|
|
@@ -0,0 +1,69 @@
|
|
|
+# Механизмы и методы защиты информации в распределенных автоматизированных системах.
|
|
|
+Требования по защите информации в автоматизированных информационных системах (АИС) формируются вокруг необходимости оградить конфиденциальные данные от утечек или искажений. Угрозы имеют различный генезис: информация страдает от техногенных аварий, повреждающих оборудование, действий хакеров и вредоносных программ, от инсайдеров, похищающих ее для продажи. Создание комплекса аппаратных и программных средств защиты поможет избежать этих рисков.
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+### Методы защиты информации.
|
|
|
+Выстраивая систему защиты информации в автоматизированных информационных системах корпорации, IT-специалист может использовать различные методы, одновременное применение которых позволяет решать поставленные задачи.
|
|
|
+Они делятся на следующие подгруппы:
|
|
|
+1. методы повышения степени достоверности информации;
|
|
|
+2. методы защиты данных от утраты в результате аварий или сбоя оборудования;
|
|
|
+3. методы контроля возможности физического доступа к аппаратуре, панелям управления и сетям, в результате которого возможно повреждение оборудования, хищение информации, намеренное создание аварийных или нештатных ситуаций, установка закладных устройств, позволяющих считывать звуковые и электромагнитные волны;
|
|
|
+4. методы аутентификации пользователей, программ, съемных носителей информации.
|
|
|
+На практике специалисты используют и другие организационные и аппаратно-программные методы. Организационные реализуются на уровне всей компании, решение о выборе аппаратно-программных средств остается в компетенции специалиста.
|
|
|
+
|
|
|
+#### Организационные
|
|
|
+Выбор и применение этой группы методов зависит от специфики работы организации и от того, в каком правовом поле она существует:
|
|
|
+1. частная компания, не являющаяся оператором персональных данных и не работающая со сведениями, содержащими государственную тайну. Для нее возможно применение любых удобных организационных методов, без допущения избыточности;
|
|
|
+2. частная фирма – оператор персональных данных или работающая со сведениями, содержащими государственную тайну. Требования к организационным способам защиты информации для нее устанавливаются на уровне закона и нормативных документов ФСТЭК РФ;
|
|
|
+3. банк, в чьей работе которого возникает три вида конфиденциальной информации – персональные данные, банковская тайна, коммерческая тайна. Требования по защите информации в АИС для него дополнительно устанавливает регулятор, Центробанк, и он же решает, какие организационные методы должны применяться;
|
|
|
+4. государственный орган или компания, для которых большинство организационных методов определяются централизованно, на уровне министерств или головных организаций.
|
|
|
+Организационные методы делятся на две группы – системные и административные.
|
|
|
+
|
|
|
+#### К системным относятся:
|
|
|
+1. повышение надежности оборудования, выбор рабочих станций с меньшими рисками отказа, установка оборудования, снижающего риск утраты информации в результате отключения электроэнергии;
|
|
|
+2. резервное хранение данных на внешних серверах, что позволяет устранить ошибки, возникающие из-за системных сбоев или уничтожения
|
|
|
+3. ранжирование пользователей – предоставление им разного уровня доступа к сведениям при обработке информации, что снижает риск несанкционированного проникновения к данным, их уничтожения, изменения или копирования;
|
|
|
+4. структурирование обработки информации, оптимизация связанных бизнес-процессов, выделение специальных кластеров для обработки информации определенного типа.
|
|
|
+Задача по разработке и внедрению административных методов ложится совокупно на руководство предприятия, вышестоящие организации, отделы персонала и безопасности.
|
|
|
+
|
|
|
+#### К административным способам относятся:
|
|
|
+1. принятие внутренних нормативных актов, регулирующих действия по обработке информации и доступу к АИС;
|
|
|
+2. повышение корпоративной культуры, направленное на возникновение интереса пользователей к защите информации;
|
|
|
+3. установление режима коммерческой тайны, включение в трудовые договоры пункта об ответственности за ее разглашение;
|
|
|
+4. обучение пользователей, повышение их мотивации;
|
|
|
+5. повышение эргономичности труда, облегчение условий работы таким образом, чтобы системные сбои или утрата важной информации не происходили по причине усталости или невнимательности персонала.
|
|
|
+Внедрение организационных способов защиты информации в автоматизированных информационных системах должно постоянно сопровождаться аудитом действенности примененных мер и их дальнейшим совершенствованием по результатам выявленных ошибок.
|
|
|
+
|
|
|
+
|
|
|
+### Аппаратно-программные.
|
|
|
+Эта группа методов зависит от общей политики компании и действий IТ-подразделений. Программные методы призваны обеспечить защиту информации при ее обработке в АИС и при передаче по каналам связи. Аппаратные обеспечивают применение точных контрольно-технических средств, дублирующих функции программных методов (например, шифрование на высоком уровне невозможно обеспечить только программными средствами) и способных обнаружить ошибки, недоступные для выявления программными средствами.
|
|
|
+Задачи аппаратно-программных методов по обеспечению сохранности и достоверности информации делятся на группы:
|
|
|
+1. Дублирование и резервирование информации на трех уровнях, создание удаленных баз данных. Оперативное резервирование – создание копий файлов в режиме реального времени. Восстановительное, когда копии файлов создаются в целях их восстановления, если утеря произошла из-за сбоя. Долгосрочное, при котором системные сведения сохраняются в большом объеме, включая копии всех системных файлов, и хранятся длительное время как в целях восстановления, так и в целях аудита.
|
|
|
+2. Блокировка злонамеренных или ошибочных операций, создаваемых действиями пользователей или внешних злоумышленников, вредоносными программами.
|
|
|
+3. Защита от вредоносных программ. Это вирусы, черви, троянские кони и логические бомбы. В борьбе с ними используются сканирование, выявление изменения элементов файлов, аудит, антивирусные программы.
|
|
|
+4. Защита от внешних проникновений и несанкционированного доступа к информации. Здесь используются сетевые экраны, средства обнаружения атак.
|
|
|
+5. Шифрование информации при помощи средств криптографической защиты.
|
|
|
+6. Аутентификация пользователей, использование средств контроля доступа. Доступ может быть ограничен или разграничен программными средствами.
|
|
|
+Перечисленные способы программной защиты информации в автоматизированных информационных системах не являются исчерпывающими. Помимо них широко применяются такие комплексные решения, как DLP- и SIEM-системы.
|
|
|
+
|
|
|
+#### К механизмам обеспечения безопасности относятся:
|
|
|
+1. идентификация пользователей;
|
|
|
+2. шифрование данных;
|
|
|
+3. электронная подпись;
|
|
|
+4. управление маршрутизацией и др.
|
|
|
+<br>Идентификация пользователей позволяет устанавливать конкретного пользователя, работающего за терминалом и принимающего или отправляющего сообщения.Право доступа к определенным вычислительным и информационным ресурсам, программам и наборам данных, а также ВС в целом предоставляется ограниченному контингенту лиц, и система должна распознавать пользователей, работающих за терминалами. Идентификация пользователей чаще всего производится с помощью паролей.
|
|
|
+**Пароль** - это совокупность символов, известных подключенному к сети абоненту, вводится в начале сеанса взаимодействия с сетью, а иногда и в конце сеанса (в особо ответственных случаях пароль выхода из сети может отличаться от входного). Система может предусматривать ввод пароля для подтверждения правомочия пользователя через определенные интервалы времени.
|
|
|
+Для защиты средств идентификации пользователей от неправомочного использования, пароли передаются и сравниваются в зашифрованном виде, а таблицы паролей хранятся в зашифрованном виде, что исключает возможность прочтения паролей без знания ключа.
|
|
|
+Для идентификации пользователей могут применять и физические методы: например, карточка с магнитным покрытием, на котором записывается персональный идентификатор пользователя или карточка со встроенным чипом.
|
|
|
+Наиболее надежным, хотя и наиболее сложным является способ идентификации пользователя на основе анализа его индивидуальных параметров: отпечатков пальцев, рисунков линий руки, радужной оболочки глаз и др.
|
|
|
+**Шифрование данных** - это обеспечение секретности методами криптографии, т. е. методами преобразования данных из общепринятой формы в кодированную (шифрование) и обратного преобразования (дешифрования) на основе правил, известных только взаимодействующим абонентам сети. Криптография применяется для защиты передаваемых данных, а также информации, хранимой в базах данных, на магнитных и оптических дисках и т. д.
|
|
|
+К криптографическим средствам предъявляются требования сохранения секретности, даже когда известна сущность алгоритмов шифрования - дешифрования. Секретность обеспечивается введением в алгоритмы специальных ключей (кодов). Зашифрованный текст превращается в исходный только в том случае, когда в процессе шифрования и дешифрования используется один и тот же ключ. Область значений ключа выбирается столь большой, что практически исключается возможность его определения путем простого перебора.
|
|
|
+
|
|
|
+
|
|
|
+
|
|
|
+#### <h1 align="center">Список источников</h1>
|
|
|
+1. https://searchinform.ru/services/outsource-ib/zaschita-informatsii/v- informatsionnykh-sistemakh/v-avtomatizirovannykh-informatsionnykh-sistemakh/
|
|
|
+2. https://revolution.allbest.ru/programming/00480226_0.html
|
|
|
+
|
|
|
+
|
ypv