Классификация мер обеспечения безопасности компьютерных систем

По способам осуществления все меры обеспечения безопасности компьютерных систем подразделяются на: правовые (законодательные), морально-этические, организационные (административные), физические и технические (аппаратурные и программные)

К правовым мерам защиты относятся действующие в стране законы, указы и нормативные акты, регламентирующие правила обращения с информацией, закрепляющие права и обязанности участников информационных отношений в процессе ее обработки и использования, а также устанавливающие ответственность за нарушения этих правил, препятствуя тем самым неправомерному использованию информации и являющиеся сдерживающим фактором для потенциальных нарушителей.

К морально-этическим мерам противодействия относятся нормы поведения, которые традиционно сложились или складываются по мере распространения ЭВМ в стране или обществе. Эти нормы большей частью не являются обязательными, как законодательно утвержденные нормативные акты, однако, их несоблюдение ведет обычно к падению авторитета, престижа человека, группы лиц или организации. Морально-этические нормы бывают как неписаные (например, общепризнанные нормы честности, патриотизма и т.п.), так и писаные, то есть оформленные в некоторый свод (устав) правил или предписаний.

Организационные (административные) меры защиты - это меры организационного характера, регламентирующие процессы функционирования системы обработки данных, использование ее ресурсов, деятельность персонала, а также порядок взаимодействия пользователей с системой таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности. Они включают:

· мероприятия, осуществляемые при проектировании, строительстве и оборудовании вычислительных центров и других объектов систем обработки данных;

· мероприятия по разработке правил доступа пользователей к ресурсам системы (разработка политики безопасности);

· мероприятия, осуществляемые при подборе и подготовке персонала системы;

· организацию охраны и надежного пропускного режима;

· организацию учета, хранения, использования и уничтожения документов и носителей с информацией;

· распределение реквизитов разграничения доступа (паролей, ключей шифрования и т.п.);

· организацию явного и скрытого контроля за работой пользователей;

· мероприятия, осуществляемые при проектировании, разработке, ремонте и модификациях оборудования и программного обеспечения и т.п.

Физические меры защиты основаны на применении разного рода механических, электро- или электронно-механических устройств и сооружений, специально предназначенных для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации, а также технических средств визуального наблюдения, связи и охранной сигнализации.

Технические (аппаратно-программные) меры защиты основаны на использовании различных электронных устройств и специальных программ, входящих в состав АС и выполняющих (самостоятельно или в комплексе с другими средствами) функции защиты (идентификацию и аутентификацию пользователей, разграничение доступа к ресурсам, регистрацию событий, криптографическое закрытие информации и т.д.).

1 - Организационные меры обеспечивают исполнение существующих нормативных актов и строятся с учетом существующих правил поведения, принятых в стране и/или организации

2 - Воплощение организационных мер требует создания нормативных документов

3 - Для эффективного применения организационные меры должны быть поддержаны физическими и техническими средствами

4 - Применение и использование технических средств защиты требует соответствующей организационной поддержки.

Ценность информации.

Ценность информации оп­ределяется степенью ее полезности для владельца. Обладание ис­тинной (достоверной) информацией дает ее владельцу определен­ные преимущества. Истинной или достоверной информацией яв­ляется информация, которая с достаточной для владельца (поль­зователя) точностью отражает объекты и процессы окружающего мира в определенных временных и пространственных рамках.

Информация, искаженно представляющая действительность (недостоверная информация), может нанести владельцу значи­тельный материальный и моральный ущерб. Если информация искажена умышленно, то ее называют дезинформацией.

Законом «Об информации, информатизации и защите инфор­мации» гарантируется право собственника информации на ее ис­пользование и защиту от доступа к ней других лиц (организаций). Если доступ к информации ограничивается, то такая информация является конфиденциальной. Конфиденциальная информация мо­жет содержать государственную или коммерческую тайну. Ком­мерческую тайну могут содержать сведения, принадлежащие ча­стному лицу, фирме, корпорации и т. п. Государственную тайну могут содержать сведения, принадлежащие государству (государ­ственному учреждению). В соответствии с законом «О государст­венной тайне» сведениям, представляющим ценность для го­сударства, может быть присвоена одна из трех возможных степе­ней секретности. В порядке возрастания ценности (важности) ин­формации ей может быть присвоена степень (гриф) «секретно», «совершенно секретно» или «особой важности». В государст­венных учреждениях менее важной информации может присваи­ваться гриф «для служебного пользования».

Для обозначения ценности конфиденциальной коммерческой информации используются три категории:

♦ «коммерческая тайна - строго конфиденциально»;

♦ «коммерческая тайна - конфиденциально»;

♦ «коммерческая тайна».

Используется и другой подход к градации ценности коммер­ческой информации:

♦ «строго конфиденциально - строгий учет»;

♦ «строго конфиденциально»;

♦ «конфиденциально».