Курсовая работа - Информационная безопасность - файл n1.doc

Курсовая работа - Информационная безопасность
Скачать все файлы (184 kb.)

Доступные файлы (1):
n1.doc184kb.31.03.2014 06:32скачать

n1.doc

  1   2


Содержание
Введение………………………………………………………….3

  1. Концепция информационной безопасности..........................................5

    1. Концептуальная модель информационной безопасности………...10

    2. Защита информации от разрушения………………………………..13

  2. Руководящие документы, применяемые в этой области………….17

  3. Правовая защита……………………………………………………..21

Заключение……………………………………………………..28

Список используемой литературы………………………….30


Введение

Защите информации от неправомерного овладения ею отводится весьма значительное место. При этом «целями защиты информации явля­ются: предотвращение разглашения, утечки и несанк­ционированного доступа к охраняемым сведениям; предотвращение противоправных действий по унич­тожению, модификации, искажению, копированию, блокированию информации; предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы; обеспечение правового режима документированной информации как объекта собственности; защита конституционных прав граждан на сохранение личной тайны и конфи­денциальности персональных данных, имеющихся в информационных системах; сохранение государствен­ной тайны, конфиденциальности документированной информации в соответствии с законодательством; обеспечение прав субъектов в информационных процес­сах и при разработке, производстве и применении ин­формационных систем, технологий и средств их обес­печения».

Как видно из этого определения целей защиты, информационная безопасность - довольно емкая и многогранная проблема, охватывающая не только оп­ределение необходимости защиты информации, но и то, как ее защищать, от чего защищать, когда защи­щать, чем защищать и какой должна быть эта защита.

Информационная безопасность – это состояние защищенности и информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, государств».

Понимая под безопасностью состояние защищенности жизненно важных интересов личности, предприятия, государства от внутренних и внешних угроз, можно выделить и компоненты безопасности – такие, как персонал, материальные и финансовые средства и информацию.

Анализ состояния дел в сфере защиты информации показывает, что уже сложилось вполне сформировавшаяся концепция и структура защиты, основу которой составляют:

- весьма развитый арсенал технических средств защиты информации, производимых на промышленной основе;

- значительное число фирм, специализирующихся на решении вопросов защиты информации;

- достаточно четко очерченная система взглядов на эту проблему;

- наличие значительного практического опыта и другое.

И, тем не менее, как свидетельствует отечественная и зарубежная печать, злоумышленные действия над информацией не только не уменьшаются, но и имеют достаточно устойчивую тенденцию к росту.


1. Концепция информационной безопасности
Анализ состояния дел в сфере защиты информации показывает, что уже сложилась вполне сформировавшаяся концепция и структура, основу которой составляют:

И тем не менее, как свидетельствует отечествен­ная и зарубежная печать, злоумышленные действия над информацией не только не уменьшаются, но и имеют достаточно устойчивую тенденцию к росту.

Опыт показывает, что для борьбы с этой тенден­цией необходима стройная и целенаправленная орга­низация процесса защиты информационных ресурсов. Причем в этом должны активно участвовать профес­сиональные специалисты, администрация, сотрудни­ки и пользователи, что и определяет повышенную зна­чимость организационной стороны вопроса.

Опыт также показывает, что:

С учетом накопленного опыта можно определить систему защиты информации как организованную совокупность специальных органов, средств, методов и мероприятий, обеспечивающих защиту информации от внутренних и внешних угроз.

С позиций системного подхода к защите информации предъявляются определенные требования. Защита информации должна быть:

- непрерывной. Это требование проистекает из того, что злоумышленники только и ищут возможность, как бы обойти защиту интересующей их информации;

- плановой. Планирование осуществляется путем разработки каждой службой детальных планов за­щиты информации в сфере ее компетенции с уче­том общей цели предприятия (организации);

- целенаправленной. Защищается то, что должно за­щищаться в интересах конкретной цели, а не все подряд;

- конкретной. Защите подлежат конкретные данные, объективно подлежащие охране, утрата которых мо­жет причинить организации определенный ущерб;

- активной. Защищать информацию необходимо с достаточной степенью настойчивости;

- надежной. Методы и формы защиты должны на­дежно перекрывать возможные пути неправомер­ного доступа к охраняемым секретам, независимо от формы их представления, языка выражения и вида физического носителя, на котором они закреп­лены;

- универсальной. Считается, что в зависимости от вида канала утечки или способа несанкциониро­ванного доступа его необходимо перекрывать, где бы он ни проявился, разумными и достаточными средствами, независимо от характера, формы и вида информации;

- комплексной. Для защиты информации во всем многообразии структурных элементов должны применяться все виды и формы защиты в полном объеме. Недопустимо применять лишь отдельные формы или технические средства. Комплексный характер защиты проистекает из того, что защи­та — это специфическое явление, представляющее собой сложную систему неразрывно взаимосвя­занных и взаимозависимых процессов, каждый из которых в свою очередь имеет множество различ­ных взаимообусловливающих друг друга сторон, свойств, тенденций.

Зарубежный и отечественный опыт показывает, что для обеспечения выполнения столь многогран­ных требований безопасности система защиты ин­формации должна удовлетворять определенным ус­ловиям:

- охватывать весь технологический комплекс инфор­мационной деятельности;

- быть разнообразной по используемым средствам, многоуровневой с иерархической последователь­ностью доступа;

- быть открытой для изменения и дополнения мер обеспечения безопасности информации;

- быть нестандартной, разнообразной. При выборе средств защиты нельзя рассчитывать на неосве­домленность злоумышленников относительно ее возможностей;

- быть простой для технического обслуживания и удобной для эксплуатации пользователями;

- быть надежной. Любые поломки технических средств являются причиной появления неконтро­лируемых каналов утечки информации;

- быть комплексной, обладать целостностью, озна­чающей, что ни одна ее часть не может быть изъя­та без ущерба для всей системы.

К системе безопасности информации предъявля­ются также определенные требования:

- четкость определения полномочий и прав пользо­вателей на доступ к определенным видам инфор­мации;

- предоставление пользователю минимальных пол­номочий, необходимых ему для выполнения пору­ченной работы;

- сведение к минимуму числа общих для несколь­ких пользователей средств защиты;

- учет случаев и попыток несанкционированного до­ступа к конфиденциальной информации;

- обеспечение оценки степени конфиденциальной информации;

- обеспечение контроля целостности средств защи­ты и немедленное реагирование на их выход из строя.

Система защиты информации, как любая система, должна иметь определенные виды собственного обес­печения, опираясь на которые она будет выполнять свою целевую функцию. С учетом этого СЗИ может иметь:

- правовое обеспечение. Сюда входят нормативные документы, положения, инструкции, руководства, требования которых являются обязательными в рамках сферы их действия;

- организационное обеспечение. Имеется в виду, что реализация защиты информации осуществляется определенными структурными единицами, такими как: служба защиты документов; служба режима, допуска, охраны; служба защиты информации тех­ническими средствами; информационно-аналити­ческая деятельность и другими;

- аппаратное обеспечение. Предполагается широкое использование технических средств как для защи­ты информации, так и для обеспечения деятельно­сти собственно СЗИ;

- информационное обеспечение. Оно включает в себя сведения, данные, показатели, параметры, лежащие в основе решения задач, обеспечиваю­щих функционирование системы. Сюда могут вхо­дить как показатели доступа, учета, хранения, так и системы информационного обеспечения расчет­ных задач различного характера, связанных с де­ятельностью службы обеспечения безопасности;

- программное обеспечение. К нему относятся раз­личные информационные, учетные, статистические и расчетные программы, обеспечивающие оценку наличия и опасности различных каналов утечки и путей несанкционированного проникновения к ис­точникам конфиденциальной информации;

- математическое обеспечение. Предполагает ис­пользование математических методов для различ­ных расчетов, связанных с оценкой опасности тех­нических средств злоумышленников, зон и норм необходимой защиты;

- лингвистическое обеспечение. Совокупность спе­циальных языковых средств общения специалис­тов и пользователей в сфере защиты информации;

- нормативно-методическое обеспечение. Сюда вхо­дят нормы и регламенты деятельности органов, служб, средств, реализующих функции защиты информации, различного рода методики, обеспе­чивающие деятельность пользователей при выпол­нении своей работы в условиях жестких требова­ний защиты информации.

Под системой безопасности будем понимать орга­низованную совокупность специальных органов, служб, средств, методов и мероприятий, обеспечиваю­щих защиту жизненно важных интересов личности, предприятия и государства от внутренних и внешних угроз (рис. 1).

Как и любая система, система информационной безопасности имеет свои цели, задачи, методы и сред­ства деятельности, которые согласовываются по мес­ту и времени в зависимости от условий.

Удовлетворить современные требования по обеспечению безопасности предприятия и защиты его конфиденциальной информации может только система безопасности.

1.1. Концептуальная модель информационной безопасности.

Понимая информационную безопасность как «состояние защищенности информационной среды общества, обеспечивающее ее формирование, ис­пользование и развитие в интересах граждан, организаций», правомерно определить угрозы безопас­ности информации, источники этих угроз, способы их реализации и цели, а также иные условия и дей­ствия, нарушающие безопасность. При этом, есте­ственно, следует рассматривать и меры защиты ин­формации от неправомерных действий, приводящих к нанесению ущерба.

Практика показала, что для анализа такого значи­тельного набора источников, объектов и действий це­лесообразно использовать методы моделирования, при которых формируется как бы «заместитель» реальных ситуаций. При этом следует учитывать, что модель не копирует оригинал, она проще. Модель должна быть достаточно общей, чтобы описывать реальные дей­ствия с учетом их сложности.

Можно предложить компоненты модели информа­ционной безопасности на первом уровне декомпози­ции. По нашему мнению, такими компонентами кон­цептуальной модели безопасности информации могут быть следующие:


- это организованная совокупность специальных органов, служб, средств, методов и мероприятий, обеспечивающих защиту жизненно важных интересов личности, предприятия, государства от внутренних и внешних угроз.






Формирование, обеспечение и развитие органов, сил и средств обеспечения безопасности

Разработка и осуществление планов и других мер по защите интересов

Восстановление объектов защиты, пострадавших в результате противоправных действий








Цели



Пресечение

Нейтрализация

Предотвращение

Выявление

Локализация

Отражение

Уничтожение



Угроз
Рис. 1.

Объектом угроз информационной безопасности выступают сведения о составе, состоянии и деятель­ности объекта защиты (персонала, материальных и фи­нансовых ценностей, информационных ресурсов).

Угрозы информации выражаются в нарушении ее целостности, конфиденциальности, полноты и доступности.

Источниками угроз выступают конкуренты, пре­ступники, коррупционеры, административно-управ­ленческие органы.

Источники угроз преследуют при этом следующие цели: ознакомление с охраняемыми сведениями, их модификация в корыстных целях и уничтожение для нанесения прямого материального ущерба (рис. 2).

Неправомерное овладение конфиденциальной ин­формацией возможно за счет ее разглашения источ­никами сведений, за счет утечки информации через технические средства и за счет несанкционированно­го доступа к охраняемым сведениям.

Источниками конфиденциальной информации яв­ляются люди, документы, публикации, технические носители информации, технические средства обеспе­чения производственной и трудовой деятельности, продукция и отходы производства.

Основными направлениями защиты информации являются правовая, организационная и инженерно-техническая защиты информации как выразители ком­плексного подхода к обеспечению информационной безопасности.

Средствами защиты информации являются физи­ческие средства, аппаратные средства, программные средства и криптографические методы. Последние могут быть реализованы как аппаратно, программно, так и смешанно-программно-аппаратными средствами.

1.2. Защита информации от разрушения.

Одной из задач обеспечения безопасности для всех случаев пользования ПЭВМ является защита информации от разрушения, которое может произойти при подготовке и осуществлении различных восстановительных мероприятий (резервировании, создании и обновлении страховочного фонда, ведении архивов информации и других). Так как причины разрушения информации весьма разнообразны {несанкционированные действия, ошибки программ и оборудования, компьютерные вирусы и пр.), то проведение страховоч­ных мероприятий обязательно для всех, кто пользует­ся персональными ЭВМ.

Необходимо специально отметить опасность ком­пьютерных вирусов. Многие пользователи ЭВМ (ПЭВМ) о них хорошо знают, а тот, кто с ними еще не знаком, скоро познакомится. Вирус компьютерный - небольшая, достаточно сложная, тщательно состав­ленная и опасная программа, которая может само­стоятельно размножаться, переносить себя на дис­ки, прикрепляться к чужим программам и переда­ваться по информационным сетям. Вирус обычно создается для нарушения работы компьютера различ­ными способами — от «безобидной» выдачи какого-либо сообщения до стирания, разрушения файлов. Основную массу вирусов создают люди, хулиганству­ющие программисты, в основном, чтобы потешить свое самолюбие или заработать деньги на продаже антивирусов.

Информационная безопасность


- состояние защищенности информационной среды общества от внутренних и внешних угроз, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, государства.




Ознакомление (получение)

Искажение (модификация)

Разрушение (уничтожение)

Противоправные действия, приводящие к значительному или полному разрушению информационных ресурсов

Случайные или преднамерен-ные действия, приводящие к частичному изменению содержания


Противоправное действие, не приводящее к изменению или разрушению информации



Цели

Обеспечение конфиденциальности, целостности и доступности

Рис. 2.

Антивирус - программа, обнаружива­ющая или обнаруживающая и удаляющая вирусы. Такие программы бывают специализированными и универсальными. Чем отличается универсальный антивирус от специализированного? Специализированный способен бороться только с уже написанными, работающими вирусами, а универсальный — и с еще не написанными.

К специализированным относится большинство антивирусных программ: AIDSTEST, VDEATH, SERUM – 3, ANTI-KOT, SCAN и сотни других. Каждая из них рас­познает один или несколько конкретных вирусов, ни­как не реагируя на присутствие остальных.

Универсальные антивирусы предназначены для борьбы с целыми классами вирусов. По назначению антивирусы универсального действия бывают доволь­но различны. Широкое применение находят резиден­тные антивирусы и программы-ревизоры.

И те, и другие антивирусные программы облада­ют определенными возможностями, положительными и отрицательными (недостатки) характеристиками. Специализированные при своей простоте слишком узко специализированы. При значительном разнообразии вирусов требуется такое же многообразие ан­тивирусов.

Помимо использования в интересах защиты от вирусов антивирусных программ широко используют и организационные меры безопасности. Для уменьше­ния опасности вирусных актов возможно предпринять определенные действия, которые для каждого конкрет­ного случая могут быть сокращены или расширены. Вот некоторые из таких действий:

1. Информировать всех сотрудников предприятия об опасности и возможном ущербе в случае вирусных атак.

2. Не осуществлять официальные связи с другими предприятиями по обмену (получению) программным обеспечением. Запретить сотрудникам приносить про­граммы «со стороны» для установки их в системы обработки информации. Должны использоваться толь­ко официально распространяемые программы.

3. Запретить сотрудникам использовать компью­терные игры на ПЭВМ, обрабатывающих конфиден­циальную информацию.

4. Для выхода на сторонние информационные сети выделить отдельное специальное место.

5. Создать архив копий программ и данных.

6. Периодически проводить проверку контрольным суммированием или сравнением с «чистыми» програм­мами.

7. Установить системы защиты информации на особо важных ПЭВМ. Применять специальные антивирусные средства.

Программная защита информации – это система специальных программ, включаемых в состав программного обеспечения, реализирующих функции защиты информации.

2. Руководящие документы, применяемые в этой области

Действия по защите информации от несанкционированного доступа (НСД) регламентируют Постанов­ление Правительства РФ от 15.09.93 № 912-51 «Поло­жение о государственной системе защиты информа­ции от иностранной технической разведки и от утечки по техническим каналам», а также Указы Президента РФ «О создании государственной технической комис­сии при Президенте РФ» (от 05.01.92 № 9); «О защите информационно-телекоммуникационных систем и баз данных от утечки конфиденциальной информации по техническим каналам связи» (от 08.05.93 № 644); «О ме­рах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифроваль­ных средств, а также предоставления услуг в области шифрования информации» (от 03.04.95 № 334); «Поло­жение о государственной системе защиты информа­ции в Российской Федерации».

Правовыми документами являются и государ­ственные стандарты на информационную деятель­ность с учетом обеспечения ее безопасности, в час­тности ГОСТ Р 50739-95 «СВТ. Защита от НСД к ин­формации»; ГОСТ 28147-89 «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования»; ГОСТ Р.34.10-94 «Процедуры выработки и проверки электронной под­писи на базе асимметрического криптографического алгоритма»; ГОСТ Р.34.11-94 «Функция хэширова­ния»; ГОСТР.В.50170-92 «Противодействие ИТР. Тер­мины и определения».

Опираясь на государственные правовые акты и учитывая ведомственные интересы на уровне конкрет­ного предприятия (фирмы, организации), разрабатываются собственные нормативно-правовые документы, ориентированные на обеспечение информацион­ной безопасности.

К таким документам относятся:

Указанные нормативные акты направлены на пре­дупреждение случаев неправомерного оглашения (раз­глашения) секретов на правовой основе, и в случае их нарушения должны приниматься соответствующие меры воздействия.

В зависимости от характера информации, ее дос­тупности для заинтересованных потребителей, а так­же экономической целесообразности конкретных за­щитных мер могут быть избраны следующие формы защиты информации:

Существуют определенные различия между автор­ским правом и коммерческой тайной. Авторское право защищает только форму выражения идеи. Коммерческая тайна относится непосредственно к содержанию. Авторское право защищает от копирования независимо от конфиденциальных отношений владельцем. К авторскому праву прибегают при широкой публикации своей информации, в то время как коммерческую тайну держат в секрете.

Помимо вышеизложенных форм правовой защиты и права принадлежности информации находит широкое распространение официальная передача права на пользование ею в виде лицензии. Лицензия – это разрешение, выдаваемое государством на проведение некоторых видов хозяйственной деятельности, включая внешнеторговые операции и предоставленные права использовать защищенные патентами изобретения, технологии, методики.

Правовые нормы обеспечения безопасности и защиты информации на конкретном предприятии (фирме, организации) отражаются в совокупности учредительных, организационных и функциональных документов.

Требования обеспечения безопасности и защиты информации отражаются в Уставе (учредительном договоре) в виде следующих положений:

- предприятие имеет право определять состав, объем и порядок защиты сведений конфиденциального характера, требовать от своих сотрудников обеспечения их сохранности и защиты от внутренних и внешних угроз;

- предприятие обязано обеспечить сохранность конфиденциальной информации.

Такие требования дают право администрации пред­приятия:

Правовое регулирование необходимо для совер­шенствования механизма предупреждения противо­правных действий по отношению к информационным ресурсам, для уточнения и закрепления задач и пра­вомочий отдельных субъектов в сфере предупреди­тельной деятельности, охраны прав и законных инте­ресов граждан и организаций.

Анализ законодательства, регулирующего деятель­ность субъектов в сфере информационной безопасно­сти, показывает наличие определенных недостатков. Существующие правовые нормы разбросаны по раз­личным нормативным актам, издававшимся в разное время, в разных условиях и на разных уровнях. Дей­ствующее законодательство не систематизировано, что создает большие трудности в его использовании на практике.

3. Правовая защита
Право – это совокупность общеобязательных правил и норм поведения, установленных или санкционированных государством в отношении определенных сфер жизни и деятельности государственных органов, предприятий (организаций) и населения (отдельной личности).

Правовая защита информации как ресурса при­знана на международном, государственном уровне и определяется межгосударственными договорами, кон­венциями, декларациями и реализуется патентами, ав­торским правом и лицензиями на их защиту. На госу­дарственном уровне правовая защита регулируется государственными и ведомственными актами (рис. 3).

В нашей стране такими правилами (актами, нор­мами) являются Конституция, законы Российской Фе­дерации, гражданское, административное, уголовное право, изложенные в соответствующих кодексах. Что касается ведомственных нормативных актов, то они оп­ределяются приказами, руководствами, положениями и инструкциями, издаваемыми ведомствами, органи­зациями и предприятиями, действующими в рамках оп­ределенных структур (рис. 4).

Современные условия требуют и определяют не­обходимость комплексного подхода к формированию законодательства по защите информации, его состава и содержания, соотнесения его со всей системой за­конов и правовых актов Российской Федерации.

Требования информационной безопасности дол­жны органически включаться во все уровни законо­дательства, в том числе и в конституционное зако­нодательство, основные общие законы, законы по организации государственной системы управления, специальные законы, ведомственные правовые акты и другие.

Первый блок — конституционное законодатель­ство. Нормы, касающиеся вопросов информатизации и защиты информации, входят в него как составные элементы.

Второй блок — общие законы, кодексы (о собствен­ности, о недрах, о земле, о правах граждан, о граждан­стве, о налогах, об антимонопольной деятельности), которые включают нормы по вопросам информатиза­ции и информационной безопасности.

Третий блок — законы об организации управле­ния, касающиеся отдельных структур хозяйства, эко­номики, системы государственных органов и опреде­ляющие их статус. Они включают отдельные нормы по вопросам защиты информации. Наряду с общими вопросами информационного конкретного органа эти нормы должны устанавливать его обязанности по формированию, актуализации и безопасности информации, представляющей общегосударственный интерес.

Четвертый блок – специальные законы, полностью относящиеся к конкретным сферам отношений, отраслям хозяйства, процессам. В их число входит и Закон РФ «Об информации, информатизации и защи­те информации». Именно состав и содержание этого блока законов и создает специальное законодательство как основу правового обеспечения информационной безопасности.

Пятый блок — законодательство субъектов Россий­ской Федерации, касающееся защиты информации.

Шестой блок — подзаконные нормативные акты по защите информации.

Седьмой блок — это правоохранительное законо­дательство России, содержащее нормы об ответствен­ности за правонарушения в сфере информатизации.

Специальное законодательство в области безопас­ности информационной деятельности может быть представлено совокупностью законов. В их составе особое место принадлежит базовому Закону «Об ин­формации, информатизации и защите информации», который закладывает основы правового определения всех важнейших компонентов информационной дея­тельности:

Этот закон определяет основы защиты информа­ции в системах обработки и при ее использовании с учетом категорий доступа к открытой информации и к информации с ограниченным доступом. Этот закон содержит, кроме того, общие нормы по организации и ведению информационных систем, включая банки дан­ных государственного назначения, порядка государ­ственной регистрации, лицензирования, сертификации, экспертизы, а также общие принципы защиты и гаран­тий прав участников информационного процесса.

В дополнение к базовому закону в мае 1992 г. были приняты Законы «О правовой охране программ для электронно-вычислительных машин и баз данных» и «О правовой охране топологии интегральных микро­схем». Оба закона устанавливают охрану соответству­ющих объектов с помощью норм авторского права, включая в перечень объектов авторского права наря­ду с традиционными базами данных топологии интег­ральных микросхем и программы для ЭВМ.

Вопросы правового режима информации с огра­ниченным доступом реализуются в двух самостоятель­ных законах о государственной и коммерческой (про­ект) тайнах. Кроме того, этот аспект раскрывается и в Гражданском кодексе РФ статьей 139 «Служебная и коммерческая тайна».


Правовая защита информации


- это специальные правовые акты, правила, процедуры и мероприятия, обеспечивающие защиту информации на правовой основе.




МЕЖДУНАРОДНОЕ ПРАВО

ВНУТРИГОСУДАРСТВЕННОЕ ПРАВО



Государственные

Ведомственные
- Договоры, конвенции,

декларации

- Патенты - Конституция - Приказы

- Авторские права - Законы (кодексы) - Руководства

- Лицензии - Указы - Положения

- Постановления - Инструкции
Рис. 3.
Структура законодательства России в

области защиты информации


  1   2
Учебный текст
© perviydoc.ru
При копировании укажите ссылку.
обратиться к администрации