Страница 1 из 8
Виктор Викторович Ерохин, Дина Алексеевна Погонышева, Илья Геннадьевич Степченко
Безопасность информационных систем
Рецензенты:
кафедра «Системы информационной безопасности» Брянского государственного технического университета;
д-р техн. наук В.И. Аверченков
Научный редактор Н.М. Горбов
Введение
В предлагаемом учебном пособии, излагаются основные принципы и положения организации информационной безопасности. При этом показано главное направление деятельности системы информационной безопасности – защита компьютерных систем и интересов государства.
Информационная безопасность – это быстро развивающаяся область информационных технологий, которая должна обеспечивать состояние защищенности национальных интересов в информационной сфере, определяемых совокупностью сбалансированных интересов личности, общества и государства.
С возрастанием роли информации и информационных потоков появилась проблема информационной безопасности. Основными объектами рассмотрения в пособии является изучение различных аспектов обеспечения безопасности в информационной сфере. В центре внимания – категории информационной безопасности: доступность, целостность и конфиденциальность. Нарушение каждой из трех категорий приводит к нарушению информационной безопасности в целом. В связи с этим проводится анализ и классификация угроз нарушения доступности, целостности и конфиденциальности, рассматриваются основные стандарты и законодательные акты, а также механизмы обеспечения информационной безопасности и ее составляющих.
Пособие состоит из пяти глав. В первой главе рассматриваются международные стандарты информационного обмена, угрозы безопасности информации, информационная безопасность в условиях функционирования в России глобальных сетей.
Во второй главе излагаются общие подходы к изучению систем информационной безопасности. Описываются виды противников, приводятся понятия о видах электронных вирусов. Рассматриваются виды нарушений информационной системы и защита информационных систем.
В третьей главе рассматриваются основные нормативные руководящие документы, касающиеся государственной тайны и нормативно-справочные документы в области информационной безопасности. Представлены назначение и задачи в сфере обеспечения информационной безопасности на уровне государства.
Четвертая глава посвящена защите информации в компьютерных системах. Определены основные положения теории информационной безопасности информационных систем. Приведены модели безопасности и их применение. Рассмотрена таксономия нарушений информационной безопасности вычислительной системы и причины, обусловливающие их существование. Дан анализ способов нарушений информационной безопасности. Предлагаются основные положения использования программно-технических средств для защиты компьютерных систем. Описаны методы криптографии и принципы функционирования электронной цифровой подписи.
В пятой главе рассматриваются вопросы построения защищенных экономических информационных систем. Изложены основные технологии построения защищенных экономических информационных систем. Раскрыто место информационной безопасности экономических систем в национальной безопасности страны. Представлена концепция информационной безопасности.
По тематике настоящего учебного пособия имеется достаточно обширная литература, однако в них недостаточно изложены вопросы практического применения основных правил функционирования систем информационной безопасности. Это дает нам право предложить данное учебное пособие как основной систематизированный материал для более полного и достаточного изучения дисциплин в области управления системами информационной безопасности.
Учебное пособие предназначено для студентов по направлению подготовки 230400 – Информационные системы и технологии (квалификация «бакалавр»).
Глава 1
Стандарты и угрозы информационной безопасности
1.1. Международные стандарты информационного обмена
Обеспечение информационной безопасности (ИБ) необходимо проводить с учетом соответствующих стандартов и спецификаций.
Стандарты в области криптографии и Руководящие документы Федеральной службы по техническому и экспортному контролю (ФСТЭК России, ранее Государственная техническая комиссия при Президенте Российской Федерации) закреплены законодательно.
Роль стандартов зафиксирована в основных понятиях закона РФ «О техническом регулировании» от 27 декабря 2002 г. под номером 184-ФЗ (принят Государственной Думой 15 декабря 2002 г.):
• стандарт – документ, в котором в целях добровольного многократного использования устанавливаются характеристики продукции, правила осуществления и характеристики процессов производства, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг. Стандарт также может содержать требования к терминологии, символике, упаковке, маркировке или этикеткам и правилам их нанесения;
• стандартизация — деятельность по установлению правил и характеристик в целях их добровольного многократного использования, направленная на достижение упорядоченности в сферах производства и обращения продукции и повышение конкурентоспособности продукции, работ или услуг.
Выделяют две группы стандартов и спецификаций в области ИБ:
• оценочные стандарты, предназначенные для оценки и классификации информационных систем и средств защиты по требованиям безопасности;
• спецификации, регламентирующие различные аспекты реализации и использования средств и методов защиты.
Оценочные стандарты описывают важнейшие понятия и аспекты информационных систем (ИС), играя роль организационных и архитектурных спецификаций.
Другие спецификации определяют, как именно строить ИС предписанной архитектуры и выполнять организационные требования.
К оценочным стандартам относятся:
1. Стандарт МО США «Критерии оценки доверенных компьютерных сетей» (Department of Defense Trusted Computer System Evaliation Criteria, TCSEC), («Оранжевая книга») и его сетевая конфигурация «Гармонизированные критерии Европейских стран».
2. Международный стандарт «Критерии оценки безопасности информационных технологий».
3. Руководящие документы ФСТЭК России.
4. Федеральный стандарт США «Требования безопасности для криптографических модулей».
5. Международный стандарт ISO IES 15408:1999 «Критерии оценки безопасности информационных технологий» («Общие критерии»).
Технические спецификации, применимые к современным распределенным ИС, создаются, «Тематической группой по технологии Internet» (Internet Engineering Task Force, IETF) и ее подразделением – рабочей группой по безопасности. Ядром рассматриваемых технических спецификаций служат документы по безопасности на IP-уровне (IPsec). Кроме этого, анализируется защита на транспортном уровне (Transport Layer Security, TLS), а также на уровне приложений (спецификации GSS-API, Kerberos). Необходимо отметить, что Internet-сообщество уделяет должное внимание административному и процедурному уровням безопасности («Руководство по информационной безопасности предприятия», «Как выбирать поставщика Интернет-услуг», «Как реагировать на нарушения информационной безопасности»).
Сетевая безопасность определяется спецификациями Х.800 «Архитектура безопасности для взаимодействия открытых систем», Х.500 «Служба директорий: обзор концепций, моделей и сервисов» и Х.509 «Служба директорий: каркасы сертификатов открытых ключей и атрибутов».
Британский стандарт BS 7799 «Управление информационной безопасностью. Практические правила» предназначен для руководителей организаций и лиц, отвечающих за информационную безопасность, без сколько-нибудь существенных изменений воспроизведен в международном стандарте ISO/IEC 17799.