Если у вас возникли сложности с курсовой, контрольной, дипломной, рефератом, отчетом по практике, научно-исследовательской и любой другой работой - мы готовы помочь.
Предоплата всего
Подписываем
екция № 8: Основные принципы информационной безопасности
Под безопасностью автоматизированной информационной системы организации (учреждения) понимается ее защищенность от случайного или преднамеренного вмешательства в нормальный процесс функционирования, а также от попыток хищения, модификации или разрушения ее компонентов. Безопасность системы достигается обеспечением конфиденциальности обрабатываемой ею информации, а также целостности и доступности компонентов и ресурсов системы.
Безопасность системы обеспечивается комплексом технологических и административных мер, применяемых в отношении аппаратных средств, программ, данных и служб с целью обеспечения доступности, целостности и конфиденциальности связанных с компьютерами ресурсов; сюда же относятся и процедуры проверки выполнения системой определенных функций в строгом соответствии с их запланированным порядком работы.
Систему обеспечения безопасности системы можно разбить на следующие подсистемы:
Потенциальные угрозы информационной безопасности
Виды угроз информационным объектам
Способы воздействия угроз на объекты информационной безопасности подразделяются на информационные, программно-математические, физические, радиоэлектронные и организационно-правовые.
1. К информационным способам относятся:
2. Программно-математические способы включают:
3. Физические способы включают:
4. Радиоэлектронными способами являются:
5. Организационно-правовые способы включают:
Рассмотрим угрозы информационной безопасности в следующей таблице.
|
Угроза |
Конфиденциальность |
Целостность |
Доступность |
Законность/ этические нормы |
|
Аппаратные сбои |
Х |
Х |
Х |
|
|
Вирусы |
Х |
Х |
||
|
Диверсии |
Х |
Х |
||
|
Излучение |
Х |
|||
|
Искажение |
Х |
Х |
||
|
Кража |
Х |
Х |
Х |
|
|
Логические бомбы |
Х |
Х |
Х |
|
|
Мошенничество |
Х |
|||
|
Небрежность |
Х |
Х |
Х |
|
|
Неправильная маршрутизация |
Х |
|||
|
Неточная или устаревшая информация |
Х |
|||
|
Ошибки программирования |
Х |
Х |
Х |
|
|
Перегрузка |
Х |
|||
|
Перехват |
Х |
|||
|
Пиратство |
Х |
Х |
Х |
|
|
Подлог |
Х |
|||
|
Пожары и другие стихийные бедствия |
Х |
|||
|
Потайные ходы и лазейки |
Х |
Х |
Х |
|
|
Препятствование использованию |
Х |
|||
|
Различные версии |
Х |
|||
|
Самозванство |
Х |
Х |
Х |
|
|
Сбор мусора |
Х |
|||
|
Сетевые анализаторы |
Х |
|||
|
Троянские кони |
Х |
Х |
Х |
|
|
Умышленное повреждение данных или программ |
Х |
|||
|
Хищение |
Х |
Негативные факторы способствующие реализации угроз информационной безопасности
Компьютерные преступления
Под компьютерным преступ лением следует понимать предусмотренные законом обществен но-опасные деяния, совершаемые с использованием средств ком пьютерной техники. Правомерно также использовать термин «ком пьютерное преступление» в широком значении как социологичес кую категорию, а не как понятие уголовного права.
Виды компьютерных преступлений:
1. несанкционированный доступ в корыстных целях к информации, хранящейся в компьютере или информационно-вычислительной сети. Несанкционированный доступ осуществляется, как правило, с использованием чужого-имени, изменением физических адресов технических устройств, использованием информации, оставшей ся после решения задач, модификацией программного и инфор мационного обеспечения, хищением носителя информации, уста новкой аппаратуры записи, подключаемой к каналам передачи данных. Бывает, что некто проникает в компьютерную систему, выдавая себя за законного пользователя. Самый простой путь его осуществления — полу чить коды и другие идентифицирующие шифры законных пользо вателей.
2. разработка и распространение компьютерных вирусов. Програм мы-вирусы обладают свойствами переходить через коммуникаци онные сети из одной системы в другую, распространяясь как ви русное заболевание;
3. ввод в программное обеспечение «логических бомб». Это такие программы, которые срабатывают при выполнении определенных условий и частично или полностью выводят из строя компьютер ную систему;
4. халатная небрежность при разработке, создании и эксплуата ции программно-вычислительных комплексов компьютерных сетей, приведшая к тяжким последствиям. Особенностью ком пьютерных систем является то, что абсолютно безошибочных про грамм в принципе не бывает. Если проект практически в любой области техники можно выполнить с огромным запасом надежно сти, то в области программирования такая надежность весьма ус ловна, а в ряде случаев почти недостижима;
5. подделка и фальсификация компьютерной информации. По-ви димому, этот вид компьютерной преступности является одним из наиболее распространенных. Он представляет собой разновидность несанкционированного доступа с той лишь разницей, что пользо ваться им может сам разработчик, причем имеющий достаточно высокую квалификацию. Идея преступления состоит в подделке выходной информации с целью имитации работоспособности боль ших систем, составной частью которых является компьютер. При достаточно ловко выполненной подделке зачастую удается сдать заказчику заведомо неисправную продукцию.
6. хищение программного обеспечения. Если «обычные» хищения подпадают под действие существующего уголовного закона, то проблема хищения программного обеспечения значительно более сложна. Значительная часть программного обеспечения в России распространяется путем кражи и обмена краденым;
7. несанкционированное копирование, изменение или уничтожение информации. При неправомерном обращении в собственность ма шинная информация может не изыматься из фондов, а копиро ваться. Следовательно, машинная информация должна быть выде лена как самостоятельный предмет уголовно-правовой охраны;
8. несанкционированный просмотр или хищение информации из бан ков данных, баз данных и баз знаний. В данном случае под базой данных следует понимать форму представления и организации со вокупности данных (например: статей, расчетов), систематизиро ванных таким образом, чтобы эти данные могли быть найдены и обработаны с помощью ЭВМ.
Приходится констатировать, что процесс компьютеризации общества приводит к увеличению количества компьютерных пре ступлений, возрастанию их удельного веса в общей доле матери альных потерь от различных видов преступлений.
Парадоксальная особенность компьютерных преступлений со стоит и в том, что трудно найти другой вид преступления, после совершения которого его жертва не выказывает особой заинтересованности в поимке преступника, а сам преступник, будучи пой ман, всячески рекламирует свою деятельность на поприще ком пьютерного взлома, мало что утаивая от представителей право охранительных органов. Психологически этот парадокс вполне объясним.
Во-первых, жертва компьютерного преступления совершенно убеждена, что затраты на его раскрытие (включая потери, поне сенные в результате утраты своей репутации) существенно пре восходят уже причиненный ущерб.
И, во-вторых, преступник приобретает широкую известность в деловых и криминальных кругах, что в дальнейшем позволяет ему с выгодой использовать приобретенный опыт.
Важнейшим и определяющим элементом криминалистической характеристики любого, в том числе и компьютерного, преступ ления является совокупность данных, характеризующих способ его совершения.
Под способом совершения преступления обычно понимают объективно и субъективно обусловленную систему поведения субъекта до, в момент и после совершения преступления, которое оставляет различного рода характерные следы, позволяющие с по мощью криминалистических приемов и средств получить представ ление о сути происшедшего, своеобразии преступного поведения правонарушителя, его отдельных личностных данных и, соответ ственно, определить оптимальные методы решения задач раскры тия преступления.
Способы совершения компьютерных преступлений:
• изъятие средств компьютерной техники;
• перехват информации;
• несанкционированный доступ;
• манипуляция данными и управляющими командами;
• комплексные методы.
К первой группе относятся традиционные способы соверше ния обычных видов преступлений, в которых действия преступни ка направлены на изъятие чужого имущества. Характерной отли чительной чертой данной группы способов совершения компью терных преступлений является тот факт, что в них средства компью терной техники всегда выступают только в качестве предмета преступного посягательства. Например, прокуратурой г. Кургана в 1997 г. расследовалось уголовное дело по факту убийства частно го предпринимателя. В ходе обыска на квартире убитого следовате лем был изъят персональный компьютер. По имеющейся опера тивной информации в памяти компьютера убитый мог хранить фамилии, адреса своих кредиторов и должников. В дальнейшем этот компьютер по решению следователя был передан в одну из ком пьютерных фирм для производства исследования содержимого его дисков памяти. В ту же ночь из помещения упомянутой компью терной фирмы путем отгиба решеток была произведена кража дан ного компьютера. В результате того, что изъятие и передача ЭВМ были произведены следователем с рядом процессуальных наруше ний, данное преступление осталось нераскрытым.
Ко второй группе относятся способы совершения компьютер ных преступлений, основанные на действиях преступника, направ ленных на получение данных и машинной информации посред ством использования методов аудиовизуального и электромагнит ного перехвата.
1. Активный перехват (interception) осуществляется с помощью подключения к телекоммуникационному оборудованию компью тера, например линии принтера или телефонному проводу канала связи либо непосредственно через соответствующий порт персо нального компьютера.
2. Пассивный (электромагнитный) перехват (electromagnetic pickup) основан на фиксации электромагнитных излучений, возникающих при функционировании многих средств компьютерной техники, включая и средства коммуникации. Так, например, излучение элек тронно-лучевой трубки дисплея можно принимать с помощью специальных приборов на расстоянии до 1000 м.
3. Аудиоперехват или снятие информации по виброакустическому каналу является опасным и достаточно распространенным спосо бом и имеет две разновидности. А) установка подслушивающего устройства в аппаратуру средств обработки ин формации. Б) установка микрофона на инженерно-технические конструкции за пределами охраняемого помещения (сте ны, оконные рамы, двери и т.п.).
4. Видеоперехват осуществляется путем использования различной видеооптической техники.
5. «Уборка мусора» (scavening) представляет собой достаточно ори гинальный способ перехвата информации. Преступником непра вомерно используются технологические отходы информационно го процесса, оставленные пользователем после работы с компью терной техникой. Например, даже удаленная из памяти и с жест ких дисков компьютера, а также с дискет информация может быть восстановлена и несанкционированно изъята с помощью специаль ных программных средств.
К третьей группе способов совершения компьютерных преступ лений относятся действия преступника, направленные на получе ние несанкционированного доступа к информации. В эту группу входят следующие способы.
1. «Компьютерный абордаж» (hacking) — несанкционированный доступ в компьютер или компьютерную сеть без права на то. Этот способ используется хакерами для проникновения в чужие информационные сети.
Преступление осуществляется чаще всего путем случайного пе ребора абонентного номера компьютерной системы с использова нием модемного устройства. Иногда для этих целей используется специально созданная программа автоматического поиска пароля. Алгоритм ее работы заключается в том, чтобы, учитывая быстро действие современных компьютеров, перебирать все возможные варианты комбинаций букв, цифр и специальных символов и в случае совпадения комбинаций символов производить автомати ческое соединение указанных абонентов.
Эксперименты по подбору пароля путем простого перебора по казали, что 6-символьные пароли подбираются примерно за 6 дней непрерывной работы компьютера. Элементарный подсчет свиде тельствует о том, что уже для подбора 7-символьных паролей по требуется от 150 дней для английского языка и до 200 дней для русского. А если учитывать регистр букв, то эти числа надо умно жить еще на 2. Таким образом, простой перебор представляется чрезвычайно трудновыполнимым.
Поэтому в последнее время преступниками стал активно ис пользоваться метод «интеллектуального перебора», основанный на подборе предполагаемого пароля, исходя из заранее определен ных тематических групп его принадлежности. В этом случае про грамме-взломщику передаются некоторые исходные данные о лично сти автора пароля. По оценкам специалистов, это позволяет бо лее чем на десять порядков сократить количество возможных ва риантов перебора символов и на столько же — время на подбор пароля.
2. «За дураком» (piggybacking). Этот способ используется преступ ником путем подключения компьютерного терминала к каналу связи через коммуникационную аппаратуру в тот момент време ни, когда сотрудник, отвечающий за работу средства компьютер ной техники, кратковременно покидает свое рабочее место, оста вляя терминал в активном режиме.
3. «За хвост» (between-the-lines entry). При этом способе съема ин формации преступник подключается к линии связи законного пользователя и дожидается сигнала, обозначающего конец рабо ты, перехватывает его и осуществляет доступ к системе.
4. «Неспешный выбор» (browsing). При данном способе совершения преступления преступник осуществляет несанкционированный доступ к компьютерной системе путем нахождения слабых мест в ее защите.
Этот способ чрезвычайно распространен среди хакеров. В Internet и других глобальных компьютерных сетях идет постоянный поиск, обмен, покупка и продажа взломанных хакерами программ. Суще ствуют специальные телеконференции, в которых проходит об суждение программ-взломщиков, вопросов их создания и распро странения.
5. «Брешь» (trapdoor entry). В отличие от «неспешного выбора», когда производится поиск уязвимых мест в защите компьютерной системы, при данном способе преступником осуществляется кон кретизация поиска: ищутся участки программ, имеющие ошибку или неудачную логику построения. Выявленные таким образом «бре ши» могут использоваться преступником многократно, пока не будут обнаружены законным пользователем.
6. «Люк» (trapdoor). Данный способ является логическим продол жением предыдущего. В месте найденной «бреши» программа «раз рывается» и преступником туда дополнительно вводится одна или несколько команд. Такой «люк» «открывается» по необходимости, а включенные команды автоматически выполняются.
Люки часто бывают оставлены самими создателями программ, иногда с целью внесения возможных изменений. Подобные «черные входы» в защищенную систему обычно имеются в любой сер тифицированной программе, но об этом не принято распростра няться вслух.
К четвертой группе способов совершения компьютерных пре ступлений относятся действия преступников, связанные с исполь зованием методов манипуляции данными и управляющими ко мандами средств компьютерной техники. Эти методы наиболее часто используются преступниками для совершения различного рода противоправных деяний.
Наиболее часто встречаются следующие способы совершения компьютерных преступлений, относящихся к этой группе:
1. «Троянский конь» (trojan horse). Данный способ заключается в тайном введении в чужое программное обеспечение специально созданных программ, которые, попадая в информационно-вычис лительные системы, начинают выполнять новые, не планировав шиеся законным владельцем действия, с одновременным сохра нением прежних функций. В соответствии со ст. 273 Уголовного кодекса Российской Федерации под такой программой понимает ся «программа для ЭВМ, приводящая к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети». По существу, «троянский конь» — это модернизация рассмотрен ного выше способа «люк» с той лишь разницей, что люк «откры вается» не при помощи непосредственных действий преступника, а автоматически, с использованием специально подготовленной для этих целей программы и без непосредственного участия само го преступника. С помощью такого способа преступники обычно отчисляют на заранее открытый счет определенную сумму с каж дой банковской операции. Возможен и вариант увеличения пре ступниками избыточных сумм на счетах при автоматическом пе ресчете рублевых остатков, связанных с переходом к коммерчес кому курсу соответствующей валюты.
2. компьютерный вирус (virus). С уголовно-правовой точки зре ния, согласно ст. 273 Уголовного кодекса РФ, под компьютерным вирусом следует понимать вредоносную для ЭВМ программу, способную самопроизвольно присоединяться к другим программам («заражать» их) и при запуске последних выполнять различные нежелательные действия: порчу файлов, искажение, стирание дан ных и информации, переполнение машинной памяти и создание помех в работе ЭВМ.
3. Компьютерное мошенни чество чаще всего осуществляется способом «подмены данных» (data digging) или «подмены кода» (code change). Это наиболее простой и поэтому очень часто применяемый способ совершения преступ ления. Действия преступников в этом случае направлены на из менение или введение новых данных, и осуществляются они, как правило, при вводе-выводе информации. Некоторые из таких способов совершения преступлений возникли и получили рас пространение только с появлением компьютеров. В качестве при мера можно привести перебрасывание на подставной счет мело чи, являющейся результатом округления (операция типа «саля ми» (salami)). Расчет построен на том, что компьютер совершает сотни тысяч операций в секунду и обрабатывает при этом сотни тысяч счетов клиентов. Заниматься подобным мошенничеством вручную не имеет никакого смысла.
4. Незаконное копирование (ти ражирование) программ с преодолением программных средств защиты предусматривает незаконное создание копии ключевой дискеты, модификацию кода системы защиты, моделирование обращения к ключевой дискете, снятие системы защиты из па мяти ЭВМ и т.п.
Не секрет, что подавляющая часть программного обеспечения, используемого в России, представляет собой пиратские копии взло манных хакерами программ. Самой популярной операционной си стемой в России является Microsoft Windows 95. По статистике, на долю этой платформы приходится свыше 77 % отечественного рынка операционных систем. Своим бесспорным успехом на российском рынке Windows 95 обязана деятельности компьютерных пиратов. По данным международной организации BSA, занимающейся воп росами охраны интеллектуальной собственности, свыше 90 % ис пользуемых в России программ установлены на компьютеры без лицензий, тогда как в США таких не более 24%.
В качестве примера незаконного тиражирования программ можно привести и компьютерную базу российского законодательства «Кон-сультантПлюс». Несмотря на постоянную работу специалистов фирмы по улучшению системы защиты, тысячи нелегальных ко пий программы имеют хождение на территории России. Послед няя, шестая версия «Консультанта», была «привязана» к дате со здания компьютера, записанной в его постоянной памяти. Однако не прошло и двух недель после выхода этой версии, как хакерами была создана программа, эмулирующая нужную дату на любом компьютере. В настоящее время желающий может найти такую про грамму в компьютерной сети Internet и с ее помощью установить на свой компьютер базу данных по законодательству, стоимость которой превышает 1000 долл. США.
Пятая группа способов — комплексные методы — включает в себя различные комбинации рассмотренных выше способов со вершения компьютерных преступлений.
Следует заметить, что рассмотренная выше классификация не является единственно возможной. Так, по международной классификации в отдельную группу принято выделять такие способы, как компьютерный саботаж с аппарат ным или программным обеспечением, которые приводят к выхо ду из строя компьютерной системы. Наиболее значительные ком пьютерные преступления совершаются посредством порчи про граммного обеспечения, причем часто его совершают работники, недовольные своим служебным положением, отношениями с ру ководством и т.д.
Примером такого компьютерного преступления может служить получивший широкую огласку случай с программистом, остано вившим главный конвейер Волжского автозавода в г. Тольятти. За нимаясь отладкой программного кода автоматизированной систе мы, управляющей подачей механических узлов на конвейер, он умышленно внес изменения в программу. В результате, после про хождения заданного числа деталей система «зависала» и конвейер останавливался. Пока программисты устраняли источник сбоев, с конвейера автозавода сошло не более двухсот машин.
Существует также ряд способов совершения преступлений, ко торые крайне сложно отнести к какой либо группе. К таким спосо бам относятся асинхронная атака, моделирование, мистификация, маскарад и т.д.
Асинхронная атака (Asynchronous attack). Сложный способ, тре бующий хорошего знания операционной системы. Используя асин хронную природу функционирования большинства операционных систем, их заставляют работать при ложных условиях, из-за чего управление обработкой информации частично или полностью на рушается. Если лицо, совершающее «асинхронную атаку», доста точно профессионально, оно может использовать ситуацию, что бы внести изменения в операционную систему или сориентиро вать ее на выполнение своих целей, причем извне эти изменения не будут заметны.
Моделирование (Simulation). Создается модель конкретной систе мы, в которую вводятся исходные данные и учитываются плани руемые действия. На основании полученных результатов методом компьютерного перебора и сортировки выбираются возможные подходящие комбинации. Затем модель возвращается к исходной точке и выясняется, какие манипуляции с входными данными нужно проводить для получения на выходе желаемого результата. В принципе, «прокручивание» модели вперед-назад может проис ходить многократно, чтобы через несколько итераций добиться необходимого итога. После этого остается осуществить задуманное на практике.
Мистификация {spoofing). Возможна, например, в случаях, ког да пользователь удаленного терминала ошибочно подключается к какой-либо системе, будучи абсолютно уверенным, что работает именно с той самой системой, с которой намеревался. Владелец системы, к которой произошло подключение, формируя правдо подобные отклики, может поддержать контакт в течение опреде ленного времени и получать конфиденциальную информацию, в частности коды пользователя и т.д.
Мотивами совершения компьютерных преступлений, как по казали исследования зарубежных и российских исследователей, яв ляются следующие:
1. корыстные соображения — 66,%;
2. политические цели — 17%;
3. исследовательский интерес — 7%;
4. хулиганство — 5%;
5. месть — 5%.
Ущерб от нарушения информационной безопасности и последствия данного ущерба
Ущерб данным можно условно разделить на два типа, это:
1. Раскрытие данных предполагает, что кому-то случайно или после целенаправленных действий стал известен смысл информации.
Этот вид нарушения встречается наиболее часто. Последствия могут быть самые разные. Очень важную информацию, тщательно оберегаемую от раскрытия, представляют сведения о людях: истории болезни, письма, состояния счетов в банках.
Обычно данные о людях наиболее важны для них самих, но, как бы это не описывали в шпионских фильмах, мало что значат для похитителей. Иногда личные данные могут использоваться для компрометации не только отдельных людей, но целых организаций, например, если выяснится скрываемая прежняя судимость за растрату директора коммерческого банка.
Основной убыток от разглашения информации - личное несчастье человека. Другое дело - раскрытие стратегической управляющей информации. Если вскрыт долгосрочный план развития производства или анализ конъюнктуры на рынке, то потери для держателя этой информации будут невелики, но для конкурентов такие сведения очень важны.
2. Искажения или уничтожение информации представляют существенно большую опасность. Во многих организациях жизненно важные данные хранятся в файлах: инвентарные описи, графики работ, списки заказов. Если такие данные будут искажены или стерты, то работа надолго парализуется.
Таким образом можно скомпрометировать бухгалтерскую или конструкторскую систему, чуть исказив десяток-другой чисел, или удалить сведения о реальном движении товара, чтобы счет за него не был выставлен. Похоже, что наиболее уязвима для искажения информация экономического характера, где потери могут быть чрезвычайно велики.
Возможные последствия ущерба информационной безопасности:
Методы защиты информации
Постепенно, по мере формирования системного подхода к проблеме обеспечения безопасности данных, возникла необходимость комплексного применения методов защиты и созданных на их основе средств и механизмов защиты. Кратко рассмотрим основные методы защиты данных.
Управление представляет собой регулирование использования всех ресурсов системы в рамках установленного технологического цикла обработки и передачи данных, где в качестве ресурсов рассматриваются технические средства, операционные системы, программы, базы данных и элементы данных.
Препятствия физически прегpаждают нарушителю путь к защищаемым данным. Организация защиты информации основывается на четырех уровнях защиты: правовом, административном, аппаратно-программном, криптографическом.
Маскировка представляет собой метод защиты данных путем их криптографического закрытия.
Регламентация как метод защиты заключается в разработке и реализации комплексов мероприятий, создающих такие условия технологического цикла обработки данных, при которых минимизируется риск несанкционированного доступа к данным. Регламентация охватывает как структурное построение информационной системы, так и технологию обработки данных, организацию работы пользователей и персонала сети.
Побуждение состоит в создании такой обстановки и условий, при которых правила обращения с защищенными данными регулируются моральными и нравственными ноpмами.
Пpинуждение включает угрозу материальной, административной и уголовной ответственности за нарушение правил обращения с защищенными данными.
Средства защиты информации
На основе перечисленных методов создаются средства защиты данных. Все средства защиты данных можно разделить на формальные и неформальные:
|
Средства защиты информации |
||||||||||||
|
Формальные |
|
Неформальные |
||||||||||
|
Технические |
Программ-ные |
Крипто-графические |
Органи-зационные |
Законо-дательные |
Морально-этические |
|||||||
|
Физические |
Аппаратные |
1. Формальные средства защиты
Фоpмальными называются такие сpедства защиты, котоpые выполняют свои функции по заранее установленным процедурам без вмешательства человека. К формальным средствам защиты относятся технические и программные средства.
К техническим средствам защиты относятся все устройства, которые предназначены для защиты данных. В свою очередь,технические средства защиты можно разделить на физические и аппаратные.
Физические средства защиты создают препятствия для нарушителей на путях к защищаемым данным, например, на территорию, на которой располагаются объекты ИВС, в помещенияс аппаратурой, носителями данных и т.п.
Физические средства защиты выполняют следущие основные функции:
Для предотвращения проникновения нарушителей на охраняемые объекты применяются следущие технические устройства:
Под аппаpатными средствами защиты понимаются специальные средства, непосредственно входящие в состав технического обеспечения ИВС и выполнящие функции защиты как самостоятельно, так и в комплексе с другими средствами.
Аппаратные средства защиты данных можно условно разбить на группы согласно типам аппаратуры, в которых они используются. В качестве таких групп рассмотрим следующие:
Пpогpаммными называются средства защиты данных, функционирующие в составе программного обеспечения средств и механизмов защиты данных. Они выполняют функции защиты данных самостоятельно или в комплексе с другими средствами защиты.
Рассмотрим классификацию программных средств защиты по функциональному назначению:
Отдельную группу фоpмальных средств составляют кpиптогpафические средства, которые реализуются в виде программных, аппаратных и программно-аппаратных средств защиты.
2. Неформальные средства защиты
Нефоpмальными называются такие средства защиты, которые реализуются в результате деятельности людей, либо регламентируют эту деятельность.
Неформальные средства включают организационные, законодательные и морально-этические меры и средства.
Под оpганизационными средствами защиты понимаются организационно-технические и организационно-правовые мероприятия, осуществляемые для обеспечения безопасности данных.
2.1.1. Мероприятия, осуществляемые пpи создании сети, обеспечивают выполнение требований защиты:
2.1.2. Меропpиятия, осуществляемые в процессе эксплуатации сети включают в себя:
2.1.3. Меропpиятия oбщего характера включают в себя:
Рассмотрим основные принципы организации работ, которые способствуют обеспечению безопасности данных:
Негативным последствием информатизации общества является появление так называемых компьютерных преступлений.
Законодательные меры позволяют сдерживать потенциальных преступников, причем под законодательными мерами понимаются законодательные акты, которыми регламентируются правила использования данных ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.
Основы такого законодательства заложены в Декларации прав и свобод гражданина, принятых Верховным Советом РФ 12 ноября 1991 года. Пункт 2 статьи 13 этой декларации гласит: "Каждый человек имеет право искать, получать и свободно распространять информацию. Ограничения этого права могут устанавливаться Законом только в целях охраны личной, семейной, профессиональной, коммерческой и государственной тайны, а также нравственности".
Данное положение дает основу для построения иерархии законов. Важнейшим из них является Закон "О государственной тайне", вступивший в действие 21 сентября 1993 года. Согласно этому закону под государственной тайной понимаются защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности РФ. Необходимо отметить, что данный Закон не рассматривает человека в качестве носителя сведений, составляющих государственную тайну.
Закон о государственной тайне устанавливает органы защиты государственной тайны, к которым относятся:
К морально-этическим ноpмам защиты относятся всевозможные нормы, которые традиционно сложились или складываются по мере развития информатизации общества. Такие нормы не являются обязательными, однако, их несоблюдение ведет, как правило, к потере авторитета, престижа человека, группы лиц или целой организации. Считается, что этические нормы оказывают положительное воздействие на персонал и пользователей.
Морально-этические нормы могут быть неписанными (например, общепринятые нормы честности, патриотизма и т.п.) и оформленными в качестве свода правил и предписаний (кодексов).
PAGE 1