Поняття безпеки електронної системи.

Під безпекою електронної системи розуміють її здатність протидіяти спробам нанести збитки власникам та користувачам систем при появі різноманітних збуджуючих (навмисних і ненавмисних) впливів на неї.

Природа впливів може бути різноманітною: спроба проникнення зловмисника,помилки персоналу, стихійні лиха (ураган, пожежа), вихід з ладу окремих ресурсів, як правило, розрізняють внутрішню і зовнішню безпеку.

На сьогодні склалися два підходи до забезпечення безпеки електронних систем:

Фрагментарний підхід, при якому проводиться протидія строго визначеним загрозам при певних умовах (спеціалізовані антивірусні засоби, автономні засоби шифрування, тощо);

Комплексний підхід, який передбачає створення середовища обробки інформації, яке об’єднує різноманітні (правові, організаційні, програмно-технічні) заходи для протидії загрозам.[2,c.282]

Комплексний підхід, як правило, використовується для захисту великих систем. Хоча часто і типові програмні засоби містять вбудовані засоби захисту інформації, але цього не цілком достатньо. В цьому випадку необхідно забезпечити виконання наступних заходів: організаційні заходи по контролю за персоналом, який має високий рівень повноважень на дії в системі (за програмістами, адміністраторами баз даних мережі і т.д.); організаційні та технічні заходи по резервуванню критично важливої інформації; виникнення нештатних ситуацій; організаційні та технічні заходи по управлінню доступом в приміщеннях, в яких знаходиться обчислювальна техніка; організаційні та технічні заходи по фізичному захисту приміщень, в яких знаходиться обчислювальна техніка і носії даних, від стихійних лих, масових безпорядків і т. д

В 1985 році Національним центром комп’ютерної безпеки Міністерства оборони США була опублікована, так звана “Оранжева книга” (“Критерії оцінки достовірності обчислювальних систем Міністерства оборони”). В ній були приведені основні положення, по яких американське відомство оборони визначало ступінь захищеності інформаційно-обчислювальних систем. В ній у систематизованому вигляді наводились основні поняття, рекомендації і класифікація по видах загроз безпеці інформаційних систем і методи захисту від них. В подальшому книга перетворилась в збірку науково - обгрунтованих норм і правил, що описують системний підхід для забезпечення безпеки інформаційних систем і їх елементів, і стала настільною книгою для спеціалістів в галузі захисту інформації. Запропонована в “Оранжевій книзі” методологія по суті стала загальноприйнятою і в тій чи іншій мірі увійшла в національні стандарти.

Системний підхід згідно з “Оранжевою книгою” вимагає:

-прийняття принципових рішень в галузі безпеки на основі поточного стану

інформаційної системи;

-прогнозування можливих загроз і аналізу пов’язаного з ними ризику для

інформаційної системи;

-планування заходів по запобіганню виникнення критичних ситуацій;

-планування заходів по виходу з критичних ситуацій на випадок, коли вони

виникнуть.

Одне з основних понять, введених в “Оранжевій книзі”, це політика безпеки. Політика безпеки - це сукупність норм, правил і методик, на основі яких в подальшому будується діяльність інформаційної системи в галузі обробки, зберігання і розподілення критичної інформації. При цьому під інформаційною системою підрозумівається не тільки апаратно-програмний комплекс, але і обслуговуючий персонал.

Поняття політика безпеки.[1,c.183]

Політика безпеки формується на основі аналізу поточного стану і перспективи розвитку інформаційної системи, можливих загроз і визначає:

-мету, задачі і пріоритети системи безпеки;

-галузь дії окремих підсистем;

-гарантований мінімальний рівень захисту;

-санкції за порушення захисту.

Якщо виконання політики безпеки проводиться не в повній мірі або непослідовно, тоді імовірність порушення захисту інформації різко зростає. Під захистом інформації розуміють комплекс заходів, який забезпечує:

збереження конфіденційності інформації - запобігання ознайомлення з інформацією не вповноважених осіб;

збереження інформації - запобігання пошкодження чи знищення інформації внаслідок свідомих дій зловмисника, помилок персоналу, стихійного лиха;

прозорість, тобто наявність системи безпеки не повинна створювати перешкод для нормальної роботи системи.

Аналіз ризику безпеки інформаційно-обчислювальних систем.

Визначення політики безпеки неможливе без аналізу ризику. Аналіз ризику підвищує рівень поінформованості про слабкі та сильні сторони захисту, створює базу для підготовки і прийняття рішень, оптимізує розмір затратна захист, оскільки більша частина ресурсів спрямовується на блокування загроз, що можуть принести найбільшу шкоду. Аналіз ризику складається з наступних основних етапів:

Опис складу системи: апаратних засобів, програмного забезпечення, даних, документації, персоналу.[4,c.432]

Визначення слабких місць - виясняються слабкі місця по кожному елементу системи з оцінкою можливих джерел загроз.

Оцінка імовірності реалізації загроз.

Оцінка очікуваних розмірів втрат - цей етап складний, оскільки не завжди можлива кількісна оцінка даного показника.

Аналіз можливих методів і засобів захисту.

Оцінка виграшу від прийнятих заходів. Якщо очікувані втрати більші допустимого рівня, необхідно посилити заходи безпеки.

Аналіз ризику завершається прийняттям політики безпеки і складанням плану захисту з наступними розділами:

Поточний стан. Опис статусу системи безпеки в момент підготовки плану.

Рекомендації. Вибір основних засобів захисту, що реалізують політику

В комп’ютерних системах найефективнішими є криптографічні способи захисту інформації, що характеризуються найкращим рівнем захисту. Для

цього використовуються програми криптографічного перетворення (шифрування) та програми захисту юридичної значимості документів (цифровий підпис). Шифрування забезпечує засекречування і використовується в ряді інших сервісних служб. Шифрування може бути симетричним і асиметричним. Перше базується на використанні одного і

того ж секретного ключа для шифрування і дешифрування. Друге характеризується тим, що для шифрування використовується один ключ, а для дешифрування — інший, секретний. При цьому наявність і навіть знання загальнодоступного ключа не дозволяє визначити секретний ключ. Для використання механізмів криптографічного закриття інформації в локальній обчислювальній мережі необхідна організація спеціальної служби генерації ключів і їх розподіл між її абонентами.

Наведемо короткий перелік деяких найвідоміших алгоритмів шифрування: І. Метод DEC (Data Encryption Standard), який є федеральним стандартом США, розроблений фірмою IBM та рекомендований для використання Агентством національної безпеки США. Алгоритм криптографічного захист у відомий і опублікований. Він характеризується такими властивостями: високим рівнем захисту даних проти дешифрування і можливої модифікації даних;простотою розуміння; високим ступенем складності, яка робить його розкриття дорожчим від отримуваного прибутку;

методом захисту, який базується на ключі і не залежить від “секретності”

механізму алгоритму; економічністю в реалізації і ефективним в швидко дії алгоритмом.

Разом з тим йому властиві такі недоліки:

-малий розмір ключа, який свідчить, що для дешифрування потрібно 7(1016

операцій. На даний час апаратури, здатної виконати такі обсяги обчислень

немає, але може з’явитися;

-окремі блоки, що містять однакові дані будуть виглядати однаково, що є погано з точки зору криптографії.

Метод з відкритим ключем (RSA). Шифрування проводиться першим відкритим ключем, розшифрування - іншим секретним ключем. Метод надзвичайно перспективний, оскільки не вимагає передачі ключа шифрування іншим користувачам. Спеціалісти вважають, що системи з відкритим ключем зручніше застосовувати для шифрування даних, що передаються, ніж при збереженні інформації. Існує ще одна галузь використання даного алгоритму - цифрові підписи, що підтверджують справжність документів та повідомлень, що передаються. Проте і він не є зовсім досконалим. Його недоліком є не до кінця вивчений алгоритм. Не існує строгого доведення. Потрібно мати на увазі, що ніякий окремо взятий організаційний захід чи найпотужніший засіб захисту не забезпечить сам по собі достатнього рівня безпеки. Успіх справи залежить від комплексного застосування різних засобів і методів, в створенні структури оборони з кількома рубежами і в постійному їх вдосконаленні.[3,c.68]

Захист операційних систем і забезпечення безпеки баз даних.

В рамках вказаної програми прийнято розрізняти пасивні об’єкти захисту (файли, прикладні програми, термінали, ділянки оперативної пам’яті і т.п.) і активні суб’єкти (процеси), котрі можуть виконувати над об’єктами визначені операції. Захист об’єктів здійснюється операційною системою засобами контролю за виконанням суб’єктами сукупності правил, які регламентують вказані операції. Вказану сукупність правил інколи називають статусом захисту.

Таким чином,розглянуто проблему необхідності захисту електронних систем, та використання різних систем захисту, для безпечного функціонування електронних систем. Без методів захисту електронних систем та інформації будь яка установа яка їх використовує, може зіткнутися з різними видами махінацій та фінансовими операціями без будь-якого відому.

1. Автоматизированные информационные технологи в экономике. Под. ред. Г.А.Титоренко - М. Компьютер ЮНИТИ, 1998, - 336 с.

2. Бердтис А. Структуры данних. - М.: Статистика, 1974, - 408 с.

3. Блек Ю. Сети ЭВМ : протоколы, стандарты, интерфейсы. -М.: Мир, 1980.

4. Боэм Б.У. Инженерное программирование для проектирования программного обеспечения. -М.: Радио і связь, 1985, -512с.