Введение
Защита информации предполагает принятие организационных и технических мер охраны аппаратных и программных средств, а также данных с целью предотвратить случайный или преднамеренный несанкционированный доступ (включая раскрытие, модификацию, разрушение) к информации, а также обеспечить восстановление информации после аварий технического или гуманитарного характера. Следует отметить, что проблема защиты весьма многогранна, и при ее решении возникает множество частных задач – от разграничения сфер ответственности до технико-экономической оценки эффективности принимаемых мер.
На рис. 1. представлена графически взаимосвязь защитных мер и уровней окружения защищаемых данных. Каждый следующий уровень базируется на предыдущем (предыдущих). Например, если доступ к сети не контролируется, любые попытки защиты программ и данных будут тщетными.
Организационные меры защиты
Эти меры охватывают решения и процедуры, принимаемые руководством для обеспечения защиты. Хотя некоторые из этих решений могут определяться внешними факторами, например нормативными актами, большинство проблем решается внутри организации. С переходом от неавтоматизированных информационных систем к автоматизированным требуются решения и действия, которые ранее не являлись необходимыми, например, классификация информации по уровню важности. При этом в работу по подготовке таких решений с необходимостью должны включаться все подразделения организации, охватываемые информационной системой.
Ключевым понятием в определении сути защиты информационной системы является понятие санкционирования доступа, или установления полномочий. Поэтому важной проблемой управления является правильное решение следующих вопросов: кому должны быть предоставлены полномочия? Как их установить? Как проконтролировать установленные полномочия?
На рис. 2. приведены проблемы, связанные с организационными мерами защиты, и соответствующие процедуры.
Другие меры защиты
Кратко охарактеризуем последующие уровни окружения и соответствующие меры защиты.
Меры непосредственной защиты
К этим мерам относится меры по защите от стихийных бедствий, защите от злоумышленников (грабителей), а также обеспечение нормальных условий эксплуатации техники.
Защита сети в целом
Сводится в основном к обеспечению контролируемого доступа к сети (рабочим станциям и серверам). При этом контролю подлежит не только момент входа в сеть, но и все время сеанса доступа. Новая задача в этой сфере – защита от компьютерных вирусов.
Защита программного обеспечения
Огромное разнообразие существующего программного обеспечения не позволяет воспользоваться какими-то общими правилами. Однако в любом случае необходима инвентаризация и верификация имеющихся программ.
Программы фирм-производителей зачастую оснащены встроенными средствами защиты. Однако эти средства зачастую не применяются из-за существенного повышения трудоемкости работы с программой с включенными защитными механизмами. При этом для квалифицированного злоумышленника не составит труда взломать стандартную защиту.
Защита баз данных.
Защита данных из баз от раскрытия возможна только в рамках системы управления базой данных (СУБД). Реально применяется обычно только защита от разрушения в виде резервирования. Периодичность резервного копирования данных определяется при классификации данных по их степени важности.
Выводы
Что происходит обычно на этапе этап внедрения (а потом по инерции переходит на этап эксплуатации)? Никак не регламентированы права, обязанности и ответственность пользователей вычислительной сети в сфере защиты. Данные не персонифицированы (т.е. никто не несет ответственности за содержимое баз данных). Данные не разграничены по конфиденциальности. Не определены функции должностных лиц по разработке и реализации политики защиты. В итоге защищенность информационной системы предприятия оказывается весьма неудовлетворительной.
Все перечисленное относится к сфере организационных мер защиты. Повышение уровня защищенности системы не представляется возможным без решения перечисленных на рис. 2. проблем.
Меры по защите информации не могут быть предприняты одномоментно. Необходимо их тщательное планирование и постоянный контроль выполнения, а в дальнейшем постоянное совершенствование системы защиты.
И главное, эти меры не могут быть осуществлены в рамках подразделения ИТ!. Этим должны заниматься специально обученные и наделенные полномочиями специалисты.
