A informação desempenha um papel especial no desenvolvimento da civilização. A posse de recursos de informação e a sua utilização racional criam condições para uma gestão óptima da sociedade. Pelo contrário, a distorção da informação, o bloqueio da sua recepção e a utilização de dados não fiáveis ​​levam a decisões erradas.

Um dos principais fatores que garantem a eficiência na gestão das diversas esferas da vida pública é o uso correto de informações de diversos tipos. O ritmo do progresso hoje, e ainda mais amanhã, depende em grande medida da situação no domínio dos serviços de informação e informática nas áreas de atividade mais importantes - ciência, tecnologia, produção e gestão.

O problema da utilização da informação económica no domínio da gestão da produção de materiais é especialmente relevante, onde o crescimento do fluxo de informação é quadraticamente dependente do potencial industrial do país. Por sua vez, o rápido desenvolvimento dos processos de automação e a utilização de computadores em todas as esferas da vida moderna, além de vantagens indiscutíveis, têm levado ao surgimento de uma série de problemas específicos. Um deles é a necessidade de garantir uma proteção eficaz da informação. Com base nisso, a criação de normas legais que estabeleçam os direitos e obrigações dos cidadãos, dos grupos e do Estado à informação, bem como a proteção dessa informação, tornam-se o aspecto mais importante da política de informação do Estado. A protecção da informação, especialmente na esfera económica, é um tipo de actividade muito específico e importante. Basta dizer que no mundo o valor médio dos danos causados ​​​​por um roubo a banco por meio eletrônico é estimado em 9 mil dólares. As perdas anuais com crimes informáticos nos EUA e na Europa Ocidental chegam a 140 bilhões de dólares. dos sistemas de segurança da informação das redes de computadores levará à ruína de 20% das médias empresas em poucas horas, 40% das médias e 16% das grandes empresas falirão em poucos dias, 33% dos bancos entrarão em colapso em 2 a 5 horas, 50% dos bancos - em 2 a 3 dias.

São de interesse informações sobre problemas de proteção de dados que levaram a perdas materiais em empresas dos EUA:

falhas de rede (24%);

erros de software (14%);

vírus de computador (12%);

mau funcionamento de computadores (11%);

roubo de dados (7%);

sabotagem (5%);

entrada não autorizada na rede (4%);

outros (23%).

O rápido desenvolvimento e disseminação de sistemas informáticos e redes de informação que servem bancos e bolsas de valores é acompanhado por um aumento de crimes relacionados com roubo e acesso não autorizado a dados armazenados na memória do computador e transmitidos através de linhas de comunicação.

Os crimes informáticos ocorrem hoje em todos os países do mundo e são comuns em muitas áreas da atividade humana. Caracterizam-se pelo elevado sigilo, pela dificuldade de recolha de provas com base nos factos apurados da sua prática e pela dificuldade de provar tais casos em tribunal. As infrações no domínio da informação informática podem ser cometidas sob a forma de:

fraude através de manipulação informática do sistema de tratamento de dados para obtenção de ganhos financeiros;

espionagem informática e roubo de software;

sabotagem informática;

roubo de serviços (tempo), uso indevido de sistemas de processamento de dados;

acesso não autorizado a sistemas de processamento de dados e “hackeá-los”;

crimes tradicionais nos negócios (economia) cometidos com a ajuda de sistemas de processamento de dados.

Os crimes informáticos são geralmente cometidos por programadores de sistemas e bancários altamente qualificados e especialistas na área de sistemas de telecomunicações. Uma séria ameaça aos recursos de informação é representada por hackers E biscoitos, penetrando em sistemas e redes de computadores hackeando software de segurança. Os crackers também podem apagar ou alterar dados do banco de informações de acordo com seus interesses. Nas últimas décadas, nos países da ex-URSS, surgiu uma geração poderosa de potenciais hackers altamente treinados, trabalhando em organizações e departamentos envolvidos na pirataria de informação a nível estatal para utilizar informações recebidas do Ocidente para interesses militares e económicos.

O que os hackers roubam? Um objeto potencial pode ser qualquer informação armazenada em um computador, passando por redes de computadores ou localizada em mídia de computador e capaz de gerar lucro para um hacker ou seu empregador. Esta informação inclui quase toda a informação que constitui segredo comercial das empresas, desde desenvolvimentos e know-how até folhas de pagamento, a partir das quais é fácil “calcular” o volume de negócios da empresa, número de empregados, etc.

Particularmente valiosas são as informações sobre transações bancárias e empréstimos realizados por e-mail, bem como transações em bolsa. De grande interesse para os hackers são os produtos de software avaliados no mercado moderno em milhares, ou mesmo milhões, de dólares.

Os crackers - “terroristas de computador” - estão envolvidos em danificar programas ou informações por meio de vírus - programas especiais que garantem a destruição de informações ou falhas de sistema. A criação de programas “vírus” é um negócio muito lucrativo, uma vez que algumas empresas fabricantes utilizam vírus para proteger os seus produtos de software contra cópias não autorizadas.

Para muitas empresas, obter informações apresentando um programador hacker aos concorrentes é a coisa mais simples e lucrativa. Apresentar equipamentos especiais aos seus oponentes e monitorar constantemente seu escritório em busca de radiação usando equipamentos especiais é uma tarefa cara e perigosa. Além disso, quando uma empresa concorrente descobre meios técnicos, pode responder iniciando um jogo dando informações falsas. Portanto, ter seu próprio programador hacker no “campo do inimigo” é a maneira mais confiável de combater os concorrentes.

Assim, o perigo cada vez maior da criminalidade informática, principalmente na esfera financeira e de crédito, determina a importância de garantir a segurança dos sistemas de informação automatizados.

Segurança da informação de uma organização (instituição)

Sob A segurança de um sistema de informação automatizado de uma organização (instituição) significa a sua proteção contra interferências acidentais ou intencionais no processo normal de funcionamento, bem como contra tentativas de roubo, modificação ou destruição dos seus componentes. A segurança do sistema é alcançada garantindo a confidencialidade das informações que processa, bem como a integridade e disponibilidade dos componentes e recursos do sistema.

Confidencialidade do computador – esta é propriedade da informação ser conhecida apenas pelos sujeitos admitidos e verificados (autorizados) do sistema (usuários, programas, processos, etc.).

Integridade componente (recurso) de um sistema – a propriedade de um componente (recurso) de permanecer inalterado (no sentido semântico) durante a operação do sistema.

Disponibilidade componente (recurso) do sistema – a propriedade de um componente (recurso) estar disponível para uso por entidades autorizadas do sistema a qualquer momento.

A segurança do sistema é garantida por um conjunto de medidas tecnológicas e administrativas aplicadas a hardware, programas, dados e serviços para garantir a disponibilidade, integridade e confidencialidade dos recursos informáticos; Isto também inclui procedimentos para verificar se o sistema executa determinadas funções em estrita conformidade com a ordem operacional planejada.

O sistema de segurança do sistema pode ser dividido nos seguintes subsistemas:

segurança informática;

segurança de dados;

software seguro;

segurança das comunicações.

Segurança informáticaé assegurada por um conjunto de medidas tecnológicas e administrativas aplicadas ao hardware informático de forma a garantir a disponibilidade, integridade e confidencialidade dos recursos que lhe estão associados.

Segurança de dadosé conseguido protegendo os dados contra modificações, destruição ou divulgação não autorizadas, acidentais, intencionais ou negligentes.

Software Seguro representa programas e ferramentas de uso geral e aplicativos que processam dados com segurança no sistema e usam recursos do sistema com segurança.

Segurança de comunicaçãoé fornecida através da autenticação de telecomunicações, tomando medidas para evitar que pessoas não autorizadas forneçam informações sensíveis que possam ser produzidas pelo sistema em resposta a uma solicitação de telecomunicações.

PARA objetos de segurança da informação em uma empresa (empresa) incluem:

recursos de informação contendo informações classificadas como segredo comercial e informações confidenciais apresentadas sob a forma de conjuntos de informações documentadas e bases de dados;

ferramentas e sistemas de tecnologia da informação - equipamentos, redes e sistemas informáticos e organizacionais, sistemas gerais e software de aplicação, sistemas automatizados de gestão empresarial (escritório), sistemas de comunicação e transmissão de dados, meios técnicos de coleta, registro, transmissão, processamento e exibição de informações, como bem como seus campos físicos informativos.

No mundo moderno, os recursos de informação tornaram-se uma das poderosas alavancas para o desenvolvimento económico das empresas (firmas) que desempenham um papel importante na atividade empresarial. Além disso, a falta de computadores eficazes e de tecnologias de informação modernas no sector empresarial nacional, que são a base para o funcionamento de economias “rápidas”, dificulta significativamente a transição para novas formas de gestão económica.

Nos sistemas de informação e gestão automatizada de empresas (empresas), o primeiro plano é fornecer soluções eficazes para tarefas de gestão de marketing, ou seja, tarefas de contabilidade e análise de contratos e contactos da empresa (empresa), procura de parceiros de negócios, organização de campanhas publicitárias para promoção de bens, prestação de serviços intermediários, desenvolvimento de estratégias de penetração no mercado, etc.

Sem o apoio de várias agências de segurança políticas, comerciais e oficiais, normalmente é possível realizar qualquer operação séria de forma eficiente apenas escondendo as suas verdadeiras actividades (“atos ilegais”) e a sua verdadeira identidade (“personalidades ilegais”).

Isto se aplica tanto a um indivíduo amador quanto a um grupo não oficial criado especialmente para resolver alguns problemas delicados que não gozam de aprovação universal.

O mesmo problema surge quando, por algum motivo, uma pessoa precisa se esconder de diversos serviços de natureza comercial, governamental, criminosa ou política.

Você pode se tornar um típico imigrante ilegal, intencionalmente ou à força. Em qualquer caso, porém, é necessário conhecer pelo menos um mínimo de táticas de segurança padrão para passar com sucesso este período sem perder, por pura estupidez, a liberdade física ou mental e, por vezes, a própria vida.

Elementos do sistema de segurança

O nível das medidas de seguro utilizadas depende fortemente tanto do grau de sigilo desejado de uma pessoa (ou grupo), como da situação, do ambiente e, claro, das capacidades dos próprios segurados.

Certas técnicas de segurança pessoal devem tornar-se um hábito natural e ser realizadas independentemente das necessidades da situação imediata.

O que aqui se apresenta não esgota os meios possíveis do seguro ordinário, cujo critério de utilização é sempre a opinião elevada do inimigo e, claro, o bom senso dos próprios segurados.

Os seguintes tipos de segurança são típicos:

Externo (durante a comunicação com estranhos);

Interno (ao entrar em contato dentro do próprio ambiente e grupo);

Local (em diversas situações e ações).

Vejamos tudo isso com um pouco mais de detalhes.

Segurança externa

Vários problemas podem surgir ao se comunicar com pessoas comuns e agências governamentais, mas muito disso pode ser previsto e evitado usando o princípio banal dos três “não faça”: não se irrite, não se envolva, não fique de pé. fora.

Necessário:

Não atraia atenção indevida para si mesmo (a tática de “dissolver-se no meio ambiente”):

– não se destaquem na aparência (corte de cabelo comum, roupas decentes, ausência de nada “barulhento”; se, porém, o ambiente ao seu redor for extravagante, então seja como eles...);

– não se envolva em brigas e escândalos (isso, em primeiro lugar, atrai atenção desnecessária para você e, em segundo lugar, pode ser simplesmente uma provocação visando a prisão ou “punição”);

– pagar cuidadosamente todas as contas de serviços públicos e outras taxas governamentais; pague sempre as tarifas de transporte;

– procurar seguir rigorosamente o padrão do papel social escolhido e não ter reclamações sobre o trabalho (e não se destacar no contexto coletivo geral...);

– não atiçar a curiosidade obsessiva de vizinhos com estilo de vida inusitado ou visitas de pessoas diferentes;

– não demonstre conhecimento excessivo em nada, a menos, é claro, que sua função assim o exija (não se esqueça dos antigos: “O vigilante deve ter a lei dos três nãos: “Não sei”, “Não ouvi ," "Eu não entendo") .

Não gere nenhuma hostilidade em vizinhos, colegas e conhecidos, mas desperte neles simpatia:

– não seja uma “ovelha negra” (as pessoas sempre se sentem atraídas por quem se revela por um lado que entendem...);

– desenvolver um comportamento que não provoque nos outros possível cautela (curiosidade excessiva, “inteligência” ou obsessão...) ou hostilidade (falta de tato, tédio, orgulho, grosseria...);

– seja imparcial e cortês com todos ao seu redor e, se possível, preste-lhes pequenos serviços (mas não lacaios!);

– não fazer nada que possa causar insatisfação e curiosidade dos vizinhos (bater portas à noite, muitas visitas, voltar para casa de táxi, visitas de mulheres, telefonemas atrasados ​​em apartamento partilhado...).

Controle cuidadosamente todas as suas conexões e contatos (lembre-se que “o inimigo mais perigoso é aquele de quem você não suspeita”):

– guarde segredos dos seus entes queridos (esposa, amigos, parentes, amantes...);

– com a habitual cautela (“porquê e porquê?”) perceba sempre tentativas de aproximação consigo (conhecimento casual, recomendações de alguém...);

- tratar todos os trabalhadores de reparação, publicidade e serviços com cuidado, rever os seus documentos e verificar educadamente mas razoavelmente a sua identidade por telefone e depois com os seus “colegas”;

– tenha cuidado com quem oferece serviços aparentemente “desinteressados” (empresta dinheiro, ajuda ativamente em algo, fornece algo necessário barato...).

Descubra suas próprias vulnerabilidades e saiba como você pode se proteger aqui:

– analise toda a sua vida e destaque aqueles momentos duvidosos que podem ser usados ​​para chantagem ou descrédito;

– avaliar realisticamente as possíveis consequências da divulgação de tais factos a todos aqueles a quem possam ser comunicados;

– estimar quem e por que razão é capaz de conhecer provas incriminatórias e como é possível neutralizar esse conhecimento;

– identifique os objetos da sua vulnerabilidade (mulher, crianças, princípios morais...), pois através deles pode ser exercida pressão sobre você;

– identifique seus pontos fracos (passatempos, vinho, sexo, dinheiro, traços de caráter...) e lembre-se que eles sempre podem ser usados ​​contra você.

– Não se envolva em golpes duvidosos que não estejam relacionados à causa comum. Você só deve se envolver em aventuras arriscadas que sejam relevantes para o seu negócio com permissão superior.

Segurança Interna

Os contatos em seu próprio ambiente não podem ser considerados seguros. Lembre-se de que “o maior dano geralmente vem de duas condições: revelar segredos e confiar em pessoas traiçoeiras”.

Preservação de segredos de identidade:

– em vez de nomes reais, utilizam-se sempre pseudónimos (normalmente nominais, mas também numéricos, alfabéticos ou “apelido”); em cada direção, os “jogadores” usam um pseudônimo distinto, embora seja possível trabalhar sob diversas opções, bem como atuar sob um pseudônimo comum de várias pessoas diferentes;

– os membros da equipe, se possível, conhecem-se apenas sob pseudônimos; Somente pessoas de confiança devem ter conhecimento de nomes reais, endereços residenciais e números de telefone;

– com a possibilidade iminente de falha e descriptografia, todos os pseudônimos usados, via de regra, mudam;

– você não deve fornecer a ninguém qualquer informação íntima ou de outra natureza sobre sua própria pessoa;

– tente criar (usando dicas ou rumores) uma “lenda” fictícia, mas aparentemente plausível sobre você;

– ninguém do grupo deve demonstrar interesse excessivo pelas atividades, hábitos e vida íntima dos seus companheiros;

– ninguém deve divulgar a terceiros qualquer informação sobre parceiros, a menos que seja absolutamente necessário;

– em alguns casos, faz sentido mudar visualmente a aparência (penteado, barba, maquiagem, perucas, tatuagens, cor da pele, óculos com lentes lisas ou fumê e armações diferentes, inserções que alteram a voz e o andar...);

– você precisa adquirir o hábito de não deixar vestígios materiais que indiquem que você esteve aqui (bitucas de cigarro, pedaços de papel jogados, marcas de sapatos, cheiros contrastantes, mudanças perceptíveis no ambiente...).

Mantendo o caso em segredo:

– são mantidos contactos de trabalho activos com um conjunto estritamente limitado de pessoas (um sistema de três ou cinco dependendo das tarefas a resolver...), enquanto os parceiros não devem saber exactamente o que fazem;

- todos se especializam em apenas duas ou três áreas, depois de se tornar muito perigoso para ele exercer atividades em uma delas - é possível uma trégua, bem como uma transição para outra direção;

– é necessário distinguir estritamente entre trabalho operacional e de informação: deixar que cada um faça apenas o seu negócio;

– a melhor forma de disfarçar a preparação para uma ação específica é implementar outra;

– você só pode contar a outras pessoas sobre suas atividades se elas precisarem disso para seus negócios; lembre-se que um segredo é guardado por no máximo cinco pessoas;

– a informação recebida deve ser transmitida apenas a quem claramente necessita dela (demonstrar conhecimento excessivo de algo pode revelar a fonte da informação, o que pode levar à sua neutralização);

– ter cuidado ao utilizar meios de comunicação que proporcionem oportunidades óbvias de interceptação de informações (mensagens de correio, conversas de rádio e telefone...);

– nunca escrever em texto simples endereços, nomes e localidades reais em letras, nem mencioná-los em conversas na rua ou ao telefone;

– utilizar códigos e pseudônimos mesmo durante a comunicação intragrupo, alterando-os de tempos em tempos;

– o grupo deve ter 2-3 cifras separadas, conhecidas por pessoas diferentes;

– confiar mais na memória do que na gravação; neste último caso, você deverá utilizar seu código e cifra pessoal;

– tente não ter documentos incriminatórios escritos com sua própria caligrafia ou impressos em seu próprio equipamento de escritório;

– ao comunicar com pessoas “expostas”, abster-se de contactos diretos, recorrendo, se necessário, a terceiros ou outros meios de comunicação;

– leve sempre em consideração e lembre-se que existe a possibilidade de vazamento ou traição de informações e esteja preparado para contra-ações adequadas.

Segurança Local

A melhor garantia de sucesso geralmente é uma rede de segurança e, portanto, é aconselhável realizar qualquer ação levando em consideração todos os problemas possíveis do inimigo ou de testemunhas aleatórias.

Regras gerais para comunicação direta.

procure não conduzir conversas informativas em texto aberto em ruas movimentadas ou em transporte público;

Não se deve mencionar sobrenomes reais, nomes, apelidos e endereços conhecidos em uma conversa aberta, e também não usar terminologia “alarmante”;

usar codinomes para designar ações individuais;

os aspectos mais secretos da conversa (endereços reais, senhas, datas) são escritos em papel, que depois é destruído;

é necessário navegar pelas capacidades técnicas dos sistemas de escuta e conhecer as medidas básicas para combatê-los (ver seção sobre obtenção de informações...);

se um dos interlocutores notar algo alarmante durante uma conversa, o interlocutor é avisado com uma palavra especial (“ATAS”...) ou com um gesto (dedo nos lábios...), e toda a conversa é transferida para um tom neutro direção;

se você sabe que está sendo ouvido, é melhor não conduzir negociações informativas ou usá-las para desinformação;

quando supostamente estão “ouvindo” você, mas você ainda precisa se comunicar, eles usam uma linguagem convencional, onde frases inofensivas têm um significado completamente diferente; Também são utilizadas frases que não devem ser levadas em consideração (geralmente são comunicadas por algum gesto acordado, por exemplo, cruzar os dedos...), e muitas vezes técnicas padronizadas (tosse, inserções na boca...) que fazem é difícil identificar o locutor;

quando é necessário garantir o sigilo total da comunicação em um local lotado, utilizam métodos de comunicação condicional (não verbal), como linguagem corporal, movimentos corporais e gestos com os dedos, além de códigos baseados em atributos do vestuário (diferentes posições de cocar, prendedor de gravata, lenço...) ou manipular objetos improvisados ​​(relógios, cigarros, chaves...).

Usando seu telefone

A. GARANTIR A SEGURANÇA PESSOAL:

– procure negociar os horários das ligações de outras pessoas e das suas próprias e limite a frequência dos contatos;

– não abuse das conversas no seu próprio telefone (dado que este pode ser grampeado) e não dê o seu número a terceiros, a menos que seja claramente necessário (sabendo que não é difícil utilizá-lo para chegar à sua morada);

– leve em consideração que eles podem ouvir tanto toda a conversa telefônica (quando conectado na linha...), quanto apenas o que você está falando (um bug ou um vizinho do lado de fora da porta...);

– é útil incorporar no dispositivo um simples “controle” (detecção da queda de tensão...) para conectar o equipamento de outra pessoa à linha;

– utilizar Caller ID (identificação automática de número), ou melhor ainda “anti-anti-caller ID”, para não divulgar o seu número ao ligar para outras pessoas;

– não confie na confiabilidade de nenhum radiotelefone;

– contactos de longa distância e outros contactos fixos são melhor feitos a partir do “número” de outra pessoa através de um “duplo” celular ou extensor de rádio (ver a secção sobre chantagem...), bem como através de uma ligação directa a qualquer par de contactos em a central telefônica;

– para maior sigilo das negociações, você pode usar criptografadores (pelo menos simples inversores e misturadores improvisados), embora seu uso possa estimular fortemente a atenção de outras pessoas;

– você não deve confiar particularmente na proteção contra “ruído” ou “aumento da tensão da linha”;

– se não quiser “decifrar” o seu interlocutor, então pode tentar mudar a sua voz (através de aparelhos mecânicos e electrónicos, ou simplesmente tossindo, esticando e abrindo os lábios, apertando o nariz...) e o estilístico padrão da conversa (usando jargões...);

– não se esqueça que por vezes também há grampeamento de postos públicos cuja localização é facilmente calculada, como todos os outros telefones;

– se precisar da ligação de outra pessoa, mas não quiser dar suas coordenadas, utiliza-se uma intermediária – com secretária eletrônica ou um “despachante” ao vivo que pode ou não saber (opção unidirecional...) seu número privado – telefone;

– em alguns casos, é possível a utilização silenciosa do telefone, quando uma ou, mais frequentemente, várias chamadas “vazias” num determinado ritmo revelam um determinado código;

– às vezes um sinal específico pode ser simplesmente o fato de uma determinada pessoa ligar durante a conversa mais trivial, bem como a menção codificada de codinomes no caso de um “número errado”.

B. GARANTIR A SEGURANÇA VERBAL:

– não conduza conversas de negócios em texto aberto;

– não forneça datas, nomes, endereços reais;

– utilizar nomes de código para ações individuais;

– utilizar uma linguagem convencional em que frases inofensivas tenham um significado completamente diferente;

– ligue apenas quando necessário, embora também seja possível ter conversas frequentes “irrelevantes” com a mesma pessoa (tática de “dissolver informação”).

B. CONVERSA COM ESTRANHOS:

– todo o diálogo é conduzido pelo seu parceiro, e você apenas diz “sim” ou “não” para que quem está ao seu lado não entenda ou reconheça nada;

– o facto de estranhos estarem por perto é comunicado em texto simples ou num código verbal; a conversa a seguir deverá ser conduzida pelo parceiro, que não deve fazer perguntas que exijam respostas detalhadas;

– quando há controle direto de uma pessoa não muito amigável, o parceiro é avisado sobre isso por meio de uma frase-código discutida (de preferência em uma saudação...), após a qual toda a conversa é conduzida de forma vazia ou desinformada;

- se um dos interlocutores acredita que o seu telefone está sob escuta, tenta imediatamente avisar quem lhe telefona sobre isso, utilizando uma frase bem conhecida de todos (“os dentes doem”...), e a conversa transforma-se então numa conversa direção neutra.

D. UTILIZANDO UM TELEFONE PARTILHADO (NUM APARTAMENTO, NO TRABALHO...):

– utilize o mínimo possível esse telefone (especialmente “para agendamentos”), se isso não estiver relacionado com a função desempenhada (despachante, agente de publicidade...);

– a mesma pessoa deverá ligar para este número de telefone;

– tente não ligar muito tarde ou muito cedo;

– quando estranhos tentarem identificar a voz de quem está ligando (“Quem está perguntando?”...), responda de forma educada e neutra (“colega de trabalho”...) e, se a pessoa que está sendo chamada não estiver presente, pare imediatamente. conversação;

- na verdade, não é difícil fazer um telefone separado, usando, por exemplo, um divisor de código, para que uma discagem específica de um número comum garanta com segurança que apenas o seu dispositivo seja chamado, sem afetar em nada o vizinho.

Organização de reuniões

O nível de medidas de segurança exigidas em casos específicos depende do grau de sigilo desejado do contacto, do grau de legalidade dos seus participantes e do possível controlo do mesmo por estranhos.

A. ESCOLHENDO UM LOCAL DE REUNIÃO:

– na procura de locais adequados para contacto, costumam basear-se nos princípios da naturalidade, validade e acaso;

– reuniões frequentes são mais fáceis de realizar no local de uma fan party (enquadrando-se no seu padrão...), no salão da secção desportiva, na sala de trabalho...;

– reuniões especialmente sérias podem ser realizadas em campos de caça, dachas especialmente alugadas, balneários, sanatórios de resort, em todos os tipos de centros esportivos, em praias no exterior;

– os encontros de duplas são agendados no metrô e nas praças, nos banheiros e nos carros, nas ruas menos movimentadas, nos zoológicos, museus e exposições; os cruzamentos nesses locais são improváveis ​​e, portanto, menos perigosos;

– deve abster-se de reuniões secretas num restaurante famoso, num café da moda e numa estação ferroviária, visto que tais locais são normalmente controlados;

– é possível realizar reuniões “casuais” em apartamentos privados de terceiros por motivo justificado (funeral, aniversário, “lavagem” de determinado evento...);

– não deve realizar quaisquer reuniões (excepto as do quotidiano) em apartamentos comuns estereotipados;

– utilize seus próprios apartamentos para contato de forma extremamente limitada;

– em alguns casos faz sentido alugar um esconderijo especial, se possível num edifício onde exista uma saída duplicada;

– ao inspecionar o local de encontro, certifique-se se é possível chegar lá despercebido e como você pode escapar de lá com segurança; lembre-se da velha verdade: “Se você não sabe sair, não tente entrar!”

B. INFORMAÇÕES SOBRE A REUNIÃO:

– os locais de possível encontro costumam ser discutidos previamente, e a todos eles é atribuído um código – alfabético, numérico ou “falso” – nome, com diversas opções para cada um;

– outros são informados do contacto pretendido por telefone, pager, carta e também através de mensageiro;

– ao combinar uma reunião através de linhas de comunicação “abertas”, utilizam o codinome do local, uma data criptografada (por exemplo, um dia anterior ao especificado) e um horário alterado (por um número constante ou móvel);

– antes da data prevista, é necessário emitir a confirmação do contacto quer em texto claro, quer através de comunicação sinalizada;

– se for aceitável esperar durante uma reunião (numa paragem de transportes públicos, na fila de um posto de gasolina...), é aconselhável indicar um período de tempo específico, após o qual não há necessidade de esperar.

B. REALIZAÇÃO DA REUNIÃO:

– você deve chegar em reuniões lotadas não em multidão, mas disperso e não deixando todos os seus carros pessoais em um só lugar;

– tentar evitar a presença de pessoas não autorizadas ou desnecessárias no campo de treinamento;

- compreender que quem não precisa de saber sobre reuniões secretas lotadas muito provavelmente saberá, não deve levar consigo coisas obviamente incriminatórias (armas, documentos falsos...) e lembre-se que por vezes podem ser escapados;

– é muito desejável controlar o local de comunicação por pessoas especiais antes, durante e depois da reunião, para que, se necessário, possam alertar sobre um perigo emergente através de quaisquer sinais acordados (tendo em conta a sua captura);

- durante qualquer contato, você precisa descobrir como pode ser espionado ou ouvido, perguntando-se teimosamente perguntas curtas: “Onde? Como? Quem?";

– especialmente as conversas secretas devem ser realizadas em pontos locais isolados, verificados e protegidos contra todas as possibilidades de escuta, espionagem e sabotagem;

– é desejável ter pelo menos indicadores simples que informem a radiação dos microfones de rádio ou se o interlocutor possui um gravador de voz;

– o uso de supressores de faíscas mesmo “desajeitados”, bem como geradores de apagamento de gravação magnética, é útil;

– as partidas clássicas de duplas ilegais são sempre calculadas ao minuto e conduzidas de forma “aleatória”;

– para chegar ao ponto de encontro na hora exacta marcada, é necessário cronometrar o movimento com antecedência e dar alguma reserva de tempo para todo o tipo de surpresas (bloqueio do percurso, amarrar um estranho, um acidente de transporte. ..);

– se um encontro for planejado na rua, não custa nada dar um passeio até lá uma hora antes do encontro, observando atentamente cada transeunte e todos os carros estacionando; se algo o preocupa, o contato deve ser adiado, informando seu parceiro por meio de técnicas de sinalização camuflada;

– ao se encontrarem com pessoas desconhecidas, são reconhecidos por uma descrição de sua aparência, uma pose ou gesto específico, uma menção a coisas que seguram em suas mãos e, o melhor de tudo, por uma fotografia, com posterior confirmação de identidade por meio verbal ( e outros) senha;

– é necessário estar localizado em um hospital de forma a monitorar constantemente os locais óbvios onde surge a ameaça (digamos, em um café - de frente para a entrada, enquanto observa o que está acontecendo fora da janela e estando localizado não muito longe de a passagem de serviço aberta...);

– lembre-se e siga todas as regras de comunicação verbal previamente especificadas.

D. ORGANIZAÇÃO DE REUNIÕES FECHADAS (NEGOCIAÇÕES).

A organização de qualquer evento, incluindo reuniões e negociações, está associada à sua preparação. Não existem regras uniformes e infalíveis nesta direção. Porém, recomenda-se a seguinte versão do esquema para tal preparação: planejamento, coleta de material e processamento, análise do material coletado e edição.

Na fase inicial de planejamento, são determinados o tema ou questões que se deseja discutir e os possíveis participantes da conversa de negócios. Além disso, é escolhido o momento mais favorável, e só então é acordado o local, horário da reunião e a organização da segurança do empreendimento (via de regra, tais conversas são conduzidas individualmente, de forma confidencial, sem a participação de estranhos).

Quando a reunião já estiver agendada, é traçado um plano para sua condução. Primeiro, você deve determinar os objetivos que o empreendedor enfrenta e, em seguida, desenvolver uma estratégia para alcançá-los e táticas para conduzir conversas.

Tal plano é um programa de ação claro para preparar e conduzir uma conversa específica. O planejamento permite mitigar e neutralizar a influência de novos fatos emergentes inesperadamente ou circunstâncias imprevistas no decorrer da conversa.

O plano inclui os responsáveis ​​pela implementação de cada item do plano e as seguintes medidas para organizar a segurança da reunião (negociações):

1. Receber os convidados que chegam para a reunião com o cliente.

2. Coordenação das ações dos principais seguranças e guarda-costas dos convidados.

3. Segurança de roupas, pertences dos hóspedes e seus carros no entorno.

4. Prevenção de incidentes entre convidados de uma reunião.

5. Monitorar o estado de bebidas, lanches e outras guloseimas (para esses fins são utilizados cães treinados).

6. Identificação de pessoas suspeitas presentes no evento ou em locais adjacentes.

7. Limpeza das instalações (sala de reuniões e salas adjacentes) antes das negociações para remoção de dispositivos de escuta e explosivos.

8. Estabelecimento de postos de registro e monitoramento de pessoas:

a) comparecer a uma recepção ou reunião de negócios com pacotes, pastas, etc.;

b) trazer equipamento de áudio ou vídeo para o evento;

c) que compareçam a uma recepção ou reunião de negócios por um curto período de tempo ou saiam inesperadamente do evento.

9. Impedir a escuta de conversas dos organizadores e convidados do evento no local e por telefone.

10. Desenvolvimento de opções alternativas para a condução de negociações (em apartamento privado, em hotel, em carro, em barco, em balneário (sauna), etc.

Esta lista de atividades não é exaustiva. Pode ser significativamente ampliado e especificado dependendo das condições do objeto protegido, da natureza do evento e de outras condições acordadas com o cliente.

As tarefas comuns que são resolvidas durante reuniões (negociações) ou outros eventos públicos incluem:

1) as salas de reuniões são selecionadas de forma a ficarem localizadas no primeiro ou no último andar e localizadas entre as salas controladas pelo serviço de segurança;

2) familiarização com o objeto de proteção, estabelecendo o estado da situação criminosa ao seu redor;

3) estabelecer interação com a polícia durante os eventos;

4) estabelecimento de controle de acesso para evitar a entrada de armas, explosivos, substâncias inflamáveis ​​e tóxicas, drogas, objetos pesados ​​e pedras na instalação protegida;

5) impedir a entrada de pessoas com cães na área protegida ou nas instalações protegidas;

6) controle e manutenção da ordem no território adjacente e nas instalações adjacentes;

7) distribuição de funções entre os seguranças do grupo de reforço (apoio);

8) determinação do equipamento dos guardas, incluindo suas armas e comunicações;

9) estabelecimento de postos de controle e observação abertos e “criptografados”;

10) preparação do transporte em caso de circunstâncias extremas e evacuação dos participantes do evento;

11) verificar a estabilidade da comunicação no território da instalação para identificar as chamadas “zonas mortas”;

12) verificar a possibilidade de utilização de armas de gás e botijões de gás lacrimogêneo para identificar a direção do movimento do ar, correntes de ar e turbulência, para que os próprios guardas não sofram com o uso de meios especiais;

13) verificar a coerência dos guardas praticando diversas tarefas introdutórias.

Durante a fase de trabalho da segurança, os funcionários do serviço de segurança (empresa de segurança) devem cumprir com precisão as suas funções acordadas na fase de preparação.

Neste caso, é dada especial atenção às seguintes questões:

1) chegada tardia de participantes do evento, que contam com um fraco controle de acesso após o início da reunião (negociações);

2) inspeção obrigatória do conteúdo de pastas e bolsas grandes ou utilização de detectores de metais portáteis, detectores de vapores explosivos utilizados para detectar minas, granadas, bombas e outros explosivos;

3) os veículos que entram e saem da área protegida devem ser submetidos a inspeção especial, pelo menos visualmente. Isto é especialmente importante para evitar a entrada de pessoas não autorizadas nas instalações protegidas e para evitar a mineração de veículos dos participantes da reunião (negociação);

4) o controle do interior e do porta-malas dos veículos que partem pode evitar o sequestro de pessoas que chegam ao evento com o objetivo de extorquir os organizadores do encontro (negociações);

5) proteção de agasalhos e pertences pessoais dos participantes do evento, a fim de evitar seu roubo e estabelecer marcadores de rádio;

6) apesar do desejo dos organizadores do evento de terem uma bela vista da janela, deve-se levar em consideração que a área deve ser conveniente para controle do serviço de segurança (empresa de segurança);

7) carros que possam conter equipamentos para recuperação de informações de radiotags não devem ser estacionados sob as janelas das salas de reunião;

8) criar zonas de segurança em sala destinada a negociações e dotá-la de equipamentos especiais, telas, geradores de ruído, etc.;

9) na condução de negociações com o objetivo de preservar segredos comerciais, todas as informações “secretas” são apresentadas por escrito e sua discussão ocorre em língua esópica.

Na fase final do evento, o serviço de segurança (empresa de segurança) deve permanecer vigilante, apesar dos acontecimentos aparentemente insignificantes que ocorrem no local, que podem ser muito enganadores.

A inspeção da instalação após a conclusão do evento pode envolver não menos risco à vida do que o trabalho nas etapas anteriores. Durante este período, a limpeza final do local é realizada utilizando a mesma metodologia das atividades preparatórias. Neste caso, deverá ser feita uma busca por pessoas que possam estar escondidas no local ou por vítimas de criminosos que necessitem de assistência médica. É dada muita atenção a objetos e coisas esquecidos.

Lembranças e presentes entregues ao responsável da organização (empresa) e demais participantes do evento estão sujeitos a fiscalização.

Tudo o que for descoberto pela segurança nas instalações que não pertença aos funcionários da organização (empresa) deverá ser transferido para o cliente ou para a administração das instalações protegidas juntamente com uma cópia do inventário. A segunda via do inventário com a assinatura de quem aceitou os itens para armazenamento encontra-se no serviço de segurança (empresa de segurança).

Um apartamento, um carro, uma rua, um restaurante não podem ser “protetores” confiáveis ​​de segredos comerciais. Portanto, vale a pena ouvir os conselhos dos profissionais.

Na realização de reuniões de negócios é necessário fechar janelas e portas. É aconselhável que a sala de reuniões seja isolada, como um hall.

Os concorrentes, se quiserem, podem facilmente ouvir as conversas sentando-se em salas adjacentes, por exemplo, num apartamento no andar de cima ou de baixo. Já se foi o tempo em que oficiais de inteligência de todos os países e povos faziam buracos em tetos e paredes - microfones especialmente sensíveis permitem que você receba as informações necessárias quase sem impedimentos.

Para negociações é preciso escolher quartos com paredes isoladas, conhecer os vizinhos que moram nos andares de cima e de baixo; descubra se eles alugam seu apartamento (quarto) para estranhos. Vale a pena transformar seus vizinhos em aliados, mas ao mesmo tempo levar em conta que eles podem jogar um jogo duplo ou passar silenciosamente de simpatizantes a chantagistas.

A atividade dos concorrentes depende, em primeiro lugar, da seriedade das suas intenções. Se necessário, dispositivos de escuta (“bugs”) podem ser instalados diretamente no apartamento do empresário - e nem portas de ferro, nem fechaduras importadas, nem seguranças bem treinados vão ajudar aqui.

Um empresário deve pedir a seus parentes que convidem para casa apenas pessoas que conheçam bem e, se possível, controlem seu comportamento. Ao receber convidados, as portas do home office devem estar trancadas e, para não tentar as crianças, o videocassete e o computador devem estar em local acessível a elas. O computador, é claro, deve estar sem programas funcionais e informações confidenciais.

Caso haja suspeita de que seu veículo está “equipado”, deverá ser realizada uma operação de “carro limpo” antes das negociações.

Na véspera de uma reunião de negócios, um dos funcionários da empresa ou um amigo do empresário, em quem ele confia plenamente, deverá deixar o carro em local indicado. Poucos minutos depois, o empresário passa do carro para um carro abandonado e, sem parar em lugar nenhum, inicia as negociações. Ao mesmo tempo, não se esqueça de levar uma procuração para o direito de dirigir o carro de outra pessoa!

Durante as negociações, o carro deve estar em movimento e as janelas bem fechadas. Nas paradas (por exemplo, em um semáforo), é melhor não discutir assuntos confidenciais.

Vamos analisar onde mais um empresário pode realizar uma importante reunião de negócios?

Na rua. Existem dois tipos de microfones que podem ser usados ​​para ouvir conversas: altamente direcionais e embutidos. Os primeiros permitem capturar informações a uma distância de até um quilômetro dentro da linha de visão. Os microfones integrados funcionam da mesma forma que os fones de ouvido de rádio.

Para combater eficazmente os microfones altamente direcionais, é necessário movimentar-se o tempo todo, mudando bruscamente a direção do movimento, utilizando o transporte público, organizando a contravigilância - com a ajuda do serviço de segurança ou de agentes contratados de empresas de detetives particulares.

No restaurante. A posição estática permite controlar as conversas nas áreas comuns do restaurante. Portanto, para conduzir essas reuniões de negócios, você precisa de um garçom confiável. Em horário conveniente para o empresário e inesperado para os concorrentes, é reservada uma mesa ou escritório separado, que, por sua vez, deve estar sob o controle confiável do serviço de segurança da empresa. As tentativas de abafar uma conversa com os sons da orquestra do restaurante, assim como o som da água, aliás, são ineficazes.

Em um quarto de hotel. A reserva de um quarto de hotel para negociações deve ser feita de forma discreta. Após o início de uma reunião de negócios, os agentes de segurança devem manter o controle não apenas dos vizinhos, mas também de todas as pessoas que moram nos andares superiores e inferiores.

Todos os métodos e contramedidas acima mencionados são eficazes desde que a desinformação a terceiros sobre a hora e a natureza das reuniões planeadas (negociações) seja bem organizada. Quando o círculo de colaboradores que conhece a lista completa dos eventos planejados é o mais restrito possível e cada um dos participantes deles sabe exatamente o que é necessário no âmbito de suas responsabilidades, então você pode contar com sucesso em qualquer negócio.

Proteção de objetos de informação

Tipos de ameaças a objetos de informação

A classificação geral das ameaças ao sistema de informação automatizado de um objeto é a seguinte:

Ameaças à confidencialidade de dados e programas. Implementado através de acesso não autorizado a dados (por exemplo, informações sobre o estado das contas dos clientes bancários), programas ou canais de comunicação.

As informações processadas em computadores ou transmitidas por redes locais de dados podem ser capturadas através de canais de vazamento técnico. Nesse caso, são utilizados equipamentos que analisam a radiação eletromagnética gerada durante o funcionamento do computador.

Essa recuperação de informações é uma tarefa técnica complexa e requer o envolvimento de especialistas qualificados. Usando um dispositivo receptor baseado em uma TV padrão, você pode interceptar informações exibidas nas telas dos computadores a uma distância de mil metros ou mais. Certas informações sobre o funcionamento de um sistema computacional são extraídas mesmo quando o processo de troca de mensagens é monitorado sem acesso ao seu conteúdo.

Ameaças à integridade de dados, programas e equipamentos. A integridade dos dados e programas é violada pela destruição não autorizada, adição de elementos desnecessários e modificação de registos de contas, alterações na ordem dos dados, geração de documentos de pagamento falsificados em resposta a pedidos legítimos e retransmissão activa de mensagens com o seu atraso.

A modificação não autorizada das informações de segurança do sistema pode levar a ações não autorizadas (roteamento incorreto ou perda de dados transmitidos) ou à distorção do significado das mensagens transmitidas. A integridade do equipamento fica comprometida se este for danificado, roubado ou se os algoritmos de funcionamento forem alterados ilegalmente.

Ameaças à disponibilidade de dados. Ocorre quando um objeto (usuário ou processo) não obtém acesso aos serviços ou recursos legalmente alocados a ele. Esta ameaça é concretizada através da apreensão de todos os recursos, do bloqueio de linhas de comunicação por uma entidade não autorizada como resultado da transmissão das suas informações através delas, ou da exclusão de informações necessárias do sistema.

Esta ameaça pode levar à falta de fiabilidade ou à má qualidade do serviço no sistema e, portanto, terá um impacto potencial na precisão e pontualidade da entrega dos documentos de pagamento.

– Ameaças de recusa de realização de transações. Surgem quando um usuário legal transmite ou aceita documentos de pagamento e depois os nega para se eximir de responsabilidade.

Avaliar a vulnerabilidade de um sistema de informação automatizado e construir um modelo de impacto envolve estudar todas as opções para implementar as ameaças listadas acima e identificar as consequências a que elas conduzem.

As ameaças podem ser causadas por:

– factores naturais (desastres naturais – incêndios, inundações, furacões, raios e outras causas);

– fatores humanos, que por sua vez se dividem em:

ameaças passivas(ameaças causadas por atividades de natureza acidental e não intencional). São ameaças associadas a erros no processo de preparação, processamento e transmissão de informação (documentação científica, técnica, comercial, monetária e financeira); com “fuga de cérebros” não direcionada, conhecimento, informação (por exemplo, devido à migração populacional, viagens para outros países para reunir a família, etc.);

ameaças ativas(ameaças causadas por ações deliberadas e deliberadas de pessoas). São ameaças associadas à transferência, distorção e destruição de descobertas científicas, invenções, segredos de produção, novas tecnologias por motivos egoístas e outros anti-sociais (documentação, desenhos, descrições de descobertas e invenções e outros materiais); visualização e transferência de documentação diversa, visualização de “lixo”; escuta e transmissão de conversas oficiais e outras conversas científicas, técnicas e comerciais; com uma “fuga de cérebros” direcionada, conhecimento, informação (por exemplo, em conexão com a obtenção de outra cidadania por motivos egoístas);

– fatores homem-máquina e máquina, dividido em:

ameaças passivas. São ameaças associadas a erros no processo de projeto, desenvolvimento e fabricação de sistemas e seus componentes (edifícios, estruturas, instalações, computadores, comunicações, sistemas operacionais, programas aplicativos, etc.); com erros no funcionamento dos equipamentos devido à má qualidade de fabricação; com erros no processo de preparação e processamento da informação (erros de programadores e utilizadores por insuficiência de qualificações e má qualidade do serviço, erros do operador na preparação, entrada e saída de dados, correção e processamento de informação);

ameaças ativas. São ameaças associadas ao acesso não autorizado aos recursos de um sistema de informação automatizado (realização de alterações técnicas em equipamentos informáticos e comunicações, ligação a equipamentos informáticos e canais de comunicação, roubo de vários tipos de suportes de armazenamento: disquetes, descrições, impressões e outros materiais , visualização de dados de entrada, impressões, visualização de “lixo”); ameaças implementadas sem contacto (recolha de radiações electromagnéticas, intercepção de sinais induzidos em circuitos (comunicações condutivas), métodos óptico-visuais de obtenção de informação, escuta de conversas oficiais e técnico-científicas, etc.).

As principais formas típicas de vazamento de informações e acesso não autorizado a sistemas automatizados de informação, inclusive por meio de canais de telecomunicações, são as seguintes:

interceptação de radiação eletrônica;

uso de dispositivos de escuta (marcadores);

fotografia remota;

interceptação de radiação acústica e restauração de texto impresso;

roubo de meios de armazenamento e resíduos industriais;

leitura de dados nos arrays de outros usuários;

leitura de informações residuais na memória do sistema após a execução de solicitações autorizadas;

copiar mídias de armazenamento superando medidas de segurança;

disfarçar-se de usuário registrado;

hoax (disfarçado como solicitações do sistema);

conexão ilegal a equipamentos e linhas de comunicação;

desativação maliciosa de mecanismos de proteção;

uso de armadilhas de software.

Possíveis canais de acesso intencional não autorizado às informações na ausência de proteção em um sistema de informação automatizado podem ser:

canais padrão de acesso à informação (terminais de usuário, meios de exibição e documentação de informações, meios de armazenamento, meios de download de software, canais de comunicação externos) quando utilizados ilegalmente;

consoles e controles tecnológicos;

instalação interna de equipamentos;

linhas de comunicação entre hardware;

radiação eletromagnética lateral que transporta informações;

interferência colateral em circuitos de alimentação, aterramento de equipamentos, comunicações auxiliares e estranhas localizadas próximas ao sistema de computador.

Os métodos de influenciar ameaças aos objetos de segurança da informação são divididos em informação, software e matemático, físico, radioeletrônico e organizacional-legal.

Os métodos de informação incluem:

violação do direcionamento e oportunidade da troca de informações, coleta e uso ilegal de informações;

acesso não autorizado a recursos de informação;

manipulação de informação (desinformação, ocultação ou distorção de informação);

cópia ilegal de dados em sistemas de informação;

violação da tecnologia de processamento de informações.

Software e métodos matemáticos incluem:

introdução de vírus informáticos;

instalação de dispositivos embarcados de software e hardware;

destruição ou modificação de dados em sistemas de informação automatizados.

Os métodos físicos incluem:

destruição ou destruição de meios de processamento e comunicação de informações;

destruição, destruição ou roubo de máquinas ou outros meios de armazenamento originais;

roubo de chaves de software ou hardware e meios de proteção criptográfica de informações;

impacto no pessoal;

fornecimento de componentes “infectados” de sistemas de informação automatizados.

Os métodos radioeletrônicos são:

interceptação de informações em canais técnicos sobre seu possível vazamento;

introdução de dispositivos eletrônicos de interceptação de informações em meios e instalações técnicas;

interceptação, descriptografia e imposição de informações falsas em redes de dados e linhas de comunicação;

impacto nos sistemas de senhas;

supressão radioeletrônica de linhas de comunicação e sistemas de controle.

Os métodos organizacionais e legais incluem:

incumprimento dos requisitos legais e atrasos na adopção das disposições regulamentares necessárias no domínio da informação;

restrição ilegal de acesso a documentos contendo informações importantes para cidadãos e organizações.

Ameaças à segurança de software. A garantia da segurança dos sistemas de informação automatizados depende da segurança do software neles utilizado e, em particular, dos seguintes tipos de programas:

programas de usuário regulares;

programas especiais projetados para violar a segurança do sistema;

uma variedade de utilitários de sistema e programas aplicativos comerciais que são desenvolvidos de forma altamente profissional e ainda podem conter falhas individuais que permitem que invasores ataquem sistemas.

Os programas podem criar dois tipos de problemas: em primeiro lugar, podem interceptar e modificar dados como resultado das ações de um utilizador que não tem acesso a esses dados e, em segundo lugar, utilizando lacunas na proteção dos sistemas informáticos, podem fornecer acesso ao sistema para usuários que não têm o direito de fazê-lo, ou bloquear o acesso ao sistema para usuários legítimos.

Quanto maior o nível de treinamento de um programador, mais implícitos (até para ele) se tornam os erros que ele comete, e mais cuidadosa e confiável ele é capaz de ocultar mecanismos deliberados projetados para violar a segurança do sistema.

O alvo de um ataque pode ser os próprios programas pelos seguintes motivos:

No mundo moderno, os programas podem ser um produto que traz lucros consideráveis, especialmente para aqueles que são os primeiros a começar a replicar o programa para fins comerciais e a obter os direitos autorais sobre ele.

Os programas também podem se tornar alvo de um ataque que visa modificá-los de alguma forma, o que permitiria um ataque a outros objetos do sistema no futuro. Os programas que implementam funções de proteção do sistema são frequentemente alvo de ataques deste tipo.

Vejamos vários tipos de programas e técnicas que são usados ​​com mais frequência para atacar programas e dados. Essas técnicas são referidas por um único termo – “armadilhas de software”. Estes incluem alçapões, cavalos de Tróia, bombas lógicas, ataques de salame, canais secretos, negação de serviço e vírus de computador.

Hachuras em programas. Usar hachuras para penetrar em um programa é um dos métodos mais simples e usados ​​com mais frequência para violar a segurança de sistemas de informação automatizados.

Lucas refere-se à capacidade de trabalhar com este produto de software que não está descrita na documentação do produto de software. A essência do uso de hachuras é que quando o usuário realiza determinadas ações não descritas na documentação, ele obtém acesso a recursos e dados que normalmente estão fechados para ele (em particular, acesso ao modo privilegiado).

Na maioria das vezes, as hachuras são resultado do esquecimento do desenvolvedor. Um mecanismo temporário de acesso direto a partes do produto, criado para facilitar o processo de depuração e não removido após a conclusão, pode ser utilizado como hachura. As hachuras também podem ser formadas como resultado da tecnologia de desenvolvimento de software “de cima para baixo” frequentemente praticada: seu papel será desempenhado por “tocos” deixados por algum motivo no produto final - grupos de comandos que imitam ou simplesmente indicam o local onde futuras sub-rotinas serão conectadas.

Finalmente, outra fonte comum de alçapões é a chamada “entrada indefinida” – inserção de informações “sem sentido”, gobbledygook em resposta a solicitações do sistema. A resposta de um programa mal escrito a uma entrada indefinida pode ser, na melhor das hipóteses, imprevisível (onde o programa reage de maneira diferente cada vez que o mesmo comando inválido é inserido novamente); é muito pior se o programa executar algumas ações repetidas como resultado da mesma entrada “indefinida” - isso dá ao potencial invasor a oportunidade de planejar suas ações para violar a segurança.

A entrada indefinida é uma implementação privada de uma interrupção. Ou seja, no caso geral, um invasor pode criar deliberadamente alguma situação fora do padrão no sistema que lhe permitiria realizar as ações necessárias. Por exemplo, ele pode travar artificialmente um programa em execução em modo privilegiado para assumir o controle enquanto permanece nesse modo privilegiado.

O combate à possibilidade de interrupção resulta, em última análise, na necessidade de prever, no desenvolvimento dos programas, um conjunto de mecanismos que formem os chamados “infalíveis”. O significado desta proteção é garantir que não haja possibilidade de processamento de entradas indefinidas e vários tipos de situações não padronizadas (em particular, erros) e, assim, evitar uma violação da segurança do sistema informático, mesmo em caso de operação incorreta. do programa.

Assim, uma hachura (ou hachuras) pode estar presente em um programa porque o programador:

esqueci de excluí-lo;

deixou-o deliberadamente no programa para permitir testes ou realizar o restante da depuração;

deixou-o deliberadamente no programa no interesse de facilitar a montagem final do produto de software final;

deixou-o deliberadamente no programa para ter um meio oculto de acesso ao programa após ele ter sido incluído no produto final.

Uma escotilha é o primeiro passo para atacar um sistema, a capacidade de penetrar em um sistema de computador contornando os mecanismos de segurança.

"Cavalos de Tróia".

Existem programas que implementam, além das funções descritas na documentação, algumas outras funções não descritas na documentação. Esses programas são chamados de “cavalos de Tróia”.

Quanto mais óbvios forem os resultados de suas ações (por exemplo, exclusão de arquivos ou alteração de sua proteção), maior será a probabilidade de detecção de um cavalo de Tróia. Cavalos de Tróia mais complexos podem mascarar vestígios de sua atividade (por exemplo, retornar a proteção de arquivos ao seu estado original).

"Bombas Lógicas".

Uma “bomba lógica” geralmente é chamada de programa ou mesmo de uma seção de código de um programa que implementa uma determinada função quando uma determinada condição é atendida. Esta condição poderia ser, por exemplo, a ocorrência de uma determinada data ou a descoberta de um arquivo com um determinado nome.

Ao “explodir”, uma “bomba lógica” implementa uma função inesperada e, via de regra, indesejável para o usuário (por exemplo, exclui alguns dados ou destrói algumas estruturas do sistema). A “bomba lógica” é uma das formas preferidas dos programadores para se vingarem das empresas que os demitiram ou os ofenderam de alguma forma.

Ataque de salame.

O ataque ao salame tornou-se um verdadeiro flagelo dos sistemas informáticos bancários. Nos sistemas bancários, milhares de transações relacionadas a pagamentos que não sejam em dinheiro, transferências de valores, deduções, etc.

Ao processar faturas, são usadas unidades inteiras (rublos, centavos) e, ao calcular juros, geralmente são obtidos valores fracionários. Normalmente, os valores que excedem meio rublo (centavo) são arredondados para o rublo inteiro mais próximo (centavo) e os valores inferiores a meio rublo (centavo) são simplesmente descartados. Durante um ataque de salame, esses valores insignificantes não são excluídos, mas gradualmente acumulados em uma conta especial.

Como mostra a prática, o montante composto literalmente do nada, em alguns anos de operação de um programa “astuto” em um banco de tamanho médio, pode chegar a milhares de dólares. Os ataques de salame são bastante difíceis de detectar, a menos que o invasor comece a acumular grandes quantias de dinheiro em uma conta.

Canais ocultos.

Canais ocultos são programas que transmitem informações para pessoas que normalmente não receberiam essas informações.

Nos sistemas onde são processadas informações críticas, o programador não deve ter acesso aos dados processados ​​​​pelo programa após o início da operação deste programa.

Você pode obter benefícios consideráveis ​​do fato de possuir algumas informações proprietárias, pelo menos simplesmente vendendo essas informações (por exemplo, uma lista de clientes) a uma empresa concorrente. Um programador suficientemente qualificado pode sempre encontrar uma maneira de transmitir informações secretamente; No entanto, um programa concebido para criar os relatórios mais inócuos pode ser um pouco mais complexo do que a tarefa exige.

Para transmitir informações secretamente, você pode usar com sucesso vários elementos do formato de relatório “inofensivo”, por exemplo, diferentes comprimentos de linha, espaços entre linhas, presença ou ausência de cabeçalhos de serviço, saída controlada de dígitos insignificantes nos valores de saída, o número de espaços ou outros caracteres em determinados locais do relatório, etc. .d.

Se o invasor conseguir acessar o computador enquanto o programa de seu interesse estiver em execução, o canal oculto poderá estar enviando informações críticas para uma matriz de dados especialmente criada na RAM do computador.

Os canais secretos são mais aplicáveis ​​​​em situações em que o invasor nem sequer está interessado no conteúdo da informação, mas, por exemplo, no facto da sua existência (por exemplo, a presença de uma conta bancária com um determinado número).

Negação de serviço.

A maioria das técnicas de violação de segurança visa obter acesso a dados que o sistema normalmente não permitiria. Porém, não menos interessante para os invasores é o acesso para controlar o próprio sistema computacional ou alterar suas características de qualidade, por exemplo, obter algum recurso (processador, dispositivo de entrada/saída) para uso exclusivo ou provocar uma situação de clinch para diversos processos.

Isso pode ser necessário para usar explicitamente o sistema do computador para seus próprios fins (pelo menos para resolver seus problemas gratuitamente) ou simplesmente bloquear o sistema, tornando-o inacessível a outros usuários. Este tipo de violação de segurança do sistema é chamada de “negação de serviço” ou “negação de benefício”. A “negação de serviço” é extremamente perigosa para sistemas em tempo real - sistemas que controlam determinados processos tecnológicos, realizam vários tipos de sincronização, etc.

Vírus informáticos.

Os vírus de computador são a quintessência de todos os tipos de métodos de violação de segurança. Uma das formas mais comuns e favoritas de espalhar vírus é o método do cavalo de Tróia. Os vírus diferem de uma “bomba lógica” apenas na capacidade de se multiplicar e garantir seu lançamento, portanto, muitos vírus podem ser considerados uma forma especial de “bombas lógicas”.

Para atacar o sistema, os vírus usam ativamente vários tipos de “armadilhas”. Os vírus podem realizar uma grande variedade de truques sujos, incluindo um ataque de “salame”. Além disso, o sucesso de um ataque de um tipo muitas vezes ajuda a reduzir a “imunidade” do sistema, criando um ambiente favorável para o sucesso de ataques de outros tipos. Os invasores sabem disso e usam ativamente essa circunstância.

Claro, as técnicas descritas acima são bastante raras na sua forma pura. Muito mais frequentemente, elementos individuais de diferentes técnicas são usados ​​durante um ataque.

Ameaças à informação em redes de computadores. As redes de computadores têm muitas vantagens sobre uma coleção de computadores operando separadamente, incluindo: compartilhamento de recursos do sistema, aumento da confiabilidade da operação do sistema, distribuição de carga entre nós da rede e capacidade de expansão pela adição de novos nós.

Ao mesmo tempo, ao utilizar redes de computadores, surgem sérios problemas para garantir a segurança da informação. Os seguintes podem ser observados.

Compartilhando recursos compartilhados.

Devido ao compartilhamento de um grande número de recursos por diferentes usuários da rede, possivelmente localizados a grandes distâncias entre si, o risco de acesso não autorizado aumenta muito, pois pode ser realizado de forma mais fácil e discreta na rede.

Expansão da zona de controle.

O administrador ou operador de um determinado sistema ou sub-rede deve monitorar as atividades dos usuários fora do seu alcance.

Combinação de vários softwares e hardwares.

A ligação de vários sistemas numa rede aumenta a vulnerabilidade de todo o sistema como um todo, uma vez que cada sistema de informação é configurado para cumprir os seus próprios requisitos de segurança específicos, que podem ser incompatíveis com os requisitos de outros sistemas.

Parâmetro desconhecido.

A fácil expansão das redes faz com que às vezes seja difícil determinar os limites de uma rede, uma vez que o mesmo nó pode ser acessível a usuários de redes diferentes. Além disso, para muitos deles nem sempre é possível determinar com precisão quantos utilizadores têm acesso a um determinado nó da rede e quem são.

Vários pontos de ataque.

Nas redes, o mesmo conjunto de dados ou mensagens pode ser transmitido através de vários nós intermediários, cada um dos quais é uma fonte potencial de ameaça. Além disso, muitas redes modernas podem ser acessadas usando linhas dial-up e um modem, o que aumenta muito o número de possíveis pontos de ataque.

Dificuldade em gerenciar e controlar o acesso ao sistema.

Muitos ataques a uma rede podem ser realizados sem obter acesso físico a um nó específico – usando a rede a partir de pontos remotos.

Neste caso, identificar o agressor pode ser muito difícil. Além disso, o tempo de ataque pode ser demasiado curto para tomar medidas adequadas.

Por um lado, uma rede é um sistema único com regras uniformes de processamento de informação e, por outro lado, é um conjunto de sistemas separados, cada um dos quais com as suas próprias regras de processamento de informação. Portanto, tendo em conta a dupla natureza da rede, um ataque à rede pode ser realizado a partir de dois níveis: superior e inferior (é possível uma combinação de ambos).

No nível mais alto de ataque a uma rede, um invasor utiliza as propriedades da rede para penetrar outro nó e realizar determinadas ações não autorizadas. No nível mais baixo de ataque à rede, um invasor usa propriedades de protocolos de rede para violar a confidencialidade ou integridade de mensagens individuais ou de um fluxo como um todo.

Perturbações no fluxo de mensagens podem levar ao vazamento de informações e até mesmo à perda de controle da rede.

Existem ameaças passivas e ativas de baixo nível específicas para redes.

Ameaças passivas

(violação do sigilo dos dados que circulam na rede) é a visualização e/ou gravação de dados transmitidos por linhas de comunicação. Esses incluem:

ver mensagem;

análise gráfica - um invasor pode visualizar os cabeçalhos dos pacotes que circulam na rede e, com base nas informações de serviço que eles contêm, tirar conclusões sobre os remetentes e destinatários do pacote e as condições de transmissão (hora de partida, classe da mensagem, categoria de segurança, mensagem comprimento, volume de tráfego, etc.).

Ameaças ativas

(violação da integridade ou disponibilidade de recursos e componentes de rede) - uso não autorizado de dispositivos com acesso à rede para alterar mensagens individuais ou fluxo de mensagens. Esses incluem:

falha nos serviços de mensagens - um invasor pode destruir ou atrasar mensagens individuais ou todo o fluxo de mensagens;

“mascarada” - um invasor pode atribuir o identificador de outra pessoa ao seu nó ou retransmissor e receber ou enviar mensagens em nome de outra pessoa;

introdução de vírus de rede – transmissão de um corpo de vírus através de uma rede com sua subsequente ativação por um usuário de um nó remoto ou local;

modificação do fluxo de mensagens - um invasor pode destruir, modificar, atrasar, reordenar e duplicar mensagens seletivamente, bem como inserir mensagens forjadas.

Ameaças às informações comerciais.

No contexto da informatização, métodos de acesso não autorizado a informações confidenciais, como cópia, falsificação e destruição, também representam um perigo particular.

Copiando.

Em caso de acesso não autorizado a informações confidenciais, copiam: documentos contendo informações de interesse do invasor; mídia técnica; informações processadas em sistemas de informação automatizados. São utilizados os seguintes métodos de cópia: planta, fotocópia, cópia térmica, fotocópia e cópia eletrônica.

Falso.

Num ambiente competitivo, a contrafacção, a modificação e a imitação estão a tornar-se cada vez mais generalizadas. Os invasores falsificam documentos confiáveis ​​que lhes permitem obter determinadas informações, cartas, faturas, documentação contábil e financeira; falsificar chaves, passes, senhas, cifras, etc. Em sistemas de informação automatizados, a falsificação inclui, em particular, ações maliciosas como falsificação (o assinante destinatário falsifica a mensagem recebida, fazendo-a passar por real em seu próprio interesse), mascaramento (o assinante - o remetente se disfarça de outro assinante para receber informações protegidas).

Destruição.

Um perigo particular é a destruição de informações em bases de dados automatizadas e bases de conhecimento. As informações em mídia magnética são destruídas usando ímãs compactos e software (“bombas lógicas”). Um lugar significativo nos crimes contra sistemas de informação automatizados é ocupado por sabotagem, explosões, destruição e falha de cabos de conexão e sistemas de ar condicionado.

Métodos e meios para garantir a segurança da informação de uma organização (empresa)

Os métodos para garantir a segurança da informação são os seguintes: obstrução, controle de acesso, camuflagem, regulação, coerção e incentivo.

Obstáculo - um método de bloquear fisicamente o caminho de um invasor para informações protegidas (equipamento, mídia de armazenamento, etc.).

Controle de acesso– um método de proteção de informações regulando o uso de todos os recursos do sistema de informação automatizado de uma organização (empresa). O controle de acesso inclui os seguintes recursos de segurança:

identificação de utilizadores, pessoal e recursos do sistema de informação (atribuição de um identificador pessoal a cada objeto);

autenticação (estabelecer a autenticidade) de um objeto ou sujeito utilizando o identificador que lhe é apresentado;

verificação de autoridade (verificação do cumprimento do dia da semana, horário, recursos e procedimentos solicitados com a regulamentação estabelecida);

permissão e criação de condições de trabalho dentro dos regulamentos estabelecidos;

registro (registro) de solicitações a recursos protegidos;

resposta (alarme, desligamento, atraso de trabalho, recusa de solicitação) em caso de tentativas de ações não autorizadas.

Camuflagem – um método de proteção de informações em um sistema de informação automatizado, fechando-o criptograficamente.

Regulamento– um método de proteção de informações que crie condições para processamento, armazenamento e transmissão automatizados de informações sob as quais a possibilidade de acesso não autorizado a elas seria minimizada.

Coerção – tal método de proteção de informações em que os usuários e o pessoal do sistema são forçados a cumprir as regras para o processamento, transferência e uso de informações protegidas sob ameaça de responsabilidade material, administrativa ou criminal.

Indução – um método de proteção de informações que incentive os usuários e o pessoal do sistema a não violar as regras estabelecidas, cumprindo os padrões morais e éticos estabelecidos.

Os métodos anteriores para garantir a segurança da informação de uma organização (empresa) são implementados na prática através da utilização de diversos mecanismos de proteção, para cuja criação são utilizados os seguintes meios básicos: físico, hardware, software, hardware-software, criptográfico, organizacional, legislativo e ético-moral.

Proteção física destinam-se à proteção externa do território de objetos, proteção de componentes de um sistema de informação automatizado de uma empresa e são implementados na forma de dispositivos e sistemas autônomos.

Junto com os sistemas mecânicos tradicionais, com a participação dominante do homem, estão sendo desenvolvidos e implementados sistemas eletrônicos automatizados universais de proteção física, projetados para proteger territórios, proteger instalações, organizar o controle de acesso e organizar a vigilância; sistemas de alarme de incêndio; sistemas de prevenção de roubo de mídia.

A base elementar de tais sistemas consiste em vários sensores, cujos sinais são processados ​​​​por microprocessadores, chaves eletrônicas inteligentes, dispositivos para determinação de características biométricas humanas, etc.

Para organizar a proteção dos equipamentos que fazem parte do sistema de informação automatizado da empresa e dos meios de armazenamento transportáveis ​​​​(disquetes, fitas magnéticas, impressos), são utilizados:

fechaduras diversas (mecânicas, codificadas, controladas por microprocessador, controladas por rádio) que são instaladas em portas de entrada, venezianas, cofres, armários, dispositivos e unidades de sistema;

microinterruptores que detectam abertura ou fechamento de portas e janelas;

sensores inerciais, para conexão dos quais pode-se utilizar rede de iluminação, fios telefônicos e fios de antena de televisão;

adesivos especiais que são afixados em todos os documentos, dispositivos, componentes e blocos do sistema para evitar que sejam retirados das instalações. Sempre que houver tentativa de levar um objeto com adesivo para fora das instalações, uma instalação especial (análoga a um detector de objetos metálicos) localizada próximo à saída emite um alarme;

cofres especiais e armários metálicos para instalação de elementos individuais de um sistema de informação automatizado (servidor de arquivos, impressora, etc.) e mídias de armazenamento portáteis.

Para neutralizar o vazamento de informações através de canais eletromagnéticos, são utilizados materiais e produtos de proteção e absorção. Em que:

a blindagem das áreas de trabalho onde estão instalados componentes de um sistema de informação automatizado é realizada cobrindo paredes, piso e teto com papel de parede metalizado, esmalte e gesso condutor, tela de arame ou folha, instalação de cercas de tijolo condutor, aço multicamadas, folhas de alumínio ou plástico especial;

para proteção das janelas, utilizam-se cortinas metalizadas e vidros com camada condutora;

todas as aberturas são cobertas por uma malha metálica conectada a um barramento de aterramento ou blindagem de parede;

Armadilhas magnéticas limite são instaladas nos dutos de ventilação para evitar a propagação de ondas de rádio.

Para proteção contra interferências nos circuitos elétricos de componentes e blocos de um sistema de informação automatizado, use:

cabo blindado para instalação intra-rack, intra-bloco, inter-bloco e externa;

conectores elásticos blindados (conectores), filtros de supressão de surtos para radiação eletromagnética;

fios, terminais, bobinas, capacitores e outros produtos elétricos e de rádio para supressão de ruído;

Inserções dielétricas separadoras são colocadas em tubos de abastecimento de água, aquecimento, gás e outros tubos metálicos, que interrompem o circuito eletromagnético.

Para controlar o fornecimento de energia, são utilizados rastreadores eletrônicos - dispositivos instalados nos pontos de entrada da rede de tensão alternada. Se o cabo de alimentação for cortado, quebrado ou queimado, a mensagem codificada dispara um alarme ou ativa uma câmera de televisão para registrar o evento.

Para detectar “bugs” incorporados, o exame de raios X é considerado o mais eficaz. No entanto, a implementação deste método está associada a grandes dificuldades organizacionais e técnicas.

O uso de geradores de ruído especiais para proteção contra o roubo de informações de computadores, captando sua radiação nas telas, tem um efeito adverso no corpo humano, o que leva à calvície rápida, perda de apetite, dores de cabeça e náuseas. É por isso que raramente são usados ​​​​na prática.

Proteção de hardware – São vários dispositivos eletrônicos, eletromecânicos e outros incorporados diretamente nos blocos de um sistema de informação automatizado ou projetados como dispositivos independentes e interligados com esses blocos.

Eles são projetados para proteção interna de elementos estruturais de equipamentos e sistemas de informática: terminais, processadores, equipamentos periféricos, linhas de comunicação, etc.

Principais funções de proteção de hardware:

proibição de acesso interno não autorizado a arquivos individuais ou bases de dados do sistema de informação, possível em decorrência de ações acidentais ou deliberadas do pessoal de serviço;

proteção de arquivos e bancos de dados ativos e passivos (arquivo) associados à não manutenção ou desligamento do sistema de informação automatizado;

proteção de integridade de software.

Essas tarefas são implementadas por hardware de segurança da informação utilizando o método de controle de acesso (identificação, autenticação e verificação da autoridade dos sujeitos do sistema, registro e resposta).

Para trabalhar com informações especialmente valiosas de uma organização (empresa), os fabricantes de computadores podem produzir discos individuais com características físicas únicas que não permitem a leitura das informações. Ao mesmo tempo, o custo de um computador pode aumentar várias vezes.

Software de segurança são projetados para desempenhar funções de proteção lógica e intelectual e estão incluídos no software de um sistema de informação automatizado, ou na composição de meios, complexos e sistemas de equipamentos de controle.

O software de segurança da informação é o tipo de proteção mais comum, possuindo as seguintes propriedades positivas: versatilidade, flexibilidade, facilidade de implementação, possibilidade de mudança e desenvolvimento. Esta circunstância torna-os, ao mesmo tempo, os elementos mais vulneráveis ​​da protecção do sistema de informação de uma empresa.

Atualmente, um grande número de sistemas operacionais, sistemas de gerenciamento de banco de dados, pacotes de rede e pacotes de software aplicativo foram criados, incluindo uma variedade de ferramentas de segurança da informação.

As seguintes tarefas de segurança da informação são resolvidas usando software de segurança:

controle de carregamento e login através de identificadores pessoais (nome, código, senha, etc.);

delimitação e controle de acesso dos sujeitos aos recursos e componentes do sistema, recursos externos;

isolamento de programas de processos executados no interesse de um assunto específico de outros assuntos (garantindo que cada usuário trabalhe em um ambiente individual);

gestão de fluxos de informações confidenciais, a fim de evitar registros em suportes de dados de nível (classificação) inadequado de sigilo;

proteção de informações contra vírus de computador;

apagar informações confidenciais residuais nos campos de RAM do computador desbloqueados após a conclusão das solicitações;

apagamento de informações confidenciais residuais em discos magnéticos, emissão de protocolos sobre os resultados do apagamento;

garantir a integridade das informações através da introdução de redundância de dados;

controle automático do trabalho dos usuários do sistema com base nos resultados do log e preparação de relatórios com base nos dados das entradas no log do sistema.

Atualmente, vários sistemas operacionais contêm nativamente recursos integrados de bloqueio de “reutilização”. Existem muitos programas comerciais para outros tipos de sistemas operacionais, sem mencionar pacotes de segurança especiais que implementam funções semelhantes.

A utilização de dados redundantes visa prevenir erros aleatórios nos dados e identificar modificações não autorizadas. Isto pode ser o uso de somas de verificação, controle de dados para codificação par-ímpar, resistente a erros, etc.

Muitas vezes é praticado armazenar assinaturas de objetos importantes do sistema em algum local protegido do sistema. Por exemplo, para um arquivo, uma combinação do byte de proteção do arquivo com seu nome, comprimento e data da última modificação pode ser usada como assinatura. Cada vez que um arquivo é acessado ou em caso de suspeita, as características atuais do arquivo são comparadas com o padrão.

A propriedade de auditabilidade de um sistema de controle de acesso significa a capacidade de reconstruir eventos ou procedimentos. As ferramentas de auditabilidade devem descobrir o que realmente aconteceu. Isto envolve documentar os procedimentos seguidos, manter registos e utilizar métodos de identificação e verificação claros e inequívocos.

Deve-se notar que a tarefa de controlar o acesso e, ao mesmo tempo, garantir a integridade dos recursos, é resolvida de forma confiável apenas pela criptografia da informação.

Como garantir adequadamente a segurança da infraestrutura de informação? .

INTRODUÇÃO

Qualquer atividade humana sempre esteve associada à obtenção de informações. Hoje está se tornando o principal recurso para o desenvolvimento científico, técnico e socioeconômico da comunidade mundial. Qualquer atividade empresarial e governamental está intimamente relacionada ao recebimento e uso de diversos fluxos de informação. Portanto, mesmo uma ligeira suspensão dos fluxos de informação pode levar a uma grave crise no trabalho de uma ou outra organização, e talvez até de várias organizações, conduzindo assim a conflitos de interesses. É por esta razão que nas modernas condições de concorrência de mercado surgem muitos problemas relacionados não só com a garantia da segurança da informação comercial como forma de propriedade intelectual, mas também das pessoas singulares e colectivas, dos seus bens e segurança pessoal. Assim, a informação é tratada como uma mercadoria.

A segurança da informação é uma área da tecnologia da informação relativamente jovem e em rápido desenvolvimento. A abordagem correta dos problemas de segurança da informação começa pela identificação dos sujeitos das relações de informação e dos interesses desses sujeitos associados à utilização dos sistemas de informação. As ameaças à segurança da informação são a desvantagem do uso da tecnologia da informação.

A protecção da informação nas condições modernas está a tornar-se um problema cada vez mais complexo, o que se deve a uma série de razões, sendo as principais: a distribuição em massa da tecnologia informática electrónica; complexidade crescente das tecnologias de criptografia; a necessidade de proteger não só os segredos de Estado e militares, mas também os segredos industriais, comerciais e financeiros; ampliando possibilidades de ações não autorizadas sobre informações.

O sistema de segurança não deve tanto limitar o acesso dos utilizadores aos recursos de informação, mas sim determinar a sua autoridade para aceder a essas informações, identificar o uso anormal de recursos, prever situações de emergência e eliminar as suas consequências.

Atualmente, os métodos de aquisição não autorizada de informações se espalharam. O seu objectivo é, antes de mais, o interesse comercial. A informação é diversa e tem valores diferentes, e o grau de sua confidencialidade depende de quem a possui.

Paralelamente ao desenvolvimento da tecnologia informática, surgem novas formas de violar a segurança da informação, enquanto os antigos tipos de ataques não desaparecem, apenas pioram a situação.

Existem muitas questões problemáticas relativas à proteção da informação; a sua solução depende de fatores objetivos e subjetivos, incluindo a falta de capacidades.

Assim, os fatos acima tornam relevante hoje o problema de projetar um sistema de segurança da informação eficaz.

Parte analítica

1.1 Estrutura da empresa e características das suas tecnologias de informação

A empresa Alfaproekt está localizada em Kursk e possui duas filiais localizadas na região: as aldeias de Pryamitsino e Ushakovo.

A actividade da organização Alfaproekt consiste num conjunto de serviços de desenvolvimento de documentação de projecto para projectos de construção industrial e de capital civil, reconstrução e reequipamento técnico, bem como serviços na área da normalização e metrologia. Projeto de instalações produtivas, incluindo a colocação de máquinas e equipamentos, desenho industrial é o foco principal da empresa.

A Figura 1.1 mostra a estrutura organizacional do Alfaproekt OJSC.

Pela estrutura fica claro que a empresa está dividida em departamentos que realizam determinadas tarefas dependendo de sua finalidade. A sede gerencia e controla diretamente o trabalho de cada departamento. Os departamentos são administrados por especialistas renomados, ou seja, chefes de departamento. Cada departamento, por sua vez, possui sua própria equipe.

A estrutura do empreendimento é hierárquica, o que permite uma gestão clara e execução das obras em pouco tempo. Mas a conclusão oportuna do trabalho também depende do processo tecnológico.

A Figura 1.2 mostra um diagrama de blocos do fluxo de documentos de produção do Alfaproekt OJSC.

De acordo com o esquema de fluxo de trabalho de produção, o cliente submete uma lista de documentos necessários ao projeto ou elaboração de qualquer outro tipo de pedido ao departamento de aceitação/emissão de documentos, onde é emitido um recibo do custo do serviço prestado, necessário para reporte no departamento de contabilidade, é elaborado. Após o pré-pagamento, é apresentado um pedido de elaboração de documentação técnica da instalação, que posteriormente é enviada para o arquivo. Em seguida, o departamento econômico avalia o custo do futuro objeto, que também é enviado para o arquivo. Toda a gestão dos processos continua sendo realizada pela matriz.

Figura 1.1 – Estrutura organizacional do JSC Alfaproekt

Figura 1.2 – Diagrama de blocos do fluxo de documentos de produção

Todas as etapas do fluxo documental da produção e, consequentemente, do próprio empreendimento são atendidas por equipamentos de alta tecnologia. Toda a documentação é armazenada em formato de computador; os desenhos de grandes objetos são feitos em plotadoras especiais equipadas no departamento principal e nas filiais. A empresa JSC Alfaproekt utiliza tecnologias modernas para transmissão e armazenamento de dados.

Todos os computadores utilizados estão integrados numa rede local (LAN), que por sua vez, para garantir a segurança dos dados, está dividida em segmentos independentes (departamentos de produção) através da tecnologia VLAN. A partir da rede local, os trabalhadores têm acesso à Internet para buscar materiais necessários e trocar e-mails. O trabalho dos usuários de todos os departamentos em um único banco de dados de informações permite manter registros automatizados da execução dos trabalhos técnicos de inventário. O programa verifica automaticamente a disponibilidade de informações sobre os proprietários e titulares dos direitos autorais no banco de dados e a exatidão da inserção dos endereços dos objetos. Isso permite eliminar a duplicação de informações e livrar-se do crescimento descontrolado do banco de dados.

As estações de trabalho dos usuários são conectadas a servidores corporativos em modo terminal, o que garante desempenho de alta velocidade de aplicativos em terminais remotos.

Além disso, por meio do acesso ao terminal, foi implementado o trabalho no programa 1C Accounting. Esta solução permite armazenar informação no servidor central da empresa, o que garante a segurança dos dados, e proporciona o controlo operacional e a obtenção de informação sobre a actividade financeira e económica dos departamentos.

A empresa Alfaproekt OJSC utiliza o pacote de software Inter Base SQL Server, que garante todo o fluxo de trabalho da empresa, desde o recebimento das inscrições até o envio dos casos para o arquivo eletrônico.

O complexo é constantemente modificado levando em consideração as necessidades da organização para o fluxo de documentos. O pacote de software foi projetado para operação com tecnologia VPN e requer recursos mínimos de rede durante sua operação.

As filiais da organização são conectadas através dos canais do provedor regional à rede do escritório principal por meio de tecnologia VPN (rede virtual privada). A tecnologia VPN foi escolhida para estes fins porque fornece um sistema de transmissão de dados confiável e um alto nível de proteção de informações contra acessos externos não autorizados. O uso da tecnologia VPN implementa:

− Espaço único da rede empresarial;

− Total transparência da rede para os colaboradores;

− Proteção da informação contra acesso não autorizado de terceiros;

− Introdução de um sistema de controlo automatizado unificado nas estruturas de rede existentes da empresa e integração total no fluxo documental de produção existente;

− Dimensionar a rede empresarial existente e ligar escritórios adicionais da empresa numa única rede empresarial;

A VPN é suportada e mantida por quatro servidores baseados em Windows 7 e equipamentos de telecomunicações Cisco. A LAN corporativa possui dois pontos de conexão com a Internet global, o que permite aumentar a confiabilidade na transmissão de dados.

O serviço de diretório ActiveDirectory é implantado na LAN corporativa, permitindo gerenciar totalmente o acesso a recursos de informações para usuários e grupos. A Figura 1.3 mostra o diagrama de blocos da LAN do Alfaproekt OJSC.

Figura 1.3 – Diagrama de blocos da LAN do JSC Alfaproekt

São consideradas as principais tecnologias de informação de rede que garantem a estabilidade e segurança do trabalho na LAN do Alfaproekt OJSC.

VLAN (Virtual Local Area Network) é um grupo de dispositivos que têm a capacidade de se comunicar entre si diretamente no nível do link de dados, embora possam estar fisicamente conectados a diferentes switches de rede. Por outro lado, dispositivos localizados em VLANs diferentes são invisíveis entre si no nível do link de dados, mesmo que estejam conectados ao mesmo switch, e a comunicação entre esses dispositivos só é possível na rede e em níveis superiores.

Nas redes modernas, a VLAN é o principal mecanismo para a criação de uma topologia de rede lógica independente de sua topologia física. VLANs são usadas para reduzir o tráfego de transmissão em uma rede. São de grande importância do ponto de vista da segurança, nomeadamente como meio de combate à falsificação de ARP.

VPN (Virtual Private Network) é uma tecnologia que permite fornecer uma ou mais conexões de rede (rede lógica) através de outra rede (Internet). O nível de confiança na rede lógica construída não depende do nível de confiança nas redes subjacentes, graças ao uso de ferramentas de criptografia (criptografia, autenticação, infraestrutura de chave pública). Dependendo dos protocolos utilizados e da finalidade, uma VPN pode fornecer três tipos de conexões: host a host, host a rede e rede a rede.

Active Directory é uma implementação do serviço de diretório da Microsoft para sistemas operacionais da família Windows NT. O Active Directory permite que os administradores usem políticas de grupo para garantir a configuração uniforme do ambiente de trabalho do usuário, implantar e atualizar software de aplicativos e servidores em todos os computadores da rede. O Active Directory armazena dados e configurações de ambiente em um banco de dados centralizado. As redes do Active Directory podem variar em tamanho, de várias centenas a vários milhões de objetos. O serviço de diretório é uma ferramenta de administrador e uma ferramenta de usuário final. À medida que cresce o número de objetos em uma rede, aumenta a importância dos serviços de diretório.

DNS (Domain Name System) é um sistema de computador distribuído para obter informações sobre domínios. Mais frequentemente usado para obter um endereço IP por nome de host (computador ou dispositivo), obter informações sobre roteamento de correio, servir hosts para protocolos em um domínio.

A base do DNS é a ideia de uma estrutura hierárquica de nomes de domínio e zonas. Cada servidor responsável pelo nome pode delegar a responsabilidade por outra parte do domínio a outro servidor, o que permite atribuir a responsabilidade pela relevância das informações aos servidores de várias organizações que são responsáveis ​​​​apenas pela “sua” parte do nome de domínio .

O DNS é importante para o funcionamento da Internet porque... Para se conectar a um host, você precisa de informações sobre seu endereço IP, e é mais fácil para as pessoas lembrarem-se de endereços alfabéticos (geralmente significativos) do que da sequência de números de um endereço IP. Em alguns casos, isto permite a utilização de servidores virtuais, como servidores HTTP, distinguindo-os pelo nome da solicitação.

1.2 Ameaças à segurança da informação da empresa JSC Alfaproekt e uma descrição dos possíveis danos decorrentes de sua implementação

Segurança da informação é a proteção da informação e da infraestrutura de suporte contra impactos acidentais ou intencionais de natureza natural ou artificial que possam causar danos aos proprietários ou usuários da informação e da infraestrutura de suporte.

Recursos de informação - documentos individuais e matrizes individuais de documentos, documentos e matrizes de documentos em sistemas de informação (bibliotecas, arquivos, fundos, bancos de dados, outros sistemas de informação). As relações relativas à propriedade dos recursos de informação são reguladas pela legislação civil pertinente.

A classificação das ameaças à segurança da informação dos sistemas automatizados de processamento de dados (ADPS) é necessária devido ao fato de que a moderna tecnologia informática e as informações que acumulam estão sujeitas a influências aleatórias de um número extremamente grande de fatores. Assim, não há necessidade de descrever o conjunto completo de ameaças. Como resultado, não é necessário determinar uma lista completa de ameaças para o sistema que está sendo protegido, mas considerar apenas as classes de ameaças.

A classificação de todas as possíveis ameaças à segurança da informação do ASOD pode ser realizada de acordo com uma série de características básicas. As classes de ameaças ASOD são mostradas na Figura 1.4

Em cada classe de ameaças à segurança da informação, podem ser distinguidos vários tipos de ameaças que afetam um sistema automatizado de processamento de dados. Com base nisso, foi construída uma tabela de tipos de ameaças à segurança da informação para classes específicas de ameaças e suas características (Tabela 1.1).

Figura 1.4 – Classes de ameaças ASOD

Tabela 1.1 – Características dos tipos de ameaças à segurança da informação ASOD para as classes correspondentes

Tipo de ameaças	Classe de ameaça
1. Por natureza da ocorrência	Ameaças naturais são ameaças causadas por impactos sobre o ASOD e seus componentes de processos físicos objetivos ou fenômenos naturais independentes dos seres humanos.
As ameaças provocadas pelo homem são ameaças à segurança da informação das centrais nucleares causadas pela atividade humana.
2. De acordo com o grau de intencionalidade da manifestação	Ameaças acidentais e/ou ameaças causadas por erros pessoais ou negligência.
Ameaças de ação intencional, por exemplo, ameaças de um invasor roubar informações.
3.De acordo com a fonte direta das ameaças	Ameaças cuja fonte direta é o ambiente natural (desastres naturais, tempestades magnéticas, radiação radioativa).
Ameaças cuja fonte direta é uma pessoa.
Ameaças cuja fonte direta é software e hardware autorizados.
Ameaças cuja fonte direta é software e hardware não autorizados.
4. De acordo com a posição da fonte da ameaça	Ameaças cuja origem está localizada fora da zona controlada do território (instalações) onde o ASOD está localizado.
Ameaças cuja origem está localizada na zona controlada do território (instalações) onde está localizado o ASOD.
Ameaças cuja origem tem acesso a dispositivos periféricos ASOD.
Ameaças cuja origem está localizada em ASOD.
5. De acordo com o grau de dependência da atividade ASOD	Ameaças que podem ocorrer independentemente da atividade do ASOD: quebra de cifras de proteção criptográfica de informações; roubo de meios de armazenamento (discos magnéticos, fitas, chips de memória, dispositivos de armazenamento e sistemas de computador).
Ameaças que só podem aparecer durante o processamento automatizado de dados (por exemplo, ameaças de execução e propagação de vírus de software).

Fim da tabela 1.1
6. De acordo com o grau de impacto no ASOD	Ameaças passivas que, quando implementadas, não alteram nada na estrutura e no conteúdo do ASOD (por exemplo, a ameaça de cópia de dados secretos).
Ameaças ativas que, quando expostas, alteram a estrutura e o conteúdo do ASOD.
7. Por estágios de acesso do usuário ou programa aos recursos ASOD	Ameaças que podem surgir na fase de acesso aos recursos ASOD (por exemplo, ameaças de acesso não autorizado ao ASOD).
Ameaças que podem surgir após permissão de acesso a recursos ASOD (por exemplo, ameaças de uso não autorizado ou incorreto de recursos ASOD).
8. Por método de acesso aos recursos ASOD	Ameaças destinadas a usar um caminho padrão direto para acessar recursos ASOD.
Ameaças que visam usar um caminho oculto e não padrão para acessar recursos de AS.
9. De acordo com a localização atual das informações	Ameaças de acesso a informações em dispositivos de armazenamento externos
Ameaças de acesso a informações na RAM.
Ameaças de acesso à informação que circula nas linhas de comunicação.
Ameaças de acesso a informações exibidas em um terminal ou impressas em uma impressora.

Todas as classes e tipos de ameaças considerados são, de uma forma ou de outra, inerentes ao ASOD do Alfaproekt OJSC.

Você também pode classificar as ameaças de acordo com o Código Penal da Federação Russa e destacar as seguintes ameaças à segurança da informação:

− Roubo (cópia) de informações.

− Destruição de informações.

− Modificação (distorção) de informações.

− Violação de disponibilidade (bloqueio) de informação.

− Negação da autenticidade da informação.

− Imposição de informações falsas.

Roubo é a apreensão e (ou) conversão ilegal e gratuita de bens alheios em benefício do autor ou de outras pessoas, que causou danos ao proprietário ou possuidor do bem.

Copiar informações de computador é a repetição e impressão permanente de informações em um computador ou outro meio.

A destruição é um impacto externo sobre a propriedade, pelo que esta deixa de existir fisicamente ou torna-se totalmente imprópria para o uso a que se destina.

O dano é uma alteração nas propriedades de um imóvel em que o seu estado se deteriora significativamente, uma parte significativa das suas propriedades úteis é perdida e torna-se total ou parcialmente inadequado para o uso pretendido.

Modificação de informação informática – efetuar quaisquer alterações, exceto as relacionadas com a adaptação de programa informático ou base de dados.

O bloqueio de informações informáticas é um impedimento artificial ao acesso do utilizador a informações que não estão associadas à sua destruição.

Engano (negação de autenticidade, imposição de informações falsas) - distorção deliberada ou ocultação da verdade com o objetivo de induzir em erro o responsável pelo imóvel e assim obter dele a transmissão voluntária de bens, bem como a comunicação de informações sabidamente falsas para este propósito.

A classificação das ameaças parecerá mais clara se considerarmos as ameaças em conjunto com a sua origem. De acordo com esta abordagem, a classificação das ameaças à segurança da informação no Alfaproekt OJSC será a seguinte (Figura 1.5).

Todas as ameaças apresentadas podem ser intencionais ou não intencionais.

Também é necessário considerar ameaças dirigidas a instalações ASOD específicas no Alfaproekt OJSC. De acordo com o diagrama de blocos da LAN mostrado na Figura 1.3, os seguintes objetos do sistema automatizado podem ser distinguidos: estação de trabalho do funcionário, servidor de banco de dados, servidor de arquivos, servidor de controle. Para cada um dos objetos, a Tabela 1.2 apresenta ameaças específicas à segurança da informação.

Do ponto de vista da abordagem económica, o dano total à segurança da informação de uma empresa consiste em dois componentes: danos diretos e indiretos.

Danos diretos à segurança da informação de uma empresa ocorrem devido ao vazamento de informações confidenciais. O dano indireto é o prejuízo que uma empresa incorre devido a restrições à divulgação de informações, na forma prescrita, classificadas como confidenciais.

Figura 1.5 – Classificação das ameaças à segurança da informação no Alfaproekt OJSC

Tabela 1.2. – Ameaças à segurança da informação para cada um dos objetos ASOD

Objeto ASOD	Ameaças à segurança da informação
Estação de trabalho do funcionário	Copiando informações para a mídia
Instalando e usando software “esquerdo”
Infectando seu computador com vírus
Erros do operador ao operar o SVT
Erros do operador ao operar software
Acesso não autorizado aos recursos do AS e seu uso posterior (cópia, modificação, exclusão)
Servidor de banco de dados	Copiando informações
Acesso à informação através de interrupções
Erros do usuário ao usar software
Servidor de arquivos	Alterar informações
Copiando informações
Excluindo informações
Divulgação de informações protegidas através da transferência de mídia de armazenamento para pessoas não autorizadas a acessá-las
Servidor de gerenciamento	Aquisição ilegal de senhas e outros detalhes de controle de acesso.
Bloqueio de acesso de usuários cadastrados

Como parte do desenvolvimento ou análise de um sistema de segurança da informação, o mais adequado é uma avaliação qualitativa do valor do recurso de informação por parte do proprietário. Dependendo das necessidades da organização, da sua dimensão ou de outros factores, a escala de classificação qualitativa pode utilizar designações como “insignificante”, “baixo”, “médio”, “alto”, “crítico”, o que implica um determinado intervalo de escala de avaliação quantitativa.

Depois de compilar uma lista de ameaças, é compilado o grau de probabilidade de implementação (SVR) das ameaças. A avaliação de risco ocorre comparando as avaliações da gravidade das consequências com a avaliação SVR das ameaças à segurança da informação (Tabela 1.4).

Na fase de avaliação de riscos, os danos potenciais causados ​​por ameaças à segurança da informação são determinados para cada recurso ou grupo de recursos. Determinar a gravidade das consequências da perda de propriedades de segurança da informação por um recurso é necessário para determinar: quanto custará um sistema de “tempo de inatividade” durante o tempo necessário para restaurá-lo e quais serão os danos se essa informação se tornar conhecida aos concorrentes.

Tabela 1.4 – Comparação das avaliações da gravidade das consequências com a avaliação do SVR das ameaças à segurança da informação

Grau de probabilidade de uma ameaça à segurança da informação ser concretizada	A gravidade das consequências de uma violação da segurança da informação
mínimo	média	alto	crítico
irrealizável	aceitável	aceitável	aceitável	aceitável
mínimo	aceitável	aceitável	aceitável	inaceitável
média	aceitável	aceitável	inaceitável	inaceitável
alto	aceitável	inaceitável	inaceitável	inaceitável
crítico	inaceitável	inaceitável	inaceitável	inaceitável

Ao considerar possíveis danos, também é necessário considerar os recursos utilizados pelo empreendimento. A classificação dos recursos de informação é apresentada na Figura 1.7.

Figura 1.7 – Tipos de recursos empresariais

Os recursos a serem protegidos incluem informações e recursos técnicos.

Na JSC Alfaproekt, os recursos técnicos incluem:

− servidor de controle;

− servidor de banco de dados;

− servidor de arquivos;

− Impressoras e plotters;

− Equipamentos de rede (switches, roteadores).

Os recursos de informação localizados em formato eletrônico e em mídia de papel desta empresa incluem:

− Cópias dos documentos de identificação do cliente;

− Passaportes técnicos de objetos imobiliários;

− Certificados de valor contábil indicando o valor contábil residual do período de inventário técnico;

− Projeto e documentação executiva;

− Demonstrações contábeis.

Assim, os recursos eletrônicos da empresa Alfaproekt OJSC têm acesso limitado e são classificados como confidenciais. Portanto, os recursos alocados ficam expostos a ameaças à segurança da informação e, caso as ameaças se concretizem, a empresa poderá sofrer diversos tipos de danos. A Figura 1.8 mostra três tipos de danos.

Figura 1.8 – Tipos de possíveis danos

As manifestações de possíveis danos podem ser diferentes e de natureza mista:

− danos morais e materiais à reputação empresarial da organização

− danos morais, físicos ou materiais associados à divulgação de dados pessoais de pessoas físicas;

− danos materiais decorrentes da necessidade de restaurar recursos de informação protegidos danificados;

− danos materiais decorrentes da incapacidade de cumprir obrigações assumidas para com terceiros;

− danos morais e materiais decorrentes da interrupção das atividades da organização;

− danos materiais e morais decorrentes da violação das relações internacionais.

Os danos também podem ser considerados de acordo com a gravidade das consequências das ameaças à segurança da informação. A Figura 1.9 mostra a classificação dos danos por gravidade.

Figura 1.9 – Gravidade das consequências das ameaças à segurança da informação

Com base no exposto, uma série de possíveis consequências da implementação de ameaças à segurança da informação podem ser identificadas no Alfaproekt OJSC. Em primeiro lugar, importa referir que os danos serão maioritariamente materiais. Os principais prejuízos ocorrerão nos recursos técnicos, uma vez que este tipo de recurso envolve a utilização e armazenamento de recursos de informação digital. Mas não podemos ignorar o fato de que a empresa também utiliza recursos de informação não digitais, embora a maioria deles possua cópias digitais, mas esses recursos não são menos valiosos.

Em termos da gravidade das consequências, os maiores prejuízos ocorrerão em caso de falha dos recursos técnicos do Alfaproekt OJSC, uma vez que haverá a suspensão do fluxo documental de produção e a possível perda de recursos de informação digital, o que é um significativo gravidade das consequências. Se a implementação de ameaças à segurança da informação afetar apenas os recursos de informação digital, a gravidade das consequências pode ser caracterizada como média, em casos extremos, por exemplo, desastres naturais, a gravidade pode passar para a categoria de gravidade significativa das consequências ou mesmo alta; A gravidade de todas estas consequências depende principalmente das ameaças específicas. Com base neste princípio, foi compilada a Tabela 1.5 da gravidade das consequências de ameaças específicas à segurança da informação no Alfaproekt OJSC.

Tabela 1.5 – Gravidade das consequências das ameaças à segurança da informação no Alfaproekt OJSC

Ameaça à segurança da informação	Gravidade das consequências (danos)
Erros de usuários e administradores de sistema	médio - baixo
Violações por funcionários da empresa dos regulamentos estabelecidos para coleta, processamento, transferência e destruição de informações	média
Erros de software	baixo
Falhas e mau funcionamento de equipamentos de informática	média
Infectando computadores com vírus ou malware	média
Acesso não autorizado (UA) a informações corporativas	médio - significativo
Monitoramento de informações por estruturas concorrentes, inteligência e serviços especiais	média
Ações de órgãos e serviços governamentais acompanhadas de coleta, modificação, apreensão e destruição de informações	médio - significativo
Acidentes, incêndios, desastres provocados pelo homem	significativo - alto

A segurança da informação do ASOD é garantida se um determinado nível for mantido para quaisquer recursos de informação no sistema:

− confidencialidade (impossibilidade de recebimento não autorizado de qualquer informação);

− integridade (impossibilidade de modificação não autorizada ou acidental);

− acessibilidade (capacidade de obter as informações necessárias num prazo razoável).

As ameaças à segurança da informação afetam não apenas as propriedades da informação, mas também os recursos técnicos da empresa, portanto o sistema de proteção da informação de segurança deve atender aos seguintes requisitos:

− requisitos para a não distorção das propriedades da informação;

− requisitos da classe de segurança ASOD;

− requisitos da classe de segurança SVT;

− requisitos para proteger informações contra acesso não autorizado.

Além disso, o sistema de segurança da informação deve realizar:

− alertar sobre o surgimento de ameaças à segurança da informação;

− detecção, neutralização e localização do impacto das ameaças;

− controle de acesso a informações protegidas;

− restauração do sistema de segurança da informação;

− registro de ocorrências e tentativas de acesso não autorizado;

− garantir o controle sobre o funcionamento do sistema de proteção.

ANÁLISE DO SISTEMA DE SEGURANÇA DA INFORMAÇÃO E SELEÇÃO DE MÉTODO PARA SUA MODERNIZAÇÃO

2.1 Métodos e meios de proteção de informações em redes

Na primeira fase de desenvolvimento dos conceitos de segurança de dados, foi dada preferência às ferramentas de segurança de software. Mas a prática tem demonstrado que isto não é suficiente para garantir a segurança dos dados, e todos os tipos de dispositivos e sistemas têm sido intensamente desenvolvidos. Gradualmente, à medida que se formou uma abordagem sistemática ao problema da garantia da segurança dos dados, surgiu a necessidade da aplicação integrada dos métodos de proteção e dos meios e mecanismos de proteção criados a partir deles. Normalmente, nas empresas, dependendo do volume de dados confidenciais armazenados, transmitidos e processados, especialistas individuais ou departamentos inteiros são responsáveis ​​pela segurança da informação. A Figura 2.1 mostra um modelo de segurança da informação abrangente.

Figura 2.1 modelo de segurança da informação abrangente

Na proteção da informação, duas áreas são claramente distinguidas: proteção da confidencialidade e proteção do desempenho. Para realizar estas tarefas, existem métodos e meios especiais de proteção de dados, que são apresentados detalhadamente na Figura 2.2.

Figura 2.2 – Classificação dos métodos e meios de proteção de dados

Os métodos para garantir a segurança da informação nos sistemas de informação são divididos em: obstrução, controle de acesso, mecanismos de criptografia (mascaramento), regulação, coerção, indução e combate a ataques de malware.

Um obstáculo é um método de bloquear fisicamente o caminho de um invasor para informações protegidas (equipamento, mídia de armazenamento, etc.).

Controle de acesso – métodos de proteção de informações regulando o uso de todos os recursos IP. Esses métodos devem resistir a todas as formas possíveis de acesso não autorizado à informação.

O controle de acesso inclui:

− identificação de usuários, pessoal e recursos do sistema;

− identificação do sujeito pelo identificador por ele apresentado;

− verificação de credenciais;

− criação de condições de trabalho dentro dos regulamentos estabelecidos;

− registo de pedidos a recursos protegidos;

− ao tentar ações não autorizadas.

Mecanismos de criptografia – fechamento criptográfico da informação.

Regulamentação – a criação de tais condições para o processamento, armazenamento e transmissão automatizados de informações protegidas sob as quais as normas e padrões de proteção sejam atendidos ao máximo.

A coerção é um método de proteção em que os usuários e o pessoal do sistema de informação são obrigados a cumprir as regras de processamento, transferência e uso de informações protegidas sob ameaça de responsabilidade material, administrativa ou criminal.

O incentivo é um método de proteção que incentiva os usuários e o pessoal de SI a não violar os procedimentos estabelecidos, observando os padrões morais e éticos estabelecidos.

O combate aos ataques de malware envolve um conjunto de diversas medidas organizacionais e o uso de programas antivírus. Os objetivos das medidas tomadas são reduzir a probabilidade de infecção do IP, identificar factos de infecção do sistema; reduzir as consequências das infecções de informação, localizando ou destruindo vírus; restauração de informações no SI.

Todo o conjunto de meios técnicos está dividido em hardware e físico.

Hardware – dispositivos integrados diretamente em equipamentos de informática ou dispositivos que fazem interface com ele usando uma interface padrão.

Os meios físicos incluem vários dispositivos e estruturas de engenharia que impedem a penetração física de invasores em objetos protegidos e protegem o pessoal (equipamentos de segurança pessoal), recursos materiais e financeiros, informações de ações ilegais.

Ferramentas de software são programas especiais e pacotes de software projetados para proteger informações em SI.

Dentre os softwares de sistema de segurança, destacaremos também softwares que implementam mecanismos de criptografia (criptografia). A criptografia é a ciência que garante o sigilo e/ou autenticidade (autenticidade) das mensagens transmitidas.

Os meios organizacionais realizam a sua complexa regulação das atividades de produção no sistema de informação e das relações dos executores numa base legal, de tal forma que a divulgação, a fuga e o acesso não autorizado a informações confidenciais se tornam impossíveis ou significativamente dificultados devido a medidas organizacionais.

Os recursos legislativos são determinados pelos atos legislativos do país, que regulamentam as regras de uso, processamento e transmissão de informações restritas e estabelecem penalidades para a violação dessas regras.

Os meios morais e éticos de proteção incluem todos os tipos de normas de comportamento (que tradicionalmente se desenvolveram anteriormente), que estão tomando forma à medida que a PI se espalha no país e no mundo. Os padrões morais e éticos podem não estar escritos ou ser formalizados em um determinado conjunto de regras ou regulamentos. Estas normas, em regra, não são legalmente aprovadas, mas como o seu incumprimento conduz à diminuição do prestígio da organização, são consideradas obrigatórias.

2.2 Definição de classes de segurança

2.2.1 Determinação da classe de segurança ASOD exigida no JSC Alfaproekt

Para determinar a classe de segurança exigida na Federação Russa, existe uma abordagem específica implementada no documento orientador da Comissão Técnica Estadual sob o Presidente da Federação Russa “Classificação de sistemas automatizados e requisitos para proteção de informações” Parte 1. Este documento identifica 9 classes de segurança de sistemas automatizados contra acesso não autorizado à informação, e para cada classe são determinadas a composição mínima dos mecanismos de proteção necessários e os requisitos para o conteúdo das funções de proteção de cada um dos mecanismos em cada uma das classes de sistemas (Figura 2.3).

Introdução

A segurança da informação de uma empresa é a segurança das informações que uma empresa possui (produz, transmite ou recebe) contra acesso não autorizado, destruição, modificação, divulgação e atrasos no recebimento. A segurança da informação inclui medidas para proteger os processos de criação, entrada, processamento e saída de dados. O objetivo da segurança da informação abrangente é preservar intacto o sistema de informação da empresa, proteger e garantir a integridade e precisão da informação que produz, minimizar a destruição e modificação da informação, se houver.

A informatização e o desenvolvimento das telecomunicações oferecem hoje amplas oportunidades de acesso automatizado a diversos dados confidenciais, pessoais e outros dados importantes e críticos da sociedade (seus cidadãos, organizações, etc.).

O problema de criar e manter um ambiente seguro de troca de informações que implemente certas regras e políticas de segurança de uma organização moderna é muito relevante. A informação há muito deixou de desempenhar um papel efémero, puramente auxiliar, passando a ser um factor muito importante e significativo, quase material, com características de custo próprias, determinadas pelo lucro real que se pode obter com a sua utilização (da informação). Ao mesmo tempo, é bem possível hoje que danos sejam causados ​​​​ao proprietário da informação (empresa) através da penetração não autorizada na estrutura da informação e do impacto nos seus componentes.

O objeto do estudo é: segurança da informação.

Objeto de pesquisa: proteção da informação.

Assim, o objetivo deste trabalho é estudar a segurança da informação.

Para atingir este objetivo, é necessário cumprir as seguintes tarefas: considerar a avaliação da segurança dos sistemas de informação, tipos, métodos e meios de proteção da informação; analisar a estrutura do sistema de segurança da informação.

1. Avaliação da segurança dos sistemas de informação

No contexto da utilização de tecnologia de informação automatizada (AIT), segurança refere-se ao estado de segurança dos sistemas de informação (doravante denominados SI) contra ameaças internas e externas.

Um indicador de segurança IP é uma característica das ferramentas do sistema que afeta a segurança e é descrito por um determinado grupo de requisitos, variando em nível e profundidade dependendo da classe de segurança.

Para avaliar o estado real da segurança dos SI, podem ser aplicados vários critérios. Uma análise da experiência nacional e estrangeira mostrou uma certa semelhança de abordagem para determinar o estado da segurança IP em diferentes países. Para fornecer ao usuário a capacidade de avaliar, um determinado sistema de indicadores é introduzido e uma hierarquia de classes de segurança é especificada. Cada classe corresponde a um determinado conjunto de funções necessárias. O grau de implementação dos critérios seleccionados mostra o estado actual da segurança. As ações subsequentes resumem-se a comparar ameaças reais com o estado real da segurança.

Se o imóvel cobrir completamente as ameaças, o sistema de segurança é considerado confiável e não requer medidas adicionais. Tal sistema pode ser classificado como um sistema com cobertura completa de ameaças e canais de vazamento de informações. Caso contrário, o sistema de segurança necessita de medidas de proteção adicionais.

A política de segurança é um conjunto de leis, regras e experiências práticas com base nas quais se constrói a gestão, proteção e distribuição de informações confidenciais.

A análise das classes de segurança mostra que quanto maior for, mais rigorosos serão os requisitos do sistema.

Os documentos orientadores no domínio da segurança da informação foram desenvolvidos pela Comissão Técnica Estatal sob a presidência da Federação Russa. Os requisitos destes documentos são obrigatórios para execução apenas por organizações do setor público ou organizações comerciais que processam informações que contenham segredos de Estado. Para outras estruturas comerciais, os documentos têm caráter consultivo.

2. Métodos e meios de construção de sistemas de segurança da informação (ISS)

A criação de sistemas de segurança da informação em SI e TI assenta nos seguintes princípios: abordagem sistemática, princípio do desenvolvimento contínuo do sistema, separação e minimização de poderes, controlo completo e registo de tentativas, garantindo a fiabilidade do sistema de protecção , garantindo o controle do funcionamento do sistema de proteção, disponibilizando todos os meios possíveis de combate a programas maliciosos, garantindo a viabilidade econômica.

Como resultado da resolução de problemas de segurança da informação, os SI e TI modernos devem ter as seguintes características principais:

Disponibilidade de informações com diversos graus de confidencialidade;

Garantir a proteção criptográfica das informações em diversos graus de confidencialidade durante a transferência de dados;

A hierarquia de poderes dos sujeitos de acesso a programas e componentes de SI e TI (a servidores de arquivos, canais de comunicação, etc.);

Controle obrigatório dos fluxos de informação, tanto em redes locais como quando transmitidas por canais de comunicação a longas distâncias;

Disponibilidade de mecanismo de registro e contabilização de tentativas de acesso não autorizado, ocorrências no sistema de informação e documentos impressos;

Integridade obrigatória de software e informações em TI;

Disponibilidade de meios para restaurar o sistema de segurança da informação;

Contabilidade obrigatória de meios magnéticos;

Disponibilização de segurança física dos equipamentos informáticos e meios magnéticos;

Disponibilidade de um sistema especial de serviço de segurança da informação.

3. Estrutura do sistema de segurança da informação

Ao considerar a estrutura de um sistema de segurança da informação (ISS), é possível uma abordagem tradicional - identificação de subsistemas de suporte. Um sistema de segurança da informação, como qualquer sistema de informação, deve ter determinados tipos de suporte próprio, com os quais poderá cumprir a função pretendida. Levando isso em consideração, o ISS deve ter os seguintes tipos (elementos) de suporte: jurídico, organizacional, normativo e metodológico, informativo, técnico (hardware), software, matemático, linguístico.

Suporte legal O ISS baseia-se nas normas do direito da informação e envolve a consolidação jurídica da relação entre a empresa e o Estado no que diz respeito à legalidade da utilização do sistema de segurança da informação, a empresa e o pessoal no que diz respeito à obrigação do pessoal de cumprir as medidas restritivas e tecnológicas de proteção. medidas estabelecidas pelo titular da informação, bem como a responsabilidade do pessoal pela violação do procedimento de proteção da informação. Este tipo de segurança inclui:

A presença nos documentos organizacionais da empresa, nos regulamentos trabalhistas internos, nos contratos celebrados com os funcionários, nas descrições de cargos e nas instruções de trabalho de disposições e obrigações de proteção de informações confidenciais;

Formular e levar ao conhecimento de todos os colaboradores da empresa (incluindo aqueles não relacionados com informações confidenciais) disposições sobre responsabilidade legal pela divulgação de informações confidenciais, destruição não autorizada ou falsificação de documentos;

Explicação às pessoas contratadas das disposições sobre a voluntariedade das restrições que assumem relacionadas com o cumprimento das obrigações de proteção da informação.

Deve-se notar que de todas as medidas de proteção, o papel principal é atualmente desempenhado por eventos organizacionais . Portanto, merece destaque a questão da organização de um serviço de segurança. A implementação de uma política de segurança requer a criação de ferramentas de segurança, a gestão do sistema de segurança e a monitorização do funcionamento do SI. Em regra, as tarefas de gestão e controlo são asseguradas por um grupo administrativo, cuja composição e dimensão dependem de condições específicas. Muitas vezes, esse grupo inclui o administrador de segurança, o gerente de segurança e os operadores.

A provisão e o controle de segurança são uma combinação de medidas técnicas e administrativas. Segundo fontes estrangeiras, os funcionários do grupo administrativo costumam dedicar 1/3 do seu tempo a trabalhos técnicos e cerca de 2/3 a trabalhos administrativos (desenvolvimento de documentos relacionados com a protecção da PI, procedimentos de verificação do sistema de segurança, etc.). Uma combinação criteriosa destas medidas ajuda a reduzir a probabilidade de violações das políticas de segurança.

O grupo administrativo às vezes é chamado de grupo de segurança da informação. Está separado de todos os departamentos ou grupos envolvidos na gestão do próprio SI, na programação e outras tarefas relacionadas com o sistema, para evitar possíveis conflitos de interesses.

O apoio organizacional inclui regulamentação:

Formação e organização das atividades do serviço de segurança e do serviço de documentação confidencial (ou do gestor de segurança, ou do assistente do primeiro gestor), dotando as atividades destes serviços (funcionários) de documentos normativos e metodológicos sobre a organização e tecnologia de segurança da informação;

Compilar e atualizar regularmente a composição (lista, lista, matriz) da informação protegida da empresa, compilando e mantendo uma lista (inventário) dos documentos protegidos em papel, legíveis por máquina e eletrónicos da empresa;

Sistema de permissão (esquema hierárquico) para restringir o acesso do pessoal às informações protegidas;

Métodos de seleção de pessoal para trabalhar com informações protegidas, métodos de treinamento e instrução de funcionários;

Orientações e métodos de trabalho educativo com os colaboradores, monitorando o cumprimento dos procedimentos de proteção da informação pelos colaboradores;

Tecnologias de proteção, processamento e armazenamento de documentos em papel, legíveis por máquina e eletrônicos da empresa (tecnologias clericais, automatizadas e mistas); tecnologia fora da máquina para proteção de documentos eletrônicos;

O procedimento para proteger informações valiosas da empresa contra ações não autorizadas acidentais ou intencionais de pessoal;

Realização de todos os tipos de trabalhos analíticos;

O procedimento de proteção da informação durante reuniões, sessões, negociações, recepção de visitantes, trabalho com representantes de agências de publicidade e meios de comunicação;

Equipamento e certificação de instalações e áreas de trabalho destinadas ao trabalho com informação confidencial, licenciamento de sistemas técnicos e meios de protecção e segurança da informação, certificação de sistemas de informação destinados ao tratamento de informação protegida;

Controlo de acessos no território, no edifício e instalações da empresa, identificação de pessoal e visitantes;

Sistemas de segurança do território, edifício, instalações, equipamentos, transportes e pessoal da empresa;

Ações do pessoal em situações extremas;

Questões organizacionais de aquisição, instalação e operação de meios técnicos de segurança e proteção da informação;

Questões organizacionais de proteção de computadores pessoais, sistemas de informação, redes locais;

Trabalhar na gestão do sistema de segurança da informação;

Critérios e procedimentos para a realização de atividades de avaliação para determinar o grau de eficácia do sistema de segurança da informação.

O elemento organizacional de proteção da informação é o núcleo, a parte principal de um sistema abrangente de elementos do sistema de segurança - o “elemento de proteção da informação organizacional e legal”.

Normativo e metodológico a disposição pode ser fundida com a legal, que inclui normas e regulamentos para a atuação dos órgãos, serviços e meios que implementam funções de segurança da informação; vários tipos de técnicas que garantem a atividade dos utilizadores no desempenho do seu trabalho em condições de estritos requisitos de confidencialidade.

Os regulamentos e padrões de proteção da informação impõem requisitos à construção de uma série de componentes que são tradicionalmente incluídos nos subsistemas de suporte dos próprios sistemas de informação, ou seja, podemos falar da presença de uma tendência de fusão dos subsistemas de suporte dos sistemas de informação e da segurança da informação.

Um exemplo é o uso de sistemas operacionais (SO). Muitos estudos foram realizados em diversos países que analisam e classificam falhas de proteção de PI. Foi revelado que as principais deficiências na proteção da PI estão concentradas no SO. A utilização de sistemas operacionais seguros é uma das condições mais importantes para a construção de sistemas de informação modernos. Os requisitos para sistemas operacionais orientados para trabalhar com redes locais e globais são especialmente importantes. O desenvolvimento da Internet teve um impacto particularmente forte no desenvolvimento de sistemas operacionais seguros. O desenvolvimento de tecnologias de rede levou ao surgimento de um grande número de componentes de rede (NC). Os sistemas que foram certificados sem requisitos de software de rede são agora frequentemente utilizados em ambientes de rede e até mesmo conectados à Internet. Isto leva ao aparecimento de falhas que não foram detectadas durante a certificação de sistemas computacionais seguros, o que exige melhoria contínua do SO.

Suporte de engenharia os sistemas de segurança da informação são projetados para combater passiva e ativamente os meios técnicos de reconhecimento e formar linhas de segurança para territórios, edifícios, instalações e equipamentos usando complexos de meios técnicos. Na proteção dos sistemas de informação, este elemento é importante, embora o custo dos equipamentos técnicos de proteção e segurança seja elevado. O item inclui:

Construções de proteção física (de engenharia) contra a penetração de pessoas não autorizadas no território, edifício e instalações (cercas, grades, portas de aço, fechaduras combinadas, identificadores, cofres, etc.);

Meios de proteção de canais técnicos de vazamento de informações que ocorrem durante o funcionamento de computadores, comunicações, copiadoras, impressoras, faxes e outros dispositivos e equipamentos de escritório, durante reuniões, reuniões, conversas com visitantes e funcionários, ditado de documentos, etc.;

Meios de proteção das instalações contra métodos visuais de reconhecimento técnico;

Meios de garantir a proteção do território, edifícios e instalações (meios de observação, alerta, alarme, informação e identificação);

Equipamentos de proteção contra incêndio;

Meios de detecção de instrumentos e dispositivos técnicos de inteligência (dispositivos de escuta e transmissão, equipamentos de gravação de som e televisão em miniatura instalados secretamente, etc.);

Meios técnicos de controle que impedem o pessoal de retirar das instalações itens especialmente marcados, documentos, disquetes, livros, etc.

Software e hardware os sistemas de proteção são projetados para proteger informações valiosas processadas e armazenadas em computadores, servidores e estações de trabalho de redes locais e diversos sistemas de informação. No entanto, fragmentos desta proteção podem ser utilizados como meios de acompanhamento na proteção de engenharia, técnica e organizacional. O item inclui:

Programas autônomos que proporcionam proteção da informação e controle sobre o grau de sua segurança;

Programas de segurança da informação trabalhando em conjunto com programas de processamento de informações;

Programas de segurança da informação que funcionam em conjunto com dispositivos técnicos (hardware) de segurança da informação (interrupção do funcionamento do computador em caso de violação do sistema de acesso, apagamento de dados em caso de entrada não autorizada na base de dados, etc.).

4. Métodos e meios para garantir a segurança da informação

Os métodos e meios para garantir a segurança da informação no AIS são resumidos e simplificados pelo diagrama da figura abaixo.

Métodos e meios para garantir a segurança da informação

Consideremos métodos informais de segurança da informação.

Um obstáculo é um método de bloquear fisicamente o caminho de um invasor para informações protegidas (equipamento, mídia de armazenamento, etc.).

Controle de acesso – métodos de proteção da informação regulando o uso de todos os recursos de SI e TI. Esses métodos devem resistir a todas as formas possíveis de acesso não autorizado à informação. Além disso, o controle de acesso inclui os seguintes recursos de segurança:

Identificação de utilizadores, pessoal e recursos do sistema (atribuição de um identificador pessoal a cada objeto);

Autenticação para identificar e estabelecer a autenticidade do usuário através do identificador por ele apresentado;

Verificação de autoridade (verificação do cumprimento do dia da semana, horário, recursos solicitados e procedimentos com a regulamentação estabelecida);

Permissão e criação de condições de trabalho dentro dos regulamentos estabelecidos;

Registro (logging) de chamadas para recursos protegidos;

Resposta (alarme, desligamento, atraso de trabalho, recusa de solicitação, etc.) ao tentar ações não autorizadas.

Atualmente, para evitar a entrada não autorizada em uma rede de computadores, tem sido utilizada uma abordagem combinada: uma senha mais a identificação do usuário por meio de uma chave pessoal. A chave é um cartão plástico (magnético ou com microcircuito embutido - um cartão inteligente) ou vários dispositivos para identificar uma pessoa por meio de informações biométricas - íris, impressões digitais, tamanho da mão, etc. Servidores e estações de trabalho em rede equipados com leitores de cartões inteligentes e software especial aumentam significativamente o nível de proteção contra acesso não autorizado.

A criptografia é o fechamento criptográfico da informação. Esses métodos de proteção são cada vez mais utilizados tanto no processamento quanto no armazenamento de informações em meios magnéticos. Ao transmitir informações por canais de comunicação de longa distância, este método é o único confiável.

O combate aos ataques de malware é um conjunto de diversas medidas organizacionais e o uso de programas antivírus. Os objetivos das medidas tomadas são: reduzir a probabilidade de infecção por EIA; identificar fatos de infecção do sistema; reduzir as consequências das infecções de informação; localização ou destruição de vírus; restauração de informações no SI.

Regulamentação – a criação de tais condições para o processamento, armazenamento e transmissão automatizados de informações protegidas sob as quais as normas e padrões de proteção sejam atendidos ao máximo.

A coerção é um método de proteção em que os usuários e o pessoal do sistema de informação são obrigados a cumprir as regras de processamento, transferência e uso de informações protegidas sob ameaça de responsabilidade material, administrativa ou criminal.

O incentivo é um método de proteção que incentiva os usuários e o pessoal de SI a não violar os procedimentos estabelecidos, observando os padrões morais e éticos estabelecidos.

Todo o conjunto de meios técnicos está dividido em hardware e físico.

Hardware – dispositivos integrados diretamente em equipamentos de informática ou dispositivos que fazem interface com ele usando uma interface padrão.

Os meios físicos incluem vários dispositivos e estruturas de engenharia que impedem a penetração física de invasores em objetos protegidos e protegem o pessoal (equipamentos de segurança pessoal), recursos materiais e financeiros, informações de ações ilegais. Exemplos de controles físicos: fechaduras de portas, grades de janelas, alarmes eletrônicos contra roubo, etc.

Ferramentas de software são programas especializados e pacotes de software projetados para proteger informações em SI.

Dentre os softwares de sistema de segurança, destacaremos também softwares que implementam mecanismos de criptografia (criptografia). A criptografia é a ciência que garante o sigilo e/ou autenticidade das mensagens transmitidas.

Os meios organizacionais realizam a sua complexa regulação das atividades de produção no sistema de informação e das relações dos executores numa base legal, de tal forma que a divulgação, a fuga e o acesso não autorizado a informações confidenciais se tornam impossíveis ou significativamente dificultados devido a medidas organizacionais. Um conjunto dessas medidas é implementado pelo grupo de segurança da informação, mas deve estar sob o controle do chefe da organização.

Os meios legislativos de proteção são determinados pelos atos legislativos do país, que regulamentam as regras de uso, processamento e transmissão de informações de acesso restrito e estabelecem penalidades para a violação dessas regras,

Os meios de proteção morais e éticos incluem todos os tipos de normas de comportamento que tradicionalmente se desenvolveram anteriormente, estão emergindo à medida que a PI e a TI se espalham no país e no mundo, ou são especialmente desenvolvidas. Os padrões morais e éticos podem não estar escritos (por exemplo, honestidade) ou formalizados em um determinado conjunto (carta) de regras ou regulamentos. Estas normas, em regra, não são legalmente aprovadas, mas como o seu incumprimento conduz à diminuição do prestígio da organização, são consideradas obrigatórias. Um exemplo típico de tais regulamentos é o Código de Conduta Profissional para Membros da Associação de Usuários de Computador dos EUA.

5. Métodos criptográficos de proteção de informações

Criptologia – uma ciência composta por duas áreas: criptografia e criptoanálise. Criptoanálise é a ciência (e a prática de sua aplicação) sobre os métodos e métodos de quebra de cifras. A relação entre criptografia e criptoanálise é óbvia: criptografia é proteção, ou seja, desenvolvimento de cifras, e a criptoanálise é um ataque, ou seja, quebrando cifras.

A essência dos métodos criptográficos é a seguinte. Uma mensagem informativa pronta para transmissão, inicialmente aberta e desprotegida, é criptografada e assim convertida em um cifragrama, ou seja, no texto fechado ou imagem gráfica do documento. Dessa forma, a mensagem é transmitida por um canal de comunicação, mesmo que esteja desprotegido. Um usuário autorizado, após receber uma mensagem, descriptografa-a (ou seja, abre-a) transformando inversamente o criptograma, resultando na forma original e clara da mensagem, acessível aos usuários autorizados. Assim, mesmo que a mensagem seja interceptada por um invasor, o texto da mensagem torna-se inacessível para ele.

O método de conversão em um sistema criptográfico corresponde ao uso de um algoritmo especial. A operação de tal algoritmo é acionada por um número único (sequência de bits), geralmente chamado de chave de criptografia.

Cada chave utilizada pode produzir diferentes mensagens criptografadas determinadas apenas por essa chave. Para a maioria dos sistemas de fechamento, o circuito gerador de chave pode ser um conjunto de instruções e comandos, ou uma peça de hardware, ou um programa de computador, ou todos juntos, mas em qualquer caso, o processo de criptografia (descriptografia) é determinado apenas por este especial chave. Para que a troca de dados criptografados seja bem-sucedida, tanto o remetente quanto o destinatário precisam saber a configuração correta da chave e mantê-la em segredo.

A força de qualquer sistema de comunicação fechado é determinada pelo grau de sigilo da chave nele utilizada. No entanto, esta chave deve ser conhecida por outros usuários da rede para que possam trocar mensagens criptografadas livremente. Nesse sentido, os sistemas criptográficos também ajudam a resolver o problema de autenticação das informações recebidas. No caso de uma mensagem ser interceptada, um cracker lidará apenas com o texto criptografado, e o verdadeiro destinatário, recebendo mensagens privadas com uma chave conhecida apenas por ele e pelo remetente, estará protegido de forma confiável contra possíveis informações erradas.

A criptografia moderna conhece dois tipos de algoritmos criptográficos: algoritmos clássicos baseados no uso de chaves privadas e secretas e novos algoritmos de chave pública, que usam uma chave pública e uma chave privada (esses algoritmos também são chamados de assimétricos). Além disso, é possível criptografar informações de forma mais simples - por meio de um gerador de números pseudo-aleatórios.

O método de proteção criptográfica com chave pública é bastante fácil de implementar e oferece uma velocidade de criptografia bastante alta, mas não é suficientemente resistente à descriptografia e, portanto, não é aplicável a sistemas de informação tão sérios, como, por exemplo, sistemas bancários.

Os sistemas criptográficos de proteção de dados mais promissores atualmente são considerados sistemas criptográficos assimétricos, também chamados de sistemas de chave pública. Sua essência é que a chave usada para criptografia é diferente da chave de descriptografia. Neste caso, a chave de criptografia não é secreta e pode ser conhecida por todos os usuários do sistema. Contudo, a descriptografia usando uma chave de criptografia conhecida não é possível. Uma chave secreta especial é usada para descriptografia. No entanto, conhecer a chave pública não permite determinar a chave secreta. Assim, apenas o destinatário que possui esta chave secreta pode descriptografar a mensagem.

Os especialistas acreditam que os sistemas de chave pública são mais adequados para criptografar os dados transmitidos do que para proteger os dados armazenados em meios de armazenamento. Existe outra área de aplicação deste algoritmo - assinaturas digitais que confirmam a autenticidade dos documentos e mensagens transmitidos. Os criptossistemas assimétricos são os mais promissores porque não envolvem a transferência de chaves para outros usuários e são facilmente implementados tanto em hardware quanto em software.

Nos sistemas de transmissão e processamento de informação, surge cada vez mais a questão de substituir uma assinatura manuscrita que confirma a autenticidade de um documento pelo seu análogo eletrónico - uma assinatura digital eletrónica (EDS). Vamos formular três propriedades da assinatura digital:

1. Somente o titular “legal” da assinatura pode assinar o documento.

3. Em caso de litígio, poderá ser necessária a participação de terceiros (por exemplo, um tribunal) para estabelecer a autenticidade da assinatura.

Pode ser utilizado para selar todo tipo de documentos eletrônicos, desde mensagens diversas até contratos. O EDS também pode ser usado para controlar o acesso a informações particularmente importantes. Existem dois requisitos principais para assinaturas digitais: alta complexidade de falsificação e facilidade de verificação.

Para implementar uma assinatura eletrônica, você pode usar algoritmos criptográficos clássicos e assimétricos, sendo que estes últimos possuem todas as propriedades necessárias para uma assinatura eletrônica.

O EDS é extremamente suscetível à ação de uma classe geral de programas “Trojan” com consequências potencialmente perigosas deliberadamente incorporadas neles, que são ativados sob certas condições. Por exemplo, no momento da leitura de um arquivo contendo um documento preparado para assinatura, esses programas podem alterar o nome do signatário, a data, quaisquer dados (por exemplo, o valor nos documentos de pagamento), etc.

A prática de utilização de sistemas automatizados de gestão de documentos financeiros tem demonstrado que a implementação de software de assinaturas digitais é mais suscetível à ação de programas “Trojan” que permitem a publicação de documentos financeiros deliberadamente falsos, bem como interferem no procedimento de resolução disputas sobre o uso de assinaturas digitais. Portanto, na escolha de um sistema de assinatura eletrônica, certamente deve-se dar preferência à sua implementação em hardware, que garante proteção confiável das informações contra acessos não autorizados, geração de chaves criptográficas e assinaturas digitais. Portanto, um sistema criptográfico confiável deve satisfazer os seguintes requisitos:

Os procedimentos de criptografia e descriptografia devem ser transparentes para o usuário;

A desencriptação de informações classificadas deverá ser tão difícil quanto possível;

A confiabilidade da proteção criptográfica não deve depender do sigilo do próprio algoritmo de criptografia.

Os processos de proteção, criptografia e descriptografia de informações estão associados a objetos e processos codificados, suas propriedades e características de movimento. Tais objetos e processos podem ser objetos materiais, recursos, bens, mensagens, blocos de informações, transações (interações mínimas com o banco de dados na rede). A codificação, além de efeitos de proteção, aumenta a velocidade de acesso aos dados, permite identificar e aceder rapidamente a qualquer tipo de bens e produtos, país de origem, etc. Assim, as operações relacionadas a uma transação, mas espalhadas geograficamente pela rede, estão vinculadas em uma única cadeia lógica.

Por exemplo, o código de barras é utilizado como uma espécie de identificação automática de elementos dos fluxos de materiais, como mercadorias, e é utilizado para controlar sua movimentação em tempo real. Ao mesmo tempo, consegue-se eficiência na gestão do fluxo de materiais e produtos e aumenta a eficiência da gestão empresarial. O código de barras permite não apenas proteger as informações, mas também fornece leitura e gravação de códigos em alta velocidade. Juntamente com os códigos de barras, métodos holográficos são usados ​​para proteger as informações.

Métodos de segurança da informação utilizando holografia são uma área atual e em desenvolvimento. A holografia é um ramo da ciência e da tecnologia que trata do estudo e criação de métodos e dispositivos para registro e processamento de ondas de diversas naturezas. A holografia óptica é baseada no fenômeno da interferência das ondas. A interferência das ondas é observada quando as ondas são distribuídas no espaço e a onda resultante é distribuída lentamente no espaço. O padrão que aparece durante a interferência das ondas contém informações sobre o objeto. Se esta imagem for gravada numa superfície fotossensível, forma-se um holograma. Quando um holograma ou uma seção dele é irradiado por uma onda de referência, uma imagem tridimensional tridimensional do objeto pode ser vista. A holografia é aplicável a ondas de qualquer natureza e atualmente encontra cada vez mais aplicação prática na identificação de produtos para diversos fins.

Em conjunto, a codificação, a criptografia e a proteção de dados evitam distorções na exibição de informações dos processos reais de produção e econômicos, na movimentação de fluxos materiais, financeiros e outros e, assim, contribuem para aumentar a validade da formação e adoção de decisões de gestão.

Conclusão

Atualmente organização do regime de segurança da informação torna-se crítico fator estratégico desenvolvimento de qualquer empresa nacional. Neste caso, como regra, a atenção principal é dada aos requisitos e recomendações do quadro regulamentar e metodológico russo relevante no domínio da segurança da informação.

Os principais requisitos para a organização do funcionamento eficaz do sistema de segurança da informação são: responsabilidade pessoal dos dirigentes e colaboradores pela segurança dos meios de comunicação e confidencialidade das informações, regulamentação da composição das informações confidenciais e documentos a serem protegidos, regulamentação do procedimento de pessoal acesso a informação e documentos confidenciais, presença de serviço de segurança especializado que garanta a implementação prática da protecção do sistema e apoio regulamentar e metodológico à actividade deste serviço.

A garantia da segurança da informação é conseguida através de medidas organizacionais, organizacionais, técnicas e técnicas, cada uma das quais assegurada por forças, meios e medidas específicas que apresentam as características adequadas.

A implementação prática do conceito de segurança da informação de uma organização é um sistema tecnológico de segurança da informação. A proteção da informação é um processo tecnológico estritamente regulamentado e dinâmico que evita violações da disponibilidade, integridade, confiabilidade e confidencialidade de recursos de informação valiosos e, em última análise, garante segurança da informação suficientemente confiável no processo de atividades de gestão e produção da empresa.

1.Belov E.B., Los V.P., Meshcheryakov R.V. Fundamentos de segurança da informação: livro didático. M.: Linha Direta da Editora - Telecom, 2006. 544 p.

2. Sistemas de informação em economia: livro didático. /Ed. Titorenko G.A. 2ª edição. retrabalhado e adicional M.: Editora UNITI-DANA, 2008. 463 p.

3.Malyuk A.A. Segurança da informação: fundamentos conceituais e metodológicos da proteção da informação: livro didático. M.: Linha Direta da Editora - Telecom, 2004. 280 p.

4. Petrenko S.A., Simonov S.V. Gestão de riscos de informação. Segurança economicamente justificada. M.: Editora DMK Press, 2004. 384 p.

5. Ryabko B.Ya., Fionov A.N. Métodos criptográficos de proteção de informações: livro didático. M.: Linha Direta da Editora - Telecom, 2005. 229 p.

6.Saderdinov A.A., Trainev V.A., Fedulov A.A. Segurança da informação da empresa: livro didático. 2ª edição. M.: Editora e empresa comercial Dashkov and Co., 2005. 336 p.

7. Stepanov E.A., Korneev I.K. Segurança da informação e proteção da informação: livro didático. M.: Editora INFRA-M, 2001. 304 p.

8. Horoshko V.A., Chekatkov A.A. Métodos e meios de segurança da informação. Ucrânia: Editora Júnior, 2003. 504 p.

Saderdinov A. A., Trainev V. A., Fedulov A. A. Segurança da informação de uma empresa: livro didático. 2ª edição. M.: Editora e empresa comercial Dashkov and Co., 2005.

Sistemas de informação em economia: livro didático. /Ed. Titorenko G.A. 2ª ed., adicionar. e processado M.: Editora UNITI-DANA, 2008. 463 p.

Sistemas de informação em economia: livro didático. /Ed. Titorenko G.A. 2ª edição. retrabalhado e adicional M.: Editora UNITI-DANA, 2008. p.218.

Malyuk A. A. Segurança da informação: fundamentos conceituais e metodológicos da proteção da informação: livro didático. M.: Linha Direta da Editora - Telecom, 2004. p. 202.

Stepanov E.A., Korneev I.K. Segurança da informação e proteção da informação: livro didático. M.: Editora INFRA-M, 2001. p.23-24

Sistemas de informação em economia: livro didático. /Ed. Titorenko G.A. 2ª ed. M.: Editora UNITI-DANA, 2008. p.

Stepanov E.A., Korneev I.K. Segurança da informação e proteção da informação: livro didático. M.: Editora INFRA-M, 2001. 304 p.

Belov E. B., Los V. P., Meshcheryakov R. V. Fundamentos de segurança da informação: livro didático. M.: Linha Direta da Editora - Telecom, 2006. p.248

Khoroshko V.A., Chekatkov A.A. Métodos e meios de segurança da informação. Ucrânia: Editora Júnior, 2003. p. 338.

Ryabko B.Ya., Fionov A.N. Métodos criptográficos de proteção de informações: livro didático. M.: Linha Direta da Editora - Telecom, 2005. p. 52.

Petrenko S. A., Simonov S. V. Gestão de risco de informação. Segurança economicamente justificada. M.: Editora DMK Press, 2004. p.7.

Características do conjunto de tarefas e justificativa da necessidade de melhoria do sistema de garantia da segurança e proteção da informação na empresa.

Nesta seção, deve-se observar que tipo de política de segurança existe na empresa com a tecnologia de solução existente, bem como segurança da informação e software e hardware de segurança, se esses métodos e ferramentas forem utilizados, então como. Ao analisar o sistema e os métodos e ferramentas de segurança e proteção da informação nele disponíveis, é necessário refletir:

1. informações sobre a unidade (funcionários) a quem são confiadas as tarefas de proteção da informação: a estrutura organizacional da unidade e a funcionalidade. A informação deverá detalhar os dados da cláusula 1.1.2. do ponto de vista de garantir a segurança da informação.
2. nos resultados da análise da política de segurança existente na empresa (documentos legais e organizacionais, regulamentos, procedimentos, descrições de cargos, etc.), recomenda-se indicar as principais disposições da política de segurança (regulamentos para o uso da Internet, e -correio postal, acesso a informações oficiais, acesso a informações que constituam segredo comercial, instalação e utilização de software);
3. análise de software e hardware existentes para segurança da informação e ferramentas de segurança da informação, sua utilização na organização (fornecer uma lista das ferramentas utilizadas, refletindo sua finalidade, parâmetros e capacidades);
4. o procedimento de implementação do sistema de segurança da informação e segurança da informação (quem está envolvido, quem é o responsável, estrutura);
5. como a segurança da informação e a segurança da informação são fornecidas em vários níveis: software, hardware, organizacional (direitos de acesso, direitos de usuário do sistema, proteção por senha, acesso a banco de dados, segurança de software, segurança integrada, registro e assim por diante);
6. como os sistemas da Internet (portal web, loja eletrônica, etc.) utilizam meios de proteção contra ameaças externas (hackeamento de um site, interrupção de seu funcionamento, etc.);
7. quais meios de proteção são utilizados contra ameaças internas (roubo e corrupção de dados por funcionários da organização, erros no uso de software e hardware, etc.).
8. os resultados de uma avaliação do atual sistema de segurança da informação, refletindo até que ponto o mesmo tipo de funções objetivas é desempenhado na resolução de problemas de garantia da segurança da informação. Caso algumas tarefas não sejam totalmente resolvidas, deverá ser indicado como as atividades planejadas são efetivamente realizadas. Insira os resultados da pesquisa na Tabela 11.

Tabela 11

Análise da implementação das principais tarefas

segurança da informação

Principais tarefas para garantir a segurança da informação	Extensão da conclusão
garantir a segurança das atividades produtivas e comerciais, protegendo informações e informações que constituam segredo comercial;
organização de trabalhos de proteção jurídica, organizacional e de engenharia (física, hardware, software e matemática) de segredos comerciais;
organização de trabalhos de escritório especiais que excluam o recebimento não autorizado de informações que constituam segredo comercial;
prevenção do acesso injustificado e do acesso aberto a informações e obras que constituam segredo comercial;
identificação e localização de possíveis canais de vazamento de informações confidenciais durante as atividades diárias de produção e em situações extremas (acidente, incêndio, etc.);
assegurar um regime de segurança durante atividades como reuniões diversas, negociações, conferências, reuniões e outros eventos relacionados com a cooperação empresarial a nível nacional e internacional;
garantir a proteção do território, edifícios e instalações com informações protegidas.

1.3.2. Selecionando um conjunto de tarefas de segurança da informação.

Além das ameaças gerais à segurança da informação, as especificidades das atividades de uma empresa também impõem ameaças específicas. Assim, numa análise geral de possíveis ameaças a uma empresa, é necessário realizar uma análise aprofundada de riscos específicos (por exemplo, na esfera financeira e económica, no sector estatal numa empresa sensível, etc.). Deverá selecionar as tarefas principais ou um conjunto de tarefas para as quais o projeto de diploma será desenvolvido no futuro e efetuar uma justificação, utilizando a informação da cláusula 1.3.1.

Tais tarefas, por exemplo, podem incluir:

· atualização da política de segurança

· modernização da arquitetura de software

· modernização da arquitetura técnica

· implementação de protocolos seguros de troca de dados

· organizar o acesso remoto seguro dos funcionários aos recursos corporativos da empresa

· organização da operação segura de serviços corporativos em nuvem

· organizar o acesso seguro aos recursos de informação empresarial usando dispositivos móveis

· implantação e fornecimento de operação segura de uma rede local sem fio

· Implantar e garantir operação VPN segura

· modernização do sistema de proteção contra:

Ø penetração de código malicioso

Ø ataques de hackers

Ø ameaças internas

Universidade Eletrotécnica Estadual de São Petersburgo

Projeto de curso

na disciplina: Métodos e meios de proteção da informação informática.

Tópico: "Análise de segurança de objetos de informação"

Concluído por: Pavlova A.V.

Grupo: 9051

Corpo Docente: OF

São Petersburgo, 2014

1. Declaração do problema

Selecionando um objeto de proteção

Metas de segurança

Especialização do objeto protegido

2. Etapa analítica

Requisitos para segurança da informação

Opções SZI

4. Política de Segurança

1. Declaração do problema

Selecionando um objeto de proteção

A rede local corporativa da Dialog IT LLC será considerada objeto de proteção durante a implementação deste projeto de curso.

A principal atividade da empresa é a prestação de serviços de automatização das atividades de empresas baseadas em produtos de software da 1C e de outros fabricantes. A questão da segurança da informação é bastante aguda, porque... O banco de dados corporativo armazena dados confidenciais de clientes e o trabalho de mais de 90 usuários depende da integridade da rede local.

Definindo um problema de segurança

Para o objeto de proteção selecionado, as questões mais urgentes são a proteção de dados confidenciais (tanto dos clientes da empresa quanto dos dados pessoais dos funcionários da organização), integridade dos dados (bancos de dados de clientes e da própria empresa) e disponibilidade de dados (a velocidade de o acesso aos dados é de grande importância).

Metas de segurança

Com base em três problemas de segurança, neste caso temos 3 objetivos:

Ao proteger dados confidenciais, o objetivo será a proteção completa, próxima de 100%, porque O vazamento, mesmo de uma pequena quantidade de dados, pode causar sérios danos financeiros.

informações de proteção de rede corporativa

Ao mesmo tempo que garantimos a integridade dos dados, o nosso objetivo será também lutar pela proteção completa dos dados. Somente a perda de dados durante um curto período de tempo – não mais que 1 dia – pode ser aceitável.

Ao garantir a disponibilidade dos dados, o nosso objetivo também é máximo: a interrupção do acesso aos dados dentro da empresa é permitida por não mais que 2 a 3 horas, aos dados dos clientes da empresa (se for uma produção contínua) - não mais que 1 -1,5 horas.

Especialização do objeto protegido

Arroz. 1

Arroz. 2

A rede local da organização está dividida em 4 sub-redes virtuais, cuja interação é assegurada através de um switch 3com 5500. Isto é feito para aumentar a velocidade útil da rede local. A segurança da rede da Internet é garantida pelo Firewall.

Demonstração do servidor. diálogo, projetado para fornecer acesso de demonstração aos clientes da empresa aos bancos de dados e seus serviços, não está localizado na rede local da empresa, porque neste caso, não há necessidade de fornecer estes serviços a usuários externos dentro da rede local. (Figura 1)

Servidor do portal corporativo (Fig. 2): do lado da Internet, apenas a porta 80 está aberta. As portas restantes estão fechadas.

Especificação de servidores virtuais (softwares utilizados - ESXi, VMware e Hyper-V, Microsoft):

controlador de domínio (usando Active Directory);

SGBD para bancos de dados 1C (MsSQL);

servidor de proteção antivírus corporativo (proteção antivírus Kaspersky), combinado com armazenamento de arquivos para usuários da rede local;

servidor de monitoramento (monitora o status dos servidores na rede e analisa seu desempenho);

servidor de desenvolvimento (para desenvolvimento conjunto de programadores da empresa);

servidor de backup. A cópia do arquivo é realizada diariamente - à noite, durante períodos de baixa carga de rede.

2. Etapa analítica

Estrutura do sistema de fatores de risco

Definamos os elementos dos conjuntos de fontes de ameaças, ameaças e fatores de risco e as conexões entre eles.

Primeiro, vamos dar algumas definições básicas.

A fonte das ameaças são potenciais fontes antropogénicas, provocadas pelo homem ou naturais de ameaças à segurança.

Ameaça é um evento que é direta ou indiretamente capaz de causar danos ao objeto protegido, afetando seus componentes.

As ameaças que afetam diretamente os componentes do objeto protegido são chamadas de eventos de risco.

Fontes antropogênicas de ameaças.

As fontes antropogênicas de ameaças à segurança da informação são entidades cujas ações podem ser classificadas como crimes intencionais ou acidentais.

Uma pessoa que tenha acesso (autorizado ou não) para trabalhar com os meios padrão do objeto protegido pode ser considerada uma fonte antrópica de ameaças.

Possíveis fontes de ameaças deste tipo para a rede em questão:

atacante (criminoso, hacker, parceiro inescrupuloso da empresa);

um usuário que não possui um nível de qualificação suficiente ou obteve acesso não autorizado aos recursos da rede;

administrador de rede.

Fontes de ameaças criadas pelo homem.

Estas fontes de ameaças são menos previsíveis e dependem diretamente das propriedades da tecnologia.

As fontes de ameaças criadas pelo homem aos nossos dados podem ser:

problemas com as redes de serviços públicos do edifício (abastecimento de água, electricidade, etc.);

problemas com equipamento técnico;

Fontes naturais de ameaças.

As fontes naturais de ameaças potenciais à segurança da informação, via de regra, são externas ao objeto protegido e são entendidas principalmente como desastres naturais;

Este tipo de ameaça aos dados de informação da nossa organização pode ser considerada:

enchente (isso se deve à localização do escritório da empresa próximo ao rio, bem como à sua localização no Noroeste do Distrito Federal);

circunstâncias imprevistas deste tipo (desde um terremoto até a ameaça de um ataque nuclear).

Uma lista geral de possíveis ameaças das fontes acima:

· Falha de energia;

· Perda de dados arquivados de sistemas de informação;

· Falha de servidores e computadores de usuários;

· Danos físicos a equipamentos de informática;

· Perda ou corrupção de dados como resultado de erros de software;

· Perda ou dano de dados em consequência de vírus informáticos;

· Cópia, destruição ou modificação não autorizada de dados;

· Vazamento de informações confidenciais.

Eventos de risco:

perda de dados de informação e acesso a eles;

alteração de dados;

vazamento de dados confidenciais.

Os componentes do sistema de informação da nossa empresa são:

.Servidor

2.Computador do usuário

.Link

.POR.

Para apresentar a visão geral da estrutura do sistema de fatores de risco, construiremos um gráfico.

Pelo fato de existirem muitas conexões nesta estrutura, pois certas fontes de ameaças podem representar diversas ameaças aos dados que protegemos; inseriremos esses dados no pacote de software de análise de segurança.

Algoritmização da matriz de relacionamento

Dados iniciais:

Vamos definir sequencialmente as relações entre fontes de ameaças, ameaças e componentes de proteção.

Fontes de ameaças - Ameaças:

Ameaças - Ameaças:

Ameaças - Componentes de proteção:

Vamos introduzir coeficientes de peso na matriz de relacionamento W obtida como resultado do programa.

Definição e análise do perfil de risco

Abaixo está a matriz transitiva V calculada, que determina as fontes de ameaças e ameaças mais significativas para o sistema em consideração.

As informações da tabela podem ser apresentadas de forma mais clara na forma de diagramas (separadamente para fontes de ameaças e ameaças).

Impacto das fontes de ameaça.

Impacto das ameaças.

Os componentes do sistema mais significativos do ponto de vista da segurança da informação.

Depois de analisar os dados obtidos pelo pacote de software, podemos concluir que as fontes mais graves de ameaças ao sistema que estamos considerando são:

ações de invasores (hackers, parceiros inescrupulosos);

falha nas redes de serviços públicos (rede elétrica, abastecimento de água, sistema de ar condicionado, etc.);

ações não autorizadas de usuários;

perda ou alteração de dados devido a software de baixa qualidade.

Outras fontes de ameaças que identificamos na primeira fase também devem receber atenção no desenvolvimento da política de segurança de uma empresa.

As ameaças mais agudas são a fuga, perda e distorção de dados dos sistemas de informação da empresa, bem como a falha do servidor e dos equipamentos informáticos, que levam à paragem do processo de trabalho da empresa e conduzem diretamente a perdas financeiras.

Pelo último diagrama sobre os pesos dos componentes de segurança, fica claro que a principal tarefa é proteger o servidor. O software seguro tem o menor peso entre os componentes, porém, na minha opinião, também vale a pena prestar atenção a esse problema.

3. Síntese de um sistema de segurança da informação (ISS)

Requisitos para segurança da informação

Nesta fase, após receber dados sobre as fontes de ameaças mais perigosas e ameaças ao nosso sistema, é necessário desenvolver uma política de segurança da empresa que descreva os meios imediatos de proteção.

Opções SZI

A fonte das ameaças são as ações de um invasor.

.Para reduzir o perigo potencial de um invasor se conectar a uma rede sem fio, é necessário minimizar a propagação do sinal Wi-Fi fora do território da empresa. Isto pode ser feito, por exemplo, reduzindo a potência do transmissor no ponto de acesso. Essas configurações permitem que você execute quase todos os firmwares de dispositivos modernos. No entanto, isto deve ser feito apenas onde for realmente necessário, caso contrário a qualidade de recepção e a área de cobertura interna para as tarefas próprias da empresa podem ser degradadas. Também é necessário excluir a possibilidade de conexão física aos fios da rede local da empresa: eles devem ser encaminhados pelo teto ou escondidos nas paredes.

2.A autorização e a autenticação permitirão que apenas usuários autorizados da rede entrem na rede e usem os recursos da rede. Para proteger as necessidades da nossa empresa com um orçamento limitado, a opção de autorização através de senhas de usuário é adequada. A senha deve ser alterada pelo menos uma vez a cada 30-40 dias, e ao alterar a senha o usuário deve limitar-se a inserir a senha que utilizou nas 5 vezes anteriores. O serviço Active Directory e os recursos do SGBD MsSQL permitirão diferenciar adequadamente os direitos do usuário no sistema de gerenciamento de documentos, correio e outros recursos de rede.

.O sistema de controlo e gestão de acessos - ACS - permitirá limitar a entrada nas instalações da empresa apenas a funcionários da organização e parceiros de confiança. O acesso às instalações do escritório será controlado por meio de cartões inteligentes. Este sistema também permitirá ao departamento de RH monitorar a presença dos funcionários e lidar com atrasos de forma mais eficaz.

A fonte das ameaças é a falha da rede.

.Instalar uma fonte de alimentação ininterrupta no servidor para garantir tolerância a falhas durante quedas de energia.

2.A sala de servidores deve estar localizada em uma sala separada, bem ventilada, equipada com ar condicionado, localizada a uma distância suficiente de utilidades como abastecimento de água e sistemas de esgoto.

A fonte das ameaças é o uso de software de baixa qualidade.

2.Os usuários não devem ter permissão para instalar software não certificado de forma independente em suas estações de trabalho. Para fazer isso, eles não devem ter direitos administrativos no PC. Desta forma, o administrador do sistema poderá eliminar a possibilidade de instalação de software malicioso ou de baixa qualidade.

.Usando software antivírus nas estações de trabalho dos usuários e no servidor. Para estes fins, um servidor virtual separado é alocado em nossa rede.

Ameaça – perda, corrupção ou vazamento de dados.

.O backup pode resolver o problema de perda de dados. A cópia deve ser feita pelo menos uma vez por dia. De preferência à noite, quando a carga do servidor é mínima. Existe uma grande quantidade de softwares especializados para esses fins.

2.Um Firewall configurado corretamente também ajudará a reduzir esta ameaça. Para detectar prontamente, por exemplo, varreduras externas de redes corporativas, você também pode usar um software especial.

A ameaça é uma falha do servidor.

.Além do servidor de cópias de arquivo, deve haver um servidor de backup que, em caso de falha crítica do servidor principal, assumirá parte da carga para realizar as tarefas mais importantes.

2.Além disso, se possível, é necessário dividir as tarefas em servidores separados. Isso reduzirá as perdas (temporárias e financeiras) em caso de falha de um deles.

Avaliação da eficácia dos sistemas de proteção de informação propostos

Opção 1.

·

· Instalação de UPS.

· Firewall.

A opção nº 1 oferece apenas 50% de proteção contra ameaças e suas fontes. Este nível é inaceitável quando se trabalha com dados não apenas da sua própria organização, mas também de bancos de dados de clientes.

Opção 2.

· Divisão de servidores.

· Software antivírus.

· ACS.

A opção nº 2 é ainda menos eficaz na proteção dos dados da empresa do que a opção nº 1.

Como se pode verificar pelos resultados das duas opções anteriores, apesar de as próprias medidas de segurança (autorização + autenticação, instalação de UPS, software antivírus e Firewall) serem bastante eficazes, a combinação de apenas três ferramentas altera o situação pouco. Nesse sentido, considero necessário ampliar o rol de medidas de proteção para garantir a segurança da informação na empresa.

Opção número 3.

· Autorização + autenticação.

· Firewall

· Instalação de UPS.

· Cópia de segurança.

· Divisão de servidores.

· ACS.

· Software antivírus.

· Software licenciado.

Uma eficiência de 83,5% é bastante aceitável nesta fase. Assim, o conjunto de medidas de proteção discutidas na Opção nº 3 pode ser considerado eficaz e bastante aplicável na prática. Pode-se dizer também que pelo facto de as avaliações do impacto de determinadas medidas de protecção terem sido feitas de forma subjectiva, e também pelo facto de, como vimos no gráfico da estrutura do nosso sistema, todas as ameaças e fontes de ameaças serem muito intimamente relacionados entre si - cada agente protetor pode ter um efeito indireto bastante perceptível em outras entidades. Com base nisso, podemos supor que o nível real de proteção fornecido ainda será superior ao proposto pelo programa.

4. Política de Segurança

PropósitoCriar uma política de segurança é garantir a maior segurança da informação possível na empresa.

A administração da empresa é responsável por informar os colaboradores sobre esta política; garante que cada funcionário esteja familiarizado com este conjunto de regras. A direção do departamento de Integração de Sistemas compromete-se a interagir com todos os colaboradores nas questões de segurança.

Os colaboradores, ao assinarem este documento, confirmam que conhecem a política de segurança da empresa e comprometem-se a cumprir as regras nele contidas.

O Departamento de Integração de Sistemas é responsável por garantir o funcionamento contínuo dos equipamentos informáticos, bem como garantir a proteção dos servidores da empresa de acordo com a política de segurança.

Recusao descumprimento das regras desta política poderá expor os dados da empresa, bem como as informações dos clientes e funcionários da empresa, a um risco inaceitável de perda de confidencialidade, integridade ou disponibilidade quando armazenados, processados ​​ou transmitidos pela rede da empresa. As violações dos padrões, procedimentos ou diretrizes que apoiam esta política podem resultar em ações disciplinares nos termos da lei russa.

Regras gerais para trabalhar na rede.

1. Deve ser atribuído a cada PC um operador responsável pelo cumprimento de todas as políticas e procedimentos associados ao uso deste computador. Os operadores devem ser treinados e munidos de manuais apropriados para que possam cumprir corretamente todas as regras desta política.

Para evitar a propagação de software malicioso, a auto-instalação de software pelos utilizadores da LAN não é permitida.

O administrador do sistema deve enviar relatórios semanais sobre o status de segurança do sistema, ações do usuário que não estejam em conformidade com a política de segurança e a saúde geral da rede e dos servidores para a administração da empresa. Em caso de situações de emergência, informar a gestão sobre os motivos da sua ocorrência e possíveis formas de resolvê-las.

Responsabilidade do administrador do sistema (SA).

1. A CA é responsável pela gestão dos direitos de acesso de todos os utilizadores aos dados, programas e recursos da rede da empresa.

A AC tem a obrigação de monitorizar todos os eventos relacionados com a segurança da informação, bem como investigar quaisquer violações reais ou suspeitas da política de segurança.

O administrador é responsável por instalar, manter e proteger softwares e arquivos corporativos no servidor LAN utilizando os mecanismos e procedimentos de segurança à sua disposição.

A CA é obrigada a verificar regularmente os servidores LAN com software antivírus.

A CA é responsável pelo backup oportuno das informações dos computadores e servidores dos usuários e pelo armazenamento de uma cópia de backup do banco de dados em um servidor de backup. A cópia deve ser feita durante o período de menor carga nos recursos da LAN.

O administrador da rede é obrigado a realizar inspeções semanais nos canais de transmissão de dados para detectar quebras, mau funcionamento e danos à blindagem. Se estiverem danificados, tome as medidas necessárias para garantir o funcionamento da LAN.

Segurança do servidor.

1. A lista de pessoas autorizadas a trabalhar com o servidor consta de uma lista especial, cujo direito de edição só tem o direito de editar o responsável do Departamento de Integração de Sistemas.

A temperatura nas salas onde estão localizados os servidores não deve ultrapassar 35 graus Celsius.

Celsius no pico. Para manter estas condições, são instalados sistemas de ar condicionado nestas instalações. A monitorização do desempenho destes sistemas é também da responsabilidade da AC.

As atualizações de software devem ser uniformes em todas as estações e realizadas de acordo com cronograma definido pelo responsável pelo departamento de Integração de Sistemas (SI). O processo de atualização deve ser realizado durante o período de menor congestionamento na rede e nas estações de trabalho dos usuários, a fim de garantir um fluxo de trabalho ininterrupto.

É proibida a presença de pessoas não autorizadas nas instalações dos servidores.

O canal de transmissão de dados que vem do provedor ao norte deve ser blindado de forma confiável e coberto com uma caixa.

Regras de acesso às salas de servidores.

1. Os usuários não têm direitos de acesso a servidores e equipamentos de servidor. A exceção são as pessoas do parágrafo 1 da seção. "Segurança do Servidor".

Os funcionários da OSI têm acesso ao servidor e ao seu software.

Responsabilidade do Funcionário.

1. Os funcionários da Empresa estão comprometidos em usar os mecanismos de segurança disponíveis para proteger a confidencialidade e integridade de suas próprias informações e das informações da Empresa.

Cada funcionário é obrigado a seguir os procedimentos locais para proteção de dados críticos, bem como os procedimentos de segurança da própria LAN da empresa; Use mecanismos de segurança de arquivos para manter controles apropriados de acesso a arquivos.

O funcionário é responsável por notificar prontamente o CA ou outro funcionário da OSI ou membro da administração sobre uma violação da segurança da informação ou uma falha detectada em meios técnicos.

Execução de Política

Estações de trabalho pessoais.

1. Os usuários trabalham em estações de trabalho pessoais em um modo com nível reduzido de direitos de acesso para reduzir o risco de penetração de malware na LAN.

Trabalhar com direitos administrativos é permitido apenas ao administrador do sistema e demais funcionários da OSI.

Senhas usadas

A cada 40 dias, cada usuário deverá alterar a senha da estação de trabalho. Esta senha deve obedecer aos padrões de segurança geralmente aceitos: consistir em pelo menos 8 caracteres, conter letras minúsculas e maiúsculas e pelo menos um número.

Perfil de usuário.

1. Usuários - todos os funcionários da empresa, exceto o administrador do sistema e demais funcionários do OSI, que têm acesso às estações de trabalho LAN. Eles são responsáveis ​​por utilizar os recursos de rede da organização disponíveis para eles de acordo com esta política de segurança.

O usuário é responsável pelo hardware que lhe é atribuído, devendo estar suficientemente qualificado e munido de manuais adequados para que possa cumprir corretamente todos os requisitos desta política.

Caso seja detectada uma violação de segurança ou mau funcionamento de equipamento técnico, o utilizador é obrigado a contactar imediatamente a OSI.

Os usuários estão proibidos de utilizar meios de armazenamento não autorizados; caso necessário, o usuário deverá entrar em contato com a CA.

O usuário, em nenhuma circunstância, deverá divulgar os dados de autenticação recebidos a outros usuários da LAN e terceiros.