Виды угроз безопасности

Угрозы информационной безопасности.

Лекция 5. Информационная безопасность в БУИС

1. Угрозы информационной безопасности.

2. Методы и средства защиты информации в БУИС.

Распространение информационных технологий в ЭИС обеспечивает с одной стороны широкий доступ пользователей и высокий уровень автоматизации, а с другой стороны делает их чрезвычайно уязвимыми по отношению к деструктивным воздействиям. Так, каж­дые 20 секунд в США совершается преступление с использованием программных средств, 80% этих преступлений, расследуемых ФБР, происходит через сеть Internet. Потери от хищений или повреждений компьютерных сетей превышают по разным оценкам от 100 млн. до 40 млд. долл. в год.

Отсюда остро встает проблема защиты информации.

Защита информации – это комплекс методов и сред­ств обеспечения безопасности информации, направленные на предотвращение ее

· утечки,

· уничтожения и

· модификации.

Утечка информации - ознакомление посторон­него лица с содержанием секретной информации.

Модификация информации - несанкционированное изменение информации, кор­ректное по форме и содержанию, но другое по смыслу.

Для обеспечения безопасности информации необходима защита всех сопутствующих компонентов информационных технологий и автоматизированных систем, используемых субъектами информационных отношений:

§ оборудования (технических средств);

§ программ (программных средств);

§ данных (информации);

§ персонала.

В современных ЭИС основными каналами утечки и несанкционированного доступа к информации могут быть:

1 - носители информации (дискеты, МД, МЛ),

2 - линии и каналы связи,

3- периферийное оборудование Принтер, монитор,

4 - корзина с удаленными файлами,

5- НСД к машинограммам и др. бумажным носителям

6 - НСД к средствам загрузки программного обес­печения,

7 - НСД к информации при ремонте и профилактике аппаратуры,

Основными видами угроз безопасности информационных систем являются:

• преднамеренные действия нарушителей и злоумышленников (обиженных лиц из числа персонала, преступников, шпионов, дивер­сантов и т. п.).

Угрозы безопасности можно классифицировать по различным признакам:

1. По результатам акции:

1) угроза утечки;

2) угроза модификации;

3) угроза утраты.

2. По мотивам:

· Непреднамеренные;

· Умышленные.

Случайные (непреднамеренные) угрозы могут возникнуть в следствии:

• стихийных бедствий и аварий (наводнение, ураган, землетря­сение, пожар и т.п.);

• сбоя и отказа оборудования (технических средств) АИТУ;

• последствий ошибок проектирования и разработки компонен­тов АИС (аппаратных средств, технологии обработки информации, программ, структур данных и т. п.);

• ошибок эксплуатации (пользователей, операторов и другого персонала).

Основные причины непреднамеренных, искусственных угроз АИС:

· Невнимательность;

· нарушение регламента и игнорирования ограничений, установленных в системе;

· Некомпетентность;

· Халатность.

Умышленные угрозы — это угрозы АИС, вызванные деятельностью человека, связанные с корыстными устремлениями людей (злоумыш­ленников).

Источники угроз по отношению к информационной системе могут быть внешними или внутренними.

К сожалению результатом реализации и тех и других угроз являются одни и те же последствия: потеря информации, нарушение ее конфиденциальности, ее модификация.

Основные преднамеренные умышленные угрозы как правило направлены на:

· умышленную дезорганизацию работы системы и вывод ее из строя,

· с целью проникновения в систему и несанкциониро­ванного доступа к информации и использования ее в корыстных целях.

Умышленные угрозы в свою очередь могут подразделяться на:

3. Активные и пассивные.

Пассивные угрозы- направлены в основном на несанкционированное использование информационных ресурсов, не влекущее порчу и уничтожение информации.

Для этого используются разнообразные способы реализации:

а) применение подслушивающих устройств, дистанционная фо­то- и видеосъемка, хищение носителей и т. п.;

б) хищение носителей информации (магнитных дисков, лент, микросхем памяти, запоминающих устройств и персональных ЭВМ);

в) перехват данных, передаваемых по каналам связи, и их анализ с целью выяснения протоколов обмена, правил вхождения в связь и авторизации пользователя и последующих попыток их имитации для проникновения в систему;

г) чтение остатков информации из оперативной памяти и с внеш­них запоминающих устройств (буфер памяти принтера);

д) чтение информации из областей оперативной памяти, исполь­зуемых операционной системой (в том числе подсистемой защиты) ;

е) незаконное получение паролей и других реквизитов разграниче­ния доступа (агентурным путем, используя халатность пользователей, путем подбора, имитации интерфейса системы и т. п. с последующей маскировкой под зарегистрированного пользователя («маскарад»);

Активные угрозы - нарушение нормального функционирования системы путем целенаправленного воздействия на ее компоненты.

Способы реализации:

А) вывод из строя ПК или операционной системы;

Б) нарушение работы каналов связи;

В) взлом системы защиты;

Г) использование программных вирусов и др.

4. Внутренние и внешние угрозы.

Внутренними нарушителями могут быть лицаиз следующих ка­тегорий персонала:

§ вспомогательный и обслуживающий персонал (операторы, электрики, техники) системы;

§ сотрудники отделов разработки и сопровождения программно­го обеспечения (прикладные и системные программисты);

§ сотрудники службы безопасности АИТУ;

§ руководители различного уровня должностной иерархии.

По данным исследований , проводимых в БИС более 80% нарушений совершается служащими банка.

Посторонние лица, которые могут быть внешними нарушителями.

§ клиенты (представители организаций, граждане);

§ посетители (приглашенные по какому-либо поводу);

§ представители организаций, взаимодействующих по вопросам обеспечения жизнедеятельности организации (энерго-, водо-, теп­лоснабжение и т. п.);

представители конкурирующих организаций (иностранных спецслужб) или лица, действующие по их заданию;

Модель нарушителя

При разработке модели нарушителя необходимо:

1) выяснить к какой категории лиц, может принадлежать нарушитель;

2) понять мотивы действий нарушителя (целях, преследу­емых нарушителем);

3) предположить, какой уровень технической оснащенности был использован (методы и средства);

§ По отношению к АИС нарушители могут быть внутренними (из числа персонала системы) или внешними (посторонними лица­ми).

Можно выделить три основных мотива нарушений:

а) безответ­ственность;

б) самоутверждение;

в) корыстный интерес.

2.Методы и средства защиты

Система защиты — это совокупность (комплекс) специальных мер правового (законодательного) (административного характера, организационных мероприятий, фи­зических и технических (программно-аппаратных) средств защиты, а также специального персонала, предназначенных для обеспечения безопасности информации, информационных технологий и автоматизированной системы в целом.

В международной и Российской практике используются стандарты, позволяющие дать оценку уровня безопасности компьютерных систем.

Критерии безопасности компьютерных систем Министерства обороны США (Оранжевая книга) были разработаны в 1983г. и определяли требования к аппаратному, программному и специальному обеспечению и выработки политики безопасности в компьютерных системах военного назначения. В ней приводятся следующие уровни безопасности систем:

· Высший класс- А;

· Промежуточный класс –В;

· Низкий уровень – С;

· Класс систем, не прошедших испытания –Д.

В основе критериев оценки безопасности лежит 6 базовых требований безопасности:

Требование 1. Политика безопасности. Система должна поддерживать точно определенную политику безопасности.

Требование 2. Метки. С объектами должны ассоциироваться метки безопасности, используемые в качестве атрибутов контроля доступа.

Требование 3. Идентификация и аутентификация. Все субъекты должны иметь уникальные идентификаторы.

Требование 4. Регистрация и учет. Все события, имеющие значение с точки зрения безопасности, должны отслеживаться и регистрироваться в защищенном протоколе.

Требование 5. Контроль корректности функционирования средств защиты.

Требование 6. Непрерывность защиты.

В Европейских критериях безопасности ИТ выделяется 10 классов.

В России в 1992 г Гостехкомиссия при президенте РФ опубликовала пять руководящих документов по вопросам защиты информации от несанкционированного доступа (НСД), среди которых наиболее важные:

· «Концепция защиты средств вычислительной техники от НСД к информации.

· Автоматизированные системы. Защита от НСД к информации. Классификация автоматизированных систем и требования по защите информации.

Установлено 7 классов защищенности СВТ от НСД к информации. Самый низкий класс- седьмой, самый высокий- первый.

При этом защитные мероприятия охватывают подсистемы:

· Управления доступом;

· Регистрации и учета;

· Криптографическая;

· Обеспечение целостности;

· Законодательные меры;

· Физические меры.

Существующие в разных государствах стандарты информационной безопасности можно оценить с помощью следующих обобщенных показателей:

· Универсальность применения к информационным продуктам и технологиям;

· Гибкость, предусматривающая возможность создания специальных наборов требований, соответствующих запросам потребителей конкретного информационного продукта;

· Гарантированность- наличие гарантий адекватности системы защиты требованиям потребителей;

· Реализуемость

· Актуальность

Методы и средства обеспечения безопасности информации пока­заны на рис.2. Рассмотрим основное содержание представленных методов защиты информации, которые составляют основу механиз­мов защиты.

Препятствия - методы физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т. д.).Реализуются в виде автономных устройств и систем. Физические средства защиты:

· Механические преграды, турникеты, специальное остекление;

· Сейфы, шкафы;

· Механические, электромеханические замки с дистанционным управлением, кодовые замки;

· Датчики различного типа;

· Теле- и фотосистемы наблюдения и регистрации;

· Устройства маркировки;

· Устройства с идентификационными картами;

· Системы охранного телевидения и охранной сигнализации;

· Системы пожаротушения и оповещения и др.

Рис. 5.2 Методы и средства защиты информации в БУИС

Управление доступом - включает следующие функции защиты:

• идентификацию пользователей, персонала и ресурсов системы (присвоение каждому объекту персонального идентификатора);

• опознание (установление подлинности) объекта или субъекта по предъявленному им идентификатору;

• проверку полномочий (проверка соответствия дня недели, вре­мени суток, запрашиваемых ресурсов и процедур установленному регламенту);

• разрешение и создание условий работы в пределах установлен­ного регламента;

• регистрацию (протоколирование) обращений к защищаемым ресурсам;

• регистрацию (сигнализация, отключение, задержка работ, от­каз в запросе) при попытках несанкционированных действий. Обеспечивается аппаратными и программными средствами.

Аппаратные средства защиты- устройства, встраиваемые непосредственно в аппаратуру обработки информации:

· Регистры хранения реквизитов защиты (паролей, грифов секретности и т.п.);

· Устройства для измерения индивидуальных характеристик человека (радужная оболочка глаз, формы лица и.т.п.);

· Экранирование ЭВМ;

· Установка генератора помех и др.

Программные средства представляют собой программное обеспе­чение, специально предназначенное для выполнения функций защи­ты информации. В такую группу средств входят:

Программные средства защиты следующих классов:

1. Средства, реализуемые в в стандартных операционных системах:

· Разграничение доступа пользователей к ресурсам по паролям;

· Разграничение доступа к информации по ключам защиты и др.

2. Средства защиты в специализированных ИС:

· Идентификация пользователей и разрешение работы с информацией на определенном уровне;

· Формирование протоколов обращений к защищаемым данным с идентификацией данных о пользователе и временных характеристик;

· Физическая и программная блокировка работы пользователя при нарушении им определенной последовательности правил или действий;

· Подача сигналов при нарушении правил работы с системой;

· Ведение подробных протоколов работы системы и др.

Маскировка — метод защиты информации путем ее криптографи­ческого закрытия. Этот метод широко применяется за рубежом как при обработке, так и при хранении информации, в том числе на дис­кетах. При передаче информации по каналам связи большой протя­женности данный метод является единственно надежным. Обеспечивается программными средствами путем

· механизма шифрова­ния (криптографии - специальный алгоритм, который запускается уникальным числом или битовой последовательностью, обычно на­зываемым шифрующим ключом; затем по каналам связи передается зашифрованный текст, а получатель имеет свой ключ для дешифрова­ния информации),

· механизма электронной цифровой подписи,

· механизма контро­ля доступа,

10.01.02 принят закон РФ «Об электронной цифровой подписи» (ЭЦП), согласно которого ЭЦП- реквизит электронного документа, предназначенный для его защиты от подделки. ЭЦП признается равнозначной собственноручной подписи на бумажном носителе и выполняет следующие функции:

· удостоверяет, что подписанный текст документа исходит от лица, поставившего подпись;

· не дает права отказа от обязательств, связанных с подписанным документом или текстом;

· гарантирует целостность и неизменность подписанного документа;

ЭЦП представляет собой несколько буквенно- цифровых символов, передаваемых с электронным документом. Технология получения и проверки ЭЦП включает в себя следующие процедуры:

1) процедуру вычисления дайджеста (хеш- функции) сообщения;

2) процедуру шифровки дайджеста закрытым ключом отправителя;

3) процедуру вычисления дайджеста сообщения (хеш- функции) получателем;

4) проверку полученного дайджеста, путем расшифрования его открытым ключом;

5) Верификация- сравнение вычисленного получателем дайджеста с полученным в результате расшифрования.

Регламентация — метод защиты информации, создающий такие условия автоматизированной обработки, хранения и передачи за­щищаемой информации, при которых возможности несанкциони­рованного доступа к ней сводились бы к минимуму. Достигается путем разработки организационных мероприятий. Организационные средства защиты представляют собой организа­ционно-технические и организационно-правовые мероприятия, осу­ществляемые в процессе создания и эксплуатации вычислительной техники, аппаратуры телекоммуникаций для обеспечения защиты информации. Организационные мероприятия охватывают все струк­турные элементы аппаратуры на всех этапах их жизненного цикла (строительство помещений, проектирование компьютерной инфор­мационной системы банковской деятельности, монтаж и наладка оборудования, использование, эксплуатация).

Принуждение - метод защиты, при котором пользователи и пер­сонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материаль­ной, административной или уголовной ответственности.

Законодательные средства защиты определяются законодатель­ными актами страны, которыми регламентируются правила пользо­вания, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.

К настоящему времени насчитывается свыше 1000 нормативных актов различного уровня, регулирующих правоотношения в области создания, распространения, обработки, хранения и использования информации и правоотношения в области создания и эксплуатации информационных систем.

Закон РФ «Об информации, информатизации и защите информации подразделяет информацию по уровню доступа на следующие категории:

· Общедоступная;

· Открытая информация;

· Информация о гражданах (персональные данные);

· Конфиденциальная информация- сведения, определяемые общим понятием тайна. В действующих сегодня законах встречается более 30 видов тайн. Их перечень упорядочен законом РФ «О государственной тайне» и подзаконным актом – Указом президента РФ № 188 от 06.03.97г.

О последствиях разглашения государственной тайны прописано в Гражданском Кодексе РФ, Уголовном Кодексе РФ, Трудовом Кодексе РФ.

Побуждение — метод защиты, который побуждает пользователя и персонал системы не нарушать установленный порядок за счет соблюдения сложившихся моральных и этических норм (как регламентированных, так и неписаных).

Морально-этические средства защиты реализуются в виде все­возможных норм, которые сложились традиционно или складыва­ются по мере распространения вычислительной техники и средств связи в обществе. Эти нормы большей частью не являются обязатель­ными как законодательные меры, однако несоблюдение их обычно ведет к потере авторитета и престижа человека. Наиболее показатель­ным примером таких норм является Кодекс профессионального по­ведения членов Ассоциации пользователей ЭВМ США.

Все рассмотренные средства защиты разделены на формальные (выполняющие защитные функции строго по заранее предусмотрен­ной процедуре без непосредственного участия человека) и неформаль­ные (определяются целенаправленной деятельностью человека либо регламентируют эту деятельность).

3. Принципы проектирования системы защиты

Защита информации в ЭИС должна основываться на следую­щих основных принципах:

1) системности;

2) комплексности;

3) не­прерывности защиты;

4) разумной достаточности;

5) гибкости уп­равления и применения;

6) открытости алгоритмов и механизмов защиты;

7) простоты применения защитных мер и средств.

При проектировании существенное значение придается предпроектному обследованию объекта. На этой стадии:

§ устанавливается наличие секретной (конфиденциальной) информации в разрабатываемой ЭИС, оценивается уровень ее конфиденциальности и объем;

§ определяются режимы обработки информации (диалоговый, телеобработка и режим реального времени), состав комплекса технических средств и т. д.;

§ анализируется возможность использования имеющихся на рынке сертифицированных средств защиты информации;

§ определяется степень участия персонала, функциональных служб, специалистов и вспомогательных работников объекта авто­матизации в обработке информации, характер их взаимодействия между собой и со службой безопасности;

§ определяются мероприятия по обеспечению режима секретно­сти на стадии разработки.

Для построения эффективной системы защиты необходимо провести следующие работы:

1) определить угрозы безопасности информации;

2) выявить возможные каналы утечки информации и несанкцио­нированного доступа (НСД) к защищаемым данным;

3) построить модель потенциального нарушителя;

4) выбрать соответствующие меры, методы, механизмы и сред­ства защиты;

5) построить замкнутую, комплексную, эффективную систему защиты, проектирование которой начинается с проектирования самих автоматизированных систем и технологий.

Этапы проектирования системы защиты:

Первый этап- анализ объекта защиты с целью определить, что защищать;

Второй этап- выявление угроз;

Третий этап- анализ эффективности действующей системы защиты;

Четвертый этап- разработка дополнительных мер защиты;

Пятый этап- согласование с руководителями разработанных мероприятий;

Шестой этап- реализация мероприятий, контроль за их исполнением.

Литература:

1. Алан Р. С. Стратегические технологии баз данных: менеджмент на 2000 г. Пер. с англ./Под ред. Когаловского М.Р.- М.-: Финансы и статистика, 1999. -479 с.

2. Балдин К.В., Уткин В.Б. Информационные системы в экономике.М.:ИТК «Дашков и К» , 2005.- 393 с.

3. Берхин Б.Н. Свод хозяйственных операций предприятия М: 1С: «Паблишинг», Аналитик-Пресс 2003.- 752 с.

4. Бойко В.В., Савинков В.М. Проектирование баз данных информационных систем. –М.: Финансы и статистика, 1989.- 438 с.

5. Брыкова Н.В. Автоматизация бухгалтерского учета: Лабораторный практикум.- М.:ПрофОбрИздат, 2002.- 217с.

6. Гаврилова Т.А., Черевинская К.Р. Извлечение и структурирование знаний для экспертных систем. – М.: Радио и связь, 1992.- 286 с.

7. Гусева А.И. Работа в локальных сетях NETWARE 312-41. – М.: Финансы и статистика, 1995.- 361 с.

8. Диго С.М. Проектирование и использование баз данных. – М.: Финансы и статистика, 1995.- 249 с.

9. Дик В.В. Информационные системы в экономике. – М.: Финансы и статистика, 1996.- 392 с.

10. Евдокимов В.В. и др.Экономическая информатика.–СПб.:Питер, 1997.-684 с.

11. Информационное обеспечение интегрированных производственных систем. / Под ред. Александрова В.В. – Л.: Машиностроение, 1986.- 423 с.

12. Информационная система Кодекс для WINDOWS. / Руководство пользователя. - С-Петербург, 1997.- 164 с.

13. Землянский, А.А. Информационные технологии в экономике. – М.:КолосС,2004.-336с.

14. Зонова, А.В., Киселев, В.Г., Ясенев, В.Н. Информационная система управления деятельностью предприятия с использованием программного комплекса «Галактика»: Учебно-практическое пособие /Под общ. ред. В.Н.Ясенева. – Н.Новгород: Нижегородский государственный университет им. Н.И.Лобачевского, 2002. – 131с.

15. Ильина О.П. Информационные технологии бухгалтерского учета.- С-Пб.: Питер, 2001.- 684 с.

16. Информационные технологии управления: Учебник / Под ред. проф. Г.А.Титоренко.- М.:"Комптютер", Изд. объединение "ЮНИТИ", 2003.- 438 с.

17. Информационные системы в экономике: Учебник/ Под ред. В.В.Дика.- М.: Финансы и статистика,1996.-95с.

18. Информационные системы и технологии в экономике: Учебник под ред. В.И. Лойко.- М.: Финансы и статистика, 2003.- 416 с.

19. Карлберг, Конрад. Бизнес анализ с помощью Excel 2000: Пер.с англ. - М.: Издательский дом «Вильямс», 2001.- 480 с.

20. Комаров В.Ф. Управленческие имитационные игры. – Новосибирск: Наука, 1989.- 358 с

21. Компьютерные системы и сети: Учебник / Под peд. В.П. Косарева и Л.В. Еремина. - М: Финансы и статистика, 1999. – 287 с.

22. Коноплева И.А., Хохлова О.А., Денисов А.В Информационные технологии. – М:Проспект, 2007.- 294 с.

23. Костров А.В. Основы информационного менеджмента.-М:Финансы и статистика, 2004.- 336 с.

24. Компьютерные сети: Пер. с англ. Учебный курс.-М.: Русская редакция, 1998.-659с.

25. Лудкок Дж. Современные информационные технологии совместной работы / Пер. с англ. – М.: Издательско-торговый дом "Русская Редакция", 1999.- 375 с.

26. Макарова Н.В. Информатика. – М.: Финансы и статистика, 1997.- 732 с.

27. Мельников В.В. Безопасность информации в автоматизированных системах.-М.: Финансы и статистика, 2003. – 368с.:ил.

28. Меняев М.Ф. Информационные технологии управления : Книга 3: Системы управления организацией. – М: Омега-Л, 2003.- 464 с.

29. Митичкин С.А. Разработка в системе 1С:Предприятие 8.0.- М.: ООО «1С-Паблишинг»,2003.-413с.

30. Мишенин А.И. Теория информационных систем. – М.: Финансы и статистика, 2004.- 287 с

31. Морозевич А.Н. Основы экономической информатики. – Мн.: БГЭУ, 1998.- 326 с.

32. Патрушина С.М. Информационные системы в бухгалтерском учете: Учебное пособие. –Москва: ИКЦ «МарТ». Ростов-на-Дону: Издательский центр «МарТ», 2003.-368с.

33. Подольский В.И., Уринцов А.И. и др. Информационные системы бухгалтерского учета. – М.: Аудит, ЮНИТИ, 2005.- 255 с

34. Семенов М.И., Лойко В.И., Барановская Т.П., Трубин А.И. Информационные системы и технологии в экономике.- М: Финансы и статистика, 2004.,

- 412с.

35. Титоренко Г.А. Компьютеризация банковской деятельности. – М.: ЮНИТИ., 1997.- 304 с

36. Федорова Г.В. Информационные технологии бухгалтерского учета, анализа и аудита.- М: Омега-Л, 2004.- 303 с.

37. Харитонов С.А. Технология учета в программе 1С:Бухгалтерия 8.0.- М: 1С-паблишинг, 2005.- 411 с.

38. Харитонов С.А. Компьютерная бухгалтерия 7.7 с новым планом счетов. – М.: Элби СПб, 2002.- 461 с

39. Харитонов С.А. Информационные технологии налогового учета. - М: ЗАО 1С, 2002.- 202 с.

40. Чистов Д.В. Хозяйственные операции в компьютерной бухгалтерии 7.7. – М.,2003.-362 с.

41. Чистов Д.В. Хозяйственные операции в компьютерной бухгалтерии 7.7 (новый план счетов). – М: АОЗТ «1С», 2002.- 616 с.

42. Шуремов Е.Л. и др. Автоматизированные информационные системы бухгалтерского учета, анализа, аудита.- М: Перспектива, 2002.- 362 с.

43. Шуремов Е.Л. Компьютерный учет и анализ эффективности торговых операций. – М.:Перспектива, 2002.- 245 с.