Информационная безопасность как глобальная проблема

Размещено на http://www.allbest.ru/

УДК 004.9

Таразский государственный университет им. М.Х. Дулати

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ КАК ГЛОБАЛЬНАЯ ПРОБЛЕМА

Ескенеева М.Г.

Говоря об информационной безопасности, в настоящее время имеют в виду, собственно говоря, безопасность компьютерную. Действительно, информация, находящаяся на электронных носителях играет все большую роль в жизни современного общества. Уязвимость такой информации обусловлена целым рядом факторов: огромные объемы, многоточечность и возможная анонимность доступа, возможность "информационных диверсий"... Все это делает задачу обеспечения защищенности информации, размещенной в компьютерной среде, гораздо более сложной проблемой, чем, скажем, сохранение тайны традиционной почтовой переписки.

Если говорить о безопасности информации, сохраняющейся на "традиционных" носителях (бумага, фотоотпечатки и т.п.), то ее сохранность достигается соблюдением мер физической защиты (т.е. защиты от несанкционированного проникновения в зону хранения носителей). Другие аспекты защиты такой информации связаны со стихийными бедствиями и техногенными катастрофами. Таким образом, понятие "компьютерной" информационной безопасности в целом является более широким по сравнению с информационной безопасностью относительно "традиционных" носителей.

Информационная безопасность - довольно емкая и многогранная проблема, охватывающая не только определение необходимости защиты информации, но и то, как ее защищать, от чего защищать, когда защищать, чем защищать и какой должна быть эта защита.

При совершении компьютерных преступлений использовались пять основных технологий.

Мошенничества:

1. Ввод неавторизованной информации.

2. Манипуляции разрешенной для ввода информацией.

3. Манипуляции или неправильное использование файлов с информацией.

4. Создание неавторизованных файлов с информацией.

5. Обход внутренних мер защиты.

Примечание. Авторизация - предоставление определенных полномочий лицу (группе лиц) на выполнение некоторых действий в системе обработки данных.

Злоупотребления

1. Кража компьютерного времени, программ, информации и оборудования.

2. Ввод неавторизованной информации.

3. Создание неавторизованных файлов с информацией.

4. Разработка компьютерных программ для неслужебного использования.

5. Манипулирование или неправильное использование возможностей по проведению работ на компьютерах.

С целью защиты информации каждый должен знать и осуществлять следующие меры.

Различают следующие признаки уязвимых мест в информационной безопасности:

1. Не разработаны положения о защите информации или они не соблюдаются. Не назначен ответственный за информационную безопасность.

2. Пароли пишутся на компьютерных терминалах, помещаются в общедоступные места, ими делятся с другими людьми или они появляются на компьютерном экране при их вводе.

3. Удаленные терминалы и микрокомпьютеры оставляются без присмотра в рабочие и нерабочие часы. Данные отображаются на компьютерных экранах, оставленных без присмотра.

4. Не существует ограничений на доступ к информации или на характер ее использования. Все пользователи имеют доступ ко всей информации и могут использовать все функции системы.

5. Не ведется системных журналов и не хранится информация о том, кто и для чего использует компьютер.

6. Изменения в программы могут вноситься без их предварительного утверждения руководством.

7. Отсутствует документация или она не позволяет делать следующее: понимать получаемые отчеты и формулы, по которым получаются результаты; модифицировать программы; готовить данные для ввода; исправлять ошибки; проводить оценку мер защиты и понимать сами данные - их источники, формат хранения, взаимосвязи между ними.

8. Делаются многочисленные попытки войти в систему с неправильными паролями.

9. Вводимые данные не проверяются на корректность и точность или при их проверке много данных отвергается из-за ошибок в них, требуется сделать много исправлений в данных, не делается записей в журналах об отвергнутых транзакциях.

10. Имеют место выходы из строя системы, приносящие большие убытки.

11. Не производится анализ информации, обрабатываемой в компьютере, с целью определения необходимого для нее уровня безопасности.

12. Мало внимания уделяется информационной безопасности, считается, что на самом деле она не нужна.

Контроль доступа к информации в компьютере и к прикладным программам. Вы должны иметь гарантии того, что только авторизованные пользователи имеют доступ к информации и приложениям.

Требуйте, чтобы пользователи выполняли процедуры входа в компьютер, и используйте это как средство для идентификации в начале работы. Чтобы эффективно контролировать компьютер, может оказаться наиболее выгодным использовать его как однопользовательскую систему.

Другие меры защиты. Пароли - только один из типов идентификации - что-то, что знает только пользователь. Двумя другими типами идентификации, которые тоже эффективны, является что-то, чем владеет пользователь (например, магнитная карта), или уникальные характеристики пользователя (его голос).

Если в компьютере имеется встроенный стандартный пароль (пароль, который встроен в программы и позволяет обойти меры по управлению доступом), обязательно измените его. Сделайте так, чтобы программы в компьютере после входа пользователя в систему сообщали ему время его последнего сеанса и число неудачных попыток установления сеанса после этого. Это позволит своевременно получать информацию о попытках проникновения в защищаемую систему. При защите вашего пароля:

- не делитесь своим паролем ни с кем;

- выбирайте пароль трудно угадываемым;

- попробуйте использовать строчные и прописные буквы, цифры, или выберите знаменитое изречение и возьмите оттуда каждую четвертую букву. А еще лучше позвольте компьютеру самому сгенерировать ваш пароль;

- не используйте пароль, который является вашим адресом, псевдонимом, именем жены, телефонным номером или чем-либо очевидным;

- используйте длинные пароли, так как они более безопасны, лучше всего от 6 до 8 символов;

- не записывайте пароли на столе, стене или терминале, а держите его в памяти;

- периодически меняйте пароли и делайте это не по графику.

Процедуры авторизации. Разработайте процедуры авторизации, которые определяют, кто из пользователей должен иметь доступ к той или иной информации и приложениям, и предусмотрите соответствующие меры по внедрению этих процедур в организации.

Установите порядок в организации, при котором для использования компьютерных ресурсов, получения разрешения доступа к информации и приложениям и получения пароля требуется разрешение тех или иных начальников.

Защита файлов. Помимо идентификации пользователей и процедур авторизации разработайте процедуры по ограничению доступа к файлам с данными: компьютерный преступление идентификация авторизация

- используйте внешние и внутренние метки файлов для указания типа информации, который они содержат, и требуемого уровня безопасности;

- ограничьте доступ в помещения, в которых хранятся файлы данных, такие, как архивы и библиотеки данных;

- используйте организационные меры и программно-аппаратные средства для ограничения доступа к файлам только авторизованных пользователей.

Предосторожности при работе. Для этого:

- отключайте неиспользуемые терминалы;

- закрывайте комнаты, где находятся терминалы;

- разворачивайте экраны компьютеров так, чтобы они небыли видны со стороны двери, окон и тех мест в помещениях, которые не контролируются;

- установите специальное оборудование, например, устройства, ограничивающие число неудачных попыток доступа, устройства, обеспечивающие обратный звонок для проверки личности пользователей, использующих телефоны для доступа к компьютеру;

- программируйте терминал отключаться после определенного периода неиспользования;

- если это возможно, выключайте систему в нерабочие часы.

Блокирование угрозы целостности информации. Вводимая информация должна быть авторизована, полна, точна и подвергаться проверкам на ошибки. Проверяйте точность информации с помощью процедур сравнения результатов обработки с предполагаемыми результатами обработки. Например, можно сравнивать суммы или проверять последовательные номера.

Проводите проверку точности вводимых данных (их корректности), например:

- на нахождение символов в допустимом диапазоне символов (числовом или буквенном);

- на нахождение числовых данных в допустимом диапазоне чисел;

- на корректность связей с другими данными, сравнивающими входные данные с данными в других файлах;

- на разумность, сравнение входных данных с ожидаемыми стандартными значениями;

- ограничения на транзакции, сравнивающие входные данные с административно установленными ограничениями на конкретные транзакции.

Информационная эра привела к драматическим изменениям в способе выполнения своих обязанностей для большого числа профессий. Теперь нетехнический специалист среднего уровня может выполнять работу, которую раньше делал высококвалифицированный программист. Служащий имеет в своем распоряжении столько точной и оперативной информации, сколько никогда не имел.

Но использование компьютеров и автоматизированных технологий приводит к появлению ряда проблем для руководства организацией. Компьютеры, часто объединенные в сети, могут предоставлять доступ к колоссальному количеству самых разнообразных данных. Поэтому люди беспокоятся о безопасности информации и наличии рисков, связанных с автоматизацией и предоставлением гораздо большего доступа к конфиденциальным, персональным или другим критическим данным. Все увеличивается число компьютерных преступлений, что может привести в конечном счете к подрыву экономики. И поэтому должно быть ясно, что информация - это ресурс, который надо защищать.Ответственность за защиту информации лежит на низшем звене руководства. Но также кто-то должен осуществлять общее руководство этой деятельностью, поэтому в организации должно иметься лицо в верхнем звене руководства, отвечающее за поддержание работоспособности информационных систем. И так как автоматизация привела к тому, что теперь операции с вычислительной техникой выполняются простыми служащими организации, а не специально подготовленным техническим персоналом, нужно, чтобы конечные пользователи знали о своей ответственности за защиту информации. Единого рецепта, обеспечивающего 100% гарантии сохранности данных и надёжной работы сети не существует. Однако создание комплексной, продуманной концепции безопасности, учитывающей специфику задач конкретной организации, поможет свести риск потери ценнейшей информации к минимуму.

Литература

1. Бармен, Скотт. Разработка правил информационной безопасности.: Пер. с англ. - М.: Издательский дом «Вильямс», 2002. - 208 с.

2. Основы информационной безопасности: Учебное пособие для вузов / Е.Б. Белов, В.П. Лось, Р.В. Мещеряков, А.А. Шелупанов. - М.: горячая линия - Телеком, 2006. - 544 с.

Размещено на Allbest.ru