Лыськова636334357157712851 (1205676), страница 14
Текст из файла (страница 14)
Следует отметить, что ущерб может быть нанесен не тольконесанкционированным доступом к информации. Он может быть получен врезультате поломки коммуникационного или информационного оборудования.Для того чтобы наладить должное обеспечение защиты информацииследует иметь четкое представление об основных понятиях, целях и ролиинформационной безопасности.Термин «безопасность информации» описывает ситуацию,исключающую доступ для просмотра, модерации и уничтожения данныхсубъектами без наличия соответствующих прав. Это понятие включаетобеспечение защиты от утечки и кражи информации с помощью современныхтехнологий и инновационных устройств.Защита информации включает полный комплекс мер по обеспечениицелостности и конфиденциальности информации при условии ее доступностидля пользователей, имеющих соответствующие права.Целостность – понятие, определяющее сохранность качестваинформации и ее свойств.Конфиденциальность предполагает обеспечение секретности данных идоступа к определенной информации отдельным пользователям.Доступность – качество информации, определяющее ее быстрое и точноенахождение конкретными пользователями.Цель защиты информации – минимизация ущерба вследствие нарушениятребований целостности, конфиденциальности и доступности.Три угрозы информационной безопасности организации.Неблагоприятная для предприятия экономическая политика государства.Регулирование экономики государством с помощью манипуляций(определение валютного курса, учетная ставка, таможенные тарифы и налоги)является причиной многих противоречий на предприятиях в сферепроизводства, финансов и коммерции.Большую опасность для обеспечения безопасности информациипредприятия несут административные обязательства выхода на рынок, чтоприводит к насильственному сужению товарно-денежных отношений,нарушению законов со стороны государства и ограничению деятельностипредприятия.
Часто государство преувеличивает свою компетентность вфинансовой и коммерческой сфере деятельности предприятия и необоснованновмешивается в пространство информации этих сфер, а также посягает насобственность предприятия в различных формах.Серьезную угрозу для обеспечения безопасности информациипредприятия несут политические действия, направленные на ограничение илипрекращение экономических связей. Санкции в экономике вызывают у обеихсторон недоверие к дальнейшей деятельности и подрывают коммерческиевзаимоотношения. Все это ведет к дестабилизации экономических отношений,и не только на уровне государства.Действия иных хозяйствующих субъектов.В данном случае риск обеспечению безопасности информации несетнездоровая конкуренция. Нездоровая или недобросовестная конкуренция имеетнесколько понятий и по нормам международного права разделяется на три вида:- когда деятельность одной коммерческой структуры пытаютсяпредставить потребителю под видом другой;- дискредитирование репутации коммерческого предприятия путемраспространения ложной информации;- неправомерное и некорректное использование торговыхобозначений, вводящих потребителя в заблуждение.Кризисные явления в мировой экономике.Кризисы имеют особенность перетекать из одной страны в другую,используя каналы внешних экономических связей.
Они также наносят ущербобеспечению безопасности информации. Это следует учесть, определяя методыи средства обеспечения информационной безопасности организации.Поэтапное интегрирование России в международную экономикуспособствует зависимости коммерческих предприятий страны от различныхпроцессов, происходящих в мировой экономике (падение и рост цен наэнергоносители, структурная перестройка и другие факторы). По степенивнедрения национальной экономики в мировую экономическую структуруусиливается ее подверженность внешним факторам. Поэтому, современноепроизводство в стремлении к увеличению прибыли, улучшению деятельностипутем модернизации, повышению уровня обеспечения безопасностиинформации, стабильности обязательно должно обращать внимание надинамику потребительского спроса, политику государства и центральныхбанков, развитие научно-технического прогресса, на отношение конкурентов,мировую политику и хозяйственную деятельность.Из чего состоит система информационной безопасностиСистема безопасности обеспечивается работой таких подразделений,как:- компьютерная безопасность, работа этого подразделения основанана принятии технологических и административных мер, которые обеспечиваюткачественную работу всех аппаратных компьютерных систем, что позволяетсоздать единый, целостный, доступный и конфиденциальный ресурс;- безопасность данных - это защита информации от халатных,случайных, неавторизированных или умышленных разглашений данных иливзлома системы;- безопасное программное обеспечение - это целый комплексприкладных и общецелевых программных средств, направленных наобеспечение безопасной работы всех систем и безопасную обработку данных;- безопасность коммуникаций обеспечивается за счет аутентификациисистем телекоммуникаций, предотвращающих доступность информациинеавторизированным лицам, которая может быть выдана нателекоммуникационный запрос.Пять принципов системы обеспечения информационной безопасностиорганизацииПринцип комплексности.
При создании защитных систем необходимопредполагать вероятность возникновения всех возможных угроз для каждойорганизации, включая каналы закрытого доступа и используемые для нихсредства защиты. Применение средств защиты должно совпадать с вероятнымивидами угроз и функционировать как комплексная система защиты, техническидополняя друг друга. Комплексные методы и средства обеспеченияинформационной безопасности организации являются сложной системойвзаимосвязанных между собой процессов.Принцип эшелонирования представляет собой порядок обеспеченияинформационной безопасности организации, при котором все рубежи защитнойсистемы будут состоять из последовательно расположенных зон безопасности,самая важная из которых будет находиться внутри всей системы.Принцип надежности (равнопрочности).
Стандарт организацииобеспечения информационной безопасности должен касаться всех зонбезопасности. Все они должны быть равнопрочными, то есть иметь одинаковуюстепень надежной защиты с вероятностью реальной угрозы.Принцип разумной достаточности предполагает разумное применениезащитных средств с приемлемым уровнем безопасности без фанатизма созданияабсолютной защиты.
Обеспечение организации высокоэффективной защитнойсистемой предполагает большие материальные затраты, поэтому к выборусистем безопасности нужно подходить рационально. Стоимость защитнойсистемы не должна превышать размер возможного ущерба и затраты на еефункционирование и обслуживание.Принцип непрерывности. Работа всех систем безопасности должна бытькруглосуточной и непрерывной.В целом деятельность службы безопасности на предприятии можетиметь одну из форм:может входить в структуру организации и финансироваться за еесчет;может существовать как отдельное коммерческое илигосударственное предприятие и работать в организации по договору с цельюобеспечения безопасности отдельных объектов.Служба безопасности, входящая в состав предприятия, может иметьформу многофункциональной структуры, обеспечивающей полнуюбезопасность предприятия. Обычно, такая форма службы безопасностиприсуща крупным финансовым компаниям со стабильной экономическойситуацией. Это инвестиционные фонды, коммерческие банки, финансовопромышленные группы - все, кто может использовать собственные техническиесредства и персонал.Служба безопасности как отдельная коммерческая организация, котораяпредоставляет услуги в сфере безопасности и защиты, может оказывать каккомплексные, так и отдельные услуги.
Она может полностью обеспечитьорганизацию системы охраны или выполнять конкретные задания: определять,где установлены подслушивающие устройства; сопровождать транзитныеперевозки; предоставлять личную охрану и другие услуги. К этой категорииможно отнести частные сыскные и охранные агентства и некоторыегосударственные организации.Основы обеспечения информационной безопасности организациибазируются на таких функциональных направлениях, как:- своевременная организация безопасности по предотвращению угроздля жизненно важных интересов организации со стороны криминальных лицили конкурентов. В этом случае для обеспечения защиты используются такиеметоды информации, как деловая разведка и аналитическое прогнозированиеситуации;- принятие мер по предотвращению внедрения агентуры и установкитехнических устройств с целью получения конфиденциальной информации икоммерческой тайны предприятия.
Основными средствами защиты здесьявляются строгий пропускной режим, бдительность охранной службы иприменение технических защитных устройств;- обеспечение личной охраны руководству и персоналу организации.Основными критериями для этого вида охраны являются организацияпредупреждающих мер, опыт и профессионализм охранника, системный подходк обеспечению безопасности.4.1 Информационная безопасность в вагонном депоОсновным видом информационной защиты рабочего места сотрудниковвагонного депо является парольная защита компьютеров.В соответствии с действующей политикой информационнойбезопасности Дальневосточной ж.д. пароли учетных записей доменаDVGD.OAO.RZD должны удовлетворять следующим требованиям:1.
минимальное количество символов - 7;2. не должны содержать имя учетной записи пользователя илисоставных частей полного имени пользователя;3. должны содержать символы, принадлежащие трем из четырехуказанных ниже множеств:- заглавные буквы русского или английского алфавита (А-Я, A-Z);- прописные буквы русского или английского алфавита (а-я,a-z);- цифры (0-9);- специальные символы (например, !, @, $, % и др.)4.
минимальный срок действия пароля - 7 дней;5. максимальный срок действия пароля - 90 дней;6. при задании нового пароля он не должен совпадать с 5-ю ранееиспользуемыми паролями.При пяти неудачных попытках набора пароля учетная записьблокируется на пятнадцать минут. Через пятнадцать минут учетная запись будетавтоматически разблокирована. Так же для корректной работы некоторыхпрограмм не рекомендуется задавать пароли с использованием символоврусского алфавита.Если сотрудникам сложно придумывать каждый раз новой пароль, тослужба безопасности рекомендует воспользоваться генератором паролейкомпании ОАО "Инфотекс". Эта программа случайным образом создает наборыабсурдных парольных фраз.
Какую фразу выберет сотрудник, не знает никто, аблагодаря своей абсурдности новый пароль будет легче запомнить.Основные угрозы информационным активам 4 структурногоподразделения включают:- 4 разглашение (утечку) информации конфиденциального характера, втом числе составляющей коммерческую тайну ОАО «РЖД», персональныеданные;- нарушение целостности информационных активов, включаяизменение или фальсификацию ( 10 модификацию и искажение), а также полное 10или частичное уничтожение информационных активов 10 структурногоподразделения;- дезорганизация функционирования важнейших АИТС 25 дорожногоуровня, 4 включая блокировку санкционированного доступа к 25 информациизарегистрированных пользователей.- Основными способами реализации угроз ИБ являются:- несанкционированный доступ (в том числе с 4 использованием 25программно-технических средств) в АИТС дорожного уровня, а также к еетехническим средствам и информационным активам;- перехват информации в сторонних и собственных сетях 4 передачиданных структурного подразделения;- применение специальных средств, программно-техническихалгоритмов и процедур проведения атак по отношению к АИТС дорожногоуровня;- несанкционированное использование зарегистрированнымпользователем АИТС программных продуктов доступа и 4 администрирования,не входящих в состав ПО, инсталлированного на его рабочем местеустановленным порядком;- внедрение (в том числе непреднамеренное) в АИТС 4 дорожного 4уровня компьютерных вирусов и 4 другого вредоносного программногообеспечения (троянские программы, программы-«шпионы» и пр.);- разрушение или порча информационных 25 активов 4 структурногоподразделения при отсутствии (или ненадлежащей настройке)соответствующих механизмов 25 защиты и управления доступом к АИТСдорожного уровня и обрабатываемой в них информации;- разрушение или порча информационных активов 4 структурногоподразделения по причине отсутствия достаточных знаний, навыков, опыта, атакже невнимательности или халатности работников 10 структурногоподразделения;- перехват информации по техническим каналам;- несанкционированное включение средств электронно- 4вычислительной техники, подключенных к АИТС, в локальные иликорпоративные сети других организаций, а также во внешние 4 информационныесистемы и сети, включая сеть Интернет;- использование общедоступных незащищенных ресурсов и сервисовдля передачи защищаемой информации.- Источники угроз ИБ 4 делятся на три основных класса:- источники, связанные с действиями людей – внешние и внутренниенарушители;- источники, связанные с ненадежностью аппаратных средств,моральным старением и наличием ошибок в программном обеспечении;- источники, связанные с природными явлениями (стихийнымибедствиями) и неблагоприятными техногенными факторами.- В 10 качестве внешних нарушителей ИБ могут рассматриваться:- лица, не входящие в состав пользователей и 4 обслуживающегоперсонала 10 АИТС дорожного 4 уровня, и являющиеся, например, разработчикамиэтих систем, пользователями систем, сопряженных с АИТС дорожного уровня,работниками организаций, предоставляющих 4 структурному подразделениюуслуги на условиях аутсорсинга, пользователи сетей общего 4 пользования( например, сеть Интернет), которым предоставлен доступ к АИТС дорожногоуровня;- преступные группировки (или отдельные лица), 4 организующиепроведение противозаконных акций в отношении информационных 10 активовАИТС дорожного уровня;- организации (или отдельные лица), пытающиеся извлечь прибыль(выгоду) незаконным путем за счет 4 несанкционированного доступа кинформационным активам 10 СПДУ 4 или преследующие 10 иные цели.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
