Теорія захисту інформації (стр. 2 из 2)

Склад комплексної системи захисту визначається на основі вивчення усіх інформаційних процесів та потоків системи телекомунікацій і, як наслідок, розробці такої моделі загроз, щоб забезпечити мінімізацію втрат. На основі моделі загроз має бути розроблена та запроваджена концепція та політика інформаційної безпеки банку та створена комплексна система захисту інформації, які мають забезпечувати такі послуги безпеки:

- конфіденційність інформації – властивість інформації, коли неавторизовані особи, які не мають доступу до інформації, не можуть розкрити зміст цієї інформації;

- цілісність інформації – властивість інформації, яка полягає в тому, що вона не може бути змінена навмисно або випадково користувачем чи процесом. А також властивість, яка полягає в тому, що жодний з її компонентів не може бути усунений, модифікований або доданий з порушенням політики безпеки;

- справжність;

- доступність – властивість ресурсу системи (інформації), яка полягає в тому, що авторизований користувач може отримати доступ до ресурсу тільки із заданою якістю;

- спостережливість – властивість ресурсу інформаційної технології, що дозволяє реєструвати всі дії користувачів, здійснювати доступ поіменно, відповідно до ідентифікаторів та повноважень, а також реагувати на ці дії з метою мінімізації можливих втрат в системі, що здійснюється також за рахунок застосування криптографічного захисту інформації (КЗІ);

- неспростростовність;

- Вказані послуги можуть бути забезпечені, перш за все, за рахунок використання різних криптографічних перетворень, криптографічних систем та криптографічних протоколів.

Таким чином системи захисту інформації повинні забезпечувати такі функції захисту інформації:

- конфіденційність;

- цілісність;

-справжність (автентичність);

-неспростовність;

-доступність;

-надійність.

2. Основні поняття і визначення

На наш погляд як базисні поняття криптології, що відображують її суть, узгод-жені з розповсюдженими поняттями та відображують новітні досягнення, можуть бути прийняті такі:

Інформація в інформаційних системах (ІС), телекомунікаційних системах (ТС), інформаційно-телекомунікаційних системах (ІТС), інформаційних технологіях (ІТ) та системах інформаційних технологій (СІТ) – сукупність даних, програм, повідомлень та команд, які використовуються або передаються в них, незалежно від засобу їх фізичного або логічного представлення (подання). Керівна, науково-дослідна та науково-технічна, проектно-експлуатаційна та інша документація життєвого циклу ІС, ТС, ІТС, ІТ та СІТ.

Інформаційна (автоматизована) система – система, в якій реалізується технологія обробки інформації за допомогою технічних і програмних засобів.

Телекомунікаційна система – сукупність технічних і програмних засобів, призначених для обміну інформацією шляхом передавання, випромінювання або приймання її у вигляді сигналів, знаків, звуків, рухомих або нерухомих зображень чи іншим способом.

Інформаційно-телекомунікаційна система – сукупність взаємопов’язаних інформаційних та телекомунікаційних систем, які у процесі обробки інформації діють як єдина система.

Безпека інформації – захищеність даних, програм, повідомлень, протоколів, засобів та середовища від порушення конфіденційності, цілісності, доступності та спостережливості інформації та (або) ресурсів.

Забезпечення безпеки інформації – впроваджена сукупність заходів, спрямованих на запобігання витоку, порушення конфіденційності, цілісності, доступності та спостережливості інформації.

Захист інформації в системі – діяльність, що спрямована на запобігання заподіянню шкоди інтересам власників інформації, її користувачів, власників системи та іншим суб’єктам відносин у сфері захисту інформації в системі, обумовленої порушенням умов обробки інформації та/або вимог до її захисту, а також діяльність по забезпеченню конфіденційності, цілісності, доступності та спостережливості інформації та ресурсів.

Криптографічне перетворення інформації – перетворення інформації з метою приховування або відновлення її змісту, підтвердження її справжності, цілісності, авторства, захисту від несанкціонованого доступу до інформації та ресурсів тощо, яке здійснюється з використанням спеціальних (ключових) даних.

Криптографічний захист інформації – вид захисту, що реалізується за допомогою її криптографічного перетворення з метою забезпечення її конфіденційності, цілісності, справжності, доступності, спостережливості тощо.

Засіб криптографічного захисту інформації – апаратний, програмний, апаратно-програмний або інший засіб, призначений для криптографічного захисту інформації.

До засобів КЗІ належать:

- апаратні, програмні, апаратно-програмні засоби, що реалізують криптографічне перетворення інформації;

- апаратні, програмні, апаратно-програмні засоби забезпечення цілісності та справжності інформації, у тому числі засоби імітозахисту та цифрового підпису, що здійснюються за допомогою криптографічного перетворення інформації;

- апаратні, програмні, апаратно-програмні засоби, які призначені для управління ключовими даними, включаючи генерацію ключових даних та виготовлення ключових документів;

- апаратні, програмні та апаратно-програмні засоби захисту інформації від несанкціонованого доступу (НСД), що використовують криптографічні алгоритми перетворення інформації.

Криптографічна система (криптосистема) – сукупність засобів КЗІ, необхідної ключової, нормативної, експлуатаційної, а також іншої документації (у тому числі такої, що визначає заходи безпеки), використання яких забезпечує необхідний рівень безпеки інформації, що обробляється та (або) передається в КСЗІ ІТ (ІТС, СІТ).

3. Введення в криптологію

Найбільш загальною наукою про таємницю є криптологія. Криптологія як наука вивчає закономірності забезпечення конфіденційності, цілісності і т.д. критичної інформації в умовах інтенсивної протидії (криптоаналізу).

Криптологія поділяється на криптографію і криптоаналіз.

Криптографія - вивчає методи, алгоритми і засоби здійснення криптографічного захисту інформації.

Криптоаналіз – вивчає методи, алгоритми і засоби розкриття криптографічної системи при невідомій частині ключа.

Криптографічне перетворення інформації – здійснюється з використанням симетричних, несиметричних криптосистем. Криптографічна система називається симетричною, якщо ключ прямого перетворення збігається з ключем зворотного перетворення чи обчислюється один з іншого не вище чим з поліноміальною складністю (не більш 1 секунди).

Криптосистема (алгоритм) не симетричний, якщо ключ прямого перетворення не збігається з ключем зворотного перетворення, і один може бути обчислений з іншого не нижче чим з експоненціальною складністю.

У Європі криптопроект NESSIE –2000-2003, у ньому визначено 10 видів криптоперетворень

Симетричні – розробка блокового симетричного шифрування, потоковий шифр, автентифікація (процедура встановлення дійсності джерела, приймача повідомлень).

Несиметричні – функції хеширування (обчислення криптографічних контрольних сум) односпрямованої хеш (стиску з великого простіра в малий), ключова хеш з використанням ключа.

Направлене шифрування (виконується умова (2)).

Ідентифікація (автентифікація) - (1),(2).

Криптопротокол - рішення розподіленої задачі, багатоетапно.

4. Нормативно-правова база захисту інформації

Захист інформації здійснюється у відповідності до діючої нормативно-правової бази України. До цієї бази відносяться:

1. Закони України.

2. Укази Президента України.

3. Постанови Кабінету Міністрів.

4. Накази Служби безпеки України.

5. Нормативні документи з криптографічного та технічного захисту інформації.

6. Національні стандарти в галузі захисту інформації.

7. Міжнародні та регіональні стандарти в сфері захисту інформації.