Оригинальные тексты для сайтов и веб-проектов. Копирайт, рерайт, переводы.
Профессиональное наполнение вебсайтов уникальным контентом и новостями.
Оптимизированные тематичные тексты и фото по низкой стоимости. Надёжно.

 
  Безопасность информации при использовании средств связи и различных коммуникаций  
 

На главную страницу | К оглавлению раздела

Основные направления информационной безопасности

Теперь осталось рассмотреть основные направления информационной безопасности, которые иногда различают между собой. Собственно, на наш взгляд их всего два - физическая и компьютерная безопасность.

Однако, учитывая имеющиеся различия в определениях, можно охарактеризовать их следующим образом.

Физическая безопасность - обеспечение сохранности самого оборудования, предназначенного для функционирования информационной среды, контроль доступа людей к этому оборудованию. Дополнительно сюда может быть включено понятие защиты самих пользователей информационной среды от физического воздействия злоумышленников, а также защиты информации невиртуального характера (твердых копий - распечаток, служебных телефонных справочников, домашних адресов сотрудников, испорченных внешних носителей и т.п.).

Компьютерная безопасность (сетевая безопасность, телекоммуникационная безопасность, безопасность данных) - обеспечение защиты информации в ее виртуальном виде. Возможно выделять этапы нахождения информации в среде, и по этим принципам разделять, например, компьютерную (на месте создания, сохранения или обработки информации) и сетевую (при пересылке) безопасность, но это, в принципе, нарушает комплексную картину безопасности. Единственное, с чем логично было бы согласиться, - это термин безопасность данных, или скорее, безопасность данных в рамках данного приложения. Дело в том, что в конкретном программном комплексе модель безопасности может быть реализована таким образом, что это потребует отдельного специалиста (или даже службы) по ее поддержанию. В этом случае возможно разделить понятия безопасность данных (конкретного приложения) и безопасность сети (всей остальной информационной среды).

Следующий этап предусматривает создание условий, чтобы мы говорили на одном языке, т.е. введение основного набора определений.

Терминология

Итак, для того, чтобы говорить на понятном всем языке, необходимо ввести ряд определений. Список преднамеренно несколько расширен, чем необходимо для данной книги, в том смысле что не все указанные здесь термины будут использоваться далее по тексту. С одной стороны, это сделано специально в помощь тем, кто будет в дальнейшем самостоятельно создавать нормативные, методические и иные материалы по информационной безопасности. Некоторые из этих документов, которые, возможно, будут носить сложный или технический характер, обязательно потребуется предварять разделом определений во избежание разночтений и искажения смысла. В этом случае можно будет взять за основу данный раздел и либо использовать определения, приведенные здесь, либо при необходимости модифицировать их.

Тщательная формулировка подобных определений особенно важна, когда организация, начинающая работу по развитию информационной безопасности, вступает в некие формализованные (например, договорные) отношения с субъектами, имеющими слабое представление о предмете (например, со своими клиентами, партнерами или поставщиками). Дело в том, что иногда даже простые и кажущиеся очевидными понятия, такие как информация или пароль, могут восприниматься по-разному и в дальнейшем стать предметами спора.

С другой стороны, читателю нет необходимости запоминать все указанные здесь термины для успешного освоения материала. По мере необходимости при дальнейшем использовании необходимые определения будут повторены, возможно, в более упрощенном варианте.

Информацией будем называть данные, представленные в том или ином виде, пригодном для хранения, обработки и/или передачи. Применительно к информационной безопасности с практической точки зрения удобно выделить следующие формы информации:

• электронная (электрические сигналы, области намагничивания и т.п.);
• печатная (распечатки, книги и т.п.);
• визуальная (изображения на экране монитора, слайды, плакаты и т.п.);
• аудиальная (разговор людей, звуковые автоинформаторы и т.п.).

Объектом будем называть собственно информационный ресурс, т.е. некий целостный набор информации, в который входят данные, объединенные общей темой, задачей, способом обработки и т.п.

Субъектом - пользователя информации или процесс, обрабатывающий данный набор информации (объект) и учитываемый, применительно к данному рассмотрению, в момент того или иного использования объекта. Следовательно, объект - это некий пассивный, а субъект - активный участник процесса обмена информацией.

Информационная система - это некий потенциально открытый набор субъектов, воздействующих на набор объектов, причем субъекты одной системы обычно имеют общую цель или цели.

Информационное пространство - это совокупность информационных систем, взаимодействующих между собой, причем одна часть этих систем может иметь иные, в том числе прямо противоположные, интересы, чем другая.

Правила информационной безопасности - список разрешенных и/или запрещенных действий для субъектов информационной системы. Такие правила могут быть определены не только для человека (пользователя, администратора и т.д.), но и для процесса (например, процесса предоставления доступа на межсетевом экране).

Права (англ. rights) - набор разрешенных действий (правил) для данного субъекта, часть профиля субъекта.

Несанкционированным будем считать такое действие, которое производится субъектом (или частью субъекта), для которого данное действие не определено как разрешенное (либо определено как запрещенное) правилами информационной безопасности.

Средство работы с информацией - устройство информационного обеспечения, с помощью которого производится или обеспечивается работа в информационной системе.

Угроза - возможность реализации нарушения того или иного правила информационной безопасности.

Уязвимость (англ. vulnerability) - незащищенность или ошибка в объекте или информационной системе, которая приводит или может привести к возникновению угрозы.

Атака - практическая реализация угрозы или попытка ее реализации с использованием той или иной уязвимости.

Авария - незлоумышленное происшествие неординарного характера, несущее деструктивное воздействие на объект или информационную систему.

Пользователь - человек, субъект информационной системы, выполняющий в ней бизнес-функции, т.е. использующий объект в целях производства.

Администратор - человек, субъект информационной системы, создающий условия для работы в ней пользователей.

Контролер - субъект (не обязательно человек!) информационной системы, контролирующий использование информационной системы пользователями и администраторами в соответствии с предопределенными правилами (правилами информационной безопасности).

Злоумышленник - человек, субъект информационной системы, преследующий корыстные или деструктивные цели, противоречащие бизнес-целям системы.

Идентификатор (имя, логин) - набор символов, представляющий уникальное наименование данного объекта или субъекта в данной (в другой системе имя может повториться) информационной системе. Позволяет однозначно идентифицировать пользователя при входе его в систему, определить его права в ней, фиксировать действия и т.п.

Пароль (англ. password) - секретная последовательность символов, связанная с субъектом и известная только ему, позволяющая его аутентифицировать, т. е. подтвердить соответствие реальной сущности субъекта предъявляемому им при входе идентификатору. Профиль (англ. profde) - набор установок и конфигураций, специфичный для данного субъекта или объекта и определяющий его работу в информационной системе.

Шифрование (англ. encryption) - процесс приведения информации в форму, при которой невозможно или существенно затруднено извлечение из нее осмысленных данных без обладания специфическими дополнительными знаниями (ключом).

Дешифрование (расшифрование) (англ. decryption) - процесс, обратный процессу шифрования, т.е. восстановление с помощью соответствующего ключа информации в исходной форме, позволяющей извлечь из нее смысловые данные.

Криптоанализ - набор методов и средств для выполнения (или сам процесс) дешифрования информации без обладания необходимым ключом.

Электронный документ - набор данных в электронном представлении, который может быть путем стандартных преобразований представлен в понятном человеку виде, в том числе как документ на бумаге; является неделимой единицей обмена информацией, т.е. он может быть передан (получен) либо не передан (не получен) только целиком; состоит из элементов, называемых реквизитами документа.

Закрытый ключ (приватный ключ, секретный ключ) - секретная последовательность байт, предназначенная для формирования субъектом электронной цифровой подписи для электронных документов.

Открытый ключ (публичный ключ) - последовательность байт, связанная с закрытым ключом и предназначенная для проверки электронно-цифровой подписи у электронных документов. Открытый ключ должен быть в распоряжении проверяющей стороны.

Здесь умышленно дается не совсем полное определение закрытого и открытого ключей. Данные определения скорее наиболее прикладные, так как указанные ключи чаще всего используются для электронной цифровой подписи. Эти термины необходимо вводить в тех случаях, когда распределяется ответственность за сохранность секретных ключей и возникает необходимость своевременного представления открытых.

Электронная цифровая подпись (ЭЦП) (англ. digital signature) - блок данных определенного формата, формируемый на основе закрытого ключа, находящегося в распоряжении только уполномоченного субъекта, однозначно сопоставляемый с конкретным электронным документом и используемый для проверки аутентичности (авторства) и целостности данного электронного документа.

Корректная электронная цифровая подпись - электронная цифровая подпись электронного документа, дающая положительный результат при ее проверке соответствующим открытым ключом.

Модель безопасности - набор принципов, схем и механизмов (иногда с указанием конкретных средств и инструментов), предназначенных для обеспечения информационной безопасности в данной конкретной информационной системе.

Ошибка - непреднамеренная, не планируемая заранее акция (в виде действия или бездействия), совершаемая субъектом (пользователем или процессом), которая представляет или может представлять угрозу информационной безопасности.

Зловредная программа - исполняемый программный модуль, скрипт, макрос или прочий программный код, созданный с целью нарушения информационной безопасности. Задачей зловредной программы ставится: минимально - несанкционированное использование части информационных ресурсов, максимально - приобретение полного контроля над объектом или информационной системой с целью ее дальнейшего несанкционированного использования. К зловредным программам относят вирусы и троянские программы.

Вирус - зловредная программа, основным свойством которой является возможность автоматического размножения (возможно, с самомодификацией) и распространения на новые информационные системы без контроля со стороны создателя. Обычно основной целью вирусов является выполнение деструктивных действий, хотя встречаются вирусы, созданные для развлечения. Чаще всего никакой материальной выгоды создатель вируса от его функционирования не получает, но иногда, например, в рамках промышленной конкурентной борьбы, создание вирусов может быть оплачено заказчиком.

Троянская программа, троян, троянский конь (англ. trojari) - зловредная программа, зачастую включающая в себя клавиатурный шпион и выполняющая несанкционированные пользователем и недокументированные действия, порой даже с функциями удаленного управления со стороны злоумышленника, созданная с целью намеренного нарушения информационной безопасности данной системы. Часто при этом троянские программы маскируют несанкционированную деятельность выполнением ряда полезных для пользователя документированных действий.

С развитием сетевых технологий появились троянские программы, проникающие в систему по принципу компьютерных вирусов. Подобные гибриды используют в целях злоумышленника свойства и первого и второго класса зловредных программ. Наиболее сложные из них, будучи "выпушенными на свободу" где-либо в сети предприятия и размножаясь как обычный вирус, могут со временем добраться до своей основной цели, которая, возможно, хорошо защищена от прямых атак извне. После этого троян выполняет свою задачу по нарушению безопасности и информирует создателя о том, что его задача выполнена.

Примитивные варианты троянских программ могут делать мелкие пакости типа рассылки от имени пользователя, неосторожно запустившего программу, угроз или ругательств другим пользователям сети.

Закладка (аппаратная, программная) - зловредная функциональность (программа), реализованная как одна из скрытых функций системы или объекта. В отличие от троянских программ, попадающих в систему извне, создается в подавляющем большинстве разработчиками системы. Дополнительно встречаемые термины - "задняя дверь", люк (англ. trapdoor - недокументированная функция, заложенная разработчиком при создании системы/объекта и не ликвидированная по каким-либо причинам, логическая бомба - срабатывание функции происходит при выполнении определенных условий).

Доверительное состояние системы - состояние, при котором поведение системы в плане информационной безопасности точно соответствует спецификации, в системе не функционируют зловредные программы, не было и не существует возможности несанкционированного доступа к данным на чтение и/или модификацию.

ПИН - персональный идентификационный номер, цифровой идентификатор, присваиваемый объекту или субъекту. Иногда используется как аналог пароля, например, в системах пластиковых карт.

Токен (англ. token) - в общем случае носитель данных, параметров безопасности своего владельца. Обычно некий внешний энергонезависимый носитель, предназначенный для хранения длинных паролей, криптографических ключей и другой информации по безопасности, которую человек не способен сохранять в своей памяти.

Доступ к данным токена дополнительно может быть защищен паролем или ПИН.

Системный мусор (англ. system garbage) - набор данных, используемых системой или объектом для работы и не предназначенный для постороннего анализа, но по каким-либо причинам попавший в распоряжение третьих лиц. Представляет интерес для злоумышленников, так как может хранить данные об особенностях функционирования системы, косвенную информацию о конфиденциальных данных или даже пароли и криптографические ключи.

В связи с эти термином необходимо упомянуть понятие дамп памяти (англ. memory dump) - "снимок" состояния оперативной памяти устройства, используемый для выяснения причин сбоев при выходе системы из строя. Обычно создается и хранится в виде файла на дисковом носителе. В случае попадания к злоумышленникам может нанести очень серьезный урон безопасности системы.

Постороннее программное обеспечение - программное обеспечение, не авторизованное к использованию в данном информационном пространстве и не зарегистрированное уполномоченными службами.

Дополнительно необходимо отметить появление в тексте слов "организация", "корпорация", которые являются синонимами слова "предприятие" в смысле тематики нашего сайта. Кроме того, будут встречаться термины "бизнес-процесс", "бизнес-логика". В данном случае слово "бизнес" означает "то, что предопределено целями производства данного предприятия.


Качественное и надёжное обслуживание (ведение, администрирование) вебсайтов,
интернет-магазинов, витрин, блогов, форумов и других web проектов недорого.
Полное администрирование сайтов, включая наполнение контентом и продвижение.


 
     
 

razgovorodele.ru - © 2010-2017 - Разговор о деле ру
Безопасность информации при использовании средств связи и различных коммуникаций
При использовании наших материалов на других ресурсах сети обратная ссылка строго обязательна