Введение в информационную безопасность

Страница: 12/32

Процедуры плана должны быть адекватны уровню безопасности и критичности информации.

Знайте, что делать в случае ЧП, и будьте знакомы с планом ОНРВ Помните, что план ОНРВ может применяться в условиях неразберихи и паники. Тренировки ваших сотрудников жизненно необходимы.

Информационная безопасность в Intranet

Архитектура Intranet подразумевает подключение к внешним открытым сетям, использование внешних сервисов и предоставление собственных сервисов вовне, что предъявляет повышенные требования к защите информации.

В Intranet-системах используется подход клиент-сервер, а главная роль на сегодняшний день отводится Web-сервису. Web-серверы должны поддерживать традиционные защитные средства, такие как аутентификация и разграничение доступа; кроме того, необходимо обеспечение новых свойств, в особенности безопасности программной среды и на серверной, и на клиентской сторонах.

Таковы, если говорить совсем кратко, задачи в области информационной безопасности, возникающие в связи с переходом на технологию Intranet. Далее мы рассмотрим возможные подходы к их решению.

Позволю себе небольшое отступление. Некоторое время назад один мой знакомый банкир, прочитав в каком-то дорогом журнале статью об информационной безопасности, сделал для себя вывод, что защищаться бесполезно - слишком велик арсенал потенциального злоумышленника. Он перестал рассматривать предложения по защите компьютерной системы банка, считая их заведомо бесполезными. К фаталистам моего знакомого не отнесешь, от подтяжек он еще не отказался, однако масса технических деталей, приведенных в журнальной статье, совершенно запутала и подавила его. Сжав голову руками, он ходил из угла в угол, бормоча: "Пароли перехватываются, соединения крадутся, получить привилегии root - раз плюнуть" и т.д. и т.п. Мои попытки указать ему на то, что в статье допущен ряд чисто технических ошибок, что не оговорены условия, при которых возможна та или иная атака, что, наконец, отсутствует комплексный подход к проблеме безопасности, успеха не имели.

Так совпало, что вскоре дела банка, где работал мой знакомый, стали идти все хуже и хуже. Более удачливые конкуренты, казалось, все время предугадывали его ходы, постоянно оказываясь на полшага впереди. Надеюсь, что у читателей журнала LAN Magazine, напротив, все пойдет как нельзя лучше и у них окажется больше здравого смысла, больше умения видеть проблему в целом.

Формирование режима информационной безопасности - проблема комплексная. Меры по ее решению можно разделить на четыре уровня:

законодательный (законы, нормативные акты, стандарты и т.п.); административный (действия общего характера, предпринимаемые руководством организации); процедурный (конкретные меры безопасности, имеющие дело с людьми); программно-технический (конкретные технические меры).

В таком порядке и будет построено последующее изложение.

Законодательный уровень

В настоящее время наиболее подробным законодательным документом в области информационной безопасности является Уголовный кодекс, точнее говоря, его новая редакция, вступившая в силу в мае 1996 года.

В разделе IX ("Преступления против общественной безопасности") имеется глава 28 - "Преступления в сфере компьютерной информации". Она содержит три статьи - 272 ("Неправомерный доступ к компьютерной информации"), 273 ("Создание, использование и распространение вредоносных программ для ЭВМ") и 274 - "Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети". Уголовный кодекс стоит на страже всех аспектов информационной безопасности - доступности, целостности, конфиденциальности, предусматривая наказания за "уничтожение, блокирование, модификацию и копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети".

Реферат опубликован: 2/12/2007