Принципи на информационната сигурност
Основната цел на създаването на система за информационна сигурност (IPS) е да се постигне максимална ефективност на защитата чрез едновременното използване на всички необходими ресурси, методи и инструменти, които изключват неоторизиран достъп до защитена информация и гарантират физическата безопасност на нейните медии.
Системата за информационна сигурност е цял комплекс от средства, методи и мерки за защита на информацията. Създаването на такава система за информационна сигурност (ИСС) в ИС и ИТ се основава на определени принципи, които ще разгледаме по-долу.
Първият принцип на организация е системният подход към изграждането на система за защита. Системният подход е оптималната комбинация от взаимосвързани, софтуерни, физически, организационни, хардуерни и други свойства, които се потвърждават от практиката на създаване на вътрешни и чуждестранни системи за защита и се използват на всички етапи от технологичния цикъл на обработка на информация.
Един от основните е принципът на непрекъснато развитие на системата за сигурност. Принципът на постоянно развитие на системата за сигурност е много актуален за НИС. Както знаете, методите за увреждане на IP непрекъснато се подобряват, нападателите измислят нови начини за неоторизиран достъп до системата, причинявайки й щети. В същото време методите за защита също трябва да се развиват съответно. Дефектите в системата за сигурност, пропуските в защитата трябва постоянно да се отстраняват, софтуерните и хардуерните системи за защита трябва да се модернизират. Следователно само непрекъснатото развитие на системата ще помогне за ефективна защита на системата.
Принципът на разделяне и минимизиране на правомощията за достъп до обработваната информация и процедурите за нейната обработка предполагате предоставянето на ползвателите и служителите на ИС на правомощията, необходими само за изпълнението на конкретни задачи от тях. Тоест не трябва да има прекомерни правомощия в случая.
Принципът на пълнота на контрола и регистриране на опити за неоторизиран достъп предполага постоянно наблюдение на потребителите, които се опитват да извършват неоторизирани действия в системата. Непрекъснато наблюдение на сигурността.
Принципът за осигуряване на надеждността на системата за защита предполага невъзможността за намаляване на нивото на надеждност на функционирането на ИС в случай на опити за хакване, системни повреди, отказ на оборудване и софтуер. Това често изисква създаването на постоянна система за наблюдение на сигурността.
Принципът на предоставяне на всички видове средства за борба със зловреден софтуер (вируси). Този принцип предполага набор от мерки за защита на системата от въздействието на такъв софтуер. По-специално, защита на системата с антивирусни програми, елиминиране на възможните начини за навлизане на вируси, постоянно актуализиране и оптимизиране на работата на антивирусните програми.
Съвременната криптография се характеризира с използването на отворени алгоритми за криптиране, които включват използването на изчислителни инструменти. Има повече от дузина доказани алгоритми за криптиране, които при използване на ключ с достатъчна дължина и правилно изпълнение на алгоритъма са криптографски сигурни.
Криптоанализът е наука за методите за получаване на оригиналната стойност на криптирана информация без достъп до секретната информация (ключ), необходима за това. В повечето случаи това означава намиране на ключа. В нетехнически термини, криптоанализът е разбиване на шифър (код).
Терминът "криптоанализ" също се отнася до опит за намиране на уязвимост в криптографияалгоритъм или протокол. Въпреки че основната цел е останала непроменена с течение на времето, методите за криптоанализ са се развили значително, еволюирайки от използването само на писалка и хартия до широкото използване на изчислителната мощност на специализираните криптоаналитични компютри днес. Ако по-ранните криптоаналитици са били предимно лингвисти, то в наше време това е съдбата на "чистите" математици.
Резултатите от криптоанализа на определен шифър се наричат криптографска атака срещу този шифър. Успешна криптографска атака, която дискредитира атакувания шифър, се нарича крак или атака.
Електронният цифров подпис (EDS) е криптографски инструмент, който ви позволява да проверите дали няма изкривявания в текста на електронен документ и, в подходящи случаи, да идентифицирате лицето, което е създало такъв подпис.
Алгоритъмът за приложение на EDS се състои от няколко операции:
- генерира се двойка ключове: публичен и частен;
- публичният ключ се предава на заинтересованата страна (получателят на документи, подписани от страната, която е генерирала ключовете);
- изпращачът на съобщението го криптира с частния си ключ и го предава на получателя по комуникационни канали;
- получателят дешифрира съобщението с публичния ключ на подателя.
Изводът е, че само собственикът на частния ключ, т.е. подателят на съобщението, може да създаде криптирано съобщение, декриптирането на което с публичния ключ произвежда оригиналния текст. Публичният ключ не може да се използва за това.
Защитата на данни чрез криптографски методи обикновено се класифицира според мястото, където се използва криптирането:
- ниво на файловата система;
Електронният подпис е предназначен за идентифициране на лицето, подписало електронния документ и е пълноценен заместител(аналог) на саморъчен подпис в предвидените от закона случаи.
Използването на електронен подпис ви позволява да:
- контрол на целостта на предадения документ: при случайна или умишлена промяна на документа, подписът ще стане невалиден, тъй като се изчислява на базата на първоначалното състояние на документа и отговаря само на него;
- защита срещу промени (фалшифициране) на документа: гаранцията за откриване на фалшификация по време на контрол на целостта прави фалшифицирането непрактично в повечето случаи;