Защита информации в экономических информационных системах

Основными мероприятиями  в этом виде защиты выступают организационные  и организационно-технические меры.

Организационные меры предполагают проведение архитектурно-планировочных, пространственных и режимных мероприятий, а организационно-технические – пассивных (звукоизоляция, звукопоглощение) и активных (звукоподавление) мероприятий. Не исключается проведение и технических мероприятий за счет применения специальных защищенных средств ведения конфиденциальных переговоров.

Режимные меры предусматривают  строгий контроль пребывания в контролируемой зоне сотрудников и посетителей.

Организационно-технические  меры предусматривают использование  звукопоглощающих средств. Пористые и мягкие материалы типа ваты, ворсистые ковры, пенобетон, пористая сухая штукатурка являются хорошими звукоизолирующими и звукопоглощающими материалами – в них очень много поверхностей раздела между воздухом и твердым телом, что приводит к многократному отражению и поглощению звуковых колебаний.

Защита информации от утечки по электромагнитным каналам  – это комплекс мероприятий, исключающих  или ослабляющих возможность  неконтролируемого выхода конфиденциальной информации за пределы контролируемой зоны за счет электромагнитных полей побочного характера и наводок.

Защита информации от утечки по материально-вещественному  каналу – это комплекс мероприятий, исключающих или уменьшающих  возможность неконтролируемого  выхода информации за пределы контролируемой зоны в виде производственных или промышленных отходов.

Меры защиты этого  канала в особых комментариях не нуждаются.

Следует отметить, что  при защите информации от утечки по любому из рассмотренных каналов  следует придерживаться следующего порядка действий:

1. Выявление возможных каналов утечки.
2. Обнаружение реальных каналов.
3. Оценка опасности реальных каналов.
4. Локализация опасных каналов утечки информации.
5. Систематический контроль за наличием каналов и качеством их защиты.

Защита информации от утечки по техническим каналам – это комплекс мероприятий, исключающих или ослабляющих бесконтрольный выход конфиденциальной информации за пределы контролируемой зоны.

Постулаты такой защиты:

1. Безопасных технических средств нет.
2. Любой электронный элемент при определенных условиях может стать источником образования канала утечки информации.
3. Любой канал утечки информации может быть обнаружен и локализован. «На каждый яд есть противоядие».
4. Канал утечки информации легче локализовать, чем обнаружить.

 

 

2.2. Электронная  цифровая подпись и особенности ее применения

 

С давних времен от человека к человеку пересылались различные  послания. Иногда это были подложные  письма от подставного адресата. Чтобы  этого избежать, ставились на бумаге признаки подлинности: подписи, печати и пр., что в полной мере не гарантировало от несанкционированного доступа к содержанию письма. В настоящее время пользователь, получив послание в электронном виде, должен быть уверен, что:

• достоверно установлен автор сообщения;
• послание не было искажено;
• обеспечена его конфиденциальность, т.е. с ним не знакомились посторонние лица.

Для обеспечения авторства  и исключения возможности внесения искажений в текст документа  используются различные механизмы  шифрования (криптографии). Криптография – это наука об обеспеченности секретности и/или аутентичности (подлинности) передаваемых сообщений. Шифрование производится программными и аппаратными средствами.

Защита информации методом криптографического преобразования заключается в приведении ее к неявному виду путем преобразования составных частей информации с помощью специальных алгоритмов либо аппаратных средств и кодов ключей. Ключ – это изменяемая часть криптографической системы, хранящаяся в тайне и определяющая, какое шифрующее преобразование из возможных выполняется в данном случае. Для преобразования используется некоторый алгоритм или устройство, реализующее заданный алгоритм. Само же управление процессом шифрования осуществляется с помощью периодически меняющегося кода ключа.

Шифрование может быть симметричным и ассиметричным. Первое основывается на использовании одного и того же секретного ключа для шифрования и дешифрования. Второе характеризуется тем, что для шифрования используется один общедоступный ключ, а для дешифрования – другой, являющийся секретным, при этом знание общедоступного ключа не позволяет определить секретный ключ.

При использовании симметричного  шифрования порядок работы следующий.^* Исходный текст документа кодируется с применением специальных алгоритмов и некоего секретного (закрытого) ключа, превращаясь в строку символов, которая фактически и представляет собой цифровую подпись под документом. Электронная цифровая подпись (ЭЦП) добавляется к исходному тексту документа, и сформированный файл пересылается получателю. Для этого владелец ЭЦП вставляет дискету с закрытым ключом в дисковод и нажимает указателем мыши на соответствующую кнопку, что и означает подписание документа электронной подписью. Процесс проверки кода аутентификации у получателя, т.е. правильности ЭЦП, выполняется аналогичным образом. Преимущества этой системы заключаются в ее простоте и относительно невысокой стоимости. Условиями применения симметричной ЭЦП является взаимное доверие владельцев закрытого ключа, исключающее отказ от своей подписи под документом, изготовление подложны данных и пр., т.е. ЭЦП должна быть неотрекаемой. К тому же при рассылке неопределенному кругу лиц получать принципиально не может иметь заранее ключ. Если у Вас 50 корреспондентов, то Вам придется хранить 50 секретных ключей, по одному для каждого.

Названные проблемы позволяет  решить криптография с открытым ключом, использующая ассиметричные алгоритмы шифрования.^*

Криптография с открытым ключом основана на концепции ключевой пары. Каждая половина пары (один ключ) шифрует информацию таким образом, что ее может расшифровать только другая половина (второй ключ). Одна часть  ключевой пары – личный ключ, известна только ее владельцу. Другая половина – открытый ключ, распространяется среди всех его корреспондентов, но связана только с этим владельцем. Ключевые пары обладают уникальной особенностью: данные, зашифрованные любым из ключей пары, могут быть расшифрованы только другим ключом из этой пары. Другими словами, нет никакой разницы, личный или открытый ключ используется для шифрования послания; получатель сможет применить для расшифровки вторую половину пары.

Шифрование посланий открытым ключом принципиально не слишком отличается от симметричного шифрования с использованием секретного ключа, но все же имеет ряд преимуществ. Например, открытая часть ключевой пары может свободно распространяться без опасений, что это помешает использовать личный ключ. Не нужно рассылать копию своего открытого ключа всем корреспондентам; они смогут получить его на сервере вашей компании или у вашего провайдера.

Другое преимущество криптографии с открытым ключом в  том, что она позволяет аутентифицировать  отправителя послания. Поскольку вы – единственный, кто имеет возможность зашифровать какую-либо информацию вашим личным ключом, всякий, кто использует ваш открытый ключ для расшифровки послания, может быть уверен, что оно от вас. Таким образом, шифрование электронного документа вашим личным ключом схоже с подписью на бумажном документе.

Использование криптографических  алгоритмов с открытым ключом для  шифрования посланий – это достаточно медленный вычислительный процесс, поэтому специалисты по криптографии придумали способ быстро генерировать короткое, уникальное представление вашего послания, называемое дайджестом послания. Дайджест можно зашифровать, а затем использовать как вашу цифровую подпись.

Чтобы использовать систему  криптографии с открытым ключом, необходимо сгенерировать открытый и личный ключи. Обычно это делается программой, которая будет использовать ключ (такой, как ваш Web-браузер или программа электронной почты). После того, как ключевая пара сгенерирована, вы должны хранить свой личный ключ в тайне от посторонних. Затем вам нужно распространить открытый ключ среди своих корреспондентов. Можете использовать для этого электронную почту, но вдруг вы забудете внести кого-то в список или у вас появятся новые корреспонденты: Кроме того, такой подход не обеспечит аутентификации: кто-то может сгенерировать ключевую пару и, назвавшись вами, разослать открытый ключ корреспондентам. После этого ничто не помешает ему отправлять сообщения от вашего имени.

Самый лучший и надежный способ распространения открытых ключей – воспользоваться услугами сертификационных центров. Сертификационный центр выступает как хранилище цифровых сертификатов. Он принимает ваш открытый ключ вместе с доказательствами вашей личности (какими – зависит от класса сертификата). После этого ваши корреспонденты могут обращаться в сертификационный центр за подтверждением вашего открытого ключа. Цифровые сертификаты выступают в роли электронного варианта удостоверения личности и, будучи общепринятым методом распространения открытых ключей, позволяют вашим корреспондентам убедиться, что вы на самом деле тот. За кого себя выдаете.

Нет системы шифрования, идеально подходящей для всех ситуаций. В таблице 5 проведено сравнение  преимуществ и недостатков каждого  типа шифрования.^*

Таблица 5

 Преимущества  и недостатки криптографических систем

Тип шифрования	Преимущества	Недостатки
Шифрование с симметричным ключом	– быстрота; –  легко реализовать аппаратно	–оба ключа одинаковы; –трудно распространять ключи; –не поддерживает цифровые подписи
Шифрование с открытым ключом	–использовать два разных ключа; – относительно просто распространять ключи; –обеспечивает целостность  и невозможность отказа от авторства (за счет цифровой подписи)	– работает медленно; –требует больших  вычислительных мощностей

 

Известно, что алгоритмы защиты информации (прежде всего шифрования) можно реализовать как программным, так и аппаратным методом. Рассмотрим аппаратные шифраторы: почему они считаются более надежными и обеспечивающими лучшую защиту.

Аппаратный шифратор по виду и, по сути, представляет собой обычное компьютерное «железо», чаще всего это плата расширения, вставляемая в разъем системной платы ПК.

Производители аппаратных шифраторов обычно стараются насытить их различными дополнительными возможностями, среди которых:

1. Генерация случайных чисел. Это нужно, прежде всего, для получения криптографических ключей.
2. Контроль входа на компьютер. При включении ПК устройство требует от пользователя ввести персональную информации (например, вставить дискету с ключами). Работа будет разрешена только после того, как устройство опознает предъявленные ключи и сочтет их «своими». В противном случае придется разбирать системный блок и вынимать оттуда шифратор, чтобы загрузиться (однако, как известно, информация на ПК тоже может быть зашифрована).
3. Контроль целостности файлов операционной системы. Это не позволит злоумышленнику в ваше отсутствие изменить какие-либо данные. Шифратор хранит в себе список всех важных файлов с заранее рассчитанными для каждого контрольными суммами, и если при следующей загрузке не совпадает эталонная сумма хотя бы одного из них, компьютер будет блокирован.

Плата со всеми перечисленными возможностями называется устройством  криптографической защиты данных –  УКЗД.

Шифратор, выполняющий  контроль входа на ПК и проверяющий  целостность операционной системы, называют также «электронным замком». Понятно, что последним не обойтись без программного обеспечения – необходима утилита, с помощью которой формируются ключи для пользователей и ведется их список для распознания «свой/чужой». Требуется приложение для выбора важных файлов и расчета их контрольных сумм. Эти программы обычно доступны только администратору по безопасности, который должен предварительно настроить все УКЗД для пользователей, а в случае возникновения проблем разбираться в их причинах.

 

2.3. Государственное регулирование информационной безопасности

 

Российская действительность не является исключением и каждодневно  приносит новые примеры преступлений в сфере информатизации и компьютеризации. Последние потребовали от российского законодателя принятия срочных адекватных правовых мер противодействия этому новому виду преступности.

Большинство людей не совершают противоправных действий не потому, что это технически невозможно, а потому, что это осуждается или  наказывается обществом, что так поступать не принято. В рамках обеспечения информационной безопасности следует рассмотреть на законодательном уровне две группы мер:

• меры, направленные на создание и поддержание в обществе негативного (в том числе карательного) отношения к нарушениям и нарушителям информационной безопасности;
• направляющие и координирующие меры, способствующие повышению образованности общества в области информационной безопасности, помогающие в разработке и распространении средств обеспечения информационной безопасности.

К первой группе следует  отнести основные законодательные  акты по информационной безопасности, являющиеся частью правовой системы  Российской Федерации.

В Конституции РФ содержится ряд правовых норм, определяющих основные права и свободы граждан России в области информатизации, в том числе ст. 23 определяет право на неприкосновенность частной жизни, личную и семейную тайну, тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений; ст. 42 обеспечивает право на получение достоверной информации о состоянии окружающей среды и др.

В Уголовном кодексе  РФ имеются нормы, затрагивающие  вопросы информационной безопасности граждан, организаций и государства. В числе таких статей ст. 137 «Нарушение неприкосновенности частной жизни», ст. 138 «Нарушение тайны переписки, телефонных переговоров, почтовых и телеграфных или иных сообщений», ст. 140 «Отказ в предоставлении гражданину информации», ст. 155 «Разглашение тайны усыновления (удочерения)», ст. 183 «Незаконное получение и разглашение сведений, составляющих коммерческую или банковскую тайну», ст. 272 «Неправомерный доступ к компьютерной информации», ст. 273 «Создание, использование или распространение вредоносных программ для ЭВМ», ст. 274 «Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети» и др.