Предыдущая страница реферата | 18  19  20  21  22  23  24  25  26  27  28 | Следующая страница реферата

Кроме вероятности осуществления важен размер потенциального ущерба. Например, пожары бывают нечасто, но ущерб от каждого из них, как правило, велик. Оценивая тяжесть ущерба, необходимо иметь в виду не только непосредственные расходы на замену оборудования или восстановление информации, но и более отдаленные, в частности подрыв репутации, ослабление позиций на рынке и т.п.

Слабости обладают свойством притягивать к себе не только злоумышленников, но и относительно честных людей. Поэтому, оценивая вероятность осуществления угроз, целесообразно исходить не только из среднестатистических данных, но учитывать также специфику конкретных информационных систем.

Уничтожение информации называется санацией. Имеется три метода уничтожения: перезапись, размагничивание и разрушение носителя. Если речь идет о данных на магнитных носителях, то для санации вполне достаточно тройной перезаписи случайными последовательностями бит. После этого даже с помощью специальной аппаратуры прочитать первоначальную информацию невозможно.

Управление персоналом

Управление персоналом начинается с приема нового сотрудника на работу и даже раньше - с составления описания должности. Уже на этом этапе желательно привлечение специалиста по информационной безопасности для определения компьютерных привилегий, ассоциируемых с должностью. Существует два общих принципа, которые следует иметь в виду:

•разделение обязанностей,

•минимизация привилегий.

Принцип разделения обязанностей предписывает так распределять роли и ответственность, чтобы один человек не смог нарушить критически важный для организации процесс.

Принцип минимизации привилегий предписывает выделять пользователям только те права доступа, которые необходимы им для выполнения служебных обязанностей. Назначение этого принципа очевидно - уменьшить ущерб от случайных или умышленных некорректных действий пользователей.

Предварительное составление описания должности позволяет оценить ее критичность и спланировать процедуру проверки и отбора кандидатов. Чем критичнее должность, тем тщательнее нужно проверять.

С момента заведения системного счета начинается его администрирование, а также протоколирование и анализ действий пользователя. Постепенно изменяется окружение, в котором работает пользователь, его служебные обязанности и т.п. Все это требует соответствующего изменения привилегий.
Определенную аккуратность следует соблюдать при выдаче новых постоянных полномочий, не забывая изымать старые права доступа.

Ликвидация системного счета пользователя, особенно в случае конфликта между сотрудником и организацией, должна производиться максимально оперативно - в идеале это должно происходить одновременно с извещением о наказании или увольнении. Возможно и физическое ограничение доступа к рабочему месту. Если сотрудник увольняется, у него нужно принять все его компьютерное хозяйство и, в частности, криптографические ключи, если использовались средства шифрования.

Проблема обучения - одна из центральных с точки зрения информационной безопасности. Если сотрудник не знаком с политикой безопасности своей организации, он не сможет стремиться к достижению сформулированных в ней целей. Если он не знает мер безопасности, он не будет их соблюдать.
Напротив, если сотрудник знает, что его действия протоколируются, он, возможно, воздержится от нарушений.

Физическая защита

Безопасность компьютерной системы зависит от окружения, в котором она работает. Необходимо принять меры для защиты зданий и прилегающей территории, поддерживающей инфраструктуры и самих компьютеров.
Существуют следующие направления физической защиты:

•физическое управление доступом;

•противопожарные меры;

•защита поддерживающей инфраструктуры;

•защита от перехвата данных;

•защита мобильных систем;

Меры физического управления доступом позволяют контролировать и при необходимости ограничивать вход и выход сотрудников и посетителей.
Контролироваться может все здание организации и, кроме того, отдельные помещения, например те, где расположены серверы, коммуникационная аппаратура и т.п. Средства физического управления доступом известны давно - это охрана, двери с замками, перегородки, телекамеры, датчики движения и многое другое.

Крайне необходимо установить противопожарную сигнализацию и автоматические средства пожаротушения.

К поддерживающей инфраструктуре можно отнести системы электро-, водо- и теплоснабжения, кондиционеры, средства коммуникаций. В принципе к ним применимы те же требования целостности и доступности, что и к информационным системам. Для обеспечения целостности нужно защищать оборудование от краж и повреждений. Для поддержания доступности целесообразно выбирать оборудование с максимальным временем наработки на отказ, дублировать ответственные узлы, всегда иметь под рукой запчасти.

Отдельную проблему составляют аварии водопровода. Они происходят нечасто, но чреваты серьезными материальными потерями. При размещении компьютеров разумно принять во внимание расположение водопроводных и канализационных труб и постараться держаться от них подальше. Сотрудники должны знать, куда следует обращаться при обнаружении протечек.

Перехват данных может осуществляться самыми разными способами: подсматриванием за экраном монитора, чтением пакетов, передаваемых по локальной сети, улавливанием стука иголок матричного принтера или кнопок на клавиатуре, анализом побочных электромагнитных излучений и наводок (ПЭМИН).
Некоторые способы перехвата данных, например анализ ПЭМИН, относительно доступны и дешевы, а бороться с ними трудно и дорого.

Поддержание работоспособности

Нечаянные ошибки системных администраторов и пользователей грозят повреждением аппаратуры, разрушением программ и данных, а "в лучшем случае" облегчают реализацию угроз.

Недооценка факторов безопасности в повседневной работе - ахиллесова пята многих организаций. Дорогие средства безопасности теряют смысл, если они плохо документированы, конфликтуют с другим программным обеспечением, а пароль системного администратора не менялся с момента установки.

Можно выделить следующие направления повседневной деятельности:

•поддержка пользователей;

•поддержка программного обеспечения;

•конфигурационное управление;

•резервное копирование;

•управление носителями;

•документирование;

•регламентные работы.

Поддержка пользователей состоит прежде всего в консультировании и в оказании помощи при решении разного рода проблем. Очень важно в потоке вопросов уметь выявлять проблемы, связанные с информационной безопасностью.
Целесообразно записывать вопросы пользователей, чтобы выявлять их типичные ошибки и выпускать памятки с рекомендациями для наиболее распространенных ситуаций.

Поддержка программного обеспечения - одно из важнейших средств обеспечения целостности информации. Прежде всего, необходимо контролировать, какое программное обеспечение выполняется на компьютерах.
Если пользователи могут устанавливать программы по своему усмотрению, это чревато заражением вирусами, а также появлением утилит, действующих в обход защитных средств. Например, на любой персональный компьютер, подключенный к сети Ethernet, можно установить программу - сетевой анализатор, позволяющую отслеживать весь сетевой трафик. Обладатель такой программы может довольно быстро "выловить" пароли других пользователей и системных администраторов, получив тем самым по существу неограниченный доступ к сетевым ресурсам.

Второй аспект поддержки программного обеспечения - контроль за отсутствием неавторизованного изменения программ и прав доступа к ним. Сюда же можно отнести поддержание эталонных копий программных систем. Обычно контроль достигается комбинированием средств физического и логического управления доступом, а также использованием утилит проверки и поддержания целостности.

Конфигурационное управление позволяет контролировать и фиксировать изменения, вносимые в программную конфигурацию. Прежде всего, необходимо застраховаться от случайных или непродуманных модификаций, уметь как минимум возвращаться к прошлой, работающей версии. Далее, фиксация изменений позволит легко восстановить текущую версию после аварии.
Технологию конфигурационного управления необходимо применять и к изменениям в аппаратуре.

Резервное копирование необходимо для восстановления программ и данных после аварий. Здесь целесообразно автоматизировать работу, как минимум, сформировав компьютерное расписание выполнения полных и инкрементальных копий, а как максимум, воспользовавшись безлюдной технологией фирмы Hewlett-
Packard. Необходимо также наладить размещение копий в безопасном месте, защищенном от пожаров и иных угроз.

Время от времени в тестовых целях следует проверять возможность восстановления информации с копий.

Управление носителями служит для обеспечения физической защиты и учета дискет, лент, печатных выдач и т.п. Управление носителями должно обеспечить конфиденциальность, целостность и доступность информации, хранящейся вне компьютерных систем. Под физической защитой здесь понимается не только отражение попыток несанкционированного доступа, но и предохранение от вредных влияний окружающей среды: жары, холода, влаги, магнетизма.
Управление носителями должно охватывать весь жизненный цикл дискет и лент - от закупки до выведения из эксплуатации.

К управлению носителями можно отнести и контроль потоков данных, выдаваемых на печать. Необходимо сочетать различные механизмы информационной безопасности. Программные средства позволяют направить конфиденциальные данные на определенный принтер, но только меры физической защиты способны гарантировать отсутствие посторонних у этого принтера.

Документирование - неотъемлемая часть информационной безопасности. В виде документов оформляется почти все - от политики безопасности до журнала учета дискет. Важно, чтобы документация была актуальной, отражала текущее, а не прошлое состояние дел, причем отражала в непротиворечивом виде.

Регламентные работы - очень серьезная угроза безопасности. Лицо, осуществляющее регламентные работы, получает исключительный доступ к системе, и на практике очень трудно проконтролировать, какие именно действия совершаются. Здесь на первый план выходит степень доверия к тем, кто выполняет работы.

2. Методика реализации политики безопасности КЮИ МВД РФ.

Для реализации политики безопасности Краснодарского юридического института МВД РФ мной была предложена следующая схема действий (рис 7).

На первом этапе, в соответствии с организационно-штатной структурой учреждения, выявляются основные информационные потоки и узлы рациональной обработки информации, а так же объемы хранимой информации в них, степень ее секретности.

На втором этапе выявляются все уязвимые звенья в системе информационной безопасности института и каналы утечки информации при ее обработке на ПЭВМ. Тщательно проверяются кадры института, связанные с контролем за соблюдением режима секретности и интегрированной системой обработки данных. При необходимости на данную категорию лиц производится оформление допуска к секретным работам по соответствующим формам. По окончании данных мероприятий анализируются следующие каналы утечки информации: несанкционированное чтение с экранов мониторов; несанкционированный доступ к винчестеру; просмотр текста при его печати;

Рекомендуем скачать другие рефераты по теме: социальные реферат, реферати українською.





Предыдущая страница реферата | 18  19  20  21  22  23  24  25  26  27  28 | Следующая страница реферата