Основы защиты информации

Организация защиты информации очень важна. Развитие информационных технологий в современном мире столкнулось с одной из главных задач – это полная защита информации. Способность информационной системы в полной мере обеспечивать свое стабильное существование выражается в безопасности информационной системы и защите информации.

Комплексная конфиденциальность данных определяется совокупностью применяемых мер, гарантирующих целостность системы и конфиденциальность сведений. Тем не менее комплексная защита информации не способна абсолютно оградить систему от несанкционированного доступа, организация которой является основополагающей. Выработка защиты информации сопровождается балансом между уровнем информационной безопасности и производительностью работы всей системы в целом.

Меры защиты информации и их организация в целом разделяются на два основных типа:

• Организационные и правовые меры;
• Инженерно-технические меры.

О защите информации: что об этом известно?

Организационные и правовые способы защиты информации характеризуются необходимостью использования и разработкой нормативных и законодательных актов, регламентирующих на правовом уровне доступ к данным компьютерных сетей. Организация защиты информации государственных источников данных предопределена рекомендациями и требованиями нормативных актов. Организация сохранности данных же коммерческих источников материала определяется лишь рекомендательным характером нормативных актов, исключая требования. Организация в данном случае обеспечивается самостоятельно владельцем информационной системы. Комплексная защита информации, определенная совокупностью специальных органов, мероприятий и технических средств, обеспечивающих защиту от несанкционированного доступа, характеризует инженерно-технические способы защиты информации. Инженерно-технические меры защиты информации, в свою очередь, можно разделить на:

• Криптографические;
• Программные;
• Физические;
• Аппаратные.

Организация защиты данных во многом предопределена проблемами утечки информации. Средства защиты от утечки представляют собой сложноорганизованные системы, контролирующие движение и изменение данных в пределах определенной системы. Каналы утечки информации (бесконтрольного выхода сообщений за пределы системы, для которой она была создана) можно разделить на два основных момента.

1. Во-первых, непреднамеренная утечка данных, выраженная неосторожностью и ошибками персонала организации;
2. Во-вторых, промышленный шпионаж, инсайдерские риски, преднамеренное заражение системы вирусами.

Основными каналами заражения вирусами являются системы телекоммуникаций и съемные носители. Практика же показывает, что процент промышленного шпионажа намного ниже непреднамеренных ошибок со стороны персонала организации. Никто не застрахован от потери незащищенного носителя данных, случайного инфицирования системы.

Смотрите так же видео о современных средствах и способах защиты данных:

Процедуры доступа к данным

Доступ к данным информационной системы требует выполнения 3 основных процедур, организация которых ведет к защите информации:

1. Идентификация – отождествление конкретного пользователя с уникальным именем или идентификатором;
2. Аутентификация – сопоставление и проверка конкретного пользователя с заявленным уникальным именем или идентификатором. Основным способом исполнения процедуры является использование пароля для санкционированного доступа к данным;
3. Авторизация – гарантии соответствия прав и полномочий пользователя к конкретным данным, ограниченным политикой безопасности системы.

Каналы утечки данных

Существование каналов утечки сведений говорит о возможности их использования злоумышленниками в своих целях. О защите информации уже не может быть разговора. Разграничение каналов и организация утечки сведений характеризуются возможными негативными последствиями: упущенная финансовая выгода, связанная с потерей конфиденциальной секретности, издержками по судебным искам в отношении злоумышленников, снижения стоимости акций и котировок в связи с выходом на рынок инсайдерских данных. Общая потеря от утечки информации складывается из стоимости всех негативных последствий вскрытия информационных каналов.

К основным каналам утечки данных относят:

1. Разрушение конфиденциальности данных непосредственно через персонал организации;
2. Прямое или бесконтактное подключение к источникам данных;
3. Изъятие акустических сообщений с помощью технических средств;
4. Применение подслушивающих средств связи (диктофоны, микрофоны). Существует два основных способа защиты от несанкционированной аудиозаписи.
   1. К первому способу необходимо отнести невозможность проноса в помещение конфиденциальных сообщений, специальных прослушивающих средств, досмотр посетителей с помощью локаторов, металлодетекторов, устройств рентгеноскопии;
   2. Второй способ выражается в фиксации факта использования технических средств аудиозаписи и принятия определенных мер по устранению причин (например, «заглушка» данных средств связи);
5. Каналы утечки информации через телефоны и факсимильные аппараты;
6. Использование ограниченной звукоизоляции помещения организации, охранной и пожарной сигнализаций, различных коммуникаций.

Опытный анализ большинства каналов утечки информации позволяет сделать вывод о том, что самым распространенным способом шпионажа является получение речевой информации, защита от утечки которой и организация защиты информации на данный момент очень важна. Развитие информационных технологий ставит под угрозу защиту речевой информации. Под речевыми данными следует понимать объем данных, обработанных пользователем и выданных в виде акустических сигналов речевым аппаратом.

Смотрите так же мастер-класс от советника по защите информации:

Каналами утечки речевой информации в открытом пространстве являются:

• Прослушивание сообщений (может быть как случайным, так и скрытым);
• Размещение в помещениях организации, одежде пользователей, служебных и частных автомобилях «жучков»;
• Применение технических средств (в частности, узконаправленных микрофонов);
• Психологическое воздействие на сотрудника организации с целью извлечения из разговора конфиденциальных сообщений;
• Считывание необходимого материала по мимике говорящего пользователя.

Каналами утечки речевой информации в закрытом пространстве являются:

• Визуальная утечка данных, связанная с непосредственным считыванием сообщения с дисплеев компьютеров или других средств отображения данных;
• Прослушивание конфиденциальных сведений, поступающих через различные системы коммуникаций (например, вентиляционные решетки или системы трубопроводов);
• Прослушивание данных через оконные проемы, стеновые перегородки, потолочные и половые перекрытия, не обеспеченные достаточной звукоизоляцией.

Таким образом, конфиденциальность аудиоданных является одним из основополагающих аспектов всей информационной системы в целом. Защита речевой информации должна начинаться с выбора максимально защищенных помещений, установления контрольных зон защиты информации, организации уровней доступа к конфиденциальным данным, отключения приборов и технических средств с доступом к сообщениям, проведения специальных акустических проверок помещений, применения звукоизоляции стеновых перегородок, потолочных и половых покрытий, оконных проемов.

Видео-советы от эксперта:

Устройства обнаружения

Выше уже отмечалось применение локаторов, металлодетекторов, устройств рентгеноскопии. Необходимо рассмотреть их подробнее. Локаторы призваны обнаруживать наличие прослушивающих устройств на дальних расстояниях, но их использование ограничивается совместимостью с окружающей техникой и аппаратурой, безопасностью излучений и наличием мертвых зон. Работа металлодетекторов ограничена чувствительностью обнаружения современных цифровых диктофонов и мелких подслушивающих устройств. В данном случае нельзя говорить о защите информации в целом. Металлодетекторы бывают двух видов: стационарные и переносные. Рентгеноскопы используются для выявления несанкционированных средств связи в проносимых предметах. Основным недостатком данных устройств является их повышенная стоимость, которую могут себе позволить далеко не все организации.

Защита информации гарантирована лишь комплексным подходом, направленным на многообразие угроз и многоаспектность мероприятий по защите данных.

Не следует забывать и о том, что средства защиты конфиденциальных данных обеспечивают полную сохранность лишь в результате их правильного применения и в совокупности с организационными мерами, направленными на сохранность ключевых данных, полный контроль попыток несанкционированного доступа и оперативное вмешательство в ситуацию. Угроза по отношению к информационным ресурсам возрастает с каждым днем. Единого способа, гарантирующего сохранность конфиденциальных данных, не существует, но тем не менее создание комплексной защиты информации, учитывающей специфику работы конкретной организации, может свести к минимуму риск утечки корпоративной истории.

Работа по организации и сама защита информации должны начинаться с выявления информационных ресурсов, требующих защиты, их оценки и классификации. Далее необходимо выявить все виды информационных носителей и возможные способы нанесения угроз. На основании этих параметров уже можно строить единую систему, тогда и можно говорить уже о защите информации в целом.