Защита информации в экономических информационных системах

Большинство  нарушений  происходит  не  из-за  хитроумных  атак, а из-за элементарной  небрежности.

Приведенный краткий обзор наиболее опасных вредоносных программ  безопасности ИС не охватывает всех возможных угроз этого типа.

При описании в различной литературе разнообразных угроз для ИС и способов их реализации широко используется понятие атаки на ИС. Атака — злонамеренные действия взломщика (попытки реализации им любого вида угрозы). Например, атакой является применение любой из вредоносных программ. Среди атак на ИС часто выделяют «маскарад» и «взлом системы», которые могут быть результатом реализации разнообразных угроз (или комплекса угроз).

Под «маскарадом» понимается выполнение каких-либо действий одним пользователем ИС от имени другого пользователя. Такие действия другому пользователю могут быть и разрешены. Цели «маскарада» — сокрытие каких-либо действий за именем другого пользователя или присвоение прав и привилегий другого пользователя для доступа к его наборам данных или для использования его привилегий.

Могут быть и другие способы реализации «маскарада», например создание и использование программ, которые в определенном месте могут изменить определенные данные, в результате чего пользователь получает другое имя. «Маскарадом» называют также передачу сообщений в сети от имени другого пользователя. Наиболее опасен «маскарад» в банковских системах электронных платежей, где неправильная идентификация клиента может привести к огромным убыткам. Особенно это касается платежей с использованием электронных карт. 

Для предотвращения «маскарада» необходимо использовать надежные методы идентификации, блокировку попыток взлома системы, контроль входов в нее. Необходимо фиксировать все события, которые могут свидетельствовать о «маскараде», в системном журнале для его последующего анализа. Также желательно не использовать программные продукты, содержащие ошибки, которые могут привести к «маскараду».

Взлом системы означает умышленное проникновение в систему, когда взломщик не имеет санкционированных параметров для входа. Способы взлома могут быть различными, и при некоторых из них происходит совпадение с ранее описанными угрозами. Так, объектом охоты часто становится пароль другого пользователя. Пароль может быть вскрыт, например, путем перебора возможных паролей. Взлом системы можно осуществить также, используя ошибки программы входа.

Основную нагрузку защиты системы от взлома несет программа  входа. Алгоритм ввода имени и пароля, их шифрование, правила хранения и смены паролей не должны содержать ошибок. Противостоять взлому системы поможет, например, ограничение попыток неправильного ввода пароля (т.е. исключить достаточно большой перебор) с последующей блокировкой терминала и уведомлением администратора в случае нарушения. Кроме того, администратор безопасности должен постоянно контролировать активных пользователей системы: их имена, характер работы, время входа и выхода и т.д. Такие действия помогут своевременно установить факт взлома и предпринять необходимые действия.

Условием, способствующим реализации многих видов угроз ИС, является наличие «люков». Люк — скрытая, недокументированная точка входа в программный модуль, входящий в состав ПО ИС и ИТ. Люк вставляется в программу обычно на этапе отладки для облегчения работы: данный модуль можно вызывать в разных местах, что позволяет отлаживать отдельные части программы независимо. Наличие люка позволяет вызывать программу нестандартным образом, что может отразиться на состоянии системы защиты. Люки могут остаться в программе по разным причинам:

• их могли забыть убрать;

• для дальнейшей отладки;

• для обеспечения поддержки готовой программы;

• для реализации тайного доступа к данной программе после ее 
установки.

Большая опасность  люков компенсируется высокой сложностью их обнаружения (если, конечно, не знать  заранее о их наличии), так как  обнаружение люков — результат  случайного и трудоемкого поиска. Защита от люков одна — не допускать их появления в программе, а при приемке программных продуктов, разработанных другими производителями, следует проводить анализ исходных текстов программ с целью обнаружения люков.

Реализация  угроз ИС приводит к различным  видам прямых или косвенных потерь. Потери могут быть связаны с материальным ущербом: стоимость компенсации, возмещение другого косвенно утраченного имущества; стоимость ремонтно-восстановительных работ; расходы на анализ, исследование причин и величины ущерба; дополнительные расходы на восстановление информации, связанные с восстановлением работы и контролем данных и т.д. (Информационные системы в экономике: учебник для студентов вузов / Под ред. Г.А. Титоренко. – 2-е изд., перераб. И доп. – М.: ЮНИТИ-ДАНА, 2008. – 463с.)

Сложность определения  возможных угроз и способов их реализации еще раз подтверждает тезис, что определить все множество угроз для АИСЭО и способов их реализации не представляется возможным.

Глава 2. Методы, средства и организации системы защиты информации в экономических информационных системах.

 

При разработке АИТ возникает  проблема по решению вопроса безопасности информации, составляющей коммерческую тайну, а также безопасности самих  компьютерных информационных систем.

Каждую систему  защиты следует разрабатывать индивидуально, учитывая следующие особенности:

- организационную структуру  организации;

- объем и характер  информационных потоков (внутри  объекта в целом, внутри отделов,  между отделами, внешних);

- количество и характер  выполняемых операций: аналитических  и повседневных;

- количество и функциональные  обязанности персонала;

- количество и характер  клиентов;

- график суточной нагрузки.

Защита должна разрабатываться  для каждой системы индивидуально, но в соответствии с общими правилами. Построение защиты предполагает следующие этапы:

- анализ риска, заканчивающийся  разработкой проекта системы  защиты и

планов защиты, непрерывной  работы и восстановления;

- реализация системы  защиты на основе результатов  анализа риска;

- постоянный контроль  за работой системы защиты  и АИС в целом (программный, системный и административный).

На каждом этапе реализуются  определенные требования к защите; их точное соблюдение приводит к созданию безопасной системы.

Для обеспечения непрерывной  защиты информации в АИС целесообразно создать из специалистов группу информационной безопасности. На эту группу возлагаются обязанности по сопровождению системы защиты, ведения реквизитов защиты, обнаружения и расследования нарушений политики безопасности и т.д.

Основные этапы построения системы защиты заключаются в следующем:

Анализ -> Разработка системы защиты (планирование) -> Реализация системы защиты -> Сопровождение  системы защиты.

Этап анализа возможных  угроз АИС необходим для фиксирования на

определенный момент времени состояния АИС (конфигурации аппаратных и программных средств, технологии обработки информации) и определения возможных воздействий на каждый компонент системы. Обеспечить защиту АИС от всех воздействий на нее невозможно, хотя бы потому, что невозможно полностью установить перечень угроз и способов их реализации. Поэтому надо выбрать из всего множества возможных воздействий лишь те, которые могут реально произойти и нанести серьезный ущерб владельцам и пользователям системы.

На этапе планирования формируется система защиты как  единая совокупность мер противодействия различной природы.

Сущность этапа реализации системы защиты заключается в  установке и настройке средств  защиты, необходимых для реализации зафиксированных в плане защиты правил обработки информации. Содержание этого этапа зависит от способа реализации механизмов защиты в средствах защиты.

Этап сопровождения  заключается в контроле работы системы, регистрации происходящих в ней событий, их анализе с целью обнаружить нарушения безопасности. В том случае, когда состав системы претерпел существенные изменения (смена вычислительной техники, переезд в другое здание, добавление новых устройств или программных средств), требуется повторение описанной выше последовательности действий.

Стоит отметить тот немаловажный факт, что обеспечение защиты АИС — это итеративный процесс, завершающийся только с завершением жизненного цикла всей системы.

Ясенев В.Н. выделяет следующие 3 направления управления защиты информации в экономических информационных системах, которые представлены на рисунке 2.1.

 

 

 

 

 

 

 

Рис. 2.1. Управление защитой компьютерной безопасностью.

К правовому обеспечению защиты информации относятся действующие в стране законы, указы и другие нормативно - правовые акты, регламентирующие правила обращения с информацией, закрепляющие права и обязанности участников информационных отношений в процессе ее получения, обработки и использования, а также устанавливающие ответственность за нарушения этих правил, препятствуя тем самым неправомерному использованию информации и являющиеся сдерживающим фактором для потенциальных нарушителей.

Инженерно-техническая  защита — это совокупность специальных органов, технических средств и мероприятий, функционирующих совместно для выполнения определенной задачи по защите информации.

Инженерно-техническая защита использует следующие средства:

• физические средства;
• аппаратные средства;
• программные средства;
• криптографические средства.

В свою очередь  организационные  мероприятия и процедуры, используемые для решения проблемы безопасности информации, решаются на всех этапах проектирования и в процессе эксплуатации АИТ.

Среди организационных  мероприятий по обеспечению безопасности информации важное место занимает охрана объекта, на котором расположена защищаемая АИТ (территория здания, помещения, хранилища информационных носителей). При этом устанавливаются соответствующие посты охраны, технические средства, предотвращающие или существенно затрудняющие хищение средств вычислительной техники, информационных носителей, а также исключающие несанкционированный доступ к АИТ и линиям связи.

Следует отметить, что без надлежащей организационной поддержки программно-технических  средств защиты информации от несанкционированного доступа и точного выполнения, предусмотренных проектной документацией  процедур в должной мере не решить проблему обеспечения безопасности информации, какими бы совершенными эти программно-технические средства не были.

Создание базовой системы зашиты информации в АИТ основывается на следующих принципах: 
1. Комплексный подход к построению системы защиты при ведущей роли организационных мероприятий. Он означает оптимальное сочетание программных аппаратных средств и организационных мер защиты, подтвержденное практикой создания отечественных и зарубежных систем защиты. 
2. Разделение и минимизация полномочий по доступу к обрабатываемой информации и процедурам обработки. Пользователям предоставляется минимум строго определенных полномочий, достаточных для успешного выполнения ими своих служебных обязанностей, с точки зрения автоматизированной обработки доступной им конфиденциальной информации. 
3. Полнота контроля и регистрации попыток несанкционированного доступа, т.е. необходимость точного установления идентичности каждого пользователя и протоколирования его действий для проведения возможного расследования, а также невозможность совершения любой операции обработки информации в АИТ без ее предварительной регистрации. 
4. Обеспечение надежности системы защиты, т.е. невозможность снижения ее уровня при возникновении в системе сбоев, отказов, преднамеренных действий нарушителя или непреднамеренных ошибок пользователей и обслуживающего персонала. 
5. Обеспечение контроля за функционированием системы защиты, т.е. создание средств и методов контроля работоспособности механизмов защиты. 
6. “Прозрачность” системы защиты информации для общего, прикладного программного обеспечения и пользователей АИТ. 
7. Экономическая целесообразность использования системы защиты. Он выражается в том, что стоимость разработки и эксплуатации систем защиты информации должна быть меньше стоимости возможного ущерба, наносимого объекту в случае разработки и эксплуатации АИТ без системы защиты информации. 
для того что бы осуществлять качественную защиту информации в экономических информационных системах, необходимо осуществлять управление защиты информации. (рис. 2.2.)

 

 

 

 

 

Рис.2.2. Управление защитой  информации.

К основным методам защиты информации в ЭИС относятся: препятствие, управление доступом, маскировка, регламентация, принуждение, побуждение. (рис 2.3.)

Рис. 2.3. Методы и средства информационной безопасности экономического объекта.

Итак, рассмотрим каждый из этих методов в отдельности.

Препятствие - метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.д.).

Управление  доступом - метод защиты информации путем регулирования использования всех ресурсов информационной системы (элементов баз данных, программных и технических средств). Управление доступом включает следующие функции защиты:

- идентификацию пользователей,  персонала и ресурсов системы;

- опознание объекта  или субъекта по предъявленному  им идентификатору;

- проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых  ресурсов и процедур установленному регламенту);

- разрешение и создание  условий работы в пределах  установленного регламента;

- регистрацию обращений  к защищаемым ресурсам;

- реагирование (сигнализация, отключение, задержка работ, отказ  в запросе) при попытках несанкционированных  действий.

Маскировка — метод защиты информации путем ее криптографического закрытия. Этот метод защиты широко применяется за рубежом, как при обработке, так и при хранении информации, в том числе на дискетах. При передаче информации по каналам связи большой протяженности этот метод является единственно надежным.

Регламентация — метод защиты информации, создающий такие условия автоматизированной обработки, хранения и передачи защищаемой информации, при которых возможности несанкционированного доступа к ней сводились бы к минимуму.

Принуждение - такой метод защиты, при котором пользователи и персонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.

 

Побуждение — такой метод защиты, который побуждает пользователя и персонал системы не разрушать установленные порядки за счет соблюдения сложившихся моральных и этических норм (как регламентированных, так и неписаных). (Автоматизированные информационные технологии в экономике: Учебник /Под ред. Проф. Г.А. Титоренко. М: Компьютер, ЮНИТИ. 2006.)

Рассмотренные методы обеспечения  безопасности реализуются на практике за счет применения различных средств  защиты, таких, как технические, программные, организационные, законодательные и морально-этические как это представлено на рисунке 2.3.