Способы несанкционированного доступа это

Руководящий документ

Утверждено решением председателя Гостехкомиссии России от 30 марта 1992 г.

Настоящий руководящий документ устанавливает термины и определения понятий в области защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации.

Установленные термины обязательны для применения во всех видах документации.

Для каждого понятия установлен один термин. Применение синонимов термина не допускается.

Для отдельных терминов даны (в скобках) краткие формы, которые разрешается применять в случаях, исключающих возможность их различного толкования.

Для справок приведены иностранные эквиваленты русских терминов на английском языке, а также алфавитные указатели терминов на русском и английском языках.

1. Термины и определения

1. Доступ к информации
(Доступ)
Access to information

Ознакомление с информацией, ее обработка, в частности, копирование модификация или уничтожение информации

2. Правила разграничения доступа
(ПРД)
Security policy

Совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа

3. Санкционированный доступ к информации
Authorized access to information

Доступ к информации, не нарушающий правила разграничения доступа

4. Несанкционированный доступ к информации
(НСД)
Unauthorized access to information

Доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техники или автоматизированными системами.
Примечание. Под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения средств вычислительной техники или автоматизированных систем

5. Защита от несанкционированного доступа
(Защита от НСД)
Protection from unauthorized access

Предотвращение или существенное затруднение несанкционированного доступа

6. Субъект доступа
(Субъект)
Access subject

Лицо или процесс, действия которого регламентируются правилами разграничения доступа

7. Объект доступа
(Объект)
Access object

Единица информационного ресурса автоматизированной системы, доступ к которой регламентируется правилами разграничения доступа

8. Матрица доступа
Access matrix

Таблица, отображающая правила разграничения доступа

9. Уровень полномочий субъекта доступа
Subject privilege

Совокупность прав доступа субъекта доступа

10. Нарушитель правил разграничения доступа
(Нарушитель ПРД)
Security policy violator

Субъект доступа, осуществляющий несанкционированный доступ к информации

11. Модель нарушителя правил разграничения доступа
(Модель нарушителя ПРД)
Security policy violator’s model

Абстрактное (формализованное или неформализованное) описание нарушителя правил разграничения доступа

12. Комплекс средств защиты
(КСЗ)
Trusted computing base

Совокупность программных и технических средств, создаваемая и поддерживаемая для обеспечения защиты средств вычислительной техники или автоматизированных систем от несанкционированного доступа к информации

13. Система разграничения доступа
(СРД)
Security policy realization

Совокупность реализуемых правил разграничения доступа в средствах вычислительной техники или автоматизированных системах

14. Идентификатор доступа
Access identifier

Уникальный признак субъекта или объекта доступа

15. Идентификация
Identification

Присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов

16. Пароль
Password

Идентификатор субъекта доступа, который является его (субъекта) секретом

17. Аутентификация
Authentication

Проверка принадлежности субъекту доступа предъявленного им идентификатора; подтверждение подлинности

18. Защищенное средство вычислительной техники
(защищенная автоматизированная система)
Trusted computer system

Средство вычислительной техники (автоматизированная система), в котором реализован комплекс средств защиты

19. Средство защиты от несанкционированного доступа
(Средство защиты от НСД)
Protection facility

Программное, техническое или программно-техническое средство, предназначенное для предотвращения или существенного затруднения несанкционированного доступа

20. Модель защиты
Protection model

Абстрактное (формализованное или неформализованное) описание комплекса программно-технических средств и (или) организационных мер защиты от несанкционированного доступа

21. Безопасность информации
Information security

Состояние защищенности информации, обрабатываемой средствами вычислительной техники или автоматизированной системы, от внутренних или внешних угроз

22. Целостность информации
Information integrity

Способность средства вычислительной техники или автоматизированной системы обеспечивать неизменность информации в условиях случайного и (или) преднамеренного искажения (разрушения)

23. Конфиденциальная информация
Sensitive information

Информация, требующая защиты

24. Дискреционное управление доступом
Discretionary access control

Разграничение доступа между поименованными субъектами и поименованными объектами. Субъект с определенным правом доступа может передать это право любому другому субъекту

25. Мандатное управление доступом
Mandatory access control

Разграничение доступа субъектов к объектам, основанное на характеризуемой меткой конфиденциальности информации, содержащейся в объектах, и официальном разрешении (допуске) субъектов обращаться к информации такого уровня конфиденциальности

26. Многоуровневая защита
Multilevel secure

Защита, обеспечивающая разграничение доступа субъектов с различными правами доступа к объектам различных уровней конфиденциальности

27. Концепция диспетчера доступа
Reference monitor concept

Концепция управления доступом, относящаяся к абстрактной машине, которая посредничает при всех обращениях субъектов к объектам

28. Диспетчер доступа
(ядро защиты)
Security kernel

Технические, программные и микропрограммные элементы комплекса средств защиты, реализующие концепцию диспетчера доступа

29. Администратор защиты
Security administrator

Субъект доступа, ответственный за защиту автоматизированной системы от несанкционированного доступа к информации

30. Метка конфиденциальности
(Метка)
Sensitivity label

Элемент информации, который характеризует конфиденциальность информации, содержащейся в объекте

31. Верификация
Verification

Процесс сравнения двух уровней спецификации средств вычислительной техники или автоматизированных систем на надлежащее соответствие

32. Класс защищенности средств вычислительной техники (автоматизированной системы)
Protection class of computer systems

Определенная совокупность требований по защите средств вычислительной техники (автоматизированной системы) от несанкционированного доступа к информации

33. Показатель защищенности средств вычислительной техники
(Показатель защищенности)
Protection criterion of computer systems

Характеристика средств вычислительной техники, влияющая на защищенность и описываемая определенной группой требований, варьируемых по уровню, глубине в зависимости от класса защищенности средств вычислительной техники

34. Система защиты секретной информации
(СЗСИ)
Secret information security system

Комплекс организационных мер и программно-технических (в том числе криптографических) средств обеспечения безопасности информации в автоматизированных системах

35. Система защиты информации от несанкционированного доступа
(СЗИ НСД)
System of protection from unauthorized access to information

Комплекс организационных мер и программно-технических (в том числе криптографических) средств защиты от несанкционированного доступа к информации в автоматизированных системах

36. Средство криптографической защиты информации
(СКЗИ)
Cryptographic information protection facility

Средство вычислительной техники, осуществляющее криптографическое преобразование информации для обеспечения ее безопасности

37. Сертификат защиты
(Сертификат)
Protection certificate

Документ, удостоверяющий соответствие средства вычислительной техники или автоматизированной системы набору определенных требований по защите от несанкционированного доступа к информации и дающий право разработчику на использование и (или) распространение их как защищенных

38. Сертификация уровня защиты
(Сертификация)
Protection level certification

Процесс установления соответствия средства вычислительной техники или автоматизированной системы набору определенных требований по защите

2. Алфавитный указатель терминов на русском языке

Дискреционное управление доступом

Доступ к информации

Защита от несанкционированного доступа

Защищенное средство вычислительной техники (защищенная автоматизированная система)

Класс защищенности средств вычислительной техники (автоматизированной системы)

Комплекс средств защиты

Концепция диспетчера доступа

Мандатное управление доступом

Модель нарушителя правил разграничения доступа

Нарушитель правил разграничения доступа

Несанкционированный доступ к информации

Показатель защищенности средств вычислительной техники

Правила разграничения доступа

Санкционированный доступ к информации

Сертификация уровня защиты

Система защиты информации от несанкционированного доступа

Система защиты секретной информации

Система разграничения доступа

Средство защиты от несанкционированного доступа

Средство криптографической защиты информации

Уровень полномочий субъекта доступа

3. Алфавитный указатель терминов на английском языке

Access to information

Authorized access to information

Cryptographic information protection facility

Discretionary access control

Mandatory access control

Protection class of computer systems

Protection criterion of computer systems

Protection from unauthorized access

Protection level certification

Reference monitor concept

Secret information security system

Security policy realization

Security policy violator

Security policy violator’s model

System of protection from unauthorized access to information

Источник

Защита информации от несанкционированного доступа

ИБ-аутсорсинг
на базе DLP-системы

Контроль исполнения документов

Мониторинг ИТ инфраструктуры

Защита бизнеса от мошенничества

Разработка требований к защите информации

Управление системами фильтрации электронной почты и веб-трафика

АУТСОРСИНГ DLP ДЛЯ ЗАЩИТЫ БИЗНЕСА

С овременные компании располагают значительными объемами информации. В сегодняшних реалиях она является основным ресурсом. Базы данных нуждаются в надежной охране от преступного использования, которое представляет собой серьезную угрозу для деятельности и существования компании. Поэтому так важно обеспечить защиту данных от несанкционированного доступа. Это комплекс мероприятий, направленных на контроль полномочий пользователей. В компании вводится ограничение использования сведений, которые не нужны сотрудникам для выполнения прямых обязанностей. Контролировать необходимо действия как с бумажными документами, так и со сведениями на электронных носителях информации.

Для того чтобы создать надежную систему защиты информации нужно определить возможные способы получения данных.

Способы доступа посторонних к сведениям

Несанкционированный доступ к информации (НСД) может быть получен разными способами. Прямое хищение документов или взлом операционных систем компьютеров составляют лишь малую часть возможных вариантов. Наиболее уязвимыми считаются электронные средства хранения информации, так как для них могут быть использованы удаленные методы управления и контроля.

Возможные варианты получения незаконного доступа:

• подключение к системам связи (телефонные линии, интеркомы, проводные переговорные устройства);
• хищение документации, в том числе ее копирование (тиражирование) с враждебными целями;
• непосредственное использование компьютеров, внешних накопителей или иных устройств, содержащих информацию;
• внедрение в операционную систему через Интернет, в том числе с использованием шпионских программ, вирусов и прочего вредоносного программного обеспечения;
• использование сотрудников компании (инсайдеров) в качестве источников сведений.

По данным Gartner, 60% людей готовы пойти на преступление под гнетом обстоятельств. Узнайте, на что способны ваши сотрудники с помощью «СёрчИнформ ProfileCenter».

Подключение к действующему каналу связи позволяет получать сведения косвенным способом, без непосредственного доступа к базам данных. Наиболее защищенными от вторжения извне считаются оптоволоконные линии, но и к ним можно присоединиться после некоторых подготовительных операций. Целью злоумышленников в этом случае становятся рабочие переговоры сотрудников – например, при проведении следственных мероприятий или при совершении финансовых операций.

Часто для получения нужных сведений злоумышленники используют сотрудников компаний. В ход идут разные способы убеждения и мотивации – от подкупа до более жестких методов (запугивание, шантаж). В группу риска входят сотрудники, у которых возник конфликт с коллегами или с администрацией компании. Эти работники могут иметь авторизованный доступ к информации, позволяющий им получать определенные сведения без ограничений. Аутентификация пользователей в данном случае не является эффективной мерой защиты, поскольку она способна отсечь только посторонних.

Еще одна внутренняя угроза – кража носителей с ценными сведениями, например, программным кодом, который является разработкой компании. На это способны только доверенные лица, имеющие доступ к конфиденциальным данным в физическом или электронном виде.

Параллельно с развитием средств защиты информации ведутся разработки новых методов НСД. Необходимо понимать, что изученные методы незаконного получения данных не считаются перспективными. Наибольшую опасность представляют новые и малоизученные способы доступа к ресурсам компании, против которых пока нет эффективных методик борьбы. Поэтому считать средства защиты от несанкционированного доступа излишней мерой не следует. Это не попытка перестраховаться, а следствие правильного понимания размеров угрозы.

Для чего предпринимаются попытки доступа к чужой информации

Основная цель несанкционированного доступа к информации – получение дохода от использования чужих данных.

Возможные способы использования полученных сведений:

• перепродажа третьим лицам;
• подделка или уничтожение (например, при получении доступа к базам должников, подследственных, разыскиваемых лиц и т. п.);
• использование чужих технологий (промышленный шпионаж);
• получение банковских реквизитов, финансовой документации для незаконных операций (например, обналичивания денег через чужой счет);
• изменение данных с целью навредить имиджу компании (незаконная конкуренция).

Конфиденциальная информация представляет собой эквивалент денежных средств. При этом для самого владельца сведения могут ничего не значить. Однако ситуация постоянно меняется, и данные могут внезапно приобрести большое значение, и этот факт потребует их надежной защиты.

Вы знаете, сколько конфиденциальных документов хранится в файловой системе вашей компании? Проведите быстрый и точный аудит с помощью «СёрчИнформ FileAuditor».

Методы защиты от несанкционированного доступа

Методы защиты компьютеров от несанкционированного доступа делятся на программно-аппаратные и технические. Первые отсекают неавторизованных пользователей, вторые предназначены для исключения физического проникновения посторонних людей в помещения компании.

Создавая систему защиты информации (СЗИ) в организации, следует учитывать, насколько велика ценность внутренних данных в глазах злоумышленников.

Для грамотной защиты от несанкционированного доступа важно сделать следующее:

• отсортировать и разбить информацию на классы, определить уровни допуска к данным для пользователей;
• оценить возможности передачи информации между пользователями (установить связь сотрудников друг с другом).

В результате этих мероприятий появляется определенная иерархия информации в компании. Это дает возможность разграничения доступа к сведениям для сотрудников в зависимости от рода их деятельности.

Аудит доступа к данным должен входить в функционал средств информационной безопасности. Помимо этого, программы, которые компания решила использовать, должны включать следующие опции:

• аутентификация и идентификация при входе в систему;
• контроль допуска к информации для пользователей разных уровней;
• обнаружение и регистрация попыток НСД;
• контроль работоспособности используемых систем защиты информации;
• обеспечение безопасности во время профилактических или ремонтных работ.

Идентификация и аутентификация пользователей

Для выполнения этих процедур необходимы технические средства, с помощью которых производится двухступенчатое определение личности и подлинности полномочий пользователя. Необходимо учитывать, что в ходе идентификации необязательно устанавливается личность. Возможно принятие любого другого идентификатора, установленного службой безопасности.

После этого следует аутентификация – пользователь вводит пароль или подтверждает доступ к системе с помощью биометрических показателей (сетчатка глаза, отпечаток пальца, форма кисти и т. п.). Кроме этого, используют аутентификацию с помощью USB-токенов или смарт-карт. Этот вариант слабее, так как нет полной гарантии сохранности или подлинности таких элементов.

Протоколы секретности для бумажной документации

Несмотря на повсеместную цифровизацию, традиционные бумажные документы по-прежнему используются в организациях. Они содержат массу информации – бухгалтерские сведения, маркетинговую информацию, финансовые показатели и прочие критические данные. Заполучив эти документы, злоумышленник может проанализировать масштабы деятельности организации, узнать о направлениях финансовых потоков.

Для защиты документации, содержащей сведения критической важности, используются специальные протоколы секретности. Хранение, перемещение и копирование таких файлов производится по специальным правилам, исключающим возможность контакта с посторонними лицами.

Защита данных на ПК

Для защиты информации, хранящейся на жестких дисках компьютеров, используются многоступенчатые средства шифрования и авторизации. При загрузке операционной системы используется сложный пароль, который невозможно подобрать обычными методами. Возможность входа в систему пользователя со стороны исключается путем шифрования данных в BIOS и использования паролей для входа в разделы диска.

Для особо важных устройств следует использовать модуль доверенной загрузки. Это аппаратный контроллер, который устанавливается на материнскую плату компьютера. Он работает только с доверенными пользователями и блокирует устройство при попытках включения в отсутствие владельца.

Также применяются криптографические методы шифрования данных, превращающие текст «вне системы» в ничего не значащий набор символов.

Эти мероприятия обеспечивают защиту сведений и позволяют сохранить их в неприкосновенности.

Определение уровней защиты

С методической точки зрения процесс защиты информации можно разделить на четыре этапа:

• предотвращение – профилактические меры, ограничение доступа посторонних лиц;
• обнаружение – комплекс действий, предпринимаемых для выявления злоупотреблений;
• ограничение – механизм снижения потерь, если предыдущие меры злоумышленникам удалось обойти;
• восстановление – реконструкция информационных массивов, которая производится по одобренной и проверенной методике.

Каждый этап требует использования собственных средств защиты информации, проведения специальных мероприятий. Необходимо учитывать, что приведенное разделение условно. Одни и те же действия могут быть отнесены к разным уровням.

Не хватает ресурсов, чтобы заняться информационной безопаностью всерьез? Пригласите специалиста по ИБ-аутсорсингу! Узнать, как это работает.

Предотвращение сетевых атак

Компьютеры, подключенные к Интернету, постоянно подвергаются риску заражения вредоносным программным обеспечением. Существует масса ПО, предназначенного для отслеживания паролей, номеров банковских карт и прочих данных. Нередко вирусы содержатся в рассылках электронной почты, попадают в систему через сомнительные сетевые ресурсы или скачанные программы.

Для защиты системы от вредоносных программ, необходимо использовать антивирусные приложения, ограничить доступ в Сеть на определенные сайты. Если в организации параллельно используются локальные сети, следует устанавливать файрволы (межсетевые экраны).

Большинство пользователей хранит информацию в отдельных папках, которые названы «Пароли», «Мои карты» и т. п. Для злоумышленника такие названия являются подсказками. В названиях таких файлов необходимо использовать комбинации букв и цифр, ничего не говорящие посторонним людям. Также рекомендуется шифровать ценные данные в компьютерах и периодически производить их резервное копирование.

Какие результаты должны быть достигнуты

Грамотное использование систем защиты информации позволяет добиться благоприятных результатов:

• уменьшить риски утраты репутации и потери денежных средств;
• исключить потери научных разработок, интеллектуальной собственности, личных данных;
• снизить затраты на мероприятия по защите информации, исключению постороннего доступа к ценным сведениям.

Также служба ИБ должна настроить политики безопасности для всех подразделений и сотрудников, работающих с конфиденциальной информацией разного типа:

• финансовая документация;
• клиентские базы данных;
• научные и технологические разработки, другая интеллектуальная собственность;
• сведения, составляющие банковскую тайну;
• персональная информация сотрудников или иных лиц.

Каждый сотрудник должен иметь возможность работать только с информацией, необходимой ему для выполнения трудовых обязанностей. Это исключает недобросовестное использование сведений, утечку или копирование данных с враждебными целями.

Несанкционированный доступ к информации возможен в любой системе – от небольших организаций до крупных государственных структур. Внимательное отношение к защите сведений, создание подразделений информационной безопасности позволяют минимизировать потери и предотвратить попытки хищения или копирования данных. Отдельное внимание следует уделять работе с авторизованными сотрудниками, имеющими доступ к критической информации. Меры защиты должны быть приняты заблаговременно, поскольку уступить инициативу – значит допустить потерю данных.

Источник