Защита от несанкционированного доступа к информации

 
Препятствия - методы физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.д.).

Управление доступом - метод  защиты информации регулированием использования  всех ресурсов компьютерной информационной системы (элементов баз данных, программных  и технических средств). Управление доступом включает следующие функции  защиты: 
-  идентификацию пользователей, персонала и ресурсов системы (присвоение каждому объекту персонального идентификатора);  
- опознание (установление подлинности) объекта или субъекта по предъявленному им идентификатору; 
- проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту); 
- разрешение и создание условий работы в пределах установленного регламента; 
- регистрацию (протоколирование) обращений к защищаемым ресурсам; 
- регистрацию (сигнализация, отключение, задержка работ, отказ в запросе) при попытках несанкционированных действий.

Маскировка - метод защиты информации путем ее криптографического закрытия. Этот метод широко применяется  за рубежом как при обработке, так и при хранении информации, в том числе на дискетах. При передаче информации по каналам связи большой протяженности данный метод является единственно надежным.

Регламентация - метод защиты информации, создающий такие условия  автоматизированной обработки, хранения и передачи защищаемой информации, при которых возможности несанкционированного доступа к ней сводились бы к минимуму.

Принуждение - метод защиты, при котором пользователи и персонал системы вынуждены соблюдать  правила обработки, передачи и использования  защищаемой информации под угрозой  материальной, административной или  уголовной ответственности.

Побуждение - метод защиты, который побуждает пользователя и персонал системы не нарушать установленный  порядок за счет соблюдения сложившихся  моральных и этических норм (как  регламентированных, так и неписаных).

ПРИНЦИПЫ ПРОЕКТИРОВАНИЯ СИСТЕМЫ ЗАЩИТЫ:

Защита информации в АИТУ должна основываться на следующих основных принципах:

1) системности; 

2) комплексности;

3) непрерывности защиты;

4) разумной достаточности;

5) гибкости управления  и применения;

6) открытости алгоритмов  и механизмов защиты;

7) простоты применения  защитных мер и средств.

Системный подход к защите компьютерных систем предполагает необходимость  учета всех взаимосвязанных, взаимодействующих  и изменяющихся во времени элементов, условий и факторов, существенно значимых для понимания и решения проблемы обеспечения безопасности АИТУ. При создании системы защиты необходимо учитывать все слабые, наиболее уязвимые места системы обработки информации, а также характер, возможные объекты и направления атак на систему со стороны нарушителей (особенно высококвалифицированных злоумышленников), пути проникновения в распределенные системы и несанкционированного доступа к информации. Система защиты должна строиться с учетом не только всех известных каналов проникновения и несанкционированного доступа к информации, но и с учетом возможности появления принципиально новых путей реализации угроз безопасности.

В распоряжении специалистов по компьютерной безопасности имеется  широкий спектр мер, методов и  средств защиты компьютерных систем. Их комплексное использование предполагает согласованное применение разнородных  средств при построении целостной системы защиты, перекрывающей все существующие каналы реализации угроз и не содержащей слабых мест на стыке отдельных ее компонентов. Зашита должна строиться эшелонированно. Внешняя защита должна обеспечиваться физическими средствами, организационными и правовыми мерами. Одной из наиболее укрепленных линий обороны призваны быть средства защиты, реализованные на уровне операционной системы (ОС) в силу того, что ОС - это как раз та часть компьютерной системы, которая управляет использованием всех ее ресурсов. Прикладной уровень зашиты, учитывающий особенности предметной области, представляет внутренний рубеж обороны.

Защита информации - это  не разовое мероприятие и даже не совокупность проведенных мероприятий  и установленных средств защиты, а непрерывный целенаправленный процесс, предполагающий принятие соответствующих  мер на всех этапах жизненного цикла  АИТУ, начиная с ранних стадий проектирования, а не только на этапе ее эксплуатации. Разработка системы защиты должна вестись  параллельно с разработкой самой  защищаемой системы. Это позволит учесть требования безопасности при проектировании архитектуры и в конечном счете  создать более эффективные (как  по затратам ресурсов, так и по устойчивости) защищенные системы. Большинству физических и технических средств защиты для эффективного выполнения их функций  необходима постоянная организационная (административная) поддержка (своевременная  смена и обеспечение правильного  хранения и применения имен, паролей, ключей шифрования, переопределение  полномочий и т.п.). Перерывы в работе средств защиты могут быть использованы злоумышленниками для анализа применяемых  методов и средств защиты, для  внедрения специальных программных  и аппаратных «закладок» и других средств, преодоления системы защиты после восстановления ее функционирования.