Современные информационные технологии/ Информационная безопасность

Корнієнко Б. Я., канд. техн. наук, Максімов Ю.О., Галата Л.П.

Національний авіаційний університет(НАУ), Україна

СПОСОБИ ЗАБЕЗПЕЧЕННЯ ІНФОРМАЦІЙНОЇ БЕЗПЕКИ МЕРЕЖЕВИХ РЕСУРСІВ

Вступ. Основою корпоративної інформаційної взаємодії комп’ютерних систем є забезпечення обміну інформації між клієнтською та серверною частинами мережі. Як і будь – яка інша мережа організації містить сервер чи кластер серверів та велику кількість розподілених користувацьких робочих місць, які об’єднані певною топологією та комутаційними зв’язками.

Актуальність. Ефективність та надійність використання мережевих ресурсів залежить від якості та способу організації дротових та бездротових зв’язків, а з погляду на розвиток некомутаційного типу з’єднання організація забезпечення інформаційної безпеки мережевих ресурсів постає гострим та невід’ємним питанням.

Постановка задачі. Задачею нижче викладеного матеріалу є узагальнення теоретичної інформації про способи та особливості забезпечення безпеки мереж. Метою даної роботи є опис існуючих підходів до реалізації можливості безпечного по оптимізованого зв’язку різних частин автоматизованої системи не нижче 2 класу.

Викладення матеріалу. Існує два підходи до проблеми забезпечення безпеки комп'ютерних систем і мереж: фрагментарний (частковий, кластерний) та комплексний.

Частковий підхід спрямований на протидію чітко визначеним загрозам в заданих умовах. Як приклади реалізації такого підходу можна вказати окремі засоби управління доступом, автономні засоби шифрування, спеціалізовані антивірусні програми і т.п.

Перевагою такого підходу є висока вибірковість до конкретної загрози. Істотним недоліком даного підходу є відсутність єдиної захищеної середовища обробки інформації. Фрагментарні заходи захисту інформації забезпечують захист конкретних об'єктів КС тільки від конкретної загрози. Навіть невелике видозміна загрози веде до втрати ефективності захисту[1].

Комплексний підхід орієнтований на створення захищеної середовища обробки інформації в КС, що об'єднує в єдиний комплекс різнорідні заходи протидії загрозам. Організація захищеної середовища обробки інформації дозволяє гарантувати певний рівень безпеки КС, що являється безсумнівним достоїнством комплексного підходу. До недоліків цього підходу відносяться: обмеження на свободу дій користувачів КС, чутливість до помилок установки і настройки засобів захисту, складність керування[1,2].

Комплексний підхід застосовують як для захисту КС великих організацій так і невеликих КС, виконують відповідальні завдання або обробних особливо важливу інформацію. Порушення безпеки інформації в КС великих організацій може завдати величезної матеріальної шкоди як самим організаціям, так і їх клієнтам. Тому такі організації змушені приділяти особливу увагу гарантіям безпеки і реалізовувати комплексну захист. Комплексного підходу дотримується більшість державних і великих комерційних підприємств та установ. Цей підхід знайшов своє відображення в різних міжнародних стандартах з інформаційного менеджменту. Даний підхід заснований на розроблених для конкретної КС політиці безпеки. Політика безпеки регламентує ефективну роботу засобів захисту. Вона охоплює всі особливості процесу обробки інформації, визначаючи поводження системи в різних ситуаціях. Надійна система безпеки мережі не може бути створена без ефективної політики мережевої безпеки.

Для захисту інтересів суб'єктів інформаційних відносин необхідно поєднувати заходи наступних рівнів[1]:

· законодавчого (стандарти, закони, нормативні акти і т.п.);

· адміністративно-організаційного (дії загального характеру, підприємцями та керівництвом організації, та конкретні заходи безпеки, що мають ставлення до людей);

· програмно-технічного (конкретні технічні заходи).

Заходи законодавчого рівня дуже важливі для забезпечення інформаційної безпеки. До цього рівня можна віднести весь комплекс заходів, спрямованих на створення і підтримку в суспільстві негативного (зокрема карального) відношення до порушень і порушників інформаційної безпеки. Більшість людей не здійснюють протиправних дій тому, що це засуджується і / або карається суспільством, і тому, що так чинити не прийнято.

Інформаційна безпека - це нова сфера діяльності, тут важливо не тільки забороняти і карати, а й навчити, роз'яснити, допомогти. Суспільство має усвідомити важливість даної проблематики, зрозуміти основні шляхи вирішення відповідних проблем. Держава може зробити це оптимальним чином. Тут не треба великих матеріальних витрат, потрібні інтелектуальні вкладення[3].

Заходи адміністративно-організаційного рівня. Адміністрація організації повинна усвідомлювати необхідність підтримки режиму інформаційної безпеки і виділення на ці цілі відповідних ресурсів. Основою мірою захисту

адміністративно-організаційного рівня є політика безпеки і комплекс організаційних заходів. Під політикою безпеки розуміється сукупність документованих управлінських рішень, спрямованих на захист інформації та пов'язаних з нею ресурсів організації.

До комплексу організаційних заходів належать заходи безпеки, реалізовані людьми. Можна виділити наступні групи організаційних заходів:

· управління персоналом;

· фізичний захист;

· підтримка працездатності;

· реагування на порушення режиму безпеки;

· планування відновлювальних робіт.

Для кожної групи в кожній організації має існувати набір регламентів, що визначають дії персоналу.

Для підтримання режиму інформаційної безпеки особливо важливі заходи програмно-технічного рівня, оскільки основна загроза комп'ютерним систем виходить від них самих: збої обладнання, помилки програмного забезпечення, промахи користувачів та адміністраторів і т.п.

Заходи і засоби програмно-технічного рівня. У рамках сучасних інформаційних систем повинні бути доступні принаймні наступні механізми безпеки[1]:

· ідентифікація і автентифікація користувачів;

· управління доступом;

· протоколювання і аудит;

· криптографія;

· екранування;

· забезпечення високої доступності.

Інформаційні системи компаній майже завжди побудовані на основі програмних і апаратних продуктів різних виробників. Справа в тому, що на даний момент немає жодної компанії - розробника, яка надала б споживачеві повний перелік засобів (від апаратних до програмних) для побудови сучасної ІС. Щоб забезпечити в різнорідної ІС надійний захист інформації, потрібні фахівці високою кваліфікації, які будуть відповідати за безпеку кожного компонента ІС: правильно їх настроювати, постійно відслідковувати зміни, що відбуваються, контролювати роботу користувачів. Очевидно, що чим різнорідні інформаційні системи, тим складніше забезпечити її безпеку.

Достаток в корпоративних мережах і системах пристроїв захисту, між мережевих екранів, шлюзів і VPN, а також зростаючий попит на доступ до корпоративних даних з боку співпрацівників, партнерів і замовників призводять до створення складного середовища захисту, для управління, а іноді і несумісною.

Інтероперабельність продуктів захисту є важливою вимогою для більшості корпоративних інформаційних систем[1]. Для більшості гетерогенних середовищ важливо забезпечити узгоджену взаємодію з продуктами інших виробників. Прийняте організацією рішення безпеки має гарантувати захист на всіх платформах у рамках цієї організації. Тому цілком очевидна потреба в застосуванні єдиного набору стандартів постачальниками засобів захисту, компаніями-системними інтеграторами та організаціями, виступаючими в якості замовників систем безпеки для своїх корпоративних мереж і систем.

Стандарти утворюють понятійний базис, на якому будуються всі роботи по забезпеченню інформаційної безпеки, і визначають критерії, яким повинна слідувати управління безпекою. Стандарти є необхідною базою, що забезпечує сумісність продуктів різних виробників, що надзвичайно важливо при створенні систем мережевої безпеки в гетерогенних середовищах.

Висновок. Отже, комплексний підхід до вирішення проблеми забезпечення безпеки – це раціональне поєднанні законодавчих, адміністративно-організаційних і програмно-технічних заходів та обов'язкова відповідність промисловим, національним та міжнародним стандартам, що є тим фундаментом, на якому будується вся система захисту корпоративних мереж. Фрагментарний підхід корисний для невеликих КС із малими інформаційними ресурсами обігу та на етапі проектування певних частин великої розподіленої системи.

Література:

1. Шаньгин В.Ф. Защита компьютерной информации.- М.:ДМК Пресс,2008.-544 с.

2. Э.Таненбаум. Компьютерные сети, 4-е узд. - Питер, 2003. - 992 с

3. Олифер В.Г., Олифер Н.А. - Компьютерные сети. Принципы, технологии, протоколы (4-е издание).- Питер,2010.-943 с.