Кризис информационной безопасности

Введение. 3

Лекция 1. Механика. Акустика. 4

1.1. Биофизика – как наука. Практические задачи. Методы исследования. 4

1.2. Механическая работа животного. Эргометрия. 4

1.3. Перегрузки и невесомость. 5

1.4. Вестибулярный аппарат как инерциальная система ориентации. 6

1.5. Свободные и вынужденные механические колебания. 7

1.6. Природа звука и его физические характеристики. 8

1.7. Физика слуха. 8

1.8. Ультразвук и его применение в медицинских целях. 10

1.9. Инфразвук. Вибрации. 10

Вопросы для самоконтроля. 11

Список литературы.. 11

Лекция 2. Течение и свойства жидкостей. 12

2.1 Вязкость жидкости. Уравнение Ньютона. Закон Пуазейля. 12

2.2. Движение тел в вязкой жидкости. Закон Стокса. 12

2.3. Клинический метод определения вязкости жидкости. 14

2.4. Турбулентное течение. Число Рейнольдса. 15

2.5. Поверхностное натяжение. Смачивание и несмачивание. Капиллярные
явления. 15

2.6. Эмболия. 17

Вопросы для самоконтроля. 17

Список литературы.. 17

Лекция 3. Термодинамика. Физические процессы в биологических мембранах. 19

3.1. Основные понятия термодинамики. Первое и второе начала термодинамики. 19

3.2. Энтропия. Принцип минимума производства энергии. 20

3.3. Организм как открытая система. 21

3.4. Некоторые физические свойства и параметры мембран. 22

3.5. Перенос молекул через мембраны. Уравнение Фика. 23

Вопросы для самоконтроля. 25

Список литературы.. 25

Лекция 4. Электродинамика. 26

4.1. Электрическое поле и его характеристики. 26

4.2. Физические основы электрокардиографии. 28

4.3. Электропроводимость биологических тканей и жидкостей при
постоянном токе. 29

4.4. Электрический ток в газах. 30

4.5. Аэроионы и их лечебно-профилактическое действие. 30

4.6. Магнитное поле и его характеристики. 31

4.7. Магнитные свойства тканей организма. Биомагнетизм.. 31

4.8. Переменный электрический ток. 32

Вопросы для самоконтроля. 34

Список литературы.. 34

Лекция 5. Оптика. Тепловое излучение. 35

5.1. Природа света. Принцип Гюйгенса-Френеля. 35

5.2. Интерференция. 36

5.3. Дифракция. 37

5.4. Поляризация. 38

5.5. Исследование биологических тканей в поляризованном свете. 39

5.6. Оптическая система глаза. 40

5.7. Тепловое излучение тел. 41

5.8. Теплоотдача организма. 42

Вопросы для самоконтроля. 43

Список литературы.. 43

Лекция 6. Физика атомов и молекул. Элементы квантовой биофизики. 44

6.1. Гипотеза де Бройля. 44

6.2. Строение атома. Постулаты Бора. 44

6.3. Энергетические уровни атомов. 45

6.4. Виды излучений. 47

6.5. Люминесценция. 48

6.6. Фотобиологические процессы.. 48

Вопросы для самоконтроля. 49

Список литературы.. 49

Лекция 7. Ионизирующее излучение. Основы дозиметрии. 50

7.1. Рентгеновское излучение. Тормозное рентгеновское излучение. 50

7.2. Взаимодействие рентгеновского излучения с веществом.. 52

7.3. Радиоактивность. Закон радиоактивного распада. 53

7.4. Взаимодействие ионизирующего излучения с веществом.. 54

7.5. Использование радионуклидов и нейтронов в медицине. 56

Вопросы для самоконтроля. 57

Список литературы.. 58

Библиографический список. 59

Содержание …………………………………………………………………………………60

СОДЕРЖАНИЕ

Лекция 1. ЗАЩИЩЕННАЯ ИНФОРМАЦИОННАЯ СИСТЕМА.. 3

Лекция 2. НОРМАТИВНОЕ ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ.. 16

Лекция 3. НАРУШЕНИЯ БЕЗОПАСНОСТИ.. 34

Лекция 4. ДОВЕРЕННОЕ ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ ОПЕРАЦИОННЫХ СИСТЕМ 40

Лекция 5. БАЗОВЫЕ МЕХАНИЗМЫ БЕЗОПАСНОСТИ ОС СЕМЕЙСТВА WINDOWS. 46

Лекция 6. ОРГАНИЗАЦИЯ КОНТРОЛЯ БЕЗОПАСНОСТИ В ОС СЕМЕЙСТВА WINDOWS 55

Лекция 7. ЗАЩИТА ХРАНИМОЙ И ПЕРЕДАВАЕМОЙ ИНФОРМАЦИИ ОГРАНИЧЕННОГО ДОСТУПА ОС СЕМЕЙСТВА WINDOWS. 64

Лекция 8. МЕХАНИЗМЫ КОНТРОЛЯ ЦЕЛОСТНОСТИ В ОС СЕМЕЙСТВА WINDOWS 73

Лекция 9. ЗАЩИТА СЕРВЕРНЫХ СЛУЖБ WINDOWS. 82

Лекция 10. ОБЕСПЕЧЕНИЕ ФИЗИЧЕСКОЙ БЕЗОПАСНОСТИ UNIX-СИСТЕМ... 91

Лекция 11. МЕХАНИЗМ АУТЕНТИФИКАЦИИ В ОС UNIX.. 99

Лекция 12. РАЗГРАНИЧЕНИЕ ДОСТУПА В ОС UNIX.. 107

Лекция 13. СПОСОБЫ УСИЛЕНИЯ ЗАЩИТЫ ОС.. 115

Лекция 14. МОНИТОРИНГ СОБЫТИЙ БЕЗОПАСНОСТИ СРЕДСТВАМИ UNIX-СИСТЕМ 124

Лекция 15. ЗАЩИТА СЕТЕВЫХ ВЗАИМОДЕЙСТВИЙ В UNIX-СИСТЕМАХ.. 133

Лекция 16. БЕЗОПАСНОСТЬ УРОВНЯ ПРИЛОЖЕНИЙ.. 141

Лекция 17. КОНТРОЛЬ ЗАЩИЩЕННОСТИ ОС.. 149

Лекция 1.

ЗАЩИЩЕННАЯ ИНФОРМАЦИОННАЯ СИСТЕМА

Кризис информационной безопасности

Жизнь современного общества немыслима без повсеместного применения информационных технологий. Компьютеры обслуживают банковскую систему, контролируют работу атомных реакторов, распределяют энергию, следят за расписанием поездов, управляют самолетами и космическими кораблями. Сегодня компьютерные системы и телекоммуникации определяют надежность систем обороны и безопасности страны, реализуют современные информационные технологии, обеспечивая хранение информации, ее обработку, доставку и представление потребителям.

Однако именно высочайшая степень автоматизации, к которой стремится современное общество, ставит его в зависимость от уровня безопасности используемых информационных технологий, обеспечивающих благополучие и даже жизнь множества людей. Действительно, массовое применение компьютерных систем, позволившее решить задачу автоматизации процессов обработки постоянно нарастающих объемов информации, сделало эти процессы чрезвычайно уязвимыми по отношению к агрессивным воздействиям и поставило перед потребителями информационных технологий новую проблему, — проблему информационной безопасности.

Примеры, подтверждающие актуальность этой проблемы, можно во множестве найти на страницах многочисленных изданий и еще больше на “страницах” Internet. Не будем отвлекать внимание читателя на изложение скандальных фактов нарушения безопасности, оценку принесенного ущерба и описание хитроумных уловок компьютерных нарушителей. Приведем только некоторые факты, свидетельствующие об актуальности проблемы безопасности информационных технологий. Каждые двадцать секунд в Соединенных Штатах происходит преступление с использованием программных средств. В более 80% компьютерных преступлений, расследуемых ФБР, “взломщики” проникают в атакуемую систему через глобальную сеть Internet. Последние оценки исчисляют потери от хищения или повреждения компьютерных данных в 100 млн. долларов за год, но точная статистика не поддается учету. Во многих случаях организации не знают о том, что вторжение имело место, — информация воруется незаметно, и похитители гениально заметают свои следы.

Сложившаяся в сфере безопасности информационных технологий ситуация еще раз подтверждает давно известную неприятную особенность технического прогресса порождать в ходе решения одних проблем новые, иногда даже более сложные. Положение с безопасностью в сфере обработки информации настолько критическое, что невольно закрадывается сомнение, не является ли верным старый тезис о том, что в каждом из значительных, эпохальных достижений технического прогресса таится некий деструктивный фактор, ограничивающий сферу его применения, и даже на каком-то этапе обращающий это достижение не во благо, а во вред человечеству. Во всяком случае, сегодня одним из основных аргументов консервативных оппонентов популяризации информационных технологий служит не нашедшая на сегодняшний день своего решения проблема безопасности этих технологий, или, если точнее, их небезопасности.

Таким образом, опыт эксплуатации существующих компьютерных систем обработки информации показывает, что проблема обеспечения безопасности еще далека от своего решения, а предлагаемые производителями различных систем средства защиты сильно различаются как по решаемым задачам и используемым методам, так и по достигнутым результатам.

Все вышесказанное определяет актуальность проблемы построения защищенных систем, решение которой следует начать с анализа причин сложившейся ситуации.

Проблема безопасности информационных технологий возникла на пересечении двух активно развивающихся и, наверное, самых передовых в плане использования технических достижений направлений — безопасности технологий и информатизации. Сама проблема безопасности, конечно, не является новой, ведь обеспечение собственной безопасности — задача первостепенной важности для любой системы независимо от ее сложности и назначения будь то социальное образование, биологический организм или система обработки информации. Однако, в условиях, когда защищаемый объект представляет собой информационную систему, или когда средства нападения имеют форму информационных воздействий, необходимо разрабатывать и применять совершенно новые технологии и методы защиты.

Не останавливаясь на социальных, правовых и экономических аспектах данной проблемы, систематизируем научные и технические предпосылки сложившейся кризисной ситуации с обеспечением безопасности информационных технологий.

1. Современные компьютеры за последние годы приобрели гигантскую вычислительную мощь, но одновременно с этим (что на первый взгляд парадоксально!) стали гораздо проще в эксплуатации. Это означает, что пользоваться ими стало намного легче, поэтому все большее количество новых, как правило, неквалифицированных людей получает доступ к компьютерам, что приводит к снижению средней квалификации пользователей. Эта тенденция существенно облегчает задачу нарушителям, т. к. в результате “персонализации” средств вычислительной техники большинство пользователей имеют личные компьютеры и осуществляют их администрирование самостоятельно. Большинство из них не в состоянии постоянно поддерживать безопасность своих систем на должном уровне, т. к. это требует соответствующих знаний, навыков, а также времени и средств. Повсеместное распространение сетевых технологий объединило отдельные машины в локальные сети, совместно использующие общие ресурсы, а применение технологий клиент-сервер и кластеризации преобразовало такие сети в распределенные вычислительные среды. Безопасность сети определяется защищенностью всех входящих в нее компьютеров и сетевого оборудования, и злоумышленнику достаточно нарушить работу только одного компонента, чтобы скомпрометировать всю сеть. Современные телекоммуникационные технологии объединили локальные компьютерные сети в глобальную информационную среду. Это привело к появлению такого уникального явления, как Internet. Именно развитие Internet вызвало всплеск интереса к проблеме информационной безопасности и поставило вопрос об обязательном наличии средств защиты у сетей и систем, подключенных к Internet, независимо от характера обрабатываемой в них информации. Дело в том, что Internet (кроме всего прочего) обеспечивает широкие возможности злоумышленникам для осуществления нарушений безопасности в глобальном масштабе. Если компьютер, который является объектом атаки, подключен к Internet, то для атакующего не имеет большого значения, где он находится — в соседней комнате или на другом континенте.

2. Прогресс в области аппаратных средств сочетается с еще более бурным развитием программного обеспечения. Как показывает практика, большинство распространенных современных программных средств, в первую очередь операционных систем, не отвечает даже минимальным требованиям безопасности, хотя их разработчики в последнее время и осуществляют определенные усилия в этом направлении. В первую очередь это выражается в наличии изъянов в работе средств защиты и наличии огромного числа различных “недокументированных” возможностей. После их обнаружения многие изъяны ликвидируются с помощью обновления версий или дополнительных средств, однако то постоянство, с которым обнаруживаются все новые и новые изъяны, не может не вызывать опасений. В настоящий момент можно констатировать, что большинство систем предоставляют злоумышленникам широкие возможности для осуществления нарушений.

3. Развитие гибких и мобильных технологий обработки информации привело к тому, что практически исчезает грань между обрабатываемыми данными и исполняемыми программами за счет появления и широкого распространения виртуальных машин и интерпретаторов. Теперь любое развитое приложение от текстового процессора (MS Word) до броузера Internet (Java) не просто обрабатывает данные, а интерпретирует интегрированные в них инструкции специальных языков программирования, т. е. по сути дела является отдельной машиной с привычной фон-неймановской архитектурой, для которой можно создавать средства нападения, вирусы и т.д. Это увеличивает возможности злоумышленников по созданию средств внедрения в чужие системы и затрудняет задачу защиты подобных систем, т. к. наличие таких "вложенных" систем требует и реализации защиты для каждого уровня.

4. Несоответствие бурного развития средств обработки информации и медленной проработки теории информационной безопасности привело к появлению существенного разрыва между теоретическими моделями безопасности, оперирующими абстрактными понятиями типа объект, субъект и т. д., и реальными категориями современных информационных технологий. Кроме того, многие средства защиты, например, средства борьбы с компьютерными вирусами и системы защиты корпоративных сетей firewall на данный момент вообще не имеют системной научной базы. Такое положение является следствием отсутствия общей теории защиты информации, комплексных моделей безопасности обработки информации, описывающих механизмы действий злоумышленников в реальных системах, а также отсутствием средств, позволяющих эффективно промоделировать адекватность тех или иных решений в области безопасности. Следствием этого является то, что практически все системы защиты основаны на "латании дыр", обнаруженных в процессе эксплуатации, что предопределяет их отставание от динамично развивающихся угроз. В качестве примера можно привести распространенную практику закрытия “внезапно” обнаружившихся пробелов в системах защиты с помощью различных "заплаток" (т. н. patch, service pack и т.д.), характерную для большинства коммерческих систем. На практике отсутствие системной и научной базы информационной безопасности проявляется уже в том, что нет даже общепринятой терминологии, которая бы адекватно воспринималась всеми специалистами в области безопасности. Поэтому зачастую теория и практика действуют в разных плоскостях.

5. Необходимость создания глобального информационного пространства и обеспечение безопасности протекающих в нем процессов потребовала разработки международных стандартов, следование которым может обеспечить необходимый уровень гарантии обеспечения защиты. В современныхусловиях чрезвычайно важным является стандартизация не только требований безопасности, но и обоснование их применения, а также методов подтверждения адекватности реализованных средств защиты и корректности самой реализации. Существующие национальные стандарты пытались решить эту проблему, однако эти документы не могут претендовать на то, чтобы заложить фундамент безопасных информационных технологий будущего. В России официальным стандартом в этой области являются документы, Гостехкомиссии России, представляющие собой подражание зарубежным стандартам десятилетней давности. В условиях обвальной информатизации и компьютеризации важнейших сфер отечественной экономики и государственного аппарата нашей стране крайне необходимы новые решения в этой области.

Вследствие совокупного действия всех перечисленных факторов перед разработчиками современных информационных систем, предназначенных для обработки важной информации, стоят следующие задачи, требующие немедленного и эффективного решения:

1. Обеспечение безопасности новых типов информационных ресурсов. Поскольку компьютерные системы теперь напрямую интегрированы в информационные структуры современного общества, средства защиты должны учитывать современные формы представления информации (гипертекст, мультимедиа и т. д.). Это означает, что системы защиты должны обеспечивать безопасность на уровне информационных ресурсов, а не отдельных документов, файлов или сообщений.

2. Организация доверенного взаимодействия сторон (взаимной идентификации/аутентификации) в информационном пространстве. Развитие локальных сетей и Internet диктует необходимость осуществления эффективной защиты при удаленном доступе к информации, а также взаимодействии пользователей через общедоступные сети. Причем требуется решить эту задачу в глобальном масштабе, несмотря на то, что участвующие стороны могут находиться в разных частях планеты, функционировать на различных аппаратных платформах и в разных операционных системах.

3. Защита от автоматических средств нападения. Опыт эксплуатации существующих систем показал, что сегодня от защиты требуются совершенно новые функции, а именно, механизмы, обеспечивающие безопасность системы в условиях возможного взаимодействия с ней, или появления внутри нее программ, осуществляющих деструктивные действия — компьютерных вирусов, автоматизированных средств взлома, агрессивных агентов. На первый взгляд кажется, что эта проблема решается средствами разграничения доступа, однако это не совсем так, что подтверждается известными случаями распространения компьютерных вирусов в “защищенных” системах.

4. Интеграция защиты информации в процесс автоматизации ее обработки в качестве обязательного элемента. Для того, чтобы быть востребованными современным рынком информационных систем средства безопасности не должны вступать в конфликт с существующими приложениями и сложившимися технологиями обработки информации, а, напротив, должны стать неотъемлемой частью этих средств и технологий.

Если эти задачи не будут решены, то дальнейшее распространение информационных технологий в сфере критических систем, обрабатывающих важную информацию, очень скоро окажется под угрозой. Наша страна благодаря тому, что проходит информатизацию “с нуля”, является полигоном для применения последних достижений информационных технологий, поэтому для нас решение задачи создания защищенных информационных систем актуально как нигде в мире.

Понятие "защищенная информационная система"

Любая цель может быть достигнута, и любые задачи могут быть успешно решены только в том случае, если есть четкое определение цели и задач, решаемых на пути к ней. Без этого невозможно ни определить правильный путь достижения цели, ни выбрать оптимальные методы решения возникающих задач, и, самое главное, невозможно доказать, что цель достигнута, и задачи успешно решены. Следовательно, прежде чем приступить к созданию защищенной системы, надо предварительно дать четкий и недвусмысленный ответ на вынесенный в название главы вопрос: что представляет собой защищенная система? Конструктивное определение этого понятия должно позволить определить, что входит в состав защищенной системы, какими свойствами она должна обладать, какие задачи необходимо решить, чтобы ее построить, и какие методы наиболее эффективны для их решения.

Многие полагают, что защищенная система — это система обработки информации, в состав которой включен тот или иной набор средств защиты. С нашей точки зрения это неправильный подход, т. к. наличие средств защиты является лишь необходимым условием и не может рассматриваться в качестве критерия защищенности системы от реальных угроз, поскольку безопасность не является абсолютной характеристикой и может рассматриваться только относительно некоторой среды, в которой действуют определенные угрозы. Поэтому мы считаем, что: защищенная информационная система для определенных условий эксплуатации обеспечивает безопасность (конфиденциальность и целостность) обрабатываемой информации и поддерживает свою работоспособность в условиях воздействия на нее заданного множества угроз.

Каким образом осуществляется защита — вопрос не принципиальный. Это определение содержит достаточное условие безопасности, позволяющее назвать систему защищенной. Кроме того, из него следует, что защищенность является качественной характеристикой системы, ее нельзя измерить в каких-либо единицах, более того, нельзя даже с однозначным результатом сравнивать уровень защиты двух систем — одна будет лучше обеспечивать безопасность обрабатываемой информации в одном случае, другая — в другом.

Безусловно, созданием защищенных систем занимаются уже достаточно давно, и на сегодняшний день у каждой группы специалистов, занимающихся проблемами безопасности информационных технологий, имеется свой взгляд на задачи средств защиты и методы достижения безопасности, и, следовательно, свое представление о том, что должна представлять собой защищенная система. Разумеется, любая точка зрения имеет право на существование и развитие, но нам кажется, что предложенное определение может объединить усилия всех специалистов в направлении конструктивной работы над созданием защищенных систем.

Взяв за основу предложенное определение, рассмотрим свойства, которыми должна обладать защищенная система.

Как и все автоматизированные (компьютерные) системы обработки информации, защищенные системы решают задачу автоматизации некоторого процесса обработки информации. Под процессом обработки информации мы понимаем действия, связанные с ее хранением, преобразованием и передачей. Следовательно, защищенная система — это, прежде всего, такое же средство автоматизации прикладного информационного процесса, также как и обычные, "незащищенные" информационные системы типа баз данных, систем передачи информации, поисково-информационных систем, систем обработки документов, мультимедиа и т. д.. Однако, в случае защищенной системы, даже если рассматривать ее только с этой точки зрения, существует еще один специфический аспект автоматизации — защищенные системы используются для автоматизации тех процессов, для которых безопасность играет существенную роль. Это процессы обработки т. н. конфиденциальной информации, — информации, разглашение, искажение или уничтожение которой наносит ущерб кому-либо (например, информация, представляющая собой государственную или коммерческую тайну). Причем, если подвергающийся автоматизации процесс предусматривал какие-либо меры защиты информации, то эквивалентные средства защиты должны быть реализованы и в автоматизированной информационной системе. Например, при автоматизации процесса обработки документов, содержащих конфиденциальную информацию, необходимо реализовать те правила обработки информации, которые регламентируются соответствующими стандартами. При этом потребители вправе требовать от разработчиков, чтобы в процессе автоматизации безопасность системы, по крайней мере, не ухудшилась.

Таким образом, можно сформулировать первое свойство защищенной системы:

Защищенная информационная система должна автоматизировать процесс обработки конфиденциальной информации, включая все аспекты этого процесса, связанные с обеспечением безопасности обрабатываемой информации.

Кроме традиционных свойств, которыми обладают автоматизированные системы — надежности, эффективности, удобства использования и т. д., защищенная система должна вдобавок обладать еще одним — свойством безопасности, которое является для нее самым главным.

Свойство обеспечения собственной безопасности присуще всем высокоорганизованным системам (как естественного, так и искусственного происхождения) и означает способность функционирования в условиях действия факторов, стремящихся нарушить работу системы. Эти факторы называют угрозами безопасности. Традиционно выделяют три вида угроз безопасности — угрозы конфиденциальности информации, угрозы целостности информации и угрозы отказа в обслуживании. При этом надо учитывать, что угрозы могут носить как случайный (объективный), так и целенаправленный (субъективный) характер. В случае компьютерных систем к первым относятся, например, сбои аппаратуры и изменения параметров внешней среды, т. е. факторы действующие "вслепую" и нецеленаправленно. Примером субъективных угроз являются атаки хакеров, "троянских коней", программ-вирусов и т. д. Механизм действий этих угроз коренным образом отличается, т. к. за ними стоят чья-то воля и интеллект, преследующие определенную цель. Противодействие объективным угрозам в большей степени относится к обеспечению надежности функционирования системы, в то время как противодействие субъективным угрозам представляет собой основную задачу безопасности. При этом необходимо учитывать как "традиционные" угрозы, направленные на автоматизируемый процесс обработки информации, так и те "новые" угрозы, которые появились в результате его автоматизации. Это означает, что система должна сохранить все возможности по противостоянию "унаследованным" угрозам безопасности и включить в свой состав дополнительные средства защиты, защищающие ее от новых угроз, появившихся после ее включения в пространство современных информационных технологий. Большинство проблем информационной безопасности, с которыми столкнулись пользователи автоматизированных систем, возникли именно после осуществления процесса автоматизации и являются его непосредственным следствием. Это объясняется тем, что автоматизация обработки информации неразрывно связана с отстранением человека от непосредственной работы с носителями информации, а также с невероятной гибкостью мощных компьютерных технологий, универсальность которых позволяет применять их как в целях защиты, так и для нападения. Действительно, в те времена, когда доступ к информации осуществлялся путем непосредственного контакта человека с бумажным документом, то, в общем случае, все угрозы безопасности сводились к двум основным: кража конфиденциальных документов и разглашение их содержания лицом, допущенным к работе с ними. В такой ситуации каждый человек, работающий с конфиденциальной информацией, был либо лоялен по отношению к принятым правилам работы, либо нет, т. к. непосредственно осуществлял обработку информации и действовал всегда либо в интересах одной стороны, либо в интересах другой. Процесс автоматизации привел к тому, что пользователи компьютерных систем не могут обрабатывать информацию непосредственно, они используют программные средства, которые должны осуществлять за них те или иные действия. При такой технологии пользователь отстраняется от процесса обработки информации и неявным образом передает свои полномочия программе, которая обладает некоторой свободой в своих действиях и совсем не обязательно делает то, что хочет или предполагает пользователь. Таким образом, возник принципиально новый класс угроз — т. н. "троянские кони" (это программы, которые обладают деструктивными функциями, маскируя их под полезные), присущий исключительно автоматизированным средствам обработки информации. Кроме того, чем дальше простирается процесс автоматизации, тем больше появляется возможностей для осуществления угроз, т. к. пользователь все больше отстраняется от процесса обработки информации и растет количество, сложность и универсальность используемых средств, которые могут быть задействованы для реализации угроз. Наконец, чем сложнее система, тем больше вероятность возникновения в ней ошибок и сбоев. Все это свидетельствует о том, что проблема безопасности во многом является непосредственным следствием автоматизации процессов обработки информации.

Таким образом, чтобы быть защищенной, компьютерная система должна успешно противостоять многочисленным и разнообразным угрозам безопасности, действующим в пространстве современных информационных технологий, и главным образом тем, которые носят целенаправленный характер. Следовательно, защищенная информационная система — это система, которая успешно и эффективно противостоит угрозам безопасности.

Наконец, поскольку проблема безопасности компьютерных систем изучается и прорабатывается уже достаточно давно, защищенная система должна соответствовать сложившимся требованиям и представлениям. Кроме того, необходимо обеспечить возможность сопоставления параметров и характеристик защищенных систем для того, чтобы их можно было сравнивать между собой. Для решения этой задачи и были разработаны стандарты информационной безопасности в виде соответствующих критериев и требований, регламентирующие подходы к информационной безопасности на государственном или межгосударственном уровне. Эти документы определяют понятие “защищенная система” посредством стандартизации требований и критериев безопасности, образующих шкалу оценки степени защищенности автоматизированных систем обработки информации. Наличие таких общепринятых стандартов позволяет согласовать подходы различных участников процесса создания защищенных систем (требования потребителей, технологии и методы производителей, критерии независимой экспертизы) и хотя бы качественно оценить обеспечиваемый уровень безопасности. При этом следует понимать, что все требования и критерии безопасности носят исключительно необходимый, но никак не достаточный характер, т. к. никакой сертификат соответствия стандартам не сможет защитить систему от реальных угроз.

Тем не менее, для того, чтобы существовала возможность оценить уровень безопасности, обеспечиваемый в защищенной системе, и сравнить ее возможности с другими, защищенная информационная система должна соответствовать требованиям и критериям стандартов информационной безопасности.

Поиск по сайту: