7.3. Методы и средства защиты информации в информационных системах

Методы и средства защиты информации в автоматизированных информационных системах представлены на рис. 7.4.

Рис. 7.4. Методы и средства защиты информации

Рассмотрим основное содержание методов защиты информации в автоматизированной системе.

145

Препятствие - метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.п.).

Управление доступом - регулирование использования ресурсов ЭИС потребителями и обслуживающим персоналом. При этом реализуются следующие функции:

• идентификация пользователей, персонала и ресурсов системы (присвоение уникального кода-идентификатора каждому объекту);

• установление подлинности (аутентификация) объекта по предъявленному им идентификатору (например, предъявление паролей);

• проверка полномочий (проверка соответствия дня недели, запрашиваемых ресурсов и процедур установленному регламенту);

• разрешение и создание условий работы в пределах установленного регламента;

• регистрация (протоколирование) обращений к защищаемым ресурсам;

• реагирование (сигнализация, отключение, задержка работ, отказ в запросе) при попытках несанкционированных действий.

Маскировка - метод защиты информации путем ее криптографического закрытия. Защищаемые данные преобразуются в зашифрованную форму, не позволяющую постороннему лицу раскрыть содержание исходных данных. Для этого используются специальные алгоритмы преобразования цифровых кодов исходного сообщения в коды криптограммы, реализуемые программным, аппаратным или программно-аппаратным способом. Санкционированный пользователь может выполнить обратное преобразование криптограммы, получив исходные данные в их первоначальном виде. Шифрование и расшифровка сообщения выполняется на основе уникального числа, называемого ключом. Метод криптографического закрытия широко используется при хранении информации и при ее передаче по каналам связи и передачи данных.

Регламентация - создание таких условий для обработки, хранения и передачи защищаемой информации, при которых возможности несанкционированного доступа к ней сводятся к минимуму.

Принуждение - создание условий, при которых пользователи и персонал системы вынуждены соблюдать правила обработки, передачи и использования

146

защищаемой информации (угроза материальной, административной или .уголовной ответственности).

Побуждение - создание условий, побуждающих пользователей и персонал системы не нарушать установленные порядки (традиции организации, моральные и этические нормы).

Рассмотрим возможные средства защиты в автоматизированной информационной системе.

Физическими средствами защиты называются механические, электронно-механические или электромеханические устройства и сооружения, специально предназначенные для создания физических препятствий на пути к защищаемой информации (замки на дверях, решетки на окнах, оборудование контрольно-пропускных пунктов, системы охранной сигнализации и т. п.).

Аппаратными средствами защиты являются различные электронные устройства, которые включаются в состав технического обеспечения системы и выполняют (самостоятельно или в комплексе с другими средствами) некоторые функции защиты. К настоящему времени в зарубежных системах применяется значительное число различных аппаратных средств практически во всех структурных элементах автоматизированных систем: терминалах, устройствах группового ввода-вывода данных, центральных процессорах, внешней памяти, периферийном оборудовании.

Программными средствами защиты называются специальные программы, входящие в состав программного обеспечения системы, которые способны осуществлять функции защиты. Программные средства ввиду их универсальности, сравнительной простоты реализации и гибкости являются важнейшей и непременной частью механизма защиты современных автоматизированных систем. Программы защиты принято делить на группы в соответствии с выполняемыми ими функциями:

• программы идентификации, опознания (терминала, пользователя);

• программы регулирования работы (технических средств, пользователей, задач, элементов баз^: данных);

• программы разграничения доступа (к задачам, программам, элементам баз данных);

• программы криптографического закрытия информации;

147

• программы защиты программ (ОС, СУБД, программ пользователей);

• вспомогательные программы уничтожения остаточной информации, форматирования грифа секретности выдаваемых документов, ведения регистрационных журналов, имитации работы с нарушителем (для отвлечения его внимания), тестового контроля механизма защиты и др.

В настоящее время все более широко применяется такое программное средство защиты информации, как электронная (цифровая) подпись. Механизм электронной подписи основан на криптографических алгоритмах шифрования и включает две процедуры: формирование подписи отправителем и ее опознавание (верификацию) получателем. Первая процедура формирует двоичную последовательность (число) на основе содержания сообщения и секретного ключа, известного только отправителю. Это число передастся по сети вместе с сообщением и расшифровывается получателем с помощью другого ключа, известного всем пользователям данного уровня конфиденциальности. Электронная подпись особенно важна для защиты юридической значимости электронных документов (передаваемых по сети приказов, платежных поручений, контрактов и других финансовых, договорных, распорядительных документов). Особенность таких электронных документов заключается в том, что в случае возникновения споров (в том числе и судебных) должна быть обеспечена возможность доказательства истинности того факта, что автор действительно фиксировал акт своего волеизъявления в отчуждаемом электронном документе.

Организационными средствами защиты называются организационно-технические и организационно-правовые мероприятия, осуществляемые в процессе создания и эксплуатации системы. Эти мероприятия должны проводиться на всех стадиях жизненного цикла ЭИС и охватывать все компоненты системы (помещения, технические и программные средства и т.п.).

К законодательным средствам защиты относятся законодательные акты страны, которыми регламентируются правила использования и обработки информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил. В России в настоящее время разработан ряд законов, имеющих отношение к информационной безопасности вообще и защите автоматизированных информационных систем в частности: «О государственной

тайне», «О федеральных органах правительственной связи и информации», «Об участии в международном информационном обмене», «Об авторском праве и смежных правах», «О правовой охране программ для ЭВМ и баз данных», «Об информации, информатизации и защите информации», «Об электронной цифровой подписи», «О коммерческой тайне» (в проекте).

К морально-этическим средствам защиты относятся всевозможные нормы, которые сложились традиционно или складываются по мере распространения ЭВМ в стране или обществе. Эти нормы большей частью не являются обязательными, однако несоблюдение их ведет обычно к потере авторитета, престижа человека или организации. Наиболее показательным примером таких корм является Кодекс профессионального поведения членов американской Ассоциации пользователей ЭВМ.

Все рассмотренные средства защиты делятся на формальные и неформальные. Формальными считаются такие средства, которые выполняют свои защитные функции строго формально, т.е. по заранее предусмотренной процедуре и без непосредственного участия человека. К неформальным средствам отнесены такие, которые либо определяются целенаправленной деятельностью людей, либо регламентируют (непосредственно или косвенно) эту деятельность.