Меню
Главная
Авторизация/Регистрация
 
Главная arrow Информатика arrow Информационные системы и технологии в управлении внешнеэкономической деятельностью

Защита информации в мировых информационных системах

Угрозы безопасности информационных систем и их характеристика

Усиление внимания к вопросам защиты информации обусловлено ростом доступа к ней. В нынешнем информационном веке новые поколения электронно-вычислительных машин появляются с необычайной скоростью. Увеличивается память машин, меняется их структура и операционная система. Создатели новой вычислительной техники пытаются по определенным параметрам совмещать новую технику с устаревшей. Однако появление процессоров Pentium, способных параллельно выполнять несколько задач, свидетельствует, что программы, написанные для старых, медленных чипов, не стоят того, чтобы тратить средства на их усовершенствование. Для чипов Pentium создано новое семейство программ. Однако ошибки, которые допускались в старых версиях программ, неуклонно появляются и в новых версиях. Отметим, что операционные системы всегда отличались несовершенством и сложностью своей документации. Даже самая распространенная операционная система Windows, несмотря на регулярное обновление, не лишена ошибок. Это вызывает особую тревогу, потому что современная индустрия довольно сильно зависит от работы компьютерной сети. Ситуация осложняется еще и ростом количества изощренных вирусных атак.

Для гарантированной безопасности функционирования информационной сети применяются различные протоколы шифрования конфиденциальной информации, электронные подписи, осуществляется сертификация информации. Запрет на несанкционированное перемещение данных между локальной сетью международной компании и глобальной сетью может обеспечиваться специальными компьютерами или программами (брандмауэрами). Интеллектуальные сокровища нации должны быть надежно защищены. Как справедливо отмечает Михаил Згуровский [88], важнейшим направлением защиты знаний "инвентаризация редких данных с занесением их в "белую книгу" и определение приоритетов их защиты", необходимо позаботиться о "развитие нового вида деятельности — менеджмента данных". Автор подчеркивает важность "защиты и конфиденциальности научных данных на индивидуальном, национальном и корпоративном уровне". Л. С. Винарик, А. М. Щедрин,

Н. Ф. Васильева утверждают: "Вхождение Украины в мировое информационно-экономического пространства может быть обеспечено только через создание соответствующей нормативно-правовой базы" [44]. Реализация этой задачи требует изучения опыта, накопленного передовыми государствами в этой области. В нашей стране отношения по поводу защиты информации в информационных, телекоммуникационных и информационно-телекоммуникационных системах на Украине регулируется Законом Украины "О защите информации в информационно-телекоммуникационных системах" [4].

Автоматизированные информационные системы, открывая новые возможности для организации международной экономической деятельности, для повышения ее качества и надежности, одновременно является одной из наиболее уязвимых сторон международной компании, которая притягивает к себе злоумышленников как из числа персонала компании, так и тех, что работают вне предприятия.

Острота проблемы безопасности автоматизированных систем обусловлена рядом объективных причин. Основная из них — высокий уровень доверия к автоматизированной системе. Вполне вероятно, что незаконное манипулирование такой информацией может привести к огромным убыткам.

Проблема безопасности информации осложняется еще и в связи с развитием и расширением сетей ЭВМ. Распределенные системы и системы с удаленным доступом выдвинули на первый план вопрос защиты информации, которая обрабатывается и передается.

Под безопасностью информационной системы понимается ее защищенность от случайного или преднамеренного вмешательства в нормальный процесс ее функционирования, а также от попыток хищения, модификации или разрушения ее компонентов. Иначе говоря, это способность противодействовать различным действиям, которые наносят вред информационной системе.

Безопасность информационной системы достигается организацией конфиденциальности обрабатываемой информации, а также целостности и доступности компонентов и ресурсов системы.

Конфиденциальность информации — это свойство информации быть известной только допущенным субъектов системы (пользователей, программ, процессов и т. др.), которые прошли соответствующую проверку.

Таких субъектов в литературе называют авторизованными. Для других объектов системы эта информация как бы не существует.

Целостность компонента (ресурса) — это свойство компонента быть неизмененным (в семантическом, содержательном смысле) в процессе функционирования системы.

Доступность компонента (ресурса) — это свойство компонента быть доступным для использования авторизованными субъектами в любое время.

Целью любых мер по организации безопасности автоматизированной информационной системы (АИС) является защита владельца и законных пользователей

АИС от нанесения им материального или морального ущерба в результате случайного или преднамеренного воздействия на систему.

Различают внешнюю и внутренняя безопасность АИС. в Внешняя безопасность системы предусматривает ее защиту как от случайных внешних воздействий (например, природных — наводнение, пожар и т. др.), так и от несанкционированного доступа к информации и любых несанкционированных действий. в Внутренняя безопасность связана с регламентацией деятельности пользователей информационной системы и обслуживающего персонала, с организацией дисциплины прямого или косвенного доступа к ресурсам системы и к информации.

Центральным вопросом безопасности АИС является защита информации. Одно из направлений организации информационной системы заключается в создании интегрированных систем обработки данных (ІСОД). Как правило, при этом обеспечивается минимальная стоимость создания и функционирования информационной системы, поскольку используются коллективные ресурсы для всех ее пользователей, к которым относятся аппаратные и программные средства обработки информации, средства ее хранения и т. др. Удачно выбранная организация и возможности коллективного пользования (объем памяти, быстродействие центральной электронной вычислительной машины (ЭВМ) и т. др.) значительно снижают стоимость создания и эксплуатации систем.

Однако использование возможностей коллективного ресурса не означает его доступности для каждого пользователя. Соответствующий доступ должен быть санкционированным и определяться теми правилами (требованиями), которые формулируются во время создания информационной системы. Реализация всех требований санкционированного доступа требует некоторого увеличения стоимости мероприятий создания и реализации системы.

Использование персональной вычислительной машины (ПЭВМ), подключения их к локальным вычислительным сетям, а тем более — глобальных сетей, затрудняют реализацию мер безопасности информационных систем. Это связано с обеспечением целостности информации в памяти ЭВМ, так и на носителях, хранимых отдельно от ЭВМ а также с идентификацией принятой информации и с сохранением ее подлинности при передаче по каналам связи.

При любом подходе к организации работы информационной системы мероприятия по ее безопасности вызывают некоторые неудобства. Главные из них такие: дополнительное усложнение работы с большинством защищенных систем; увеличение стоимости защищенной системы; дополнительная нагрузка на системные ресурсы, что требует увеличения рабочего времени для выполнения того же задания в связи с замедлением доступа к данным и выполнением операций в целом; необходимость привлечения дополнительного персонала, отвечающего за поддержание работоспособности системы защиты.

Охарактеризуем наиболее типичные ситуации, при которых создается угроза безопасности информационных систем.

Несанкционированный доступ — один из наиболее распространенных видов компьютерных нарушений, который заключается в получении пользователем доступа к объекту, на который у него нет разрешения в соответствии с принятой в данной системе политикой безопасности.

Несанкционированный доступ становится возможным за неудачный выбор средств защиты, их некорректной установки и настройки, а также за халатное отношение к защите собственных данных.

Незаконное использование привилегий. В любой защищенной системе предусмотрены средства, которые используют в чрезвычайных ситуациях, или средства которые способны функционировать даже в случае нарушения правил внедренной политики безопасности. Например, в случае неожиданной проверки работы системы пользователь должен иметь доступ ко всем наборам системы. Конечно, эти средства используются администраторами, операторами, системными программистами и другими пользователями, выполняющими специальные функции.

Под угрозой безопасности понимается потенциально возможное воздействие, которое может прямо или косвенно нанести урон пользователям или владельцам информационных систем.

Подвергаться опасности могут:

информационная система в целом — злоумышленник пытается проникнуть в систему для последующего выполнения каких-либо несанкционированных действий. Для этого он обычно использует метод "маскарада", перехват или подделку пароля, взлома;

объекты информационной системы — данные или программы в оперативном запоминающем устройстве (ОЗУ) или на внешних носителях; сами устройства системы, как внешние (дисководы, сетевые устройства, терминалы), так и внутренние (ОЗУ, процессор). Преступное воздействие на объекты системы обычно имеет целью доступ к их содержимому (нарушение конфиденциальности или целостности информации, которая на них хранится), или нарушение их функциональности (например, заполнение всей оперативной ПАМЯТИ бессмысленной информацией или загрузка процессора компьютера задачей с неограниченным временем исполнения);

субъекты автоматизированной системы, то есть процессы или подпроцессы пользователей. Целью таких атак является прямое влияние на ход процесса — его прекращение, изменение привилегий, либо обратное воздействие — использование злоумышленником привилегий и характеристик другого процесса со своей целью;

каналы передачи данных (сами каналы или пакеты данных, передаваемых по каналу). Воздействие на пакеты данных может рассматриваться как атака на объекты сети; влияние на каналы — как специфический тип атак, характерный для определенной сети.

От состояния объекта атаки в момент ее осуществления во многом зависят результаты атаки и меры по ликвидации ее последствий. Объект атаки может находиться в одном из трех состояний:

хранение информации на машинном носителе в пассивном состоянии. При этом воздействие на объект осуществляется с использованием доступа;

- передача информации по линии связи между узлами сети или внутри узла. Влияние предполагает доступ к фрагментам передаваемой информации (например, перехват пакетов на ретрансляторі сети), либо просто прослушивание с использованием тайных каналов;

- обработки информации в тех ситуациях, когда объектом атаки является процесс пользователя.

Атаки различают по способу воздействия на объект:

- непосредственное воздействие на объект атаки, например, непосредственный доступ к набору данных, программе, службе, каналу связи и т. др. из-за использования какой-либо ошибки средства защиты. Таким действиям, конечно, легко предотвратить с помощью средств контроля доступа;

- воздействие на систему разрешений (в том числе захват привилегий). В этом случае несанкционированные действия касаются прав пользователей на объект атаки, а непосредственный доступ осуществляется после этого как законный;

- опосредованное влияние (через других пользователей). Классифицируются угрозы безопасности информации и по другим признакам:

целью реализации, по принципу воздействия, по характеру воздействия и тому подобное. Многочисленность классификаций обусловливает сложность как определение опасности, так и средств защиты от нее.

Безопасность информационных систем в условиях глобализации в последнее время становится одной из наиболее главных проблем развития процессов информатизации. Компания Cisco Systems, насчитывает круг 57 тысяч сотрудников, рассредоточенных по всему миру, продолжает традиции новаторства и разрабатывает лучшие в отрасли продукты и решения в сфере современных технологий, к которым относятся: IP - коммуникации, сетевая безопасность, беспроводные сети LAN; домашние сети; видеосистемы; прикладные сетевые услуги. К важнейшим проблемам безопасности руководство компании относит проблемы проникновения червей и вирусов, разворовывание информации, снижение эффективности работы компьютеров в связи с использованием их ресурсов злоумышленниками для других целей, большую скорость модификации угроз, несовершенство законодательной базы. Очень важным аспектом угроз является угроза утечки информации. Сейчас она приобретает больших размеров (табл. 5.1). На сегодняшний день это часто происходит в связи с сохранением данных на мобильном устройстве.

Для банковской сферы утечка информации по данным аналитического центра Info Watch распределился следующим образом (рис. 5.1). В первую очередь требует совершенствования форм защиты информация, которая передается через мобильные телефоны, электронную почту, Интернет (веб-почта, форумы).

Таблица 5.1. Инциденты с утечки информации в США (По данным ComputerWorld/Украина)

№ с/п

Инцидент

Количество пострадавших

Убытки (долл.)

1

Утечка данных о ветеранах и военнослужащих США

28,7 млн.

45 млрд.

2

Похищен ноутбук сотрудника Natiowide Building Society

11 млн.

1,5 млрд.

3

Кража диска с частной информацией клиентов Dai Nippon Printing

8,64 млн.

1,2 млрд.

4

3 медицинского центра похищен ноутбук с персональными карточками врачей и пациентов

1,8 млн.

367 млн.

5

3 офиса Affiliated Computer Services похищен ноутбук с данными клиентов

1,4 млн.

320 млн.

6

Фирма-подрядчик Texas Guaranteed потеряла лэп-топ с данными клиентов

1,3 млн.

237 млн.

7

Пропал лэптоп из автомобиля сотрудника Boeing

382 тыс.

147 млн.

8

3 офиса страховой компании CS Stars пропал ноутбук с именами, адресами и номерами соцстрахования рабочих Нью-Йорка

540 тыс.

84 млн.

9

Сотрудник бухгалтерской фирмы Hancock Askew потерял ноутбук с персональными данными клиентов

401 тыс.

73 млн.

10

В медицинском центре Vassar Brothers исчез лэптоп и резервный диск с медицинскими карточками пациентов

257 тыс.

47 млн.

Борьба с этим видом преступности в США и странах Евросоюза проводится законодательными методами, где международная компания, через которую произошла утечка информации, несет ответственность, в Украине пока что такого механизма нет.

Нарушителями охраны информации, прежде всего, оказываются пользователи и рабочие информационной системы, которые имеют к ней доступ. Основными причинами нарушения защиты информации являются: безответственность, самоуверенность и корыстный интерес персонала. По данным статистики, 81,7 % нарушений допускается служащими компании, которые имеют доступ к информационной системе, и только 17,3 %- посторонними лицами (в том числе 1 % приходится на случайных лиц). Итак, главный источник нарушений безопасности информации находится внутри самих информационных систем, поэтому для любой из них внутренняя защита должна быть обязательно.

Каналы утечки информации в банках

Рис. 5.1. в Каналы утечки информации в банках

Одной из самых больших угроз информационных систем являются поражения вирусными программами, которые проникают через различные носители информации, особенно через глобальные информационные сети. По словам Владимира Тихонова, специалиста службы консалтинга "Лаборатории Кас-перского", в 2006 году было зафиксировано 7 крупных вирусных эпидемий. Эпидемии 2006 года он делит на следующие группы: червь, черви семейств Ва§іе и Warezov, среди которых много почтовых червей, а также вариант троянца-шифрувальника Єрсосіе. В 2006 году появилось около 60 тыс. новых вирусов, что на 41 % больше, чем в 2005 году [164].

Распространению этих программ способствует то, что большинство программистов-создателей вирусных программ ничего не имеют против открытости кода их программ. Эти программы свободно появляются в печатных изданиях. На самом деле, закрытой является уязвимость программ. Так, уязвимость в процедуре обработки WMF-файлов в конце прошлого года продавалась за 4 тысячи долларов.

в Последнее время приобрели глобального масштаба проблемы, связанные с распространением информатизации в мире. Среди них — интеллектуальное (компьютерное, информационное) пиратство.

Есть общие причины и последствия пиратства в софтверном мире. Пиратство программного обеспечения (ПО) как такое имеет три основных направления негативного воздействия:

- Экономический — пиратство наносит экономический ущерб не только из-за ухудшения инвестиционного климата, но также из-за недополучения налогов при продаже легального софта, из-за того, что пираты налогов не платят.

- Интеллектуальное — пиратство практически уничтожило ранее существующую украинскую индустрию ПО, и поэтому программ украинского производства на наших компьютерах нет или почти нет, и украинский программист в лучшем случае работает в аутсорсинговом или оффшорном секторе, что зачастую у нас находятся в тени. Кроме того, авторских прав на программное обеспечение — экономической основы софтверной индустрии — украинские программисты не получают. В результате множество мелких и средних украинских софтверных компаний выполняют зарубежные заказы в абсолютной тени и без каких-либо авторских прав;

- Технологическое — пиратские версии ПО имеют низкое качество и это влияет как на возможность их качественного использования, так и на формирование негативного имиджа компании-производителя лицензионного продукта.

- Политический — развитое пиратство ухудшает имидж и инвестиционный климат государства. Это продолжается уже много лет: Украина — единственная страна в мире, 4 года носила малопочесний титул приоритетной страны по пиратству. В течение нескольких лет Украине удалось привести законодательство в сфере интеллектуальной собственности в полное соответствие с европейского законодательства и международных соглашений, которые действуют в этой сфере, а также ввести действенные механизмы его реализации. Поэтому сейчас изменен статус Украины из статуса "Приоритетной иностранной страны" относительно торговых санкций в связи с нарушением прав интеллектуальной собственности на статус страны, что относится к "Перечень стран приоритетного наблюдения" (Priority Watch List) (табл. 5.2) в рамках списка "Special 301" [96] — Украину исключено из Priority Foreign Country. По исследованиям международной консалтинговой компании "Yankee Group", а также организации Business Software Alliance" 35 % всего ПО в мире является нелицензионным. Из 97 стран, где проходило исследование, в 51-й уровень пиратства составляет не менее 64 %.

Таблица 5.2. Список стран приоритетного наблюдения (Priority Watch List) в рамках списке IIPA 2007 "Special 301" (ориентированы потери в результате нарушения прав интеллектуальной собственности за год)

Страна

Управление ПО

Общий ущерб от пиратской деятельности, млн. $

млн. $

Уровень пиратства

Аргентина

215,0

76 %

301,0

Венесуэла

124,0

84 %

174,6

Доминиканская республика

10,0

77 %

20,9

Египет

47,0

63 %

90,0

Израиль

41,0

32 %

98,4

Индия

318,0

70 %

496,3

Канада

551,0

34 %

551,0

Китай

1949,0

82 %

2207,0

Коста-Рика

12,0

65 %

27,1

Мексика

296,0

63 %

1005,6

Россия

1433,0

83 %

2180,1

Саудовская Аравия

112,0

51 %

140,0

Таиланд

164,0

80 %

219,7

Турция

203,0

66 %

243,0

Украина

290,0

85 %

320,0

Чили

65,0

64 %

95,6

 
< Предыдущая   СОДЕРЖАНИЕ   Следующая >
 

Предметы
Агропромышленность
Банковское дело
БЖД
Бухучет и аудит
География
Документоведение
Естествознание
Журналистика
Инвестирование
Информатика
История
Культурология
Литература
Логика
Логистика
Маркетинг
Математика, химия, физика
Медицина
Менеджмент
Недвижимость
Педагогика
Политология
Политэкономия
Право
Психология
Региональная экономика
Религиоведение
Риторика
Социология
Статистика
Страховое дело
Техника
Товароведение
Туризм
Философия
Финансы
Экология
Экономика
Этика и эстетика
Прочее