5. Защита информации от несанкционированного доступа (зи от нсд)

Защита информации, направленная на предотвращение получения защищаемой информации заинтересованными субъектами с нарушением установленных нормативными и правовыми документами (актами) или обладателями информации прав или правил разграничения доступа к защищаемой информации.

Заинтересованными субъектами, осуществляющими несанкционированный доступ к защищаемой информации, могут быть:

- Государство;

- Юридическое лицо;

- Группа физических лиц, в том числе общественная организация;

- Отдельное физическое лицо.

6. Защита информации от преднамеренного воздействия (зи от пдв)

Защита информации, направленная на предотвращение преднамеренного воздействия, в том числе электромагнитного и (или) воздействия другой физической природы, осуществляемого в террористических или криминальных целях.

7. Защита информации от [иностранной] разведки

Защита информации, направленная на предотвращение получения защищаемой информации [иностранной] разведкой.

Примеры применения способов защиты информации

Анализ рисков компьютерной безопасности

Такой анализ помогает определить оптимальные затраты на создание эффективной системы защиты информации.

В ходе анализа рисков информационной безопасности, как правило проводятся следующие виды работ:

- Анализ информационных ресурсов; - Разработка модели нарушителя; - Разработка модели угроз; - Выявление уязвимостей;

- Анализ имеющихся мер и средств защиты; - Оценка рисков.

По результатам анализа разрабатывается модель угроз безопасности информации с определением наиболее уязвимых участков, а также подготавливаются рекомендации по обеспечению необходимого уровня безопасности информации.

Система защиты информации, построенная на основе анализа информационных рисков, является наиболее эффективной и экономически обоснованной.

Защита информации от случайного повреждения или потери.

Здесь используются средства резервного копирования и архивирования информации.

Существуют несколько уровней резервного копирования:

- Защита информации от сбоев электропитания путем использования источников бесперебойного питания

- Защита от потери информации путем дублирования (архивирования)

1. Ручное резервное копирование (для отдельных лиц и пользователей)

2. Программное резервное копирование

3. Аппаратное резервное копирование

Ограничение прав доступа к информации строится путем:

- Парольной защиты программ и данных при запуске;

- Использованием ключевой дискеты или электронного ключа;

- Ограничения программ или данных, функций обработки, доступных различным пользователям в зависимости от имени и пароля.

Следует различать два способа ограничения прав доступа:

1. Идентификация – определение пользователя по типу «кто это», принадлежность его определенным группам с целью выяснения, на какие действия он имеет право.

2. Аутентификация – проверка подлинности, действительно ли «он это он».

Пример.

При входе в систему пользователь вводит свое имя (идентификация) и пароль (аутентификация). В банкоматах: идентификация – ввод карточки, аутентификация – набор PIN (PersonaI Identification Number) кода. Сейчас очень часто используются USB-токены – физические ключи или магнитные карты, которые пользователь вставляет в считывающее устройство (token – опознавательный знак).

Способы защиты от несанкционированного копирования

Информация и программное обеспечение в этом случае может быть использовано только при опознании некоторого ключевого элемента.

Таким ключевым элементом могут быть:

- Дискета или диск, на котором записан не подлежащий копированию ключ;

- Определенные характеристики аппаратуры компьютера, на котором может быть использованы данные;

- Специальное устройство (электронный ключ), подключаемое к компьютеру и предназначенное для выдачи разрешения на доступ.

Для шифрования используются методы криптографии, для вскрытия (взлома) зашифрованных данных – методы криптоанализа.

Традиционные методы шифрования (симметричное шифрование, шифрование с одним ключом, шифрование с закрытым ключом) – составитель и получатель сообщения знают секретный ключ (большое двоичное число), который используют для шифровки и расшифровки текста.

Наиболее распространен стандарт (алгоритм) симметричного шифрования DES (Data Encryption Standard), использующий 56-битовый закрытый ключ (реальная длина ключа 64 бита за счет информации для контроля) и опубликованный в 1977 г. При шифровании используются 16 проходов текста так, что каждый бит блока зашифрованного текста зависит от каждого бита блока исходного текста и каждого бита ключа.

Недостаток любой системы симметричного шифрования – нужен личный контакт обеих сторон (не по сети, не компьютерный) для передачи каждого секретного ключа без угрозы перехвата.

Ассиметричные системы шифрования (нетрадиционные системы, шифрование с двумя ключами, шифрование с открытым ключом) – будущий получатель сообщения создает два ключа: закрытый (секретный), который сохраняет только у себя и открытый, который по любому каналу, не скрывая, передает будущему отправителю. Зашифрованное отправителем с помощью открытого ключа сообщение нельзя расшифровать, не зная закрытый ключ.

Наиболее широко применяется для шифрования с открытым ключом алгоритм (система) RSA (по фамилиям авторов – Rivest, Shamir, Adleman), предложенный в 1978 г.

Иногда используют комбинированное (гибридное) шифрование с созданием электронного цифрового конверта RSA (RSA digital envelope) – пользователь создает секретный ключ, шифрует им все большое сообщение по DES, сам (относительно короткий) секретный ключ шифрует своим открытым ключом по RSA и отправляет адресату в одном пакете.

Получатель своим секретным ключом по RSA расшифровывает секретный ключ отправителя, а с его помощью по DES основное сообщение.

Недостаток: при использовании открытого ключа (в т.ч. цифровых конвертов), доступного посторонним, имеется опасность фальсификации – отправки сообщения третьим лицом от имени пользователя.

Электронная цифровая подпись (ЭЦП) является способом юридической идентификации лица, передающего электронный документ.

Задача заключается в добавлении к основному сообщению дополнительных данных (в виде дополнительного документа или в текст самого сообщения) так чтобы:

- Гарантировалось авторство;

- Автор не мог отказаться, сославшись на отправку кем-то от его имени;

- Гарантировалась целостность сообщения (никто не изменил, перехватив «по дороге»).

Для гарантии целостности документа в дополнительную шифруемую секретным ключом информацию (цифровую подпись) включается дайджест основного документа, например, контрольная сумма или более сложная функция образующих его двоичных цифр.