axborot xavfsizligini ta’minlash nazariyalari axborot xavfsizligi tamoyillari
Download 37.39 Kb.
|
Axborot xavfsizligini monitoring qilish tizimini ishlab chiqish
|
MAZMUNI KIRISH
1.1 Axborot xavfsizligi tamoyillari 1.2 Rasmiy xavfsizlik modellari 2. AXBOROT XAVFSIZLIGINI TA’MINLASH MUAMMOSI 2.1 Mavjud standartlar va tavsiyalarning kamchiliklari 2.2 Eng keng tarqalgan tahdidlar 3. TARMOQNING AXBOROT XAVFSIZLIGI VA JAMIYATNING AXBOROT XAVFSIZLIGI MA'LUMOTLARNI shifrlashda 3.1 Axborotni himoya qilishning kriptografik usullari 3.2 Xavfsizlik siyosati XULOSA Manbalar va adabiyotlar RO'YXATI KIRISH
Kompyuter tarmoqlarida ma'lumotlarni himoya qilish zamonaviy axborot va hisoblash tizimlarining eng ochiq muammolaridan biriga aylanib bormoqda. Bugungi kunga kelib, axborot xavfsizligining uchta asosiy printsipi ishlab chiqilgan bo'lib, ularning vazifasi quyidagilardan iborat:
1.1 Axborot xavfsizligi tamoyillari AISni himoya qilish uchun quyidagi qoidalarni shakllantirish mumkin: – axborot xavfsizligi amaldagi qonunlar, standartlar va me’yoriy-uslubiy hujjatlarning qoida va talablari asosida amalga oshiriladi; - AISning axborot xavfsizligi dasturiy-texnik vositalar majmuasi va ularni qo'llab-quvvatlovchi tashkiliy chora-tadbirlar bilan ta'minlanadi; - AISning axborot xavfsizligi texnologik ma'lumotlarni qayta ishlashning barcha bosqichlarida va barcha ish rejimlarida, shu jumladan ta'mirlash va texnik xizmat ko'rsatish ishlarida ta'minlanishi kerak; - dasturiy va texnik himoya vositalari AISning asosiy funksional xususiyatlarini sezilarli darajada buzmasligi kerak; Axborot xavfsizligini ta'minlash bo'yicha ishlarning ajralmas qismi - bu baholanayotgan ob'ektning texnik xususiyatlarining butun majmuasini, shu jumladan texnik echimlar va amaliy amalga oshirishni hisobga oladigan metodologiya bo'yicha amalga oshiriladigan himoya vositalarining samaradorligini baholash; - AIS muhofazasi himoya vositalarining samaradorligini nazorat qilishni ta'minlashi kerak. Ushbu monitoring davriy bo'lishi yoki AIS foydalanuvchisi kerak bo'lganda boshlanishi mumkin. - izchillik - axborot xavfsizligi tizimlarini ishlab chiqish va joriy etishda axborot xavfsizligiga yuzaga kelishi mumkin bo'lgan tahdidlarni aniqlash va ushbu tahdidlar majmuasiga qarshi kurashishga qaratilgan usul va vositalarni tanlashni nazarda tutadi. Shu bilan birga, tanlangan yechim tahdidlarning butun majmuasiga qarshi kurashuvchi chora-tadbirlar majmuasini o'z ichiga olishi kerak. - Murakkablik. Axborot xavfsizligi masalalarini hal qilishda asosiy e'tiborni ma'lumotlarni himoya qilish vositalarining butun majmuasiga - dasturiy, texnik, huquqiy, tashkiliy va boshqalarga qaratish kerak. -. Uzluksizlik - axborot xavfsizligini ta'minlash bo'yicha chora-tadbirlar majmui vaqt va makonda uzluksiz bo'lishi kerakligini anglatadi, ya'ni. Axborot ob'ektlarini himoya qilish texnik xizmat ko'rsatish va ta'mirlash ishlarini bajarishda, axborot tizimlari va xizmatlarini sozlash va sozlashda va hokazolarda ham ta'minlanishi kerak. - oqilona etarlilik. Mutlaqo ishonchli va keng qamrovli himoya tizimini yaratish mumkin emas. Shu bilan birga, hatto qisman himoya tizimini qurish va ta'mirlash muayyan xarajatlarni talab qiladi. Shuning uchun, himoya tizimini tanlashda, axborot ob'ektlarini himoya qilish xarajatlari va axborot tahdidlarini amalga oshirishda mumkin bo'lgan yo'qotishlar o'rtasida murosani topish kerak. - Boshqaruv va qo'llashning moslashuvchanligi. Axborot xavfsizligi tahdidlari ko'p qirrali bo'lib, oldindan aniq belgilanmagan.Muvaffaqiyatli qarshi choralar qo'llanilayotgan vositalarni o'zgartirish, foydalanilayotgan ma'lumotlarni himoya qilish vositalarini tezda yoqish yoki o'chirish hamda yangi himoya mexanizmlarini qo'shish imkoniyatini talab qiladi. - Algoritmlarning ochiqligi va himoya mexanizmi. Axborot xavfsizligi vositalarining o'zi axborot tizimi yoki ob'ektiga tahdid solishi mumkin. Ushbu toifadagi tahdidlarning oldini olish uchun himoya qilish algoritmlari va mexanizmlari xavfsizlikni mustaqil tekshirish va standartlarga rioya qilish imkonini berishi kerak. Bundan tashqari, boshqa ma'lumotlarni himoya qilish vositalari bilan birgalikda algoritmlar va himoya mexanizmlaridan foydalanish imkoniyatini tekshirish talab etiladi. - himoya choralari va vositalarini qo'llash qulayligi. Axborot xavfsizligi tizimlarini loyihalashda shuni esda tutish kerakki, tavsiya etilgan chora-tadbirlar va vositalarni amalga oshirish foydalanuvchilar (ko'pincha axborot xavfsizligi sohasida mutaxassis bo'lmagan) tomonidan amalga oshiriladi.1 Shuning uchun himoya choralari samaradorligini oshirish uchun ular bilan ishlash algoritmi foydalanuvchi uchun tushunarli bo'lishi kerak. Bundan tashqari, foydalaniladigan axborot xavfsizligi vositalari va mexanizmlari foydalanuvchining avtomatlashtirilgan tizim bilan normal ishlashini buzmasligi kerak (ish unumdorligini keskin pasaytirish, ishning murakkabligini oshirish va h.k.). 1.2 Rasmiy xavfsizlik modellari Kirishni boshqarish mexanizmlari resurslarni himoya qilishning asosi bo'lib, sub'ektlarning (foydalanuvchilar yoki jarayonlarning) himoyalangan axborot va texnik resurslar - ob'ektlarga kirishini cheklash muammosini hal qilishni ta'minlaydi. Kirishni boshqarish mexanizmi amalda himoyalangan resurslarga kirishni cheklash siyosatini o'rnatish qoidalarini va himoyalangan resurslarga kirish so'rovlarini qayta ishlash qoidalarini belgilaydigan ba'zi mavhum yoki rasmiy modelni amalga oshiradi. Adabiyotda ma'lumotlarga kirishning quyidagi rasmiy modellari tasvirlangan: Bibe modeli, Gogen-Mesiger modeli, Sazerlend modeli, Klark-Uilson modeli, diskretsion (matritsa) modeli, ko'p darajali (majburiy) model. Amalda eng keng tarqalgani ixtiyoriy modeldir. U quyidagi qoidalarga asoslanadi: - barcha sub'ektlar va ob'ektlar aniqlanishi kerak; - sub'ektning tizim ob'ektiga kirish huquqi qandaydir tashqi qoida asosida aniqlanadi. "Mavzular-ob'ektlar" munosabatlari kirish matritsasi sifatida ko'rsatilishi mumkin, uning satrlarida sub'ektlar ro'yxati, ustunlarida IP ob'ektlari va katakchalarda qatorlar va ustunlar kesishmasida qo'shimcha shartlar va ruxsat etilgan turlar mavjud. kirish qayd etiladi. Shunday qilib, kirishni boshqarishni amalga oshirish ob'ektga mos keladigan matritsa qatorlarini tekshirish va joriy mavzu uchun ushbu ob'ektga kirish huquqlarini tahlil qilishdan iborat. Modelning afzalligi - tegishli himoya mexanizmlarining nisbatan sodda amalga oshirilishi. Kamchiliklari - modelning statik tabiati va sub'ektlar va ob'ektlar o'rtasidagi munosabatlarning haddan tashqari batafsil tavsifi, natijada boshqaruvning murakkabligi va xatolarning paydo bo'lishi. Matritsali modellarning kamchiliklarini bartaraf etish maqsadida ko‘p darajali modellar ishlab chiqilgan (Bella va La Padula, Denning panjara modeli). Ko'p darajali himoya modellari matritsalarga qaraganda real hayot ehtiyojlariga ancha yaqinroq, ular kirishni boshqarishning avtomatlashtirilgan tizimlarini qurish uchun eng yaxshi asosdir. Majburiy kirish nazorati quyidagi talablarni o'z ichiga oladi: - barcha IP sub'ektlari va ob'ektlari aniq belgilanishi kerak; – chiziqli tartiblangan xavfsizlik belgilari to‘plami ko‘rsatilgan; - tizimning har bir ob'ektiga qiymatni belgilaydigan xavfsizlik belgisi beriladi undagi ma'lumotlar - maxfiylik darajasi; – tizimning har bir sub’ektiga unga kirish darajasini belgilovchi xavfsizlik belgisi beriladi; sub'ektning xavfsizlik belgisi uning kirish darajasi deb ataladi. Mandat siyosatining asosiy maqsadi kirish imkoniyati yuqori bo'lgan ob'ektlardan ma'lumotlarning sizib chiqishining oldini olishdir. Mandat modelining muhim afzalligi bayonotning rasmiy dalilidir: agar tizimning dastlabki holati xavfsiz bo'lsa va tizimning barcha holatlardan davlatga o'tishlari xavfsizlik siyosatida belgilangan cheklovlarni buzmasa, tizimning har qanday holati. xavfsizdir. Mandat modelining kamchiliklari - amalga oshirishning murakkabligi. Amallar majmui o'qish operatsiyalari (ma'lumotlar oqimi ob'ektdan sub'ektga yo'naltiriladi) va yozish operatsiyalari (oqim sub'ektdan ob'ektga yo'naltiriladi) bilan cheklangan. Ko'pincha, maxfiy ma'lumotlarni qayta ishlashda resurslarga kirishni cheklash siyosatini amalga oshirish uchun asos ixtiyoriy model bo'lib, maxfiy ma'lumotlar majburiydir. Xavfsizlik monitori va uning vazifalari. Kirish darajasida xavfsizlik siyosatini amalga oshirishda axborot tizimi tanlangan model asosida kirish operatsiyalarini bajarilishini ta'minlaydigan modulga ega bo'lishi kerak - xavfsizlik monitori yoki kirish menejeri. Kirish menejeri xavfsizlik tizimining markaziy elementi bo'lib, sub'ektlarning ob'ektlarga so'ralgan kirishining sub'ektlari, ob'ektlari va parametrlarini aniqlaydi. Aynan xavfsizlik monitori talab qilingan ruxsatni beradi yoki rad etadi. Xavfsizlik monitorining asosiy funktsiyalari: 1. Resurslardan foydalanishni cheklash siyosatini amalga oshirishning to'g'riligi va aniqligini ta'minlash, ya'ni. har bir sub'ektga qonuniy kirishga ruxsat berilgan ob'ektlar to'plami noyob tarzda tayinlanadi. 2. Resurslardan foydalanishni cheklash siyosatini amalga oshirishning to'liqligini ta'minlash, ya'ni. kirishni boshqarish nafaqat har bir sub'ektga, balki har bir ob'ektga nisbatan qo'llanilishi kerak. 3. Xavfsizlik monitori ob'ektga kirishda sub'ektning ham aniq, ham yashirin harakatlarini aniqlashi kerak, ya'ni. ochiq va yashirin tahdidlarga qarshi turish. 4. Xavfsizlik monitori barcha ma'muriy funktsiyalarning bajarilishini ta'minlashi kerak (hisob qaydnomasini o'zgartirish, kirishni boshqarish qoidalarini o'zgartirish, sub'ektlar ro'yxatini o'zgartirish). Shu bilan birga, kirish menejeri sub'ektlarning buxgalteriya ma'lumotlarini o'zgartirish huquqini faqat vakolatli sub'ektlarga (ma'murlar, xavfsizlik xizmati) berishi kerak. 5. Xavfsizlik monitorida kirish huquqlarini taqsimlashni cheklovchi boshqaruv elementlari bo'lishi kerak.2 2 AXBOROT XAVFSIZLIGINI TA’MINLASH MUAMMOSI 2.1 Mavjud standartlar va tavsiyalarning kamchiliklari Avvalo, axborot xavfsizligi kontseptsiyasini qabul qilaylik - bu axborot va yordamchi infratuzilmani tabiiy yoki sun'iy xarakterdagi tasodifiy yoki qasddan ta'sirlardan himoya qilish, axborot va yordamchi infratuzilmaning egalari yoki foydalanuvchilariga zarar etkazishi mumkin. Xavfsizlikni ta'minlash muammosi tabiatan murakkab bo'lib, uni hal qilish qonunchilik, tashkiliy va dasturiy ta'minot va apparat vositalarining kombinatsiyasini talab qiladi. Afsuski, qonunchilik bazasi hali ham amaliyot ehtiyojlaridan orqada qolmoqda. Rossiyada mavjud qonunlar va qarorlar asosan taqiqlovchi xususiyatga ega. Shu bilan birga, mamlakatimizda xorijiy texnik va dasturiy ta’minotlar ustunlik qilayotganini ham hisobga olish kerak. Import cheklovlari va sertifikatlarni o'zaro tan olish to'g'risida davlatlararo shartnomalarning yo'qligi sharoitida mutlaqo qonunga bo'ysunishni xohlaydigan iste'molchilar umidsiz vaziyatda - ular kalit taslim zamonaviy tizimga buyurtma berish va olish imkoniyatiga ega emaslar. xavfsizlik sertifikatiga ega. Shunday bo'ldiki, Rossiyada axborot xavfsizligi masalalariga qiziqish asosan bank doiralaridan keladi. Bu ham yaxshi, ham yomon. Xo'sh, chunki qiziqish bor. Bu yomon, chunki kompyuterlar nafaqat banklarda, balki bank ma'lumotlarini eng qimmatli narsalarga kiritish mumkin emas. Jamiyat umuman kompyuterga bog'liq, shuning uchun bugungi kunda axborot xavfsizligi muammosi butun jamiyat muammosidir. Boshqa mamlakatlarda bu uzoq vaqt davomida tushunilgan. Misol uchun, 1987 yilda AQShda kompyuter xavfsizligi to'g'risida qonun qabul qilindi - 1988 yil sentyabr oyida kuchga kirgan Kompyuter xavfsizligi to'g'risidagi qonun. Ushbu qonun muhim ma'lumotlar bilan shug'ullanadigan foydalanuvchilarni o'qitish, tushuntirish qo'llanmalarini tayyorlash va boshqalar bo'yicha kompleks chora-tadbirlarni nazarda tutadi, ularsiz xavfsizlik rejimini ongli ravishda saqlab qolishning iloji yo'q. Va bu qonun haqiqatda amalga oshirilmoqda. Qonunchilik darajasidan keyingi bosqich boshqaruv darajasidir. Har bir tashkilot rahbariyati xavfsizlik rejimini saqlash zarurligini tushunishi va buning uchun tegishli resurslarni ajratishi kerak. Boshqaruv darajasi ta'minlashi kerak bo'lgan asosiy narsa ishning umumiy yo'nalishini belgilaydigan axborot xavfsizligi siyosatini ishlab chiqishdir. Axborot tizimlari bilan ishlaydigan xodimlarga nisbatan axborot xavfsizligini ta'minlash bo'yicha tashkiliy va dasturiy-texnik vositalar qo'llaniladi. Bu xodimlarni yollash, ularni tayyorlash, intizomni ta'minlash usullarini, shuningdek, "ahmoqlardan himoya qilish" vositalarini o'z ichiga olishi kerak. Binolar va jihozlarni jismoniy himoya qilish choralari ham muhim element hisoblanadi. Axborot xavfsizligi rejimini saqlab qolish uchun dasturiy ta'minot va apparat ta'minoti choralari ayniqsa muhimdir, chunki kompyuter tizimlariga asosiy tahdid o'z-o'zidan kelib chiqadi: apparatdagi nosozliklar, dasturiy ta'minotdagi xatolar, foydalanuvchilar va ma'murlarning xatolari va boshqalar. Keling, asosiy axborot xavfsizligi nomlarini eslaylik. mexanizmlar: - identifikatsiya va autentifikatsiya; - kirishni boshqarish; - ro'yxatga olish va audit; - kriptografiya; - ekranlash. Standartlar va tavsiyalar axborot xavfsizligini ta'minlash bo'yicha barcha ishlar kontseptual asosni tashkil qiladi. Shu bilan birga, bu asos birinchi navbatda ishlab chiqaruvchilar va tizimlarning "baholovchilari" ga va kamroq darajada iste'molchilarga qaratilgan. Standartlar va tavsiyalar statik va kamida ikki jihatdan statikdir. Birinchidan, ular himoyalangan tizimlarni va ularning atrof-muhitini doimiy ravishda qayta qurishni hisobga olmaydilar. Ikkinchidan, ularda xavfsizlik rejimini shakllantirish bo'yicha amaliy tavsiyalar mavjud emas. Axborot xavfsizligini sotib bo'lmaydi, uni har kuni saqlab turish kerak, bunda nafaqat kompyuterlar, balki odamlar bilan ham o'zaro aloqada bo'lish kerak. Boshqacha qilib aytganda, standartlar va tavsiyalar amaliy nuqtai nazardan ikkita asosiy va juda dolzarb savolga javob bermaydi: - xavfsizlikni ta'minlash uchun korxona miqyosidagi axborot tizimini qanday olish va to'ldirish kerak? - xavfsizlik rejimini amalda qanday shakllantirish va uni doimiy o'zgaruvchan muhitda va tizimning o'zida saqlab turish kerak? Yuqorida aytib o'tilganidek, standartlar va tavsiyalar ularni ishlab chiqqan bo'limlarning "tug'ilish belgilari" ga ega. Rossiya Federatsiyasi Prezidenti huzuridagi Davlat texnik komissiyasining "Apelsin kitobi" (AQShda axborot xavfsizligi muammolarini o'z ichiga olgan hujjat) va shunga o'xshash Yo'riqnoma hujjatlarida birinchi o'rinda maxfiylikni ta'minlash. Bu, albatta, muhim, lekin ko'pchilik fuqarolik tashkilotlari uchun yaxlitlik va qulaylik bir xil darajada muhimdir. Axborot xavfsizligining yuqoridagi ta'rifida maxfiylik uchinchi o'ringa qo'yilgani bejiz emas.3 Shunday qilib, standartlar va tavsiyalar tashkilotlarning axborot tizimlarini himoya qilish uchun uzoq va qiyin yo'lda faqat boshlang'ich nuqtadir. Amaliy nuqtai nazardan, iloji bo'lsa, oddiy tavsiyalar qiziqish uyg'otadi, ularga rioya qilish, agar optimal bo'lmasa ham, axborot xavfsizligini ta'minlash muammosiga juda yaxshi yechim beradi. Bunday tavsiyalarga o'tishdan oldin yana bir umumiy fikrni aytish foydalidir. Qayd etilgan kamchiliklarga qaramay, "Apelsin kitobi" juda katta mafkuraviy salohiyatga ega bo'lib, u hozirgacha talab qilinmagan. Bu, birinchi navbatda, texnologik kafolat tushunchasiga taalluqli bo'lib, tizimning butun hayotiy tsiklini - texnik xususiyatlarni ishlab chiqishdan foydalanish bosqichiga qadar qamrab oladi. Zamonaviy dasturlash texnologiyasi bilan natijada olingan tizim asl spetsifikatsiyalarda mavjud bo'lgan ma'lumotlarni o'z ichiga olmaydi. Shu bilan birga, uning ijro etilish bosqichida mavjudligi ko'plab axborot xavfsizligi muammolarini yangicha tarzda qo'yish va hal qilish imkonini beradi. Masalan, dastur qaysi ob'ektlar yoki ularning sinflariga kirishi mumkinligini bilish troyan otlarini yaratish va viruslarni tarqatishni ancha qiyinlashtiradi. Afsuski, hozircha ma'lum bir harakatning joizligi to'g'risida qaror qabul qilish uchun kam va asosan bilvosita ma'lumotlardan foydalaniladi - qoida tariqasida, jarayon egasining identifikatori (parol) - bu jarayonning xususiyatiga bog'liq emas. harakat. 2.2 Eng keng tarqalgan tahdidlar Axborot xavfsizligi vositalarini ko'rib chiqishga o'tishdan oldin, zamonaviy kompyuter tizimlari duch keladigan eng keng tarqalgan tahdidlarni ko'rib chiqaylik. Mumkin bo'lgan tahdidlarni bilish, shuningdek, ushbu tahdidlar odatda foydalanadigan xavfsizlik zaifliklari, eng tejamkor xavfsizlik choralarini tanlash uchun zarurdir. Turli vaziyatlarda "tahdid" tushunchasi ko'pincha turli yo'llar bilan talqin qilinadi. Masalan, qat'iy ochiq tashkilot uchun maxfiylikka tahdidlar bo'lmasligi mumkin - barcha ma'lumotlar ommaviy hisoblanadi; ammo, aksariyat hollarda, noqonuniy kirish jiddiy xavf hisoblanadi. Umuman olganda, axborot xavfsizligi muammosi ham noqonuniy kirish xavfini hisobga olgan holda ko'rib chiqilishi kerak. Zarar miqdori bo'yicha eng tez-tez uchraydigan va eng xavflisi - bu foydalanuvchilar, operatorlar, tizim ma'murlari va axborot tizimlariga xizmat ko'rsatuvchi boshqa shaxslarning tasodifiy xatolaridir. Ba'zida bunday xatolar tahdidlardir: noto'g'ri kiritilgan ma'lumotlar, dasturdagi xato va ba'zida ular tajovuzkorlar foydalanishi mumkin bo'lgan zaif tomonlarni yaratadi - bu odatda ma'muriy xatolar. Tadqiqotlarga ko'ra, yo'qotishlarning 65% tasodifiy xatolar natijasidir. Yong'in va toshqinlarni savodsizlik va e'tiborsizlik bilan solishtirganda arzimas narsa deb hisoblash mumkin. Shubhasiz, tasodifiy xatolar bilan kurashishning eng radikal usuli - maksimal avtomatlashtirish va bajarilgan harakatlarning to'g'riligini qat'iy nazorat qilish. Zarar bo'yicha ikkinchi o'rinda o'g'irlik va qalbakilashtirish turadi. Ma'lumotlarga ko'ra, 1992 yilda AQSH tashkilotlari shaxsiy kompyuterni bunday suiiste'mol qilish natijasida jami 882 million dollar zarar ko'rgan.Ko'pchilik tashkilotlar bunday hodisalarni tushunarli tarzda yashirib qo'ygani uchun haqiqiy zarar ancha yuqori ekanligini taxmin qilish mumkin. Tergov qilingan aksariyat hollarda aybdorlar ish vaqti va himoya choralarini yaxshi biladigan tashkilotlar xodimlari bo‘lib chiqdi. Bu yana bir bor ichki tahdid tashqi tahdiddan ancha xavfli ekanligini ko'rsatadi. "Xafa bo'lgan xodimlar" - hozirgi va sobiq - juda xavflidir. Qoida tariqasida, ularning harakatlari huquqbuzar tashkilotga zarar etkazish istagi bilan boshqariladi, masalan: - uskunaga zarar etkazish; - vaqt o'tishi bilan dasturlarni va / yoki ma'lumotlarni yo'q qiladigan mantiqiy bomba yaratish; - noto'g'ri ma'lumotlarni kiritish; -ma'lumotlarni o'chirish; - Ma'lumotlarni o'zgartirish uchun. "Xafa bo'lgan xodimlar, hatto sobiq bo'lganlar ham, tashkilotdagi qoidalar bilan tanish va juda samarali zarar etkazishi mumkin. Xodim ishdan bo'shatilganda uning axborot resurslariga kirish huquqi bekor qilinishini ta'minlash kerak. Atrof-muhitdan kelib chiqadigan tahdidlar, afsuski, juda xilma-xildir. Avvalo, infratuzilmaning buzilishini alohida ta'kidlash kerak: elektr ta'minotidagi uzilishlar, aloqaning vaqtinchalik yo'qligi, suv ta'minotidagi uzilishlar, fuqarolar tartibsizliklari va hokazo... Albatta, tabiiy ofatlar va texnogen ofatlar xavfli. Ma'lumki, yong'in, suv va shunga o'xshash "dushmanlar", ular orasida eng xavflisi elektr ta'minoti sifatining pastligi axborot tizimlariga etkazilgan yo'qotishlarning 13 foizini tashkil qiladi. Xakerlar (krakerlar) haqida ko'p aytiladi va yoziladi, lekin ulardan kelib chiqadigan tahdid ko'pincha bo'rttiriladi. To'g'ri, deyarli har bir Internet-server kuniga bir necha marta hujum qiladi; to'g'ri, ba'zan bunday urinishlar muvaffaqiyatli bo'ladi; to'g'ri, vaqti-vaqti bilan bunday harakatlar josuslik bilan bog'liq. Biroq, umuman olganda, xakerlar faoliyatidan ko'rilgan zarar boshqa tahdidlar bilan solishtirganda unchalik katta emas. Ehtimol, bunday odamlarning harakatlarining oldindan aytib bo'lmaydiganligi omili ko'proq qo'rqinchli. Tasavvur qiling-a, har qanday vaqtda begonalar sizning kvartirangizga kirishi mumkin. Agar ular g'arazli niyatga ega bo'lmasalar ham, lekin qiziq narsa bor-yo'qligini bilish uchun shunchaki kirgan bo'lsalar ham, bunda yoqimli narsa yo'q. Dasturiy ta'minot viruslari haqida ko'p aytiladi va yoziladi. Bundan tashqari, yaqinda ular nafaqat dasturlar va ma'lumotlarga, balki foydalanuvchilarga ham ta'sir qiladigan viruslar haqida gapirishmoqda. Shunday qilib, bir vaqtlar monitorda har soniyada ma'lum 25-kadrni ko'rsatib, foydalanuvchilarning miyasiga qon quyilishi va o'limga olib keladigan dahshatli virus 666 haqida xabar paydo bo'ldi (keyinchalik bu xabar tasdiqlanmadi). Biroq, "virusli" tahdid haqida gapirganda, quyidagi faktga e'tibor qaratamiz. 1993 yilda Qo'shma Shtatlarda o'tkazilgan tadqiqot shuni ko'rsatdiki, ma'lum viruslar sonining eksponentsial o'sishiga qaramay, viruslar keltirib chiqaradigan hodisalar sonining o'sishi kuzatilmagan. Kompyuter gigienasining oddiy qoidalariga rioya qilish infektsiya xavfini deyarli nolga kamaytiradi. Odamlar kompyuter o'yinlarini o'ynashdan ko'ra ishlaydigan joylarda (bu viruslar uchun tekshirilmagan dasturlardan foydalanishga olib keladigan hodisa), zararlangan kompyuterlar soni faqat foizning bir qismini tashkil qiladi. Bular axborot tizimlariga yetkazilgan zararning asosiy ulushini tashkil etuvchi asosiy tahdidlardir. Keling, tahdidlarga dosh bera oladigan himoya choralari ierarxiyasini ko'rib chiqaylik. Boshqaruvning axborot xavfsizligini ta'minlash bo'yicha boshqaruv chora-tadbirlarining asosiy maqsadi axborot xavfsizligi sohasida ish dasturini shakllantirish va uning bajarilishini ta'minlashdan iborat. Menejmentning vazifasi zarur resurslarni taqsimlash va ishlarning holatini nazorat qilishdir. Dasturning asosi tashkilotning o'z axborot aktivlarini himoya qilish yondashuvini aks ettiruvchi ko'p darajali xavfsizlik siyosatidir.4 Axborot tizimlaridan foydalanish ma'lum xavflar to'plami bilan bog'liq. Xavf qabul qilib bo'lmaydigan darajada yuqori bo'lsa, himoya choralarini ko'rish kerak. Xavfsizlik faoliyati samaradorligini nazorat qilish va atrof-muhitdagi o'zgarishlarni hisobga olish uchun xavfni davriy qayta baholash zarur. 3. TARMOQNING AXBOROT XAVFSIZLIGI VA JAMIYATNING AXBOROT XAVFSIZLIGI MA'LUMOTLARNI shifrlashda 3.1 Axborotni himoya qilishning kriptografik usullari Jamiyatning axborot xavfsizligini ta'minlash uchun ma'lumotlarni shifrlash mexanizmlari axborotni kriptografik shifrlash orqali kriptografik himoya qilishdir. Axborotni himoya qilishning kriptografik usullari axborotni qayta ishlash, saqlash va ommaviy axborot vositalarida va aloqa tarmoqlari orqali uzatishda qo'llaniladi. Uzoq masofalarga ma'lumotlarni uzatishda axborotni kriptografik himoya qilish shifrlashning yagona ishonchli usuli hisoblanadi. Kriptografiya - ma'lumotlarning axborot xavfsizligi modelini o'rganadigan va tavsiflovchi fan. Kriptografiya tarmoq xavfsizligining ko'plab muammolariga yechimlarni ochib beradi: autentifikatsiya, maxfiylik, yaxlitlik va o'zaro aloqada bo'lgan ishtirokchilarni nazorat qilish. "Shifrlash" atamasi ma'lumotlarni shifrlash-dekodlash kalitisiz odamlar va dasturiy ta'minot tizimlari tomonidan o'qib bo'lmaydigan shaklga aylantirishni anglatadi. Axborot xavfsizligining kriptografik usullari axborot xavfsizligi vositalarini ta'minlaydi, shuning uchun u axborot xavfsizligi tushunchasining bir qismidir. Axborotni kriptografik himoya qilish (maxfiylik) Axborot xavfsizligining maqsadlari pirovardida ma'lumotlarning maxfiyligini ta'minlash va tizim foydalanuvchilari o'rtasida tarmoq orqali ma'lumotlarni uzatish jarayonida kompyuter tizimlarida ma'lumotlarni himoya qilishdan iborat. Axborotni kriptografik himoya qilishga asoslangan maxfiy axborotni himoya qilish har bir transformatsiyaning “kalit” deb ataladigan parametr va har bir transformatsiyani qo‘llash tartibini belgilovchi tartib bilan tavsiflangan qaytariladigan transformatsiyalar oilasidan foydalangan holda ma’lumotlarni shifrlaydi. Axborotni himoya qilishning kriptografik usulining eng muhim komponenti kalit bo'lib, u transformatsiya va uni amalga oshirish tartibini tanlash uchun javobgardir. Kalit - kriptografik axborotni himoya qilish tizimining shifrlash va shifrni ochish algoritmini sozlaydigan belgilarning ma'lum bir ketma-ketligi. Har bir bunday transformatsiya axborotni himoya qilish va axborot tizimining axborot xavfsizligini ta'minlaydigan kriptografik algoritmni belgilaydigan kalit bilan o'ziga xos tarzda aniqlanadi. Xuddi shu kriptografik axborotni himoya qilish algoritmi turli rejimlarda ishlashi mumkin, ularning har biri Rossiyaning axborot xavfsizligi va axborot xavfsizligi vositalarining ishonchliligiga ta'sir qiluvchi ma'lum afzallik va kamchiliklarga ega. Axborot xavfsizligi kriptografiyasi asoslari (ma'lumotlar yaxlitligi) Mahalliy tarmoqlarda axborotni muhofaza qilish va axborotni himoya qilish texnologiyalari maxfiylik bilan bir qatorda axborotni saqlashning yaxlitligini ta'minlashi kerak. Ya'ni, mahalliy tarmoqlarda axborotni himoya qilish ma'lumotlarni uzatish va saqlash vaqtida ma'lumotlar o'zgarishsiz qoladigan tarzda uzatilishi kerak. Axborotning axborot xavfsizligini ta'minlash uchun ma'lumotlarni saqlash va uzatishning yaxlitligini ta'minlash uchun dastlabki ma'lumotlarning har qanday buzilishlarini aniqlaydigan vositalarni ishlab chiqish kerak, buning uchun dastlabki ma'lumotlarga ortiqcha qo'shiladi. Rossiyada kriptografiya yordamida axborot xavfsizligi ma'lumotlarning yaxlitligini hisoblash uchun qandaydir nazorat summasi yoki chek naqshini qo'shish orqali yaxlitlik masalasini hal qiladi. Shunday qilib, yana, axborot xavfsizligi modeli kriptografik - kalitga bog'liq. Kriptografiyaga asoslangan axborot xavfsizligini baholashga ko'ra, maxfiy kalitga ma'lumotlarni o'qish qobiliyatining bog'liqligi eng ishonchli vosita bo'lib, hatto davlat axborot xavfsizligi tizimlarida ham qo'llaniladi. Qoidaga ko'ra, korxonaning axborot xavfsizligi auditi, masalan, banklarning axborot xavfsizligi, buzilgan ma'lumotlarni muvaffaqiyatli kiritish ehtimoliga alohida e'tibor beradi va axborotni kriptografik himoya qilish bu ehtimollikni ahamiyatsiz darajada kamaytirishga imkon beradi. Daraja. Shunga o'xshash axborot xavfsizligi xizmati ushbu ehtimollikni shifrning taqlid qarshiligi yoki shifrlangan ma'lumotlarning xaker hujumiga qarshi turish qobiliyati deb ataydi. Axborot va davlat sirlarini himoya qilish (kriptografik axborotni himoya qilishning autentifikatsiyasi) Axborotni viruslardan himoya qilish yoki iqtisodiy axborotni himoya qilish tizimlari tizimning tartibga solinadigan foydalanuvchisini aniqlash va buzg'unchining tizimga kirishiga yo'l qo'ymaslik uchun foydalanuvchi autentifikatsiyasini qo'llab-quvvatlashi kerak, bu haqda har qanday ma'lumotni himoya qilish vositasi referatini o'qishingiz mumkin. Axborot o'zaro ta'sirining barcha sohalarida foydalanuvchi ma'lumotlarining haqiqiyligini tekshirish va tasdiqlash korxonada olingan har qanday ma'lumot va axborot xavfsizligi tizimining ishonchliligini ta'minlashning muhim tarkibiy qismidir. Banklarning axborot xavfsizligi, ayniqsa, bir-biri bilan o'zaro aloqada bo'lgan tomonlarning ishonchsizligi muammosida keskindir, bunda ATning axborot xavfsizligi tushunchasi nafaqat uchinchi tomon tomonidan tashqi tahdidni, balki axborot xavfsizligiga tahdidni ham o'z ichiga oladi (ma'ruzalar). foydalanuvchilardan. Axborot xavfsizligi tushunchasi. Raqamli imzo Ba'zan IP foydalanuvchilari ilgari qabul qilingan majburiyatlardan voz kechishni xohlashadi va ilgari yaratilgan ma'lumotlar yoki hujjatlarni o'zgartirishga harakat qilishadi. Rossiya Federatsiyasining axborot xavfsizligi doktrinasi buni hisobga oladi va bunday urinishlarni to'xtatadi. Bitta kalit yordamida maxfiy ma'lumotlarni himoya qilish bir foydalanuvchi boshqasiga ishonmaydigan vaziyatda mumkin emas, chunki jo'natuvchi keyinchalik xabarning uzatilishidan butunlay voz kechishi mumkin. Bundan tashqari, maxfiy ma'lumotlarning himoyalanishiga qaramay, ikkinchi foydalanuvchi ma'lumotlarni o'zgartirishi va tizimning boshqa foydalanuvchisiga mualliflik huquqini berishi mumkin. Tabiiyki, ma'lumotni dasturiy ta'minot himoyasi yoki axborotni muhandislik muhofazasi qanday bo'lishidan qat'i nazar, bu bahsda haqiqatni aniqlash mumkin emas. Kompyuter tizimlarida axborotni himoya qilishning bunday tizimidagi raqamli imzo mualliflik muammosi uchun panacea hisoblanadi. Elektron raqamli imzo bilan kompyuter tizimlarida axborotni himoya qilish ikkita algoritmni o'z ichiga oladi: imzoni hisoblash va uni tekshirish. Birinchi algoritm faqat muallif tomonidan bajarilishi mumkin (Axborotni himoya qilish bo'yicha tavsiyalarga qarang), ikkinchisi esa jamoat mulki bo'lib, har kim istalgan vaqtda elektron raqamli imzoning to'g'riligini tekshirishi mumkin (Ma'lumotni himoya qilish bo'yicha tavsiyalarga qarang). Kriptografik himoya va axborot xavfsizligi. Kriptosistema Kriptografik himoya va axborot xavfsizligi yoki kriptotizim ma'lum bir algoritm bo'yicha ishlaydi va maxsus matematik formulalar bo'yicha bir yoki bir nechta shifrlash algoritmlaridan iborat. Shuningdek, kriptotizim ma'lumotlarini dasturiy himoya qilish tizimi ma'lumotlarni shifrlash algoritmlari to'plami tomonidan ishlatiladigan kalitlarni, kalitlarni boshqarish algoritmini, oddiy matn va shifrlangan matnni o'z ichiga oladi. Kriptografiya yordamida ma'lumotlarni himoya qilish dasturining ishi, Rossiya Federatsiyasining axborot xavfsizligi doktrinasiga ko'ra, birinchi navbatda matnga shifrlash algoritmini qo'llaydi va shifrni ochish uchun kalitni yaratadi. Shundan so'ng, shifrlangan matn adresatga uzatiladi, bu erda xuddi shu algoritm qabul qilingan ma'lumotlarni asl formatga shifrlaydi. Bundan tashqari, kriptografiya orqali kompyuter ma'lumotlarini himoya qilish vositalarida ular kalitlarni yaratish va ularni tarqatish tartiblarini o'z ichiga oladi. Kriptografiyaning simmetrik yoki maxfiy metodologiyasi (Axborotni himoya qilishning texnik vositalari). Rossiyada axborot xavfsizligi Ushbu metodologiyada axborotni himoya qilish, shifrlash va shifrlashning texnik vositalari qabul qiluvchi va jo'natuvchi tomonidan ilgari kriptografik muhandislik ma'lumotlarini himoya qilishdan oldin kelishilgan bir xil kalitdan foydalanadi. Agar kalit buzilmagan bo'lsa, shifrni ochish jarayoni xabar muallifining autentifikatsiyasini avtomatik ravishda amalga oshiradi, chunki xabarning shifrini ochish uchun kalit faqat unga ega (Axborot xavfsizligi - Annotatsiya). Shunday qilib, kriptografiya yordamida ma'lumotni himoya qilish dasturlari xabarning jo'natuvchisi va qabul qiluvchisi kalitni bilishi mumkin bo'lgan yagona shaxslardir va uning murosasi axborot tizimining faqat ushbu ikki foydalanuvchisining o'zaro ta'siriga ta'sir qiladi. Bu holda tashkiliy axborot xavfsizligi muammosi ma'lumotni himoya qilish yoki Internetda ma'lumotni himoya qilish maqsadiga erishishga harakat qilayotgan har qanday kriptotizim uchun dolzarb bo'ladi, chunki nosimmetrik kalitlar foydalanuvchilar o'rtasida xavfsiz taqsimlanishi kerak, ya'ni ma'lumotlarga ega bo'lishi kerak. kalitlar uzatiladigan kompyuter tarmoqlarida himoya yuqori darajada edi. Axborotni himoya qilish apparat-dasturiy vositalarining kriptotizimini shifrlashning har qanday simmetrik algoritmi axborotni himoya qilish (bank ma'lumotlarini himoya qilish) maqsadini qondiradigan katta hajmdagi ma'lumotlarga qaramay, qisqa kalitlardan foydalanadi va shifrlashni juda tez amalga oshiradi. Kriptotizimga asoslangan kompyuter axborot xavfsizligi vositalari simmetrik kalit tizimlaridan quyidagi tartibda foydalanishi kerak: Axborot xavfsizligi ishi shundan boshlanadi, birinchidan, bank axborotini himoya qilish tashkiliy axborotni himoya qilishning simmetrik kalitini yaratadi, tarqatadi va saqlaydi; Bundan tashqari, axborot xavfsizligi bo‘yicha mutaxassis yoki kompyuter tarmoqlarida axborot xavfsizligi tizimining jo‘natuvchisi matnning xesh-funksiyasidan foydalangan holda va olingan xesh qatorni matnga qo‘shgan holda elektron imzo yaratadi, u axborot xavfsizligini ta’minlash tashkilotiga xavfsiz uzatilishi kerak; Axborot xavfsizligi doktrinasiga muvofiq, jo‘natuvchi axborotni kriptografik himoya qilish vositasida tezkor simmetrik shifrlash algoritmidan xabarlar paketining simmetrik kaliti va kriptografik axborot xavfsizligi vositasining shifrlash tizimi foydalanuvchisi autentifikatsiya qiluvchi elektron imzo bilan birgalikda foydalanadi; Shifrlangan xabar xavfsiz bo'lmagan aloqa kanallari orqali ham xavfsiz uzatilishi mumkin, ammo buni axborot xavfsizligi ishining bir qismi sifatida qilish yaxshiroqdir. Lekin nosimmetrik kalit sozsiz (axborot xavfsizligi doktrinasiga muvofiq) axborotni dasturiy va apparatli himoya qilish doirasida aloqa kanallari orqali uzatilishi kerak; Axborot xavfsizligining butun tarixi davomida axborot xavfsizligi ta'limotiga ko'ra, qabul qiluvchi paketning shifrini ochish uchun bir xil simmetrik algoritmdan va bir xil simmetrik kalitdan foydalanadi, bu esa xabarning asl matnini qayta tiklashga imkon beradi. axborot xavfsizligi tizimida jo‘natuvchining elektron imzosining shifrini ochish.5 Axborot xavfsizligi tizimida endi qabul qiluvchi elektron imzoni xabar matnidan ajratishi kerak; Bundan tashqari, qabul qiluvchi qabul qilingan matn uchun bir xil xesh funktsiyasi hisob-kitobidan foydalangan holda boshqa imzoni yaratadi va axborot xavfsizligi ishi shu bilan tugamaydi; Endilikda, qabul qiluvchi xabarning yaxlitligini va undagi buzilgan ma'lumotlarning yo'qligini tekshirish uchun avval va hozir olingan elektron imzolarni solishtiradi, bu axborot xavfsizligi sohasida ma'lumotlarni uzatishning yaxlitligi deb ataladi. Axborotni himoya qilish ishining nosimmetrik metodologiyasidan foydalanadigan axborot-psixologik xavfsizlik quyidagi vositalarga ega: Kerberos - tarmoq resurslariga kirish uchun autentifikatsiya algoritmi bo'lib, u axborotni himoya qilish va axborotni himoya qilish tizimining barcha foydalanuvchilari maxfiy kalitlari nusxalari, shuningdek, korxonadagi axborotni himoya qilish (yuklab olish ma'lumotlarini himoya qilish) markaziy ma'lumotlar bazasidan foydalanadi. Ko'pgina bankomat tarmoqlari muvaffaqiyatli axborot xavfsizligi tizimi (kurs) va axborotni himoya qilish (referat) misollari bo'lib, banklarning o'ziga xos ishlanmalaridir, shuning uchun bunday axborot xavfsizligini bepul yuklab olish mumkin emas - bu axborot xavfsizligi tashkiloti sotilmaydi! Axborot xavfsizligi uchun ochiq assimetrik metodologiya. Rossiyada axborot xavfsizligi Axborotni himoya qilish tarixini bilgan holda, ushbu metodologiyada shifrlash va shifrni ochish kalitlari birgalikda yaratilgan bo'lsa-da, har xil ekanligini tushunish mumkin. Bunday axborot xavfsizligi tizimida (referat) bitta kalit ochiq taqsimlanadi, ikkinchisi esa yashirin ravishda uzatiladi (Axborot xavfsizligi konspekti), chunki bitta kalit bilan shifrlangan ma'lumotlar faqat boshqa kalit bilan shifrlanishi mumkin. Axborotni himoya qilishning barcha assimetrik kriptografik vositalari kalitlarni to'g'ridan-to'g'ri sanab o'tish yo'li bilan axborot xavfsizligi sohasida harakat qiluvchi kraker tomonidan hujumlar nishoni hisoblanadi. Shu sababli, shaxsning bunday axborot xavfsizligi yoki axborotning psixologik xavfsizligida kalitlarni sanab o'tish jarayonini shunday uzoq jarayonga aylantirish uchun uzun kalitlardan foydalaniladiki, axborot xavfsizligi tizimini (kursini) buzish har qanday ma'noni yo'qotadi. Asimmetrik shifrlash algoritmlarining sekinlashuviga yo'l qo'ymaslik uchun har bir xabar uchun vaqtinchalik simmetrik kalit yaratiladi va shundan keyingina u assimetrik algoritmlar bilan shifrlanadi, hatto ma'lumotni valyuta kursini himoya qiladiganlar uchun ham sir emas. Axborot psixologik xavfsizligi va shaxsning axborot xavfsizligi tizimlari assimetrik kalitlardan foydalanishning quyidagi tartibidan foydalanadi: Axborot xavfsizligi sohasida assimetrik ochiq kalitlar yaratiladi va ommaviy ravishda tarqatiladi. Shaxsiy ma'lumotlarni himoya qilish tizimida maxfiy assimetrik kalit uning egasiga yuboriladi, ochiq assimetrik kalit esa ma'lumotlar bazasida saqlanadi va axborot xavfsizligi bo'yicha mutaxassis tomonidan nazorat qilinadigan axborot xavfsizligi tizimining sertifikat berish markazi tomonidan boshqariladi. Keyin, hech qanday joyda bepul yuklab bo'lmaydigan axborot xavfsizligi, har ikkala foydalanuvchi ham bunday axborot xavfsizligi tizimida (bepul yuklab bo'lmaydigan) butun axborotni himoya qilish tomonidan foydalaniladigan kalitlarning xavfsiz yaratilishi, ma'muriyati va tarqatilishiga ishonishi kerakligini anglatadi. tashkil etish amalga oshiriladi. Bundan ham ko'proq, agar axborotni himoya qilishning har bir bosqichida axborotni himoya qilish asoslariga (axborot almashinuv kursini himoya qilish) ko'ra, har bir qadam turli shaxslar tomonidan amalga oshirilsa, maxfiy xabarni qabul qiluvchi (axborotni himoya qilish referatini yuklab olish) shundayligiga ishonishi kerak. kalitlarni yaratuvchisi ularning nusxasini yo'q qildi va boshqa hech kim axborotni himoya qilish vositalari tizimida uzatiladigan ma'lumotlarning himoyasini yuklab olishi uchun bu kalitlarni taqdim etmadi. Har qanday axborot xavfsizligi mutaxassisi shunday ishlaydi. Bundan tashqari, axborot xavfsizligi asoslari matnning elektron imzosi yaratilishini va natijada olingan qiymatning assimetrik algoritm bilan shifrlanishini ta'minlaydi. Keyinchalik, barcha bir xil axborot xavfsizligi asoslari jo'natuvchining maxfiy kaliti belgilar qatorida saqlanadi va u axborot xavfsizligi va axborot xavfsizligi tizimida uzatiladigan matnga qo'shiladi, chunki axborot xavfsizligi va axborot xavfsizligida elektron imzo. elektron imzo yaratishingiz mumkin! Keyin axborot xavfsizligi tizimlari va vositalari sessiya kalitini qabul qiluvchiga o'tkazish muammosini hal qiladi. Bundan tashqari, axborot xavfsizligi vositalari tizimida jo'natuvchi tashkilot va axborot xavfsizligi texnologiyasi sertifikatini bergan organning assimetrik ochiq kalitini olishi kerak. Muayyan tashkilotda va axborot xavfsizligi texnologiyasida ochiq kalit uchun shifrlanmagan so'rovlarni ushlab qolish krakerlarning eng keng tarqalgan hujumidir. Shuning uchun ham axborot xavfsizligini tashkil etish va texnologiyasida ochiq kalitning haqiqiyligini tasdiqlovchi sertifikatlar tizimi joriy etilishi mumkin. Shunday qilib, shifrlash algoritmlari kalitlardan foydalanishni o'z ichiga oladi, bu sizga kalitni bilmagan foydalanuvchilardan ma'lumotlarni 100% himoya qilish imkonini beradi. 3.2 Xavfsizlik siyosati Haqiqiy hayotda "xavfsizlik siyosati" atamasi Apelsin kitobiga qaraganda ancha kengroq talqin qilinadi. Xavfsizlik siyosati axborot va u bilan bog'liq resurslarni himoya qilishga qaratilgan hujjatlashtirilgan boshqaruv qarorlari majmui sifatida tushuniladi. Amaliy nuqtai nazardan, xavfsizlik siyosatini uch darajaga bo'lish maqsadga muvofiqdir. Yuqori daraja butun tashkilotga ta'sir qiladigan qarorlarni o'z ichiga oladi. Ular tabiatan juda umumiydir va odatda tashkilot rahbariyatidan kelib chiqadi. Bunday echimlarning indikativ ro'yxati quyidagi elementlarni o'z ichiga olishi mumkin: - axborot xavfsizligi bo'yicha kompleks dasturni shakllantirish yoki qayta ko'rib chiqish, dasturni ilgari surish uchun mas'ul shaxslarni aniqlash; - axborot xavfsizligi sohasida tashkilot tomonidan ko'zda tutilgan maqsadlarni shakllantirish, ushbu maqsadlarga erishishning umumiy yo'nalishlarini belgilash; - qonunlar va me'yoriy hujjatlarga rioya qilish asoslarini ta'minlash; - butun tashkilot darajasida ko'rib chiqilishi kerak bo'lgan xavfsizlik dasturini amalga oshirish masalalari bo'yicha boshqaruv qarorlarini shakllantirish. Tashkilotning boshqaruv darajasidagi siyosati uchun axborot xavfsizligi maqsadlari yaxlitlik, mavjudlik va maxfiylik nuqtai nazaridan shakllantiriladi. Agar tashkilot muhim ma'lumotlar bazalarini saqlash uchun mas'ul bo'lsa, ma'lumotlar yo'qolishi, buzilish yoki buzilish holatlarini kamaytirish ustuvor vazifa bo'lishi mumkin. Savdo tashkiloti uchun taqdim etilayotgan xizmatlar va narxlar to'g'risidagi ma'lumotlarning dolzarbligi, shuningdek, uning potentsial xaridorlarning maksimal soni uchun mavjudligi muhim ahamiyatga ega. Xavfsizlik tashkiloti birinchi navbatda maxfiylikni ruxsatsiz kirishdan himoya qilish bilan shug'ullanadi. Yuqori darajada himoya resurslarini boshqarish va ushbu resurslardan foydalanishni muvofiqlashtirish, muhim tizimlarni himoya qilish uchun maxsus xodimlarni taqsimlash, xavfsizlik rejimini ta'minlaydigan yoki nazorat qiluvchi boshqa tashkilotlar bilan aloqalarni saqlash. Yuqori darajadagi siyosat o'z ta'sir doirasini aniq belgilashi kerak. Bu tashkilotning barcha kompyuter tizimlari bo'lishi mumkin, yoki agar siyosat xodimlarning uy kompyuterlaridan qanday foydalanishining ba'zi jihatlarini boshqaradigan bo'lsa. Biroq, ta'sir doirasiga faqat eng muhim tizimlar kiritilganda, bunday holat ham mumkin. Siyosat mansabdor shaxslarning xavfsizlik dasturini ishlab chiqish va uni amalga oshirishdagi mas'uliyatini belgilashi kerak. Shu ma'noda siyosat xodimlarning javobgarligining asosidir. Yuqori darajadagi siyosat qonunga bo'ysunish va ishlash intizomining uchta jihati bilan shug'ullanadi. Birinchidan, tashkilot mavjud qonunlarga rioya qilishi kerak. Ikkinchidan, xavfsizlik dasturini ishlab chiqish uchun mas'ul shaxslarning harakatlari nazorat qilinishi kerak. Nihoyat, xodimlarning ma'lum darajada itoatkorligini ta'minlash kerak va buning uchun mukofot va jazolar tizimini ishlab chiqish kerak. Umuman olganda, savollarning minimal miqdori yuqori darajada chiqarilishi kerak. Bunday qaror xarajatlarni sezilarli darajada tejashni va'da qilganda yoki boshqacha qilishning iloji bo'lmaganda to'g'ri keladi. O'rta daraja axborot xavfsizligining ba'zi jihatlari bilan bog'liq, ammo tashkilot tomonidan boshqariladigan turli tizimlar uchun muhim bo'lgan savollarni o'z ichiga oladi. Bunga ilg'or, ammo hali yetarlicha sinovdan o'tmagan texnologiyalarga bo'lgan munosabat misol bo'la oladi: Internetga kirish (axborot erkinligi bilan tashqi tahdidlardan himoyalanishni qanday birlashtirish mumkin?), uy kompyuterlaridan foydalanish, foydalanuvchilar tomonidan norasmiy dasturiy ta'minotdan foydalanish va boshqalar.6 O'rta darajadagi axborot xavfsizligi siyosati quyidagi mavzularni qamrab olishi kerak: - Qo'llash sohasi. Bu xavfsizlik siyosati qayerda, qachon, qanday, kimga va nimaga nisbatan qo'llanilishini ko'rsatishi kerak. Masalan, subpudratchi tashkilot siyosati norasmiy dasturiy ta'minotga nisbatan qo'llaniladimi? Bu noutbuklar va uy kompyuterlaridan foydalanadigan va ma'lumotni ishlab chiqarish mashinalariga o'tkazishga majbur bo'lgan ishchilarga ta'sir qiladimi? - Tashkilotning pozitsiyasi. Misolni norasmiy dasturiy ta'minot bilan davom ettiradigan bo'lsak, to'liq taqiqlash pozitsiyalarini, bunday dasturiy ta'minotni qabul qilish tartibini ishlab chiqishni va hokazolarni tasavvur qilish mumkin. Pozitsiyani tashkilot bu borada ko'zlagan maqsadlar to'plami sifatida ancha umumiy shaklda shakllantirish mumkin. jihati. Umuman olganda, xavfsizlik siyosati hujjatlarining uslubi, shuningdek, ushbu hujjatlar ro'yxati tashkilotdan tashkilotga sezilarli darajada farq qilishi mumkin. - Rol va mas'uliyat. "Siyosiy" hujjat xavfsizlik siyosatini amalga oshirish uchun mas'ul bo'lgan mansabdor shaxslar to'g'risidagi ma'lumotlarni o'z ichiga olishi kerak. Misol uchun, agar xodimning norasmiy dasturiy ta'minotdan foydalanishi rasmiy ruxsatni talab qilsa, uni kimdan va qanday olish kerakligi ma'lum bo'lishi kerak. Agar boshqa kompyuterlardan olib kelingan floppi disklar tekshirilishi kerak bo'lsa, tekshirish tartibi tavsiflanishi kerak. Agar norasmiy dasturiy ta'minotdan foydalanish mumkin bo'lmasa, siz ushbu qoidani kim qo'llashini bilishingiz kerak. - Qonunga bo'ysunuvchi. Siyosat taqiqlangan faoliyatning umumiy tavsifini va ular uchun jazolarni o'z ichiga olishi kerak. - Aloqa nuqtalari. Aniqlik, yordam va qo'shimcha ma'lumot uchun qaerga murojaat qilish kerakligi ma'lum bo'lishi kerak. Odatda "aloqa nuqtasi" mansabdor shaxs bo'lib, bu qaysi shaxs hozirda ushbu lavozimni egallashiga bog'liq emas. Past darajadagi xavfsizlik siyosati muayyan xizmatlarga xosdir. U ikkita jihatni o'z ichiga oladi - maqsadlar va ularga erishish qoidalari, shuning uchun uni amalga oshirish masalalaridan ajratish ba'zan qiyin. Yuqori ikki darajadan farqli o'laroq, ko'rib chiqilayotgan siyosat yanada batafsilroq bo'lishi kerak. Tashkilot bo'ylab bir xilda tartibga solinib bo'lmaydigan individual xizmatlarga xos bo'lgan ko'p narsalar mavjud. Shu bilan birga, bu narsalar xavfsizlik rejimi uchun shunchalik muhimki, ular bilan bog'liq qarorlar texnik jihatdan emas, balki boshqaruv darajasida qabul qilinishi kerak. Quyida past darajadagi xavfsizlik siyosatiga rioya qilishda javob berilishi kerak bo'lgan savollarga misollar keltirilgan: - kim xizmat tomonidan qo'llab-quvvatlanadigan ob'ektlarga kirish huquqiga ega? - qanday sharoitlarda ma'lumotlarni o'qish va o'zgartirish mumkin? - Xizmatga masofadan kirish qanday tashkil etilgan? Maqsadlarni shakllantirishda quyi darajadagi siyosat yaxlitlik, mavjudlik va maxfiylik masalalariga asoslanishi mumkin, ammo u shu bilan to'xtamasligi kerak. Uning maqsadlari aniqroq bo'lishi kerak. Misol uchun, agar siz ish haqi tizimi haqida gapiradigan bo'lsangiz, faqat HR va buxgalteriya xodimlari ma'lumotlarni kiritish va o'zgartirishga ruxsat berish uchun maqsad qo'yishingiz mumkin. Umumiy holda, maqsadlar xizmat ob'ektlari va mazmunli harakatlarni ular bilan bog'lashi kerak. Maqsadlardan kim nima va qanday sharoitda nima qilishi mumkinligini tavsiflovchi xavfsizlik qoidalari olinadi. Qoidalar qanchalik batafsil bo'lsa, ular qanchalik rasmiy bayon qilingan bo'lsa, ularning bajarilishini dasturiy ta'minot va apparat vositalari bilan ta'minlash shunchalik oson bo'ladi. Boshqa tomondan, juda qattiq qoidalar foydalanuvchi tajribasiga to'sqinlik qilishi va tez-tez ko'rib chiqilishi kerak bo'lishi mumkin. Rahbariyat maqbul narxda xavfsizlikning maqbul darajasi ta'minlangan va ishchilar haddan tashqari cheklanmagan holda oqilona murosa topishi kerak. Odatda, ushbu masalaning alohida ahamiyati tufayli, ob'ektlarga kirish huquqi eng rasmiy ravishda o'rnatiladi. Taqdimotni yanada aniqroq qilish uchun tashkilotga tegishli bo'lgan faraziy mahalliy tarmoqning axborot xavfsizligi siyosatini ko'rib chiqing. Qo'llash sohasi. Korxonaning mahalliy tarmog'iga kiritilgan barcha texnik, dasturiy ta'minot va axborot resurslari axborot xavfsizligi siyosati doirasiga kiradi. Siyosat shuningdek, tarmoq bilan ishlaydigan odamlarga, jumladan, foydalanuvchilar, subpudratchilar va yetkazib beruvchilarga ham qaratilgan. Tashkilotning pozitsiyasi. Tashkilotning maqsadi ma'lumotlarning yaxlitligi, mavjudligi va maxfiyligini, shuningdek ularning to'liqligi va dolzarbligini ta'minlashdir. Aniqroq maqsadlar: - me'yoriy hujjatlar talablariga javob beradigan xavfsizlik darajasini ta'minlash; - himoya choralarini tanlashda iqtisodiy maqsadga muvofiqligini o'rganish (himoya xarajatlari axborot xavfsizligi buzilishidan kutilayotgan zarardan oshmasligi kerak); - mahalliy tarmoqning har bir funktsional hududida xavfsizlikni ta'minlash; — axborot va resurslar bilan foydalanuvchining barcha harakatlari uchun javobgarlikni ta'minlash; - ro'yxatga olish ma'lumotlarini tahlil qilishni ta'minlash; - foydalanuvchilarni xavfsizlik rejimini ongli ravishda saqlash uchun etarli ma'lumot bilan ta'minlash; - tarmoq uzluksizligini ta'minlash maqsadida barcha funktsional hududlar uchun baxtsiz hodisalar va boshqa muhim vaziyatlardan keyin tiklash rejalarini ishlab chiqish; - amaldagi qonunlar va korporativ xavfsizlik siyosatiga rioya etilishini ta'minlash. Rol va mas'uliyatni taqsimlash. Quyida sanab o'tilgan odamlar guruhlari ilgari ishlab chiqilgan maqsadlarni amalga oshirish uchun javobgardir. - tashkilot rahbari tegishli axborot xavfsizligi siyosatini ishlab chiqish va uni amalga oshirish uchun javobgardir; - bo'lim boshliqlari axborot xavfsizligi siyosati qoidalarini foydalanuvchilarga etkazish va ular bilan aloqa qilish uchun javobgardir. - tarmoq ma'murlari tarmoqning uzluksiz ishlashini ta'minlaydi va axborot xavfsizligi siyosatini amalga oshirish uchun zarur bo'lgan texnik chora-tadbirlarni amalga oshirish uchun javobgardir. - foydalanuvchilar xavfsizlik siyosatiga muvofiq mahalliy tarmoq bilan ishlashlari, xavfsizlikning ayrim jihatlari uchun mas'ul shaxslarning buyruqlariga bo'ysunishlari, barcha shubhali vaziyatlar haqida rahbariyatni xabardor qilishlari shart. Qonunga bo'ysunuvchi. Axborot xavfsizligi siyosatining buzilishi mahalliy tarmoq va unda aylanayotgan axborotni qabul qilib bo'lmaydigan xavf ostiga qo'yishi mumkin. Har qanday axborot tizimining eng zaif bo'g'ini shaxs bo'lganligi sababli, qonunga bo'ysunadigan xodimlarni axborot xavfsizligi qonunlari va qoidalariga nisbatan o'qitish alohida ahamiyatga ega. Xodimlar tomonidan ushbu qonunlar va qoidalarni buzganlik holatlari rahbariyat tomonidan ko'rib chiqilishi va shu jumladan tugatishgacha bo'lgan choralar ko'rilishi kerak. XULOSA Vazifalar bo'yicha xulosalar. Axborot xavfsizligi tamoyillari: - AISning axborot xavfsizligi texnologik ma'lumotlarni qayta ishlashning barcha bosqichlarida va barcha ish rejimlarida, shu jumladan ta'mirlash va ta'mirlash ishlarida har tomonlama ta'minlanishi kerak. Axborot xavfsizligini ta’minlashga qaratilgan ushbu chora-tadbirlar majmui esa vaqt va makonda uzluksiz bo‘lishi kerak. Ammo himoya choralari va vositalarini qo'llash qulayligi haqida unutmang. Axborot xavfsizligi tizimlarini loyihalashda shuni esda tutish kerakki, tavsiya etilgan chora-tadbirlar va vositalarni amalga oshirish foydalanuvchilar (ko'pincha axborot xavfsizligi sohasida mutaxassis bo'lmagan) tomonidan amalga oshiriladi. Shuning uchun himoya choralari samaradorligini oshirish uchun ular bilan ishlash algoritmi foydalanuvchi uchun tushunarli bo'lishi kerak. Bundan tashqari, foydalanilayotgan axborot xavfsizligi vositalari va mexanizmlari foydalanuvchining avtomatlashtirilgan tizim bilan normal ishlashini buzmasligi kerak. Rasmiy xavfsizlik modellari: Amalda eng keng tarqalgani ixtiyoriy modeldir. Modelning afzalligi - tegishli himoya mexanizmlarining nisbatan sodda amalga oshirilishi. Kamchiliklari - modelning statik tabiati va sub'ektlar va ob'ektlar o'rtasidagi munosabatlarning haddan tashqari batafsil tavsifi, natijada boshqaruvning murakkabligi va xatolarning paydo bo'lishi. Matritsali modellarning kamchiliklarini bartaraf etish uchun ko'p bosqichli modellar ishlab chiqilgan. Ko'p darajali himoya modellari matritsalarga qaraganda real hayot ehtiyojlariga ancha yaqinroq, ular kirishni boshqarishning avtomatlashtirilgan tizimlarini qurish uchun eng yaxshi asosdir. Mandat siyosatining asosiy maqsadi yuqori kirish imkoniyatiga ega boʻlgan obʼyektlardan past kirish imkoniyatiga ega boʻlgan obʼyektlarga axborot oqib chiqishining oldini olishdan iborat. Mavjud standartlar va tavsiyalarning kamchiliklari: Standartlar va tavsiyalar axborot xavfsizligini ta'minlash bo'yicha barcha ishlar kontseptual asosni tashkil qiladi. Shu bilan birga, bu asos birinchi navbatda ishlab chiqaruvchilar va tizimlarning "baholovchilari" ga va kamroq darajada iste'molchilarga qaratilgan. Standartlar va tavsiyalar statik va kamida ikki jihatdan statikdir. Birinchidan, ular himoyalangan tizimlarni va ularning atrof-muhitini doimiy ravishda qayta qurishni hisobga olmaydilar. Ikkinchidan, ularda xavfsizlik rejimini shakllantirish bo'yicha amaliy tavsiyalar mavjud emas. Shunday qilib, standartlar va tavsiyalar tashkilotlarning axborot tizimlarini himoya qilish uchun uzoq va qiyin yo'lda faqat boshlang'ich nuqtadir. Amaliy nuqtai nazardan, iloji bo'lsa, oddiy tavsiyalar qiziqish uyg'otadi, ularga rioya qilish, agar optimal bo'lmasa ham, axborot xavfsizligini ta'minlash muammosiga juda yaxshi yechim beradi. Eng keng tarqalgan tahdidlar Quyidagi tahdidlar aniqlandi: - foydalanuvchilar, operatorlar, tizim ma'murlari va axborot tizimlariga xizmat ko'rsatuvchi boshqa shaxslarning tasodifiy xatolari - o'g'irlik va qalbakilashtirish - "xafa bo'lgan xodimlar" (hozirgi va sobiq) - infratuzilmani buzish - tabiiy ofatlar va texnogen ofatlar. - krakerlar - dasturiy ta'minot viruslari Xavfsizlik siyosati Axborot xavfsizligi siyosatining buzilishi mahalliy tarmoq va unda aylanayotgan axborotni qabul qilib bo'lmaydigan xavf ostiga qo'yishi mumkin. Har qanday axborot tizimining eng zaif bo'g'ini shaxs bo'lganligi sababli, qonunga bo'ysunadigan xodimlarni axborot xavfsizligi qonunlari va qoidalariga nisbatan o'qitish alohida ahamiyatga ega. Xodimlar tomonidan ushbu qonunlar va qoidalarni buzganlik holatlari rahbariyat tomonidan ko'rib chiqilishi va shu jumladan tugatishgacha bo'lgan choralar ko'rilishi kerak. Yuqoridagilardan ma'lum bo'ladiki, axborot xavfsizligini ta'minlash murakkab vazifadir. Buning sababi shundaki, axborot muhiti murakkab ko'p qirrali mexanizm bo'lib, unda elektron uskunalar, dasturiy ta'minot va xodimlar kabi komponentlar ishlaydi. Axborot xavfsizligini ta'minlash muammosini hal qilish uchun qonunchilik, tashkiliy va dasturiy-texnik chora-tadbirlarni qo'llash zarur. Ushbu muammoning hech bo'lmaganda bitta jihatini e'tiborsiz qoldirish zamonaviy jamiyat hayotidagi qiymati va roli tobora muhim ahamiyat kasb etayotgan ma'lumotlarning yo'qolishi yoki sizib chiqishiga olib kelishi mumkin. MANBA VA ADABIYOTLAR RO'YXATI axborot xavfsizligini himoya qilish kriptografik 2006 yil 27 iyuldagi 149-FZ-son Federal qonuni Rossiya Federatsiyasining Axborot xavfsizligi doktrinasi Rossiya Federatsiyasi Prezidentining 2008 yil 17 martdagi 351-sonli "Xalqaro axborot almashinuvining axborot va telekommunikatsiya tarmoqlaridan foydalanishda Rossiya Federatsiyasining axborot xavfsizligini ta'minlash chora-tadbirlari to'g'risida"gi Farmoni. Gaikovich V., Pershin A., Elektron bank tizimlari xavfsizligi. - Moskva, Birlashgan Evropa, 1994 yil. Galatenko V., Axborot xavfsizligi, "Ochiq tizimlar", N 4, "Kompyuter dunyosi", 1996 yil, 6-son «Kompyuter-press», 1998 yil, 4-son «Kompyuter-press» 1999 yil, 5-son Sychev Yu.N. AXBOROT XAVFSIZLIGI ASOSLARI O'quv va amaliy qo'llanma. - M .: Ed. Markaz EAOI, 2007. - 300 p. . Kuzmin I. V. Raqamli kompyuterlarning apparat boshqaruvi / I. V. Kuzmin, R. G. Burnazyan, A. A. Kovergin. - M.: Energetika, 1974 yil. Leontiev V.P. Shaxsiy kompyuter, Olma-Press nashriyoti. - M., 2004 yil Partyka T.L. Axborot xavfsizligi: darslik. nafaqa / T.L.Partyka, I.I.Popov. - M.: Forum: Infra-M, 2002. Zavgorodniy V. I. Kompyuter tizimlarida axborotni kompleks himoya qilish: darslik. nafaqa / V.I. Zavgorodniy. - M.: LOGOSLAR: PBOYUL N. A. Egorov, 2001 yil. Grusho A. A. Axborot xavfsizligining nazariy asoslari / A. A. Grusho, E. E. Timonina. - M .: Ed. Yachtsman agentliklari, 1996 yil. Melnikov VV Kompyuter tizimlarida axborotni himoya qilish / VV Melnikov. - M.: Moliya va statistika: Elektroinform, 1997 yil. Melnikov V.P. Axborot xavfsizligi: darslik. nafaqa / V.P. Melnikov, S.A. Kleimenov, A.M. Petrakov; ed. S.A. Kleymenova. - M .: Ed. "Akademiya" markazi, 2005 yil. Gerasimenko V.A. Axborot xavfsizligi asoslari / V.A. Gerasimenko, A.A. Mamok. - M.: MEPhI, 1997 yil. Moiseev N. N. Optimal tizimlar nazariyasi elementlari / N. N. Moiseev. - M.: Nauka, 1975 yil. Arapov M.V. Axborot sohasi va jamiyatni axborot axborotlashtirish// Informatika va madaniyat: Sat.scientific tr. Novosibirsk: fan, Sibir filiali. 1990.S.6-23. Simonovich S., Evseev G., Alekseev A. Umumiy informatika, "AST Press Book" MChJ nashriyoti. – M., 2002.-133-bet. Shangin V.F. Kompyuter ma'lumotlarini himoya qilish. Samarali usullar va vositalar. - M.: DMK Press, 2008. - 544 b. www.allbest.ru saytida joylashtirilgan 1Galatenko V., Axborot xavfsizligi, "Ochiq tizimlar", N 4, 2Sychev Yu.N. AXBOROT XAVFSIZLIGI ASOSLARI O'quv va amaliy qo'llanma. - M .: Ed. Markaz EAOI, 2007. - 300 p. 3 Leontiev V.P. Shaxsiy kompyuter, Olma-Press nashriyoti. - M., 2004 yil 4 Melnikov V.P. Axborot xavfsizligi: darslik. nafaqa / V.P. Melnikov, S.A. Kleimenov, A.M. Petrakov; ed. S.A. Kleymenova. - M .: Ed. "Akademiya" markazi 5 Rossiya Federatsiyasining Axborot xavfsizligi doktrinasi 6 Zavgorodniy V. I. Kompyuter tizimlarida axborotni kompleks himoya qilish: darslik. nafaqa / V.I. Zavgorodniy. - M.: LOGOSLAR: PBOYUL N. A. Egorov, 2001 yil. Download 37.39 Kb. Do'stlaringiz bilan baham: 
|