актуальные вопросы защиты информации в автоматизированных системах
В статье рассматриваются некоторые актуальные вопросы защиты информации в автоматизированных системах (АС), делается вывод о необходимости создания комплексной системы защиты информации.
В современном мире информация стала одним из наиболее мощных рычагов экономического развития. Владение информацией необходимого качества в нужное время и в нужном месте является залогом успеха во многих видах деятельности. Монопольное обладание определенной информацией оказывается зачастую решающим преимуществом в конкурентной борьбе.
Однако, при достаточно большом многообразии проведенных исследований, сделанных разработок, предложенных программ, международных стандартов в этой области, с уверенностью можно сказать, что универсального средства защиты информации на сегодняшний день не создано.
Приведенные в работах Мельникова В.В. «Безопасность информации в автоматизированных системах.» и Партыка Т. Л., Попова И. И. «Информационная безопасность. Учебное пособие для студентов учреждений среднего профессионального образования» понятия защищенной системы опираются на так называемые "Критерии оценки безопасности компьютерных систем" (Trusted Computer System Evaluation Criteria, TCSEC) – стандарт Министерства обороны США, разработанный и опубликованный в 1983 г. В соответствии с этим документом защищенной считается система, которая при использовании аппаратных и программных средств управляет доступом к информации так, что только должным образом авторизованные лица или же действующие от их имени процессы получают право читать, писать, создавать и удалять информацию. Однако о завершенности защиты в конкретном средстве вычислительной техники, по мнению Мельникова, можно говорить лишь тогда, когда созданная и принятая заказчиком система безопасности информации тесно связана с определенной информационной технологией, с ее индивидуальной обработкой и управлением в организации потребителе.
Анализ литературы показывает, что практически все авторы выделяют три основных вида угроз безопасности: раскрытия, целостности, отказа в обслуживании.
Угроза раскрытия в настоящее время сильно возросла из-за значительного уменьшения объемно-массовых показателей носителей информации и широкого распространения персональных ЭВМ.
Угроза целостности включает в себя любое умышленное изменение данных. Обычно считается, что угрозе раскрытия подвержены в большей степени государственные структуры, а угрозе целостности, которая в настоящее время наиболее эффективно устраняется за счет использования электронной подписи на основе несимметричных криптографических алгоритмов, – деловые или коммерческие. В локальных вычислительных сетях (ЛВС) наиболее частыми являются именно угрозы раскрытия и целостности.
В глобальных на первое место выходит угроза отказа в обслуживании, которая возникает, когда в результате определенных действий блокируется доступ к некоторому ресурсу вычислительной системы.
Сегодня достаточно четко прослеживается тенденция, свидетельствующая о том, что производители отказались от чисто программных реализаций систем защиты. Программные средства в крупных компаниях, работающих в сфере информационных технологий, выступают сегодня лишь как источник информации, которая в реальном масштабе времени анализируется должностным лицом (специалистом по безопасности информации). На основании этого анализа делается вывод о существовании угрозы безопасности и принимаются соответствующие меры по предотвращению этой угрозы.
Говоря о системах безопасности будущего, нужно отметить, что они должны не только и не столько ограничивать допуск пользователей к программам и данным, сколько определять и делегировать их полномочия в совместном решении задач, выявлять аномальное использование ресурсов, прогнозировать аварийные ситуации и устранять их последствия, гибко адаптируя структуру в условиях отказов, частичной потери или длительного блокирования ресурсов.
Не стоит, однако, забывать об экономической целесообразности применения тех или иных мер обеспечения безопасности информации, которые всегда должны быть адекватны существующим угрозам.
Параллельно с развитием средств вычислительной техники и появлением все новых способов нарушения безопасности информации развивались и совершенствовались средства защиты. Необходимо отметить, что более старые виды атак никуда не исчезают, а новые только ухудшают ситуацию. Существующие сегодня подходы к обеспечению защиты информации несколько отличаются от существовавших на начальном этапе. Главное отличие современных концепций в том, что сегодня не говорят каком-то одном универсальном средстве защиты, а речь идет о комплексной системе защиты информации, включающей в себя:
- нормативно-правовой базис защиты информации;
- средства, способы и методы защиты;
- органы и исполнителей.
Другими словами, на практике защита информации представляет собой комплекс регулярно используемых средств и методов, принимаемых мер и осуществляемых мероприятий с целью систематического обеспечения требуемой надежности информации, генерируемой, хранящейся и обрабатываемой на объекте АС, а также передаваемой по каналам. Защита должна носить системный характер, то есть для получения наилучших результатов все разрозненные виды защиты информации должны быть объединены в одно целое и функционировать в составе единой системы, представляющей собой слаженный механизм взаимодействующих элементов, предназначенных для выполнения задач по обеспечению безопасности информации.
Более того, комплексная система защиты информации предназначена обеспечивать, с одной стороны, функционирование надежных механизмов защиты, а с другой - управление механизмами защиты информации. В связи с этим должна предусматриваться организация четкой и отлаженной системы управления защитой информации.
Такой подход обусловлен рядом причин, среди которых выделяются:
- неуклонный рост видов и количества угроз безопасности информации;
- рост числа и квалификации нарушителей, покушающихся на информацию;
- рост потенциально возможных потерь при нарушении защищенности информации. При этом последствия реализации некоторых угроз могут носить катастрофический характер;
- выход задачи защиты информации за рамки чисто компьютерной безопасности. Она становится общей для любой организационной структуры, вплоть до государства, в результате территориального и организационного распределения элементов автоматизированных систем, а также массового распространения персональных ЭВМ и сменных накопителей малого формата (но большой емкости);
- несовершенство (зачастую отсутствие) необходимой законодательной, нормативной, правовой и нормативно-методической базы в области
информационной безопасности и защиты информации, фактически неработоспособность механизмов внедрения их в практику работы органов по защите информации;
- необходимость принципиально иного взгляда на проблему. Если до недавнего времени защита информации рассматривалась как локальная задача (и преимущественно в плане предупреждения несанкционированного ее получения), то в современных условиях защита информации становится многоаспектной проблемой и составной частью более общей проблемы управления информацией.
Принимая во внимание вышесказанное, можно отметить, что актуальным сегодня является создание теории информационной безопасности, основу которой может заложить решение следующих фундаментальных научных проблем:
- разработка аксиоматической модели угроз безопасности информации;
- создание математической теории идентификации информационных атак на распределенные системы;
- исследование антропогенных факторов, влияющих на обеспечение информационной безопасности распределенных систем;
- разработка математических моделей измерения и расчетов параметров защищенности распределенных систем;
- создание теории эффективности систем обеспечения информационной безопасности;
- создание теории собственной безопасности систем обеспечения информационной безопасности.
В книге Мельникова также отмечаются такие проблемы, как:
- отсутствие классификации объектов обработки и защиты информации;
- отсутствие методов определения возможных каналов несанкционированного доступа к информации;
- отсутствие методов расчета прочности средств защиты.
Таким образом, проблема обеспечения информационной безопасности сегодня как никогда актуальна и для своего решения требует комплексного подхода. При этом значительно расширился круг задач, выполнение которых необходимо в ходе обеспечения безопасности информации. Недостаточно просто обеспечить доступ к информации только санкционированных пользователей и запретить доступ пользователей, не имеющих на то соответствующего права. Нужно, в случае обнаружения факта несанкционированного доступа, получить информацию о самом нарушителе, преследуемых им целях, его местонахождении и т.д., дезинформировать и дезориентировать нарушителя, перенаправив его информационный поток на специально созданный «ложный объект атаки», а также по характерным действиям нарушителя научиться своевременно обнаруживать и предотвращать попытки несанкционированного доступа в дальнейшем.
Андрей Бакуренко, Военная академия Республики Беларусь
В современном мире информация стала одним из наиболее мощных рычагов экономического развития. Владение информацией необходимого качества в нужное время и в нужном месте является залогом успеха во многих видах деятельности. Монопольное обладание определенной информацией оказывается зачастую решающим преимуществом в конкурентной борьбе.
Однако, при достаточно большом многообразии проведенных исследований, сделанных разработок, предложенных программ, международных стандартов в этой области, с уверенностью можно сказать, что универсального средства защиты информации на сегодняшний день не создано.
Приведенные в работах Мельникова В.В. «Безопасность информации в автоматизированных системах.» и Партыка Т. Л., Попова И. И. «Информационная безопасность. Учебное пособие для студентов учреждений среднего профессионального образования» понятия защищенной системы опираются на так называемые "Критерии оценки безопасности компьютерных систем" (Trusted Computer System Evaluation Criteria, TCSEC) – стандарт Министерства обороны США, разработанный и опубликованный в 1983 г. В соответствии с этим документом защищенной считается система, которая при использовании аппаратных и программных средств управляет доступом к информации так, что только должным образом авторизованные лица или же действующие от их имени процессы получают право читать, писать, создавать и удалять информацию. Однако о завершенности защиты в конкретном средстве вычислительной техники, по мнению Мельникова, можно говорить лишь тогда, когда созданная и принятая заказчиком система безопасности информации тесно связана с определенной информационной технологией, с ее индивидуальной обработкой и управлением в организации потребителе.
Анализ литературы показывает, что практически все авторы выделяют три основных вида угроз безопасности: раскрытия, целостности, отказа в обслуживании.
Угроза раскрытия в настоящее время сильно возросла из-за значительного уменьшения объемно-массовых показателей носителей информации и широкого распространения персональных ЭВМ.
Угроза целостности включает в себя любое умышленное изменение данных. Обычно считается, что угрозе раскрытия подвержены в большей степени государственные структуры, а угрозе целостности, которая в настоящее время наиболее эффективно устраняется за счет использования электронной подписи на основе несимметричных криптографических алгоритмов, – деловые или коммерческие. В локальных вычислительных сетях (ЛВС) наиболее частыми являются именно угрозы раскрытия и целостности.
В глобальных на первое место выходит угроза отказа в обслуживании, которая возникает, когда в результате определенных действий блокируется доступ к некоторому ресурсу вычислительной системы.
Сегодня достаточно четко прослеживается тенденция, свидетельствующая о том, что производители отказались от чисто программных реализаций систем защиты. Программные средства в крупных компаниях, работающих в сфере информационных технологий, выступают сегодня лишь как источник информации, которая в реальном масштабе времени анализируется должностным лицом (специалистом по безопасности информации). На основании этого анализа делается вывод о существовании угрозы безопасности и принимаются соответствующие меры по предотвращению этой угрозы.
Говоря о системах безопасности будущего, нужно отметить, что они должны не только и не столько ограничивать допуск пользователей к программам и данным, сколько определять и делегировать их полномочия в совместном решении задач, выявлять аномальное использование ресурсов, прогнозировать аварийные ситуации и устранять их последствия, гибко адаптируя структуру в условиях отказов, частичной потери или длительного блокирования ресурсов.
Не стоит, однако, забывать об экономической целесообразности применения тех или иных мер обеспечения безопасности информации, которые всегда должны быть адекватны существующим угрозам.
Параллельно с развитием средств вычислительной техники и появлением все новых способов нарушения безопасности информации развивались и совершенствовались средства защиты. Необходимо отметить, что более старые виды атак никуда не исчезают, а новые только ухудшают ситуацию. Существующие сегодня подходы к обеспечению защиты информации несколько отличаются от существовавших на начальном этапе. Главное отличие современных концепций в том, что сегодня не говорят каком-то одном универсальном средстве защиты, а речь идет о комплексной системе защиты информации, включающей в себя:
- нормативно-правовой базис защиты информации;
- средства, способы и методы защиты;
- органы и исполнителей.
Другими словами, на практике защита информации представляет собой комплекс регулярно используемых средств и методов, принимаемых мер и осуществляемых мероприятий с целью систематического обеспечения требуемой надежности информации, генерируемой, хранящейся и обрабатываемой на объекте АС, а также передаваемой по каналам. Защита должна носить системный характер, то есть для получения наилучших результатов все разрозненные виды защиты информации должны быть объединены в одно целое и функционировать в составе единой системы, представляющей собой слаженный механизм взаимодействующих элементов, предназначенных для выполнения задач по обеспечению безопасности информации.
Более того, комплексная система защиты информации предназначена обеспечивать, с одной стороны, функционирование надежных механизмов защиты, а с другой - управление механизмами защиты информации. В связи с этим должна предусматриваться организация четкой и отлаженной системы управления защитой информации.
Такой подход обусловлен рядом причин, среди которых выделяются:
- неуклонный рост видов и количества угроз безопасности информации;
- рост числа и квалификации нарушителей, покушающихся на информацию;
- рост потенциально возможных потерь при нарушении защищенности информации. При этом последствия реализации некоторых угроз могут носить катастрофический характер;
- выход задачи защиты информации за рамки чисто компьютерной безопасности. Она становится общей для любой организационной структуры, вплоть до государства, в результате территориального и организационного распределения элементов автоматизированных систем, а также массового распространения персональных ЭВМ и сменных накопителей малого формата (но большой емкости);
- несовершенство (зачастую отсутствие) необходимой законодательной, нормативной, правовой и нормативно-методической базы в области
информационной безопасности и защиты информации, фактически неработоспособность механизмов внедрения их в практику работы органов по защите информации;
- необходимость принципиально иного взгляда на проблему. Если до недавнего времени защита информации рассматривалась как локальная задача (и преимущественно в плане предупреждения несанкционированного ее получения), то в современных условиях защита информации становится многоаспектной проблемой и составной частью более общей проблемы управления информацией.
Принимая во внимание вышесказанное, можно отметить, что актуальным сегодня является создание теории информационной безопасности, основу которой может заложить решение следующих фундаментальных научных проблем:
- разработка аксиоматической модели угроз безопасности информации;
- создание математической теории идентификации информационных атак на распределенные системы;
- исследование антропогенных факторов, влияющих на обеспечение информационной безопасности распределенных систем;
- разработка математических моделей измерения и расчетов параметров защищенности распределенных систем;
- создание теории эффективности систем обеспечения информационной безопасности;
- создание теории собственной безопасности систем обеспечения информационной безопасности.
В книге Мельникова также отмечаются такие проблемы, как:
- отсутствие классификации объектов обработки и защиты информации;
- отсутствие методов определения возможных каналов несанкционированного доступа к информации;
- отсутствие методов расчета прочности средств защиты.
Таким образом, проблема обеспечения информационной безопасности сегодня как никогда актуальна и для своего решения требует комплексного подхода. При этом значительно расширился круг задач, выполнение которых необходимо в ходе обеспечения безопасности информации. Недостаточно просто обеспечить доступ к информации только санкционированных пользователей и запретить доступ пользователей, не имеющих на то соответствующего права. Нужно, в случае обнаружения факта несанкционированного доступа, получить информацию о самом нарушителе, преследуемых им целях, его местонахождении и т.д., дезинформировать и дезориентировать нарушителя, перенаправив его информационный поток на специально созданный «ложный объект атаки», а также по характерным действиям нарушителя научиться своевременно обнаруживать и предотвращать попытки несанкционированного доступа в дальнейшем.
Андрей Бакуренко, Военная академия Республики Беларусь
Сетевые решения. Статья была опубликована в номере 09 за 2006 год в рубрике save ass…
