duomenų subjekto sutikimo, nebent federaliniai įstatymai numato kitaip. Atitinkamai, bet kuris asmens duomenų valdytojas privalo užtikrinti reikiamą šios informacijos saugumą ir konfidencialumą.

Siekiant užtikrinti informacijos saugumą ir konfidencialumą, būtina nustatyti, kokios yra informacijos laikmenų rūšys, prie kurių gali būti atvira ir uždara prieiga. Atitinkamai, priklausomai nuo laikmenos tipo, parenkami ir apsaugos būdai bei priemonės.

Pagrindinės laikmenos:

• Spausdinta ir elektroninė žiniasklaida, socialiniai tinklai, kiti interneto ištekliai;
• Organizacijos darbuotojai, turintys prieigą prie informacijos pagal savo draugiškus, šeimyninius ir profesinius ryšius;
• Ryšio priemonės, kuriomis perduodama ar saugoma informacija: telefonai, automatinės telefonų stotys, kita telekomunikacijų įranga;
• Visų rūšių dokumentai: asmeniniai, tarnybiniai, valstybiniai;
• Programinė įranga kaip savarankiškas informacijos objektas, ypač jei jos versija buvo modifikuota specialiai konkrečiai įmonei;
• Elektroninė laikmena, kuri automatiškai apdoroja duomenis.

Informacijos saugumo priemonių klasifikacija

Pagal 2006 m. liepos 27 d. federalinį įstatymą Nr. 149-FZ(su 2017 m. liepos 29 d. pakeitimais) „Dėl informacijos, informacinių technologijų ir informacijos apsaugos“ 7 straipsnio 1 dalis ir 4 punktas:

1. Informacijos apsauga atstovauja teisinių, organizacinių ir techninių priemonių priėmimas, siekiama:

• Saugumas informacijos apsauga nuo neteisėtos prieigos, sunaikinimo, keitimo, blokavimo, kopijavimo, teikimo, platinimo, taip pat nuo kitų neteisėtų veiksmų, susijusių su tokia informacija;
• Laikymasis ribotos prieigos informacijos konfidencialumas;
• Įgyvendinimas teisės susipažinti su informacija.

• Prevencija neteisėtas prieigos prie informacijos ir (ar) jos perdavimas asmenims, neturintiems teisės susipažinti su informacija;
• Laiku aptikimas neteisėtos prieigos prie informacijos faktai;
• Įspėjimas neigiamų pasekmių galimybė pažeidus prieigos prie informacijos tvarką;
• Nepriėmimas poveikis techninėms informacijos apdorojimo priemonėms, dėl ko sutrinka jų veikimas;
• Galimybė nedelsiant atsigavimas informacija, pakeista ar sunaikinta dėl neteisėtos prieigos prie jos;
• Pastovus kontrolė informacijos saugumo lygio užtikrinimas;
• Suradimas Rusijos Federacijos teritorijoje – informacijos duomenų bazės, kurių pagalba renkami, registruojami, sisteminami, kaupiami, saugomi, tikslinami (atnaujinami, keičiami), gaunami Rusijos Federacijos piliečių asmens duomenys. 7 punktas, įtrauktas į 2014 m. liepos 21 d. federalinį įstatymą Nr. 242-FZ).

1. Teisinis lygis užtikrina valstybės standartų laikymąsi informacijos apsaugos srityje ir apima autorių teises, dekretus, patentus ir pareigybių aprašymus.
   Gerai sukurta apsaugos sistema nepažeidžia vartotojo teisių ir duomenų tvarkymo standartų.
2. Organizacinis lygis leidžia kurti taisykles, kaip vartotojai dirba su konfidencialia informacija, atrinkti personalą, organizuoti darbą su dokumentais ir duomenų laikmenomis.
   Taisyklės, kaip vartotojai dirba su konfidencialia informacija, vadinamos prieigos kontrolės taisyklėmis. Taisykles nustato įmonės vadovybė kartu su saugos tarnyba ir apsaugos sistemą diegiančiu tiekėju. Tikslas – sudaryti sąlygas kiekvienam vartotojui pasiekti informacijos išteklius, pavyzdžiui, teisę skaityti, redaguoti ar perduoti konfidencialų dokumentą.
   Prieigos kontrolės taisyklės rengiamos organizaciniu lygmeniu ir įgyvendinamos darbo su sistemos techniniu komponentu etape.
3. Techninis lygis sutartinai skirstomi į fizinę, aparatinę, programinę ir matematinę (kriptografinę).

Informacijos saugumo priemonės

Neformalios informacijos saugumo priemonės

Teisinis pagrindas ( teisėkūros priemones) informacijos saugumą užtikrina valstybė. Informacijos apsaugą reglamentuoja tarptautinės konvencijos, Konstitucija, federaliniai įstatymai „Dėl informacijos, informacinių technologijų ir informacijos apsaugos“, Rusijos Federacijos įstatymai „Dėl saugumo“, „Dėl ryšių“, „Dėl valstybės paslapčių“ ir įvairūs poįstatyminiai aktai.

Be to, kai kurie iš išvardytų įstatymų buvo nurodyti ir aptarti aukščiau kaip teisinis informacijos saugumo pagrindas. Šių įstatymų nesilaikymas kelia grėsmę informacijos saugumui, galinčią sukelti rimtų pasekmių, už kurias savo ruožtu yra baudžiama pagal šiuos įstatymus, įskaitant baudžiamąją atsakomybę.

Valstybė taip pat nustatys atsakomybės už informacijos saugumo srities teisės aktų nuostatų pažeidimus mastą. Pavyzdžiui, Rusijos Federacijos baudžiamojo kodekso 28 skyriuje „Nusikaltimai kompiuterinės informacijos srityje“ yra trys straipsniai:

• 272 straipsnis „Neteisėta prieiga prie kompiuterinės informacijos“;
• 273 straipsnis „Kenkėjiškų kompiuterių programų kūrimas, naudojimas ir platinimas“;
• 274 straipsnis „Kompiuterinės informacijos saugojimo, apdorojimo ar perdavimo priemonių ir informacinių bei telekomunikacijų tinklų eksploatavimo taisyklių pažeidimas“.

Šių aspektų poveikiui sumažinti reikalingas organizacinių, teisinių ir organizacinių bei techninių priemonių kompleksas, kuris panaikintų arba sumažintų grėsmių konfidencialia informacijai galimybę.

Šioje administracinėje ir organizacinėje informacijos apsaugos veikloje saugos pareigūnams yra erdvės kūrybiškumui.

Tai yra architektūriniai ir planavimo sprendimai, leidžiantys apsaugoti posėdžių sales ir vadovybės biurus nuo pasiklausymo, bei skirtingų prieigos prie informacijos lygių nustatymas.

Personalo veiklos reguliavimo požiūriu bus svarbu įforminti užklausų dėl prieigos prie interneto, išorinio elektroninio pašto ir kitų išteklių sistemą. Atskiras elementas bus elektroninio skaitmeninio parašo gavimas, siekiant padidinti finansinės ir kitos informacijos, kuri perduodama valstybinėms įstaigoms el. paštu, saugumą.

Moralės ir etikos link Priemonės gali būti priskiriamos visuomenėje ar tam tikroje komandoje susiformavusioms moralės normoms ar etikos taisyklėms, kurių laikymasis prisideda prie informacijos apsaugos, o jų pažeidimas prilyginamas elgesio visuomenėje taisyklių nesilaikymui ar komanda. Šios normos nėra privalomos, kaip ir teisiškai patvirtintos normos, tačiau jų nesilaikymas lemia asmens ar organizacijos autoriteto ir prestižo mažėjimą.

Oficialios informacijos saugumo priemonės

Fizinės informacijos apsaugos priemonės– tai bet kokie mechaniniai, elektriniai ir elektroniniai mechanizmai, veikiantys nepriklausomai nuo informacinių sistemų ir sukuriantys kliūtis prieiti prie jų.

Spynos, įskaitant elektronines, ekranai ir žaliuzės, yra skirtos kliūtis destabilizuojančių veiksnių kontaktui su sistemomis. Grupę papildo apsaugos sistemos, pavyzdžiui, vaizdo kameros, vaizdo registratoriai, jutikliai, aptinkantys judėjimą ar perteklinį elektromagnetinės spinduliuotės lygį toje vietoje, kur yra techninės priemonės informacijai gauti.

Aparatinės įrangos informacijos saugumas– tai bet kokie elektros, elektroniniai, optiniai, lazeriniai ir kiti įrenginiai, įmontuoti į informacines ir telekomunikacijų sistemas: specialūs kompiuteriai, darbuotojų stebėjimo sistemos, serverių apsauga ir įmonių tinklai. Jie užkerta kelią prieigai prie informacijos, įskaitant ją maskuodami.

Techninė įranga apima: triukšmo generatorius, apsaugas nuo viršįtampių, skenuojančius radijo imtuvus ir daugybę kitų įrenginių, kurie „blokuoja“ galimus informacijos nutekėjimo kanalus arba leidžia juos aptikti.

Informacijos saugos programinė įranga– tai paprastos ir sudėtingos programos, skirtos su informacijos saugumo užtikrinimu susijusioms problemoms spręsti.

Sudėtingų sprendimų pavyzdžiai yra DLP sistemos ir SIEM sistemos.

DLP sistemos("Duomenų nutekėjimo prevencija" pažodžiui reiškia "užkirsti kelią duomenų nutekėjimui"), padeda užkirsti kelią nutekėjimui, iš naujo suformatuoti informaciją ir nukreipti informacijos srautus.

SIEM sistemos(„Saugumo informacijos ir įvykių valdymas“, o tai reiškia „Įvykių ir informacijos saugos valdymas“) teikia realiu laiku saugumo įvykių (pavojaus signalų), kylančių iš tinklo įrenginių ir programų, analizę. SIEM atstovauja programos, įrenginiai ar paslaugos, taip pat naudojamas duomenims registruoti ir ataskaitoms generuoti, kad būtų galima suderinti kitus verslo duomenis.

Programinės įrangos įrankiai yra reiklūs aparatūros įrenginių galiai, o diegimo metu būtina numatyti papildomų rezervų.

Matematinė (kriptografinė)– kriptografinių ir stenografinių duomenų apsaugos metodų įgyvendinimas saugiam perdavimui įmonės ar pasauliniu tinklu.

Kriptografija laikoma vienu patikimiausių duomenų apsaugos būdų, nes ji apsaugo pačią informaciją, o ne prieigą prie jos. Kriptografiškai konvertuota informacija turi didesnį saugumo laipsnį.

Kriptografinės informacijos apsaugos priemonių įdiegimas apima aparatinės ir programinės įrangos komplekso sukūrimą, kurio architektūra ir sudėtis nustatoma atsižvelgiant į konkretaus kliento poreikius, teisės aktų reikalavimus, paskirtas užduotis ir reikiamus metodus bei šifravimo algoritmus.

Tai gali būti šifravimo programinės įrangos komponentai (šifravimo paslaugų teikėjai), VPN organizavimo įrankiai, identifikavimo įrankiai, raktų ir elektroninių skaitmeninių parašų generavimo ir tikrinimo įrankiai.

Šifravimo įrankiai gali palaikyti GOST šifravimo algoritmus ir užtikrinti reikiamas kriptografinės apsaugos klases, atsižvelgiant į reikiamą apsaugos laipsnį, reguliavimo sistemą ir suderinamumo su kitomis sistemomis, įskaitant išorines sistemas, reikalavimus. Tuo pačiu metu šifravimo įrankiai suteikia apsaugą visam informacijos komponentų rinkiniui, įskaitant failus, katalogus su failais, fizines ir virtualias laikmenas, visus serverius ir duomenų saugojimo sistemas.

Baigiant antrąją dalį, trumpai išnagrinėjus pagrindinius informacijos apsaugos būdus ir priemones bei informacijos klasifikavimą, galima teigti: Dar kartą pasitvirtina seniai žinoma tezė, kad informacijos saugumo užtikrinimas yra visuma. priemonių, apimančių visus apsaugos informacijos aspektus, kurių kūrimas ir teikimas turi būti vertinamas kruopščiausiai ir rimčiausiai.

„Auksinės taisyklės“ turi būti griežtai laikomasi ir jokiu būdu negalima jos pažeisti – tai integruotas požiūris.

Norėdami vizualiau pavaizduoti informacijos saugos priemones, būtent kaip nedalomą priemonių rinkinį, jos pateiktos žemiau 2 paveiksle, kurios kiekviena plytelė žymi informacijos apsaugą tam tikrame segmente; nuimkite vieną iš plytelių ir apsaugokite iškils grėsmė.

2 pav. Informacijos saugumo priemonių klasifikacija.