Построение системы безопасности ИС

Для обеспечения безопасности информации в личных компьютерах, особенно в офисных системах и компьютерных сетях, проводятся различные мероприятия, объединяемые понятием "система защиты информации".

Система защиты информации – это совокупность организационных (административных) и технологических мер, программно-технических средств, правовых и морально-этических норм, направленных на противодействие угрозам нарушителей с целью сведения до минимума возможного ущерба пользователям и владельцам системы.

Организационно-административные средства защиты сводятся к регламентации доступа к информационным и вычислительным ресурсам, функциональным процессам систем обработки данных, к регламентации деятельности персонала и др. Их цель – в наибольшей степени затруднить или исключить возможность реализации угроз безопасности. Наиболее типичные организационно-административные меры:

· создание контрольно-пропускного режима на территории, где располагаются ЭВМ и другие средства обработки информации;

· мероприятия по подбору персонала, связанного с обработкой данных;

· хранение магнитных и иных носителей информации, представляющих определенную тайну, а также регистрационных журналов в сейфах, не доступных для посторонних лиц;

· организация зашиты от установки прослушивающей аппаратуры в помещениях, связанных с обработкой информации;

· разграничение доступа к информационным и вычислительным ресурсам должностных лиц в соответствии с их функциональными обязанностями.

Технические средства защиты призваны создать некоторую физически замкнутую среду вокруг объекта и элементов защиты. В этом случае используются такие мероприятия, как:

· установка средств физической преграды защитного контура помещений, где ведется обработка информации (кодовые замки; охранная сигнализация – звуковая, световая, визуальная без записи и с записью на видеопленку);

· ограничение электромагнитного излучения путем экранирования помещений, где происходит обработка информации, листами из металла или специальной пластмассы;

· осуществление электропитания оборудования, обрабатывающего ценную информацию, от автономного источника питания или от общей электросети через специальные сетевые фильтры;

· использование автономных средств защиты аппаратуры в виде кожухов, крышек, дверец, шторок с установкой средств контроля вскрытия аппаратуры.

Программные средства и методы защиты активнее и шире других применяются для защиты информации в персональных компьютерах и компьютерных сетях, реализуя такие функции защиты, как разграничение и контроль доступа к ресурсам; регистрация и анализ протекающих процессов, событии, пользователей; предотвращение возможных разрушительных воздействий на ресурсы; криптографическая защита информации, т.е. шифровка данных и др. К отдельной группе мер по обеспечению сохранности информации и выявлению несанкционированных запросов относятся программы обнаружения нарушений в режиме реального времени. Программы данной группы формируют специальный сигнал при регистрации действий, которые могут привести к неправомерным действиям по отношению к защищаемой информации. Сигнал может содержать информацию о характере нарушения, месте его возникновения и другие характеристики. Кроме того, программы могут запретить доступ к защищаемой информации или стимулировать такой режим работы, который позволит выявить нарушителя и задержать его соответствующей службой.

Технологические средства защиты информации – это комплекс мероприятий, органично встраиваемых в технологические процессы преобразования данных. Среди них:

· создание архивных копий носителей;

· ручное или автоматическое сохранение обрабатываемых файлов во внешней памяти компьютера;

· регистрация пользователей компьютерных средств в журналах;

· автоматическая регистрация доступа пользователей к тем или иным ресурсам;

· разработка специальных инструкций по выполнению все технологических процедур и др.

К правовым и морально-этическим мерам и средствам защиты относятся действующие в стране законы, нормативные акты, регламентирующие правила обращения с информацией и ответственность за их нарушение; нормы поведения (сложившиеся в виде устава или неписаные), соблюдение которых способствует защите информации. Примером действующих законодательных актов в Российской Федерации, которыми регламентированы цивилизованные юридические и моральные отношения в сфере информационного рынка, являются законы РФ "Об информации, информатизации и защите информации" от 20.02.1995 г.; "О правовой охране программ для ЭВМ и баз данных" от 09.07.1993 г. и др.; примером предписаний морально–этического характера – Кодекс профессионального поведения членов Ассоциации пользователей ЭВМ США.