4.1. Класифікація засобів захисту інформації

Залежно від можливих порушень у роботі системи та загроз несанкціонованого доступу до інфор­мації численні види захисту можна об'єднати у такі групи: морально-етичні, правові, адміністративні (ор­ганізаційні), технічні (фізичні), програмні.

Морально-етичні засоби включають норми поведінки, які традиційно склались або складаються з поширенням ЕОМ, мереж тощо. Ці норми здебільшого не є обов'язковими і не затверджені в законодав­чому порядку, але їх невиконання часто призводить до падіння авторитету та престижу людини, групи осіб, організації або країни.

Правові засоби захисту - чинні закони, укази та інші нормативні акти, які регламентують правила користування інформацією і відповідальність за їх порушення, захищають авторські права програмістів та регулюють інші питання використання ІТ.

Адміністративні (організаційні) засоби захисту інформації регламентують процеси функціонування ІС, використання її ресурсів, діяльність персоналу, а також порядок взаємодії користувачів із системою таким чином, щоб найбільшою мірою ускладнити або не допустити порушень безпеки. Вони охоплюють:

- заходи, які передбачаються під час проектування, будівництва та облаштування об'єктів охо­рони (врахування впливу стихії, протипожежна безпека, охорона приміщень, пропускний режим, прихо­ваний контроль працівників тощо);

- заходи, що здійснюються під час проектування, розроблення, ремонту й модифікації облад­нання та програмного забезпечення (сертифікація всіх технічних і програмних засобів, суворе санкціону­вання, розгляд і затвердження всіх змін тощо);

- заходи, які здійснюються під час добору та підготовки персоналу (перевірка нових співробітни­ків, ознайомлення їх із порядком роботи з конфіденційною інформацією і ступенем відповідальності за його недодержання; створення умов, за яких персоналу було б невигідно або неможливо припускатися зловживань, тощо);

- розроблення правил обробки та зберігання інформації, а також стратегії її захисту (організація обліку, зберігання, використання і знищення документа і носіїв з конфіденційною інформацією;

- розмежування доступу до інформації за допомогою паролів, профілів повноважень тощо; роз­роблення адміністративних норм та системи покарань за їх порушення тощо).

Адміністративні засоби є неодмінною частиною захисту інформації, їх значення зумовлюється тим, що вони доступні й здатні доповнити законодавчі норми там, де це потрібно організації, а здебільшого вони передбачають застосування інших видів захисту (технічного, програмного) і тільки в такому разі за­безпечують достатньо надійний захист. Водночас велика кількість адміністративних правил обтяжує пра­цівників і насправді зменшує надійність захисту (інструкції не виконуються).

Засоби фізичного (технічного) захисту інформації - це різного роду механічні, електро- або еле­ктронно-механічні пристрої, а також спорудження і матеріали, призначені для захисту від несанкціонова­ного доступу і викрадень інформації та запобігання її втратам у результаті порушення роботоздатності компонентів ІС, стихійних лих, саботажу, диверсій тощо.

До цієї групи відносять:

- засоби захисту кабельної системи. За даними різних досліджень, саме збої кабельної сис­теми спричиняють більше половини відмов ЛОМ. Найкращим способом запобігти подібним збоям є побу­дова структурованої кабельної системи (СКС), в якій використовуються однакові кабелі для організації передавання даних в ІС, сигналів від датчиків пожежної безпеки, відеоінформації від охоронної системи, а також локальної телефонної мережі. Поняття «структурованість» означає, що кабельну систему буди­нку можна поділити на кілька рівнів залежно від її призначення і розміщення. Для ефективної організації надійної СКС слід додержувати вимог міжнародних стандартів;

- засоби захисту системи електроживлення. Найбільш надійним засобом запобігання втратам ін­формації в разі тимчасових відімкнень електроенергії або скачків напруги в електромережі є установка джерел безперебійного живлення. Різноманітність технічних і споживчих характеристик дає можливість обрати засіб аварійного електрогенератора або резервних ліній електроживлення, підімкнених до різних підстанцій;

- засоби архівації та дублювання інформації. За значних обсягів інформації доцільно органі­зовувати виділений спеціалізований сервер для архівації даних.

- засоби захисту від відпливу інформації в різних фізичних полях, що виникають під час ро­боти технічних засобів, - засоби виявлення прослуховувальної апаратури, електромагнітне екранування пристроїв або приміщень, активне радіотехнічне маскування з використанням широкосмугових генерато­рів шумів тощо.

До цієї групи можна віднести матеріали, які забезпечують безпеку зберігання і транспортування носіїв інформації та їх захист від копіювання. Найчастіше технічні засоби захисту реалізуються в поєд­нанні з програмними.

Програмні засоби захисту забезпечують ідентифікацію та аутентифікацію користувачів, розмежу­вання доступу до ресурсів згідно з повноваженнями користувачів, реєстрацію подій в ІС, криптографічний захист інформації, захист від комп’ютерних вірусів тощо.

Комп’ютерна стеганографія базується на двох принципах. По-перше, аудіо- і відеофайли, а також файли з оцифрованими зображеннями можна деякою мірою змінити без втрати функціональності. По­друге, можливості людини розрізняти дрібні зміни кольору або звуку обмежені. Методи стеганографії да­ють можливість замінити несуттєві частки даних на конфіденційну інформацію.

Але найчастіше стеганографія використовується для створення цифрових водяних знаків. На відміну від звичайних їх можна нанести і відшукати тільки за допомогою спеціального програмного забез­печення - цифрові водяні знаки записуються як псевдовипадкові послідовності шумових сигналів, згене- рованих на основі секретних ключів. Такі знаки можуть забезпечити автентичність або недоторканність документа, ідентифікувати автора або власника, перевірити права дистриб’ютора або користувача, на­віть якщо файл був оброблений або спотворений.

Щодо впровадження засобів програмно-технічного захисту в ІС, розрізняють два основні його способи:

- додатковий захист - засоби захисту є доповненням до основних програмних і апаратних засобів комп’ютерної системи;

- вбудований захист - механізми захисту реалізуються у вигляді окремих компонентів ІС або ро­зподілені за іншими компонентами системи.

Перший спосіб є більш гнучким, його можна додавати і вилучати за потребою, вбудований захист вважається більш надійним і оптимальним, але є жорстким, оскільки в нього важко внести зміни. Таким доповненням характеристик способів захисту зумовлюється те, що в реальній системі їх комбінують.

4.2.