Введение в информационную безопасность

Введение в информационную безопасность

Введение

 

Информационная Эра привела к драматическим изменениям в способе выполнения своих обязанностей для большого числа профессий. Теперь нетехнический специалист среднего уровня может выполнять работу, которую раньше делал высококвалифицированный программист. Служащий имеет в своем распоряжении столько точной и оперативной информации, сколько никогда не имел.

Но использование компьютеров и автоматизированных технологий приводит к появлению ряда проблем для руководства организацией. Компьютеры, часто объединенные в сети, могут предоставлять доступ к колоссальному количеству самых разнообразных данных. Поэтому люди беспокоятся о безопасности информации и наличии рисков, связанных с автоматизацией и предоставлением гораздо большего доступа к конфиденциальным, персональным или другим критическим данным. Все увеличивается число компьютерных преступлений, что может привести в конечном счете к подрыву экономики. И поэтому должно быть ясно, что информация - это ресурс, который надо защищать.

Ответственность за защиту информации лежит на низшем звене руководства. Но также кто-то должен осуществлять общее руководство этой деятельностью, поэтому в организации должно иметься лицо в верхнем звене руководства, отвечающее за поддержание работоспособности информационных систем.

И так как автоматизация привела к тому, что теперь операции с вычислительной техникой выполняются простыми служащими организации, а не специально подготовленным техническим персоналом, нужно, чтобы конечные пользователи знали о своей ответственности за защиту информации.

Целью этого документа является дать основы компьютерной безопасности для низшего звена управления, то есть для начальников отделов, руководителей групп и т.п.

При ограблении банка потери в среднем составляют 19 тысяч долларов, а при

компьютерном преступлении - 560 тысяч долларов. Число компьютерных преступлений растет - также увеличиваются масштабы компьютерных злоупотреблений. По оценке специалистов США, ущерб от компьютерных преступлений увеличивается на 35 процентов в год и составляет около 3.5 миллиардов долларов. Одной из причин является сумма денег, получаемая в результате преступления: в то время как ущерб от среднего компьютерного преступления составляет 560 тысяч долларов, при ограблении банка - всего лишь 19 тысяч долларов. Шансов быть пойманным у компьютерного преступника гораздо меньше, чем у грабителя банка - и даже при поимке у него меньше шансов попасть в тюрьму.

Обнаруживается в среднем 1 процент компьютерных преступлений. И вероятность того, что за компьютерное мошенничество преступник попадет в тюрьму, меньше 10 процентов. Умышленные компьютерные преступления составляют заметную часть преступлений. Но злоупотреблений компьютерами и ошибок еще больше. Как выразился один эксперт, "мы теряем из-за ошибок больше денег, чем могли бы украсть". Эти потери подчеркивают важность и серьезность убытков, связанных с компьютерами.

Основной причиной наличия потерь, связанных с компьютерами, является

недостаточная образованность в области безопасности. Только наличие некоторых знаний в области безопасности может прекратить инциденты и ошибки, обеспечить эффективное применение мер защиты, предотвратить преступление или своевременно обнаружить подозреваемого. Осведомленность конечного пользователя о мерах безопасности обеспечивает четыре уровня защиты компьютерных и информационных ресурсов:

 

Компьютерным преступником может быть любой

Типичный компьютерный преступник - это не молодой хакер, использующий телефон и домашний компьютер для получения доступа к большим компьютерам. Типичный компьютерный преступник - это служащий, которому разрешен доступ к системе, нетехническим пользователем которой он является. В США компьютерные преступления, совершенные служащими, составляют 70-80 процентов ежегодного ущерба, связанного с компьютерами. Остальные 20 процентов дают действия нечестных и недовольных сотрудников. И совершаются они по целому ряду причин.

 

Информационная безопасность

То, что в 60-е годы называлось компьютерной безопасностью, а в 70-е -

безопасностью данных, сейчас более правильно именуется информационной

безопасностью. Информационная безопасность подчеркивает важность информации в современном обществе - понимание того, что информация - это ценный ресурс, нечто большее, чем отдельные элементы данных.

Информационной безопасностью называют меры по защите информации от неавторизованного доступа, разрушения, модификации, раскрытия и задержек в доступе. Информационная безопасность включает в себя меры по защите процессов создания данных, их ввода, обработки и вывода. Целью информационной безопасности является обезопасить ценности системы, защитить и гарантировать точность и целостность информации, и минимизировать разрушения, которые могут иметь место, если информация будет модифицирована или разрушена. Информационная

безопасность требует учета всех событий, в ходе которых информация создается, модифицируется, к ней обеспечивается доступ или она распространяется.

Информационная безопасность дает гарантию того, что достигаются следующие цели:

· конфиденциальность критической информации

· целостность информации и связанных с ней процессов(создания,

ввода, обработки и вывода)

· доступность информации, когда она нужна

· учет всех процессов, связанных с информацией

Некоторые технологии по защите системы и обеспечению учета всех событий могут быть встроены в сам компьютер. Другие могут быть встроены в программы.

Некоторые же выполняются людьми и являются реализацией указаний руководства, содержащихся в соответствующих руководящих документах. Принятие решения о выборе уровня сложности технологий для защите системы требует установления критичности информации и последующего определения адекватного уровня безопасности.

Что же такое критические данные? Под критическими данными будем понимать данные, которые требуют защиты из-за вероятности нанесения(риска) ущерба и его величины в том случае, если произойдет случайное или умышленное раскрытие, изменение, или разрушение данных. Этот термин включает в себя данные, чье неправильное использование или раскрытие может отрицательно отразиться на способности организации решать свои задачи, персональные данные и другие данные, защита которых требуется указами Президента РФ, законами РФ и другими подзаконными документами.

Преступления и злоупотребления. Анализ зарубежных и отечественных отчетов о выявленных компьютерных преступлениях позволяет описать основные технологии их совершения. Лишь немногие из них включают разрушение компьютеров или данных. Только в 3 процентах мошенничеств и 8 процентах злоупотреблений происходило специальное разрушение оборудования, уничтожение программ или данных. В большей части

случаев мошенничеств и злоупотреблений использовалась информация - ею

манипулировали, ее создавали, ее использовали. Пять основных технологий, использовавшихся при совершении компьютерных преступлений:

Мошенничества

1. Ввод неавторизованной информации

2. Манипуляции разрешенной для ввода информацией

3. Манипуляции или неправильное использование файлов с информацией

4. Создание неавторизованных файлов с информацией

5. Обход внутренних мер защиты

Злоупотребления

1. Кража компьютерного времени, программ, информации и оборудования

2. Ввод неавторизованной информации

3. Создание неавторизованных файлов с информацией

4. Разработка компьютерных программ для неслужебного использования

5. Манипулирование или неправильное использование возможностей по

проведению работ на компьютерах

С другой стороны стоит рассмотреть основные методы, использовавшиеся для их совершения. Они включают:

1. Надувательство с данными. Наверное, самый

распространенный метод при совершении компьютерных преступлений, так как он не требует технических знаний и относительно безопасен. Информация меняется в процессе ее ввода в компьютер или во время вывода. Например, при вводе документы могут быть заменены фальшивыми, вместо рабочих дискет подсунуты чужие, и данные могут быть сфальсифицированы.

2. Сканирование. Другой распространенный метод получения

информации, который может привести к преступлению. Служащие, читающие файлы других, могут обнаружить там персональную информацию о своих коллегах.

Информация, позволяющая получить доступ к компьютерным файлам или изменить их, может быть найдена после просмотра мусорных корзин. Дискеты, оставленные на столе, могут быть прочитаны, скопированы, и украдены. Очень хитрый сканирующий может даже просматривать остаточную информацию, оставшуюся на компьютере или на

носителе информации после выполнения сотрудником задания и удаления своих файлов.

3. Троянский конь. Этот метод предполагает, что пользователь не заметил, что компьютерная программа была изменена таким образом, что включает в себя дополнительные функции. Программа, выполняющая полезные функции, пишется таким образом, что содержит дополнительные скрытые функции, которые будут использовать особенности механизмов защиты системы(возможности пользователя, запустившего программу, по доступу к файлам)

4. Люк. Этот метод основан на использовании скрытого программного или аппаратного механизма, позволяющего обойти методы защиты в

системе. Этот механизм активируется некоторым неочевидным образом. Иногда программа пишется таким образом, что специфическое событие, например, число транзакций, обработанных в определенный день, вызовет запуск неавторизованного механизма.

5. Технология салями Названа так из-за того, что преступление совершается понемногу, небольшими частями, настолько маленькими,

что они незаметны. Обычно эта технология сопровождается изменением компьютерной программы. Например, платежи могут округляться до нескольких центов, и разница между реальной и округленной суммой поступать на специально открытый счет злоумышленника.

6. Суперотключение. Названа по имени программы, использовавшейся в ряде компьютерных центров, обходившей системные меры защиты и использовавшейся при аварийных ситуациях. Владение этим "мастер-ключом" дает возможность в любое время получить доступ к компьютеру и информации, находящейся в нем.

Признаки

Следующие признаки могут свидетельствовать о наличии уязвимых мест в

информационной безопасности.

1. Не разработано положений о защите информации или они не

соблюдаются. Не назначен ответственный за информационную безопасность.

2. Пароли пишутся на компьютерных терминалах, помещаются в

общедоступные места, ими делятся с другими, или они появляются на

компьютерном экране при их вводе

3. Удаленные терминалы и микрокомпьютеры оставляются без присмотра в рабочие и нерабочие часы. Данные отображаются на компьютерных экранах, оставленных без присмотра.

4. Не существует ограничений на доступ к информации, или на характер

ее использования. Все пользователи имеют доступ ко всей информации и могут использовать все функции системы.

5. Не ведется системных журналов, и не хранится информация о том, кто

и для чего использует компьютер.

6. Изменения в программы могут вноситься без их предварительного

утверждения руководством.

7. Отсутствует документация или она не позволяет делать следующее:

понимать получаемые отчеты и формулы, по которым получаются результаты, модифицировать программы, готовить данные для ввода, исправлять ошибки, производить оценку мер защиты, и понимать сами данные - их источники, формат хранения, взаимосвязи между ними.

8. Делаются многочисленные попытки войти в систему с неправильными

паролями.

9. Вводимые данные не проверяются на корректность и точность, или при их проверке много данных отвергается из-за ошибок в них, требуется сделать много исправлений в данных, не делается записей в журналах об отвергнутых транзакциях.

10. Имеют место выходы из строя системы, приносящие большие убытки

11. Не производился анализ информации, обрабатываемой в компьютере, с

целью определения необходимого для нее уровня безопасности

12. Мало внимания уделяется информационной безопасности. Хотя политика безопасности и существует, большинство людей считает, что на самом деле она не нужна.

 

Заключение

Обеспечение безопасности при работе с компьютерной системой - задача

многогранная. В ней можно выделить два основных направления: безопасность персонала и информационную безопасность. Оба аспекта составляют предмет жарких дискуссий ведущих специалистов отрасли на многочисленных совещаниях, семинарах и конференциях. Крупнейшим смотром технологий обеспечения информационной безопасности стала 23-я международная выставка-конференция, проводившаяся в Чикаго 12-13 ноября 1996 г., в которой участвовало более 100 компаний.

Остановимся подробнее на втором аспекте. Интерес к вопросам безопасности

информации не случаен. Корпоративные системы электронного документооборота, бухгалтерского учета и управления базами данных получили широкое распространение в развитых странах уже в первой половине 70-х гг. С развитием компьютерных технологий, по мере снижения их стоимости, роста возможностей и доступности компьютеров, все больше компаний переходят на автоматизированные системы учета. В результате увеличиваются как объем информации, хранящейся на различных электронных носителях, так и ее ценность (которая, в первую очередь, определяется суммой возможных убытков при потере данных или их

попадании к конкуренту). И тут-то выясняется, что электронные средства

хранения даже более уязвимы, чем бумажные; размещаемые на них данные можно и уничтожить, и скопировать, и незаметно видоизменить. Последнее, кстати, представляет наибольшую опасность для компаний.

Что же означает потеря данных, на основе которых ведется управление бизнесом?

По данным Миннесотского университета, 93% компаний, лишившихся доступа к своим данным на срок более 10 дней, покинули бизнес, причем половина из них заявила о своей несостоятельности немедленно. Хотя компании, опасаясь за свое реноме, предпочитают замалчивать случаи крушения их информационных систем и вторжения в них, статистика подобных происшествий все же существует. Так, подкомитет по расследованиям при сенате США недавно провел соответствующий

опрос среди 500 крупнейших индустриальных компаний страны. Более половины респондентов (264 фирмы) воздержались от ответа, однако 140 компаний признали, что их информационные системы подвергались нападениям в течение последнего года, и почти пятая часть из них сообщила, что понесенные при этом убытки составили свыше 1 млн дол.

В Российской Федерации такие исследования не проводились, но, конечно,

события подобного рода иногда происходят. Например, в сеть одного крупного торгового зала проникли вирусы, и два дня, пока не была восстановлена информационная среда, фирма осуществляла только оптовые торговые операции. В результате оборот снизился в несколько раз, клиенты, не получавшие требуемых услуг, высказывали свое недовольство, персонал работал неэффективно, а системные администраторы в авральном порядке с утра до ночи "чистили" систему и восстанавливали информацию на дисках. Учитывая статистику Миннесотского университета, можно сказать, что фирма легко отделалась.

Российские предприниматели под давлением фактов, а иногда и личного опыта, наконец начали осознавать ценность информации, содержащейся в их

корпоративных сетях. Следствием этого стало проявление некоторого, пока еще не слишком активного, интереса к системам безопасности. Немалую роль в продвижении технологий безопасности играют и отечественные системные интеграторы, в задачи которых входит создание комплексных информационных систем поддержки бизнеса и разработка технических и организационно-режимных мероприятий для повышения их безопасности. Государство, требующее от определенных организаций ответственного подхода к хранению и передаче информации, также стимулирует развитие данной области. В частности, Президент РФ своим указом от 3 апреля 1995 г. предложил Центральному банку (ЦБ) принять меры по отношению к коммерческим банкам, уклоняющимся от обязательного использования "защищенных технических средств хранения, обработки и передачи информации при их информационном взаимодействии с подразделениями ЦБ".

Правда, на сегодняшний день российские бизнесмены все же больше озабочены надежностью функционирования своих компьютерных систем и их защиты от вирусов, нежели созданием барьеров, ограждающих от несанкционированного доступа. Возможно, это пока оправданно, поскольку лишь немногие фирмы содержат в компьютерных сетях информацию, ценность которой адекватна расходам на ее извлечение.

Обсуждая вопросы безопасности информации в компьютерной системе со

специалистами известных российских фирм, занимающихся системной интеграцией - таких как IBS, "ЛВС", "АйТи", "Анкей", "Оптима" и RPI, - авторы выделили два основных принципа организации информационных систем. Во-первых, это комплексный подход к построению системы, охватывающий как применение специальных аппаратных и программных средств, так и проведение организационно-режимных мероприятий. Во-вторых, высокие требования к квалификации обслуживающего персонала. Глобальными факторами, влияющими на функционирование системы и сохранность данных, являются сбой системы, случайное уничтожение ее отдельных компонентов и несанкционированный доступ к системе. Поскольку первые два фактора не связаны с прямой атакой на содержимое информационной системы, их можно объединить термином "несчастный

случай".

Литература

 

1. Медведовский И.Д., Семьянов П.В., Леонов Д.Г. «Атака на интернет»

2. Издательского дома "Открытые Системы" (Lan Magazine/Журнал сетевых

решений, 1996, том 2, #7)

3. Издательского дома "Открытые Системы"(Сети, 1997, #8)

4. “Office” N5 1999 Александр Буров «Человеческий фактор и безопасность»

 

Введение в информационную безопасность

Введение

 

Информационная Эра привела к драматическим изменениям в способе выполнения своих обязанностей для большого числа профессий. Теперь нетехнический специалист среднего уровня может выполнять работу, которую раньше делал высококвалифицированный программист. Служащий имеет в своем распоряжении столько точной и оперативной информации, сколько никогда не имел.

Но использование компьютеров и автоматизированных технологий приводит к появлению ряда проблем для руководства организацией. Компьютеры, часто объединенные в сети, могут предоставлять доступ к колоссальному количеству самых разнообразных данных. Поэтому люди беспокоятся о безопасности информации и наличии рисков, связанных с автоматизацией и предоставлением гораздо большего доступа к конфиденциальным, персональным или другим критическим данным. Все увеличивается число компьютерных преступлений, что может привести в конечном счете к подрыву экономики. И поэтому должно быть ясно, что информация - это ресурс, который надо защищать.

Ответственность за защиту информации лежит на низшем звене руководства. Но также кто-то должен осуществлять общее руководство этой деятельностью, поэтому в организации должно иметься лицо в верхнем звене руководства, отвечающее за поддержание работоспособности информационных систем.

И так как автоматизация привела к тому, что теперь операции с вычислительной техникой выполняются простыми служащими организации, а не специально подготовленным техническим персоналом, нужно, чтобы конечные пользователи знали о своей ответственности за защиту информации.