Презентация. ТЕМА. ЗАЩИЩЕННАЯ АВТОМАТИЗИРОВАННАЯ СИСТЕМА

• 1 слайд

  Преподаватель: Захарова Юлия Владимировна
   
  РАЗДЕЛ 1. ОСНОВНЫЕ ПРИНЦИПЫ ПРОГРАММНОЙ И ПРОГРАММНО-АППАРАТНОЙ ЗАЩИТЫ ИНФОРМАЦИИ
  
  ТЕМА 1. ЗАЩИЩЕННАЯ АВТОМАТИЗИРОВАННАЯ СИСТЕМА
  

• 2 слайд

  1.Автоматизация процесса обработки информации. Понятие автоматизированной системы
  Под системой понимают любой объект, который одновременно рассматривается и как единое целое, и как объединенная в интересах достижения поставленных целей совокупность разнородных элементов.
  

• 3 слайд

  1.Автоматизация процесса обработки информации. Понятие автоматизированной системы
  Информационная система - взаимосвязанная совокупность средств, методов и персонала, используемых для хранения, обработки и выдачи информации в интересах достижения поставленной цели.
  
  Автоматизированная система (АС) - система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций.
  
  Автоматизированная система = персонал + техника + документация.
  
  Определение автоматизированной системы взято из ГОСТ 34.003-90 "Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения", который был введен в действие в 1992 году.
  

• 4 слайд

  Классификация АИС
  АИС
  по сфере функционирования объекта управления
  по видам процессов управления
  по уровню в системе государственного управления.
  АИС: промышленности, сельского хозяйства, транспорта, связи и т. д.
  АИС управления технологическими процессами;
  АИС организационного управления объектом;
  АИС научных исследований;
  обучающие АИС
  Отраслевые АИС
  Территориальные АИС
  Межотраслевые АИС
  

• 5 слайд

  Классификация АИС
  В зависимости от уровня обслуживания производственных процессов на предприятии сама АИС или ее составная часть (подсистемы) могут быть отнесены к различным классам:
  

• 6 слайд

  2. Особенности автоматизированных систем в защищенном исполнении. Основные виды АС в защищенном исполнении.
  

• 7 слайд

  2. Особенности автоматизированных систем в защищенном исполнении. Основные виды АС в защищенном исполнении.
  Автоматизированная система в защищенном исполнении – это автоматизированная система, реализующая информационную технологию выполнения установленных функций в соответствии с требованиями стандартов и/или нормативных документов по защите информации.
  
  Система защиты информации автоматизированной системы - это совокупность организационных мероприятий, технических, программных и программно-технических средств защиты информации и средств контроля эффективности защиты информации
  

• 8 слайд

  Защита информации в АСЗИ должна быть:
  ·  целенаправленной
  осуществляемой в интересах реализации конкретной цели защиты информации в АСЗИ
  ·  комплексной
  осуществляемой в интересах защиты всего многообразия структурных элементов АСЗИ от всего спектра опасных для АСЗИ угроз
  ·  управляемой
  осуществляемой на всех стадиях жизненного цикла АСЗИ
  ·  гарантированной
  методы и средства защиты информации должны обеспечивать требуемый уровень защиты информации от ее утечки по техническим каналам, несанкционированного доступа к информации, несанкционированным и непреднамеренным воздействиям на нее, независимо от форм ее представления
  

• 9 слайд

  Функции АС в защищенном исполнении
  ·  предупреждение о появлении угроз безопасности информации;
  ·  обнаружение, нейтрализацию и локализацию воздействия угроз безопасности информации;
  ·  управление доступом к защищаемой информации;
  ·  восстановление системы защиты информации и защищаемой информации после воздействия угроз;
  ·  регистрацию событий и попыток несанкционированного доступа к защищаемой информации и несанкционированного воздействия на нее;
  ·  обеспечение контроля функционирования средств и системы защиты информации и немедленное реагирование на их выход из строя.
  

• 10 слайд

  классы защищенности автоматизированных систем от несанкционированного доступа к информации
  

• 11 слайд

  Регуляторы в области защиты персональных данных
  

• 12 слайд

  Федеральная служба по техническому и экспортному контролю (ФСТЭК)
  http://www.fstec.ru/
  представлены материалы по сертификации средств защиты по требованиям безопасности информации
  

• 13 слайд

  3. Методы создания безопасных систем. Методология проектирования гарантированно защищенных кс
  

• 14 слайд

  3. Методы создания безопасных систем. Методология проектирования гарантированно защищенных кс
  Защита информации в КС – комплекс организационных, организационно-технических и технических мер, предотвращающих или снижающих возможность образования каналов утечки информации и/или каналов воздействия на КС.
  

• 15 слайд

  3. Методы создания безопасных систем. Методология проектирования гарантированно защищенных кс
  

• 16 слайд

  3. Методы создания безопасных систем. Методология проектирования гарантированно защищенных кс
  Управление доступом — методы защиты информации регулированием использования всех ресурсов ИС. Эти методы должны противостоять всем возможным путям несанкционированного доступа к информации.
  Функции защиты:
  • идентификацию пользователей, персонала и ресурсов системы (присвоение каждому объекту персонального идентификатора);
  • аутентификацию для опознания, установления подлинности пользователя по предъявленному им идентификатору;
  • проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту);
  • разрешение и создание условий работы в пределах установленного регламента;
  • регистрацию (протоколирование) обращений к защищаемым ресурсам;
  • реагирование (сигнализация, отключение, задержка работ, отказ в запросе и т.п.) при попытках несанкционированных действий.
  

• 17 слайд

  3. Методы создания безопасных систем. Методология проектирования гарантированно защищенных кс
  Препятствие — метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.д.).
  
  Маскировка/Шифрование — криптографическое закрытие информации. Эти методы защиты все шире применяются как при обработке, так и при хранении информации на магнитных носителях. При передаче информации по каналам связи большой протяженности этот метод является единственно надежным.
  

• 18 слайд

  3. Методы создания безопасных систем. Методология проектирования гарантированно защищенных кс
  Регламентация — создание таких условий автоматизированной обработки, хранения и передачи защищаемой информации, при которых нормы и стандарты по защите выполняются в наибольшей степени.
  

• 19 слайд

  3. Методы создания безопасных систем. Методология проектирования гарантированно защищенных кс
  Принуждение — такой метод защиты, при котором пользователи и персонал АС вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.
  
  Побуждение — такой метод защиты, который побуждает пользователей и персонал АС не нарушать установленные порядки за счет соблюдения сложившихся моральных и этических норм.
  

• 20 слайд

  3. Методы создания безопасных систем. Методология проектирования гарантированно защищенных кс
  Аппаратные средства — устройства, встраиваемые непосредственно в вычислительную технику, или устройства, которые сопрягаются с ней по стандартному интерфейсу.
  

• 21 слайд

  3. Методы создания безопасных систем. Методология проектирования гарантированно защищенных кс
  Физические средства включают различные инженерные устройства и сооружения, препятствующие физическому проникновению злоумышленников на объекты защиты и осуществляющие защиту персонала, материальных средств и финансов, информации от противоправных действий.
  

• 22 слайд

  3. Методы создания безопасных систем. Методология проектирования гарантированно защищенных кс
  Программные средства — специализированные программы и программные комплексы, предназначенные для защиты информации в АС.
  

• 23 слайд

  3. Методы создания безопасных систем. Методология проектирования гарантированно защищенных кс
  Организационные средства осуществляют своим комплексом регламентацию производственной деятельности в ИС и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к конфиденциальной информации становится невозможным или существенно затрудняется за счет проведения организационных мероприятий.
  

• 24 слайд

  3. Методы создания безопасных систем. Методология проектирования гарантированно защищенных кс
  Законодательные средства защиты определяются законодательными актами страны, которыми регламентируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.
  Морально-этические средства защиты включают всевозможные нормы поведения, которые традиционно сложились ранее, складываются по мере распространения АС в стране и в мире или специально разрабатываются. Морально-этические нормы могут быть неписаные (например, честность) либо оформленные в некий свод (устав) правил или предписаний.
  

• 25 слайд

  3. Методы создания безопасных систем. Методология проектирования гарантированно защищенных кс
  Законодательные средства защиты определяются законодательными актами страны, которыми регламентируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.
  

• 26 слайд

  4. Модели управления доступом: дискретная, мандатная
  

• 27 слайд

  Дискреционное управление доступом
  Дискреционное управление доступом - это метод ограничения доступа к объектам, который основан на том, что некоторый субъект может по своему усмотрению давать другим субъектам или отбирать у них права доступа к объекту.
  

• 28 слайд

  Дискреционное управление доступом
  Пример: когда вы расписываете доступ к файлу, вы указываете
  1.имя владельца файла (субъект)
  2.права на чтение
  3.права на запись
  4.права на запуск на выполнение
  Примеры субъектов:
  •пользователь
  •программа выполняющаяся под
  именем пользователя
  
  Примеры объектов:
  •файлы
  •каталоги
  •внешние накопители
  •принтер
  •сетевой адаптер
  
  

• 29 слайд

  Дискреционное управление доступом
  Текущее состояние прав доступа в случае дискреционного управления доступом описывается матрицей, в строках которой перечислены субъекты, а в столбцах - объекты. В клетках, расположенных на пересечении строк и столбцов, записываются способы доступа для субъекта по отношению к объекту
  

• 30 слайд

  Дискреционное управление доступом
  Субъект: администратор, пользователи
  Объект: Программа, принтер, съемный носитель
  Права доступа: Чтение, запись, выполнение, печать, управление очередью
  

• 31 слайд

  Дискреционное управление доступом
  Субъект: Иванов, Петров, Сидоров
  Объект: Лекция.txt, win.exe, презентация.ppt, ПР.bdf
  Права доступа: Чтение, запись, выполнение, создание
  

• 32 слайд

  Дискреционное управление доступом
  Достоинства:
  •простата реализации
  •гибкость (пользователь может описать доступ к своим ресурсам)
  
  Недостатки:
  •излишняя детализированность (приводит к запутанности)
  •сложность администрирования
  •пользователь может допустить ошибку при назначении прав
  

• 33 слайд

  Мандатная (многоуровневая) модель доступа
  Многоуровневые модели предполагают формализацию процедуры назначения прав доступа посредством использования так называемых конфиденциальности или мандатов, назначаемых субъектам и объектам доступа.
  Так, для субъекта доступа метки, например, могут определяться в соответствии с уровнем допуска лица к информации, а для объекта доступа (собственно данные) - признаками конфиденциальности информации. Признаки конфиденциальности фиксируются в метке объекта.
  

• 34 слайд

  Мандатная (многоуровневая) модель доступа
  Требования :
  1. Каждому субъекту и объекту доступа должны сопоставляться классификационные метки, отражающие их место в соответствующей иерархии. Посредством этих меток субъектам и объектам должны назначаться классификационные уровни. Данные метки должны служить основой мандатного принципа разграничения доступа.
  2. Система защиты при вводе новых данных в систему должна запрашивать и получать от санкционированного пользователя классификационные метки этих данных. При санкционированном занесении в список пользователей нового субъекта ему должны назначаться классификационные метки.
  

• 35 слайд

  Мандатная (многоуровневая) модель доступа
  

• 36 слайд

  Мандатная (многоуровневая) модель доступа
  

• 37 слайд

  Мандатная (многоуровневая) модель доступа
  Достоинства:
  •простота построения общей схемы доступа
  •простота администрирования
  
  Недостатки:
  •проблема разграничения пользователей одного уровня
  •пользователь не может назначать доступ к объекту
  

• 38 слайд

  Спасибо за внимание!