Тема: Основы защиты компьютерной информации.
Методы защиты
На практике используют несколько групп методов защиты, в том числе:
препятствие на пути предполагаемого похитителя, которое создают физическими и программными средствами;
управление, или оказание воздействия на элементы защищаемой системы;
маскировка, или преобразование данных, обычно – криптографическими способами;
регламентация, или разработка нормативно-правовых актов и набора мер, направленных на то, чтобы побудить пользователей, взаимодействующих с базами данных, к должному поведению;
принуждение, или создание таких условий, при которых пользователь будет вынужден соблюдать правила обращения с данными;
побуждение, или создание условий, которые мотивируют пользователей к должному поведению.
Каждый из методов защиты информации реализуется при помощи различных категорий средств. Основные средства – организационные и технические.
Регламент по обеспечению информационной безопасности – внутренний документ организации, который учитывает особенности бизнес-процессов и информационной инфраструктуры, а также архитектуру системы.
Организационные средства защиты информации
Разработка комплекса организационных средств защиты информации должна входить в компетенцию службы безопасности.
Способы неправомерного доступа к информации
Залогом успешной борьбы с несанкционированным доступом к информации и перехватом данных служит четкое представление о каналах утечки информации.
Интегральные схемы, на которых основана работа компьютеров, создают высокочастотные изменения уровня напряжения и токов. Колебания распространяются по проводам и могут не только трансформироваться в доступную для понимания форму, но и перехватываться специальными устройствами. В компьютер или монитор могут устанавливаться устройства для перехвата информации, которая выводится на монитор или вводится с клавиатуры. Перехват возможен и при передаче информации по внешним каналам связи, например, по телефонной линии.
Чаще всего специалисты по безопасности:
разрабатывают внутреннюю документацию, которая устанавливает правила работы с компьютерной техникой и конфиденциальной информацией;
проводят инструктаж и периодические проверки персонала; инициируют подписание дополнительных соглашений к трудовым договорам, где указана ответственность за разглашение или неправомерное использование сведений, ставших известных по работе;
разграничивают зоны ответственности, чтобы исключить ситуации, когда массивы наиболее важных данных находятся в распоряжении одного из сотрудников; организуют работу в общих программах документооборота и следят, чтобы критически важные файлы не хранились вне сетевых дисков;
внедряют программные продукты, которые защищают данные от копирования или уничтожения любым пользователем, в том числе топ-менеджментом организации;
составляют планы восстановления системы на случай выхода из строя по любым причинам.
Если в компании нет выделенной ИБ-службы, выходом станет приглашение специалиста по безопасности на аутсорсинг. Удаленный сотрудник сможет провести аудит ИТ-инфраструктуры компании и дать рекомендации по ее защите от внешних и внутренних угроз. Также аутсорсинг в ИБ предполагает использование специальных программ для защиты корпоративной информации.
Ответы на вопрос
2. К техническим явным угрозам можно отнести подбор пароля – либо автоматизированный (вручную пользователем), либо автоматический, предполагающий запуск пользователем специальной программы подбора паролей. Кроме того, для сравнения вводимого и эталонного значений пароля, эталонное значение пароля должно храниться на защищаемом объекте (либо на сервере в сети). Это эталонное значение без соблюдения соответствующих мер по хранению паролей (хеширование, разграничение доступа к области памяти или реестра, где хранятся пароли), может быть похищено злоумышленником.
Наиболее опасными являются скрытые угрозы, например:
» технический съем пароля при вводе;
» модификация механизма парольной защиты;
« модификация учетных данных на защищаемом объекте.
1. Настоящая инструкция устанавливает порядок и правила генерации, использования паролей в информационных системах организации.
Требования настоящей инструкции распространяются на всех сотрудников организации.
Бесконтрольность в определении и использовании паролей может повлечь риск несанкционированного доступа к информации организации, повлечь мошеннические и другие действия информационных системах, которые могут нанести материальный вред и ущерб репутации организации.
4. Использование биометрических характеристик пользователя - подход, позволяющий отказаться от внешнего носителя с паролем как такового. При этом идентификатором пользователя становятся его биометрические параметры. Причем ввиду их однозначного соответствия пользователю эти параметры служат одновременно и паролем.
Комбинирование способа ввода пароля с клавиатуры и способа ввода пароля с внешнего носителя. Например, механизм ввода пароля с клавиатуры может рассматриваться как дополнение к механизму ввода пароля с внешнего носителя.
Комбинированный способ осуществляется двумя механизмами, один из который является основным, а другой - дополнительным. При защите компьютеров имеет смысл использовать следующий комбинированный способ ввода пароля:
Основной - с внешнего носителя (целесообразно реализовать добавочными средствами защиты),
Дополнительный - с клавиатуры (для этого могут использоваться встроенные в ОС механизмы авторизации пользователя).
Таким образом можно выделить следующие приоритеты в использовании механизмов ввода пароля (расположены в порядке убывания):
Биометрический способ идентификации пользователя.
Комбинированный способ (консольный ввод + использование внешнего носителя).
Ввод пароля с внешнего носителя.
Консольный ввод (ввод пароля с клавиатуры).
3. В облаке. Доступ к онлайн-хранилищу можно получить с любого устройства при наличии подключения к интернету. Пароли как правило хранятся в текстовом файле. Если ноутбук и смартфон украдут или сломается, то восстановить данные будет очень просто. Как правило, все данные в облачном хранилище шифруются. Достаточно будет запомнить один пароль от аккаунта облака или от файла, если он дополнительно зашифрован, или оба пароля.
В браузере. В этом случае все комбинации запомненных логинов и паролей будут вводиться автоматически. Вот только сохранятся они до первой неудачной переустановки браузера, а после этого восстановить их будет невозможно. Поэтому это не самый оптимальный вариант.
На внешнем носителе. Флешка удобна тем, что ее можно носить с собой. Но она может сломаться или попасть в руки к третьим лицам. Чтобы пароли не были моментально считаны, информацию в текстовом файле можно зашифровать с помощью специальной программы или встроенной функции редактора Microsoft Word. Все, что требуется запомнить в данном случае, — единый мастер-пароль.
С помощью специального приложения-хранилища. У этого способа есть множество преимуществ: к нему можно получить доступ с любого устройства, достаточно запомнить единый пароль и данные профиля.
5. Компьютерный вирус — вид вредоносного программного обеспечения, способного внедряться в код других программ, системные области памяти, загрузочные секторы, и распространять свои копии по разнообразным каналам связи.
6. Классификация компьютерных вирусов. Компьютерный вирус – это программный код, встроенный в другую программу, в документ, или в определенные области носителя данных и предназначенный для выполнения несанкционированных действий на несущем компьютере.
7. Основными путями проникновения вирусов в компьютер являются съемные диски (гибкие и лазерные), а также компьютерные сети. Заражение жесткого диска вирусами может произойти при загрузке программы с дискеты, содержащей вирус.
8. Федеральный закон № 139-ФЗ от 28 июля 2012 года — дополнения «о защите детей», приведшие к созданию «Единого реестра запрещённых сайтов»;
Федеральный закон № 187-ФЗ от 2 июля 2013 года — закон, подразумевающий возможность блокировки сайтов, содержащих нелицензионный контент, по требованию правообладателя;
Федеральный закон № 398-ФЗ от 28 декабря 2013 года — дополнения, связанные с блокировкой экстремистских сайтов;
Федеральный закон № 97-ФЗ от 5 мая 2014 года — «закон о блогерах», обязывающий владельцев популярных блогов и сайтов регистрироваться в Роскомнадзоре.
Федеральный закон № 90-ФЗ от 1 мая 2019 года — закон о «суверенном интернете», увеличение устойчивости Рунета.