– Определение информационных и технических ресурсов, подлежащих защите;
– Выявление полного множества потенциально возможных угроз и каналов утечки информации;
– Проведение оценки уязвимости и рисков информации при имеющемся множестве угроз и каналов утечки;
– Определение требований к системе защиты;
– Осуществление выбора средств защиты информации и их характеристик;
– Внедрение и организация использования выбранных мер, способов и средств защиты;
– Осуществление контроля целостности и управление системой защиты.
Политика информационной безопасности оформляется в виде документированных требований на информационную систему. Документы обычно разделяют по уровням описания (детализации) процесса защиты. Документы верхнего уровня политики информационной безопасности отражают позицию организации к деятельности в области защиты информации, её стремление соответствовать государственным, международным требованиям и стандартам в этой области. Подобные документы могут называться «Концепция ИБ», «Регламент управления ИБ», «Политика ИБ», «Технический стандарт ИБ» и т.п. Область распространения документов верхнего уровня обычно не ограничивается, однако данные документы могут выпускаться и в двух редакциях – для внешнего и внутреннего использования. Согласно ГОСТ Р ИСО/МЭК 17799–2005, на верхнем уровне политики информационной безопасности должны быть оформлены следующие документы: «Концепция обеспечения ИБ», «Правила допустимого использования ресурсов информационной системы», «План обеспечения непрерывности бизнеса». К среднему уровню относят документы, касающиеся отдельных аспектов информационной безопасности. Это требования на создание и эксплуатацию средств защиты информации, организации информационных и бизнес-процессов организации по конкретному направлению защиты информации. Например: безопасность данных, безопасность коммуникаций. Подобные документы обычно издаются в виде внутренних технических и организационных политик (стандартов) организации. Все документы среднего уровня политики информационной безопасности конфиденциальны. В политику информационной безопасности нижнего уровня входят регламенты работ, руководства по администрированию, инструкции по эксплуатации отдельных сервисов информационной безопасности.
Информационная безопасность возникла с появлением средств информационных коммуникаций между людьми, а также с осознанием человека о наличии сообществ интересов, которым может быть нанесен ущерб путём воздействия на них. Средства информационных коммуникаций обусловили наличие и развитие средств, которые обеспечили информационный обмен между всеми элементами социума. Учитывая влияние на трансформацию идей информационной безопасности, в развитии средств информационных коммуникаций можно выделить несколько этапов.
Первый этап
Первый этап – до 1816 года. Характеризуется он использованием естественно возникавших средств информационных коммуникаций. В этот период основная задача информационной безопасности заключалась в защите сведений о событиях, фактах, имуществе, местонахождении и других данных, имеющих для человека лично или сообщества, к которому он принадлежал, жизненное значение.
Второй этап
Второй этап, начиная с 1816 года, связан с началом использования искусственно создаваемых технических средств электрики и радиосвязи. Для обеспечения скрытности и помехозащищенности радиосвязи необходимо было использовать опыт первого периода информационной безопасности на более высоком технологическом уровне, а именно применение помехоустойчивого кодирования сообщения (сигнала) с последующим декодированием принятого сообщения (сигнала).
Третий этап
Третий этап – начиная с 1935 года, связан с появлением радиолокационных и гидроакустических средств. Основным способом обеспечения информационной безопасности в этот период было сочетание организационных и технических мер, направленных на повышение защищенности радиолокационных средств от воздействия на их приемные устройства активными маскирующими и пассивными имитирующими радиоэлектронными помехами.
Четвертый этап
Четвертый этап – начиная с 1946 года, связан с изобретением и внедрением в практическую деятельность электронно-вычислительных машин (компьютеров). Задачи информационной безопасности решались, в основном, методами и способами ограничения физического доступа к оборудованию средств добывания, переработки и передачи информации.
Пятый этап
Пятый этап – начиная с 1965 года, обусловлен созданием и развитием локальных информационно-коммуникационных сетей. Задачи информационной безопасности также решались, в основном, методами и способами физической защиты средств добывания, переработки и передачи информации, объединённых в локальную сеть путём администрирования и управления доступом к сетевым ресурсам.
Шестой этап
Шестой этап – начиная с 1973 года – связан с использованием сверхмобильных коммуникационных устройств с широким спектром задач. Угрозы информационной безопасности стали гораздо серьёзнее. Для обеспечения информационной безопасности в компьютерных системах с беспроводными сетями передачи данных потребовалась разработка новых критериев безопасности. Образовались сообщества людей – хакеров, ставящих своей целью нанесение ущерба информационной безопасности отдельных пользователей, организаций и целых стран. Информационный ресурс стал важнейшим ресурсом государства, а обеспечение его безопасности – важнейшей и обязательной составляющей национальной безопасности. Формируется информационное право – новая отрасль международной правовой системы.
Седьмой этап
Седьмой этап, начиная с 1985 года, связан с созданием и развитием глобальных информационно-коммуникационных сетей, с использованием космических средств обеспечения. Можно предположить, что очередной этап развития информационной безопасности, очевидно, будет связан с широким использованием мобильных коммуникационных устройств с широким спектром задач и глобальным охватом в пространстве и времени, обеспечиваемым космическими информационно-коммуникационными системами. Для решения задач информационной безопасности, на этом этапе необходимо создание макросистемы информационной безопасности человечества под эгидой ведущих международных форумов. Сегодня всё в мире полагается на компьютеры и интернет, средства связи (электронная почта, мобильные телефоны), индустрия развлечений (цифровое телевидение, MP3), транспорт (автомобильные двигатели, аэронавигация), торговля (интернет-магазины, кредитные карты), медицина (оборудование, медицинские архивы), и список можно продолжать. Самая большая доля нашей повседневной жизни полагается на компьютеры. Информационная безопасность состоит в защите этой информации методами предотвращения, обнаружения и реагирования на атаки.
Средства защиты от несанкционированного доступа (НСД):
-Средства авторизации;
-Мандатное управление доступом;
-Избирательное управление доступом;
-Управление доступом на основе ролей;
-журналирование (называется еще и аудит).
Системы анализа и моделирования информационных потоков (CASE‑системы).
Системы мониторинга сетей:
-Системы обнаружения и предотвращения вторжений (IDS/IPS).
Системы предотвращения утечек конфиденциальной информации (DLP‑системы).
Анализаторы протоколов.
Антивирусные средства.
Межсетевые экраны.
Криптографические средства:
-Шифрование;
-Цифровая подпись.
Системы резервного копирования.
Системы бесперебойного питания:
-Источники бесперебойного питания;
– Резервирование нагрузки;
-Генераторы напряжения.
Системы аутентификации:
-Пароль;
-Сертификат;
-Биометрия.
Средства предотвращения взлома корпусов и краж оборудования.
Средства контроля доступа в помещения.
Инструментальные средства анализа систем защиты:
– Программный мониторинговый продукт.
Основа информационной безопасности в организации – это внутрифирменный контроль и достоверность. Система информационной безопасности (СИБ) является одним из основных элементов организационного менеджмента. От эффективности функционирования СИБ зависит большинство сторон деятельности и успешность организации в целом. Исходными условиями создания полноценной основы системы информационной безопасности должны быть четкие представления о ее целях и структуре, о видах угроз и их источниках, и о возможных мерах противодействия. Среди перечня угроз безопасности фирмы наиболее существенной считается утечка конфиденциальной информации. Изучение механизма движения информации в организациях разного профиля показывает, что особое внимание следует уделять контролю данных, передаваемых по слаботочным информационным сетям, в частности телефонным линиям. Однако, для построения системной работы необходимы четкие процедуры при работе с информацией, а эффективность внедряемой СИБ будет во многом зависеть от соблюдения сотрудниками установленных в организации правил защиты информации. Касаясь организационной структуры, способной воплотить основы программы информационной безопасности и донести их до широкого круга общественности, следует обратить особое внимание на создание и функционирование региональных центров общественной информации, как важнейших элементов непосредственного взаимодействия с различными целевыми аудиториями.
В заключении, хочу отметить и сделать вывод из основной части и прочитанной литературы. Я не касалась темы характеристики информационной системы. Ведь ее связь с государством и ее характер – все это, играет самую главную роль в нашей жизни. Ведь, даже сходить в магазин – и то, получение информации о цене и качестве. Информационная безопасность Российской Федерации характеризуется уровнем защищенности национальных интересов Российской Федерации в информационной сфере. Информационная сфера Российской Федерации является важной составляющей жизнедеятельности общества и государства. Вследствие этого обеспечение безопасности национальных интересов Российской Федерации в этой сфере способствует укреплению национальной безопасности Российской Федерации. Национальные интересы Российской Федерации в информационной сфере определяются следующими темами: информационная сфера играет ключевую роль в реализации многих конституционных прав и свобод граждан, в обеспечении возможности самореализации личности, духовном обновлении, политической и социальной стабильности общества, обеспечении функционирования государства; информационная сфера становится все более важным фактором развития экономики промышленно развитых стран мира, мировой экономики в целом, развития мирового сообщества; нормальная жизнедеятельность человеческого общества во все большей степени зависит от состояния информационной сферы, которая, в связи с этим, все активней используется для оказания «силового» давления на государственную политику тех или иных стран, как со стороны иностранных государств, так и организованной преступности, международных и национальных террористических групп. Выделяются три основные группы национальных интересов Российской Федерации в информационной сфере. Первую группу составляют национальные интересы, связанные с обеспечением прав и свобод человека и гражданина, реализуемых в информационной сфере, духовным обновлением России. Эти интересы, направлены на обеспечение государственных гарантий: свободу получения информации в интересах сохранения здоровья, неприкосновенности частной жизни и недопустимости произвольных посягательств на честь и репутацию человека. Свободу мысли, убеждений и следования своим убеждениям, свободу выражения убеждений в общении с другими лицами, свободу участия в культурной жизни общества, защиту интересов человека, связанных с использованием результатов его интеллектуальной деятельности другими лицами. К числу национальных интересов этой группы относятся: обеспечение гарантий конституционных прав и свобод человека и гражданина в области информационной деятельности, свободы поиска, получения, передачи, производства и распространения информации любым законным способом, получения достоверной информации о состоянии окружающей среды, свободы массовой информации и запрета цензуры;обеспечение гарантий конституционных прав и свобод человека и гражданина в области политической, интеллектуальной и духовной деятельности, включая свободу совести, вероисповедания, мысли и слова, литературного, художественного, научного, технического и других видов творчества, преподавания, участия в культурной жизни, пользования учреждениями культуры, доступа к культурным ценностям; обеспечение гарантий, конституционных прав человека и гражданина на личную и семейную тайну, тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, защиту своей чести и доброго имени, гарантий неприкосновенности частной жизни, запрещения сбора, хранения, использования и распространения информации. О частной жизни лиц без его согласия идругой информации, доступ к которой ограничен федеральным законодательством. Соблюдение установленных федеральным законодательством ограничений на доступ к сведениям, составляющим государственную тайну, к другим охраняемым законом сведениям, а также ограничений прав и свобод человека и гражданина, реализуемых в информационной сфере, в интересах защиты основ конституционного строя, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства. Обеспечение гарантий недопущения пропаганды и агитации, возбуждающих социальную, расовую, национальную или религиозную ненависть и вражду, пропаганды социального, расового, национального, религиозного или языкового превосходства. Охрана интеллектуальной собственности, развитие, сохранение, рациональное использование информационных ресурсов, составляющих основу научно-технического и духовного потенциала Российской Федерации. Вторую группу составляют национальные интересы, связанные с развитием отечественной индустрии средств информатизации, телекоммуникаций и связи, обеспечением ею потребностей внутреннего рынка, выходом ее продукции на мировые рынки, а также обеспечением накопления, сохранности и эффективного использования отечественных информационных ресурсов. К числу национальных интересов этой группы относятся: развитие и совершенствование инфраструктуры единого информационного пространства Российской Федерации, а также повышение эффективности использования государственных информационных ресурсов, развитие отечественного рынка информационных услуг, повышение эффективности использования информационной инфраструктуры в интересах прогрессивного развития, консолидации российского общества, духовного возрождения многонационального народа Российской Федерации. Развитие отечественной индустрии информационных услуг и повышение эффективности использования государственных информационных ресурсов, как на внутреннем и международном информационных рынках. Развитие отечественного производства, конкурентоспособных средств и систем информатизации и связи, расширение участия Российской Федерации в международной кооперации производителей этих средств и систем; обеспечение государственной поддержки отечественных фундаментальных и прикладных исследований и разработок в сфере информатизации. Третью группу составляют национальные интересы, связанные с обеспечением безопасности информационных и телекоммуникационных систем как развернутых, так и создаваемых на территории России. К числу национальных интересов этой группы относятся: повышение безопасности информационных систем, включая сети связи и, прежде всего, первичные сети связи и информационных систем федеральных органов государственной власти, финансово-кредитной и банковской сфер, сферы хозяйственной деятельности, а также систем и средств информатизации вооружения и военной техники, систем управления войсками и оружием. Экологически опасными и экономически важными производствами, интенсификация развития отечественного производства аппаратных и программных средств защиты информации и методов контроля их эффективности, расширение международного сотрудничества Российской Федерации в области развития и безопасного использования информационных ресурсов. Достижение этих интересов позволит сбалансировать государственную политику по обеспечению возможности использования прав и свобод человека и гражданина, реализуемых в информационной сфере, повышению эффективности развития и использования информационной инфраструктуры Российской Федерации, ее информационных ресурсов, а также обеспечению их безопасности. Защита национальных интересов Российской Федерации, реализуемых в информационной сфере, от угроз внешнего и внутреннего характера составляет основное содержание деятельности по обеспечению информационной безопасности Российской Федерации. Безопасность-это такое состояние сложной системы, когда действие внешних и внутренних факторов не приводит к ухудшению системы или к невозможности её функционирования и развития. Безопасность – состояние защищённости жизненно-важных интересов личности, общества, организации, предприятия от потенциально и реально существующих угроз, или отсутствие таких угроз. Международный день защиты информации отмечается 30 ноября (а началось все с 1988 года). В 1988 году произошла первая массовая компьютерная эпидемия – эпидемия «червя Морриса». В 1988 году, американская ассоциация компьютерного оборудования, объявила – 30 ноября международным Днем защиты информации (ComputerSecurityDay). По инициативе «Ассоциации компьютерного оборудования», в этот день проводятся международные конференции по защите информации. «По-настоящему безопасной можно считать лишь систему, которая выключена, замурована в бетонный корпус, заперта в помещении со свинцовыми стенами и охраняется вооруженным караулом, – но и в этом случае сомнения не оставляют меня»– Юджин Х. Спаффорд.