Тема 2. 1. Введение. Задачи системы защиты информации

Вопросам информационной безопасности сегодня уделяется большое внимание, как со стороны правительства нашей страны, так и со стороны представителей современного бизнес-сообщества.

В последнее время Россия принимает активное участие в процессах международной интеграции. Основой современной интеграции является своевременный и оперативный обмен информацией между участниками этого процесса. За последние 10 лет Правительство Российской Федерации уделяет значительное внимание этому вопросу.

Основополагающим документом является принятая в 2000 году «Доктрина информационной безопасности». Данный документ определяет основные направления развития политики безопасности, разработки целевых программ, а так же национальные интересы Российской федерации в информационной сфере и направления их реализации.

Немаловажным элементом этого процесса является обеспечение приемлемого уровня защиты информационных ресурсов при организации обработки, хранения и передачи информации между участниками информационного обмена.

Определений состояния информационной безопасности можно найти довольно много. Для определенности мы будем пользоваться определением [1].

Структурно, современную систему информационной безопасности можно представить как взаимодействие нескольких уровней, включающих в себя физическую защиту, правовое обеспечение, программно-аппаратные решения. Обобщенно элементы представлены на рисунке.

Под информационной безопасностью мы будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

Защита информации – это комплекс мероприятий, направленных на обеспечение информационной безопасности [1].

Уязвимость — недостаток в системе, используя который, можно нарушить её целостность и вызвать неправильную работу. Уязвимость может быть результатом ошибок программирования, недостатков, допущенных при проектировании системы, ненадежных паролей, вирусов и других вредоносных программ, скриптовых, а также SQL-инъекций.

Таким образом, мы можем выделить две важных характеристики:

1. Трактовка понятие информационной безопасности может существенно меняться в зависимости от объекта защиты. В качестве примера можно рассмотреть требования к защищенности для военно-промышленных объектов, банков и интернет порталов.

2. Понятие информационная безопасность включает в себя не только обеспечение решения вопросов защиты информации при обработке в информационных системах, но так же обеспечение физической защиты элементов таких систем.

Таким образом, обеспечение состояния защищенности является проблемой требующей комплексного решения. Общая защищенность системы определяется защищенностью наиболее слабого элемента.

Любая информационная система существует в определенном информационном окружении. Общепринято считать это окружение враждебным. По различного рода источникам [2] время необходимое для взлома незащищенной системы составляет от 5 до 20 минут. с момента подключения к информационным системам общего доступа, например к wi-fi точкам доступа в кафе, аэропортах, или системам проводного доступа внутриквартальных сетей. Перечень угроз, уязвимостей сегодня существенно меняется каждый год и как следствие оказывает значительное влияние на системы защиты информации, их конфигурацию и элементную базу.

Следует так же отметить, что все передовые технологии, такие как web 2.0 или VoIp, являются фактически основными объектами для изучения и поиска неисправленных ошибок позволяющих получить управление сетевым устройством или вызвать отказ в обслуживании. Данная ситуация является следствием возрастающей сложности современных систем и требует пристального внимания. Все выше сказанное показывает, что защита информации является процессом, который требует ежедневного контроля и многофакторного анализа.

Определим информационную базу, позволяющую нам при создании и эксплуатации систем защиты информации (СЗИ) принимать обоснованные и адекватные решения вновь возникающих задач.

Как мы понимаем в основе любого процесса или проекта лежит необходимость получения, какого либо экономического эффекта. Имеет ли смысл создавать систему защиты информации стоимостью 1 млн. руб. для защиты объекта стоимостью в 1000 руб.? Очевидно, что нет.

В определении информационной безопасности вводится понятие неприемлемого ущерба. Определение неприемлемости всецело возлагается на собственника информационного ресурса. Тем не менее, вопрос оценки стоимостного выражения возможного ущерба, требуется для определения структуры будущей системы. Решением данного вопроса занимается дисциплина «управление рисками». Применение аппарата к задачам информационной безопасности позволяет существенно снять неопределенность в выборе возможных способов реализации проекта.

При создании СЗИ принято выделять три основных параметра защищенности информационного ресурса:

1. Обеспечение конфиденциальности — субъективно определяемая характеристика (свойство) информации, указывающая на необходимость введения ограничений на круг субъектов, имеющих доступ к данной информации, и обеспечиваемая способностью информационной системы (среды) сохранять указанную информацию в тайне от субъектов, не имеющих полномочий на право доступа к ней. Распространенным примером конфиденциальной информации являются различного рода пароли, используемые при авторизации в информационных системах. Фактически раскрытие этой информации как следствие несет реализацию таких угроз как отказ от авторства, компрометация информационной системы.

2. Доступность — состояние информации (ресурсов автоматизированной информационной системы), при котором субъекты, имеющие право доступа, могут реализовывать их беспрепятственно. Решающую роль эта характеристика играет в системах оперативного управления, realtime системах, где перебои в доступе могут плачевно сказаться на имидже организации или привести к серьезным последствиям.

3. Целостность — свойство информационной полноты, условие того, что информация не была изменена при выполнении любой операции над ними, будь то передача, хранение или представление. Этот параметр является важнейшим в системах поддержки принятия решений, автоматического управления. Рецептура лекарств, предписанные медицинские процедуры, набор и характеристики комплектующих изделий, ход технологического процесса – все это примеры информации, нарушение целостности которой может оказаться в буквальном смысле смертельным. Обеспечение целостности является важнейшим элементом в системах публикации официальных документов, распространения программного обеспечения или его обновлений.

В некоторых источниках, например [3], вводятся понятия защиты от несанкционированного копирования, авторского права. Но при детальном анализе становится очевидным, что они довольно просто преобразуются в суперпозицию основных параметров защищенности. Далее мы не будем рассматривать эти производные.

Таким образом, мы видим, что проблема защиты информации в современном обществе является одной из важнейших и сводится отнюдь не к ограничению доступа к определенным ресурсам.