Принципи захисту інформації
Головна мета створення системи захисту інформації (СЗІ) – досягнення максимальної ефективності захисту за рахунок одночасного використання всіх необхідних ресурсів, методів і засобів, що виключають несанкціонований доступ до інформації, що захищається, і забезпечують фізичну безпеку її носіїв.
Система інформаційної безпеки є цілим комплексом засобів, методів і заходів щодо захисту інформації. Створення такої системи інформаційної безпеки (СІБ) в ІС та ІТ ґрунтується на певних принципах, які ми розглянемо нижче.
Першим принципом організації є підхід до побудови системи захисту. Системний підхід є оптимальним поєднанням пов'язаних між собою, програмних, фізичних, організаційних, апаратних та інших властивостей, які підтверджені практикою створення вітчизняних та зарубіжних систем захисту та застосовуваних на всіх етапах технологічного циклу обробки інформації.
Одним із основних є принцип безперервного розвитку системи безпеки. Принцип постійного розвитку системи безпеки є дуже актуальним для СІБ. Як відомо, способи завдання шкоди для ІС постійно вдосконалюються, зловмисники вигадують нові способи несанкціонованого доступу в систему, завдання їй шкоди. Водночас, відповідно, мають розвиватися й засоби захисту. Постійно повинні усунутись недоробки в системі безпеки, проломи у захисті, модернізуватися програмний та апаратний комплекси захисту. Тому лише безперервний розвиток системи допоможе ефективно захищати систему.
Принцип поділу та мінімізації повноважень щодо доступу до оброблюваної інформації та процедур її обробки передбачаєсобою надання користувачам та працівникам ІВ повноважень, необхідних лише для виконання ними конкретних завдань. Тобто зайвих повноважень у цьому випадку не має бути.
Принцип повноти контролю та реєстрації спроб несанкціонованого доступу передбачає проведення постійного контролю над користувачами, які намагаються вчинити несанкціоновані дії у системі. Постійний моніторинг безпеки.
Принцип забезпечення надійності системи захисту передбачає неможливість зниження рівня надійності функціонування ІС при виникненні спроб злому, збоїв у системі, виходу з ладу обладнання та ПЗ. Для цього часто потрібне ще й створення системи постійного контролю безпеки.
Принцип забезпечення різноманітних засобів боротьби зі шкідливим ПЗ (вірусами). Цей принцип має на увазі комплекс заходів щодо захисту системи від впливу такого програмного забезпечення. Зокрема, захист системи антивірусними програмами, усунення можливих шляхів проникнення вірусів, постійне оновлення та оптимізація роботи антивірусних програм.
Для сучасної криптографії характерне використання відкритих алгоритмів шифрування, які передбачають використання обчислювальних засобів. Відомо більше десятка перевірених алгоритмів шифрування, які при використанні ключа достатньої довжини та коректної реалізації алгоритму криптографічно стійкі.
Криптоаналіз – наука про методи отримання вихідного значення зашифрованої інформації, не маючи доступу до секретної інформації (ключу), необхідної для цього. Найчастіше під цим мається на увазі знаходження ключа. У нетехнічних термінах криптоаналіз є злом шифру (коду).
Під терміном «криптоаналіз» також розуміється спроба знайти вразливість у криптографічномуалгоритм або протокол. Хоча основна мета залишилася незмінною з часом, методи криптоаналізу зазнали значних змін, еволюціонувавши від використання лише ручки та паперу до широкого застосування обчислювальних потужностей спеціалізованих криптоаналітичних комп'ютерів у наші дні. Якщо раніше криптоаналітиками були здебільшого лінгвісти, то в наш час це доля «чистих» математиків.
Результати криптоаналіз конкретного шифру називають криптографічної атакою на цей шифр. Успішну криптографічну атаку, що дискредитує атакований шифр, називають зломом або розтином.
Електронно-цифровий підпис (ЕЦП) – це криптографічний засіб, який дозволяє переконатися у відсутності спотворень у тексті електронного документа, а у відповідних випадках – ідентифікувати особу, яка створила такий підпис.
Алгоритм застосування ЕЦП складається з низки операцій:
- генерується пара ключів: відкритих та закритих;
- відкритий ключ передається зацікавленій стороні (отримувачу документів, підписаних стороною, що згенерувала ключі);
- відправник повідомлення шифрує його своїм закритим ключем та передає одержувачу каналами зв'язку;
- Одержувач дешифрує повідомлення відкритим ключем відправника.
Суть у тому, що створити зашифроване повідомлення, при розшифруванні якого відкритим ключем виходить вихідний текст, може лише власник закритого ключа, тобто відправник повідомлення. Використовувати відкритий ключ неможливо.
Захист даних криптографічними методами прийнято класифікувати за місцем застосування шифрування:
- Рівень файлової системи;
Електронний підпис призначений для ідентифікації особи, яка підписала електронний документ та є повноцінною заміною(аналогом) власноручного підпису у випадках, передбачених законом.
Використання електронного підпису дозволяє здійснити:
- контроль цілісності документа, що передається: при будь-якій випадковій або навмисній зміні документа підпис стане недійсним, тому що обчислено він на підставі вихідного стану документа і відповідає лише йому;
- Захист від змін (підробки) документа: гарантія виявлення підробки при контролі цілісності робить підроблення недоцільним у більшості випадків;