Информационная безопасность

Угроза  безопасности информации - события или действия, которые могут привести  к искажению, неразрешенному использованию  или к разрушению информационных  ресурсов управления системы, а также  программных и аппаратных средств.

Защита  информации (ЗИ) - комплекс мероприятий, направленных на обеспечение важнейших аспектов информационной безопасности: целостности, доступности и, если нужно, конфиденциальности информации и ресурсов, используемых  для ввода, хранения, обработки и  передачи данных.

Основные  предметные направления ЗИ - охрана государственной, коммерческой, служебной, банковской тайн, персональных данных и интеллектуальной собственности. 

Под системой безопасности понимают организованную совокупность специальных органов, служб, средств, методов и  мероприятий, обеспечивающих защиту  жизненно важных интересов личности, предприятия и государства от внутренних  и внешних угроз. 

Система защиты информации представляет собой организованную совокупность специальных органов, средств, методов и мероприятий, обеспечивающих защиту информации  от внутренних и внешних угроз.

С позиций  системного подхода к защите информации предъявляются определенные  требования:

• обеспечение безопасности информации не может быть одноразовым актом. Это непрерывный процесс, заключающийся в обосновании  и реализации наиболее рациональных  методов, способов и путей совершенствования  и развития системы защиты, непрерывном контроле ее состояния, выявления ее узких и слабых  мест и противоправных действий;
• безопасность информации может быть обеспечена лишь при комплексном использовании всего арсенала имеющихся средств  защиты во всех структурных элементах экономической системы и на всех этапах технологического цикла обработки информации;
• планирование безопасности информации осуществляется путем разработки каждой  службой детальных планов защиты информации в сфере ее компетенции;
• защите подлежат конкретные данные, объективно подлежащие охране, утрата которых может причинить организации  определенный ущерб;
• методы и средства защиты должны надежно перекрывать возможные пути неправомерного  доступа к охраняемым секретам;
• эффективность защиты информации означает, что затраты на ее осуществление не должны быть больше возможных потерь от реализации информационных угроз;
• четкость определения полномочий и прав пользователей на доступ к определенным  видам информации;
• предоставление пользователю минимальных полномочий, необходимых ему для выполнения  порученной работы;
• сведение к минимуму числа общих для нескольких пользователей средств защиты;
• учет случаев и попыток несанкционированного доступа к конфиденциальной информации; обеспечение степени конфиденциальной информации;
• обеспечение контроля целостности средств защиты и немедленное реагирование на их выход из строя.

Система защиты информации, как любая система, должна иметь определенные виды  собственного обеспечения, опираясь на которые она будет выполнять  свою целевую функцию. С учетом этого система  защиты информации может иметь:

• правовое  обеспечение. Сюда входят нормативные  документы, положения, инструкции, руководства, требования которых являются обязательными в рамках сферы действия;
• организационное обеспечение. Имеется в виду, что  реализация защиты информации  осуществляется определенными структурными единицами, такими как: служба  безопасности, служба режима, служба защиты информации техническими средствами  и др.
• аппаратное  обеспечение. Предполагается широкое  использование технических средств, как для защиты информации, так  и для обеспечения деятельности собственно системы защиты информации;
• информационное  обеспечение. Оно включает в себя документированные сведения (показатели, файлы), лежащие в основе решения задач, обеспечивающих функционирование  системы. Сюда могут входить как  показатели доступа, учета, хранения, так и системы  информационного  обеспечения расчетных задач  различного характера, связанных с деятельностью службы обеспечения безопасности;
• программное обеспечение. К нему относятся антивирусные программы, а также программы (или части программ регулярного  применения), реализующие контрольные функции при решении учетных, статистических, финансовых, кредитных и других задач;
• математическое  обеспечение. Предполагает использование  математических методов для различных расчетов, связанных  с оценкой опасности технических  средств злоумышленников, зон и норм необходимой защиты;
• лингвистическое обеспечение. Совокупность специальных  языковых средств общения специалистов и пользователей в  сфере защиты информации;
• нормативно-методическое обеспечение. Сюда входят нормы и  регламенты деятельности  органов, служб, средств, реализующих  функции защиты информации, различного  рода методики, обеспечивающие деятельность пользователей при выполнении  своей работы в условиях жестких  требований защиты информации;
• эргономическое  обеспечение. Совокупность средств, обеспечивающих удобства  работы пользователей аппаратных средств защиты информации. 

1.  Угрозы безопасности и методы их устранения

Среди главных требований к проведению коммерческих операций – конфиденциальность, целостность, аутентификация, авторизация, гарантии и сохранение. Первые четыре требования можно обеспечить техническими средствами, но выполнение последних двух —  достижение гарантий и сохранение тайны  — равно зависит и от технических  средств, и от ответственности отдельных  лиц и организаций, а также  от соблюдения законов, защищающих потребителя  от возможного мошенничества продавцов.

В рамках обеспечения комплексной информационной безопасности, прежде всего, следует выделить ключевые проблемы в области безопасности электронного бизнеса, которые включают:

• защиту  информации при ее передаче по каналам  связи; защиту компьютерных систем, баз данных и электронного документооборота;
• обеспечение долгосрочного хранения информации в электронном виде; обеспечение безопасности транзакций, секретность коммерческой информации, аутентификацию, защиту интеллектуальной собственности и др. 

Существует  несколько видов  угроз электронной  коммерции:

• Проникновение в систему извне.
• Несанкционированный доступ внутри компании.
• Преднамеренный перехват и чтение информации.
• Преднамеренное нарушение данных или сетей.
• Неправильная (с мошенническими целями) идентификация
• пользователя.
• Взлом программно-аппаратной защиты.
• Несанкционированный доступ пользователя из одной сети в другую.
• Вирусные атаки.
• Отказ в обслуживании.
• Финансовое мошенничество.

Для противодействия  этим угрозам используется целый  ряд методов, основанных на различных технологиях, а именно: шифрование – кодирование данных, препятствующее их прочтению или искажению; цифровые подписи, проверяющие подлинность личности отправителя и получателя; stealth-технологии с использованием электронных ключей; брандмауэры; виртуальные и частные сети.

Ни один из методов защиты не является универсальным, например, брандмауэры не осуществляют проверку на наличие вирусов и не способны обеспечить целостность данных. Не существует абсолютно надежного способа противодействия взлому автоматической защиты, и ее взлом – это лишь вопрос времени. Но время взлома такой защиты, в свою очередь, зависит от ее качества. Надо сказать, что программное и аппаратное обеспечение для защиты соединений и приложений в Интернет разрабатывается уже давно, хотя внедряются новые технологии несколько неравномерно. 

Угрозы, подстерегающие компанию, ведущую электронную коммерцию на каждом этапе:

• подмена web-страницы сервера электронного магазина (переадресация запросов на другой сервер), делающая доступными сведения о клиенте, особенно о его кредитных картах, сторонним лицам;
• создание ложных заказов и разнообразные формы мошенничества со стороны сотрудников электронного магазина, например, манипуляции с базами данных (статистика свидетельствует о том, что больше половины компьютерных инцидентов связано с деятельностью собственных сотрудников);
• перехват данных, передаваемых по сетям электронной коммерции;
• проникновение злоумышленников во внутреннюю сеть компании и компрометация компонентов электронного магазина;
• реализация атак типа «отказ в обслуживании» и нарушение функционирования или вывода из строя узла электронной коммерции. 

В результате реализации таких угроз компания теряет доверие клиентов, теряет деньги от потенциальных и/или несовершенных сделок, нарушается деятельность электронного магазина, затрачивает время, деньги и человеческие ресурсы на восстановление функционирования.

Конечно, угрозы, связанные с перехватом передаваемой через Интернет информации, присущи не только сфере электронной коммерции. Особое значение, применительно к последней представляет то, что в ее системах обращаются сведения, имеющие важное экономическое значение: номера кредитных карт, номера счетов, содержание договоров и т. п.

Обеспечение безопасности является не только необходимым условием успешного  ведения электронного бизнеса, но и  фундаментом для доверительных  отношений между контрагентами. Сама суть электронного бизнеса предполагает активный информационный обмен, проведение транзакций через незащищенную сеть общего доступа, которые, попросту невозможны без доверительных отношений между субъектами бизнеса. Поэтому обеспечение безопасности имеет комплексный характер, включая такие задачи, как доступ к Web-серверам и Web-приложениям, аутентификация и авторизация пользователей, обеспечение целостности и конфиденциальности данных, реализация электронной цифровой подписи и прочее.

Интерес к электронной  коммерции растет и продолжает расти. По электронной коммерции проводят семинары и конференции, пишут статьи и обзоры. Особое внимание уделяют безопасности и защите электронных транзакций. Для компаний важно доверие пользователя к электронным сделкам. Кратко рассмотрим этапы приобретения продуктов и услуг через Internet.

Заказчик выбирает продукт  или услугу через сервер электронного магазина и оформляет заказ.

Заказ заносится в базу данных заказов магазина. Проверяется  доступность продукта или услуги через центральную базу данных. Если продукт не доступен, то заказчик получает об этом уведомление. В зависимости  от типа магазина, запрос на продукт  может быть перенаправлен на другой склад. В случае наличия продукта или услуги заказчик подтверждает оплату и заказ помещается в базу данных. Электронный магазин посылает заказчику подтверждение заказа. В большинстве случаев существует единая база данных для заказов и проверки наличия товаров. Клиент в режиме online оплачивает заказ. Товар доставляется заказчику.

Рассмотрим основные угрозы, которые подстерегают компанию на всех этапах. Подмена страницы Web-сервера электронного магазина. Основной способ реализации - переадресация запросов пользователя на другой сервер. Проводится путем замены записей в таблицах DNS-серверов или в таблицах маршрутизаторов. Особенно это опасно, когда заказчик вводит номер своей кредитной карты. Создание ложных заказов и мошенничество со стороны сотрудников электронного магазина. Проникновение в базу данных и изменение процедур обработки заказов позволяет незаконно манипулировать с базой данных. По статистике больше половины всех компьютерных инцидентов связано с собственными сотрудниками. Перехват данных, передаваемых в системе электронной коммерции. Особую опасность представляет собой перехват информации о кредитной карте заказчика. Проникновение во внутреннюю сеть компании и компрометация компонентов электронного магазина. Реализация атак типа "отказ в обслуживании" и нарушение функционирования или выведение из строя узла электронной коммерции.