Технические меры поддержки распределения ролей, идентификация и аутентификация, управление доступом.

Надежность любой обороны определяется самым слабым звеном. Злоумышленник не будет бороться против силы, он предпочтет легкую победу над слабостью. Часто самым слабым звеном оказывается не компьютер или программа, а человек, и тогда проблема обеспечения информационной безопасности приобретает нетехнический характер.

Принцип невозможности перехода в небезопасное состояние означает, что при любых обстоятельствах, в том числе нештатных, защитное средство либо полностью выполняет свои функции, либо полностью блокирует доступ. Образно говоря, если в крепости механизм подъемного моста ломается, мост должен оставаться в поднятом состоянии, препятствуя проходу неприятеля.

Принцип минимизации привилегий предписывает выделять пользователям и администраторам только те права доступа, которые необходимы им для выполнения служебных обязанностей.

Принцип разделения обязанностей предполагает такое распределение ролей и ответственности, при котором один человек не может нарушить критически важный для организации процесс. Это особенно важно, чтобы предотвратить злонамеренные или неквалифицированные действия системного администратора.

Принцип эшелонированности обороны предписывает не полагаться на один защитный рубеж, каким бы надежным он ни казался. За средствами физической защиты должны следовать программно-технические средства, за идентификацией и аутентификацией - управление доступом и, как последний рубеж, - протоколирование и аудит. Эшелонированная оборона способна по крайней мере задержать злоумышленника, а наличие такого рубежа, как протоколирование и аудит, существенно затрудняет незаметное выполнение злоумышленных действий.

Принцип разнообразия защитных средств рекомендует организовывать различные по своему характеру оборонительные рубежи, чтобы от потенциального злоумышленника требовалось овладение разнообразными и, по возможности, несовместимыми между собой навыками (например умением преодолевать высокую ограду и знанием слабостей нескольких операционных систем).

Очень важен принцип простоты и управляемости информационной системы в целом и защитных средств в особенности. Только для простого защитного средства можно формально или неформально доказать его корректность. Только в простой и управляемой системе можно проверить согласованность конфигурации разных компонентов и осуществить централизованное администрирование. В этой связи важно отметить интегрирующую роль Web-сервиса, скрывающего разнообразие обслуживаемых объектов и предоставляющего единый, наглядный интерфейс. Соответственно, если объекты некоторого вида (скажем таблицы базы данных) доступны через Web, необходимо заблокировать прямой доступ к ним, поскольку в противном случае система будет сложной и трудно управляемой.

Последний принцип - всеобщая поддержка мер безопасности - носит нетехнический характер. Если пользователи и/или системные администраторы считают информационную безопасность чем-то излишним или даже враждебным, режим безопасности сформировать заведомо не удастся. Следует с самого начала предусмотреть комплекс мер, направленный на обеспечение лояльности персонала, на постоянное обучение, теоретическое и, главное, практическое.

В качестве технической меры поддержки распределения ролей можно выделить биометрическую идентификацию:

Биометрическая идентификация это процесс идентификации пользователя путем предоставления биометрического идентификатора и его проверки определённым алгоритмом.

Биометрическая идентификация используется в информатике как средство идентификации, контроля доступа и наблюдения.

Биометрическими идентификаторами являются уникальные, измеряемые характеристики, которые можно использовать для маркирования и описания человека. В качестве биометрических идентификаторов выступают физиологические и поведенческие черты. Физиологические характеристики обычно относятся к форме тела. Например, отпечатки пальцев, рисунок папиллярного узора, черты лица, ДНК, геометрия руки, рисунок радужной оболочки глаза и сетчатки. Поведенческие характеристики относятся к шаблону поведения человека, например, ритм нажатия клавиш, почерк, походка и голос. Более традиционные средства контроля доступа включают системы идентификации на основе документов, таких как водительское удостоверение и паспорт, или системы идентификации на основе секретных данных, таких как пароль или персональный идентификационный номер. Так как биометрические идентификаторы уникальны для людей, они более надёжны при проверке идентичности и являются удобными для пользователей. В отличие от паролей и носителей информации, которые могут быть потеряны, украдены, скопированы. Биометрические системы доступа основаны на человеческих параметрах, которые всегда находятся вместе с ними, и проблема их сохранности не возникает. Однако, сбор биометрических идентификаторов, поднимает вопрос неприкосновенности частной жизни при бесконтрольном использовании этой информации.

Идентификация в информационных системах — процедура, в результате выполнения которой для субъекта идентификации выявляется его идентификатор, однозначно идентифицирующий этого субъекта в информационной системе. Для выполнения процедуры идентификации в информационной системе субъекту предварительно должен быть назначен соответствующий идентификатор (т.е. проведена регистрация субъекта в информационной системе).

Процедура идентификации напрямую связана с аутентификацией: субъект проходит процедуру аутентификации, и если аутентификация успешна, то информационная система на основе факторов аутентификации определяет идентификатор субъекта. При этом достоверность идентификации полностью определяется уровнем достоверности выполненной процедуры аутентификации.

https://ru.wikipedia.org/wiki/%D0%98%D0%B4%D0%B5%D0%BD%D1%82%D0%B8%D1% 84%D0%B8%D0%BA%D0%B0%D1%86%D0%B8%D1%8F_%28%D0%B8%D0%BD%D1% 84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%

D1%8B%D0%B5_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D1%8B%29

Аутентификация — процедура проверки подлинности, например:

проверка подлинности пользователя путём сравнения введённого им логина с паролем, сохранённым в базе данных пользователей;

подтверждение подлинности электронного письма путём проверки цифровой подписи письма по открытому ключу отправителя;

проверка контрольной суммы файла на соответствие сумме, заявленной автором этого файла.

https://ru.wikipedia.org/wiki/%D0%90%D1%83%D1%82%D0%B5%D0%BD%D1%82%D0%

B8%D1%84%D0%B8%D0%BA%D0%B0%D1%86%D0%B8%D1%8F