Информационная безопасность

Возникновение индустрии обработки информации привело к возникновению индустрии средств защиты информации и к необходимости изучать проблемы защиты информации, проблемы информационной безопасности.

Одна из наиболее важных проблем – проблема кодирования сообщений и шифрования информации.

Проблемой защиты и скрытия информации занимается наука кpиптология (криптос – тайный, логос – наука).

Кpиптология имеет два основных напpавления – кpиптогpафию и кpиптоанализ имеющих различные цели. Кpиптогpафия разрабатывает и исследует математические методы преобразования информации, а кpиптоанализ исследует возможности расшифровки информации без ключа.

Под надежностью шифра понимается способность противостоять взлому шифра. При дешифровке сообщения может быть известно все, кроме ключа, то есть надежность шифра определяется секретностью ключа и числом его различных вариантов. Применяется даже открытая криптография, которая использует различные ключи для шифрования, а сам ключ шифрования может быть общедоступным, опубликованным. Число ключей при этом может достигать сотни триллионов.

Криптогpафическая система – семейство преобразований открытых текстов.

Электpонной (цифpовой) подписью (ЭЦП) называется присоединяемое к тексту его криптографическое преобразование, которое позволяет при получении текста проверить авторство и подлинность сообщения.

К ЭЦП предъявляются два основных требования: легкость проверки подлинности подписи; высокая сложность подделки подписи.

Разработка ключевой, парольной информации является типовой задачей администратора безопасности информационной системы.

Информационная безопасность системы – защищенность информации, актуализируемой системой от внутренних или внешних угроз, то есть обеспечение устойчивого функционирования, целостности и эволюции системы.

К защищаемой информации относятся электронные документы и спецификации, программное обеспечение, структуры и базы данных и др.

Доктрина информационной безопасности РФ определяет понятие информационной безопасности, как состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

В защищенной системе всегда есть подсистема, выполняющая функции контроля операций любого субъекта над любым объектом и для выполнения этих операций необходима дополнительная операция о степени доступа и операциях.

Степень информационной безопасности в системе определяется доступом субъектов к объектам.

Анализ потенциальных угроз информации, информационным системам является необходимым условием разработки методов, средств, стратегий защиты.

Существуют различные виды угроз информационной безопасности системы.

Наиболее распространенными являются следующие классы угроз:

• ошибки эксплуатации и изменения режима работы системы;
• преднамеренные действия;
• шпионаж, терроризм, преступные группы, хакеры;
• стихийные бедствия и аварии;
• сбой и отказ технического обеспечения системы;
• нелегальное копирование и использование лицензионных программ;
• заражение вирусами.

Для компьютерных систем и сетей наиболее распространенными видами угроз являются: неумышленные или некомпетентные действия;

• использование неизвестных игровых и других программ с вирусами;
• разглашение, передача, утрата ключей, паролей, программ;
• внесение изменения в используемую архитектуру и технологию;
• отключение, расшифровка средств и методов защиты;
• игнорирование установленных ограничений и порядка работы;
• использование некорректных данных, режимов работы, адресов и др.

Меры по безопасности информационных систем зависят от вида угрозы и среди эффективных мер можно назвать следующие:

• кодированный доступ;
• контроль паролей;
• разграничение прав и доступа;
• надежный подбор персонала;
• приоритетный доступ;
• многоуровневая обработка;
• защита данных на каждом уровне доступа;
• регулярная непрерывная проверка и анализ работы персонала;
• использование современных антивирусных пакетов.

В каждой информационной системе необходима так называемая политика безопасности, неукоснительно выполняемая система правил доступа, использования, распределения, защиты и хранения ценной информации.

Политика безопасности – всегда компромисс. При хорошей политике безопасности получаем хорошую безопасность, а при плохой политике – слабую безопасность.

Эффективная политика безопасности часто использует предысторию эволюции системы и ее связи с окружающей средой и осуществляется в реальном масштабе времени.

Политика информационной безопасности государства, должна обеспечивать решение следующих основных задач:

• обеспечение защиты национальных интересов в информационной сфере;
• координация деятельности органов государственной власти по обеспечению информационной безопасности;
• обеспечение необходимого баланса между потребностью в свободном обмене информацией и допустимыми ограничениями ее распространения;
• совершенствование информационной структуры и законодательства;
• защита государственных информационных ресурсов и др.

При определении политики безопасности в правовой информационной системе, необходимо:

• для каждого документа, объекта идентифицировать его степень секретности или определить режимы допуска;
• определять и руководствоваться сводом правил для разрешения каждому субъекту доступа к любому объекту системы;
• рассматривать каждый запрос на доступ к информации и на наличие прав доступа;
• регистрировать все события по допуску и анализировать в последующем оперативно эту информацию.

Задача защиты и структурирования, архивирования офисной и корпоративной правовой информации решается часто плохо: документация хранится в различных форматах, в различном виде, в бумажном виде, без резервных копий и т.д.

Обеспечение информационной безопасности личности означает, с одной стороны, ее право на объективную и не конфиденциальную информацию для развития и жизненных целей и, с другой стороны, - защиту человека от любого информационного воздействия, препятствующего свободному формированию и развитию его личности.

В качестве таких воздействий на личность могут выступать:

• информационное давление;
• распространение недостоверной информации;
• распространение вредной информации;
• умышленное использование неадекватного восприятия информации и др.