Понятие и задачи информационной безопасности - Информационная безопасность на предприятии
Перед описанием стандартов информационной безопасности следует сначала определить: что же такое информационная безопасность. Данное понятие можно рассматривать с нескольких сторон: как состояние и как деятельность.
- - Состояние (качество) определенного объекта. В качестве объекта может выступать информация, данные, ресурсы автоматизированной системы, автоматизированная система, информационная система предприятия, общества, государства и т. п.; - Деятельность, направленная на обеспечение защищенного состояния объекта (в этом значении чаще используется термин "защита информации")
В данной работе информационная безопасность будет рассматриваться как деятельность. Принято считать, что информационная безопасность - это комплекс мероприятий, обеспечивающий следующие факторы:
- - Конфиденциальность - Целостность - Доступность
Целостность подразумевает под собой возможность передачи информации и работы с ней без ее потери или видоизменения. Возможностью изменения информации должны обладать уполномоченные лица. "Конфиденциальность (от англ. confidence - доверие) - необходимость предотвращения утечки (разглашения) какой-либо информации".Чаще всего такой информацией может, является служебная тайна или "ноу-хау". Пользователю необходим доступ к своей информации в любой промежуток времени. Осуществляться он может с помощью авторизации лица. Фактор, отвечающий за этот процесс, называется доступностью. "Целостность информации (также целостность данных) - термин в информатике и теории телекоммуникаций, который означает, что данные полны, условие того, что данные не были изменены при выполнении любой операции над ними, будь то передача, хранение или представление". В данной работе были перечислены основные факторы, которые используются в любой литературе при описании информационной безопасности. Основной целью данного понятия является соблюдение и обеспечение всех факторов информационной безопасности. Для выполнения всего вышеперечисленного применяются механизмы.
"идентификация - определение (распознавание) каждого участника процесса информационного взаимодействия", перед тем как к нему будут применены понятия информационной безопасности;
"аутентификация - обеспечение уверенности в том, что участник процесса обмена информацией идентифицирован верно;
Контроль доступа - создание и поддержание набора правил, определяющих каждому участнику процесса информационного обмена разрешение на доступ к ресурсам и уровень этого доступа".
"Авторизация (от англ. authorization - разрешение, уполномочивание) - предоставление определенному лицу или группе лиц прав на выполнение определенных действий; а также процесс проверки (подтверждения) данных прав при попытке выполнения этих действий;
"аудит и мониторинг - отслеживание событий, происходящих в процессе обмена информацией (аудит предполагает анализ событий постфактум, а мониторинг реализуется в режиме реального времени;
Реагирование на инциденты - совокупность процедур или мероприятий, выполняемых при нарушении или подозрении на нарушение информационной безопасности;
Управление конфигурацией - создание и поддержание функционирования среды информационного обмена в работоспособном состоянии и в соответствии с требованиями информационной безопасности;
Управление пользователями - обеспечение условий работы пользователей в среде информационного обмена в соответствии с требованиями информационной безопасности.
Управление рисками - обеспечение соответствия возможных потерь от нарушения информационной безопасности мощности защитных средств (то есть затратам на их построение);
Обеспечение устойчивости - поддержание среды информационного обмена в минимально допустимом работоспособном состоянии и соответствии требованиям информационной безопасности в условиях деструктивных внешних или внутренних воздействий".
За счет данных механизмов происходит достижение целей информационной безопасности. Стоит отметить, что аутентификация сама по себе не может быть целью информационной безопасности. Данный механизм можно выделить как метод определения участника информационного обмена, который определяет политику в отношении конфиденциальности или доступности, которая должна быть применена к данному участнику.
Рассмотрим с помощью, каких инструментов происходит реализация перечисленных выше механизмов. Описание всех инструментов невозможно, так как их использование зависит от ситуации. Объем и количество применяемых инструментов может колоссально варьироваться. Часто бывает так, что некоторые механизмы переходят в средства и наоборот. Приведем пример. Персонал производит аудит, который обеспечивает учет. Из этого следует, что персонал - это средство, аудит - механизм, а учет - это цель. Другим примером может послужить хранение паролей в зашифрованном виде. Здесь ситуация обстоит иначе. Криптография является средством защиты паролей, пароли используются для механизма, который называется аутентификация, а аутентификация обеспечивает один из факторов информационной безопасности - целостность.
Перечислим основные инструменты:
- - Персонал; - Нормативное обеспечение; - Модели безопасности; - Криптография; - Антивирусное обеспечение; - Межсетевые экраны; - Сканеры безопасности; - Системы обнаружения атак; - Резервное копирование; - Резервирование; - Аварийный план; - Обучение пользователей.
Как мы можем видеть, информационная безопасность в качестве инструментов может использовать как человеческие ресурсы, так и программное обеспечение, и различные документы. Под персоналом подразумеваются люди, которые будут вести процесс внедрения информационной безопасности на предприятие. Более того, они также будут заниматься всем обеспечения информационной безопасности, а именно: разработка, внедрение, поддержка, контроль, доработка.
Нормативное обеспечение включает в себя различные документы, помогающие персоналу внедрять систему информационной безопасности. Эти документы могут состоять из следующих инструкций:
- - Межгосударственные стандарты; - Государственные стандарты России; - Своды правил; - Руководящие документы системы; - Общероссийские нормы технологического проектирования; - Отраслевые стандарты; - Инструкции, методические указания, пособия; - Рекомендации по проектированию
Документы могут меняться в зависимости от направления деятельности предприятия. Бумаги, предоставленные в данной работе, соответствуют типичной строительной компании. Модели безопасности - это различные схемы, которые заложены в определенной информационной системе. Криптография - это очень сложный алгоритм защиты информации. Другими словами - это методы и средства преобразования информации в вид, затрудняющий или делающий невозможным несанкционированные операции с нею (чтение и / или модификацию), вместе с методами и средствами создания, хранения и распространения ключей - специальных информационных объектов, реализующих эти санкции.
Под антивирусным обеспечением понимается программное средство, которое обеспечивает защиту различного рода информации от проникновения в нее нежелательного программного обеспечения, с целью редактирования или похищения информации. В ходе работы был проведен анализ самого лучшего антивируса в мире. Рейтинг антивирусного программного обеспечения был предоставлен независимой тестовой компанией Virus Bulletin. Испытания проводились на платформе Windows XP Professional SP3. TrustPort определил 95,24% вредоносных образцов и подтвердил лидирующую позицию среди самых мощных антивирусов в мире.
В приложении 1 изображена итоговая таблица, в которой можно наблюдать какое место в мире занимают антивирусы TrustPort (положение антивирусов в таблице определено результатами последних четырех тестирований).
Межсетевые экраны - это устройства, которые контролируют доступ из одной информационной сети в другую. "Межсетевой экран или сетевой экран - комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданными правилами.
Основной задачей сетевого экрана является защита компьютерных сетей или отдельных узлов от несанкционированного доступа. Также сетевые экраны часто называют фильтрами, так как их основная задача - не пропускать (фильтровать) пакеты, не подходящие под критерии, определенные в конфигурации", - повествует сайт википедии. Среди возможностей данного инструмента информационной безопасности, стоит выделить следующее:
- - фильтрация доступа к заведомо незащищенным службам; - препятствование получению закрытой информации из защищенной подсети, а также внедрению в защищенную подсеть ложных данных с помощью уязвимых служб; - контроль доступа к узлам сети; - может регистрировать все попытки доступа как извне, так и из внутренней сети, что позволяет вести учет использования доступа в Интернет отдельными узлами сети; - регламентирование порядка доступа к сети; - уведомление о подозрительной деятельности, попытках зондирования или атаки на узлы сети или сам экран;
Сканеры безопасности (уязвимостей) - это программные или аппаратные средства, которые служат для мониторинга сетевых компьютеров. В приложении 1, можно видеть для каких целей может использоваться сканер безопасности.
Системы обнаружения атак - устройства мониторинга активности в информационной среде, иногда с возможностью принятия самостоятельного участия в указанной активной деятельности.
Резервное копирование и дублирование - это виды инструментов, предназначенные для обеспечения безопасности при утере или возможности утери информации. Резервное копирование подразумевает под собой сохранение избыточного количества информационных ресурсов при возможности утраты. Дублирование - это создание альтернативных устройств, которые необходимы для функционирования информационной среды, в случае выхода из строя одной или более средств поддержки.
Аварийный план - набор мероприятий, предназначенных для претворения в жизнь, в случае если события происходят или произошли не так, как было предопределено правилами информационной безопасности. Обучение пользователей - подготовка активных участников информационной среды для работы в условиях соответствия требованиям информационной безопасности.
Возможно, что часть понятий укрупнено, часть из них детализировано. Основной целью предоставления данного списка было показать типовой выбор инструментария для предприятия, развивающего информационную безопасность.
Рассмотрим основные направления информационной безопасности. Среди них стоит выделить:
- - Физическая безопасность; - Компьютерная безопасность.
Физическая безопасность - обеспечение сохранности самого оборудования, предназначенного для функционирования информационной среды, контроль доступа людей к этому оборудованию. Дополнительно сюда может быть включено понятие защиты самих пользователей информационной среды от физического воздействия злоумышленников, а также защиты информации не виртуального характера (твердых копий - распечаток, служебных телефонных справочников, домашних адресов сотрудников, испорченных внешних носителей и т. п.)
Компьютерная безопасность (сетевая безопасность, телекоммуникационная безопасность, безопасность данных) - обеспечение защиты информации в ее виртуальном виде. Стоит выделить этапы нахождения информации в среде, и по этим принципам разделять, например, компьютерную (на месте создания, сохранения или обработки информации) и сетевую (при пересылке) безопасность, но это, в принципе, нарушает комплексную картину безопасности.
Единственное, с чем логично было бы согласиться, - это термин безопасность данных, или скорее, безопасность данных в рамках данного приложения. Дело в том, что в конкретном программном комплексе модель безопасности может быть реализована таким образом, что это потребует отдельного специалиста (или даже службы) по ее поддержанию. В этом случае, возможно, разделить понятия безопасность данных (конкретного приложения) и безопасность сети (всей остальной информационной среды).
Далее хотелось бы выделить ряд глобальных задач информационной безопасности.
- - Формализация и реализация единой государственной политики по обеспечению защиты национальных интересов от угроз в информационной сфере; - Совершенствование законодательства различных стран в сфере обеспечения информационной безопасности; - Определение и назначение должностных органов государственной власти, субъектов и органов местного самоуправления в сфере обеспечения информационной безопасности; - Координация деятельности органов государственной власти по обеспечению информационной безопасности; - Создание условий для успешного развития информационной безопасности, осуществления эффективного гражданского контроля над деятельностью органов государственной власти; - Совершенствование и защита информационной инфраструктуры, ускорение развития новых информационных технологий и их широкое распространение; - Развитие стандартизации информационных систем на базе общепризнанных международных стандартов и их внедрение для всех видов информационных систем; - Создание оптимальных социально-экономических условий для осуществления важнейших видов творческой деятельности и функционирования учреждений культуры; - Противодействие угрозе развязывания противоборства в информационной сфере; - Организация международного сотрудничества по обеспечению информационной безопасности при интеграции различных стран в мировое информационное пространство.
Похожие статьи
-
Введение - Обеспечение информационной безопасности на предприятии
Данная статья посвящена важности информационной системы и необходимости ее защиты. В ней говориться о различных средствах и методах, помогающих...
-
Учебный процесс в ННГАСУ сопровождается значительной информационной базой, развитием компьютерного парка и внедрением в образовательный процесс...
-
1.1 Физические средства-различные устройства и системы механического, электрического либо электронного плана, деятельность которых не зависит от...
-
Информационный безопасность автоматизированный угроза Классификация угроз информационной безопасности Анализ актуальных угроз конфиденциальной...
-
1. Общие сведения 1.1 Наименование Система информационной безопасности ФГБОУ ВПО "Нижегородский государственный архитектурно-строительный университет" 2....
-
Безопасность информации предполагает отсутствие недопустимого риска, связанного с утечкой информации по техническим каналам, несанкционированными и...
-
При рассмотрении вопросов защиты АС целесообразно использовать четырехуровневую градацию доступа к хранимой, обрабатываемой и защищаемой АС информации....
-
Разработка политики безопасности организации - Основные понятия политики информационной безопасности
Разработка политики безопасности ведется для конкретных условий функционирования информационной системы. Как правило, речь идет о политике безопасности...
-
Основы информационной безопасности
Введение Курс с названием "Основы информационной безопасности" (Information Security) входит в целый ряд государственных образовательных стандартов по...
-
Законодательные средства - законы и другие нормативно-правовые акты, с помощью которых регламентируются правила использования, обработки и передачи...
-
Информация с точки зрения информационной безопасности обладает следующими категориями: * конфиденциальность -- гарантия того, что конкретная информация...
-
ВВЕДЕНИЕ - Разработка модели системы информационной безопасности на предприятии
Обеспечение безопасности информационных ресурсов давно стало предметом обсуждения во многих учреждениях, в совокупности с развитием информационных...
-
- Подключение к исходной базе данных пользователей внешних информационных систем; - Отказ в доступе к желаемому ресурсу, если пользователем не пройдена...
-
Заключение - Обеспечение информационной безопасности в сети Internet
Исходно сеть создавалась как незащищенная открытая система, предназначенная для информационного общения все возрастающего числа пользователей. При этом...
-
В процессе развития нашего общества информация, особенно экономическая, играет особую роль. Желание преуспеть заставляет людей соревноваться, соперничать...
-
Модель нарушителя - Разработка модели системы информационной безопасности на предприятии
Обеспечение защиты информационных активов университета специфично, так как это учреждение с непостоянной аудиторией. По причине того, что атаки могут...
-
Классификация и анализ источников угроз и уязвимостей безопасности В информационной безопасности под угрозой понимают потенциальное событие или действие,...
-
Комплексный подход к обеспечению информационной безопасности, Основные понятия - Защита информации
Основные понятия Под информацией, применительно к задаче ее защиты понимается сведения о лицах, предметах, фактах, событиях явлениях и процессах...
-
Подсистема управления политикой ИБ предназначена для поддержания в актуальном состоянии политик и других организационно-распорядительных документов по...
-
Большинство ученых в наши дни отказываются от попыток дать строгое определение информации и считают, что информацию следует рассматривать как первичное,...
-
Введение - Основные понятия политики информационной безопасности
Говоря об информационной безопасности, в настоящее время имеют в виду, собственно говоря, безопасность компьютерную. Действительно, информация,...
-
При создании или при классификации информационных систем неизбежно возникают проблемы, связанные с формальным - математическим и алгоритмическим...
-
Для определения актуальных угроз безопасности, необходимо учитывать два значения. Первый показатель - это уровень исходной защищенности информационной...
-
Количество рабочих станций, всего 20 Количество ПК, работающих в сети 21 Характеристики компьютеров От amd phenom 1055t и выше Операционная система...
-
Понятие модели нарушителя. Типы моделей - Угрозы информационным ресурсам
Угроза безопасности - потенциальное нарушение безопасности, любое обстоятельство или событие, которое может явиться причиной нанесения ущерба...
-
Информационный безопасность программный сеть Информационная система ФГБОУ ВПО "Нижегородский государственный архитектурно-строительный университет"...
-
Математическое и программное обеспечение (МО, ПО)- совокупность математических методов, моделей, алгоритмов и программ для реализации целей и задач...
-
Что такое информационная технология Главным направлением перестройки менеджмента и его радикального усовершенствования, приспособления к современным...
-
Предложение автоматизации предприятия "Авиаэкспресс-Сервис" с внедрением программного комплекса "САМО-ТурАгент" Процесс внедрения автоматизированного...
-
Самым правильным шагом в этом направлении будет приглашение специалиста по информационной безопасности, который вместе с вами постарается решить весь...
-
Введение - Информационная безопасность на предприятии
Информационный программный безопасность В настоящее время большую ценность представляет информация. По этой причине вопросы информационной безопасности...
-
ОСНОВНЫЕ ПОЛОЖЕНИЯ, ОПРЕДЕЛЕНИЯ И ПОНЯТИЯ Совокупность управляющих воздействий, направленных на то, чтобы действительный ход процесса соответствовал...
-
Постановка задачи Основной целью дипломной работы является создание комплексной системы информационной безопасности предприятия на примере информационной...
-
Идентификация и оценка информационных активов Информационный актив является компонентом системы, в которую организация напрямую вкладывает средства, и...
-
Большинство инцидентов информационной безопасности связано с воздействием внутренних угроз - утечки и кражи информации, утечки коммерческой тайны и...
-
Проведенный анализ причинно-следственной природы информационных рисков, позволяет определить сущность управления информационными рисками. Она заключается...
-
Доклад Всемирного экономического форума "Глобальные риски 2012" ("Global Risks 2012") рассматривает кибератаки как одну из основных угроз мировой...
-
Информационное обеспечение - совокупность единой системы классификации и кодирования информации, унифицированных систем документации, схем информационных...
-
Особенность сети Internet на сегодняшний день состоит в том, что 99% процентов информационных ресурсов сети являются общедоступными. Удаленный доступ к...
-
Что защищать на предприятии Система федерального законодательства включает себя огромное количество актов, относительно различных видов тайн. В данной...
Понятие и задачи информационной безопасности - Информационная безопасность на предприятии