Інформаційні системи в менеджменті

118. Питання безпеки та контролю інформаційних систем

Інформаційна безпека — стан інформації, в якому забезпечується збереження визначених політикою безпеки властивостей інформації.
По суті, реалізація політик і процедур безпеки покликана надавати інформацію адміністраторам, користувачам і операторам про те як правильно використовувати готові рішення для підтримки безпеки.
Об'єктивно категорія «інформаційна безпека» виникла з появою засобів інформаційних комунікацій між людьми, а також з усвідомленням людиною наявності у людей і їхніх співтовариств інтересів, яким може бути завданий збитку шляхом дії на засоби інформаційних комунікацій, наявність і розвиток яких забезпечує інформаційний обмін між всіма елементами соціуму.
Широке впровадження інформаційних технологій у життя сучасного суспільства привело до появи ряду загальних проблем інформаційної безпеки:
• необхідно гарантувати безперервність і коректність функціонування найважливіших інформаційних систем (ІС), що забезпечують безпеку людей і екологічної обстановки;
• необхідно забезпечити захист майнових прав громадян, підприємств і держави відповідно до вимог цивільного, адміністративного і господарського права (включаючи захист секретів і інтелектуальної власності);
• необхідно захистити цивільні права і волі, гарантовані чинним законодавством (включаючи право на доступ до інформації).
Потенційна уразливість ІС стосовно випадкових і навмисних негативних впливів висунула проблеми інформаційної безпеки в розряд найважливіших, стратегічних, таких, що визначають принципову можливість і ефективність застосування ряду ІС у цивільних і військових галузях.
Вимоги по забезпеченню безпеки в різних ІС можуть істотно відрізнятися, однак вони завжди спрямовані на досягнення трьох основних властивостей:
• цілісність - інформація, на основі якої приймаються рішення, повинна бути достовірної і точної, захищеної від можливих ненавмисних і злочинних перекручень;
• приступність (готовність) - інформація і відповідні автоматизовані служби повинні бути доступні, готові до роботи завжди, коли в них виникає необхідність;
• конфіденційність - засекречена інформація повинна бути доступна тільки тому, кому вона призначена.
Для вирішення проблем інформаційної безпеки необхідне сполучення законодавчих, організаційних, технологічних і стандартизаційних заходів.
Так склалося, що основна увага в теорії і практиці забезпечення безпеки застосування інформаційних технологій і систем зосереджено на захисті від злочинних руйнувань, перекручень і розкрадань програмних засобів і інформації баз даних. Для цього розроблені і розвиваються проблемно-орієнтовані методи і засоби захисту:
• від несанкціонованого доступу;
• від різних типів вірусів;
• від витоку інформації по каналах електромагнітного випромінювання і т.д.
При цьому мається на увазі наявність облич, зацікавлених у доступі до програм і даних з метою їхнього несанкціонованого використання, розкрадання, чи перекручування знищення.
У той же час, на реальні складні системи впливають і випадкові (ненавмисні) дестабілізуючі фактори, здатні викликати аномалії функціонування і навіть катастрофічні наслідки, часом більш важкі, чим наслідки злочинних дій.
Ціль роботи - розкрити суть проблеми технологічної безпеки, конкретизувати дестабілізуючі фактори і представити основні методи, здатні значно підвищити захищеність ІС. Ця проблема в значній мірі зважується за допомогою методів, засобів і стандартів, що підтримують системний аналіз, технологію розробки і супроводи БД.
Для досягнення поставленої мети в наступних розділах розглядаються вихідні дані і фактори, що визначають технологічну безпеку складних інформаційних систем:
• показники, що характеризують технологічну безпеку інформаційних систем;
• вимоги, пропоновані до архітектури БД для забезпечення безпеки ІС;
• ресурси, необхідні для забезпечення технологічної безпеки ІС;
• внутрішні і зовнішні дестабілізуючі фактори, що впливають на безпеку функціонування програмних засобів і баз даних;
• методи і засоби запобігання і зниження впливу погроз безпеки ІС з боку дефектів програм і даних;
• оперативні методи і засоби підвищення технологічної безпеки функціонування БД шляхом введення в ІС тимчасовій, програмній і інформаційній надмірності;
• методи і засоби визначення реальної технологічної безпеки функціонування критичних ІС.
Найбільше повно безпека ІС характеризує величина збитку, можливого при прояві дестабілізуючих факторів і реалізації конкретних погроз безпеки, а також середній час між проявами погроз, що порушують безпеку. Однак описати і виміряти в досить загальному виді можливий збиток при порушенні безпеки для критичних ІС різних класів практично неможливо, тому реалізації погроз доцільно характеризувати інтервалами часу між їхніми проявами, чи наробітком на відмовлення, що відбиваються на безпеці.