Безпека інформаційних систем

Цінність інформації та важливість її захисту.

Безпека інформаційних систем на підприємстві.

Інформаційна політика – комплекс взаємодоповнюючих заходів по захисту інформації на підприємстві.

Три основні складові:

F нормативно правові засоби. Визначаються законодавчими актами держави, які регламентують правила використання, обробки та передачі інформації обмеженого доступу та встановлюють ступінь відповідальності та встановлюють ступінь відповідальності за порушення цих правил.

F сукупність адміністративних заходів.

F спеціальне обладнання та програмне забезпечення. вибір повинен здійснюватися для конкретної інформаційної системи.

Інструкція з безпеки систем.

Визначення з політики безпеки:

ПБ – це формальний виклад правил, які повинні дотримуватися особи, що одержують доступ до корпоративних та інформації.

Три етапи побудови політики безпеки:

Ø Реєстрація усіх ресурсів, які повинні бути захищені. (Сервер баз даних, севери різних служб, прикладне програмне забезпечення, утиліти, лістінги коду програм, персонал. документація, магнітні та оптичні носії інформації).

Ø аналіз та створення списків можливих загроз для кожного ресурсу (несанкціонований доступ до ресурсу або інформації, ненавмсне розкриття інформації, відмова в обслуговуванні користувачів інформаційної системи тими чи іншими видами сервісів, різні види атак, віруси. трояни, засоби пригальмовування обміну даними в мережах, природні катаклізми).

Ø оцінка ймовірності появи кожної загрози (в результаті аналізувсі можливі загрози класифікуються на малонебезпечні, небезпечні та критичні для цієї інформаційної системи). На останньому етапі здійснюється вибір загроз, від яких буде реалізовуватися захист. Визначаючи загрози для яких буде створюватися захист, необхідно брати до уваги і затрати на їх реалізацію. Витрати на захист мають бути адекватні можливим наслідкам цієї загрози з врахуванням можливості її появи.

Безпека даних практично в кожній інформаційній системі суттєво залежить і від використання джерел безперебійного живлення, і від наявності надійних резервниїх копій. Резервне копіювання – один з найбільш ефективних способів, що дозволяє застрахувати від втрати даних, причиною якої є збої апаратного забезпечення та природні катаклізми.

Сервіси безпеки та механізми іх порушень

Сервіс безпеки – це сукупність механізмів, процедур та інших заходів управління для зменшення ризиків, пов’язаних із загрозою втрати або розкриття даних.

Основними сервісами безпеки є:

ü сервіс автентифікації. Автентифікація – процедура перевірки чи є користувач, який входить в систему тим, за кого він себе видає. Якщо користувач успішно пройшов ідентифікацію (вказає ім’я, що є зареєстроване в системі) та вертифікацію (ввів пароль, що відповідає цьому імені), автентифікація закінчена. Кожному користувачеві, який пройшов процедуру автентифікації, надаються певні права доступу до ресурсів системи. Серед альтернативних методів автентифікації варто зазначити біометричні. В наш час вони стають поширеними не лише у надсекретних організаціях, а й в системах масового використання.

ü Сервс конфіденційності. Конфіденційність означає, що доступ до інформації може бути наданий тільки тим суб’єктам. що мають на це право. Для конфіденційності використовують шифрування даних.

ü Сервіс цілісності. Цей сервіс забезпечує захист від навмисної або випадкової зміни даних, він дозволяє виявити факт зміни, часткового вилучення чи доповнення даних.

ü Сервіс дотримання зобов’язань. Гарантує. що учасники інформаційного обміну не зможуть заперечити факт своєї участі в ньому. Цей сервіс може бути реалізовано за рахунок використання електронного підпису.

В залежності від профілю інформаційної системи на першому місті можуть бути різні вимоги.

Механізм порушень безпеки даних.

Æ Роз’єднання. Ресурс системи знищується або стає недоступним для використання. Прицьому порушуєтьсядоступність даних;

Æ Перехоплення. До ресурсу відкривається несанкціонований доступ. В цьому випадку порушується конфіденційність даних.

Æ Модифікація. До ресурсу не тільки відкривається несанкціонований доступ, зловмисник може також може змінити ресурс. В такому випадку порушується цілісність даних. Адресат може сприймати модифікований адресатом файл як оригінал.

Æ Фальсифікація. Зловмисником в систему вноситься підставний об’єкт. В цій ситуаціїпорушується автентичність.

Шифрування даних.

Унеможливити читання даних сторонніми особами дозволяють процедури шифруваня.

Шифрування – це перетворення даних у форму. що не дає можливості безпосереднього сприйняття зашифрованої інформації.

Шифрування виконується за допомогою криптографічного ключа, з використанням ключа здійснюється і зворотна процедура дешифрування, за допомогою якої відбувається приведення зашифрованої інформації до первинного варіанта.

Криптографія – це наука засекречування інформації, тобто перетворення її у форму, яка недоступна для прочитання без наявності ключа.

Якщо відправник і одержувач користуються одним і тим же ключем, тобто для шифрування і дешифрування використовується один ключ, то така методика шифрування називається симетричною криптографією.

Для зберігання ключів існують і апаратні засоби. Це мініатюрні пристрої, серед яких найбільш поширені пластикові смарт-картки, що приєднуються до USB-портів комп’ютерів. Пристрої для зберігання ключів можуть використовуватися і для збюерігання паролів.

Асиметрична криптографія передбачає використання для шифрування і дешифрування двох різних ключів. Для шифрування використовують загальний клюк, інша назва, відкритий. Цей ключ не є таємним. Загальний ключ повинен бути відомим усім, хто хоче відправити зашифроване повідомлення. Дешифрування може бути здійснене тільки з використанням таємного ключа. Загальний (відкритий) та таємний (закритий ключ) зв’язані між собою математичною функцією.

Сучасні системи захисту інформації часто поєднують симетричну та асиметричну схеми шифрування.

Цифровий підпис.

Алгоритми асиметричного шифрування можуть використовуватися для створення цифрових підписів. Ідея використання цифрового підпису базується на двох фундаментальних положеннях:

§ таємний ключ захищений і доступ до нього має тільки власник;

§ єдиний спосіб створити цифровий підпис – це використати секретний ключ.

В режимі шифрування даних відкритий ключ використовується для шифрування даних, а закритий – для дешифрування. В режимі створення цифрового підпису – навпаки: на етапі шифрування використовується таємний ключ, а на етапі дешифрування – відкритий.

Оскільки відкритий ключ є вільно доступним, то будь-хто зможе прочитати інформацію, зашифровану таємним ключем. Це не дає можливості засекретити дані, проте дозволяє засвідчити цілісність змісту повідомлення.

Електронний підпис – це будь-який знак або процедура, реалізовані електронними засобами та призначені для зв’язування запису з зобов’язаннями або завірення справжності запису.

Читайте також:

<== попередня сторінка	\|	наступна сторінка ==>
Критерії оцінки ефективності професійної діяльності психолога у спорті.	\|	Принцип систематичності (регулярності).

Не знайшли потрібну інформацію? Скористайтесь пошуком google:

Генерація сторінки за: 0.005 сек.