ФЕДЕРАЛЬНОЕ АГЕНТСТВО ПО ОБРАЗОВАНИЮ

Государственное образовательное учреждение высшего  профессионального образования

«САНКТ-ПЕТЕРБУРГСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ  
АЭРОКОСМИЧЕСКОГО ПРИБОРОСТРОЕНИЯ»

КАФЕДРА

 
ОЦЕНКА РЕФЕРАТА

РУКОВОДИТЕЛЬ

 

РЕФЕРАТ ВЫПОЛНИЛ(А)

 

Санкт-Петербург 
2010

Оглавление

Введение

    Информационную безопасность часто называют среди основных информационных проблем XXI века. Действительно, вопросы хищения информации, ее сознательного искажения и уничтожения часто приводят к трагическим для пострадавшей стороны последствиям.

    Информация является изначально слабозащищенным ресурсом, поэтому представляется чрезвычайно важным принимать повышенные меры ее защиты, обеспечивая полный комплекс обеспечения информационной безопасности. Человечество осознало это очень давно.  С давних времен  люди пытались защитить ценные для них сведения. Еще в древние времена применялись различные методы защиты данных, такие как шифрование. Но относительно недавно информация приобрела самостоятельную коммерческую ценность и стала широко распространенным, почти обычным товаром. Ее производят, хранят, транспортируют, продают и покупают. Современное общество все в большей степени становится информационно - обусловленным, успех любого вида деятельности все сильней зависит от обладания определенными сведениями и от отсутствия их у конкурентов. И чем сильней проявляется указанный эффект, тем больше потенциальные убытки от злоупотреблений в информационной сфере, и тем больше потребность в защите информации. Одним словом, возникновение индустрии обработки информации привело к возникновению индустрии средств защиты информации.

    Поэтому тема «Информационная безопасность. Защита от несанкционированного доступа» является на сегодняшний день очень  актуальной.

    Для того что бы подробно рассмотреть понятие «информационная безопасность», необходимо сначала разобраться что же такое безопасность и  информация?

    Безопасность - состояние защищенности жизненно важных интересов личности, общества и государства от внутренних и внешних угроз.

    Информация – это результат логической переработки данных, который используется людьми  в общественно- исторической практике путем применения различных форм, методов и средств.

    Также Информация – это любые сведения, которые интересуют конкретного человека в конкретной ситуации.

    В свою очередь понятие «информационная безопасность» имеет много определений и в зависимости от контекста может иметь разный смысл. Я приведу только несколько из них, которые в большей степени отражают смысл этого понятия в конспекте моей работы.

    Информационная безопасность - комплекс организационно-технических мероприятий, обеспечивающих целостность данных и конфиденциальность информации в сочетании с ее доступностью для всех авторизованных пользователей.

    Информационная безопасность - состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, государства.

    Информационная  безопасность – свойство, заключающееся  в способности системы обеспечить конфиденциальность и целостность информации, т.е. защиту информации от несанкционированного доступа с целью ее раскрытия, изменения или разрушения.

    Под информационной безопасностью Российской Федерации подразумевается техника защиты информации от преднамеренного или случайного несанкционированного доступа и нанесения тем самым вреда нормальному процессу документооборота и обмена данными в системе, а также хищения, модификации и уничтожения информации.

    В своей работе под информационной безопасностью я буду понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

    Защита  информации - это комплекс мероприятий, направленных на обеспечение информационной безопасности.

    Также необходимо отметить, что информационная безопасность не сводится исключительно к защите от несанкционированного доступа к информации, это принципиально более широкое понятие. Субъект информационных отношений может пострадать (понести убытки и/или получить моральный ущерб) не только от несанкционированного доступа, но и от поломки системы, вызвавшей перерыв в работе. Более того, для многих открытых организаций собственно защита от несанкционированного доступа к информации стоит по важности отнюдь не на первом месте.

    Информационная  безопасность зависит не только от компьютеров, но и от множества факторов, в частности и от поддерживающей инфраструктуры.

    Застраховаться от всех видов ущерба невозможно, тем более, невозможно сделать это экономически целесообразным способом, когда стоимость защитных средств и мероприятий не превышает размер ожидаемого ущерба. Значит, с чем-то приходится мириться и защищаться следует только от того, с чем смириться никак нельзя. Иногда таким недопустимым ущербом является нанесение вреда здоровью людей или состоянию окружающей среды, но чаще порог неприемлемости имеет материальное, т.е. денежное выражение, а целью защиты информации становится уменьшение размеров ущерба до допустимых значений  
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

1. Риски, угрозы  и классификации угроз

    Использование информационных систем связано с  определенной совокупностью рисков.

    Риск  — это возможность того, что через уязвимые места информационной сиситемы будет реализована угроза информационной безопасности и произойдет потеря или повреждение ресурсов.

    Существует  несколько видов рисков:

• нарушение функционирование процесса;
• финансовая потеря;
• утечка конфиденциальной информации.

    Риск  измеряется величиной потенциального ущерба и вероятностью нанесения такого ущерба.

    Анализ  и управление рисками — это  процесс идентификации уязвимых мест и угроз в отношении ресурсов ИС и выработка контрмер для снижения рисков до приемлемого уровня, с учетом  ценности ресурсов для организации.

    Минимизация риска подразумевает под собой  уменьшение вероятности нарушения  функционирования процесса, за счет реализации угроз определенного вида путем применения средств защиты.

    Также необходимо дать определение понятию угроза.

    Угроза - намерение нанести физический, материальный или иной вред какому-либо лицу или общественным интересам.

    В контексте рассматриваемой темы понятию. Угроза можно дать следующее определение:

    Угроза - это потенциальная возможность  определенным образом нарушить информационную безопасность.

    Попытка реализации угрозы называется атакой, а объекты предпринимающие попытку реализации угрозы называются источниками угрозы.

    Чаще всего угроза является следствием наличия уязвимых мест в защите информационных систем (таких, например, как возможность доступа посторонних лиц к критически важному оборудованию или ошибки в программном обеспечении).

    Промежуток  времени от момента, когда появляется возможность использовать слабое место, и до момента, когда пробел ликвидируется, называется окном опасности, ассоциированным с данным уязвимым местом. Пока существует окно опасности, возможны успешные атаки на информационную систему. [1]

    Если  речь идет об ошибках в программном  обеспечении, то окно опасности "открывается" с появлением средств использования ошибки и ликвидируется при наложении заплат, ее исправляющих.

    Для большинства уязвимых мест окно опасности  существует сравнительно долго (несколько дней, иногда - недель), поскольку за это время должны произойти следующие события:

• должно стать известно о средствах использования пробела в защите;
• должны быть выпущены соответствующие заплаты;
• заплаты должны быть установлены в защищаемой ИС.

    Новые уязвимые места и средства их использования появляются постоянно; это значит, во-первых, что почти всегда существуют окна опасности и, во-вторых, что отслеживание таких окон должно производиться постоянно, а выпуск и наложение заплат - как можно более оперативно.

    Также необходимо отметить, что некоторые угрозы нельзя считать следствием каких-то ошибок или просчетов; они существуют в силу самой природы современных информационных систем.

    Все угрозы можно информационным системам можно объединить в обобщающие их три группы:

• угроза раскрытия – возможность того, что информация станет известна тому, кому не следовало бы ее знать;
• угроза целостности – умышленное несанкционированное изменение (модификация или удаление) данных, хранящихся  в вычислительной системе или передаваемых из одной системы в другую;
• угроза отказа в обслуживание – возможность появления блокировки доступа к некоторому ресурсу вычислительной системы.

    Также угрозы можно классифицировать по нескольким критериям:

• по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены в первую очередь;
• по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);
• по способу осуществления (случайные/преднамеренные действия природного/техногенного характера);
• по расположению источника угроз (внутри/вне рассматриваемой ИС).

    Я буду классифицировать угрозы по возможности нанесения ущерба субъекту отношений при нарушении целей безопасности. Ущерб может быть причинен каким-либо субъектом (преступление, вина или небрежность), а также стать следствием, независящим от субъекта проявлений.

• при обеспечении конфиденциальности информации:
• хищение (копирование) информации и средств ее обработки
• утрата (неумышленная потеря, утечка) информации
• при обеспечении целостности информации:

• модификация (искажение) информации
• отрицание подлинности информации
• навязывание ложной информации

• при обеспечении доступности информации:

• блокирование информации
• уничтожение информации и средств ее обработки

• Угроза нарушения конфиденциальности – заключается в том, что информация становится известна тому, кто не располагает полномочиями доступа к ней, правами доступа.