2.1. Основные проблемы информационной безопасности и пути их решения

Основные проблемы информационной безопасности и методика их решения

2.1. Основные проблемы информационной безопасности и пути их решения

      – информационно-вычислительные центры, их информационное, техническое, программное и нормативное обеспечение.

      – установленный регламент сбора, обработки, хранения и передачи информации, содержащейся в картотеках и автоматизированных банках данных и использующейся для расследования преступлений28.

§1.2. Виды угроз в системе информационной безопасности.

      Для того чтобы организовать безопасное хранение данных, первым делом нужно провести анализ угроз, для правильного проектирование схем информационной безопасности.29

      Угрозы информационной безопасности делятся на два основных типа – это естественные и искусственные угрозы. К естественным угрозам относятся пожары, наводнения, ураганы, удары молний и другие стихийные бедствия и явления, которые не зависят от человека. Наиболее частыми среди этих угроз являются пожары.

Для обеспечения безопасности информации, необходимым условием является оборудование помещений, в которых находятся элементы системы (носители цифровых данных, серверы, архивы и пр.), противопожарными датчиками, назначение ответственных за противопожарную безопасность и наличие средств пожаротушения.

Соблюдение всех этих правил позволит свести к минимуму угрозу потери информации от пожара.

      Если помещения с носителями ценной информации располагаются в непосредственной близости от водоемов, то они подвержены угрозе потери информации вследствие наводнения. Единственное что можно предпринять в данной ситуации – это исключить хранение носителей информации на первых этажах здания, которые подвержены затоплению.

      Еще одной естественной угрозой являются молнии. Очень часто при ударах молнии выходят из строя сетевые карты, электрические подстанции и другие устройства. Особенно ощутимые потери, при выходе сетевого оборудования из строя, несут крупные организации и предприятия, такие как банки.

Во избежание подобных проблем необходимо соединительные сетевые кабели были экранированы (экранированный сетевой кабель устойчив к электромагнитным помехам), а экран кабеля следует заземлить.

Для предотвращения попадания молнии в электрические подстанции, следует устанавливать заземленный громоотвод, а компьютеры и серверы комплектовать источниками бесперебойного питания.

      Следующим видом угроз являются искусственные угрозы, которые в свою очередь, делятся на непреднамеренные и преднамеренные угрозы. Непреднамеренные угрозы – это действия, которые совершают люди по неосторожности, незнанию, невнимательности или из любопытства.

К такому типу угроз относят установку программных продуктов, которые не входят в список необходимых для работы, и в последствии могут стать причиной нестабильной работы системы и потеря информации.

Сюда же можно отнести и другие «эксперименты», которые не являлись злым умыслом, а люди, совершавшие их, не осознавали последствий.

К сожалению, этот вид угроз очень трудно поддается контролю, мало того, чтобы персонал был квалифицирован, необходимо чтобы каждый человек осознавал риск, который возникает при его несанкционированных действиях.

      Преднамеренные угрозы – угрозы, связанные со злым умыслом преднамеренного физического разрушения, впоследствии выхода из строя системы. К преднамеренным угрозам относятся внутренние и внешние атаки.

Вопреки распространенному мнению, крупные компании несут многомиллионные потери зачастую не от хакерских атак, а по вине своих же собственных сотрудников.

Современная история знает массу примеров преднамеренных внутренних угроз информации – это проделки конкурирующих организаций, которые внедряют или вербуют агентов для последующей дезорганизации конкурента, месть сотрудников, которые недовольны заработной платой или статусом в фирме и прочее. Для того чтобы риск таких случаев был минимален, необходимо, чтобы каждый сотрудник организации соответствовал, так называемому, «статусу благонадежности».

      К внешним преднамеренным угрозам можно отнести угрозы хакерских атак. Если информационная система связана с глобальной сетью интернет, то для предотвращения хакерских атак необходимо использовать межсетевой экран, который может быть, как встроен в оборудование, так и реализован программно.

      Существуют четыре действия, производимые с информацией, которые могут содержать в себе угрозу: сбор, модификация, утечка и уничтожение. Эти действия являются базовыми для дальнейшего рассмотрения.

      Разделяют все источники угроз на внешние и внутренние.

      Источниками внутренних угроз являются:

      1. Сотрудники организации;

      2. Программное обеспечение;

      3. Аппаратные средства.

      Внутренние угрозы могут проявляться в следующих формах:

      -ошибки пользователей и системных администраторов;

      -нарушения сотрудниками фирмы установленных регламентов сбора, обработки, передачи и уничтожения информации;

      -ошибки в работе программного обеспечения;

      -отказы и сбои в работе компьютерного оборудования.

      К внешним источникам угроз относятся:

      1. Kомпьютерные вирусы и вредоносные программы;

      2. Организации и отдельные лица;

      3. Стихийные бедствия.

      Формами проявления внешних угроз являются:

      -заражение компьютеров вирусами или вредоносными программами;

      -несанкционированный доступ (НСД) к корпоративной информации;

      -действия государственных структур и служб, сопровождающиеся сбором, модификацией, изъятием и уничтожением информации;

      -аварии, пожары, техногенные катастрофы.30

      По способам воздействия на объекты информационной безопасности угрозы подлежат следующей классификации: информационные, программные, физические, радиоэлектронные и организационно-правовые.31

      К информационным угрозам относятся:

      -несанкционированный доступ к информационным ресурсам;

      -незаконное копирование данных в информационных системах;

      -хищение информации из библиотек, архивов, банков и баз данных;

      -нарушение технологии обработки информации;

      -противозаконный сбор и использование информации;

      утечка конфиденциальной информации;

      К программным угрозам относятся:

      -компьютерные вирусы и вредоносные программы;

      -установка «закладных» устройств;

      К физическимугрозам относятся:

      -уничтожение или разрушение средств обработки информации и связи;

      -хищение носителей информации;

      -хищение программных или аппаратных ключей и средств криптографической защиты данных;

      -воздействие на персонал;

      К радиоэлектронным угрозам относятся:

      -внедрение электронных устройств перехвата информации в технические средства и помещения;

      -перехват, расшифровка, подмена и уничтожение информации в каналах связи.

      К организационно-правовым угрозам относятся:

      -закупки несовершенных или устаревших информационных технологий и средств информатизации;

      -нарушение требований законодательства и задержка в принятии необходимых нормативно-правовых решений в информационной сфере32.

      Законодательно запрещено подключение информационных систем, информационно-телекоммуникационных сетей и средств вычислительной техники, применяемых для хранения, обработки или передачи информации, содержащей сведения, составляющие государственную тайну, либо информации, обладателями которой являются госорганы и которая содержит сведения, составляющие служебную тайну, к информационно-телекоммуникационным сетям, позволяющим осуществлять передачу информации через государственную границу РФ, в том числе к Интернету33.

      К основным угрозам безопасности информации и нормального функционирования информационной системы относятся:

      компрометация информации;

      отказ от информации;

      нарушение информационного обслуживания;

      незаконное использование привилегий.

      Утечка конфиденциальной информацииэто бесконтрольный выход конфиденциальной информации за пределы информационной системы или круга лиц, которым она была доверена по службе или стала известна в процессе работы. Эта утечка может быть следствием:

      разглашения конфиденциальной информации;

      ухода информации по различным, главным образом техническим, каналам;

      несанкционированного доступа кконфиденциальной информации различными способами.

      Разглашение информации еевладельцем или обладателем есть умышленные или неосторожные действия должностных лиц и пользователей, которым соответствующие сведения в установленном порядке были доверены по службе или по работе, приведшие кознакомлению с ним лиц, не допущенных кэтим сведениям.34

      Возможен бесконтрольный уход конфиденциальной информациипо визуально-оптическим, акустическим, электромагнитным и другим каналам.

      Несанкционированный доступэто противоправное преднамеренное овладение конфиденциальной информацией лицом, не имеющим права доступа кохраняемым сведениям.35 Наиболее распространенными путями несанкционированного доступа кинформации являются:

      перехват электронных излучений;

      принудительное электромагнитное облучение (подсветка) линий связи с целью получения паразитной модуляции несущей;

      применение подслушивающих устройств (закладок);

      дистанционное фотографирование;

      перехват акустических излучений и восстановление текста принтера;

      копирование носителей информации с преодолением мер защиты

       маскировка под зарегистрированного пользователя;

       маскировка под запросы системы;

      использование программных ловушек;

      использование недостатков языков программирования и операционных систем;

      незаконное подключение к аппаратуре и линиям связи специально разработанных аппаратных средств, обеспечивающих доступ информации;

      злоумышленный вывод из строя механизмов защиты;

      расшифровка специальными программами зашифрованной: информации;

      информационные инфекции.

      Перечисленные пути несанкционированного доступа требуют достаточно больших технических знаний и соответствующих аппаратных или программных разработок со стороны взломщика.

Например, используются технические каналы утечки — это физические пути от источника конфиденциальной информации к злоумышленнику, посредством которых возможно получение охраняемых сведений. Причиной возникновения каналов утечки являются конструктивные и технологические несовершенства схемных решений либо эксплуатационный износ элементов.

Все это позволяет взломщикам создавать действующие на определенных физических принципах преобразователи, образующие присущий этим принципам канал передачи информации— канал утечки.36

      Однако есть и достаточно примитивные пути несанкционированного доступа:

Источник: https://www.stud24.ru/information/osnovnye-problemy-informacionnoj-bezopasnosti-i/150267-439909-page2.html

Проблемы информационной безопасности склада и пути их решения

2.1. Основные проблемы информационной безопасности и пути их решения

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Размещено на http://www.allbest.ru/

Сибирский государственный аэрокосмический университет имени академика М.Ф. Решетнева

Проблемы информационной безопасности склада и пути их решения

Коломиец Богдан Николаевич

Кукарцев Владислав Викторович

Аннотация

Рассмотрены актуальные проблемы информационной безопасности складов, наиболее уязвимые места и недостатки информационной защищенности складов на современных предприятиях, и возможные пути их решения.

На сегодняшний день, когда компании сталкиваются с экономическими трудностями, они, в первую очередь, начинают сокращать свои затраты, в том числе и на информационную безопасность. Однако активная конкурентная борьба на рынке и низкая лояльность сотрудников приводят к увеличению рисков информационной безопасности.

Множество российских компаний на сегодняшний день только формируют процессы управления информационной безопасностью и на этом этапе сталкиваются с типовыми проблемами, которые вытекают из-за слабой эффективности существующих процессов.

Можно выделить следующие проблемы информационной безопасности на российских предприятиях:

· использование небезопасных конфигураций программного и аппаратного обеспечения;

· использование стандартных паролей в системе;

· большое количество возможностей у пользователей информационных систем;

· не выполняются соответствующие требования по защите персональных данных;

· низкая осведомленность пользователей о существующих угрозах информационной безопасности;

· возможное использование учетных записей сокращенных сотрудников для различных махинаций;

· отсутствуют меры, позволяющие вести разбор инцидентов информационной безопасности.

Любой современный склад нуждается в такой удобной технологии, как беспроводная сеть.

Складские решения с применением беспроводных сетей помогут улучшить производительность сотрудников склада, уменьшить частоту ошибок при ручном вводе и максимально автоматизировать учет.

Но произведенные при настройке и развертывании сети ошибки, могут позволить внешним злоумышленникам беспрепятственно проникнуть в сеть. Самой грубой ошибкой на многих предприятиях является использование уязвимого протокола безопасности.[1]

Для обеспечения защиты беспроводной сети применяются специализированные протоколы. Эти протоколы будут обеспечивать доступ к сети только тем, кто действительно нуждается в доступе, а также передавать данные только в зашифрованном виде. Одним из первых широко распространенным в мире, да и в России, протоколом безопасности беспроводной сети считается протокол WEP.

Но, несмотря на свое распространение, в протоколе были найдены серьезные недостатки, которые могут позволить недоброжелателям без особого труда заполучить пароли для доступа к сети. Данный протокол стал широко использоваться из-за того что он легко настраивается и поддерживается почти всеми беспроводными устройствами.

информационный безопасность технический аудит

Очень опасной и наиболее распространенной для безопасности уязвимостью является использование стандартных паролей, которые установлены по умолчанию.

Частота этого явления обусловлена тем, что люди, которые устанавливают программное и аппаратное обеспечение обычно обеспокоены только тем, чтобы запустить и заставить систему работать, но при этом не отдают должное внимание информационной безопасности.

Они просто не меняют пароли для системных учетных записей, которые обладают наибольшими возможностями в системе, и оставляют их стандартными, то есть такими, какими они были установлены изначально производителем. Самыми широко используемыми паролями являются «Administrator» и «Admin», они с легкостью угадываются злоумышленниками, заполучившим доступ к корпоративной сети.

Так как полностью защититься от всех атак недоброжелателей практически невозможно, необходимо иметь возможность разбора происшествий связанных с информационной безопасностью.

Бывает что IТ-специалисты полностью отключают регистрацию действий пользователей, из-за того что она требует повышенного внимания, и на ряду с этим уменьшить нагрузку на систему.

Это может привести к тому, что предприятие не сможет даже понять о том, что сеть была взломана, и конкуренты будут получать данные о его действиях и процессах более оперативно, чем руководство самого предприятия.

Наличие различных уязвимостей в системе обеспечения информационной безопасности обусловлено тем, что в ней отсутствует правильный процесс управления. Нужно знать, что необходимо для создания эффективной системы управления.

Во-первых, нужно получить поддержку со стороны руководства предприятия, которое должно понимать возможные последствия, если не будет уделять должное внимание информационной безопасности склада и соответственно выделить необходимые средства на решение данной задачи. Последствия могут быть разного вида: ущерб репутации компании, финансовые потери, проблемы с регулирующими органами.

Во-вторых, нужно провести систематизацию существующей информации. Это необходимо для того чтобы понять, какие данные являются наиболее критичными и значимыми для организации, а также узнать в каких системах они обрабатываются. Для каждого вида информации определяется ее критичность – как минимум по степени конфиденциальности.

Компаниями принято выделять такие категории, как общедоступная информация, коммерческая тайна, персональные данные. Руководитель склада обязан уделять огромное внимание процессу систематизации информации, с которой работают его сотрудники, так как он отвечает за все бизнес-процессы.

Компании будет легче сосредоточиться на самом главном, если будет понимания того, какой информации и каким системам требуется более серьезная защита.

В-третьих, нужно определить какие проблемы информационной безопасности существуют в компании. Для этого потребуется проведение комплексного аудита. Аудит заключается в том, что в обеспечении информационной безопасности задействованы три составляющих: люди, процессы и технологии, и в ходе аудита идет их проверка.

При проведении аудита процессов разбираются существующие документы по информационной безопасности и то, как действительно работают процессы управления информационной безопасностью на предприятии.

В процессе технического аудита выявляются опасные и уязвимые места беспроводной сети, используемого компанией аппаратного и программного обеспечения, которые позволяют осуществлять злоумышленникам несанкционированный вход в систему и получать доступ к закрытым данным.

Весьма эффективным является тестирование на возможность несанкционированного проникновения. В ходе этого тестирования осуществляется имитация действий реальных злоумышленников и их возможного поведения.

Также в процессе комплексного аудита проверяется, как сильно сами работники устойчивы к атакам злоумышленников, которые используют методы социальной инженерии.

С сотрудниками организации связываются аудиторы, они звонят им по телефону, или пишут по электронной почте или в популярных социальных сетях и пытаются обманным способом узнать важную информацию (например, пароли для доступа к информационным системам).

Итогом аудита является составление списка существующих проблем с указанием уровня риска и опасности, связанного с каждой из них. Наиболее объективно оценить уровни рисков можно за счет проведенной систематизации информации и пониманию того, в какой системе обрабатывается та или иная информация.[2]

Информационная безопасность считается достаточно затратной статьей бюджета, а сейчас каждый желает на затратах экономить. Но при этом руководитель не хочет терять прибыль из-за проблем с информационной безопасностью. Можно выделить следующие возможности для того чтобы решить эти проблемы.

Далеко не всегда проблему информационной безопасности удается решить за счет покупки дорогих средств защиты информации. Так, множество задач можно решить с помощью внедрения необходимых процессов управления информационной безопасностью.

В первую очередь внимание следует уделить процессам информационной безопасности, связанным с управлением логическим доступом к информационным системам, управлением происшествий в информационной безопасности, обнаружением и устранением слабых мест и недостатков в программном обеспечении и обучением персонала. Так, например, если будут своевременно блокироваться учетные записи уволенных со склада работников, и активные пользователи в компании будут лишь обладать необходимыми возможностями в системах, то это позволит существенно сократить риск осуществления нежелательных и сторонних операций.

Необходимо правильно настроить уже существующие системы.

Современное аппаратное и программное обеспечение включает в себя встроенные механизмы обеспечения информационной безопасности, а их настройка в соответствии с рекомендациями производителей поможет значительно увеличить уровень защиты.

Уровень защищенности информации, обеспечиваемый встроенными механизмами информационной безопасности систем, должен периодически проверяться в ходе аудита информационной безопасности.

Сейчас очень много доступных бесплатных средств защиты информации, такие как антивирусы, сканеры уязвимостей, системы обнаружения вторжений и межсетевые экраны.

Наиболее известные программные продукты давно на рынке и пользуются большим спросом во всем мире.

Отсутствие гарантированной технической поддержки является их единственным недостатком, но это в должной мере восполняется огромным количеством профессиональных почтовых рассылок и форумов в интернете.

Организации привыкли доверять свои средства банкам, а обеспечение физической безопасности доверять различным охранным агентствам. Данный подход можно распространить и на информационную безопасность.

Передача части функций информационной безопасности на аутсорсинг позволит организации уменьшить свои затраты на квалифицированных сотрудников.

В данном случае главные процессы управления информационной безопасностью остаются полностью в организации и поддерживаются ответственными лицами: IТ-специалистами, руководителями отделов и сотрудниками отдела кадров. [3]

Ликвидация обнаруживаемых в ходе аудита недостатков позволит улучшить систему управления информационной безопасностью, поднять ее эффективность и, следовательно, позволит держать риски на оптимальном для успешного бизнеса уровне.

В целом, если предприятия будут отдавать должное внимание информационной защите склада, и последовательно решать возникающие проблемы, то это позволит поддерживать в оптимальном состоянии существующие процессы на складе, которые, в свою очередь, будут обеспечивать положительный результат.

Список литературы

Источник: https://revolution.allbest.ru/marketing/00984488_0.html

Информационная безопасность: основные проблемы

2.1. Основные проблемы информационной безопасности и пути их решения

Рассматривая вопрос о том, насколько важна для фирмы информационная безопасность и определяя бюджет на её обеспечение, необходимо четко ориентироваться в этом понятии. Только так можно наметить приоритетные направления и составить план соответствующих действий.

Информационная безопасность в сетях включает в себя широкий круг проблем. Для благополучия бизнеса информационная безопасность имеет основополагающее значение, поэтому мы рассмотрим все задачи, которые она решает, подробно.

Итак, первое направление – это обеспечение целостности данных. Сегодня вся коммерческая информация, бухгалтерские данные, финансовая отчетность, клиентские базы, договора, новаторские идеи сотрудников фирмы, планы и стратегия её развития, хранятся в локальной информационно-компьютерной сети.

Далеко не всегда и не все документы дублируются на бумажных носителях, ибо объем информации очень велик. В таких условиях информационная безопасность предусматривает систему мер, которые призваны обеспечить надежную защиту серверов и рабочих станций от сбоев и поломок, ведущих к уничтожению информации или её частичной потере.

Серьезный подход к данному вопросу означает, что информационная безопасность должна базироваться на профессиональном аудите всей IT- инфраструктуры фирмы.

IT аудит позволяет провести оценку состояния сети и оборудования, сделать анализ потенциальных угроз, выявить и вовремя устранить «слабые» места кабельной системы, серверных и рабочих станций, дисковых систем и нарушений в конфигурации оборудования. Таким образом, снижаются технические риски возможной потери информации.

К повреждению данных приводит и некорректная работа систем архивации, сетевого и прикладного ПО. Обеспечивая информационную безопасность вашей фирмы, наши сотрудники проводят тестирование программного обеспечения и проверяют его соответствие современным требованиям.

Следующая важнейшая задача – обеспечение конфиденциальности информации. Защита коммерческих секретов напрямую влияет на конкурентоспособность фирмы и её устойчивость на рынке. Здесь информационная безопасность и защита сетей сталкивается с внешними и внутренними преднамеренными угрозами, направленными на хищение данных.

Хакеры, промышленный шпионаж и утечка информации по вине собственных сотрудников представляют наибольшую угрозу. Соблазн продать ценную коммерческую информацию велик не только у увольняемых сотрудников, но и у тех, амбиции которых на рабочем месте неудовлетворенны.

В данном случае, информационная безопасность принимает превентивные меры, направлены на контроль инсайдеров и многоступенчатую защиту серверов от хакерских атак.

Поэтому меры по противодействию несанкционированному доступу должны быть направлены на достижение двух целей:

  • Cоздавать условия, когда случайные или умышленные действия, приводящие к потере данных, становятся невозможны. Информационная безопасность решает эту проблему путем создания системы аутентификации и авторизации пользователей, разделения прав доступа к информации и контроля доступа.
  •  Также важно создать систему, при которой сотрудники или злоумышленники не смогли бы скрыть совершенных действий. Здесь в помощь специалисту по ИБ приходит система контроля событий безопасности, аудит доступа к файлам и папкам.
    Эффективными средствами защиты, как от внешних угроз, так и от внутренних, являются также: введение системы паролей пользователей, применение для особо важной информации криптографических методов защиты (шифрование), ограничение доступа в помещения, применение индивидуальных цифровых ключей и смарт-карт, использование межсетевых экранов, установка систем защиты от утечек информации через электронную почту, FTP-серверы и Интернет-мессенджеры, защита информации от копирования. При рассмотрении потенциальных угроз, мы рекомендуем своим клиентам установить контроль над исходящими информационными потоками.

В последнее время получили большое распространение такие способы взлома сетей, как распространение вредоносных компьютерных программ, выполняющих функции сбора и передачи информации (троянские программы), программ-шпионов. Для того, чтобы устранить подобные внешние риски, информационная безопасность предусматривает установку мощного антивирусного ПО и серверной защиты.

Информационная безопасность сети предполагает также защиту от атак извне, направленных на прекращение работоспособности серверов, компьютеров или компонентов сети.

Речь идет о DDos-атак, попытках подбора паролей (bruteforce-атаки).

Для защиты от подобных угроз информационная безопасность требует применения специального программного обеспечения – межсетевых экранов и систем проактивной защиты.

И самое главное, для чего нужна информационная безопасность – это доступность информации для легитимных пользователей. Все меры обеспечения информационной безопасности бесполезны, если они затрудняют работу легитимных пользователей или блокируют ее. Здесь на первый план выходит надежно работающая аутентификация и грамотно реализованное разделение прав пользователей.

Наша компания приложит все усилия, чтобы информационная безопасность Вашей компании была организована на уровне, делающем ее практически неуязвимой. 

Источник: https://www.easy-tech.ru/articles/informatsionnaya_bezopasnost_osnovnye_problemy/

Проблемы информационной безопасности и пути их решения

2.1. Основные проблемы информационной безопасности и пути их решения

Ни одна сфера жизни цивилизованного государства не может эффективно функционировать без развитой информационной инфраструктуры. Безопасность информации выдвигается на первый план и становится элементом национальной безопасности. Защита информации, несомненно, должна рассматриваться как одна из приоритетных государственных задач.

Происходящие в России преобразования оказывают непосредственное влияние на ее информационную безопасность. Возникают новые факторы, которые нужно учитывать при оценке состояния информационной безопасности и определении ключевых проблем в этой области.

Всю совокупность факторов можно разделить на политические, экономические и организационно-технические.

Кполитическим факторам следует отнести:

Ø становление новой российской государственности на основе принципов демократии, законности, информационной открытости;

Ø изменение геополитической обстановки вследствие фундаментальных перемен в различных регионах мира, сведения к минимуму вероятности мировой ядерной и обычной войн;

Ø информационная экспансия США и других развитых стран, осуществляющих глобальный мониторинг мировых политических, экономических, военных, экологических и других процессов, распространяющих информацию в целях получения односторонних преимуществ;

Ø разрушение ранее существовавшей командно-административной системы государственного управления, а также сложившейся системы обеспечения безопасности страны;

Ø нарушение информационных связей вследствие образования независимых государств на территории бывшего СССР;

Ø стремление России к более тесному сотрудничеству с зарубежными странами в процессе проведения реформ на основе максимальной открытости сторон;

Ø низкая общая правовая и информационная культура в российском обществе.

Среди экономических факторов наиболее существенными являются:

§ переход России на рыночные отношения в экономике, появление множества отечественных и зарубежных коммерческих структур – производителей и потребителей информации, средств информатизации и защиты информации, включение информационной продукции в систему товарных отношений;

§ критическое состояние отраслей промышленности, производящих средства информатизации и защиты информации;

§ расширяющаяся кооперация с зарубежными странами в развитии информационной инфраструктуры России.

Из организационно-технических факторов определяющими являются:

Ø недостаточная нормативно-правовая база информационных отношений, в том числе в области обеспечения информационной безопасности;

Ø слабое регулирование государством процессов функционирования и развития рынка средств информатизации, информационных продуктов и услуг в России;

Ø широкое использование в сфере государственного управления и кредитно-финансовой сфере незащищенных от утечки информации импортных технических и программных средств для хранения, обработки и передачи информации;

Ø рост объемов информации, передаваемой по открытым каналам связи, в том числе по сетям передачи данных и межмашинного обмена;

Ø обострение криминогенной обстановки, рост числа компьютерных преступлений, особенно в кредитно-финансовой сфере.

Оценка состояния информационной безопасности и определение ключевых проблем в этой области должны базироваться на анализе источников угроз.

Источники угроз можно разделить на внешние и внутренние.

К внешним источникам относятся:

Ø недружественная политика иностранных государств в области глобального информационного мониторинга, распространения информации и новых информационных технологий;

Ø деятельность иностранных разведывательных и специальных служб;

Ø деятельность иностранных политических и экономических структур, направленная против интересов Российского государства;

Ø преступные действия международных групп, формирований и отдельных лиц;

Ø стихийные бедствия и катастрофы.

Внутренними источниками угроз являются:

Ø противозаконная деятельность политических и экономических структур в области формирования, распространения и использования информации;

Ø неправомерные действия государственных структур, приводящие к нарушению законных прав граждан и организаций в информационной сфере;

Ø нарушения установленных регламентов сбора, обработки и передачи информации;

Ø преднамеренные действия и непреднамеренные ошибки персонала информационных систем;

Ø отказы технических средств и сбои программного обеспечения в информационных и телекоммуникационных системах.

При этом необходимо понимать, что эти угрозы в настоящее время носят не умозрительный характер, а каждой из них соответствуют целенаправленные действия конкретных носителей враждебных намерений(начиная с иностранных разведывательных служб и кончая криминальными группировками). В результате этих действий может быть нанесен серьезный ущерб жизненно важным интересам Российской Федерации в политической, экономической, оборонной и других сферах деятельности государства либо причинен существенный социально-экономический ущерб обществу и отдельным гражданам.

Предыдущая123456789Следующая

Дата добавления: 2016-03-04; просмотров: 1866; ЗАКАЗАТЬ НАПИСАНИЕ РАБОТЫ

ПОСМОТРЕТЬ ЁЩЕ:

Источник: https://helpiks.org/7-26296.html

Проблемы обеспечения информационной безопасности в банковской сфере российской федерации и пути их решения

2.1. Основные проблемы информационной безопасности и пути их решения

Проблемы обеспечения информационной безопасности в банковской сфере российской федерации и пути их решения

Карпунова Анастасия Александровна

студент 4 курса кафедры финансы, инвестиции и кредит, ОГАУ, г. Орел

E-mailkarapuzp@yandex.ru

Долгова Светлана Алексеевна

научный руководитель, канд. экон. наук, доцент ОГАУ, г. Орел

В последнее пятнадцать лет в Российской Федерации были реализованы практические меры по повышению уровня информационной безопасности банковской сферы.

Скоординированными усилиями законодателей, Правительства РФ и Банка России была сформирована система нормативно-правового и организационного обеспечения банковской безопасности, а также осуществлялись практические мероприятия, которые совершенствовали меры безопасности в самих банках.

Уровень банковской безопасности в современной России не соответствует объективным потребностям, и состояние защиты банков от преступных посягательств оставляет желать лучшего [1].

Развитие и укрепление банковской системы РФ, а также обеспечение эффективного и бесперебойного функционирования платежной системы РФ являются целями деятельности Банка России [4].

Уровень информационной безопасности банковских технологических процессов, автоматизированных банковских систем, эксплуатирующихся организациями банковской системы РФ, обеспечивает необходимый и достаточный уровень информационной безопасности банковской системы, и является важнейшим условием для реализации основных целей деятельности Банка России.

Отрицательные последствия из-за сбоев в работе отдельных банковских организаций приводят к стремительному развитию системного кризиса платежной системы России, а также наносят ущерб интересам клиентов и собственников [5].

В случае наступления инцидента информационной безопасности значительно возрастает результирующий риск и возможность нанесения ущерба организациям банковской сферы [2].

Поэтому для организаций банковской системы угрозы информационным активам, то есть угрозы информационной безопасности, представляют реальную опасность (рис. 1).

Рисунок 1. Основные угрозы информбезопасности

Для того, чтобы противостоять угрозам и обеспечить эффективность мероприятий по ликвидации неблагоприятных последствий инцидентов информационной безопасности в организациях банковской системы необходимо обеспечить достаточный уровень информационной безопасности, и сохранять его в течение длительного времени.

За деятельностью по обеспечению информационной безопасности, должен осуществляться постоянный контроль [6]. Работа по оценке информационной безопасности банков, а также выявление факторов и разработка мер по ликвидации негативных явлений возложена на Центральный Банк РФ.

Таблица 1.

Факторы, которые должна учитывать информационная безопасность банка

Факторы
1. Хранимая и обрабатываемая в банковских системах информация представляет собой реальные деньгиНа основании информации компьютера могут производится выплаты, открываться кредиты, переводиться значительные суммы. незаконное манипулирование с такой информацией может привести к серьезным убыткам.
2. Информация в банковских системах затрагивает интересы большого количества людей и организаций — клиентов банкаКонфиденциальна, банк несет ответственность за обеспечение требуемой степени секретности перед своими клиентами.
3. Конкурентоспособность банка зависит от того, насколько клиенту удобно работать с банком, а также насколько широк спектр предоставляемых услуг, включая услуги, связанные с удаленным доступомКлиент должен иметь возможность быстро и без утомительных процедур распоряжаться своими деньгами. Но такая легкость доступа к деньгам повышает вероятность преступного проникновения в банковские системы.
4. Информационная безопасность банка должна обеспечивать высокую надежность работы компьютерных систем даже в случае нештатных ситуацийБанк несет ответственность не только за свои средства, но и за деньги клиентов
5. Банк хранит важную информацию о своих клиентахЭто расширяет круг потенциальных злоумышленников, заинтересованных в краже или порче такой информации.

Контроль за информационной безопасностью осуществляется на основе Стандарта, который состоит из комплекса стандартов по обеспечению информационной безопасности банков.

Стратегическая цель обеспечения информационной безопасности российских банков, определенная Стандартом, заключается в эксплуатации, развертывании и совершенствовании системы менеджмента информационной безопасности банка, она включает в себя процессы менеджмента информационной безопасности, которые стимулируются и управляются процессами осознания информационной безопасности [2].

Стандарт к банкам выдвигает ряд требований как организационного, так и технического характера. Однако, учитывая риск-ориентированный подход, используемый в Стандарте, вопрос выбора конкретных мер, методов, а также аппаратных или программных средств обеспечения информационной безопасности остается за конкретной кредитной организацией [3].

В настоящее время Стандарт состоит из следующего перечня документов, приведенного на рисунке 2.

Рисунок 2. Перечень документов, составляющих Стандарт

Реализация основных положений Стандарта предполагает комплексный подход к его внедрению, которое должно начинаться с проведения работ по анализу рисков, включающих в себя построение моделей угроз и нарушителей информационной безопасности, идентификации активов, подлежащих защите, и оценку рисков информационной безопасности с учетом особенностей бизнеса и технологий конкретной кредитной организации. Далее, на основе точного прогноза, базирующегося на анализе и оценке рисков информационной безопасности, необходимо разработать политику информационной безопасности банка и пакет нормативных документов по вопросам информационной безопасности, в соответствии с которым банк в дальнейшем станет реализовать, эксплуатировать и совершенствовать свою систему менеджмента информационной безопасности [3].

Стандарт рекомендует разработку следующей структуры документов по обеспечению информационной безопасности (рис. 3).

Рисунок 3. Структура документов по обеспечению информационной безопасности, разработка которых рекомендована Стандартом

Важно, чтобы положения документов по обеспечению ИБ отвечали следующим требованиям [7]:

1.  Носили обязательный характер;

2.  Не противоречили друг другу;

3.  Были выполнимыми контролируемыми;

4.  Соответствовали требованиям и условиям ведения деятельности, в том числе в условиях их постоянного изменения;

Однако, в настоящее время Стандарт носит рекомендательный характер и может применяться только на добровольной основе.

И все же, несмотря на это, практика показывает, что эффективное решение вопроса обеспечения информационной безопасности в российских банках без его использования практически невозможно.

Так как российский банковский сектор достиг такого уровня своего развития, когда их клиентов и партнеров волнуют не только количественные, но и качественные показатели банка, например, способность банка обеспечить безопасность и сохранить конфиденциальность обрабатываемой и доверяемой ему информации.

Список литературы:

1.Гамза В.А. Банковская безопасность: современная ситуация // Information Security/Информационная безопасность. 2005. № 5.

3.Ткачук И.Б. Концепция и система безопасности банка: учеб. Пособие. М.: Издатель Шумилова И.И., 2003

4.О Центральном банке Российской Федерации (Банке России) [Электронный ресурс]: федер. Закон Рос.Федерации от 10 июля 2002 г. № 86-ФЗ. Доступ из справ.- правовой системы «Консультант плюс».

Источник: https://sibac.info/studconf/econom/iv/29429

Основные проблемы информационной безопасности и пути их решения

2.1. Основные проблемы информационной безопасности и пути их решения

Основные проблемы информационной безопасности и пути их решения

Нынешнее состояние информационной безопасности России – это состояние нового, только оформляющегося с учетом веления времени государственно-общественного института.

Многое на пути его становления уже сделано, но еще больше здесь проблем, требующих самого оперативного решения.

За последние годы в РФ реализован ряд мер по совершенствованию информационной безопасности. Назовем самые важные из них.

Во-первых, начато формирование базы правового обеспечения информационной безопасности. Принят ряд законов, регламентирующих общественные отношения в этой сфере, развернута работа по созданию механизмов их реализации.

Этапным результатом и нормативно-правовой основой дальнейшего решения проблем в этой сфере стало утверждение Президентом РФ в сентябре 2001 г. Доктрины информационной безопасности Российской Федерации (далее – Доктрина).

Она представляет собой совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности России. В Доктрине рассматриваются:

объекты, угрозы и источники угроз информационной безопасности;

возможные последствия угроз информационной безопасности;

методы и средства предотвращения и нейтрализации угроз информационной безопасности;

особенности обеспечения информационной безопасности в различных сферах жизнедеятельности общества и государства;

основные положения государственной политики по обеспечению информационной безопасности в РФ.

На основе Доктрины осуществляются:

формирование государственной политики в области обеспечения информационной безопасности;

подготовка предложений по совершенствованию правового, методического, научно-технического и организационного обеспечения информационной безопасности;

разработка целевых программ обеспечения информационной безопасности.

Во-вторых, к настоящему времени проведены первоочередные мероприятия по обеспечению информационной безопасности в федеральных органах государственной власти, органах власти субъектов РФ, на предприятиях, в учреждениях и организациях независимо от форм собственности. Развернута работа по созданию защищенной информационно-телекоммуникационной системы специального назначения в интересах органов государственной власти.

В-третьих, обеспечению информационной безопасности способствуют созданные:

государственная система защиты информации;

система лицензирования деятельности в области защиты государственной тайны;

система сертификации средств защиты информации.

Вместе с тем анализ состояния информационной безопасности показывает, что ее уровень не в полной мере соответствует требованиям времени. Все еще существует ряд проблем, серьезно препятствующих полноценному обеспечению информационной безопасности человека, общества и государства. Доктрина называет следующие основные проблемы данной сферы.

1. Современные условия политического и социально-экономического развития страны все еще сохраняют острые противоречия между потребностями общества в расширении свободного обмена информацией и необходимостью действия отдельных регламентированных ограничений на ее распространение.

2.

 Противоречивость и неразвитость правового регулирования общественных отношений в информационной сфере существенно затрудняет поддержание необходимого баланса интересов личности, общества и государства в этой области. Несовершенное нормативное правовое регулирование не позволяет завершить формирование на территории РФ конкурентоспособных российских информационных агентств и средств массовой информации.

3. Необеспеченность прав граждан на доступ к информации, манипулирование информацией вызывают негативную реакцию населения, что в ряде случаев ведет к дестабилизации социально-политической обстановки в обществе.

4.

 Закрепленные в Конституции РФ права граждан на неприкосновенность частной жизни, личную и семейную тайну, тайну переписки практически не имеют достаточного правового, организационного и технического обеспечения.

Неудовлетворительно организована защита собираемых федеральными органами государственной власти, органами власти субъектов РФ, органами местного самоуправления данных о физических лицах (персональных данных).

5.

 Нет четкости при проведении государственной политики в области формирования российского информационного пространства, а также организации международного информационного обмена и интеграции информационного пространства России в мировое информационное пространство, что создает условия для вытеснения российских информационных агентств, средств массовой информации с внутреннего информационного рынка, ведет к деформации структуры международного обмена.

6. Недостаточна государственная поддержка деятельности российских информационных агентств по продвижению их продукции на зарубежный информационный рынок.

7. Не улучшается ситуация с обеспечением сохранности сведений, составляющих государственную тайну.

8. Серьезный урон нанесен кадровому потенциалу научных и производственных коллективов, действующих в области создания средств информатизации, телекоммуникации и связи, в результате массового ухода из этих коллективов наиболее квалифицированных специалистов.

9.

 Отставание отечественных информационных технологий вынуждает федеральные органы государственной власти, органы власти субъектов РФ и органы местного самоуправления при создании информационных систем идти по пути закупок импортной техники и привлечения иностранных фирм. Из-за этого повышается вероятность несанкционированного доступа к обрабатываемой информации и возрастает зависимость России от иностранных производителей компьютерной и телекоммуникационной техники, а также программного обеспечения.

10.

 В связи с интенсивным внедрением зарубежных информационных технологий в сферы деятельности личности, общества и государства, а также с широким применением открытых информационно-телекоммуникационных систем, интеграцией отечественных и международных информационных систем возросли угрозы применения информационного оружия против соответствующей инфраструктуры России. Работы по адекватному противодействию этим угрозам ведутся в условиях недостаточной координации и слабого бюджетного финансирования. Не уделяется необходимое внимание развитию средств космической разведки и радиоэлектронной борьбы.

Обеспечение информационной безопасности требует решения целого комплекса задач. Доктрина перечисляет наиболее важные из них:

разработка основных направлений государственной политики в области обеспечения информационной безопасности, а также мероприятий и механизмов, связанных с реализацией этой политики;

развитие и совершенствование системы обеспечения информационной безопасности, реализующей единую государственную политику в этой области, включая совершенствование форм, методов и средств выявления, оценки и прогнозирования угроз информационной безопасности, а также системы противодействия этим угрозам;

разработка федеральных целевых программ обеспечения информационной безопасности;

разработка критериев и методов оценки эффективности систем и средств обеспечения информационной безопасности, а также их сертификации;

совершенствование нормативно-правовой базы обеспечения информационной безопасности;

установление ответственности должностных лиц федеральных органов власти и местного самоуправления, юридических лиц и граждан за соблюдение требований информационной безопасности;

координация деятельности органов государственной власти, предприятий, учреждений и организаций независимо от форм собственности в области обеспечения информационной безопасности;

развитие научно-практических основ обеспечения информационной безопасности с учетом современной геополитической ситуации, условий политического и социально-экономического развития России и реальности угроз применения информационного оружия;

создание механизмов формирования и реализации государственной информационной политики России;

повышение эффективности участия государства в формировании информационной политики государственных телерадиовещательных организаций, других государственных средств массовой информации;

обеспечение технологической независимости Российской Федерации в важнейших областях информатизации, телекоммуникации и связи, определяющих ее безопасность, в первую очередь в области создания специализированной вычислительной техники для образцов вооружения и военной техники;

разработка современных методов и средств защиты информации, обеспечения безопасности информационных технологий, прежде всего в системах управления войсками и оружием, экологически опасными и экономически важными производствами;

развитие и совершенствование систем защиты информации и государственной тайны;

создание защищенной технологической основы управления государством в мирное время, в чрезвычайных ситуациях и в военное время;

расширение взаимодействия с международными и зарубежными органами и организациями для обеспечения безопасности информации, передаваемой с помощью международных телекоммуникационных систем и систем связи;

обеспечение условий для активного развития российской информационной инфраструктуры, участия России в процессах создания и использования глобальных информационных сетей и систем;

создание системы подготовки кадров в области информационной безопасности и информационных технологий.

Важнейшая задача в деле обеспечения информационной безопасности России – осуществление комплексного учета интересов личности, общества и государства в данной сфере. Доктрина эти интересы определяет следующим образом:

интересы личности в информационной сфере заключаются в реализации конституционных прав человека и гражданина на доступ к информации, на использование информации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального развития, а также в защите информации, обеспечивающей личную безопасность;

интересы общества в информационной сфере заключаются в обеспечении интересов общества в этой сфере, упрочении демократии, создании правового социального государства, достижении и поддержании общественного согласия, в духовном обновлении России;

интересы государства в информационной сфере заключаются в создании условий для гармоничного развития российской информационной инфраструктуры, реализации конституционных прав и свобод человека (гражданина) в области получения информации.

Одновременно требуется использование этой сферы только в целях обеспечения незыблемости конституционного строя, суверенитета и территориальной целостности России, политической, экономической и социальной стабильности, в безусловном обеспечении законности и правопорядка, развитии равноправного и взаимовыгодного международного сотрудничества.

Соблюдение принципа баланса интересов граждан, общества и государства в информационной сфере предполагает законодательное закрепление приоритета этих интересов в различных областях жизнедеятельности общества, а также использование различных форм общественного контроля над деятельностью федеральных органов государственной власти и органов государственной власти субъектов РФ. Реализация гарантий конституционных прав и свобод человека и гражданина, касающихся деятельности в информационной сфере, является важнейшей задачей государства в области информационной безопасности.

Общие методы решения ключевых задач в деле обеспечения информационной безопасности Доктрина объединяет в три группы:

правовые;

организационно-технические; экономические.

К правовым методам относится разработка нормативных правовых актов, регламентирующих отношения в информационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности РФ (они подробно рассматриваются в гл. 4 настоящего пособия).

Организационно-техническими методами обеспечения информационной безопасности являются:

создание и совершенствование систем обеспечения информационной безопасности;

усиление правоприменительной деятельности органов власти, включая предупреждение и пресечение правонарушений в информационной сфере;

совершенствование средств защиты информации и методов контроля эффективности этих средств, развитие защищенных телекоммуникационных систем, повышение надежности программного обеспечения;

создание систем и средств предотвращения несанкционированного доступа к информации и воздействий, вызывающих разрушение, уничтожение, искажение информации, изменение штатных режимов функционирования систем и средств информатизации и связи;

выявление технических устройств и программ, представляющих опасность для функционирования информационно-телекоммуникационных систем, предотвращение перехвата информации по техническим каналам, применение криптографических средств защиты информации, контроль за выполнением специальных требований по защите информации;

сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандартизация способов и средств защиты информации;

совершенствование системы сертификации телекоммуникационного оборудования и программного обеспечения автоматизированных систем обработки информации по требованиям информационной безопасности;

контроль за действиями персонала в информационных системах, подготовка кадров в области обеспечения информационной безопасности;

формирование системы мониторинга показателей и характеристик информационной безопасности в наиболее важных сферах жизни и деятельности общества и государства.

Экономические методы обеспечения информационной безопасности включают в себя:

разработку программ обеспечения информационной безопасности и определение порядка их финансирования;

совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов защиты информации, создание системы страхования информационных рисков физических и юридических лиц.

Согласно Доктрине, государство в процессе реализации своих функций по обеспечению информационной безопасности:

Источник: https://www.referat911.ru/Bezopasnost-jiznedeyatelnosti/osnovnye-problemy-informacionnoj-bezopasnosti-i/564660-3345668-place1.html

Book for ucheba
Добавить комментарий