СОВРЕМЕННЫЕ ИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ4.Информационная безопасность.

к.т.н. Цивільський Ф.М., Козел В.М., Дроздова Є.А.

Херсонський національний технічний університет

ІНФОРМАЦІЙНА БЕЗПЕКА РОБОЧОГО МІСЦЯ

Стрімкий розвиток інформаційних технологій (ІТ) спричинив формування інформаційного середовища, яке впливає на всі сфери людської діяльності. Нові технологічні можливості полегшують поширення інформації, підвищують ефективність виробничих процесів, сприяють розширенню інформаційного простору й підвищення рівня освіти. Однак, незважаючи на інтенсивний розвиток комп'ютерних засобів і ІТ, уразливість сучасних інформаційних систем і комп'ютерних мереж, на жаль, не зменшується.[1]

Застосування ІТ вимагає підвищеної уваги до питань інформаційної безпеки. Руйнування інформаційного ресурсу, його тимчасова недоступність або несанкціоноване використання можуть нанести значний матеріальний збиток. Без належного ступеня захисту інформації впровадження ІТ може виявитися економічно невигідним у результаті значних втрат конфіденційних даних, що зберігаються й оброблюються у комп'ютерних системах і мережах.

Реалізація рішень, що забезпечують безпеку інформаційних ресурсів, суттєво підвищує ефективність усього процесу інформатизації в організації, забезпечуючи цілісність, справжність і конфіденційність інформації, що циркулює в локальних і глобальному інформаційних середовищах. Тому забезпечення інформаційної безпеки комп'ютерних систем і мереж є пріоритетним напрямком у сучасному світі.

Постановка завдання. Забезпечення інформаційної безпеки повинне включати розв'язання таких завдань, як автентифікація й авторизація користувачів, забезпечення цілісності й конфіденційності даних, реалізація електронного цифрового підпису й ін. Організації потребують надійних, гнучких і безпечних методів і засобів для одержання й використання відкритої й конфіденційної інформації численними групами людей — своїми співробітниками, партнерами, клієнтами й ін. Проблема полягає в забезпеченні доступу до такої інформації тільки авторизованим користувачам. Доцільно використовувати інтегровану систему керування доступом користувачів до чутливої інформації в широкому діапазоні точок доступу й застосувань. Така система розв'язує багато проблем контролю доступу, з якими стикаються організації, забезпечуючи при цьому зручний доступ і високу безпеку. [1]

Метою статті є аналіз методів захисту конфіденційної інформації на робочих місцях і пропозиції по поліпшенню інформаційної безпеки робочого місця.

Для реалізації зростаючих потреб у захисті інформації на робочих місцях необхідно побудувати надійну з погляду безпеки систему. Можна виділити основні технології захисту даних на робочому місці [1]:

¾ автентифікація, або перевірка справжності користувача;

¾ керування доступом, що дозволяє авторизованим користувачам одержувати доступ до необхідних ресурсів;

¾ шифрування, що гарантує, що зв'язок між користувачем і базовою інфраструктурою захищений.

Рішення, яке виконує всі перераховані технології, може створити довірене середовище, здатне по-справжньому забезпечити реалізацію безпеки робочого місця. Розглянемо перераховані технології, вирішення яких необхідно для досягнення поставленої мети.

Автентифікація (Authentication) — процедура перевірки дійсності заявленого користувача, процесу або пристрою. Ця перевірка дозволяє достовірно переконатися, що користувач (процес або пристрій) є саме тем, ким себе оголошує. При проведенні автентифікації сторона, що перевіряє, переконується в дійсності сторони, що перевіряється, при цьому сторона, що перевіряється, теж бере активну участь у процесі обміну інформацією.

Процеси автентифікації можна класифікувати за рівнем забезпечуваної безпеки. Відповідно до цього критерію процеси автентифікації розділяються на наступні типи:

¾ автентифікація, що використовує паролі й PIN-коди;

¾ строга автентифікація на основі використання криптографічних методів і засобів;

¾ біометрична автентифікація користувачів.

Усі перераховані методи автентифікації сприяють вирішенню завдання по захисту робочого місця від несанкціонованого доступу, але мають як ряд позитивних якостей, так і недоліки.

Строга автентифікація на основі використання криптографічних методів і засобів може бути реалізована на програмному й апаратному рівні. На сьогоднішній день існує досить велика множина криптографічних методів і засобів, що дозволяють розв'язати дане завдання, однак і вони мають ряд недоліків. До основних недоліків криптографічних методів можна віднести обмежений розмір ключа шифрування. Для надійного криптозахисту, як у випадку паролів, так і у випадку PIN-кодів, потрібні не тільки більш стійкі методи шифрування, але ключі великої довжини, що може суттєво впливати на швидкодію системи в цілому.

Біометрична автентифікація користувачів являє собою новітні розробки в області захисту інформації. У якості основ для автентифікації в таких системах використовуються біометричні характеристики користувача, такі як: відбитки пальців, райдужна оболонка ока й ін. Даний метод автентифікації можна також віднести до методу строгої автентифікації, оскільки біометричні характеристики людини є свого роду унікальними ключами шифрування. Даний метод автентифікації вимагає істотних матеріальних витрат на встаткування, яке виконує зчитування біометричних характеристик людини, а також сховища з зчитаними біометричними характеристиками, що приводить до нового завдання - захисту конфіденційної інформації в базах даних.

Розглянувши дані методи автентифікації користувача на робочому місці, можна зробити наступні висновки:

1) сукупність усіх методів автентифікації може дати необхідний рівень захисту інформації на робочому місці;

2) для невеликих підрозділів з обмеженою кількістю персоналу й системою контролю відвідувань достатньо криптографічних систем автентифікації;

3) у домашніх системах, як показує практика, захисту за допомогою паролів і PIN-кодів цілком достатньо, але з розвитком телекомунікаційних технологій і інтеграції домашньої техніки в єдину мережу конфіденційна інформація усе більше піддається ризикам;

4) слабким місцем у системі безпеки офісу є захист даних, узятих безпосередньо з робочого місця користувача (коли автентифікація вже пройдена).

Керування доступом (Access Control) є критичним компонентом загальної системи безпеки. Система керування доступом забезпечує авторизованим користувачам доступ до належних ресурсів, передбачає програмну реалізацію, яка звичайно ґрунтується на ролях прав доступу.

Керування доступом і автентифікація користувача тісно зв'язані між собою й можуть представляти єдину програмну реалізацію для автентифікації й керування доступом. Проектування цієї інфраструктури вимагає тонкого балансу між наданням доступу до критичних ресурсів тільки авторизованим користувачам і забезпеченням необхідної безпеки цих ресурсів, відомих великій кількості користувачів. Звідси випливає, що керування доступом піддається таким же ризикам, як і автентифікація.

Шифрування даних (Data Encryption), гарантує, що зв'язок між користувачем і базовою інфраструктурою захищена. Як розглядалося раніше, існує безліч методів шифрування й кодування інформації, недоліки даних методів були описані вище. Однак на даному рівні система не тільки шифрує дані, вона також повинна передавати інформацію з незахищених каналів зв'язку на другу сторону, де буде відбуватися її розшифрування. Звідси випливає ще одна складність - передача методу шифрування (погодженість), а також, при необхідності передача ключа, що ставить під загрозу безпеку всієї системи.

Був розроблений власний алгоритм, який частково вирішує описані завдання й дозволяє користувачеві не тільки передавати інформацію в захищеному виді, але й розв'язати проблему захисту даних на робочому місці.

На початковому етапі пропонується розбити всю робочу область (екран) на кілька зон. Кожній зоні відповідає свій власний метод шифрування й автентифікації, що дозволяє виконати захист необхідної інформації по строго визначеному алгоритму для кожної області.

На другому етапі відбувається кодування інформації для передачі її по незахищених каналах зв'язку в місця зберігання або іншим користувачам.

При необхідності зміни методу шифрування й ключів проводяться уповноваженою особою незалежно від користувачів одночасно на джерелі повідомлення й приймачі.

Третій етап повинен виконувати роль погоджувального пристрою для прив'язки захищеної інформації до певної робочої області.

Розроблене програмне забезпечення, що працює по даному алгоритму, дозволить захистити конфіденційну інформацію безпосередньо на робочих місцях, легко інтегрується в операційну систему, не вимагає спеціального навчання користувачів.

Висновки. Розглянутий алгоритм дозволяє розв'язати ряд завдань по захисту конфіденційної інформації на робочих місцях, спростити узгодження рішень по вибору методу шифрування (опираючись на обрану зону), а також надати окрему автентифікацію на кожному робочому місці.

Література:

1. Шаньгин В. Ф. Інформаційна безпека комп'ютерних систем і мереж: учеб. посібник. - М.: ИД «ФОРУМ»: ИНФРА-М, 2011. - 416 с.

2. Степанов Е.А., Корнеев І.К. Інформаційна безпека й захист інформації: Учеб. посібник. - М.: ИНФРА-М, 2001. - 304 с.