Р. П. Шевчук // Опорний конспект лекцій з дисципліни „Методи та засоби захисту програмного забезпечення", для студентів напрямку „Комп’ютерні науки"
ТЕМА 1. СИСТЕМИ ЗАХИСТУ ІНФОРМАЦІЇ
жүктеу/скачать 0.66 Mb. Pdf көрінісі
|
| ТЕМА 1. СИСТЕМИ ЗАХИСТУ ІНФОРМАЦІЇ
1.1. Вступ в системи захисту інформації Захист інформації в системі – діяльність, спрямована на запобігання заподіянню шкоди інтересам власників інформації та її користувачів, а також власників системи. Криптографічний захист інформації – вид захисту інформації, що реалізується шляхом перетворення інформації з використанням спеціальних (ключових) даних з метою приховування (відновлення) змісту інформації, підтвердження її справжності, цілісності, авторства тощо. Технічний захист інформації – вид захисту інформації, спрямований на забезпечення за допомогою інженерно-технічних заходів та (або) програмних і технічних засобів конфіденційності, цілісності та доступності інформації, а також унеможливлення її блокування. Комплексна система захисту інформації – сукупність організаційних, інженерно-технічних заходів, засобів і методів технічного та криптографічного захисту інформації. Об'єктами захисту в системі є інформація, що обробляється в ній, права власників і користувачів цієї інформації та права власників системи. Доступ до інформації в системі здійснюється відповідно до порядку доступу до інформації в системі, режиму доступу до неї та інших умов, що визначаються власником інформації. Власник системи забезпечує захист інформації в системі в порядку та на умовах, визначених у договорі, що укладається ним з власником інформації. Захист інформації в системі забезпечується: запровадженням комплексної системи захисту інформації; дотриманням суб'єктами відносин, пов’язаних з обробкою інформації в системі, законодавства України та нормативних документів у сфері захисту інформації в системі; використанням засобів електронно-обчислювальної техніки, програмного забезпечення, телекомунікаційного обладнання, а також засобів захисту інформації у системі, які відповідають вимогам законодавства України щодо захисту інформації (наявність сертифіката, експертного висновку тощо). Для створення комплексної системи захисту інформації використовуються засоби, які мають відповідний сертифікат чи експертний висновок або дозвіл на їх застосування, виданий уповноваженим центральним органом виконавчої влади у сфері криптографічного та технічного захисту інформації. Комплексна система захисту інформації повинна забезпечувати облік та реєстрацію дій користувачів інформації, пов’язаних з доступом (спробами доступу) до інформації в системі та її обробкою, а також захист від несанкціонованого перекручення або знищення даних про реєстрацію таких дій. Комплексна система захисту інформації створюється власником системи самостійно за наявності у нього відповідних ліцензій на провадження господарської 7 діяльності у галузі криптографічного та технічного захисту інформації або із залученням суб’єктів господарювання, які мають такі ліцензії. Комплексна система захисту інформації створюється органами державної влади та органами місцевого самоврядування для власних потреб за дозволом, що надається уповноваженим центральним органом виконавчої влади у сфері криптографічного та технічного захисту інформації, або із залученням суб’єктів господарювання, які мають відповідні ліцензії. 1.2. Класифікація систем захисту інформації Мета введення класифікації систем захисту інформації - полегшення задачі співставлення вимог до комплексу засобів захисту (КЗЗ) інформації обчислювальної системи автоматизованої системи (АС). АС являє собою організаційно-технічну систему, що об’єднує операційну систему (ОС), фізичне середовище, персонал і оброблювану інформацію. Вимоги до функціонального складу КЗЗ залежать від характеристик оброблюваної інформації, самої ОС, фізичного середовища, персоналу і організаційної підсистеми. Вимоги до гарантій визначаються насамперед характером (важливістю) оброблюваної інформації і призначенням АС. Сьогодні виділяють три ієрархічні класи АС, вимоги до функціонального складу КЗЗ яких істотно відрізняються. Клас «1» - одномашинний однокористувацький комплекс, який обробляє інформацію однієї або кількох категорій конфіденційності. Істотні особливості: в кожний момент часу з комплексом може працювати тільки один користувач, хоч у загальному випадку осіб, що мають доступ до комплексу, може бути декілька, але всі вони повинні мати однакові повноваження (права) щодо доступу до інформації, яка оброблюється; технічні засоби (носії інформації і засоби введення-виведення) з точки зору захищеності відносяться до однієї категорії і всі можуть використовуватись для збереження всієї інформації. Приклад - автономна персональна електронно-обчислювальна машина (ЕОМ), доступ до якої контролюється з використанням організаційних заходів. Клас «2» — локалізований багатомашинний багатокористувацький комплекс, який обробляє інформацію різних категорій конфіденційності. Істотна відміна від попереднього класу — наявність користувачів з різними повноваженнями по доступу і/або технічних засобів, які можуть одночасно здійснювати обробку інформації різних категорій конфіденційності. Приклад - локальна обчислювальна мережа (ЛОМ). Клас «3» - розподілений багатомашинний багатокористувацький комплекс, який обробляє інформацію різних категорій конфіденційності. Істотна відміна від попереднього класу - необхідність передачі інформації через незахищене середовище або, в загальному випадку, наявність вузлів, що реалізують різну політику безпеки. Приклад - глобальна мережа. 8 В межах кожного класу АС класифікуються на підставі вимог до забезпечення певних властивостей інформації. З точки зору безпеки інформація характеризується трьома властивостями: конфіденційністю, цілісністю і доступністю. В зв’язку з цим, в кожному класі АС виділяються різні підкласи, для кожного з підкласів кожного класу вводиться деяка кількість ієрархічних стандартних функціональних профілів, яка може бути різною для кожного класу і підкласу АС. Профілі є ієрархічними в тому розумінні, що їх реалізація забезпечує наростаючу захищеність від загроз відповідного типу (конфіденційності, цілісності і доступності). Наростання ступеня захищеності може досягатись як підсиленням певних послуг, тобто включенням до профілю більш високого рівня послуги, так і включенням до профілю нових послуг. Така класифікація корисна для полегшення вибору переліку функцій, які повинен реалізовувати КЗЗ ОС, проектованої або існуючої АС. Цей підхід дозволяє мінімізувати витрати на початкових етапах створення КЗЗ АС. Проте слід визнати, що для створення КЗЗ, який найповніше відповідає характеристикам і вимогам до конкретної АС, необхідно проведення в повному обсязі аналізу загроз і оцінки ризиків. жүктеу/скачать 0.66 Mb. Достарыңызбен бөлісу:
|