При розробці комп’ютерних систем, вихід з ладу або помилки в роботі яких можуть привести до важких наслідків, питання комп’ютерної безпеки стають першочерговими. Відомо багато мер, спрямованих на попередження злочину. Виділимо з них технічні, організаційні й правові.

До технічних мір можна віднести захист від несанкціонованого доступу до системи, резервування особливо важливих комп’ютерних підсистем, організацію обчислювальних мереж з можливістю перерозподілу ресурсів у випадку порушення працездатності окремих ланок, установку встаткування виявлення й гасіння пожежі, устаткування виявлення води, вживання конструкційних заходів захисту від розкрадань, саботажу, диверсій, вибухів, установку резервних систем електроживлення, оснащення приміщень замками, установку сигналізації й багато чого інше

До організаційних мір віднесемо охорону обчислювального центра, ретельний підбор персоналу, виключення випадків ведення особливо важливих робіт тільки однією людиною, наявність плану відновлення працездатності центра після виходу його з ладу, організацію обслуговування обчислювального центра сторонньою організацією або особами, незацікавленими в прихованні фактів порушення роботи центра, універсальність засобів захисту від всіх користувачів (включаючи вище керівництво), покладання відповідальності на особи, які повинні забезпечити безпека центра, вибір місця розташування центра й т.п.

До правових мір варто віднести розробку норм, що встановлюють відповідальність за комп’ютерні злочини, захист авторських прав програмістів, удосконалювання карного й цивільного законодавства, а також судочинства. До правових мір ставляться також питання суспільного контролю за розроблювачами комп’ютерних систем і прийняття міжнародних договорів про їхні обмеження, якщо вони впливають або можуть вплинути на військові, економічні й соціальні аспекти життя країн, що містять угоду

При розгляді проблем захисту даних у мережі насамперед виникає питання про класифікацію збоїв і порушень прав доступу, які можуть привести до знищення або небажаної модифікації даних

Слід зазначити, що подібний розподіл досить умовно, оскільки сучасні технології розвиваються в напрямку сполучення програмних і апаратних засобів захисту. Найбільше поширення такі програмно-апаратні засоби одержали, зокрема, в області контролю доступу, захисту від вірусів і т.д.

Концентрація інформації в комп’ютерах - аналогічно концентрації готівки в банках - змушує усе більше підсилювати контроль із метою захисту інформації. Юридичні питання, приватна таємниця, національна безпека - всі ці міркування вимагають посилення внутрішнього контролю в комерційних і урядових організаціях. Роботи в цьому напрямку привели до появи нової дисципліни: безпека інформації. Фахівець в області безпеки інформації відповідає за розробку, реалізацію й експлуатацію системи забезпечення інформаційної безпеки, спрямованої на підтримку цілісності, придатності й конфіденційності накопиченої в організації інформації. У його функції входить забезпечення фізичної (технічні засоби, лінії зв’язку й вилучені комп’ютери) і логічної (дані, прикладні програми, операційна система) захисту інформаційних ресурсів

Складність створення системи захисту інформації визначається тим, що дані можуть бути викрадені з комп’ютера й одночасно залишатися на місці; цінність деяких даних полягає у володінні ними, а не в знищенні або зміні

Забезпечення безпеки інформації - дорога справа, і не стільки через витрати на закупівлю або установку засобів, скільки через те, що важко кваліфіковано визначити границі розумної безпеки й відповідної підтримки системи в працездатному стані

Якщо локальна мережа розроблялася з метою спільного використання ліцензійних програмних засобів, дорогих кольорових принтерів або більших файлів загальнодоступної інформації, те немає ніякої потреби навіть у мінімальних системах шифрування/дешифрування інформації

Засобу захисту інформації не можна проектувати, купувати або встановлювати доти, поки не зроблений відповідний аналіз. Аналіз ризику повинен дати об’єктивну оцінку багатьох факторів (схильність появі порушення роботи, імовірність появи порушення роботи, збиток від комерційних втрат, зниження коефіцієнта готовності системи, суспільні відносини, юридичні проблеми) і надати інформацію для визначення підходящих типів і рівнів безпеки. Комерційні організації все більшою мірою переносять критичну корпоративну інформацію з більших обчислювальних систем у середовище відкритих систем і зустрічаються з новими й складними проблемами при реалізації й експлуатації системи безпеки. Сьогодні усе більше організацій розвертають потужні розподілені бази даних і додатка клієнт/сервер для керування комерційними даними. При збільшенні розподілу зростає також і ризик неавторизованого доступу до даних і їх перекручування

Шифрування даних традиційно використовувалося урядовими й оборонними департаментами, але у зв’язку зі зміною потреб і деякі найбільш солідні компанії починають використовувати можливості, надавані шифруванням для забезпечення конфіденційності інформації

Фінансові служби компаній (насамперед у США) представляють важливу й більшу користувальницьку базу й часто специфічні вимоги пред’являються до алгоритму, використовуваному в процесі шифрування. Опубліковані алгоритми, наприклад DES (див. нижче), є обов’язковими. У той же час, ринок комерційних систем не завжди вимагає такого строгого захисту, як урядові або оборонні відомства, тому можливо застосування продуктів і іншого типу, наприклад PGP (Pretty Good Privacy).

Шифрування даних може здійснюватися в режимах On-line (у темпі надходження інформації) і Off-line (автономному). Зупинимося докладніше на першому типі, що представляє великий інтерес. Найпоширенішийо два алгоритми

Стандарт шифрування даних DES (Data Encryption Standart) був розроблений фірмою IBM на початку 70-х років і в цей час є урядовим стандартом для шифрування цифрової інформації. Він рекомендований Асоціацією Американських Банкірів. Складний алгоритм DES використовує ключ довжиною 56 біт і 8 битов перевірки на парність і жадає від зловмисника перебору 72 квадрилионов можливих ключових комбінацій, забезпечуючи високий ступінь захисту при невеликих витратах. При частій зміні ключів алгоритм задовільно вирішує проблему перетворення конфіденційної інформації внедоступную.

Алгоритм RSA був винайдений Ривестом, Шамиром і Альдеманом в 1976 році і являє собою значний крок у криптографії. Цей алгоритм також був прийнятий як стандарт Національним Бюро Стандартів

DES, технічно є СИМЕТРИЧНИМ алгоритмом, а RSA -

- АСИМЕТРИЧНИМ, тобто він використовує різні ключі при шифруванні й дешифруванні. Користувачі мають два ключі й можуть широко поширювати свій відкритий ключ. Відкритий ключ використовується для шифруванням повідомлення користувачем, але тільки певний одержувач може дешифрувати його своїм секретним ключем; відкритий ключ марний для дешифрування. Це робить непотрібними секретні угоди про передачу ключів між кореспондентами. DES визначає довжину даних і ключа в бітах, а RSA може бути реалізований при будь-якій довжині ключа. Ніж длиннее ключ, тим вище рівень безпеки (але стає длительнее й процес шифрування й дешифрування). Якщо ключі DES можна згенерувати за мікросекунди, то зразковий час генерації ключа RSA - десятки секунд. Тому відкриті ключі RSA воліють розроблювачі програмних засобів, а секретні ключі DES - розроблювачі апаратури

Кабельна система залишається головної “ахилессовой п’ятої” більшості локальних обчислювальних мереж: за даними різних досліджень, саме кабельна система є причиною більш ніж половини всіх відмов мережі. У зв’язку із цим кабельній системі повинне приділятися особлива увага із самого моменту проектування мережі

Щонайкраще позбавити себе від “головного болю” із приводу неправильної прокладки кабелю є використання получивших широке поширення останнім часом так званих структурованих кабельних систем, що використовують однакові кабелі для передачі даних у локальній обчислювальній мережі, локальної телефонної мережі, передачі відеоінформації або сигналів від датчиків пожежної безпеки або охоронних систем

Pages: 1 2 3