Меры защиты: четыре уровня защиты

Суперотключение. Названа по имени программы, использовавшейся в ряде компьютерных центров, обходившей системные меры защиты и использовавшейся при аварийных ситуациях. Владение этим "мастер-ключом" дает возможность в любое время получить доступ к компьютеру и информации, находящейся в нем.

Признаки

Следующие признаки могут свидетельствовать  о наличии уязвимых мест в информационной безопасности.

Не разработано положений о  защите информации или они не соблюдаются. Не назначен ответственный за информационную безопасность.

Пароли пишутся на компьютерных терминалах, помещаются в общедоступные  места, ими делятся с другими, или они появляются на компьютерном экране при их вводе

Удаленные терминалы и микрокомпьютеры  оставляются без присмотра в  рабочие и нерабочие часы. Данные отображаются на компьютерных экранах, оставленных без присмотра.

Не существует ограничений на доступ к информации, или на характер ее использования. Все пользователи имеют  доступ ко всей информации и могут  использовать все функции системы.

Не ведется системных журналов, и не хранится информация о том, кто  и для чего использует компьютер.

Изменения в программы могут  вноситься без их предварительного утверждения руководством.

Отсутствует документация или она  не позволяет делать следующее: понимать получаемые отчеты и формулы, по которым  получаются результаты, модифицировать программы, готовить данные для ввода, исправлять ошибки, производить оценку мер защиты, и понимать сами данные - их источники, формат хранения, взаимосвязи  между ними.

Делаются многочисленные попытки  войти в систему с неправильными  паролями.

Вводимые данные не проверяются  на корректность и точность, или  при их проверке много данных отвергается  из-за ошибок в них, требуется сделать  много исправлений в данных, не делается записей в журналах об отвергнутых  транзакциях.

Имеют место выходы из строя системы, приносящие большие убытки

Не производился анализ информации, обрабатываемой в компьютере, с целью  определения необходимого для нее  уровня безопасности

Мало внимания уделяется информационной безопасности. Хотя политика безопасности и существует, большинство людей  считает, что на самом деле она  не нужна.

3.Меры защиты информации.

1. Контролируйте доступ  как к информации в компьютере, так и к прикладным программам. Вы должны иметь гарантии того, что только авторизованные пользователи  имеют доступ к информации  и приложениям.

Идентификация пользователей

 
Требуйте, чтобы пользователи выполняли процедуры  входа в компьютер, и используйте  это как средство для идентификации  в начале работы. Чтобы эффективно контролировать микрокомпьютер, может  оказаться наиболее выгодным использовать его как однопользовательскую систему. Обычно у микрокомпьютера нет  процедур входа в систему, право  использовать систему предоставляется  простым включением компьютера.

Аутентификация  пользователей

 
Используйте уникальные пароли для каждого пользователя, которые не являются комбинациями личных данных пользователей, для аутентификации личности пользователя. Внедрите меры защиты при администрировании паролей, и ознакомьте пользователей с  наиболее общими ошибками, позволяющими совершиться компьютерному преступлению..

Другие  меры защиты:

Пароли - только один из типов идентификации - что-то, что знает только пользователь. Двумя другими типами идентификации, которые тоже эффективны, являются что-то, чем владеет пользователь( например, магнитная карта), или уникальные характеристики пользователя(его голос).

Если в компьютере имеется встроенный стандартный пароль( пароль, который встроен в программы и позволяет обойти меры по управлению доступом), обязательно измените его.

Сделайте так, чтобы программы  в компьютере после входа пользователя в систему сообщали ему время  его последнего сеанса и число  неудачных попыток установления сеанса после этого. Это позволит сделать пользователя составной  частью системы проверки журналов.

Защищайте ваш пароль

не делитесь своим паролем ни с кем

выбирайте пароль трудно угадываемым

попробуйте использовать строчные и прописные буквы, цифры, или  выберите знаменитое изречение и  возьмите оттуда каждую четвертую букву. А еще лучше позвольте компьютеру самому сгенерировать ваш пароль.

не используйте пароль, который  является вашим адресом, псевдонимом, именем жены, телефонным номером или  чем-либо очевидным.

используйте длинные пароли, так  как они более безопасны, лучше  всего от 6 до 8 символов

обеспечьте неотображаемость пароля на экране компьютера при его вводе

обеспечьте отсутствие паролей  в распечатках

не записывайте пароли на столе, стене или терминале. Держите  его в памяти

Серьезно  относитесь к администрированию  паролей

периодически меняйте пароли и  делайте это не по графику

шифруйте или делайте что-нибудь еще с файлами паролей, хранящимися  в компьютере, для защиты их от неавторизованного  доступа.

назначайте на должность администратора паролей только самого надежного  человека

не используйте один и тот  же пароль для всех сотрудников в  группе

меняйте пароли, когда человек увольняется

заставляйте людей расписываться  за получение паролей

установите и внедрите правила  работы с паролями и обеспечьте, чтобы все знали их

Процедуры авторизации

Разработайте процедуры авторизации, которые определяют, кто из пользователей  должен иметь доступ к той или  иной информации и приложениям - и  используйте соответствующие меры по внедрению этих процедур в организации.

Установите порядок в организации, при котором для использования  компьютерных ресурсов, получения разрешения доступа к информации и приложениям, и получения пароля требуется  разрешение тех или иных начальников.

Защита  файлов

Помимо идентификации пользователей  и процедур авторизации разработайте процедуры по ограничению доступа  к файлам с данными:

используйте внешние и внутренние метки файлов для указания типа информации, который они содержат, и требуемого уровня безопасности

ограничьте доступ в помещения, в которых хранятся файлы данных, такие как архивы и библиотеки данных

используйте организационные меры и программно-аппаратные средства для  ограничения доступа к файлам только авторизованных пользователей

Предосторожности  при работе

отключайте неиспользуемые терминалы

закрывайте комнаты, где находятся  терминалы

разворачивайте экраны компьютеров  так, чтобы они не были видны со стороны двери, окон и тех мест в помещениях, которые не контролируются

установите специальное оборудование, такое как устройства, ограничивающие число неудачных попыток доступа, или делающие обратный звонок для  проверки личности пользователей, использующих телефоны для доступа к компьютеру

программируйте терминал отключаться  после определенного периода  неиспользования

если это возможно, выключайте систему  в нерабочие часы

2. Защищайте целостность  информации. Вводимая информация  должна быть авторизована, полна,  точна и должна подвергаться  проверкам на ошибки.

Целостность информации

Проверяйте точность информации с  помощью процедур сравнения результатов  обработки с предполагаемыми  результатами обработки. Например, можно  сравнивать суммы или проверять  последовательные номера.

Проверяйте точность вводимых данных, требуя от служащих выполнять проверки на корректность, такие как:

проверки на нахождение символов в  допустимом диапазоне символов(числовом или буквенном)

проверки на нахождение числовых данных в допустимом диапазоне чисел

проверки на корректность связей с  другими данными, сравнивающими  входные данные с данными в  других файлах

проверки на разумность, сравнивающие входные данные с ожидаемыми стандартными значениями

ограничения на транзакции, сравнивающие входные данные с административно  установленными ограничениями на конкретные транзакции

Трассируйте транзакции в системе

Делайте перекрестные проверки содержимого  файлов с помощью сопоставления  числа записей или контроля суммы  значений поля записи.

3. Защищайте системные  программы. Если ПО используется совместно, защищайте его от скрытой модификации при помощи политики безопасности, мер защиты при его разработке и контроле за ним в его жизненном цикле, а также обучения пользователей в области безопасности.

Меры защиты при разработке программ и соответствующие политики должны включать процедуры внесения изменений  в программу, ее приемки и тестирования до ввода в эксплуатацию. Политики должны требовать разрешения ответственного лица из руководства для внесения изменений в программы, ограничения  списка лиц, кому разрешено вносить  изменения и явно описывать обязанности  сотрудников по ведению документации.

Должен быть разработан и поддерживаться каталог прикладных программ.

Должны быть внедрены меры защиты по предотвращению получения, изменения  или добавления программ неавторизованными  людьми через удаленные терминалы.

4. Сделайте меры  защиты более адекватными с  помощью привлечения организаций,  занимающихся тестированием информационной  безопасности, при разработке мер  защиты в прикладных программах  и консультируйтесь с ними  при определении необходимости  тестов и проверок при обработке  критических данных. Контрольные  журналы, встроенные в компьютерные  программы, могут предотвратить  или выявить компьютерное мошенничество  и злоупотребление.

Должны иметься контрольные  журналы для наблюдения за тем, кто  из пользователей обновлял критические  информационные файлы

Если критичность информации, хранимой в компьютерах, требует контрольных  журналов, то важны как меры физической защиты, так и меры по управлению доступом.

В компьютерной сети журналы должны храниться на хосте, а не на рабочей  станции.

Контрольные журналы не должны отключаться  для повышения скорости работы.

Распечатки контрольных журналов должны просматриваться достаточно часто и регулярно.

5. Рассмотрите вопрос  о коммуникационной безопасности. Данные, передаваемые по незащищенным  линиям, могут быть перехвачены.

4.Меры физической безопасности

1.Предотвратить  злонамеренные разрушения, неавторизованное  использование или кражу

ПЭВМ могут быть заперты в  комнатах и доступ к ним может  быть ограничен с помощью устройств блокировки клавиатуры и т.п. Удостоверьтесь, что люди соблюдают свои обязанности по использованию компьютеров и их можно проконтролировать.

Если информация обрабатывается на большом вычислительном центре, проверьте, как контролируется физический доступ к вычислительной технике. Могут  оказаться уместными такие методы, как журналы, замки и пропуска, а также охрана.

Ввод критической информации требует  правильного обращения с исходными  документами. Правильное обращение  означает соблюдение одинаковых правил работы с документами, независимо от того, используются они в автоматизированной системе или нет. Правила работы могут включать работу в безопасном помещении, учет документов в журналах, гарантии того, что только люди, имеющие  соответствующий допуск, могут ознакомиться с этими документами, и использование  устройств уничтожения документов(бумагорезок и т.п.).

Внимательно проанализируйте размещение компьютеров. Не слишком ли доступны они неавторизованным людям или  чрезмерно уязвимы к стихийным  бедствиям?

Вы должны иметь представление  об основных схемах сопровождения посторонних. Например, авторизованный сотрудник  должен сопровождать в компьютерной зоне посетителя с компьютерными  распечатками или человека, заявляющего, что он техник по ремонту компьютеров.

Вы должны знать, кто имеет право  доступа в помещения с компьютерным оборудованием и выгонять оттуда посторонних лиц.

Многие люди полагают, что двери, оснащенные замками и охраняемые людьми, обеспечивают физическую безопасность. Но электромагнитные излучения от компьютеров  могут быть перехвачены и таким образом может быть прочитана информация с экрана. Рекомендуемые меры защиты от этого должны учитывать требуемый уровень безопасности и тот факт, что такой перехват крайне редок, но может и произойти.

Могут быть предприняты недорогие  предохранительные меры , которые будут гарантировать, что телефонные и компьютерные каналы связи в состоянии выполнять свои функции и являются безопасными. В сети может потребоваться выделенный канал связи - он не выполняет других функций. С другой стороны выделение персональной ЭВМ для работы на ней одного приложения может оказаться самым эффективным средством защиты.

Для любой из основных трех технологий для передачи автоматизированной информации существует технология перехвата : кабель(подключение к кабелю), спутник(антенна приема сигнала со спутника), радиоволны( радиоперехват).

Технологии защиты, которые могут  быть использованы, включают шифрование информации, использование выделенных линий, модемы с функциям безопасности, и использование скремблирования голосовых переговоров.

2. Стихийные  бедствия могут нанести большой  ущерб как большим, так и  маленьким компаниям.

Примите меры по предотвращению, обнаружению  и минимизации ущерба от пожара, наводнения, загрязнения окружающей среды, высоких температур и скачков  напряжения.

Защищайтесь от пожара с помощью  регулярной проверки пожарной сигнализации и систем пожаротушения. Защищайте  ПЭВМ с помощью кожухов, чтобы  они не были повреждены системой пожаротушения. Не храните горючие материалы  в этих помещениях.

Статическое электричество может  очистить память в ПЭВМ. Антистатические  коврики могут предотвратить  это. Пользователям следует напоминать о снятии заряда с себя с помощью  прикосновения к заземленному объекту.

Скачки напряжения могут очистить память, изменить программы и разрушить  микросхемы. Устройство бесперебойного питания( УБП) дает достаточно времени, чтобы отключить компьютер без потери данных. Предохранить компьютеры от кратковременных бросков питания могут фильтры напряжения. В грозу незащищенные ПЭВМ могут быть отключены и выключены из сети.