Рефераты и сочинения для учащихся

Реферат: Автоматизированные системы защиты информации

1. Информационные процессы в экономике

Для развития человеческого общества необходимы материальные, инструментальные, энергетические и другие ресурсы, в том числе и информационные. Настоящее время характеризуется небывалым ростом объема информационных потоков. Это относится практически к любой сфере деятельности человека. Наибольший рост объема информации наблюдается в промышленности, торговле, финансово-банковской и образовательной сферах. Например, в промышленности рост объема информации обусловлен увеличением объема производства, усложнением выпускаемой продукции, используемых материалов, технологического оборудования, расширением внешних и внутренних связей экономических объектов в результате концентрации и специализации производства.

Информация представляет собой один из основных, решающих факторов, который определяет развитие технологии и ресурсов в целом. В связи с этим, очень важно понимание не только взаимосвязи развития индустрии информации, компьютеризации, информационных технологий с процессом информатизации, но и определение уровня и степени влияния процесса информатизации на сферу управления и интеллектуальную деятельность человека.

Проблемам информации вообще и управлению как информационному процессу уделяется очень большое внимание, обусловленное следующими объективными процессами:

• человечество переживает информационный взрыв. Рост циркулирующей и хранящейся в обществе информации пришел в противоречие с индивидуальными возможностями человека по ее усвоению;

• развитие массово – коммуникационных процессов;

• потребность разработки общей теории информации;

• развитие кибернетики как науки об управлении;

• проникновение информационных технологий в сферы социального бытия;

• исследования в области естественных наук подтверждают роль информации в процессах самоорганизации живой и неживой природы;

• актуализация проблемы устойчивого развития, становление информационной экономики, главной движущей силой которой является информационный потенциал, информационные ресурсы;

• проблема перспективы развития человечества как целостности делает необходимой постановку вопроса о критерии прогресса в современных условиях.

Важное место в понимании такого понятия как «информация» и механизма информационных процессов в обществе и его институтах занимает понятие информационной среды, которая является с одной стороны, проводником, преобразователем и распространителем информации, а с другой – источником побудительных причин деятельности людей. В процессе своей деятельности человек активно взаимодействует с информационной средой, получая из нее новые личностные знания, генерируя новые знания и представляя их в форме информации, которую помещает в информационную среду. Любому хозяйствующему субъекту свойственна определенная информационная среда, в которую он погружен. Эта информационная среда отражает уровень развития хозяйствующего субъекта и определяет определенные принципы информационного поведения людей в общении друг с другом.

Следует также отметить, что исключительная роль информации в современном научно – техническом прогрессе привела к пониманию информации как ресурса, столь же необходимого и важного, как энергетические, сырьевые, финансовые и другие ресурсы. Информация стала предметом купли – продажи, т.е. информационным продуктом, который наравне с информацией, составляющей общественное достояние, образует информационный ресурс общества. В качестве товара информация не может отчуждаться подобно материальной продукции. Ее купля-продажа имеет условное значение. Переходя к покупателю, она остается и у продавца. Она не исчезает в процессе потребления. Становление и развитие информационного сектора, движение многих видов информации в качестве товара повлияло на формирование особого рынка – рынка информации. В настоящее время распространение информации в информационном секторе экономики не возможно представить без применения новых информационных технологий. Уже прошел тот момент времени, когда новые информационные технологии разрабатывались в основном для внутренних потребностей той или иной организации. Сейчас информационные технологии превратились в самостоятельный и довольно прибыльный вид бизнеса, который направлен на удовлетворение разнообразных информационных потребностей широкого круга пользователей. Использование современных информационных технологий обеспечивает почти мгновенное подключение к любым электронным информационным массивам (таким как базы данных, электронные справочники и энциклопедии, различные оперативные сводки, аналитические обзоры, законодательные и нормативные акты и т.д.), поступающим из международных, региональных и национальных информационных систем и использование их в интересах успешного ведения бизнеса. В результате объединения разнообразных информационных сетей стало возможным создание глобальной информационной системы Internet, позволяющей вести информационное обслуживание по принципу «всегда и везде: 365/366 дней по 24 часа в сутки в любой точке земного шара». Благодаря стремительному развитию новейших информационных технологий, в настоящее время не только появился открытый доступ к мировому потоку политической, финансовой, научно-технической информации, но и стала реальной возможность построения глобального бизнеса в сети Internet. Все более интенсивно в своей деятельности фирмы начинают использовать ресурсы Internet. Глобальная информационная сеть проникла практически во все сферы человеческой жизни и бизнеса. В Internet формируется новая система глобальной коммерции, в которой продавцы, покупатели и посредники оказываются объединенными в торговые сообщества. Internet можно рассматривать как новую «среду обитания информационного общества», являющуюся одновременно и важнейшим глобальным электронным рынком, который еще молод, но его обороты уже значительны. Рост популярности Internet связан с тем, что с использованием данной технологии можно реализовать практически все бизнес-процессы в электронном виде: покупать и продавать товары и услуги, вкладывать деньги, получать информацию, заключать соглашения и т.д. Настоящий момент развития Internet связан с лавинообразным развитием электронной коммерции. Электронная коммерция основывается на структуре традиционной коммерции, а использование электронных сетей добавляет ей гибкости. Существует два основных вида электронной коммерции: торговля товарами и торговля информацией. Различия между ними значительны и проявляются на всех уровнях – начиная с определения потребительской аудитории и заканчивая непосредственно оплатой за оказанную услугу. В настоящее время Российская система информации включает в себя важнейшие потоки информации и выполняет ее обработку в соответствии со специализацией информационных органов.

Следует отметить, что Российские органы информации входят в соответствующие международные отраслевые системы информации – по патентам, по стандартам, по энергетике, сельскому хозяйству и т.д.

2. Методика создания автоматизированных систем и технологий

Одним из важнейших условий развития и совершенствования системы управления спортом в России, совершенствования деятельности спортивных организаций должен стать переход на автоматизированное управление, суть которого заключается в разработке и внедрении во все звенья организационных структур информационных и телекоммуникационных технологий.

Такая постановка вопроса определяет актуальность задачи создания Автоматизированной Информационной Системы Спорта России (АИС «Спорт»), предназначенной для автоматизации функций сбора, систематизации, накопления, обработки, выдачи, отображения и передачи данных для их анализа, обобщения, выработки соответствующих управленческих решений, их доведения до потребителей; контроля их исполнения в органах управления всех уровней; автоматизации информационного обеспечения других характерных для спортивной отрасли видов деятельности, а также информационного взаимодействия с внешними автоматизированными системами, включая интеграцию в глобальную компьютерную сеть Интернет.

АИС должна представлять собой интегрированную многоуровневую, территориально-распределенную автоматизированную систему. Она позволит построить единое информационное пространство органов управления спортом и других субъектов спортивной деятельности, организовать, таким образом, совместное использование поступающей и накопленной информации всеми участниками указанной сферы деятельности.

Участие органов, организаций и учреждений сферы спорта в процессах создания и эксплуатации АИС позволит им решать следующие задачи: получать доступ к отраслевым информационным ресурсам и использовать их для организации собственной деятельности; эффективно интегрироваться в национальное информационное пространство собственными ресурсами; совместно решать вопросы отраслевой стандартизации представления и обмена информацией; осуществлять презентацию собственной деятельности; существенно сократить технологические затраты на создание собственных систем.

АИС должна обеспечить автоматизацию следующих макро-функций, присущих спортивной деятельности и процессам управления отраслью, в целом: административно-хозяйственной, финансово-экономической, законотворческой, кадровой и контрольной деятельности органов управления; учебно-тренировочных процессов в системе специальной подготовки спортсменов и специалистов; проведения национальных и международных соревнований и других спортивных мероприятий с участием российских спортсменов.

Помимо указанных макрофункций в рамках АИС должны быть автоматизированы следующие процессы: организация и сопровождение Интернет-представительств спортивных организаций всех уровней и различных правовых форм; обеспечение судейства, поддержка протоколов соревнований, формирование текущей информации о ходе спортивных мероприятий; проведение аудио- и видеорепортажей со спортивных мероприятий, проведение конференций и брифингов с теле- и радиокорреспондентами, репортерами СМИ в аудиториях и на объектах спорта; презентация соревнований в глобальной компьютерной сети Интернет, создание WEB-сайтов соревнований; радио- и телевизионные репортажи о спортивных мероприятиях; организация аккредитации и допуска на сооружения должностных лиц, журналистов, участников и зрителей спортивных мероприятий; доступ к информации согласно полномочиям, противодействие несанкционированному получению документальной, в том числе архивной аудио- и видеоинформации; контроль медицинских параметров организма и выбор оптимальных нагрузок при проведении тренировок одиночных спортсменов и групп; обеспечение персональной аудио- и видеосвязи и системы обмена данными пользователей системы в соответствии с их компетенцией; поддержка сигнальных функций систем безопасности и противопожарной безопасности спортивных сооружений; сервисные услуги через взаимодействующие информационные системы в ходе поездок персон российского спорта, включая возможность перемещения сопровождаемого объекта обеспечения личной безопасности.

Одной из основных задач создания АИС является повышение эффективности управления спортивной отраслью России, а также повышение качества координации и взаимодействия головной организации отрасли – ГКФСТ с органами государственной власти, органами государственной власти субъектов РФ, другими ведомствами и зарубежными спортивными организациями путем применения средств автоматизации и новых информационных технологий.

Другая важнейшая задача ее создания – совершенствование учебно-тренировочного процесса в системе подготовки специалистов и спортсменов, проведение спортивных мероприятий на основе внедрения современных информационных технологий, оптимизация технологических, кадровых и финансовых затрат путем применения методов и средств моделирования.

Исходя из принципов организации управления в спортивной отрасли России, АИС должна представлять собой многоуровневую, территори ально распределенную систему.

Часть АИС, охватывающая верхние уровни управления, представляет собой автоматизированную систему административного управления. Другая часть, объединяющая нижние уровни управления, может рассматриваться как аналог автоматизированной системы управления технологически ми процессами. В целом же АИС может быть представлена как интегрированная система, в которой следует выделить достаточно целостную (в условиях специфической области) подсистему собственно Государственного Комитета РФ по физической культуре, спорту и туризму, для которой характерны индивидуальные функции и документы несвойственные другим субъектам спортивной деятельности.

Характерным, как и для всех систем данного типа, является тот факт что, на нижних уровнях управления АИС должно обеспечиваться управление в масштабе времени близком к реальному.

АИС должна обеспечивать реализацию следующих функций:

• своевременное представление данных от подчиненного объекта (или объекта более низкого уровня иерархии в отрасли) до необходимого уровня принятия решения в требуемом виде (документ, видео – звукозапись др.);

• сбор, систематизацию, накопление, обработку, выдачу, отображение и передачу указанной информации в целях ее анализа и обобщения, выработки вариантов решения;

• своевременное доведение решений в виде документов и распоряжений до подчиненных подразделений;

• контроль исполнения поручений;

• информационное обеспечение спортивных мероприятий;

• обеспечение учебно-тренировочного процесса автоматизированными средствами поддержки.

Создание АИС позволит:

• обеспечить непрерывное и устойчивое управление всеми структурами спортивной отрасли России при различных вариантах деятельности;

• интегрировать все многообразие видов управленческой деятельности ГКФСТ России по функциональным направлениям;

• организовать единое информационное пространство спортивной отрасли России, то есть организовать совместное использование поступающей и накопленной информации;

• обеспечить взаимодействие и совместное функционирование территориально рассредоточенных программно-аппаратных комплексов различного назначения, включая мобильные средства обеспечения спортивных мероприятий;

• интегрировать автоматизированные технологии сбора, передачи и обработки информации, различающиеся по ее источникам и потребителям, а также по типам и видам процедур их обработки.

Выводы. Основные особенности процесса создания АИС (упорядоченной совокупности научных, проектных, организационных и других мероприятий, направленных на решение задачи создания АИС) сводятся к следующему:

1) поэтапная (в три этапа) разработка частных проектов системы и последующая их реализация на основе единых концептуальных положений;

2) увязка мероприятий с этапами программы развития спортивной отрасли;

3) создание специальных технологических средств и применение специальных технологических приемов разработки и ввода АИС в эксплуатацию: развертывание имитационно-отладочного стенда разработчиками, создание опытных участков;

4) приоритетность развития системы передачи данных;

5) объективная необходимость первоочередной разработки средств информатизации ГКФСТ России;

6) охват различными видами работ одновременно верхних и нижних уровней управления в отрасли;

7) разумное распределение работ между учреждениями спортивной отрасли России и внешними организациями;

8) широкое применение в АИС готовых программных продуктов, информационных технологий, а также типовых проектных решений.

3. Информационное обеспечение экономических информационных систем (ЭИС) и технологий

Информационные системы существовали с момента появления общества, поскольку на любой стадии развития общество требует для своего управления систематизированной, предварительно подготовленной информации. Особенно это касается производственных процессов – процессов, связанных с производством материальных и нематериальных благ, так как они жизненно важны для развития общества. Именно производственные процессы совершенствуются наиболее динамично. А по мере их развития усложняется и управление ими, что, в свою очередь, стимулирует совершенствование и развитие информационных систем.

Для того чтобы разобраться, что же такое экономическая информационная система, необходимо прежде всего определить ее место в системе управления экономическим объектом, т.е. объектом, связанным с производством материальных и нематериальных благ.

Потребность в управлении возникает в том случае, когда необходима координация действий членов некоторого коллектива, объединенных для достижения общих целей. Такими целями могут быть: обеспечение устойчивости функционирования или выживания объекта управления в конкурентной борьбе, получение максимальной прибыли, выход на международный рынок и т.д. Цели сначала носят обобщенный характер, а затем в процессе уточнения они формализуются управленческим аппаратом в виде целевых функций.

В соответствии с кибернетическим подходом система управления представляет собой совокупность объекта управления, например предприятия, и субъекта управления – управленческого аппарата. Последний объединяет в себе сотрудников, формирующих цели, разрабатывающих планы, вырабатывающих требования к принимаемым решениям, а также контролирующих их выполнение. В задачу же объекта управления входит выполнение планов, выработанных управленческим аппаратом, т.е. реализация той деятельности, для которой создавалась система управления.

Оба компонента системы управления связаны прямой (П) и обратной (О) связями. Прямая связь выражается потоком директивной информации, направляемой от управленческого аппарата к объекту управления, а обратная представляет собой поток отчетной информации о выполнении принятых решений, направляемый в обратном направлении.

Директивная информация порождается управленческим аппаратом в соответствии с целями управления и информацией о сложившейся экономической ситуации, об окружающей среде. Отчетная информация формируется объектом управления и отражает внутреннюю экономическую ситуацию, а также степень влияния на нее внешней среды (задержки платежей, нарушения подачи энергии, погодные условия, общественно-политическая ситуация в регионе и т.д.). Таким образом, внешняя среда влияет не только на объект управления: она поставляет информацию и управленческому аппарату, решения которого зависят от внешних факторов (состояние рынка, наличие конкуренции, величина процентных ставок, уровень инфляции, налоговая и таможенная политика).

Взаимосвязь информационных потоков (П и О), средств обработки, передачи и хранения данных, а также сотрудников управленческого аппарата, выполняющих операции по переработке данных, и составляет информационную систему экономического объекта.

Возрастание объемов информации в контуре управления, усложнение ее обработки повлекло за собой сначала внедрение компьютеров на отдельных операциях, а затем расширение применения. Традиционная информационная система стала качественно меняться. В управленческом аппарате появилось новое структурное подразделение, единственной функцией которого стало обеспечивать процесс управления достоверной информацией на основе применения средств вычислительной техники. В связи с этим в контуре управления появились новые информационные потоки, а старые потоки частично изменили свое направление. Часть традиционной информационной системы стала постепенно, но неуклонно трансформироваться в направлении все большей автоматизации обработки информации.

С учетом сферы применения выделяются:

-технические информационные системы;

-экономические информационные системы;

-информационные системы в гуманитарных областях и др.

Так как далее речь будет идти исключительно об информационных системах экономического характера, необходимо ввести понятие экономической информационной системы (ЭИС). Под ней будем понимать систему, предназначенную для хранения, поиска и выдачи экономической информации по запросам пользователей. С помощью ЭИС, к сожалению, может перерабатываться далеко не вся информация, используемая для управления объектом, поскольку на любом предприятии циркулируют огромные информационные потоки, играющие важную роль в принятии решений, но обработка которых с помощью компьютеров невозможна. Причина этого заключается в сложности структуризации информации и формализации процессов ее переработки.

В ЭИС от объекта управления направляется только та часть информации – О2, которую можно систематизировать и обрабатывать с помощью компьютера. Аналогично от управленческого аппарата передается в ЭИС лишь часть директивной информации – П2, которая может быть соответствующим образом переработана и передана объекту управления. Доля информации, обрабатываемой в ЭИС, для различных уровней управления колеблется по отношению к общему объему от 10 до 20%. В процессе управления принимаются решения трех категорий: стратегические, тактические и оперативные. В соответствии с этой классификацией управленческий аппарат обычно имеет трехуровневую иерархию: высший, средний и оперативный уровни.

Высший уровень (высшее руководство) определяет цели управления, внешнюю политику, материальные, финансовые и трудовые ресурсы, разрабатывает долгосрочные планы и стратегию их выполнения. В его компетенцию входят анализ рынка, конкуренции, конъюнктуры и поиск альтернативных стратегий развития предприятия на случай выявления угрожающих тенденций в сфере его интересов.

На среднем уровне основное внимание сосредоточено на составлении тактических планов, контроле за их выполнением, слежении за ресурсами и разработке управляющих директив для вывода предприятия на требуемый планами уровень.

На оперативном уровне происходит реализация планов и составляются отчеты о ходе их выполнения. Руководство здесь состоит, как правило, из работников, обеспечивающих управление цехами, участками, сменами, отделами, службами. Основная задача оперативного управления заключается в согласовании всех элементов производственного процесса во времени и пространстве с необходимой степенью его детализации.

На каждом из уровней выполняются работы, в комплексе обеспечивающие управление. Эти работы принято называть функциями. В зависимости от целей можно выделить функции различной степени общности. Типичными являются следующие функции: планирование, учет, анализ и регулирование. Рассмотрим их содержание, ибо впоследствии все они должны быть трансформированы в компьютерные программы.

Планирование – функция, посредством которой в идеальной форме реализуется цель управления. Планирование занимает значительное место в деятельности высшего руководства, меньшее – на среднем и минимальное – на оперативном уровне. Планирование на высшем уровне управления касается будущих проблем и ориентировано на длительный срок. На среднем уровне планирование осуществляется на более короткий срок, при этом план высшего уровня управления детализируется Показатели на этом уровне более точные. Оперативное управление предполагает самую детальную проработку плана.

Учет – функция, направленная на получение информации о ходе работы предприятия. Учет в основном осуществляется на оперативном и среднем уровнях управления. На высшем уровне управления учет отсутствует, однако на его основе в полной мере выполняются анализ результатов производства и регулирование его ходом.

Анализ и регулирование – сопоставление фактических показателей с нормативными (директивными, плановыми), определение отклонений, выходящих за пределы допустимых параметров, установление причин отклонений, выявление резервов, нахождение путей исправления создавшейся ситуации и принятие решения по выводу объекта управления на плановую траекторию. Действенным инструментом для выявления причин отклонений является факторный анализ, а для поиска путей выхода из создавшейся ситуации – экспертные системы.

Первоначально большинство ЭИС обеспечивали лишь оперативный уровень управления: обработку счетов, учет товаров и материалов, расчет заработной платы, обработку заказов и др. Впоследствии стали разрабатываться системы, обеспечивающие выполнение расчетов на среднем уровне: расчеты квартальных, месячных и годовых планов выпуска продукции, составление планов сбыта продукции и т.д.

Современные ЭИС способны предоставлять и обрабатывать информацию для всех уровней управления. Особенный интерес для высшего уровня управления представляют экспертные системы, способные обрабатывать ориентировочную информацию и на этой базе разрабатывать прогнозные планы.

Процесс управления заключается в изменении состояния объекта системы, ведущем к достижению поставленной цели. Цели системы задаются при ее создании и в процессе функционирования все время корректируются в соответствии с изменением внешних условий. Под целью понимаются характеристика системы и ее ожидаемое значение, задаваемые субъектом управления. Среди всего многообразия целей можно выделить два основных класса: стратегические и тактические. Они отличаются между собой прежде всего уровнем обобщения и периодом, на который рассчитаны. Существует определенная зависимость между структурой управления и способом разбиения вышестоящих целей на подцели, т.е. процессом декомпозиции целей. И стратегические, и тактические цели могут носить директивный характер. Они возникают в результате деятельности управленческих сотрудников более высокого уровня и называются траекторными. Такое название объясняется тем, что заданные цели отражают желаемую траекторию изменения управляемой системы во времени. В экономике траектория задается в виде совокупности показателей.

Для систем существует понятие динамического равновесия – это процесс, характеризуемый некоторой равновесной траекторией. Для выделения ее среди других должен быть задан критерий. Учитывая целенаправленный характер системы, траектория является равновесной тогда, когда она кратчайшим путем ведет к поставленной цели. Если система стремится к равновесию, с одной стороны, и к достижению цели, с другой стороны, то непротиворечивым является случай тождественности равновесия и цели. К функции системы и к структуре относится понятие устойчивости. Система с устойчивой структурой может восстанавливать даже существенно нарушенные функции. Нарушение структуры почти неизбежно ведет к потере функциональной устойчивости системы, а часто к ее гибели. Одним из факторов устойчивости структуры является структурная избыточность, что достигается дублированием.

Если траекторная цель не структурирована и выражена неявно, она может быть сформулирована самим менеджером как творческая. Вся иерархия траекторных целей должна соответствовать структуре управления. Или, если быть более точным, структура управления должна соответствовать иерархии целей. Другими словами, каждый элемент структуры управления, представленный на графе управления вершиной, должен иметь набор траекторных (директивных) целей, которые должны соответствовать служебным обязанностям управленческого работника. Таким образом, управленческая структура должна быть упорядочена в соответствии с целевым определением каждого уровня.

В процессе управления системой по директивным целям менеджер стремится погасить негативные влияния и добиться совпадения фактической траектории поведения системы с желаемой (директивной) траекторией. Если траекторные цели отражают иерархию управления, то управление на горизонтали осуществляется менеджером в соответствии с рабочими целями, которые носят творческий характер, поскольку вырабатываются самим менеджером. Эти цели подчинены траекторией цели и меняются в соответствии с возникновением той или иной фактической ситуации. Если творческая цель предназначена для реализации на нижнем уровне управления, она становится для этого уровня траекторией.

Полученные с вышестоящего уровня траекторные цели должны быть реализованы через механизм формирования новых целей (в пределах траекторией, поскольку менеджер получает с вышестоящего уровня лишь цели, а не решения). Новые цели формируются менеджером самостоятельно, и этот процесс является творческим. Траекторные цели тоже считаются творческими в момент формирования их менеджером соответствующего уровня, и поэтому являются некоей директивой лишь для низшего уровня управления. Таким образом, творчество менеджера любого уровня определяется сложившейся ситуацией (условия и ограничения) и директивным направлением поддержания нужного состояния управляемой системы.

Состав и структура ЭИС

Даже относительно небольшие предприятия являются сложными системами, поскольку обладают непростой иерархической структурой с многочисленными взаимосвязями между объектом управления и управляющей системой. В свою очередь, участники процесса управления обычно ставят перед собой свои цели, которые могут не совпадать с целью системы в целом. Процесс управления характеризуется многофункциональностью, которая проявляется в особенностях реализации основных функций управления: учета, анализа, планирования и регулирования. Предприятие как система в условиях изменения среды сохраняет свойство целостности и обладает такой характеристикой, как эмерджентность. А управление ориентировано на сохранение своего основного качества, поскольку утеря целостности влечет за собой разрушение системы. В экономических системах управление строится на основе экономико-организационных моделей, так как управляющая система должна иметь представление об образе объекта. И поскольку модель в некоторой форме отражает реально протекающие процессы, возникает проблема ее адекватности. Модель всегда отличается деталями от самого объекта, но обязательно имеет с ним нечто общее. Сравнительно простыми являются функциональные модели, описывающие зависимость выхода от входа, более сложными – структурные модели, включающие и функциональный, и структурный аспект. Модели, как и системы, могут быть вероятностными и детерминированными. ЭИС обычно представляет собой детерминированную модель системы управления, отражая происходящие процессы через призму своих технологий. Именно поэтому ЭИС является сложной системой Обилие и разнообразие экономических систем порождают большое разнообразие ЭИС: ведь, отражая систему управления, ЭИС таким образом впитывает в себя особенности структуры управления, схемы декомпозиции управленческих целей, предметных технологий.

В связи с большим количеством функциональных особенностей для ЭИС может быть выделено множество различных классификационных признаков. Так, в соответствии с уровнем применения и административным делением можно различать ЭИС предприятия, района, области и государства.

В экономике с учетом сферы применения выделяются:

-банковские информационные системы;

-информационные системы фондового рынка;

-страховые информационные системы;

-налоговые информационные системы;

-информационные системы промышленных предприятий и организаций (особое место по значимости и распространенности в них занимают бухгалтерские информационные системы);

-статистические информационные системы и др.

Понятие системы, накладываясь на реальную действительность, очерчивает какую-то ее часть, что позволяет изучать свойства этой части и представлять ее в виде информационных и других моделей. Используя системный подход, можно сказать, что ЭИС, как и всякая другая система, состоит из элементов (или подсистем), находящихся в определенных отношениях друг с другом. Множество этих отношений совместно с элементами образуют структуру системы. Таким образом, ЭИС – это часть реальной действительности, представленная в виде множества элементов и отношений между ними.

Признаки структуризации системы, т.е. ее декомпозиции на составные части, задаются людьми в соответствии со здравым смыслом и в зависимости от стоящих перед ними задач. Наиболее общим разделением подсистем ЭИС является выделение обеспечивающей и функциональной частей.

Обеспечивающая часть ЭИС состоит из информационного, технического, программного, организационного, правового и других видов обеспечения.

Информационное обеспечение. Информация столь же необходима управленческому аппарату, как объекту управления – сырье и ресурсы. Она формируется в результате обработки специфического сырья, известного под названием данные. Последние отражают конкретные финансово-хозяйственные факты, состояние или процессы и имеют собственный материальный носитель (бухгалтерские и финансовые документы, сигналы, поступающие от датчиков, дисплеи, магнитные носители и т.д.). Согласно рис. 1.1 любая система управления имеет дело с двумя видами информации: внешней (информация о внешней среде) и внутренней (циркулирующей между управленческим аппаратом и объектом управления).

Для внешней информации характерны приблизительность, неточность, обрывистость, противоречивость. В основном она касается состояния рынка и конкурентов, прогнозов процентных ставок и цен, налоговой политики и политической ситуации. По своей природе такая информация носит вероятностный характер, и поэтому ее обработка стандартными программными средствами затруднена. Это потребовало создания особых информационных систем, получивших название экспертных. Такие системы способны давать точные выводы на основе недетерминированной информации.

Внутренняя информация возникает в самой системе управления и отражает в различные временные интервалы развития объекта управления, его финансово-хозяйственное состояние и директивные цели на случай отклонений от установленных параметров. Как правило, эти данные измеряются, и в управленческих документах фиксируется точная информация.

В зависимости от уровня управления используются различные виды информации. Так, для высшего руководства, разрабатывающего стратегию деятельности, применяется в основном внешняя и в меньшем объеме внутренняя информация. На оперативном уровне используется только внутренняя, а на среднем – большей частью внутренняя и частично – внешняя. Эти виды информации хранятся на своих носителях, составляя информационную базу, на основе которой функционирует ЭИС. Информационная база состоит из двух взаимосвязанных частей: внемашинной и внутримашинной.

К внемашинной относится та часть, которая обслуживает систему управления в виде, воспринимаемом человеком без каких-либо технических средств, например документы (наряды, акты, накладные, счета или регистры, ведомости и т.д.).

Внутримашинная информационная база содержится на машинных носителях и состоит из файлов. Она может быть создана либо как множество локальных, т.е. независимых, файлов, каждый из которых отражает некоторое множество однородных управленческих документов (например, накладных), либо как база данных. Разница состоит в том, что при создании базы данных файлы не являются независимыми, ибо структура одних файлов (состав полей) зависит от структуры других. Это служит причиной несоответствия структуры файлов базы данных структуре управленческих документов, на основе которых эти файлы создаются. Файлы базы данных разрабатываются с соблюдением определенных принципов и ориентацией на одну из моделей базы данных (реляционную, иерархическую, сетевую). Файлы обрабатываются с помощью специального программного обеспечения – систем управления базами данных (СУБД).

Все документы, имеющие отношение к ЭИС, а также файлы внутримашинной информационной базы можно разбить на входные и результатные.

Входные документы, а значит, и получаемые на их основе файлы, в свою очередь, делятся на оперативные, где отражаются факты финансово-хозяйственной деятельности предприятия, и условно-постоянные, где указаны материальные, трудовые, технологические и прочие нормы и нормативы, а также все справочные данные (наименования, фамилии и др.).

Выходные документы и файлы также имеют свою классификацию. Они делятся на те, которые предназначены для применения конечным пользователем, для использования информационной системой при решении других задач (транзиты) и решении задач в последующий период. Кроме того, существуют вспомогательные, корректировочные файлы и рабочие, уничтожающиеся после каждого решения задачи.

Состав внутримашинной базы определяется исходя из информационных потребностей каждого уровня управленческого аппарата.

Техническое обеспечение. Технические возможности ЭИС определяются рядом обеспечивающих подсистем, к которым относятся подсистемы технического обеспечения, организационного обеспечения и др.

Технические средства служат основой построения ЭИС. Мощность этих средств в значительной мере определяет состав решаемых задач управления. К техническим средствам ЭИС – техническое обеспечение – относятся компьютеры, средства коммуникаций и оргтехника.

Весь компьютерный парк условно можно разделить на два класса: персональные и высокопроизводительные компьютеры (MainframeSystem). Последние необходимы для создания больших хранилищ данных и обеспечения доступа к ним. К таким компьютерам предъявляются высокие требования к надежности при круглосуточной работе, к защите данных и производительности. Одна из наиболее известных фирм, выпускающая машины такого класса, – TandemComputers, ориентируется на безостановочную обработку данных высокой степени важности в реальном масштабе времени. А между ними существует большой спектр других средств вычислительной техники.

Но даже компьютеры типа MainframeSystem не всегда могут обеспечить требуемую оперативность принимаемых решений. Так, использование компьютерных систем для оценки степени риска и оптимизации операций с ценными бумагами оправдано только в том случае, когда реакция на запрос не превышает нескольких минут. Но при больших объемах сделок Mainframesystem способен ответить на запрос лишь через несколько часов, а персональный компьютер – через сутки. Без проблем решают подобную задачу лишь суперкомпьютеры. Так, компьютер CRAY, используемый в компании CountryNetWest для оценки портфелей ценных бумаг, показал, что расчеты, которые на компьютере с процессором Pentium потребовали бы 20 ч, на суперЭВМ занимают лишь 6 мин, а для Уолл-Стрит разница между 6 мин и 20 ч эквивалентна половине стоимости компьютера CRAY.

Компьютеры могут объединяться в вычислительные сети.

В локальных вычислительных сетях (ЛВС) известно несколько режимов работы. Наиболее простой режим не предполагает специально выделенного компьютера, ресурсы которого распределяются между другими машинами. Каждая ЭВМ имеет свои собственные ресурсы и ресурсы, предоставляемые другим компьютерам. Второй режим предусматривает выделение отдельного компьютера для обслуживания сетевых программ и других компьютеров. Только на этой машине могут находиться общие программы и базы данных. Такой компьютер называется файл-сервером. Третий режим также предполагает выделение отдельного компьютера и известен под названием клиент-сервер. В отличие от предыдущего в данном случае находятся не только общие базы данных, но и программы поиска и записи, что позволяет «клиентам» (другим программам, расположенным на удаленных компьютерах) запрашивать не всю информацию из базы данных, а только частично или полностью обработанную сервером. При этом снижается загруженность каналов передачи данных.

ЛВС могут объединяться между собой таким образом, что абоненты одной сети пользуются ресурсами другой.

Перечисленные классы машин и сети ЭВМ могут функционировать только с помощью общесистемного программного обеспечения.

Программное обеспечение. «Оживить» техническое обеспечение, т.е. заставить его выполнять операции по обработке информации, предназначено программное обеспечение (ПО). ПО – совокупность программ системы обработки данных и программных документов, необходимых для эксплуатации этих программ. Различают общее и прикладное ПО. В общее ПО включают операционные системы, системы программирования, сервисные программы.

Операционная система – это программа, которая автоматически загружается при включении компьютера и предоставляет пользователю базовый набор команд, с помощью которых можно общаться с компьютером: запустить программу, отформатировать дискету, скопировать файл и т.д.

Системы программирования представляют собой инструментальные средства для квалифицированных пользователей – программистов и непрограммистов. Инструментальные средства программиста определяют информационные технологии, предназначенные для проектирования функционального программного обеспечения. Функциональное ПО – это программная реализация конкретных функций информационного работника с использованием различных информационных технологий, т.е. это настройка автоматизированного рабочего места (АРМ), СУБД, гипертекстов, мультимедиа, экспертных систем, программного комплекса задач и подсистем ЭИС, построенных с помощью других средств проектирования, на конкретного информационного работника конкретного предприятия, учитывающая специфику сложившейся там системы обработки данных.

Инструментальные средства непрограммиста определяют информационные технологии, доступные пользователю с любой квалификацией в области вычислительной техники и программирования.

Сервисные программы предоставляют ряд услуг по обеспечению эксплуатации ЭВМ и программного обеспечения.

Для общения пользователя с программным, техническим и информационным обеспечением применяют языки. Языки общения могут быть формализованными, не полностью или полностью естественными языками. Совокупность языков общения, правил их формализации и терминов, используемых в ЭИС, образует лингвистическое обеспечение.

Совокупность мероприятий, регламентирующих функционирование и использование технического, программного и информационного обеспечения и определяющих порядок выполнения действий, приводящих к получению и использованию искомого результата, образует методическое и организационное обеспечение. В ЭИС они определяют технологический процесс работы системы. Кроме операционных систем для функционирования любой ЭИС необходимы также:

-тестовые и диагностические программы; программные средства телекоммуникации;

-программные средства защиты информации от несанкционированного доступа и воздействий;

-программные средства подтверждения целостности передаваемого документа и идентификации подписи автора;

-программный интерфейс с другими компьютерными системами и др.

Организационное обеспечение. Экономическая информационная система включает в себя собственный аппарат управления, обеспечивающий функционирование всех ее подсистем, как единое целое. Такое структурное подразделение, как и всякое другое, должно выполнять:

-сбор первичной информации об объекте управления и окружающей среде на основе использования документов, применения вспомогательных средств или средств автоматической регистрации данных;

-передачу информации курьеру или ее рассылку с помощью локальных, региональных или других сетей;

-хранение и поддержку в работоспособном состоянии коллективно используемой информации в центральной базе данных или распределенной по узлам сети;

-обработку информации на основе централизованной или распределенной технологии.

В современных ЭИС для большинства сотрудников созданы средства поддержки принятия решения, связанные в локальную сеть. При этом управленческий персонал ЭИС обеспечивает ее функционирование и развитие. Главные же функции персонала ЭИС состоят в разработке:

-юридических и правовых норм для работы управленческого аппарата в условиях компьютеризации;

-документации, регулирующей порядок обмена информацией с другими компьютерными системами, правила выхода из нештатных ситуаций;

-методической документации для подготовки управленческих работников в условиях компьютеризации и др.

Как правило, персонал ЭИС состоит из сотрудников отдела разработок, внедрения и сопровождения новых программ, далее – отдела разработки и отдела эксплуатации.

Для разработки новых задач от высшего руководства предприятия поступает следующая информация: перспективные планы развития предприятия, содержащие цели, к достижению которых стремится руководство предприятия, а также бюджетные ограничения на создание новых систем.

На основании этих сведений отдел разработки может предложить решение задач стратегического планирования, анализа и прогнозирования цен, а также консультаций по маркетинговой политике, анализу использования основных фондов, анализу факторов, влияющих на рентабельность, диагнозу финансово-хозяйственного состояния предприятия, анализу сбыта, эффективности предприятия и др.

Средний уровень управления имеет свои информационные потребности: планы на ближайшую перспективу и расчеты материальных и трудовых ресурсов, калькуляции себестоимости продукции, отклонения плановых показателей от фактических и др.

Сотрудников оперативного уровня управления интересует автоматизация выполнения функций на рабочих местах, связанных или непосредственно с производством (склады, цехи, участки), или с управлением (бухгалтерия, отделы, службы). Типичные задачи этого уровня: ведение счетов дебиторов и кредиторов, учет закупок и поступлений, выдача суточных заданий и учет их выполнения, расчет загрузки оборудования, формирование сведений о клиентах, расчет заработной платы и пр.

Отдел эксплуатации планирует свои действия исходя из специфики информационных работ и особенностей средств обработки и передачи данных. В основном в функции этого отдела входят:

-обеспечение безопасности, конфиденциальности и целостности данных (борьба с вирусами, сбоями и несанкционированным доступом, разработка шифров, паролей, кодов);

-администрирование баз данных;

-разработка графиков ввода данных и слежения за их выполнением;

-составление планов-графиков текущего ремонта оборудования и обслуживания компьютеров.

Рассмотренные характеристики составляющих ЭИС весьма относительны, так как в компьютерном мире развитие происходит быстрыми темпами. Меняются поколения компьютеров, системного и прикладного программного обеспечения. В результате изменяются содержание, название и функции информационных систем, а границы проникновения компьютеров в сферу человеческой деятельности остаются относительно постоянными. Существует порог, после которого всякая машина бессильна, – это творчество и интуиция. А без этой чисто человеческой черты не может существовать и успешно функционировать никакая система управления.

Правовое обеспечение ЭИС. Оно представляет собой совокупность норм, выраженных в нормативных актах, устанавливающих и закрепляющих организацию этих систем, их цели, задачи, структуру, функции и правовой статус ЭИС. Правовое обеспечение ЭИС осуществляет правовое регулирование разработки ЭИС и взаимоотношения разработчика и заказчика. Правовое обеспечение этапа функционирования ЭИС определяет ее статус в процессе управления, обеспечение информацией процесса принятия решения и правовое обеспечение информационной безопасности функционирования ЭИС. Правовое обеспечение включает общую и специальную части. Общая содержит нормативные документы, регламентирующие деятельность ЭИС, а специальная осуществляет юридическую поддержку принятия решений. В настоящее время на российском рынке коммерческих юридических баз данных существует более двадцати продуктов, которые могут осуществлять правовую поддержку принятия решений и могут быть легко встроены в ЭИС.

Функциональная часть ЭИС. Функциональная часть фактически является моделью системы управления объектом. В ходе декомпозиции функциональная часть разбивается на подсистемы, конкретный состав которых определяется признаком декомпозиции. Но поскольку сложная система всегда многофункциональна, ЭИС может быть декомпозирована по разным признакам. Применительно к системам управления признаком структуризации могут служить функции управления объектом, в соответствии с которыми ЭИС состоит из функциональных подсистем. Это один из распространенных признаков декомпозиции систем управления, который не всегда удовлетворяет проектировщиков ЭИС. Поэтому разработаны и другие системы управления, используемые, как правило, в комбинации с функциональным признаком. К ним относятся:

-уровень управления (высший, средний, оперативный);

-вид управляемого ресурса (основные фонды, материальные, трудовые, финансовые и информационные ресурсы);

-сфера применения (банковские информационные системы, статистические, налоговые, бухгалтерские, фондового рынка, страховые и т.д.);

-функции управления и период управления.

Выбор признаков декомпозиции ЭИС зависит от специфики объекта управления и целей ее создания.

Трансформация целей управления в функции, а функций – в подсистемы ЭИС позволяет проводить дальнейшую декомпозицию. Если подсистемы реализуют некоторые отделенные друг от друга функции управления, то каждую из них можно делить на более детальные подфункции и, как их еще называют, задачи (или комплексы задач). Под задачей в самом общем виде следует понимать выражение вида.

Цель решения задачи может быть сформулирована двояко [8]:

-построить, получить или отождествить объект, отвечающий некоторым критериям (задача на нахождение);

-доказать по установленным правилам правильность построения или отождествления некоторого объекта (задача на доказательство).

В задачах «на нахождение» поиск неизвестной процедуры является целью, ибо с ее помощью происходят поиск и отождествление неизвестного объекта с предъявленными к нему требованиями. Именно такой тип задач близок к задачам управления, так как в большинстве случаев достижение цели обеспечивается поиском информационных технологий, способных предоставить пользователю необходимую информацию. После того как задача «на нахождение» решена, т.е. найдена соответствующая информационная технология составления программы поиска или расчета, термин «задача» не исчезает, а применяется и далее в процессе многоразового использования найденной процедуры. Задача из статуса «на нахождение» переходит в статус «на доказательство». В задачах «на доказательство» в качестве неизвестного выступает последовательность (цепочка) известных правил, выполнение которых позволяет отождествить объект по заданным критериям. Доказательство заключается в том, чтобы каждый раз при наличии новых исходных данных и уже известных процедур продемонстрировать наличие или отсутствие у определенных объектов тех или иных характеристик. Особенно ярко задача «на доказательство» демонстрируется экспертными системами, в которых сам принцип их построения базируется на доказательстве целей Состав задач в ЭИС определяется следующими факторами:

-важностью той или иной функции управления;

-возможностью формализации управленческих процедур; уровнем подготовки персонала управления к использованию компьютеров;

-наличием информационной базы и технических средств.

Их распределение между участниками процесса управления может происходить по-разному, поскольку некоторые задачи могут быть целиком решены на одном рабочем месте, а другие для этого требуют участия многих управленческих работников. Но каким бы ни было такое разделение, оно не должно сказаться на содержательной части задачи.

4. Технологическое обеспечение ЭИС и АРМ конечного пользования

Широкомасштабное сращение вычислительной техникой всех отраслей человеческой деятельности остро ставит вопрос о технологическом обеспечении информационных систем и технологий.

Технологическое обеспечение реализует информационные процессы в автоматизированных системах организационного управления с помощью ЭВМ и других технических средств.

Разработка технологического обеспечения требует учета особенностей структуры экономических систем. Прежде всего – это сложность организационного взаимодействия, которая вызывает необходимость создания многоуровневых иерархических систем (головная фирма, филиалы) со сложными информационными связями прямого и обратного направления. В основу новой информационной технологии закладывается широкое применение компьютеров и формирование на их базе вычислительных сетей с взаимосвязанными, специализированными АРМ.

Обязательным условием функционирования АРМ является техническое обеспечение. Это обоснованно выбранный комплекс технических средств для их оснащения.

Средства обработки информации – вычислительные машины разных мощностей и типов – составляют основу технического обеспечения вычислительных сетей. Характерной особенностью практического использования технических средств в организационно-экономическом управлении в настоящее время является переход к децентрализованной и сетевой обработке на базе ПЭВМ.

Если ПЭВМ используется в качестве АРМ небольшой локальной сети, на котором централизованно хранится вся информация, необходимая для работы, объем обрабатываемой информации невелик. Скорость работы при этом определяется не быстродействием компьютера, а скоростью диалога оператора и машины. Отсюда вытекает, что в данном случае вполне приемлема ПЭВМ с небольшим быстродействием и минимальным объемом ОЗУ.

В другом случае, если компьютер предназначается для регулярной подготовки объемных документов и использует для этого большие массивы информации, необходима установка мощных машин с большим объемом внешней и внутренней памяти.

Информационное наполнение АРМ при определении круга пользователей и выяснении сущности решаемых ими задач осуществляет информационное обеспечение АРМ. В сфере организационного управления пользователи могут быть условно разделены на три категории: руководители, персонал руководителей и обслуживающий персонал. Разрабатываемые АРМ для разных категорий пользователей отличаются видами представления данных. К примеру, обслуживающий персонал обычно имеет дело с внутренними данными организации, решает повторяющиеся задачи, пользуется, как правило, структурированной информацией.

Руководителям требуются как внутренние, так и внешние данные для реализации цели управления или принятия решения.

Применение АРМ не должно нарушать привычный пользователю ритм работы. АРМ концентрируют внимание пользователя на логической структуре решаемых задач, а не на характеристике реализующей их программной системы. Однако если заданное системе действие не производится, пользователь должен знать причину, и информация об этом должна выдаваться на экран.

Эти соображения лежат в основе разработки информационного обеспечения конкретного АРМ при организации внутримашинной информационной базы (выбора необходимого состава показателей, способа их организации и методов группировки и выборки необходимых данных).

Если АРМ является элементом распределенной системы обработки информации, например сети, существуют дополнительные требования к организации информационной базы.

· Структура базы данных должна позволять легко расчленять ее на составные фрагменты, размещаемые на отдельных АРМ, обеспечивать защиту от несанкционированного доступа к данным.

· Структура базы должна обеспечивать единовременный процесс корректировки нескольких одинаковых баз, хранящихся на разных АРМ.

· База должна быть минимально избыточна и одновременно удобна для архивирования данных.

Математическое обеспечение АРМ представляет собой совокупность алгоритмов, обеспечивающих формирование результатной информации. Математическое обеспечение служит основой для разработки комплекса прикладных программ.

В составе программного обеспечения (ПО) АРМ можно выделить два основных вида обеспечения, различающихся по функциям: общее (системное) и специальное (прикладное). К общему программному обеспечению относится комплекс программ, обеспечивающий автоматизацию разработки программ и организацию экономичного вычислительного процесса на ПЭВМ безотносительно к решаемым задачам. Специальное программное обеспечение представляет собой совокупность программ решения конкретных задач пользователя.

Режим работы различных технологий, технические особенности вычислительных устройств, разнообразие и массовый характер их применения предъявляют особые требования к программному обеспечению. Такими требованиями являются: надежность, эффективность использования ресурсов ПЭВМ, структурность, модульность, эффективность по затратам, дружественность по отношению к пользователю. При разработке и выборе программного обеспечения необходимо ориентироваться в архитектуре и характеристиках ПЭВМ, имея в виду минимизацию времени обработки данных, системное обслуживание программ большого количества пользователей, повышение эффективности использования любых конфигураций технологических схем обработки данных.

Программное обеспечение позволяет усовершенствовать организацию работы АРМ с целью максимального использования его возможностей; повысить производительность и качество труда пользователя; адаптировать программы пользователя к ресурсам конкретной предметной области.

Классификация программного обеспечения АРМ приведена на рис. 4.1.

Рис. 4.1. Классификация программного обеспечения АРМ

Главное назначение общего ПО – запуск прикладных программ и управление процессом их выполнения.

Специальное программное обеспечение АРМ обычно состоит из уникальных программ и функциональных пакетов прикладных программ. Именно от функционального ПО зависит конкретная специализация АРМ. Учитывая, что специальное ПО определяет область применения АРМ, состав решаемых пользователем задач, оно должно создаваться на основе инструментальных программных средств диалоговых систем, ориентированных на решение задач со схожими особенностями обработки информации.

Программное обеспечение АРМ должно обладать свойствами адаптивности и настраиваемости на конкретное применение в соответствии с требованиями пользователя.

В качестве операционных систем АРМ, созданных на базе 16-разрядных ПЭВМ, обычно используется МS-DOS, на базе 32-разрядных – OS/2 и UNIX.

Основными приложениями пакетов прикладных программ, входящих в состав специального ПО АРМ, являются обработка текстов, табличная обработка данных, управление базами данных, машинная и деловая графика, организация человеко-машинного диалога, поддержка коммуникаций и работа в сетях.

Эффективными в АРМ являются многофункциональные интегрированные пакеты, реализующие несколько функций переработки информации, например табличную, графическую, управление базами данных, текстовую обработку в рамках одной программной среды.

Интегрированные пакеты удобны для пользователей. Они имеют единый интерфейс, не требуют стыковки входящих в них программных средств, обладают достаточно высокой скоростью решения задач.

Лингвистическое обеспечение АРМ включает языки общения с пользователем, языки запросов, информационно-поисковые языки, языки-посредники в сетях. Языковые средства АРМ обеспечивают однозначное смысловое соответствие действий пользователя и аппаратной части в виде ПЭВМ.

Одновременно языки АРМ должны быть пользовательско-ориентированными, в том числе профессионально-ориентированными.

Основу языков АРМ составляют заранее определяемые термины, описания способов установления новых терминов, списки правил, на основе которых пользователь может строить формальные конструкции, соответствующие его информационной потребности.

Например, в одних АРМ данные и конструкции представляются в виде таблиц, в других – в виде операторов специального вида.

Языковые средства АРМ можно разделить по видам диалога. Средства поддержки диалога определяют языковые конструкции, знание которых необходимо пользователю. В одном АРМ может быть реализовано несколько типов диалога: инициируемый ЭВМ, с помощью заполнения шаблонов, с использованием меню, гибридный диалог и др.

Организационное обеспечение АРМ включает комплекс документов, регламентирующих деятельность специалистов при использовании компьютера или терминала другого вида на рабочем месте и определяющих функции и задачи каждого специалиста.

Специалистом выполняются на АРМ следующие операции:

· ввод информации с документов при помощи клавиатуры (с визуальным контролем по экрану дисплея);

· ввод данных в ПЭВМ с магнитных носителей с других АРМ;

· прием данных в виде сообщений по каналам связи с других АРМ в условиях функционирования локальных вычислитель ных сетей;

· редактирование данных и манипулирование ими;

· накопление и хранение данных;

· поиск, обновление и защита данных;

· вывод на экран, печать, магнитный носитель результатной информации, а также различных справочных и инструктивных сообщений пользователю;

· формирование и передача данных на другие АРМ в виде файлов на магнитных носителях или по каналам связи в вы числительных сетях;

· получение оперативных справок по запросам.

Методическое обеспечение АРМ состоит из методических указаний, рекомендаций и положений по внедрению, эксплуатации и оценке эффективности их функционирования. Оно включает в себя также организованную машинным способом справочную информацию об АРМ в целом и отдельных его функциях, средства обучения работе на АРМ, демонстрационные примеры.

Эргономическое обеспечение АРМ представляет собой комплекс мероприятий, обеспечивающих максимально комфортные условия использования АРМ специалистами. Это предполагает выбор специальной мебели для размещения техники АРМ, организацию картотек для хранения документации и магнитных носителей.

Одна из важнейших функций эргономического обеспечения АРМ – уменьшение отрицательных воздействий на человека со стороны ПЭВМ.

Правовое обеспечение АРМ – это система негативно-правовых документов, определяющих права и обязанности специалистов в условиях функционирования АРМ. Эти документы строго увязаны с комплексом разработок, регламентирующих порядок хранения и защиты информации, правила ревизии данных, обеспечение юридической подлинности совершаемых на АРМ операций и т.д.

Эффективное функционирование АИС и АРМ базируется на комплексном использовании современных технических и программных средств обработки информации в совокупности с современными организационными формами размещения техники.

Выбор организационных форм использования программно-технических средств целесообразно осуществлять с учетом их рассредоточения по уровням иерархии управления в соответствии с организационной структурой автоматизируемого объекта. При этом основным принципом выбора является коллективное обслуживание пользователей, отвечающее структуре экономического объекта.

С учетом современной функциональной структуры территориальных органов управления совокупность программно-технических средств должна образовывать, по меньшей мере, трехуровневую глобальную систему обработки данных с развитым набором периферийных средств каждого уровня.

Рис. 4.2. Принципиальная схема многоуровневой организации программно-технических средств АИС

Первый уровень – центральная вычислительная система территориального или корпоративного органа, включающая одну или несколько мощных ЭВМ или мэйнфреймов. Ее главная функция – общий, экономический и финансовый контроль, информационное обслуживание работников управления.

Второй уровень – вычислительные системы предприятий (объединений), организаций и фирм, которые включают мэйнфреймы, мощные ПЭВМ, обеспечивают обработку данных и управление в рамках структурной единицы.

Третий уровень –локально распределенные вычислительные сети на базе ПЭВМ, обслуживающие производственные участки нижнего уровня. Каждый участок оснащен собственной ПЭВМ, которая обеспечивает комплекс работ по первичному учету, учету потребности и распределения ресурсов. В принципе это может быть автоматизированное рабочее место (АРМ), выполняющее функциональные вычислительные процедуры в рамках определенной предметной области.

В то же время на каждом уровне иерархии управления имеют место три способа организации технических средств: централизованный, децентрализованный и иерархически распределенный. Первый способ предполагает выполнение всех работ по обработке данных, начиная со сбора и регистрации данных, в одном центре обработки; второй предусматривает предварительную обработку информации, которая не требует создания очень крупных массивов данных, на периферийном оборудовании удаленного пользователя в низовых звеньях экономического объекта; при третьем способе техника и технология обработки оптимально распределены по уровням управления системы.

По мере развития компьютерных и производственно-экономических систем централизованный вариант обработки данных становится нерациональным как требующий больших единовременных затрат труда и, что самое главное, не обеспечивающий обработку данных в заданные сроки.

Дальнейшее развитие АИС во всех отраслях экономики выдвинуло актуальную задачу децентрализации обработки информации с первичной децентрализацией подготовки исходных данных на рабочих местах пользователей. Самый экономичный путь реализации этого варианта – использование в качестве главного структурного элемента АИС терминальных устройств ввода-вывода данных с периферийных пунктов непосредственно в ЭВМ. Причем в качестве как терминальных устройств, так и ЭВМ могут быть использованы компьютеры.

Децентрализованные АИС предполагают рассредоточение вычислительных ресурсов и их приближение к местам возникновения и потребления информации.

Совершенствование информационных технологий представляет пользователям любое сочетание централизации и децентрализации выполнения операций, зависящее от назначения, структуры и пространственного размещения автоматизированных объектов, интенсивности поступления и объемов обрабатываемой информации, режимов обработки и программной среды, функций пользователей и организации их деятельности.

Развитие организационных форм использования вычислительной техники строится на сочетании централизованной и децентрализованной (смешанной) форм. Предпосылкой появления смешанной формы явилось создание сетей ЭВМ на основе развития современных средств связи. Сети ЭВМ предполагают объединение с помощью каналов связи вычислительных средств, программных и информационных ресурсов, причем каждый абонент имеет возможность доступа не только к своим, но и к ресурсам всех остальных абонентов.

В последнее время организация применения компьютерной техники претерпевает значительные изменения, связанные с созданием интегрированных информационных систем. Такие системы осуществляют согласованное управление данными в пределах предприятия (организации), координируют работу отдельных подразделений, автоматизируют операции по обмену информацией как в пределах отдельных групп пользователей, так и между несколькими организациями, отстоящими друг от друга на десятки и сотни километров. Основой для построения подобных систем служат локальные вычислительные сети.

5. Защита информации

Наряду с интенсивным развитием вычислительных средств и систем передачи информации все более актуальной становится проблема обеспечения ее безопасности. Меры безопасности направлены на предотвращение несанкционированного получения информации, физического уничтожения или модификации защищаемой информации.

Зарубежные публикации последних лет показывают, что злоупотребления информацией, передаваемой по каналам связи, совершенствовались, не менее интенсивно, чем средства их предупреждения. В этом случае для зашиты информации требуется, не просто разработка частных механизмов защиты, а организация целого комплекса мер, т.е. использование специальных средств, методов и мероприятий с целью предотвращения потери информации. Сегодня рождается новая современная технология – технология защиты информации в компьютерных информационных системах и в сетях передачи данных.

Несмотря на предпринимаемые дорогостоящие методы, функционирование компьютерных информационных систем обнаружило слабые места в защите информации. Неизбежным следствием стали постоянно увеличивающиеся расходы и усилия на защиту информации. Однако для того, чтобы принятые меры оказались эффективными, необходимо определить, что такое угроза безопасности информации, выявить возможные каналы утечки информации и пути несанкционированного доступа к защищаемым данным.

Под угрозой безопасности информации, понимается действие или событие, которое может привести к разрушению, искажению или несанкционированному использованию информационных ресурсов, включая хранимую, передаваемую и обрабатываемую информацию, а также программные и аппаратные средства.

Угрозы принято делить на случайные, или непреднамеренные, и умышленные. Источником первых могут быть ошибки в программном обеспечении, выходы из строя аппаратных средств, неправильные действия пользователей или администрации и т.п. Умышленные угрозы, в отличие от случайных, преследуют цель нанесения ущерба пользователям АИТ и, в свою очередь, подразделяются на активные и пассивные.

Пассивные угрозы, как правило, направлены на несанкционированное использование информационных ресурсов, не оказывая при этом влияния на ее функционирование. Пассивной угрозой является, например, попытка получения информации, циркулирующей в каналах, посредством их прослушивания.

Активные угрозы имеют целью нарушение нормального процесса функционирования посредством целенаправленного воздействия на аппаратные, программные и информационные ресурсы. К активным угрозам относятся, например, разрушение или радиоэлектронное подавление линий связи, вывод из строя ПЭВМ или ее операционной системы, искажение сведений в базах данных или в системной информации в компьютерных технологиях и т.д. Источниками активных угроз могут быть непосредственные действия злоумышленников, программные вирусы и т.п.

К основным угрозам безопасности информации относят:

· раскрытие конфиденциальной информации;

· компрометация информации;

· несанкционированное использование информационных ресурсов;

· ошибочное использование информационных ресурсов;

· несанкционированный обмен информацией;

· отказ от информации;

· отказ в обслуживании.

Средствами реализации угрозы раскрытия конфиденциальной информации могут быть несанкционированный доступ к базам данных, прослушивание каналов и т.п. В любом случае получение информации, являющейся достоянием некоторого лица (группы лиц) другими лицами, наносит ее владельцам существенный ущерб.

Компрометация информации, как правило, реализуется посредством внесения несанкционированных изменений в базы данных, результате чего ее потребитель вынужден либо отказаться от нее, либо предпринимать дополнительные усилия для выявления изменений и восстановления истинных сведений. В случае использования скомпрометированной информации потребитель подвергается опасности принятия неверных решений со всеми вытекающими сюда последствиями.

Несанкционированное использование информационных ресурсов, с одной стороны, является средством раскрытия или компрометации информации, а с другой – имеет самостоятельное значение, поскольку, даже не касаясь пользовательской или системной информации, может нанести определенный ущерб абонентам и администрации. Этот ущерб может варьироваться в весьма широких пределах – от сокращения поступления финансовых средств до полного выхода АИТ из строя.

Ошибочное использование информационных ресурсов, будучи санкционированным, тем не менее, может привести к разрушению, раскрытию или компрометации указанных ресурсов. Данная угроза чаще всего является следствием ошибок, имеющихся в программном обеспечении АИТ.

Несанкционированный обмен информацией между абонентами может привести к получению одним из них сведений, доступ к которым ему запрещен, что по своим последствиям равносильно раскрытию содержания банковской информации.

Отказ от информации состоит в непризнании получателем или отправителем этой информации фактов ее получения или отправки. В условиях банковской деятельности это, в частности, позволяет одной из сторон расторгать заключенные финансовые соглашения «техническим» путем, формально не отказываясь от них и нанося тем самым второй стороне значительный ущерб.

Отказ в обслуживании представляет собой весьма существенную и распространенную угрозу, источником которой является сама АИТ. Подобный отказ особенно опасен в ситуациях, когда задержка с предоставлением ресурсов абоненту может привести к тяжелым для него последствиям. Так, отсутствие у пользователя данных, необходимых для принятия решения, в течение периода времени, когда это решение еще возможно эффективно реализовать, может стать причиной его нерациональных или даже антимонопольных действий.

Наиболее распространенными путями несанкционированного доступа к информации, сформулированными на основе анализа зарубежной печати, являются:

· перехват электронных излучений;

· принудительное электромагнитное облучение (подсветка) линий связи с целью получения паразитной модуляции несущей;

· применение подслушивающих устройств (закладок);

· дистанционное фотографирование;

· перехват акустических излучений и восстановление текста принтера;

· хищение носителей информации и документальных отходов;

· чтение остаточной информации в памяти системы после выполнения санкционированных запросов;

· копирование носителей информации с преодолением мер защиты;

· маскировка под зарегистрированного пользователя;

· мистификация (маскировка под запросы системы);

· использование программных ловушек;

· использование недостатков языков программирования и операционных систем;

· включение в библиотеки программ специальных блоков типа «Троянский конь»;

· незаконное подключение к аппаратуре и линиям связи;

· злоумышленный вывод из строя механизмов защиты;

· внедрение и использование компьютерных вирусов.

Особую опасность в настоящее время представляет проблема компьютерных вирусов, так как с учетом большого числа разновидностей вирусов надежной зашиты против них разработать не удается. Все остальные пути несанкционированного доступа поддаются надежной блокировке при правильно разработанной и реализуемой на практике системе обеспечения безопасности.

6. Автоматизированные информационные технологии в бухгалтерском учете

Этапы автоматизации бухгалтерского учета в России.

В мире существует более тысячи тиражируемых бухгалтерских пакетов различной мощности и стоимости, однако российские бухгалтеры и предприниматели предпочитают отечественные пакеты, как наиболее подходящие для условий переходной экономики и быстрой смены законодательных актов, регулирующих порядок бухгалтерского учета.

Автоматизация бухгалтерского учета в России происходила в несколько этапов. Первый этап разработки программ автоматизации бухгалтерского учета совпал по времени с перестройкой, когда в России появилась реальная потребность в программных продуктах такого типа для нужд малых предприятий и кооперативов, обслуживания временных трудовых коллективов и других новых субъектов бухгалтерского учета. Этот период характеризовался массовым ввозом в нашу страну персональных компьютеров, что в значительной степени обусловило выбор последних в качестве основной аппаратной платформы для бухгалтерских разработок. Большинство программ создавалось в виде АРМ (автоматизированных рабочих мест) и предназначалось для эксплуатации на автономных компьютерах. В это время были популярны первые бухгалтерские программы: «Финансы без проблем» («Хакерс Дизайн»), «Турбо-бухгалтер» («ДИЦ»), «Парус» («Парус»).

Второй этап был связан с развитием коммерческих структур и началом приватизации. Десятки тысяч создаваемых ТОО, АОЗТ и кооперативов нуждались в бухгалтерском учете. На волне всеобщей коммерциализации наблюдался бурный рост тиражируемых разработок, в значительной степени вытеснивших заказные. Энтузиастов-одиночек и временные трудовые коллективы сменили профессиональные группы специалистов, объединившихся в собственные компании, которые хотели получать прибыль с продаваемого тиража бухгалтерских программ. Именно тогда были образованы сегодняшние фирмы-лидеры: «1С», «Диасофт», «Омега», R-Style Software Lab.

Третий этап развития бухгалтерских систем характеризуется созданием интегрированных программных средств, объединяющих несколько предметных областей автоматизации.

Требования к бухгалтерской системе

Хорошие бухгалтерские системы вне зависимости от их масштаба, программно – аппаратной платформы и стоимости должны обеспечивать качественное ведение учета, быть надежными и удобными в эксплуатации.

Они должны безошибочно производить арифметические расчеты; обеспечивать подготовку, заполнение, проверку и распечатку первичных и отчетных документов произвольной формы; осуществлять безошибочный перенос данных из одной печатной формы в другую; производить накопление итогов и исчисление процентов произвольной степени сложности; обеспечивать обращение к данным и отчетам за прошлые периоды (вести архив).

В зависимости от особенностей учета на предприятии базы данных могут иметь раз личную структуру, но в обязательном порядке должны соответствовать структуре принятого плана счетов, задающего основные параметры настройки системы на конкретную учетную деятельность. Модули системы, обеспечивающие проведение расчетов, суммирование итогов и начисление процентов, должны использовать расчетные нормативы, которые приняты в текущее время.

Надежность системы в компьютерном плане означает защищенность ее от случайных сбоев и в некоторых случаях от умышленной порчи данных. Как известно, современные персональные компьютеры являются достаточно открытыми, поэтому нельзя достоверно гарантировать защиту чисто на физическом уровне. Важно, чтобы после сбоя разрушенную базу данных можно было легко восстановить, а работу системы возобновить в кратчайшие сроки.

Не менее важно, чтобы фирма – разработчик бухгалтерской программы имела значительный опыт работы и солидную репутацию. При выборе системы следует учитывать то обстоятельство, что в дальнейшем к продавцу придется неоднократно обращаться и за советом или консультацией, и за заменой устаревшей версии новой.

Элементы компьютерной системы

1. Аппаратные средства. К ним относятся: оборудование и устройства, из которых состоит компьютер, в частности центральный процессор, жесткий диск, устройство чтения CD-ROM, принтеры, сетевые карты и т.п.

2. Программные средства.

а) Системные программы. К этим программам, выполняющим общие функции, обычно относят операционные системы, системы управления базами данных (СУБД), и сервисные программы. Системные программы обычно разрабатывают поставщики аппаратных средств или фирмы, специализирующиеся в области программного обеспечения, и модифицируют с учетом индивидуальных требований.

б) Прикладные (пользовательские) программы – это наборы машинных команд для обработки данных, которые организация–пользователь разрабатывает самостоятельно или приобретает у внешнего поставщика.

3. Документация – описание системы и структуры управления применительно к вводу, обработке и выводу данных, обработке сообщений, логическим и другим командам.

4. Персонал – работники, которые управляют системой, проектируют ее и снабжают программами, эксплуатируют и контролируют систему обработки данных.

5. Данные – сведения о хозяйственных операциях и другая необходимая информация, которую вводят, хранят и обрабатывают в системе.

6. Процедуры контроля – Процедуры, обеспечивающие соответствующую запись операций, предупреждающие или регистрирующие ошибки.

Особенности компьютерной обработки данных

Способ обработки хозяйственных операций при ведении бухгалтерского учета оказывает существенное влияние на организационную структуру фирмы, а также на процедуры и методы внутреннего контроля. Компьютерная технология характеризуется рядом особенностей, которые следует учитывать при оценке условий и процедур контроля. Ниже приведены отличия компьютерной обработки данных от неавтоматизированной.

Единообразное выполнение операций. Компьютерная обработка предполагает использование одних и тех же команд при выполнении идентичных операций бухгалтерского учета, что практически исключает появлению случайных ошибок, обыкновенно присущих ручной обработке. Напротив, программные ошибки (или другие систематические ошибки в аппаратных либо программных средствах) приводят к неправильной обработке всех идентичных операций при одинаковых условиях.

Разделение функций. Компьютерная система может осуществить множество процедур внутреннего контроля, которые в неавтоматизированных системах выполняют разные специалисты. Такая ситуация оставляет специалистам, имеющим доступ к компьютеру, возможность вмешательства в другие функции. В итоге компьютерные системы могут потребовать введения дополнительных мер для поддержания контроля на необходимом уровне, который в неавтоматизированных системах достигается простым разделением функций. К подобным мерам может относится система паролей, которые предотвращают действия, не допустимые со стороны специалистов, имеющих доступ к информации об активах и учетных документах через терминал в диалоговом режиме.

Потенциальные возможности появления ошибок и неточностей. По сравнению с неавтоматизированными системами бухгалтерского учета компьютерные системы более открыты для несанкционированного доступа, включая лиц, осуществляющих контроль. Они также открыты для скрытого изменения данных и прямого или косвенного получения информации об активах. Чем меньше человек вмешивается в машинную обработку операций учета, тем ниже возможность выявления ошибок и неточностей. Ошибки, допущенные при разработке или корректировке прикладных программ, могут оставаться незамеченными на протяжении длительного периода.

Потенциальные возможности усиления контроля со стороны администрации. Компьютерные системы дают в руки администрации широкий набор аналитических средств, позволяющих оценивать и контролировать деятельность фирмы. Наличие дополнительного инструментария обеспечивает укрепление системы внутреннего контроля в целом и, таким образом, снижение риска его неэффективности. Кроме того, некоторые прикладные программы накапливают статистическую информацию о работе компьютера, которую можно использовать в целях контроля обработки операций бухгалтерского учета.

Инициирование выполнения операций в компьютере. Компьютерная система может выполнять некоторые операции автоматически, причем их санкционирование не обязательно документируется, как это делается в неавтоматизированных системах бухгалтерского учета, поскольку сам факт принятия такой системы в эксплуатацию администрацией предполагает в неявном виде наличие соответствующих санкций.

7. Автоматизированные информационные технологии в банковской деятельности

Банковская деятельность неразрывно связана с политическим и экономическим состоянием страны в целом. Парадокс последних лет функционирования банковской системы России заключается в том, что чем ниже падали общеэкономические показатели страны, тем более бурно шло развитие банковского сектора. Банковская сфера приносила самые высокие доходы. Банковские капиталы создавались на сравнительно простых операциях. Выдача краткосрочных кредитов в валюте при активном росте курса доллара обеспечивала беспроигрышный результат. Невозможность для населения защитить свои средства от инфляции давала приток сбережений физических лиц. Выгодными были валютно-обменные операции с населением. В этот период появилось много банков, увеличивалось число отделений и филиалов. Экстенсивное развитие банковской системы сопровождалось массовой закупкой компьютеров, сетевого оборудования, созданием автоматизированных информационных технологий.

В экономике страны и в сфере банковской деятельности переломным стал 1995 год. Снижение торговой активности, затоваривание привело к резкому спаду краткосрочных банковских кредитов. Стабилизация курса рубля уменьшила активность населения в отношении валютно-обменных операций. Начал разваливаться рынок межбанковских кредитов, уменьшаться банковская маржа из-за снижения доходности государственных ценных бумаг. Частные вкладчики в своем большинстве переориентировались на рублевые вклады, в результате у банков стали исчезать легкие способы получения прибыли. Однако время «тяжелых» инвестиционных способов увеличения прибыли, основанных на вложении в производство и другие долгосрочные проекты, еще не наступило. Именно в этот период банки беднеют, разоряются, новых возникает гораздо меньше. В банках ужесточается режим экономии, который отражается и на формировании систем автоматизации обработки банковской информации.

Поток привлекаемой в банки денежной массы существенно уменьшился. Это обстоятельство заставило банки искать новые формы привлечения средств и наиболее эффективные решения по размещению активов. Меняются подходы банков в решении кадровых проблем, возникает необходимость в специалистах-профессионалах с практическим опытом, организационными способностями, деловыми качествами, имеющих базовые знания в области экономики, финансово-кредитной деятельности, маркетинга, менеджмента, экономико-математических методов и моделирования, способных к аналитическому мышлению и системному подходу, умеющих работать в среде автоматизации банковских услуг.

В условиях возрастающей конкуренции в банковской сфере и постепенного отказа от экстенсивных способов получения прибыли особое значение для деятельности банков приобретает анализ рыночной ситуации, выбор альтернативных решений. В банковской сфере все активнее реализуются новые виды услуг, такие, как фондовые и карточные операции, учет вкладов населения, работа с драгоценностями, трастовые, ипотечные, торговые операции, инвестиционная деятельность, международные платежи и т.д. Многие банки предоставляют свои услуги по сети Internet, которая становится частью банковских технологий. Однако новые возможности банков порождают и новые проблемы.

Банковская сфера подвергается постоянным изменениям и развитию со стороны органов государственного управления, Центрального банка, законодательных структур. Следить за изменением на финансовых рынках и вовремя на них реагировать российским банкам становится все труднее. Это связано, прежде всего, с тем, что средства банковской автоматизации, как правило, отстают от последних требований, вызванных быстрым расширением сферы деятельности банков.

Уровень и сущность банковских технологий в России, сложившиеся традиции банковского дела пока не соответствуют международному уровню. На российском банковском рынке практически нет устоявшихся технологий, что является одной из причин отсутствия магистрального направления автоматизации. Освоение западных финансовых рынков, постепенное сближение с мировыми стандартами характерно для банковской деятельности России в настоящее время.

Переход на новый план счетов – это наиболее значительный шаг в банковской реформе, которая продолжается уже несколько лет. В 1991–1997 гг. в условиях постоянных изменений правил проведения и учета банковских операций создавались почти все действующие автоматизированные банковские системы (АБС).

Ряд особенностей развития российской банковской деятельности наряду с ужесточением контроля со стороны Центрального Банка создает для банковского бизнеса совершенно новые условия. Банки осваивают работу с новыми финансовыми инструментами, расширяют спектр оказываемых услуг, выходят на мировые рынки, реформируют бухгалтерский учет (приказ ЦБ РФ от 18 июля 1997 г. №02–263) и др. В результате этой деятельности отечественная банковская система становится ближе к мировым стандартам. В связи с переходом на новый план счетов наиболее важные изменения касаются правил ведения бухучета, плана и структуры счетов, разрядности счетов. По этим направлениям вносятся изменения в существующие АБС.

Переход на новый план счетов следует рассматривать как в программном, так и в бухгалтерском аспектах. Лишь часть работы по переходу поддается автоматизации. Не все сложности перехода решаются программным обеспечением, каким бы продуманным оно не было. Бухгалтерии банка предстоит тяжелая, кропотливая работа по правильной разноске средств в условиях отсутствия взаимно однозначного соответствия между старыми и новыми счетами, что заставляет в каждом отдельном случае выявлять происхождение средств на счете. Кроме того, возникают трудности перевода валютных счетов, счетов нерезидентов и многое другое.

Новые правила ведения бухгалтерского учета призваны разрешить ряд назревших проблем. К ним относятся:

• Повышение информативности основного вида отчетности (баланса) за счет более глубокой детализации аналитических счетов, увеличения числа балансовых счетов и их структурной перестройки.

• Стандартизация и сокращение основной финансовой от четности.

Вводимые правила бухгалтерского учета базируются на следующих принципах: непрерывной деятельности, постоянства правил учета, отражения доходов и расходов по кассовому методу, раздельного отражения активов и пассивов, отражения операций в день их проведения и др.

Перед банками и фирмами-разработчиками банковских систем стоят сложные задачи адаптации методов работы, технологий, программного обеспечения под новый план счетов и правила бухучета.

8. Автоматизированные информационные технологии формирования, обработки и представления данных в налоговой службе

Процесс управления экономикой любой страны связан с воздействием государства на различные сферы экономической жизни. Основными целями государственного воздействия являются: достижение устойчивого экономического роста в стране, обеспечение стабильности цен на товары и услуги, занятость трудоспособного населения, обеспечение высокого уровня жизни населения и т.д. Эти цели взаимосвязаны между собой и достичь их одновременно практически невозможно. Достижение сбалансированности в управлении экономикой и есть основа экономической политики государства. Одним из основных инструментов государственного регулирования является налоговая политика. Налоговая система РФ. представлена совокупностью налогов, сборов, пошлин и других платежей, взимаемых в установленном порядке с плательщиков – юридических и физических лиц на территории страны. Все налоги, сборы, пошлины и другие платежи поступают в бюджетную систему России, т.е. формируют денежные доходы государства. Государству собираемые средства нужны для выполнения принятых на себя социальной, оборонной, правоохранительной и других функций. При существовании СССР, платежи государственных предприятий не носили налогового характера. Осуществление рыночных преобразований в России привело к созданию налоговой службы, которая является государственным механизмом финансового воздействия на экономику через систему налогов и сборов. Система органов Государственной налоговой службы Российской Федерации включает в себя:

· центральный республиканский (Российской Федерации) орган государственного управления – Государственную налоговую службу РФ;

· государственные налоговые инспекции по республикам в составе Российской Федерации;

· государственные налоговые инспекции по краям, областям, автономным образованиям, районам, городам (за исключением городов районного подчинения);

· государственные налоговые инспекции районов в городах.

Государственная налоговая служба Российской Федерации входит в систему центральных органов государственного управления Российской Федерации и подчиняется Президенту Российской Федерации и Правительству Российской Федерации.

Основной задачей Государственной налоговой службы Российской Федерации является контроль за соблюдением законодательства о налогах, правильностью их исчисления, полнотой и своевременностью внесения в соответствующие бюджеты государственных налогов и других платежей, установленных законодательством.

Целью системы управления налогообложением является оптимальное и эффективное развитие экономики посредством воздействия субъекта управления на объекты управления. В рассматриваемой системе в качестве объектов управления выступают предприятия и организации различных форм собственности и население. Субъектом управления является государство в лице налоговой службы. Воздействие осуществляется через систему установленных законодательством налогов.

Эффективное функционирование налоговой системы возможно только при использовании передовых информационных технологий, базирующихся на современной компьютерной технике. С этой целью в органах налоговой службы создается автоматизированная информационная система, которая предназначена для автоматизации функций всех уровней налоговой службы по обеспечению сбора налогов и других обязательных платежей в бюджет и внебюджетные фонды, проведению комплексного оперативного анализа материалов по налогообложению, обеспечению органов управления и соответствующих уровней налоговых служб достоверной информацией.

Для создания автоматизированной информационной системы налоговой службы необходимо знать, какие функции свойственны каждому уровню и как осуществляется взаимодействие между этими уровнями. Система имеет иерархическую структуру, представленную на рис. 8.1.

Рис. 8.1. Структура системы органов Государственной налоговой службы РФ

Структура и состав системы управления налогообложением России соответствуют ее административно-территориальному делению. Налоговая служба построена таким образом, чтобы обеспечить единство целей, при котором отдельные системы управления одного уровня функционируют по единой схеме, решают одинаковый набор задач по заранее разработанной методологии и технологии обработки данных.

Первые уровни Государственной налоговой службы состоят из подразделений, осуществляющих методологическое руководство и контроль за налогообложением по видам налогов. Непосредственное взаимодействие с объектами управления, т.е. налогоплательщиками (как юридическими лицами – предприятиями и организациями, так и физическими лицами – населением) осуществляет 3-й уровень. Как показано на рис. 8.1, низовым уровнем являются налоговые инспекции районов, городов без районного деления и городских районов. Они осуществляют следующие функции:

· контроль за соблюдением законодательства о налогах и других платежах в бюджет;

· учет плательщиков налогов и платежей в бюджет;

· обеспечение правильности исчисления налогов и платежей и контроль за своевременностью их поступления в бюджет;

· проверка достоверности и контроль за своевременностью представления плательщиками бухгалтерской отчетности и расчетов, связанных с исчислением и уплатой налогов и платежей в бюджет;

· взаимодействие с органами исполнительной власти, правоохранительными, финансовыми и кредитными органами в части контроля за правильностью реализации и исполнения законодательства;

· наложение финансовых санкций, предусмотренных законодательством за его нарушение, и обеспечение правильности их применения;

· составление, анализ и представление в районные и городские финансовые органы сведений о фактически поступивших суммах налогов и платежей в бюджет;

· составление, анализ и представление вышестоящим государственным налоговым органам установленной отчетности;

· ведение в установленном порядке делопроизводства и другие функции.

Для осуществления всех указанных функций в системе управления органами Госналогслужбы РФ создана автоматизированная информационная система «Налог».

Автоматизированная информационная система (AИС) «Налог» представляет собой форму организационного управления органами госналогслужбы на базе новых средств и методов обработки данных, использования новых информационных технологий. АИС «Налог» позволяет расширить круг решаемых задач, повысить аналитичность, обоснованность и своевременность принимаемых решений, снизить трудоемкость и рационализировать управленческую деятельность налоговых органов путем применения экономико-математических методов, вычислительной техники и средств связи, упорядочения информационных потоков. Цели функционирования автоматизированной информационной системы «Налог» можно сформулировать следующим образом:

· Повышение эффективности функционирования системы налогообложения за счет оперативности и повышения качества принимаемых решений.

· Совершенствование оперативности работы и повышение производительности труда налоговых инспекторов.

· Обеспечение налоговых инспекций всех уровней полной и своевременной информацией о налоговом законодательстве.

· Повышение достоверности данных по учету налогоплательщиков и эффективности контроля за соблюдением налогового законодательства.

· Улучшение качества и оперативности бухгалтерского учета.

· Получение данных о поступлении налогов и других платежей в бюджет.

· Анализ динамики поступления сумм налогов и возможность прогноза этой динамики.

· Информирование администрации различных уровней о поступлении налогов и соблюдении налогового законодательства.

· Сокращение объема бумажного документооборота.

На современном этапе развития экономики страны успех деятельности налоговой системы России во многом зависит от эффективности функционирования АИС. Автоматизированные информационные системы реализуют соответствующие информационные технологии. Автоматизированная информационная технология (АИТ) в налоговой системе – это совокупность методов, информационных процессов и программно-технических средств, объединенных в технологическую цепочку, обеспечивающую сбор, обработку, хранение, распространение и отображение информации с целью снижения трудоемкости процессов использования информационного ресурса, а также повышения их надежности и оперативности. Информационными ресурсами являются формализованные идеи и знания, различные данные, методы и средства их накопления, хранения и обмена между источниками и потребителями информации.

Одной из приоритетных задач налоговой службы является информатизация налоговых органов, предполагаются использование информационных технологий, создание информационных систем, эффективно поддерживающих функционирование структуры налоговых органов.

Структура АИС налоговой службы, как и структура самих налоговых органов, является многоуровневой. Существующая в стране система налоговой службы состоит из большого числа элементов. Вся система и каждый ее элемент обладают обширными внутренними и внешними связями. Для нормального функционирования системы осуществляется управление как отдельными элементами (налоговыми инспекциями), так и системой в целом. В налоговой системе процесс управления является процессом информационным. Как любая экономическая система, АИС налоговой службы имеет стандартный состав и состоит из функциональной и обеспечивающей частей.

Функциональная часть отражает предметную область, содержательную направленность АИС. В зависимости от функций, выполняемых налоговыми органами, в функциональной части выделяются подсистемы, состав которых для каждого уровня АИС «Налог» свой (см. п. 8.2). Функциональные подсистемы состоят из комплексов задач, характеризующихся определенным экономическим содержанием, достижением конкретной цели, которую должна обеспечить функция управления. В комплексе задач используются различные первичные документы и составляется ряд выходных документов на основе взаимосвязанных алгоритмов расчетов. Алгоритмы расчетов базируются на методических материалах, нормативных документах и инструкциях. В состав каждого комплекса входят отдельные задачи. Задача характеризуется логически взаимосвязанными выходными документами, получаемыми на основе единых исходных данных.

Обеспечивающая часть включает информационное, техническое, программное и другие виды обеспечения, характерные для любой автоматизированной информационной системы организационного типа.

Информационное обеспечение включает весь набор показателей, документов, классификаторов, кодов, методов их применения в системе налоговых органов, а также информационные массивы данных на машинных носителях, используемые в процессе автоматизации решения функциональных задач.

Техническое обеспечение представляет собой совокупность технических средств обработки информации, основу которых составляют различные ЭВМ, а также средств, позволяющих передавать информацию между различными автоматизированными рабочими местами как внутри налоговых органов, так и при их взаимодействии с другими экономическими объектами и системами.

Программное обеспечение представляет собой комплекс разнообразных программных средств общего и прикладного характера, необходимый для выполнения различных задач, решаемых налоговыми органами.

Автоматизированная информационная система налоговой службы относится к классу больших систем. К ней, как и к любой подобной системе такого класса, предъявляется ряд требований: достижение целей создания системы; совместимость всех элементов данной системы как в ее рамках, так и с другими системами, системность, декомпозиция и др. Эти требования предполагают возможность модернизации элементов системы, адаптацию их к меняющимся условиям; надежность в эксплуатации и достоверность информации, однократность ввода исходной информации и многофункциональное, многоплановое использование выходной информации; актуальность информации, хранящейся в базе данных. АИС при минимальных затратах ручного труда должна обеспечить сбор, обработку и анализ информации о состоянии объекта управления, выработку управляющих воздействий, обмен информацией как внутри системы, так и между другими системами одинакового и разных уровней. АИС должна быть оснащена таким комплексом технических средств, который обеспечивал бы реализацию управляющих алгоритмов, связь между системами, простоту ввода исходной информации, разнообразие вывода результатов обработки, простоту и технологичность технического обслуживания, совместимость всех технических модулей как в программном, так и в информационном аспекте. Существенным требованием является разработка и функционирование системы на базе имеющихся операционных систем различных типов, пакетов прикладных программ, ориентированных на обработку данных и решение функциональных задач, систем управления базами данных, обеспечивающих накопление, ведение и выдачу в обработку информации, необходимой для решения задачи пользователем или удовлетворения его информационного запроса, пакетов программ, обеспечивающих обмен информацией между системами и тд. В информационном аспекте система должна предоставлять достаточную и полную информацию для реализации ее основных функций, иметь рациональные системы кодирования, использовать общие классификаторы информации, иметь хорошо организованные информационные файлы и базы данных, управляемые СУБД, формировать выходную информацию в форме, удобной для восприятия пользователями, и т.д.

Создание подобной системы связано с решением целого ряда проблем. Это, прежде всего, информационное объединение налоговых служб сетями телекоммуникаций и обеспечение возможности доступа к информационным ресурсам каждой из них; разработка, создание и ведение баз данных; оснащение налоговых органов вычислительными комплексами с развитой периферией; разработка программных средств, обеспечивающих решение функциональных задач системы. В основе создания АИС «Налог» лежит концепция жизненного цикла программных систем. На первом этапе осуществляются анализ предметной области и разработка постановки задачи или комплекса задач. Постановка задачи осуществляется при непосредственном участии специалистов налоговой службы, чьи функции подлежат автоматизации. Сущность этого этапа состоит в обследовании организационной и функциональной структуры налогового органа и разработки технического задания, для чего используются методы информационного анализа, исследования операций, теории сложных систем. На основе технического задания разрабатывается технический проект автоматизированной системы. Целью данной стадии является создание информационно-логических моделей системы налогообложения. Важнейшей частью создания технического проекта является выбор программных средств и методов реализации проекта. В качестве критериев выбора можно назвать следующие: оптимальное соответствие информационно-логической модели налогового органа, выполнение основных функций обработки, возможность функционирования в различных операционных средах, возможность создания информационного интерфейса с другими средами и системами, перспективы развития среды с учетом современных тенденций в информационных технологиях и ряд других. Для реализации отдельных несложных задач могут быть использованы электронные таблицы. Существенное место в проекте занимают информационно-справочные системы, такие, как законодательные и нормативные акты по налогообложению, базы данных по общеправовым вопросам, базы данных по инструктивным и методическим материалам и т.д. Без их использования не обходится ни одно структурное подразделение налоговых органов. К системам, поддерживающим эти базы данных, можно отнести «КонсультантПлюс», «Гарант», «Юсис» и другие подобные системы. Важным шагом на этапе технического проектирования является определение состава и структуры профессиональных баз данных, функциональный и информационный состав которых зависит от функций конкретного исполнителя. К ним можно отнести базы исходных и отчетных данных по налоговым поступлениям в различных разрезах, базы данных документов внутреннего пользования различного назначения, базы данных, содержащих письма, предложения, ответы по налоговому законодательству и т.д. Для создания таких баз могут использоваться как методы индивидуального проектирования, так и уже имеющиеся программные средства. Следующим этапом является рабочее проектирование. На этом этапе выполняются работы по созданию необходимой документации, структурированию и программированию компонентов, определенных на предыдущем этапе. Результатом рабочего проекта служит комплекс АРМ специалистов налоговых органов, комплекс баз данных пользователей, комплекс технической документации на систему. Средства, используемые на этапе рабочего проектирования, включают в себя всё многообразие программных продуктов начиная от операционных систем до языков программирования. По окончании рабочего проектирования проводится внедрение разработанного проекта. Внедрение осуществляется по методике, содержащей перечень и последовательность мероприятий, связанных с внедрением АИС, ожидаемые результаты, критические точки отказов, критические временные периоды. В соответствии с методикой внедрения подготавливаются исходные данные для внедрения. Контрольный пример отражает реальные информационные совокупности и содержит всевозможные варианты и сочетания информационных условий каждой функциональной задачи для выявления наибольшего числа отказов. Особое внимание должно быть уделено узким местам в технологическом процессе обработки информации. По результатам внедрения составляется акт, в котором содержатся оценка полученного результата и перечень замечаний, подлежащих устранению. После устранения недостатков составляется протокол о приемке проекта и процесс проектирования заканчивается.

В процессе эксплуатации системы необходимо осуществлять сопровождение проекта. Это связано с тем, что проект по существу является прототипом проектируемой системы, разрабатывается специалистами по информатизации и в дальнейшем может быть модернизирован в зависимости от изменяющихся условий функционирования системы налоговой службы.

9. Автоматизированные информационные технологии в казначействе

Система автоматизации казначейства позволяет управлять денежным потоком и ликвидностью компании, ее кредитными и финансовыми рисками. Предприятиям, которых заботит вопрос эффективного использования временно свободных денежных средств, система автоматизации казначейства дает возможность осуществления операций на финансовых рынках. Однако пока далеко не каждая компания готова к внедрению такой системы.

По словам Владимира Козинца, ведущего специалиста по казначейским операциям и финансовому анализу ИФД «КапиталЪ», один из самых серьезных вопросов, который возникает при формировании в компании подразделений казначейского блока, – это автоматизация работы. От решения этого вопроса зависит дальнейшая эффективность работы казначейства.

Перечень взаимосвязанных компонентов (модулей) современной системы автоматизации казначейства (далее – САК) можно представить следующим образом (см. рисунок). У большинства российских и зарубежных компаний инструментами автоматизации казначейской деятельности являются электронные таблицы (MS Excel) или табличные базы данных (MS Access), нагруженные перекрестными связями и макросами, интегрированные с системами бухгалтерского учета, а также программами «банк – клиент».

Результаты опроса, проведенного среди 406 крупных и средних европейских компаний, свидетельствуют об аналогичном положении дел и в зарубежных компаниях (см. табл. 1).

Электронные таблицы обладают рядом преимуществ:

простота формирования и использования;

возможность управления несколькими таблицами или базами;

возможность создания системы связей между файлами, в том числе находящимися на разных серверах;

низкая стоимость лицензии (или вообще ее отсутствие при использовании нелицензионных продуктов).

Электронные таблицы применяются в компаниях, где казначейство не выделено как элемент организационно-функциональной структуры или недавно организовано, а также в качестве основного инструмента казначейского управления в небольших компаниях. Кроме того, они применяются в средних и крупных фирмах в качестве вспомогательного, связующего или консолидирующего инструмента. Например, в «Магнезит Огнеупор Групп», где модули системы SAP R/3 установлены не во всех бизнес-единицах, консолидация оперативной информации для казначейства управляющей компании осуществляется в формате MS Excel.

Модели управления, построенные на базе электронных таблиц, являются отличным примером технического задания, демонстрирующего связи и расчеты казначейской модели, на базе которого в дальнейшем можно вести разработку специального программного обеспечения. Таблица 2 отражает инструменты реализации функций казначейства «Магнезит Огнеупор Групп» и перспективы их развития на 2005–2007 годы.

В то же время MS Excel, Lotus и MS Access, используемые в роли САК, имеют свои недостатки:

возможность потери информации;

вероятность возникновения ошибок в файлах;

трудности передачи данных и их совместного использования;

высокая вероятность двойного ввода информации;

значительные объемы файлов и сложности, связанные с недостатком мощности персональных компьютеров при их обработке;

низкий уровень информационной защиты.

Необходимость полного или частичного перехода от электронных таблиц и баз данных к специализированной системе возникает, когда существующая система перестает справляться с поставленными задачами. Как правило, это происходит из-за увеличения объема казначейских операций, роста числа бизнес-единиц группы, количества и периодичности предоставляемой информации, повышения детализации отчетов, подаваемых руководству, кредиторам (в том числе банкам), государственным органам, инвесторам. Переходу на специализированную САК способствует также существенный уровень внешней задолженности, в особенности краткосрочной, в пассиве баланса, поскольку он мотивирует управлять оборотным капиталом компании (в том числе денежными средствами) более эффективно.

Таблица 1. Использование автоматизированных систем в работе казначейства

Функция	Электронные таблицы и БД, %	Собственные системы, %	Системы сторонних разработчиков, %	Прочие способы, %	Итого, %
Планирование ДДС	79	13	6	2	100
Управление кредитным портфелем	61	12	23	4	100
Сбор информации о движениях и остатках по счетам	54	10	34	2	100
Сверка оборотов и данных на конец периода	51	14	28	7	100
Конверсионные операции	36	5	49	10	100
Создание бухгалтерских проводок (факт движения по 50-м счетам)	29	34	30	7	100
Осуществление платежей	5	25	67	3	100

Среди разработок зарубежных производителей информационных систем в настоящее время существует более 50 специализированных программных продуктов и приложений. При выборе САК для ЗАО «МОГ» рассматривались следующие системы:

CF/CashandTreasuryMaster (разработчик XRT– Cerg).

SAPR/3, модуль Treasury (разработчик SAPAG).

System 10 (разработчик TietoEnator Financial Solutions).

Integra-T.com (разработчик Integrity Treasury Solutions plc).

Treasury Support Center (разработчик Nordic Financial Systems).

AvantGard (разработчик SunGuard Treasury Systems).

Quantum (разработчик SunGuard Treasury Systems).

Millennium (разработчик Richmond Software).

Основным ограничением для внедрения зарубежных программных продуктов является относительная дороговизна лицензии и поддержки (например, первоначальные затраты на закупку лицензий SAP R/3, в том числе и модуля «Казначейство», на 10 человек составляют около 35 тыс. долл. США, а периодические затраты на годовое обслуживание – около 6 тыс. долл. США). Помимо этого определенные препятствия возникают обычно по причине архаичности систем «банк – клиент» многих российских банков, делающей невозможным обмен информацией с САК, а также из-за неподготовленности общей системы организации бизнеса большинства отечественных компаний (особенно в части организации закупок, логистики и организации системы продаж) для внедрения специализированной системы по управлению денежными средствами.

Качественных стандартизированных российских систем управления функциями казначейства в настоящий момент не существует. Некоторые разработчики предлагают программы, автоматизирующие лишь определенные функции казначейского управления. Примерами могут служить «Система финансового мониторинга» компании Ramax International (основная специализация – сбор оперативной информации об остатках денежных средств в банках для холдинга с большим количеством бизнес-единиц и обслуживающих банков), а также «1С: Бухгалтерия», которую при доработке и установке связей с системами «банк – клиент» можно использовать в качестве платежного календаря. Кроме того, существуют данные о том, что многие крупные российские компании размещали заказ на разработку и внедрение САК «под себя», однако информации об эффекте применения таких систем в открытом доступе недостаточно.

Проект автоматизации казначейства часто осуществляется в рамках сотрудничества с консалтинговой компанией. Ее роль заключается в оптимизации процессов казначейского управления, а также контроле соответствия функциональности программного обеспечения требованиям пользователей.
Этап 1. Обеспечение актуальных данных

Автоматизацию казначейских функций следует начинать с обеспечения актуальных данных о перечне обслуживающих банков и расчетных счетов в этих банках, то есть с создания и последующего обновления базы данных счетов компании. Примерная форма сводной таблицы счетов представлена в табл. 3.

Этап 2. Сбор значений по счетам учета денежных средств

Следующим шагом является организация сбора системой значений по счетам учета денежных средств (50-м счетам) на начало операционного дня, а именно:

балансов банковских счетов и кассы на начало операционного дня (конец предыдущего банковского дня);

денежного выражения расчетных векселей;

денежных средств в пути (по расчетам между компаниями группы).

На уровне бизнес-единиц (филиалов) компании эту информацию имеет смысл обновлять после каждого сеанса связи с системой «банк – клиент» либо через протоколы связи, если существует web-версия этой системы. Формат отчета об остатке денежных средств представлен в табл. 4.

Формат отчета об остатке расчетных векселей (в том числе векселей банков) также может быть сформирован на уровне бизнес-единиц (филиалов) компании, но в этом случае, к сожалению, информацию придется вводить вручную. На уровне центрального казначейства данная информация может быть консолидирована путем копирования данных в установленном формате с серверов компаний группы на сервер головной компании.

Для обеспечения своевременного занесения информации в систему следует разработать регламент ежедневного обновления форм оперативной отчетности, а также наладить систему контроля исполнения положений регламента в срок. Кроме того, один – три раза в месяц следует проверять корректность предоставляемой информации, сверяя ее с банковскими выписками и выпиской из журнала учета векселей.

По факту разнесения выписки и сопоставления полученных и списанных денежных средств с соответствующими данными об элементах кредиторской задолженности к оплате и дебиторской задолженности к получению формируется отчет о запланированных, но не исполненных в срок обязательствах по дебиторской и кредиторской задолженностям.

Этап 3. Создание системы операционного финансового планирования

После организации сбора значений по счетам денежных средств формируется платежный календарь, то есть система операционного финансового планирования. В упрощенном варианте она состоит из двух частей:

1. Календарь очередности платежей и поступлений (кредиторской и дебиторской задолженностей к погашению), запланированный по датам в рамках учетного периода (обычно это календарный месяц) (см. табл. 5). Этот календарь может заполняться вручную специалистами казначейства на основании входящих первичных документов. Для того чтобы данные в этот отчет попадали автома – тически, необходимо иметь ERP-систему, учитывающую все текущие и вновь регистрируемые договоры купли-продажи товаров и услуг компании, в соответствии с условиями которых (поставка продукции и услуги, предоплата полная или частичная) данные о платежах попадают в график. В этом случае единственным источником ввода информации об условиях платежа в систему является департамент компании, инициировавший договор.

2. Консолидированный платежный календарь по видам деятельности и датам (см. табл. 6, перечень статей отчета о движении денежных средств максимально укрупнен). Консолидированный платежный календарь по видам деятельности и датам составляется автоматически на основании календаря очередности платежей. Код статьи управленческого отчета о движении денежных средств (прямой метод) связывает операционные планы по движению денежных средств с утвержденным бюджетом на плановый период.

В рамках консолидированного календаря казначейство получает доступ к информации об объемах платежей по той или иной статье, необходимости внешнего финансирования для обеспечения ликвидности платежного календаря, а также о необходимости краткосрочных финансовых инвестиций или целесообразности погашения части внешнего долга.

Этап 4. Систематизация информации о внешнем долге

Оперативная информация о состоянии внешнего долга и его динамике систематизируется в соответствии с данными платежного календаря на операционный период. Информация, составляющая данный модуль, должна содержать:

ключевые даты погашения обязательств по основным суммам внешнего финансирования и обязательств по начисленным процентам;

объемы текущих доступных лимитов внешнего финансирования;

состояние активов, на которые может быть возложено обременение в виде залога при получении внешнего финансирования;

перечень компаний, способных выступить в роли поручителя по договорам привлечения внешнего финансирования, и объем покрытия данных поручительств.

Этап 5. Создание системы управления рисками

Выделим три основных типа рисков, которыми можно управлять с помощью САК: кредитный, валютный и процентный (риск изменения процентных ставок). Управление кредитным риском в САК обычно сводится к комплексу расчетов по выставлению лимитов1 на контрагентов: на поставщиков – на уровне максимально допустимого размера предоплаты и срока, на который предоставляется предоплата, а на потребителей конечной продукции – на уровне максимально допустимого размера дебиторской задолженности и среднего срока оборачиваемости дебиторской задолженности в днях. Эффективная система оценки кредитного риска должна ежедневно рассчитывать объемы денежных поступлений и платежей, а также объемы отгрузки готовой продукции с тем, чтобы оперативно реагировать на возможные превышения лимитов. Что касается валютных и процентных рисков, то САК должна позволять моделировать изменения в запланированном денежном потоке в зависимости от прогнозов процентных ставок по кредитам (преимущественно краткосрочным, так как долгосрочные, как правило, зафиксированы на период кредитного договора), а также по колебаниям основных валют, используемых компанией. Кроме того, автоматизированная система существенно облегчает задачу сотрудников казначейства по определению эффективной ставки привлечения денежных средств в зависимости от валюты привлечения и изменения курсов валют в будущем.

Этап 6. Установление связи с финансовыми рынками

Таблица 5. Очередность платежей и поступлений

Дата	Сумма (руб.)	Баланс	Название контрагента	№ счета/ описание	№ договора	Ответственный департамент	Статья БДДС	Название статьи БДДС
Входящее сальдо
…

Таблица 6. Консолидированный платежный календарь

№ счета	Статья	Расчетные счета	Касса	Векселя сторонние	Векселя собственные	Итого денежный поток
Сальдо на начало периода
Поступления по операционной деятельности
Реализация продукции, товаров и услуг (компании группы)
Реализация товаров и услуг сторонним контрагентам
Авансы от покупателей и заказчиков
Прочие виды поступлений
Платежи по операционной деятельности
Платежи предприятиям (компании группы)
Платежи сторонним контрагентам
Заработная плата и другие выплаты персоналу
Проценты по займам
Налоги и сборы
Итого сальдо по текущей деятельности
Поступления по инвестиционной деятельности
Поступления (компании группы)
Поступления от сторонних контрагентов
Платежи по инвестиционной деятельности
Платежи (компании группы)
Платежи сторонним контрагентам
Итого сальдо по инвестиционной деятельности
Поступления по финансовой деятельности
Поступления (компании группы)
Поступления от сторонних контрагентов
Платежи по финансовой деятельности
Платежи (компании группы)
Платежи сторонним контрагентам
Итого сальдо по финансовой деятельности
Переводы в пути
Операции с векселями
Корректировка
Сальдо на конец периода
Курсовые разницы

С помощью специализированной САК финансовый менеджер или казначей могут осуществлять операции на финансовых рынках, к примеру конверсионные операции на открытом рынке либо торговые операции на рынке акций, облигаций, производных и прочих финансовых инструментов. Целесообразность подобных функций в САК определяется объемом и частотой таких операций, необходимыми компании, а также профессионализмом сотрудников и разницей между стоимостью комиссии непосредственного участника рынка и стоимостью комиссии, предлагаемой посредником, например обслуживающим банком. Если в результате проведенного сравнительного анализа менеджмент компании считает целесообразным проведение операций непосредственно с рабочего места сотрудника компании, имеет смысл оформить договор информационного обслуживания с соответствующей торговой системой и установить собственный портал для проведения операций, для удобства связанный с САК. При проведении операций на открытом рынке через обслуживающий банк данная функциональность обычно не используется. В зарубежной практике существует компромиссный вариант, когда программное обеспечение обслуживающего банка синхронизируется с САК и позволяет получать информацию о ходе торгов на определенном рынке в режиме онлайн, а также размещать заявки на проведение операции, которые будут исполнены дилером банка. Комиссия за проведение таких операций обычно фиксируется в соглашении о тарифах с обслуживающим банком.

10. Автоматизированные информационные технологии в страховой деятельности

Страхование – система экономических отношений, предназначенная для преодоления и возмещения разного рода потерь, ущерба в результате непредвиденных случайностей.
Многовековой опыт страхования убедительно доказал, что оно является мощным фактором положительного воздействия на экономику.
Страхование включает совокупность форм и методов формирования целевых фондов денежных средств и их использование на возмещение ущерба при непредвиденных рисках, а также на оказание помощи гражданам при наступлении определённых событий в их жизни.
Страховая компания – определённая общественная форма функционирования страхового фонда, представляющая собой обособленную структуру, осуществляющую заключение договоров страхования и их обслуживание. Страховой компании свойственны технико-организационное единство и экономическая обособленность её ресурсов, их самостоятельный полный оборот.

Страховой рынок – особая социально-экономическая среда, определённая сфера экономических отношений, где объектом купли-продажи выступает страховая защита, формируются спрос и предложение на неё. Страховой рынок это и поле активных информационных связей, где информационные потоки обеспечивают реализацию управленческих решений по всем ключевым вопросам его деятельности.По происхождению и содержанию страхование имеет черты, соединяющие его с категориями «финансы» и «кредит» (перераспределение денежного фонда, возвратность полученной ссуды) и в то же время принципиальные отличия от финансов и кредита, характерные только для него функции.

Функции страхования и его содержание органически связаны.

К числу важнейших функций относятся:

— формирование специализированного страхового фонда денежных средств,

— возмещение ущерба и личное материальное обеспечение граждан,

— предупреждение страхового случая и минимизация ущерба.

Автоматизированные информационные технологии деятельности страховой компании направлены на внедрение систем, охватывающих все основные элементы технологического процесса и гарантирующих полную безопасность данных на всех этапах обработки информации. Реализация автоматизированной информационной системы страховой компании заключается в автоматизации решения задач страховой, финансовой, бухгалтерской и других видов деятельности.

Полная технология страхования предусматривает обработку больших и взаимосвязанных массивов данных:

— договоров страхования и перестрахования,

– страховых полисов,

— брокерских договоров,

– платёжных поручений,

– актов о страховых случаях и т.д.

Накопление и обработка информации происходит в различных подразделениях и службах страховой компании: бухгалтерии, отделах – финансово-экономическом, владельцев полисов, выплат, перестрахования, кадров, агентствах и пр.

Переход к автоматизированным информационным технологиям сопровождается изменением характера и качества управления, аналитическая работа менеджеров становится главной, формирует у них новые представления и приоритеты, превращает информацию в один из ключевых и реально доступных ресурсов компании, а дальнейшее развитие автоматизированных информационных технологий – в важный элемент её стратегии.

Страхование является одним из самых информационно насыщенных и информационно зависимых видов бизнеса.

Внедрение информационных технологий в процесс планирования и управления деятельностью страховых компаний предусматривает не только обработку больших и взаимосвязанных массивов данных, но может использоваться также для их анализа и обоснований вариантов управленческих решений. При этом важную роль играют учёт разнообразных сведений о секторах экономики, регионе, фирме и других хозяйствующих субъектах, а также учёт финансовых, трудовых и материальных ресурсов.

С внедрением вычислительной техники в страховую деятельность страховые задачи стали обрабатываться с использованием всего многообразия технических средств.

Автоматизация задач страхового дела зависит в первую очередь от изменения форм взаимодействия машины и пользователя.

Широкое использование распределённых вычислительных систем в страховом деле предопределили характер самих прикладных задач и организацию их решения. Сотрудники, отделы, филиалы страховой компании, отдельные потребители информации (агенты, брокеры), как правило, рассредоточены по некоторой территории. Эти пользователи достаточно автономно решают свои задачи, поэтому заинтересованы в использовании собственных вычислительных ресурсов. Однако решаемые ими задачи тесно взаимосвязаны, поэтому их вычислительные средства должны быть объединены в единую систему. Адекватным решением в такой ситуации является лишь использование вычислительных сетей (локальных, открытых, глобальных).

Очевидное преимущество распределённых систем – принципиально более высокая надёжность, необходимая избыточность информации.

Использование вычислительных сетей в страховой деятельности приводит к повышению эффективности работы за счёт сокращения сроков обработки информации, увеличения аналитических возможностей, что выражается, прежде всего, в увеличении прибыли компании. Именно благодаря внедрению автоматизированных информационных систем и технологий в страховое дело обеспечивается повышение конкурентоспособности страховых услуг, увеличивается доля компании на страховом рынке.

Получая лёгкий и более полный доступ к информации, сотрудники принимают обоснованные решения за счёт высокой степени её достоверности и оперативности, наличие сети уменьшает потребность страховой компании в других формах передачи информации, таких, как телефон или обычная почта. Таким образом достигается не только обоснованность выводов, повышение точности, достоверности результатов, но и уменьшение временных, трудовых и стоимостных затрат на принятие решений, улучшается обслуживание клиентов страховых компаний.
Наконец, сети предоставляют страховой компании свободу в выборе мест территориального расположения её филиалов, т.е. позволяют компаниям располагать не только филиалы, но и рабочие места страховщиков и специалистов там, где они наиболее эффективны для выполнения страховых операций.

Информационное пространство фирмы, предоставляемое автоматизированной информационной системой обработки данных, подразделяется на составляющие его объекты:

Центральный офис фирмы, или головная организация – имеет одну или несколько высокоскоростных локальных вычислительных сетей (ЛВС), объединённых друг с другом через высокопроизводительные мосты или маршрутизаторы. ЛВС можно рассматривать как информационный центр всей компании.

Региональные офисы страховой компании (филиалы) – масштабные организации, нередко оснащённые собственными крупными ЛВС и мощными вычислительными системами, имеющими гарантированно надёжную и достаточно скоростную связь.

Отделения страховой компании – имеют обычно небольшую локальную сеть, включающую несколько персональных компьютеров.

Представительства или агентства страховой компании – чаще всего оснащаются одним, реже несколькими компьютерами.

Удалённые пользователи сети – инспекторы, агенты страховой компании, проверяющие, т.е. сотрудники, которые по долгу службы проводят рабочий день не в собственном офисе – пользуются переносным компьютером (notebook) с модемом.

Информационные технологии изменяют и будут менять характер деятельности страховых корпораций. Очевидные изменения коснутся формирования автоматизированной, информационной среды. Поступление информации станет процессом, управляемым самим пользователем, благодаря возможности выбора необходимого интерактивного канала. Развитие средств коммуникации обеспечивает возможность общения с любым абонентом страхового процесса в любой точке земного шара при помощи цифровых средств передачи данных и видеоизображений, делает реальными перспективы внедрения электронного страхования.

В условиях электронного страхования станут иными структура и условия страхования. Страховые компании, специализирующиеся на определённом виде страхования, смогут работать не менее успешно, чем универсальные страховые корпорации, поскольку залогом эффективного бизнеса будет его мощная информационная поддержка.

Основой информационных коммуникаций будущего являются информационные магистрали. Сеть Интернет уже представляет собой некоторый прообраз информационной супермагистрали. Перемещение сферы деловой активности человека в так называемое киберпространство приведёт к изменению самого назначения персонального компьютера. Из вспомогательного инструмента он превратится в полномочного представителя, клиента страховой компании.

Очевидно, что для успешного формирования единого информационного пространства страховой деятельности необходима совместимость различных супермагистралей. Один из возможных подходов к этому – стандартизация электронного взаимодействия.

1.           
Методы
обеспечения информационной безопасности автоматизированных систем (основные
понятия, угрозы).

Основные
понятия:

•          
Политика
безопасности
(Security Policy). Совокупность норм и правил, обеспечивающих эффективную
защиту системы обработки информации от заданного множества угроз безопасности.

•          
Модель
безопасности
(Security Model). Формальное представление политики безопасности

•          
Дискреционное,
или произвольное управление доступом (Discretionery Access Control). Управление доступом,
осуществляемое на основании заданного администратором множества разрешенных
отношений доступа (например, в виде “троек” – <объект, субъект,
тип доступа>).

·              
Мандатное,
или нормативное, управление доступом (Mandatory Access Control). Управление доступом
основанное на совокупности правил предоставления доступа, определенных на
множестве атрибутов безопасности субъектов и объектов, например, в зависимости
от грифа секретности информации и уровня доступа пользователя.

·              
Ядро безопасности (Trusted Computing Base (ТСВ)). Совокупность аппаратных,
программных и специальных компонент ВС, реализующих функции защиты и
обеспечения безопасности.

·              
Идентификация
(Identification).
Процесс распознания сущностей путем присвоения им уникальных меток
(идентификаторов).

·              
Аутентификация (Autentification).
Проверка подлинности предъявленных идентификаторов сущностей.

·              
Адекватность (Assurance). Показатель
реально обеспечиваемого уровня безопасности, отражающий степень эффективности и
надежности реализованных средств защиты и их соответствия поставленным задачам
(в основном политике безопасности).

·              
Квалификационный
анализ, квалификация уровня безопасности (Evaluation). Анализ системы с
целью определения уровня ее защищенности и соответствия требованиям
безопасности на основе критериев стандарта безопасности.

•               
Прямое
взаимодействие
(Trusted Path). Принцип организации информационного взаимодействие (как
правило, между пользователем и системой), гарантирующий, что передаваемая
информация не подвергается перехвату или искажению.

Угрозы:

• Угроза безопасности
вычислительной системе –
воздействия на систему, которые прямо или косвенно могут нанести ущерб ее
безопасности.

Виды угроз

• Конфиденциальности;

• Целостности;

• Доступности.

Угрозы безопасности КС

Цель защиты АС – противодействие
угрозам безопасности

2.            
Методы обеспечения информационной
безопасности автоматизированных систем (методы взлома, защита от взлома).

Методы взлома АС

• Атаки на уровне:

– ОС;

– Сетевого ПО;

– СУБД.

Атаки на уровне ОС

• Структура ОС сложна ->
защитить сложно.

• Эффективны не только сложные виды
атак.

• Успех атаки зависит от
архитектуры и конфигурации ОС.

• Кража пароля

– подглядывание за пользователем;

– из файла на компьютере;

– записан возле рабочего места;

– кража носителя;

– атака с перебором.

• Сканирование жесткого диска

• Сборка мусора

• Превышение полномочий

– Запуск от имени администратора;

– Подмена системных библиотек;

– Модификация системы защиты ОС.

• Отказ в обслуживании

– Захват ресурсов;

– Бомбардировка запросами;

– Использование ошибок ПО или
администрирования.

Атаки на уровне сетевого ПО

• Прослушивание сегмента локальной
сети

• Перехват сообщений на
маршрутизаторе

• Создание ложного маршрутизатора

• Навязывание сообщений

• Отказ в обслуживании

Защита на уровне сетевого
ПО

• Максимальное ограничение размеров
компьютерной сети

• Изоляция сети от внешнего мира

• Шифрование сетевых сообщений

• Электронная цифровая подпись
сетевых сообщений

• Использование межсетевых экранов

Атаки на уровне СУБД

• СУБД, содержащая ошибки в
программном обеспечении;

• Грубые ошибки при определении
политики безопасности.

ЗАЩИТА АВТОМАТИЗИРОВАННЫХ
СИСТЕМ ОТ ВЗЛОМА

Защита АС от взлома

• постоянно повышайте квалификацию
в области защиты компьютерных систем;

• руководствуйтесь принципом
разумной достаточности (чем мощнее защита, тем больше ресурсов компьютерной
системы она требует);

• храните в секрете информацию о
принципах действия защитных механизмов АС; • постарайтесь максимально уменьшить
размеры АС и без крайней необходимости не подключайте ее к Internet;

• перед покупкой нового ПО поищите
информацию о нем в сети Internet;

• размещайте серверы в охраняемых
помещениях, не подключайте к ним клавиатуру и дисплеи, чтобы доступ к ним
осуществлялся только через сеть;

• Сообщения, нуждающиеся в защите и
передаваемые по незащищенным каналам связи, должны шифроваться;

• При стыковке защищенной сети с
незащищенной все сообщения должны проходить через межсетевые экраны;

• не пренебрегайте возможностями
аудита (интервал просмотра журнала аудита не должен превышать одних суток);

• если окажется, что число событий
в журнале аудита велико, изучите новые записи, так как не исключено, что КС
подверглась атаке взломщика;

• регулярно проводите проверку
целостности программного обеспечения АС, проверяйте АС на наличие в ней
программных закладок;

• регистрируйте все изменения в
политике безопасности в обычном бумажном журнале (регулярная проверка поможет
обнаружить присутствие программной закладки);

• пользуйтесь защищенными ОС;

• создайте несколько ловушек для
взломщиков;

• регулярно тестируйте КС с помощью
специальных программ оценки степени защищенности КС.

3.            
Методы обеспечения информационной
безопасности автоматизированных систем (защита от программных закладок).

Защита от программных
закладок

• Предотвращение внедрения
программной закладки;

• Обнаружение внедренной
программной закладки;

• Удаление программной закладки.

Предотвращение внедрения
закладок

• Изолированная среда:

– BIOS и операционная система не
содержат программных закладок;

– гарантированно установлена
неизменность BIOS и операционной системы в данном сеансе работы компьютера;

– на компьютере не запускалось и не
запускается никаких других программ, не проверенных на закладки;

– исключен запуск проверенных
программ вне изолированного компьютера.

Обнаружение внедренной
программной закладки

• Обнаружение признаков присутствия
в системе:

– качественные и визуальные
признаки (обнаруживаются пользователем);

– обнаруживаемые средствами
диагностики.

Удаление программной
закладки

• Определяется методом внедрения.

• Программно-аппаратная закладка –
перепрограммировать ПЗУ;

• Загрузочная, драйверная,
прикладная, замаскированная, закладка-имитатор – произвести замену на
соответствующее ПО от доверенных источников.

• Исполняемая – убрать код закладки
из исходного кода программного модуля и откомпилировать модуль заново.

4.            
Политика безопасности. Модель КС.

Политика безопасности

• Политика безопасности (Security
Policy). Совокупность норм и правил, обеспечивающих эффективную защиту системы
обработки информации от заданного множества угроз безопасности.

Описание политики безопасности включает:

• Множество возможных операций над
объектами.

• Для каждой пары
“субъект-объект” назначение множества разрешенных операций,
являющегося подмножеством всего множества возможных операций.

Модель компьютерной системы

Примеры субъектов и объектов

объект

–             
Файл на
внешнем носителе

–             
Область
оперативной памяти

–             
Запись
в базе данных

субъект

–             
Исполняемый
файл, загруженный в оперативную память и которому передано управление

5.            
Замкнутая программная среда.

ЗАМКНУТАЯ
ПРОГРАММНАЯ СРЕДА

•
Определение 12. АС называется замкнутой по порождению субъектов, если в ней
действует МБС, разрешающий порождение только фиксированного конечного
подмножества субъектов для любых объектов-источников, рассматриваемых для
фиксированной декомпозиции компьютерной системы на субъекты и объекты

Определение
13. Множество субъектов АС называется изолированным, если в ней действует МБС и
субъекты из порождаемого множества корректны относительно друг друга и МБС.

Определение
14. Операция порождения субъекта Create (Sk , Om)-> Si называется
порождением с контролем неизменности объекта, если для любого момента времени
t>t0 , в который активизирована операция порождения Create, порождение
субъекта Si возможно только при тождественности объектов Om[t0] и Om[t].

•
Утверждение 2 (базовая теорема ИПС). Если в момент времени t0 в изолированной
КС действует только порождение субъектов с контролем неизменности объекта и
существуют потоки от любого субъекта к любому объекту, не противоречащие
условию корректности субъектов, то в любой момент времени t>t0 КС также
остается изолированной

Классическая
модель ядра безопасности

Ядро
безопасности с учетом контроля порождения субъектов

6.            
Формирование и поддержка изолированной
программной среды.

Формирование и поддержка ИПС

• Предположим, что в КС работают N субъектов-
пользователей, каждый i-й из которых характеризуется некоторой персональной
информацией Ki, не известной другим пользователям и хранящейся на некотором
материальном носителе.

• Существует выделенный субъект – администратор
системы, который знает все Кi.

•
Администратор КС присваивает i-му пользователю полномочия, заключающиеся в
возможности исполнения им только заданного подмножества программ, Тi={Pi1, Pi2,
… Pit}.

Защитный механизм должен

• В некоторый начальный момент времени требовать у
субъекта предъявления аутентифицирующей информации и по ней однозначно
определять субъекта и его полномочия Тi; • В течении всего времени работы
пользователя i должен обеспечивать выполнение программ только из подмножества
Ti;

• Пользователь не должен иметь возможности изменить
подмножество Тi и/или исключить из дальнейшей работы защитный механизм и его
отдельные части.

Виды НСД

• Непосредственный НСД (Злоумышленник, используя
некоторое ПО пытается непосредственно осуществить операции чтения или записи
(изменения) интересующей его информации.)

• Опосредованный НСД (Обусловлен общностью ресурсов
пользователей и заключается во влиянии на работу другого пользователя через
используемые им программы (после предварительного изменения их содержания или
их состава злоумышленником).)

ИПС

• При выполнении всех условий программная среда
называется изолированной.

• От системы защиты требуется:

1. Невозможность запуска программ помимо
контролируемых ИПС событий.

2. Отсутствие в базовом ПО возможностей влиять на
среду функционирования уже запущенных программ (требование невозможности
редактирования оперативной памяти).

7.            
Реализация ИПС с использованием механизма
расширения BIOS

Условия

• 2 этапа – этап установки ИПС и этап эксплуатации
ИПС.

• N пользователей, каждый i-й имеет персональную
информацию Ki, не известную другим пользователям и хранящуюся на материальном
носителе (например, устройстве Touch Memory).

• Администратор КС – знает все Кi и проводит этап
установки.

• Пользователи участвуют в этапе эксплуатации.

Установка ИПС

1.            
В ПЭВМ устанавливается плата, реализует:

• чтение Ki,

• идентификацию пользователя i по Ki,

• чтение множества доступных для
выполнения пользователем i задач Pi1, Pi2, …, Pim, и информации Mi1, Mi2, …
Mim, фиксирующей целостность файлов Fi1, …, Fim каждой задачи.

2.            
 Администратор определяет для пользователя
i набор задач и соответствующих задачам исполняемых файлов {Pit, Fit},
t=1,…,mi; i=1, …, N, где mi – число разрешенных к запуску задач для i-го
пользователя.

3.            
Администратор формирует (и заносит на
носитель) или считывает с носителя для i-го пользователя его Ki и вычисляет
значения для последующего контроля целостности Mir=f(Ki, Fir, Pir), где f –
функция фиксации целостности (хэш- функция).

4.            
Администратор проделывает действия 2 и 3
для всех N пользователей.

5.            
Администратор устанавливает в ПС модуль
активизации ИПС и фиксирует его целостность. Фиксируется также целостность
файлов ОС Fос.

Эксплуатация ИПС

1. Включение питания и активизация расширенного BIOS:

а) идентификация пользователя по его Ki (при успехе п.

б); б) проверка целостности всех включенных в ЭВМ BIOS
(при положительном исходе п. в);

в) чтение по секторам файлов ОС и проверка их
целостности;

г) чтение как файлов Рипс (с помощью функций ОС) и
проверка целостности;

д) активизация сетевого ПО;

е) активизация процесса контроля Pипс;

ж) запуск избранной задачи i-го пользователя.

2. Работа в ИПС. Запуск процесса Рs сопровождается
проверками:

а) принадлежит ли Fs к множеству разрешенных для i (Ti),
если да, то п. б), иначе запуск игнорируется;

б) совпадает ли G=f(Ki,Fs,Ps) c M=f(Ki,Fs,Ps),
вычисленной администратором;

в) при положительном исходе проверки б) задача
запускается.

8.            
UEFI.
Принципы работы

Что такое UEFI?

• UEFI (Unified Extensible Firmware Interface — единый
расширяемый интерфейс встроенного ПО)

• Интерфейс между операционной системой и
микропрограммами, управляющими низкоуровневыми функциями оборудования

• Назначение: корректно инициализировать оборудование
при включении системы и передать управление загрузчику операционной системы

• Цель UEFI заключается в определении стандартного
способа взаимодействия операционной системы со встроенным ПО платформы во время
процесса загрузки.

• До появления UEFI основным механизмом взаимодействия
с оборудованием во время процесса загрузки были программные прерывания.

• UEFI позволяет реализовать модульную структуру
встроенного ПО, которая предоставляет разработчикам оборудования и систем
значительную гибкость в разработке встроенного ПО для более требовательных
современных вычислительных сред

Безопасная загрузка

• UEFI имеет процесс проверки встроенного ПО, который
называется безопасной загрузкой (Secure boot).

• Безопасная загрузка определяет, как встроенное ПО
платформы управляет сертификатами безопасности, проверкой встроенного ПО и
реализацией интерфейса (протокола) между встроенным ПО и операционной системой.

• Защита от вредоносных загрузчиков.

• До запуска операционной системы разрешен запуск
только подписанных и сертифицированных “известных” загрузчиков и кода

• Среда, предшествующая загрузке ОС, уязвима для атак,
осуществляемых с помощью передачи функций загрузчика вредоносным загрузчикам.

• Эти загрузчики остаются необнаруженными мерами
безопасности операционной системы и антивирусным ПО

BIOS – UEFI

• Возможна загрузка вредоносного ПО

• Использование загрузчика с ЭП

Как работает UEFI

• При включении питания компьютера запускается процесс
выполнения кода, который настраивает процессор, память и периферийные
устройства, подготавливая их к выполнению операционной системы.

• Этот процесс выполняется одинаково для всех платформ
независимо от архитектур, на которых они основаны (x86, ARM и т. д.).

• Проверяется сигнатура кода встроенного ПО,
присутствующего на периферийных устройствах, таких как сетевые карты,
запоминающие устройства или видеоадаптеры.

• Этот код на устройствах, называемый дополнительными
ПЗУ, продолжает процедуру настройки, обеспечивая подготовку периферийных
устройств к передаче управления ОС.

• Встроенное ПО проверяет внедренную сигнатуру

• Если эта сигнатура присутствует в БД сигнатур, то
этот модуль получает разрешение на выполнение.

• БД определяет, может ли продолжиться процесс
загрузки

• БД с разрешенными загрузчиками содержит хэши
надежного ПО и загрузчиков ОС.

• Другая БД содержит хэши вредоносных программ.

9.            
Персональное средство аутентификации eToken

•          
Электронные ключи eToken могут
использоваться в любых приложениях для замены парольной защиты на более
надежную двухфакторную аутентификацию.

•          
Например, если для аутентификации
пользователю необходимо предоставить USBключ и ввести пароль, то злоумышленник
не сможет получить доступ к данным, так как ему нужно не только подсмотреть
пароль, но и предъявить физическое устройство, кража которого быстро
обнаружима.

Особенности eToken:

•          
Строгая двухфакторная аутентификация
пользователей при доступе к защищенным ресурсам (компьютерам, сетям,
приложениям)

•          
Аппаратное выполнение криптографических
операций в доверенной среде (в микросхеме ключа: генерация ключей шифрования,
симметричное и асимметричное шифрование, вычисление хэш-функции, выработка
электронной подписи)

•          
Безопасное хранение критически важных
данных – криптографических ключей, профилей пользователей, настроек приложений,
цифровых сертификатов и пр. в энергонезависимой памяти ключа

•          
Сертифицированные версии для защиты
информации в AC до класса защищенности 1Г включительно и для защиты
персональных данных в ИСПДн до 1 класса включительно

10.        
 eToken API

Для
использования eToken в разрабатываемом ПО существует 3 вида API:

·              
PKCS#11

·              
CAPI

·              
SAPI PKCS#11

PKCS#11
(Public-Key Cryptography Standard – Стандарт криптографии с открытым ключом)
используется для работы с асимметричными криптографическими алгоритмами, был
разработан RSA Laboratories и включает в себя как зависимые от алгоритма, так и
не зависимые стандарты разработки. Это промышленный стандарт, который задает
интерфейс для криптографических устройств, таких как смарт-карты и карты
PCMCIA. Этот стандарт определяет API (application programming interface –
интерфейс программирования приложений), называемый Cryptoki (Cryptographic
Token Interface), для устройств, физических или виртуальных, содержащих
криптографическую информацию (ключи или данные) и выполняющих криптографические
функции. Этот API используется на многих платформах и обладает достаточными
возможностями для большинства приложений, связанных с безопасностью. Компания
Аладдин рекомендует использовать PKCS#11 в качестве основного API для
программирования eToken.

CAPI
(CryptoAPI) разработан компанией Microsoft в качестве части операционных систем
Microsoft Windows. Предполагалось, что он будет использоваться для разработки
приложений на платформе MS Windows. CAPI позволяет одновременно использовать
несколько криптопровайдеров (cryptographic service providers, CSP) на одном
компьютере или в одном приложении. Также он позволяет ассоциировать конкретный
криптопровайдер с конкретной смарт-картой, так чтобы приложения вызывали
корректный криптопровайдер при работе с криптографией. ОС Windows содержит
много вспомогательных функций, позволяющих упростить код при работе с
криптографией или сложными структурами данных (например сертификатами).

 SAPI
(Supplementary API – дополнительный API) был реализован в версии eToken RTE
3.60 для того, чтобы убрать необходимость в использовании низкоуровневых
функций при работе с eToken. Он давал доступ к специфичным для eToken
возможностям, не рассматриваемым в стандарте PKCS#11. Этот функционал теперь
доступен в PKCS#11 API. Выбор API зависит от конкретных нужд разработчика.

Вот
несколько ключевых отличий:

·              
PKCS#11 позволяет управлять несколькими
eToken одновременно. В CAPI нет понятия физического токена (необходимо
использовать специальные техники).

·              
PKCS#11 позволяет ожидать уведомлений о
подключении/удалении eToken. CAPI не обладает такой возможностью (возможность
есть через Win32 API).

·              
PKCS#11 позволяет хранить ключи RSA,
сертификаты и данные на eToken. CAPI позволяет хранить только ключи RSA и
соответствующие им сертификаты.

·              
В PKCS#11 нет вспомогательных функций для
работы с сертификатами. Обработка и проверка сертификатов X.509 может быть
довольно сложной задачей. Однако, работая в ОС Windows, имеется возможность
использовать функции Win32 даже работая с PKCS#11.

·              
PKCS#11 – это API, а не архитектура. Если
приложению требуется работать с несколькими провайдерами, оно само должно
определить как взаимодействовать с ними. CAPI является частью ОС Windows и
поэтому, как только новый провайдер установлен в систему, он автоматически
становится доступен для всех приложений.

·              
В CAPI имеется множество вспомогательных
функций. Они могут помочь программисту сконцентрироваться на логике работы
приложения, не сталкиваясь с низкоуровневыми проблемами.

11.        
Безопасное взаимодействие в КС. Процедуры
идентификации и аутентификации.

Объекты,
аутентифицирующие пользователя

·              
Внешний аутентифицирующий объект, не
принадлежащий АС

·              
Внутренний аутентифицирующий объект,
принадлежащий АС, в который переносится информация из внешнего объекта

·              
Дополнительно: субъект переноса информации
от внешнего к внутреннему объекту (пример – драйвер клавиатуры).

Содержание
аутентифицирующего объекта

·              
Di (логин) – неизменяемый идентификатор
i-го пользователя, который является аналогом имени и используется для
идентификации пользователя

·              
Ki (пароль) – аутентифицирующая информация
пользователя, которая может изменяться и служит для аутентификации.

Примеры

·              
Touch Memory (ТМ) имеет 8 байт
неперезаписываемого неповторяющегося серийного номера, который однозначно
характеризует кокретную ТМ и некоторый объект перезаписываемой памяти, который
может содержать Ki

·              
Пластиковые карты – выделяется
неизменяемая информация первичной персонализации пользователя, соответствующая
IDi , и объект в файловой структуре карты, содержащий Ki

·              
Аналогично: eToken.

Требования

·              
Внутренний аутентифицирующий объект не
должен существовать в КС длительное время (большее времени работы конкретного
пользователя).

·              
Для постоянного хранения необходимо
использовать некую преобразованную информацию от первичной (хэш).

Аутентификация
на основе пароля

·              
Часто пароли выбираются из множества осмысленных
слов

·              
Необходимы жесткие требования к паролям

·              
Для повышения надежности защиты необходимо
добавить аппаратную аутентификацию (добавляется 2-ой фактор)

12.        
Аутентификация до загрузки ОС

Возможна
в 2 вариантах:

·              
На уровне расширений BIOS

·              
На уровне загрузчика ОС

Уровень
расширений Bios

·              
В ЭВМ на платформе Intel, первичная
активизация вычислительных ресурсов компьютера производится кодом процессора,
хранящемся в основном Bios.

·              
При включении питания код основного Bios
“проецируется” в область памяти F000 и управление передается на точку
входа, определенную производителем Bios

·              
Код Bios производит тестирование
оборудования, инициализацию векторов прерываний, активизацию видеосистемы и
др., зависящие от специфики Bios

·              
В состав кода Bios входит типовая
процедура поиска так называемых расширений Bios (Bios Extention).

·              
Управление передается в ходе процедуры
поиска расширений

·              
С учетом того, что объем расширения Bios
не может быть очень большим, то на этом уровне может быть реализован достаточно
небольшой объем значимых для безопасности функций

Функции,
реализуемые в расширениях

·              
Идентификация и аутентификация
пользователя (возможно, с использованием специфического аппаратного носителя;

·              
Запрет несанкционированной загрузки ОС с
избранных носителей (например с CD-ROM);

·              
Контроль неизменности или целостности
аппаратной или программной компоненты ЭВМ.

Уровень
загрузчиков ОС

Возможно
решение задач:

·              
“Ранняя” идентификация и
аутентификация пользователей (при отсутствии аппаратных средств защиты)

·              
Защита от несанкционированной загрузки ОС

·              
Получение специального вида загрузочных
носителей.

“Ранняя”
идентификация и аутентификация

·              
Не всегда процедуры идентификации и
аутентификации удается реализовать на этапе инициализации аппаратной компоненты
компьютера (в частности, невозможно реализовать указанные процедуры в
расширении Bios).

·              
Удается выполнить идентификацию и
аутентификацию на ранней стадии сеанса работы пользователя (Программно).

Защита
от несанкционированной загрузки ОС

·              
Используют тонкости обработки загрузки с
внешних носителей либо преобразуют (например, шифруют) информацию на несъемных
носителях компьютера.

·              
В первом случае загрузка с внешних носителей
операционной системы невозможна физически

·              
Во втором – даже при успешной загрузке с
несанкционированной копии ОС информация недоступна.

Решение

·              
В общем случае – программирование
модифицированного загрузчика (или загрузчиков) операционной системы.

Необходимые
операции

·              
Заместить первичный код загрузчика
собственным фрагментом;

·              
Сохранить исходный код загрузочного
сектора (в случае необходимости его выполнения);

·              
С учетом необходимости размещения
первичного загрузчика по тому же адресу, что и модифицированного, обеспечить
корректное перемещение модифицированного загрузчика в другую область памяти без
потери управления.

13.        
Контроль и управление доступом. Диспетчер
доступа.

Контроль
и управление доступом

·              
Основная задача – ограничение операций,
выполняемых зарегистрированными пользователями в системе.

·              
Два основных механизма управления доступом
– дискреционный (произвольный) и мандатный (нормативный).

Произвольное
управление доступом

•          
Основа – матрица прав доступа

•          
Строки – субъекты (пользователи, процессы)

•          
Столбцы – объекты (файлы, каталоги и т.п.)

•          
В ячейках – права доступа субъектов к
объектам

Варианты
реализации

•          
Списки прав доступа (Access Control List –
ACL; С каждым объектом ассоциируется список пользователей с указанием их прав
доступа к объекту; При принятии решения о доступе, соответствующий объекту
доступа ACL проверяется на наличие прав, ассоциированных с идентификатором
пользователя, запрашивающего доступ, или его группы.)

•          
Биты доступа ( Привязаны к объектам.
Указывают права доступа для трех категорий пользователей (ОС Unix): все
пользователи (world), члены группы владельца (group) и владелец (owner). Может
изменять только владелец объекта и администратор.)

•          
“Парольная” защита. (Пользователь использует
отдельный пароль для доступа к каждому объекту в системе; Неудобства, связанные
с запоминанием паролей.)

Нормативное
управление доступом

•          
Полностью запрещает передачу прав доступа
между пользователями. Полномочное – нет.

•          
Позволяет решить проблему “троянских
коней”

•          
Модели Белла-Лападула и Биба.

•          
Объектам задается метка секретности,
субъектам – уровень доступа.

•          
Запрещается запись в объекты более низкого
уровня и чтение из объектов более высокого уровня, чем уровень доступа
субъекта.

Примеры:

•          
ОС UTS MLS (доработанная Linux)

•          
Информация о метке секретности объекта
содержится в битах доступа файла

•          
Одновременно работает произвольный доступ
(поле все пользователи)

14.        
Назначение, функции, принцип работы ПАК
«Аккорд».

Аккорд-АМДЗ

• Аппаратный модуль доверенной загрузки – обеспечивает
доверенную загрузку ОС вне зависимости от ее типа для аутентифицированного
пользователя

Компоненты

Аппаратные компоненты:

• Контроллер;

• Контактное устройство;

• Идентификатор;

Программные компоненты:

• BIOS контроллера комплекса Аккорд-АМДЗ;

• Firmware, в котором реализованы функции АМДЗ

Защитные функции комплекса

• идентификацию пользователя по уникальному
Идентификатору;

• аутентификацию с учетом необходимой длины пароля и
времени его жизни;

• аппаратный (до загрузки ОС) контроль целостности
технических средств СВТ, программ и данных на жестком диске (в том числе
системных областей диска и модулей программной части комплекса);

• ограничение времени доступа субъекта к СВТ в
соответствии с установленным режимом работы пользователей;

• блокировку несанкционированной загрузки СВТ с
отчуждаемых носителей (FDD, CD-ROM, ZIP-drive, USB-disk и др.);

2) процедур блокирования экрана и клавиатуры по
команде пользователя или по истечению установленного интервала «неактивности»
пользователя;

3) Разграничение доступа к локальным и сетевым
ресурсам

4) Управление процедурами ввода/вывода на отчуждаемые
носители информации. Для каждого пользователя контролируется список разрешённых
USB-устройств и SD карт в соответствии с их уникальными идентификационными
номерами;

5) Контроль доступа к любому устройству, или классу
устройств, доступных в «Диспетчере устройств» Windows, в том числе последовательных
и параллельных портов, устройств PCMCI, IEEE 1394, WiFi, Bluetooth и пр;

6) Гарантированная очистка оперативной памяти и
остаточной информации на жестких дисках и внешних носителях;

7) Контроль вывода на печать документов из любых
программ, автоматическая маркировка печатных листов специальными пометками,
грифами и т.д. Процесс печати протоколируется в отдельном журнале (создаётся
учетная карточка документа);

8) регистрация контролируемых событий, в том числе
несанкционированных действий пользователей, в системном журнале, доступ к
которому предоставляется только Администратору БИ;

9) Защиты от НСД систем терминального доступа;

10) Контроль целостности критичных с точки зрения
информационной безопасности программ и данных.

• Статический список (проверка выполняется однократно
в начале сеанса, а далее с периодичностью, заданной администратором)

• Динамический список, проверка по которому
выполняется при каждой загрузке контролируемого файла в оперативную память.

11) Создание изолированной программной среды за счет
использования защитных механизмов комплекса;

12) Встраивание или совместное использование других
средств защиты информации, в том числе криптографических;

15.        
Назначение, функции, принцип работы ПАК
“Соболь”

Что такое ПАК «Соболь»?

• ПАК «Соболь» – это программно-аппаратное средство
защиты информации от несанкционированного доступа, выполняющее роль
аппаратно-программного модуля доверенной загрузки (АПМДЗ).

Для чего предназначен ПАК «Соболь»?

• защиты конфиденциальной информации, персональных
данных, гос. тайны (гриф «Совершенно Секретно»).

• предотвращения доступа неавторизованных
пользователей к информации, обрабатываемой на компьютере.

• информирования администратора комплекса о всех важных
событиях ИБ.

• предоставления случайных чисел прикладному ПО.

Применение

• Применятся для защиты автономного компьютера, а
также рабочей станции или сервера, входящих в состав локальной вычислительной
сети (ЛВС).

Возможности ПАК «Соболь»

• Идентификация и аутентификация пользователей

В качестве персональных идентификаторов пользователей
могут применяться:

iButton

–
eToken PRO и eToken PRO (Java)

–
Rutoken

–
iKey 2032

–
Смарт–карты
eToken PRO 

• Блокировка загрузки ОС со съемных носителей

–             
После успешной загрузки штатной копии ОС
доступ к этим устройствам восстанавливается.

–             
Запрет распространяется на всех
пользователей компьютера, за исключением администратора.

• Регистрация попыток доступа к ПЭВМ

Электронный замок «Соболь» осуществляет ведение
системного журнала, записи которого хранятся в специальной энергонезависимой
памяти:

1. факт входа пользователя и имя пользователя;

2. предъявление незарегистрированного идентификатора;

3. ввод неправильного пароля;

4. превышение числа попыток входа в систему;

5. дата и время регистрация событий НСД.

• Контроль целостности системного реестра Windows

Данная возможность позволяет контролировать
неизменность системного реестра Windows, что существенно повышает защищённость
рабочих станций от несанкционированных действий внутри операционной системы

• Контроль целостности программной среды

Используемый в комплексе “Соболь” механизм
контроля целостности позволяет контролировать неизменность файлов и физических
секторов жесткого диска до загрузки операционной системы, а также файловых
систем: NTFS, FAT 32, FAT 16, UFS, UFS2, EXT3, EXT2, EXT4 в ОС семейства Linux
и MS Windows

• Контроль конфигурации

Возможность контролировать неизменность конфигурации
компьютера – PCI-устройств, ACPI, SMBIOS и оперативной памяти.

Достоинства ПАК «Соболь»

• Наличие сертификатов ФСБ и ФСТЭК России.

• Защита информации, составляющей государственную
тайну.

• Предоставление ресурсов в построении прикладных
криптографических приложений.

• Простота в установке, настройке и эксплуатации.

• Поддержка 64-битных ОС Windows (в том числе Windows
8.1 и Windows server 2012 R2) и Linux.

• Поддержка различных типов идентификаторов.

• Гибкий выбор форматов исполнения платы (PCI, PCI-E,
Mini PCI-E, Mini PCI-E Half) и вариантов комплектации.

• Возможность программной инициализации комплекса.

• Поддержка файловой системы EXT 4 в ОС семейства
Linux.

• Интеграция с другими продуктами «Кода Безопасности».

• Физический датчик случайных чисел.

16.        
Персональные идентификаторы. Виды,
назначение, функции.

iButton

•          
iButton (Touch Memory) — это семейство
многофункциональных микроэлектронных устройств, разработанных фирмой Dallas
Semiconductor (USA) в настоящее время выпускаемых фирмой Maxim).

•          
Каждое устройство iButton имеет уникальный
номер (ID), записываемый в процессе изготовления.

•          
Все устройства iButton помещаются в
стальной цилиндрический корпус MicroCan, выполнены по жестким стандартам и
выдерживают серьезные механические и температурные нагрузки.

•          
Обмен данными с iButton производится через
интерфейс 1-Wire. Информация в этом интерфейсе передается по единственному
проводнику. Питание iButton получают из этого же проводника, заряжая внутренний
конденсатор в моменты, когда на шине нет обмена данными.

•          
Скорость обмена достаточна для обеспечения
передачи данных в момент касания контактного устройства.

Области
применения:

•          
средства идентификации;

•          
системы контроля доступа;

•          
системы компьютерной безопасности;

•          
температурный мониторинг и др.

ruToken

Программные и аппаратные средства для
идентификации и аутентификации пользователей, электронной подписи и безопасного
хранения криптографических ключей.

Модели

•          
Рутокен ЭЦП (Электронный идентификатор с
аппаратной реализацией электронной подписи, шифрования и хеширования по ГОСТ.
Также имеется поддержка RSA 2048. Существует модификация, Рутокен КП, используемая
только с продуктами КриптоТРИ и КриптоПРО Рутокен CSP.)

•          
Рутокен ЭЦП Flash (+flash память до 64 Гб)

•          
Рутокен ЭЦП Bluetooth (работает с моб.
устр.)

•          
Рутокен PINPad (Решение класса
TrustScreen, позволяющее визуализировать подписываемый документ в доверенной
среде непосредственно перед наложением электронной подписи. Документ
отображается на экране и, в случае подтверждения пользователем корректности
информации, подпись осуществляется непосредственно на самом устройстве.)

•          
Рутокен S (без ЭЦП)

•          
Рутокен Lite (ключевой носитель без
криптографических функций)

•          
Рутокен Web (Основное назначение — замена
небезопасной аутентификации по связке «логин-пароль» на двухфакторную
аппаратную аутентификацию. Решение основано на технологии электронной подписи и
позволяет свести к нулю риск кражи или неправомерного использования учетных
записей пользователей Web-ресурса.)

17.        
Назначение, функции, принцип работы ключей
защиты. Известные модели.

Ключ
защиты (электронный ключ, англ. dongle) — аппаратное средство, предназначенное
для защиты программного обеспечения (ПО) и данных от копирования, нелегального
использования и несанкционированного распространения.

Аппаратные
ключи защиты

•          
Содержат специализированную микросхему,
либо защищённый от считывания микроконтроллер, имеющие уникальные для каждого
ключа алгоритмы работы.

•          
Имеют защищённую энергонезависимую память
небольшого объёма

•          
Могут иметь встроенный криптопроцессор
(для аппаратной реализации шифрующих алгоритмов), часы реального времени.

Схема
работы

1.            
Ключ присоединяется к определённому
интерфейсу компьютера.

2.            
Защищённая программа через специальный
драйвер отправляет ему информацию, которая обрабатывается в соответствии с
заданным алгоритмом и возвращается обратно.

3.            
Если ответ ключа правильный, то программа
продолжает свою работу.

4.            
В противном случае она может выполнять
определенные разработчиками действия, например, переключаться в
демонстрационный режим, блокируя доступ к определённым функциям.

Форм-факторы

•          
Чаще всего USB-устройства.

•          
Также встречаются с LPT- или
PCMCIAинтерфейсами.

•          
Возможно впайка микросхемы на плату на
этапе производства техники.

• Sentinel HL
(ранее – HASP) • Guardant • SenseLock

18.        
Виды защиты ПО с помощью электронных
ключей. Методы взлома.

Виды
защиты

•          
Автоматическая (с помощью специального ПО)

•          
С помощью API функций.

Автоматическая
защита

•          
Автоматические инструменты (входящие в
SDK), позволяющие защитить программу «за несколько кликов мыши».

•          
Файл приложения «оборачивается» в
собственный код разработчика.

•          
Чаще всего код осуществляет проверку
наличия ключа, контроль лицензионной политики, внедряет механизм защиты
исполняемого файла от отладки и декомпиляции (например, сжатие исполняемого
файла) и др.

•          
Для использования автоматического
инструмента защиты не требуется доступ к исходному коду приложения. Такой
механизм защиты не позволяет использовать весь потенциал электронных ключей и
реализовать гибкую и индивидуальную защиту.

Защита
с помощью API

•          
Самостоятельная разработка защиты,
интегрируя систему защиты в приложение на уровне исходного кода.

•          
Библиотеки для различных языков.

•          
API – набор функций, предназначенных для
обмена данными между приложением, системным драйвером и самим ключом.

•          
Операции с ключом через API: поиск, чтение
и запись памяти, шифрование и расшифровывание данных при помощи аппаратных
алгоритмов, лицензирование сетевого ПО и т. д.

•          
Обеспечивает высокий уровень защищённости
приложений.

•          
Нейтрализовать защиту, встроенную в
приложение, достаточно трудно вследствие её уникальности и «размытости» в теле
программы.

•          
Необходимость изучения и модификации
исполняемого кода защищенного приложения для обхода защиты является
препятствием к ее взлому.

Обход
защиты

Задача
злоумышленника — заставить защищённую программу работать в условиях отсутствия
легального ключа, подсоединённого к компьютеру. Злоумышленник имеет доступ ко
всем открытым интерфейсам, документации, драйверам и может их анализировать на
практике с привлечением любых средств.

При
наличии ключа, злоумышленник может:

•          
перехватывать все обращения к ключу;

•          
протоколировать и анализировать эти
обращения;

•          
посылать запросы к ключу и получать на них
ответы;

•          
протоколировать и анализировать эти
ответы;

•          
посылать ответы от имени ключа и др.

2
вида обхода защиты:

•          
Внесение изменений в программный модуль
(взлом) (Злоумышленник исследует логику работы программы, анализируя код
приложения, с целью выделения блока защиты и отключения его. Осуществляется с
помощью отладки (или пошагового исполнения), дизассемблирования, декомпиляции и
дампа оперативной памяти. Эти способы анализа исполняемого кода программы чаще
всего используются злоумышленниками в комплексе.);

•          
Эмулирование наличия ключа путем перехвата
вызовов библиотеки API для обмена с ключом. (Современные электронные ключи
(например, ключи Guardant поколения Sign и современные ключи HASP HL)
обеспечивают стойкое шифрование протокола обмена электронный ключ – библиотека
API работы с ключом. В результате наиболее уязвимыми местами остаются точки
вызовов функций этого API в приложении и логика обработки их результата.)

19.        
КСЗИ Панцирь-К. Серверная и клиентские
части, идентификация и аутентификация пользователей

КСЗИ
Панцирь-К

Возможности:

•          
Идентификация и аутентификация: Console,
flash, eToken USB, …

•          
Разграничение и аудит действий пользователей
и приложений

•          
Контроль целостности

•          
Гарантированное удаление

•          
Шифрование: 3DES, AES, DES, ГОСТ 28147-89

Общая
схема КСЗИ

•          
Подсистема защиты рабочих станций и
информационных серверов (клиент);

•          
Подсистема удаленного контроля рабочих
станций и информационных серверов;

•          
Подсистема удаленного управления
механизмами защиты рабочих станций и серверов (сервер).

Структура
клиентской части

•          
Модуль аутентификации.

•          
Модуль управления доступом.

•          
Модуль управления подключением устройств.

•          
Модуль регистрации.

•          
Модуль контроля целостности.

•          
Модуль противодействия ошибкам и закладкам
в системном и функциональном программном обеспечении.

•          
Модуль очистки памяти, кодирования и
шифрования данных.

•          
Другие

Сервер
безопасности

•
Обеспечивает централизованное управление клиентской частью защиты КСЗИ.

•          
Модуль обработки сетевых соединений

•          
Модуль доступа базы данных

•          
Модуль графического интерфейса

•          
Модуль управления режимами

Сервер
безопасности. Интерфейс

Представление
на основе информации о пользователях:

•          
Отображение иерархической структуры
пользователей на предприятии;

•          
Отображение функциональной принадлежности
пользователей к АС;

•          
Отображение территориального расположения
пользователей.

Профили
пользователей

•          
Управление доступом к файловой системе, к
разделяемым сетевым ресурсам, к съемным накопителям (дисковод, CD-ROM)

•          
Управление доступом к реестру ОС

•          
Управление доступом к Буферу Обмена

•          
Управление доступом к сетевым ресурсам по
протоколу TCP/IP и др.

•          
Общие настроек клиентской части КСЗИ

20.        
КСЗИ Панцирь-К. Контроль и разграничение
доступа

Разграничение доступа к ФС

Виды файловых объектов:

• Файлы на жестком диске;

• Удаленные файловые объекты (разделенные в сети);

• Файловые объекты на внешних носителях.

Основные принципы разграничения доступа к ФС

• Только администратор может назначать (изменять)
права доступа субъекта к объекту, такой сущности, как “Владелец” не существует;

• Две политики контроля доступа к ресурсам –
разрешительная и запретительная;

• Права доступа назначаются субъектам, а не
присваиваются объектам в качестве их атрибутов;

• Для любого субъекта доступа может быть реализована
собственная разграничительная политика;

• Для каждого устанавливаемого типа доступа может быть
использована собственная разграничительная политика «Разрешенные для…», либо
«Запрещенные для…»;

• Типы доступа к ресурсам – «Чтение», «Запись»,
«Выполнение»;

• Объект, задается своим полнопутевым именем
(логический диск, каталог, подкаталог, файл), либо используются маски;

• Разграничения действуют иерархически, права
нижестоящего объекта наследуются у вышестоящего, если для него не заданы
собственные права доступа;

• В качестве самостоятельных субъектов доступа в КСЗИ
используются две сущности: «ПОЛЬЗОВАТЕЛЬ» и «ПРОЦЕСС». Права для субъекта
процесс могут назначаться эксклюзивно и совместно с правами пользователя;

• Субъект доступа «ПРОЦЕСС» задается своим
полнопутевым именем. Для задания объекта могут использоваться маски;

• Для прав доступа субъекта «ПРОЦЕСС» используется
механизм наследования.

Существуют:

Разграничение доступа пользователей

Запретительная политика

Разграничение доступа процессов

Создание масок:

Процессы и объекты могут задаваться маской:

• * – любая последовательность символов;

• ? – любой символ;

• [набор символов] – любой символ входящий в набор;

• [!набор символов] или

• [^набор символов] – любой символ не входящий в
набор.

Разграничение доступа к реестру

Механизм полностью унифицирован с механизмом
управления доступом к ФС:

• Разрешительная и запретительная разграничительные
политики

• Разграничение для процессов и пользователей.

Отличие – типы доступа “Запись” и “Чтение”

21.        
КСЗИ Панцирь-К. Аудит и дополнительные
возможности

Аудит событий ФС

• Реализован механизм выборочной регистрации –
регистрироваться доступ к объектам, задаваемым администратором безопасности.
Для этого необходимо заполнить список контролируемых объектов.

• Все действия администратора безопасности по
изменению прав доступа к рассматриваемым объектам защиты фиксируются и
записываются в файле fileadm.log в каталоге Filectrl КСЗИ.

Аудит событий доступа к реестру

• Выборочный аудит – регистрируется доступ только к
заданным объектам реестра ОС.

• Регистрация изменений прав доступа к реестру

Аудит событий

• КСЗИ осуществляет регистрацию основных событий при
функционировании защищаемого объекта и реализует иерархическую модель аудита
событий информационной безопасности системы.

Уровни аудита

1.            
Регистрация событий уровней, реализующих
разграничительную политику доступа к ресурсам.

2.            
 Регистрация событий уровня, реализующего
контроль активности и корректности функционирования механизмов защиты,
реализующих разграничительную политику доступа к ресурсам

Типы регистрируемых событий

1 Уровень:

• События, связанные с действиями пользователей по
доступу к ресурсам защищаемой системы;

• События, связанные с действиями администратора
безопасности по созданию и переназначению прав доступа пользователей к ресурсам
защищаемой системы.

2 Уровень:

• События, связанные с некорректностью
функционирования системы разграничения доступа (ошибки доступа)

Информация о событии

• Дата и время;

• Субъект, осуществляющий регистрируемое действие;

• Тип события;

• Результат выполнения и т.д.

Журналы аудита

• Журнал регистрации пользователей – регистрация входа
и завершения работы пользователей в ОС

• Журнал входа пользователей (пароли) – регистрация
всех (правильных и неправильных) попыток входа и смену действующего пароля
пользователей в ОС

Аудит доступа пользователей к ресурсам

• Журнал аудита доступа к ФС

• Журнал доступа к реестру

• Журнал доступа к сети

• Журнал аудита доступа к принтерам

• Журнал подключения устройств

• Журнал доступа к Буферу Обмена

Журналы аудита

• Журнал запуска СЗИ/ОС – запуска сервиса КСЗИ и
времени последнего цикла обработки событий • Журнал печати – реализует
автоматическую регистрацию печати.

Ротация журналов аудита

• Программа ротации позволяет обрезать и очищать
журналы, а также делать копии журналов перед (либо после) их очисткой.

• Программа содержит два файла sizelogs.exe и
sizelogs.lcmd

Дополнительные настройки

• Пароль для снятия блокировки

• Разрешить Буфер Обмена между пользователями

• Не контролировать системное время

• Не использовать повторную регистрацию

• Очистка файла подкачки

Сохранение и восстановление настроек

• Тиражирование с помощью сервера

• Копирование настроек вручную

• Файлы настроек – pre.set, filectrl.ini, regctrl.ini,
tcpctrl.ini, dirlink.ini, devctrl.ini, impctrl.ini, clipctrl.ini и printer.ini

Дополнительная защита данных

• Шифрование данных «на лету»

• Автоматическое гарантированное удаление остаточной
информации

• Разграничение прав доступа к защищаемым объектам

• Скрытие защищаемых объектов файловой системы

Шифрование данных «на лету»

• Шифрование (расшифрование) данных при их сохранении
в локальный или удаленный файловый объект.

• Поддерживаются файловые системы NTFS, FAT32 или
FAT16.

• Алгоритмы шифрования: XOR, GOST, DES, 3DES, AES,
ГОСТ 28147-89.

• СЗД позволяет подключать СКЗИ «Signal-COM CSP» и
СКЗИ «КриптоПро CSP».

Гарантированное удаление остаточной информации

• КСЗИ позволяет осуществлять очистку оперативной и
внешней памяти. Очистка производится путем записи маскирующей информации в
память при ее освобождении (перераспределении).

• Для модифицируемых файловых объектов система
позволяет задавать число «проходов очистки» и вид маскирующей информации,
записываемой СЗД в файловый объект.

Варианты автоматического запуска программ очистки
оперативной и дисковой памяти

• По расписанию.

• При входе (идентификации) нового пользователя

• Для реализации функций очистки памяти в состав
дистрибутива КСЗИ включены две утилиты “delsec.exe” и “clearam.exe”

Гарантированное удаление файлов с жёсткого диска

• Программа FullDel.exe:

• Удаление файлов

• Очистка диска

Скрытие защищаемых объектов файловой системы

• Скрытие защищаемого файлового объекта;

• Скремблирование имени файлового объекта;

• Кодирование имени файлового объекта.

Механизмы контроля целостности

1. Контроль целостности каталогов и файлов данных
(синхронный и асинхронный)

2. Контроль целостности исполняемых файлов (программ
перед запуском)

3. Контроль целостности файлов КСЗИ

Дополнительные механизмы контроля печати

• Механизм маркировки документов Автоматический ввод
реквизитов документов при печати из программы MS Word (другие программы печати
в этом режиме средствами КСЗИ запрещены)

• Механизм теневого копирования любых печатных
документов Автоматическое копирование документов при печати из любых программ.

22.        
Управление криптографическими ключами

Основной
международный стандарт – ISO/IEC 11770 – Key management :

 •
Управление ключами – совокупность процедур и процессов, сопровождающих
жизненный цикл ключей в криптосистеме.

Цель
управления ключами – обеспечение безопасности криптографических ключей на всех
этапах жизненного цикла безопасности всей криптосистемы.

Секретные
ключи – необходимо обеспечить секретность, подлинность, целостность:

•          
Общие секретные ключи симметричных
криптосистем;

•          
Частные секретные ключи асимметричных
криптосистем (закрытые ключи).

Открытые
ключи – необходимо обеспечить подлинность, целостность:

•
Открытые ключи асимметричных криптосистем, помещаемые в общедоступные
справочники.

Жизненный
цикл ключей

•          
Все криптосистемы, за исключением
простейших, в которых используемые ключи зафиксированы раз и навсегда,
нуждаются в периодической замене ключей.

•          
Эта замена проводится с помощью
определенных процедур и протоколов, в ряде которых используются и протоколы
взаимодействия с третьей стороной.

•          
Последовательность стадий, которые
проходят ключи от момента установления до следующей замены, называется
жизненным циклом ключей.

1)           
Регистрация пользователя (обмен
первоначальной информацией)

2)           
Инициализация (подключение
программно-аппаратных средств)

3)           
Генерация ключей

4)           
Установка ключей

5)           
Регистрация ключей

6)           
Обычный режим работы

7)           
Хранение ключа (на токенах, смарт-картах и
т.д.)

8)           
Замена ключей (при истечении срока,
компрометации и т.д.)

9)           
Архивирование (если нужно)

10)       
Уничтожение ключей

11)       
Восстановление ключей

12)       
Отмена ключей (прекращение работы ключа ДО
истечения срока действия)

Транспортировка
– самый опасный этап !

•          
Для секретных ключей симметричных
криптосистем главная цель – предотвратить попадание ключи к посторонним лицам:
традиционные меры физической защиты, усиленные аппаратными и организационными
мерами.

•          
Для открытых ключей главная цель –
обеспечить подлинность и целостность сложная задача, которая решается созданием
инфраструктуры открытых ключей.

Инфраструктура
открытых ключей (PKI – Public Key Infrastructure) – универсальная модель
организованной поддержки криптографических средств защиты информации в
крупномасштабных компьютерных системах в соответствии с принятыми в них
политиками безопасности, которая реализует управление криптографическими
ключами на всех этапах их жизненного цикла, обеспечивая взаимодействие всех
средств защиты

23.        
Концепция иерархии ключей, генерация
ключей.

Концепция
иерархии ключей

•          
Любая информация об используемых ключах
должна быть защищена – храниться в зашифрованном виде.

•          
Необходимость в хранении и передаче
ключей, зашифрованных с помощью других ключей, приводит к концепции иерархии
ключей.

•          
В стандарте ISО 8532 (Ваnking-Кеу Маnаgement)
подробно изложен метод главных сеансовых ключей (master/session keys).

•          
Суть метода состоит в том, что вводится
иерархия ключей: главный ключ (ГК), ключ шифрования ключей (КК), ключ
шифрования данных (КД)

Иерархия
ключей может быть:

•          
двухуровневой (КК/КД);

•          
трехуровневой (ГК/КК/КД).

Концепция
иерархии ключей

•          
Нижний уровень: рабочие или сеансовые КД.
(Применяются для шифрования данных, персональных идентификационных номеров
(РIN) и аутентификации сообщений.)

•          
Ключи шифрования ключей (КК) (Используют для
шифрования ключей с целью защиты при передаче или хранении. Никогда не должны
использоваться как сеансовые КД.)

•          
Верхний уровень – главный ключ или мастер-
ключ (ГК) (Шифрует КК, если требуется сохранить его на диске. Обычно в одной
системе используется только один мастер-ключ. Для исключения перехвата
мастер-ключ распространяется между участниками обмена неэлектронным способом.
Значение мастер-ключа сохраняется длительное время (до нескольких недель или
месяцев). Мастер-ключ компьютера создается случайным выбором из всех возможных
значений ключей и помещается в защищенный от считывания и записи блок
криптографической системы)

Сроки
действия ключей

 Срок
действия ключа означает промежуток времени, в течение которого он может быть
использован доверенными сторонами.

Сроки
действия ключей

Выделяют:

•          
Ключи с длительным сроком действия. К ним
относится главный ключ, часто — ключи для шифрования ключей.

•          
Ключи с коротким сроком действия. К ним
относятся ключи для шифрования данных

Генерация
случайных чисел

•          
Нужны для генерации ключей шифрования,
должны удовлетворять определенным требованиям.

•          
Генератор псевдослучайных чисел.

•          
Аппаратный генератор случайных чисел.

Генератор
псевдослучайных чисел — алгоритм, порождающий последовательность чисел,
элементы которой почти независимы друг от друга и подчиняются заданному
распределению (обычно равномерному).

Достоинства:

•          
Требуется однократная проверка;

•          
Многократная воспроизводимость
последовательности чисел;

•          
Мало места в памяти и нет внешних
устройств.

Недостатки:

•          
Запас чисел ограничен периодом
последовательности;

•          
Затраты машинного времени.

Хранение
ключей

•          
Важные ключи нельзя хранить локально ->
возможна утечка ключа.

Возможно
применение внешних устройств для хранения ключей и выполнения криптографических
операций:

•          
eToken и подобные;

•          
Аппаратные модули безопасности.

24   
Аппаратные
модули безопасности (HSM)

Аппаратный
модуль безопасности (hardware security module – HSM) – вычислительное
устройство, которое обеспечивает безопасность и управляет криптографическими
ключами, используемыми для усиленной аутентификации и криптографических
функций.

Функции:

•
Безопасная генерация ключей шифрования

•
Безопасное хранение и управление ключами

•
Работа с зашифрованной и конфиденциальной информацией

•
Работа с симметричной и асимметричной криптографией.

Применение:

•
PKI, центр сертификации

•
Банковские операции

•
Установление SSL соединений

Безопасный
криптопроцессор – это система на кристалле или микропроцессор, предназначенный
для проведения криптографических операций и обеспеченный мерами физической
защиты, дающими ему некоторую возможность противодействия несанционированному
доступу.

В
отличие от криптографических процессоров, “доверяющих” шине и
выводящих незашифрованные данные на нее, как будто она находится в защищенной
среде, безопасный криптопроцессор не выводит незашифрованные данные или
незашифрованные программные инструкции в среду, которая не может быть гарантированно
защищенной все время.

Особенности:

•
Обнаружение подделок и индикация вскрытия.

•
Проводящие защитные слои в чипе, мешающие считывать внутренние сигналы.

•
Контролируемое исполнение, чтобы предотвратить раскрытие любой секретной
информации по временным задержкам.

•
Автоматическое обнуление секретов в случае фальсификации.

•
Доверенный загрузчик – проверяет подлинность операционной системы перед ее
запуском.

•
Доверенная операционная система – проверяет подлинность приложений перед их
запуском.

•
Аппаратные регистры, где реализуется модель с разделением привелегий.

•
Может иметь несколько уровней физической защиты в одном чипе криптопроцессоре.

•
Чип криптопроцессора может быть помещен аппаратный модуль безопасности наряду с
другими процессорами и памятью, где хранятся и обрабатываются зашифрованные
данные.

•
Любая попытка извлечь его вызовет обнуление ключей в крипточипе.

•
Аппаратные модули безопасности также могут быть частью компьютера (например
банкомата), который проводит операции внутри запертого сейфа, чтобы
предотвратить кражи, замены и подделки.

25   
Концепция
доверенных сеансов связи.. Комплекс «МАРШ!», «М!&М».

• Клиент ДСС • Сервер ДСС

Режим доверенной среды обеспечивает защищённый ввод
данных поставщиками данных, а также защищённое получение данных потребителями

Средство обеспечения доверенного сеанса связи
(СОДС) «МАРШ!» предназначено для организации защищённой работы удалённых
пользователей недоверенных компьютеров с сервисами доверенной
распределенной информационной системы (РИС) через сети передачи данных
в рамках доверенного сеанса связи (ДСС).

Клиент ДСС

•Загрузочное USB-устройство с собственным
микропроцессором

• Аппаратно разделённые области памяти с однократно
назначаемыми атрибутами доступа

• Загрузочная ОС, СКЗИ и набор прикладного ПО в
защищённой от записи области памяти

Сервер ДСС

• Доверенный сервер

• Создание и работа защищённых сетевых соединений с
Клиентами ДСС

• Переключение Клиентов ДСС на сервисы защищаемых ИР в
соответствии с правами пользователей

Преимущества «МАРШ!»

• Необходимый функционал и достаточный уровень защиты
доступа пользователя к защищаемым информационным ресурсам

• Мобильность, готовность к работе на произвольном (в
т.ч. недоверенном) компьютере

• Отсутствие ограничений на работу пользователя с
компьютером вне режима доверенного сеанса связи

• Приемлемая стоимость

М!&М • Добавлен модем

Используется мобильная рабочая станция; • Используется
РС, для которой политикой безопасности запрещено подключение к сети; • Рабочая
станция эксплуатируется в условиях, в которых уровень развития сетевой
инфраструктуры не позволяет иметь собственные средства связи.

26   
Защищенные
микрокомпьютеры «MKT». Назначение, функции.

• Память, в которой
размещается ОС, переводится в режим «только чтение» • Этот обеспечивает
неизменность ОС аппаратным способом, никакие программные действия
злоумышленника не могут нарушить целостность, а, следовательно, доверенность
программной среды.

Из доверенной среды нельзя
выходить в недоверенную • Для этого применяются отдельные ОС • Взаимовлияние защищенной
и незащищенной ОС друг на друга исключено, так как они размещены в физически
разделенным банках памяти и ни при каких обстоятельствах не могут быть запущены
одновременно.

• MKT –предназначен только
для работы в защищенном режиме. • MKTrusT – предназначен для работы в одном из
двух режимов на выбор – защищенном или обычном, без ограничений.

MKT-card – терминал,
состоящий из стационарной док-станции, к которой подключается периферия, и
отчуждаемого мобильного устройства, которое является носителем всей
персонифицированной части информационной среды клиентского рабочего места.

TrusTPad – планшетный
компьютер, работающий аналогично MKTrusT – с возможностью выбора одного из
режимов с помощью переключателя.

TrusTPhone – IP-телефон,
также построенный на «гарвардской» архитектуре по логике MKTrusT. Фактически,
это TrusTPad функцией IP-телефонии, выполненный в виде стационарного телефона с
ЖК-дисплеем и сенсорным номеронабирателем.

27   
Защищенные
носители «СЕКРЕТ». Виды, назначение, функции.

«Секрет» — это специальный носитель информации, который имеет
независимые от компьютера, к которому он будет подключаться, механизмы принятия
решения о том, на каких компьютерах с ним можно работать

«Личный секрет»

«Секрет фирмы» — это корпоративное решение, включающее в себя помимо
необходимого числа «Секретов» также сервера аутентификации и регистрации,
оборудованные средствами защиты информации обеспечивающими адекватный масштабу
сети уровень защищенности. ПО сервера аутентификации выполняется на обычном ПК,
выделенном для этой цели, поэтому для обеспечения доверенной среды вычислений
нужно установить на этот ПК ПАК Аккорд, который будет обеспечивать доверенную
загрузку ОС и контролировать доступ к серверу аутентификации.

«Секрет особого назначения» – предназначен для сотрудников, в сферу
ответственности которых входит работа с данным, конфиденциальность которых
критична, но которые, вместе с тем, должны храниться на служебном носителе и
переноситься сотрудником в рамках его должностных обязанностей на различные
компьютеры (а не только между зафиксированными администратором системы в списке
разрешенных рабочих мест). В аппаратном журнале фиксируются все попытки работы
с ним на различных ПК, вне зависимости от того, была ли попытка успешной. •
Отредактировать журнал нельзя.

«Идеальный токен» – предназначен для хранения ключевой информации. •
Производится контроль подключения только с рабочего места.

«ПАЖ» – средство архивирования журналов событий • Запрещает
редактирование журналов. • Данные можно только добавлять (Add Only), и
настроить на работу с одним или несколькими конкретными ПК, чтобы журналы не
путались. • Можно настроить сбор журналов из разных источников.

Обновлено: 27.04.2023

Защита информации в современных условиях становится все более сложной проблемой, что обусловлено рядом обстоятельств, основными из которых являются: массовое распространение средств электронной вычислительной техники (ЭВТ); усложнение шифровальных технологий; необходимость защиты не только государственной и военной тайны, но и промышленной, коммерческой и финансовой тайн; расширяющиеся возможности несанкционированных действий над информацией.

Кроме того, в настоящее время получили широкое распространение средства и методы несанкционированного и негласного добывания информации.

Необходимо помнить, что естественные каналы утечки, информации образуются спонтанно, в силу специфических обстоятельств, сложившихся на объекте защиты.

Что касается искусственных каналов утечки информации, то они создаются преднамеренно с применением активных методов и способов получения информации. Активные способы предполагают намеренное создание технического канала утечки информации с использованием специальных технических средств. К ним можно отнести незаконное подключение к каналам, проводам и линиям связи, высокочастотное навязывание и облучение, установка в технических средствах и помещениях микрофонов и телефонных закладных устройств, а также несанкционированный доступ к информации, обрабатываемой в автоматизированных системах (АС) и т.д.

Поэтому особую роль и место в деятельности по защите информации занимают мероприятия по созданию комплексной защиты, учитывающие угрозы национальной и международной безопасности и стабильности, в том числе обществу, личности, государству, демократическим ценностям и общественным институтам, суверенитету, экономике, финансовым учреждениям и развитию государства.

Казалось бы, на первый взгляд, ничего нового в этом нет. Требуются лишь известные усилия соответствующих органов, сил и средств, а также их соответствующее обеспечение всем необходимым.

Вместе с тем, проблемных вопросов по защите информации множество, их решение зависит от объективных и субъективных факторов, в том числе и дефицит возможностей.

Таким образом, проблема зашиты информации и обеспечения конфиденциальности приобретает актуальность.

Способы защиты от утечки конфиденциальной информации

Организационные средства защиты

К организационным средствам защиты можно отнести организационно-технические и организационно-правовые мероприятия, осуществляемые в процессе создания и эксплуатации АСОД с целью обеспечения защиты информации. Организационные мероприятия охватывают все структурные элементы АСОД и системы защиты на всех этапах их жизненного цикла: строительство помещений, проектирование системы, монтаж и наладка оборудования, испытания и проверка в эксплуатации АСОД. При этом организационные мероприятия играют двоякую роль в механизме защиты: с одной стороны, позволяют полностью или частично перекрывать значительную часть каналов утечки информации, а с другой обеспечивают объединение всех используемых в АСОД средств в целостный механизм защиты. Организационные меры защиты базируются на законодательных и нормативных документах по безопасности информации. Они должны охватывать все основные пути сохранения информационных ресурсов и включать: ограничение физического доступа к объектам АСОД и реализацию режимных мер; ограничение возможности перехвата информации вследствие существования физических полей; ограничение доступа к информационным ресурсам и другим элементам АСОД путем установления правил разграничения доступа, криптографическое закрытие каналов передачи данных, выявление и уничтожение “закладок”; создание твердых копий важных с точки зрения утраты массивов данных; проведение профилактических и других мер от внедрения “вирусов”. По содержанию все множество организационных мероприятий можно условно разделить на следующие группы.

Мероприятия, осуществляемые при создании АСОД: учет требований защиты при разработке общего проекта системы и ее структурных элементов, при строительстве или переоборудовании помещений, при разработке математического, программного, информационного или лингвистического обеспечений, монтаже и наладке оборудования, испытаниях и приемке системы. Мероприятия, осуществляемые в процессе эксплуатации АСОД: организация пропускного режима, организация технологии автоматизированной обработки информации, организация работы в сменах ВЦ, распределение реквизитов разграничения доступа (паролей, полномочий и т.д.), организация ведения протоколов, контроль выполнения требований служебных инструкций и т.п.

Мероприятия общего характера: учет требований защиты при подборе и подготовке кадров, организация плановых и превентивных проверок механизма защиты, планирование всех мероприятий по защите информации, обучение персонала, проведение занятий с привлечением ведущих организаций страны, участие в семинарах и конференциях по проблемам безопасности информации и т.п.

Аппаратные средства защиты

Аппаратными средствами защиты называются различные электронные и электронно-механические устройства, которые включаются в состав технических средств АСОД и выполняют самостоятельно или в комплексе с другими средствами некоторые функции защиты. К настоящему времени применяется значительное число различных аппаратных средств, причем они могут включаться практически во все устройства АСОД: терминалы пользователей, устройства группового ввода-вывода данных, центральные процессоры, внешние запоминающие устройства, другое периферийное оборудование.

Так, например, в терминалах пользователей наибольшее распространение получили устройства предназначенные для предупреждения несанкционированного включения терминала в работу (различного рода замки и блокираторы), обеспечения идентификации терминала (схемы генерирования идентифицирующего кода) и идентификации пользователя (магнитные индивидуальные карточки, дактилоскопические и акустические устройства опознавания и т.п.).

Самостоятельную группу составляют аппаратные средства шифрования данных, которые к настоящему времени получили весьма широкое распространение за рубежом и, в настоящее время, внедряются в нашей стране.

Современные устройства шифрования могут сопрягаться с помощью стандартных интерфейсов практически с любым устройством АСОД, обеспечивая как шифрование, так и дешифрование данных. Кроме того в больших АСОД находит применение целый ряд вспомогательных аппаратных средств защиты: устройства уничтожения информации на магнитных носителях, устройства сигнализации о несанкционированных действиях и ряд других.

Криптографические средства защиты

Криптографическими средствами защиты называются специальные средства и методы преобразования информации, в результате которых маскируется ее содержание. Основными видами криптографического закрытия являются шифрование и кодирование защищаемых данных. При этом шифрование есть такой вид закрытия, при котором самостоятельному преобразованию подвергается каждый символ закрываемых данных; при кодировании защищаемые данные делятся на блоки, имеющие смысловое значение, и каждый такой блок заменяется цифровым, буквенным или комбинированным кодом.

Для криптографического закрытия информации в АСОД наибольшее распространение получило шифрование. При этом используется несколько различных систем шифрования: заменой, перестановкой, гаммированием, аналитическим преобразованием шифруемых данных. Широкое распространение получили комбинированные шифры, когда исходный текст последовательно преобразуется с использованием двух или даже трех различных шифров.

Основной характеристикой меры защищенности информации криптографическим закрытием является стойкость шифра, причем под стойкостью понимается тот минимальный объем зашифрованного текста, статистическим анализом которого можно вскрыть исходный текст. Таким образом, по значению стойкости системы шифра можно определить допустимый объем шифрования информации при одних и тех же ключевых установках.

Однако практическая реализация такого шифра сопряжена с большими трудностями, поэтому в реальных системах этот вид шифрования не встречается. Большое распространение получили комбинированные шифры, их стойкость теоретически равна произведению стойкости используемых простых шифров. Так принятый в США национальный стандарт криптографической защиты основан на комбинированной системе шифрования. Важной характеристикой системы шифрования является ее производительность. Производительность шифрования зависит как от используемой системы шифра, так и от способа реализации шифрования в АСОД – аппаратного или программного. С точки зрения трудоемкости шифрования наименьших затрат требуют шифры замены, а наибольших – шифры, основанные на аналитическом преобразовании данных. С точки зрения способа реализации, аппаратное шифрование в несколько раз производительней программного шифрования, поэтому первому уделяется повышенное внимание.

В тоже время, программное шифрование обладает большими возможностями по использованию различных методов и при современных средствах вычислительной техники (высокая тактовая частота) применение программных методов также достаточно эффективно и очень часто применяется в средствах вычислительной техники наряду с другими программными средствами защиты информации.

Физические средства защиты

Физические объекты, механические, электрические и электронные устройства, элементы конструкции зданий, средства пожаротушения и целый ряд других средств, обеспечивающих выполнение следующих задач: защита территории и помещений вычислительного центра или центра автоматизированной системы электронной обработки данных (АСОД) от проникновения злоумышленников; защита аппаратуры и носителей информации от повреждения или хищения; предотвращение возможности наблюдения за работой персонала и функционированием оборудования из-за пределов территории или через окна; предотвращение возможности перехвата электромагнитных излучений работающего оборудования и линий передачи данных; контроль за режимом работы персонала; организация доступа в помещения ВЦ сотрудников; контроль за перемещением в различных рабочих зонах; противопожарная защита помещений ВЦ; минимизация материального ущерба и потерь информации, которые могут возникнуть в результате стихийного бедствия.

Физические средства защиты являются наиболее традиционными средствами охраны АСОД. В принципе, они ничем не отличаются от давно используемых средств охраны банков, музеев, магазинов и других объектов, которые потенциально могут привлечь злоумышленников. Однако, как правило, для физической защиты АСОД в настоящее время используются более совершенные и сложные системы. Физические средства защиты представляют собой первый рубеж защиты жизненно важных элементов вычислительной системы.

Следует четко представлять себе, что обеспечение физической безопасности системы является необходимым, но недостаточным условием сохранения целостности и конфиденциальности циркулирующей или хранящейся в ней информации. Для реализации систем физической защиты могут быть использованы самые разнообразные средства и методы.

Например, организация вооруженной охраны; ведение наблюдения за всеми принципиально возможными путями проникновения в помещения АСОД; организация пропускной системы (с использованием паролей, опознавательных значков, специальных магнитных карточек, сложных систем опознавания сотрудников по голосу или по дина- мике подписей, рентгеновские и ультразвуковые системы и т.п.); создание системы внешнего и внутреннего освещения; применение фотографических и телевизионных систем наблюдения; установка оград, барьеров и защитных экранов; применение датчиков для обнаружения нарушителей или для установления факта повреждения или похищения аппаратуры; использование датчиков дыма, открытого пламени и т.д. Физическим мерам защиты традиционно придается большое значение.

Конкретная структура физической системы защиты да и любой другой защиты определяется важностью материального, информационного или другого ресурса, подлежащего защите, а также уровнем необходимой секретности, материальными возможностями организации, возможностями проведения различных организационных мероприятий, существующим законодательством и целым рядом других не менее значимых факторов. Некоторые вопросы защиты информации от несанкционированного доступа.

НСД к информации в АСОД – это получение из функционирующей АСОД информации лицами, не имеющими права доступа к этой информации или не имеющими необходимых полномочий на ее модификацию и использование. НСД предполагает наличие следующих условий: Во-первых, имеется информация, доступ к которой ограничен; Во-вторых, существует возможность НСД к информации со стороны лиц, которым она не предназначена (как в результате случайных, так и преднамеренных действий).

В качестве действий, которые могут повлечь за собой осуществление НСД к информации, могут быть: использование “чужих” средств доступа (например, терминалов); вход в систему с “чужими” полномочиями путем подбора (или использования) “чужого” пароля; несанкционированное расширение “своих” полномочий за счет несовершенства системы защиты информации, в частности, ее об- хода, в основном за счет возможностей программного обеспечения.

В качестве примера можно привести следующие способы НСД к информации в АСОД: изменение правил разграничения доступа; создание специальных программ – вирусов для модификации и уничтожения информации; модификация программного обеспечения при начальной загрузке; организация считывания информации, оставшейся в оперативной памяти и на внешних носителях после решения задач; подключение к линиям передачи данных, кабелям, разъемам, контрольным точкам с помощью штатных и специальных средств приема и отображения информации; хищение средств вычислительной техники и носителей информации; создание неучтенных копий документов; нарушение работы АСОД с целью нарушения системы защиты информации; визуальное наблюдение за отображаемой информацией и прослушивание разговоров обслуживающего персонала и др. Для предотвращения НСД программными средствами защиты, как правило, обеспечиваются: идентификация и допуск пользователей с разграничением доступа к защищаемым ресурсам; управление средствами программной защиты.

При этом процесс идентификации предполагает идентификацию пользователей, периферийных устройств, отдельных СВТ при работе их в составе информационных сетей и идентификацию программного обеспечения. Разграничение доступа может включать в себя разграничение доступа к терминалам, к массивам информации, к носителям информации, к операциям над данными и разграничение доступа должностных лиц. При групповом использовании СВТ доступ пользователей к информации осуществляется в зависимости от санкционированных им функций.

Например, для защиты файлов применяются программы, которые реализуют правила разграничения доступа в виде таблиц полномочий. В таблице для каждого защищаемого файла записаны идентификаторы пользователей, которым разрешен доступ к данному файлу и разрешенный вид доступа для каждого пользователя (считывание, запись, выполнение и т. д.).

Рекомендуется применять специальные программы блокировки клавиатуры, диска или каталога без выключения компьютера, которые не позволяют получить доступ к жесткому диску без знания пароля даже при загрузке операционной системы со своей дискеты. По окончании работы с данными рекомендуется использовать специальные программы, обеспечивающие уничтожение фрагментов данных в ОЗУ, регистрах процессора, на жестком диске, в ЗУ принтера. Защита от несанкционированного использования программного обеспечения в результате несанкционированного копирования последнего реализуется применением специальных программных продуктов, подвергающих защищаемые программы предварительной обработки, которые приводят исполнимый код программ в состояние, препятствующее ее выполнение на “чужих” ЭВМ.

Похожие страницы:

Разработка эффективных систем защиты информации в автоматизированных системах

. ПО ЗАЩИТЕ ИНФОРМАЦИИ В АВТОМАТИЗИРОВАННЫХ СИСТЕМАХ 5.1 Организационные мероприятия 5.1.1 Рекомендации по категорированию информации в информационной системе предприятия 5.1.2 Рекомендации по категорированию пользователей информационной системы .

Разработка предложения по защите информации от несанкционированного доступа в сетях ЭВМ объединения

. Автоматизированные системы. Защита от НДС к информации. Классификация АС и требования по защите информации”, “Временное положение по . системы и соответственно всей системы в целом. Система защиты информации от НСД в ОС МСВС 3.0 представляет собой комплексную .

Разработка технологий аудита комплексной системы информационной безопасности

. проекте комплексным подходом к защите информации рассмотрена многоуровневая система безопасности, . Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации .

Информационные системы в экономике (18)

. Автоматизированные системы в страховой деятельности. Страхование – система отношений по защите . автоматизированной системы страхования является комплексность и единое информационное пространство. Такой подход . комплексный подход в обработке информации, .

Автоматизированная система документационного обеспечения управлен

Под защитой информации в автоматизированных системах обработки данных (АСОД) понимается регулярное использование в них средств и методов, принятие мер и осуществление мероприятий с целью системного обеспечения требуемой надежности информации, хранимой и обрабатываемой с использованием средств АСОД.

Основными видами информации, подлежащими защите в АСОД, могут быть:

§ исходные данные, т.е. данные, поступившие в АСОД на хранение и обработку от пользователей, абонентов и взаимодействующих систем;

§ производные данные, т.е. данные, полученные в АСОД в процессе обработки исходных и производных данных;

§ нормативно-справочные, служебные и вспомогательные данные, включая данные системы защиты;

§ программы, используемые для обработки данных, организации и обеспечения функционирования АСОД, включая и программы защиты информации;

§ алгоритмы, на основе которых разрабатывались программы (если они находятся на объектах, входящих в состав АСОД);

§ методы и модели, на основе которых разрабатывались алгоритмы (если они находятся на объектах, входящих в состав АСОД);

§ постановки задач, на основе которых разрабатывались методы, модели, алгоритмы и программы (если они находятся на объектах, входящих в состав АСОД);

§ техническая, технологическая и другая документация, находящаяся на объектах АСОД.

Под угрозой информации в АСОД понимают меру возможности возникновения на каком-либо этапе жизнедеятельности системы такого явления или события, следствием которого могут быть нежелательные воздействия на информацию: нарушение (или опасность нарушения) физической целостности, несанкционированная модификация (или угроза такой модификации) информации, несанкционированное получение (или угроза такого получения) информации, несанкционированное размножение информации.

Общая классификационная структура задач по защите информации в АСОД включает в себя следующие группы:

I. Механизмы защиты:

1) введение избыточности элементов системы;

2) резервирование элементов системы;

3) регулирование доступа к элементам системы;

4) регулирование использования элементов системы;

5) маскировка информации;

6) контроль элементов системы;

7) регистрация сведений о фактах, событиях и ситуациях, которые возникают в процессе функционирования АСОД;

8) своевременное уничтожение информации, которая больше не нужна для функционирования АСОД;

9) сигнализация о состоянии управляемых объектов и процессов;

10) реагирование на проявление дестабилизирующих факторов с целью предотвращения или снижения степени их воздействия на информацию.

II. Управления механизмами защиты:

1) планирование защиты – процесс выработки рациональной (оптимальной) программы предстоящей деятельности. В общем случае различают долгосрочное (перспективное), среднесрочное и текущее планирование;

2) оперативно-диспетчерское управление защитой информации – организованное реагирование на непредвиденные ситуации, которые возникают в процессе функционирования управляемых объектов или процессов;

3) календарно-плановое руководство защитой – регулярный сбор информации о ходе выполнения планов защиты и изменении условий защиты, анализе этой информации и выработке решений о корректировке планов защиты;

4) обеспечение повседневной деятельности всех подразделений и отдельных должностных лиц, имеющих непосредственное отношение к защите информации – планирование, организация, оценка текущей деятельности, сбор, накопление и обработка информации, относящейся к защите, принятие текущих решений и др.

К основным методам защиты информации относятся:

Ø повышение достоверности информации;

Ø криптографическое преобразование информации;

Ø контроль и учет доступа к внутреннему монтажу аппаратуры, линиям связи и технологическим органам управления;

Ø ограничение доступа;

Ø разграничение и контроль доступа к информации;

Ø разделение доступа (привилегий);

Ø идентификация и аутентификация пользователей, технических средств, носителей информации и документов.

3.3 Особенности защиты информации в ПЭВМ

Особенностями ПЭВМ с точки зрения защиты информации являются:

ü малые габариты и вес, что делает их легко переносимыми;

ü наличие встроенного внутреннего запоминающего устройства большого объема, сохраняющего записанные данные после выключения питания;

ü наличие сменного запоминающего устройства большого объема и малых габаритов;

ü наличие устройств сопряжения с каналами связи;

ü оснащенность программным обеспечением с широкими функциональными возможностями.

Основная цель защиты информации в ПЭВМ заключается в обеспечение ее физической целостности и предупреждении несанкционированного доступа к ней.

В самом общем виде данная цель достигается путем ограничения доступа посторонних лиц в помещения, где находятся ПЭВМ, а также хранением сменных запоминающих устройств и самих ПЭВМ с важной информацией в нерабочее время в опечатанном сейфе.

Наряду с этим для предупреждения несанкционированного доступа к информации используются следующие методы:

§ опознавание (аутентификация) пользователей и используемых компонентов обработки информации;

§ разграничение доступа к элементам защищаемой информации;

§ регистрация всех обращений к защищаемой информации;

§ криптографическое закрытие защищаемой информации, хранимой на носителях (архивация данных);

§ криптографическое закрытие защищаемой информации в процессе ее непосредственной обработки.

Для опознавания пользователей к настоящему времени разработаны и нашли практическое применение следующие способы.

2. Опознавание в диалоговом режиме. При обращении пользователя программа защиты предлагает ему назвать некоторые данные из имеющейся записи (пароль, дата рождения, имена и даты рождения родных и близких и т.п.), которые сравниваются с данными, хранящимися в файле. При этом для повышения надежности опознавания каждый раз запрашиваемые у пользователя данные могут быть разными.

3. Опознавание по индивидуальным особенностям и физиологическим характеристикам. Реализация данного способа предполагает наличие специальной аппаратуры для съема и ввода соответствующих параметров и программ их обработки и сравнения с эталоном.

5. Опознавание по специальным идентификационным карточкам. Изготавливаются специальные карточки, на которые наносятся данные, персонифицирующие пользователя: персональный идентификационный номер, специальный шифр или код и т.п. Эти данные на карточку заносятся в зашифрованном виде, причем ключ шифрования может быть дополнительным идентифицирующим параметром, поскольку может быть известен только пользователю, вводиться им каждый раз при обращении к системе и уничтожаться сразу же после использования.

Каждый из перечисленных способов опознавания пользователей имеет свои достоинства и недостатки, связанные с простотой, надежностью, стоимостью и др.

4. Разграничение доступа по мандатам. Данный способ заключается в том, что каждому защищаемому элементу присваивается персональная уникальная метка, после чего доступ к этому элементу будет разрешен только тому пользователю, который в своем запросе предъявит метку элемента (мандат), которую ему может выдать администратор защиты или владелец элемента.

Криптографическое закрытие защищаемой информации, хранимой на носителях (архивация данных) заключается в использовании методов сжатия данных, которые при сохранении содержания информации уменьшают объем памяти, необходимой для ее хранения.

Криптографическое закрытие защищаемой информации в процессе ее непосредственной обработкиосуществляется с помощью устройств программно-аппаратных комплексов, обеспечивающих шифрование и дешифрование файлов, групп файлов и разделов дисков, разграничение и контроль доступа к компьютеру, защиту информации, передаваемой по открытым каналам связи и сетям межмашинного обмена, электронную подпись документов, шифрование жестких и гибких дисков.

При организации автоматизированных информационных систем (АИС) должны строго соблюдаться требования по защите конфиденциальных данных, которые призваны предотвратить их утечку или искажение. Защита информации в автоматизированной системе должна предотвратить воздействие угроз различного происхождения, включая техногенные аварии, воздействие вредоносного ПО или хакеров, похищение данных инсайдерами с целью продажи или шпионажа. Снизить уровень таких рисков позволяет реализация комплекса мер защиты аппаратного и программного уровня.

Задачи по защите информации

Информация имеет определенную ценность. При этом изменение ряда свойств информации может приводить к потере такой ценности. К числу таких свойств по действующему законодательству об охране данных относятся:

• конфиденциальность — невозможность доступа третьих лиц;
• целостность (неизменность) — возможность изменения информации только лицами, которые имеют соответствующий допуск;
• доступность — обеспечение доступа пользователя к необходимой информации без ограничений в связи с проблемами аппаратного уровня или действия вредоносного программного обеспечения.

Методы защиты информации в автоматизированных системах должны применяться ко всему массиву данных, которые обрабатываются в компании, а также по отношению к отдельным блокам повышенной важности.

Объекты защиты

Для применяемых способов защиты информации в автоматизированных системах характерна определенная стоимость. Поэтому важно дифференцировать объекты защиты, чтобы наиболее дорогостоящие и сложные способы использовались по отношению к объектам повышенной ценности. Это разграничение выполняется еще на этапе разработки требований к архитектуре АИС.

В том числе информационные массивы делят на такие виды:

• Исходные данные — первичная информация, поступающая на хранение и обработку в АИС от клиентов, пользователей, контрагентов.
• Производные данные — информация, которая создается непосредственно в АИС, в процессе обработки исходных данных. Сюда относят отчеты, базы данных и другие структурированные информационные массивы.
• Служебные. Данные вспомогательного характера, архивы защитных систем, данные сканирования.
• Программные средства защиты данных — лицензированное ПО или ПО собственной разработки.
• Алгоритмы, на основе которых разрабатываются программы.

Все информационные массивы, кроме вспомогательных данных, могут содержать коммерческую тайну. Поэтому они выступают в качестве объектов защиты информации в автоматизированных системах, которая должна выполняться с максимальной эффективностью.

Планирование и реализация систем защиты

Важным требованием при обеспечении защиты информации в АИС является планомерное решение этой задачи. Эта деятельность должна быть структурирована и разбита на этапы.

Можно выделить такие этапы:

На каждом из этих этапов должны применяться в полном объеме доступные ресурсы и осуществляться контроль эффективности.

Методы защиты информации

При построении системы защиты информации в АИС могут применяться одновременно разные методы, в том числе:

• методы повышения уровня достоверности данных;
• методы защиты информации в автоматизированных системах от их потери в результате аварий и аппаратных сбоев;
• методы контроля физического доступа к оборудованию и сетям, который может приводить к хищению данных, повреждению аппаратуры, преднамеренному созданию нештатных и аварийных ситуаций, установке шпионских приборов и т. д.;
• методы идентификации пользователей, аутентификации ПО, съемных носителей.

Применяются и другие методы организационного и аппаратно-программного характера. Первые реализуются централизованно на уровне компании, а выбор аппаратно-программных методов остается на выбор специалиста.

Организационные

Выбор организационных методов и их применение определяется спецификой деятельности компании, включая ее правовое регулирование. По этому параметру организации делятся на такие категории:

• Частная фирма, которая не работает с информацией, содержащей гостайну, и не является оператором персональных данных. Допускается использование любых методов, удобных для организации.
• Частная компания, являющаяся оператором персональных данных или работающая с данными, содержащими гостайну. Требования к методам защиты информации в автоматизированных информационных системах устанавливаются действующим законодательством и положениями нормативной документации ФСТЭК РФ.
• Банк. Обрабатывает 3 категории конфиденциальных данных — персональные данные, коммерческую и банковскую тайну. Требования о применении организационных методов защиты устанавливаются положениями Центробанка.
• Государственное предприятие или государственный орган. Требования по применению организационных методов устанавливаются на уровне головных организаций и министерств.

Выделяют две категории организационных методов защиты информации — системные и административные.

К числу системных методов принадлежат:

• повышение степени надежности оборудования, выбор аппаратуры с минимальными рисками отказа, использование специального оборудования для минимизации рисков потери данных при аварийном отключении питания;
• организация резервирования информации на внешних серверах для предотвращения ошибок в результате системных сбоев или физического повреждения оборудования;
• ранжирование пользователей с предоставлением разных уровней допуска для уменьшения вероятности хищения, изменения, уничтожения информации;
• структурирование обработки данных, совершенствование смежных процессов, формирование специализированных кластеров для работы с определенными типами данных.

За разработку и внедрение применяемых в организации административных методов защиты несет ответственность руководство фирмы, вышестоящие инстанции, подразделения безопасности и управления персоналом.

Среди административных методов защиты информации можно назвать такие способы:

• утверждение внутренних нормативных документов, регламентирующих обработку данных и доступ к АИС;
• создание у персонала заинтересованности в защите данных;
• создание режима коммерческой тайны, внесение положений об ответственности за ее разглашение в контракты с работниками и трудовые договоры;
• обучение и повышение мотивации персонала;
• улучшение эргономики и условий труда, чтобы исключить потерю данных и системные сбои в связи с потерей внимания и усталостью работников.

Внедрение организационных методов проводится с параллельным аудитом, который показывает их эффективность и позволяет совершенствовать защиту.

Аппаратно-программные

Способы этой категории определяются политикой компании и регламентом ИТ-подразделений. Методы программного уровня поддерживают защищенность данных при обработке в АИС и передаче по различным каналам связи. Аппаратные методы предусматривают использование высокоточных контрольно-технических средств для дублирования функций программных способов защиты. Такие средства могут обнаруживать ошибки, недоступные для выявления программными способами.

Основные группы задач, которые выполняются аппаратно-программными методами:

• Трехуровневое резервирование и дублирование данных, формирование удаленных баз данных. Оперативное резервирование предусматривает копирование информации в реальном времени. Восстановительное резервирование применяется для восстановления информации в случае утери из-за сбоев. Долгосрочное резервирование — сохранение значительного объема данных, в том числе копий полного объема системных файлов, с длительным хранением для восстановления и проведения аудита.
• Блокирование ошибочных или преднамеренных вредоносных операций.
• Защита информации от вредоносного ПО. Применяется сканирование, обнаружение изменений элементов файлов, аудит, антивирусное программное обеспечение.
• Защита от несанкционированного доступа к данным. Применяются файерволы, средства выявления атак.
• Шифрование данных методами криптографической защиты.
• Контроль доступа, аутентификация пользователей.

Помимо этих методов, активно внедряется DLP- и SIEM-системы, а также другие комплексные решения.

Методы контроля доступа

Формирование контроля доступа пользователей — необходимая мера для защиты информации. Контроль доступа реализуется на организационном и программном уровне.

Предусматривается размещение рабочих станций и периферийного оборудования в замкнутом пространстве, куда исключается доступ посторонних. Для этого в компании создается пропускная система. Для обработки информации повышенной важности могут выделяться отдельные зоны с доступом по электронному пропуску. Рабочие станции в таких зонах работают без подключения к общей сети.

Определенные процессы могут обрабатываться на специально выделенных рабочих станциях, которые также зачастую не подключаются к сети. Этот метод предполагает создание отдельных кластеров для вывода на печать.

Методы идентификации пользователей

Еще одним ключевым системным решением для обеспечения безопасности данных в АИС является допуск только уполномоченных пользователей к работе с информацией. Для аутентификации могут использоваться разные способы, с учетом степени ценности защищаемых данных, в том числе:

• Логин и пароль. Пользователь аутентифицируется путем введения этих идентификационных данных, которые должны иметь определенный формат. Устанавливаются требования по периодичности смены логина и пароля, предусматриваются меры дисциплинарной ответственности за передачу этих данных третьим лицам или за вход в систему под чужими данными.
• Диалоговый режим. Для распознавания определенного пользователя в систему вводится набор определенных данных. После этого для входа в систему пользователь должен будет отвечать на меняющиеся вопросы.
• Биометрический метод. Распознавание при помощи специального оборудования по отпечаткам пальцев, сетчатке глаза.
• Использование автоматических радиокодовых устройств (токенов), которые передают в систему зашифрованные сигналы. Если эти сигналы совпадают с заданными значениями, пользователю предоставляется доступ.
• Аутентификация при помощи чипов. Информация, идентифицирующая пользователя, содержится на чипе и считывается при входе в систему. Эта информация может быть нанесена в зашифрованном виде. В этом случае ключ шифрования используется как дополнительный идентификационный параметр.

Максимальное снижение рисков обеспечивают аппаратные методы контроля доступа, которые исключают подделку или перехват паролей. При этом наиболее высокая эффективность достигается с помощью биометрии.

Средства разграничения доступа

Применяются следующие варианты разграничения доступа пользователей к информации в соответствии с установленными полномочиями:

• По уровню конфиденциальности. Предусматривается установка грифов секретности для маркировки информационных массивов и пользователей. Каждый пользователь получает доступ к данным не выше собственного уровня.
• По специальным спискам. Каждому файлу, базе данных, программе или другому информационному объекту устанавливается перечень допущенных пользователей. Второй вариант — определение для каждого пользователя перечня разрешенных информационных объектов.
• По матрице полномочий. Применяется двухмерная матрица, внутри которой за каждым пользователем закреплен идентификатор. Этот идентификатор прописывается в столбце. В строке матрицы прописаны идентификаторы информационных элементов. Допуск разрешается при совпадении обоих идентификаторов.
• По мандатному принципу. Элементу информации, подлежащему защите, присваивается метка. Аналогичная метка должна содержаться и в запросе для предоставления доступа.

Минусом этих методов является слабый уровень эффективности против инсайдеров, которые могут присвоить признаки идентификации других пользователей. Для защиты от них должна быть реализована система протоколирования.

Протоколирование

Система протоколирования предусматривает создание учетного журнала, в который автоматически заносятся сведения о действиях пользователей. Такие журналы функционируют на основе программ-регистраторов, работающих самостоятельно или в составе системы DLP. Протоколирование обеспечивает контроль использования информации, подлежащей защите, фиксируют безуспешные и успешные попытки доступа к ней, осуществляют запись действий. Это позволяет накапливать статистическую базу для последующего аудита.

SIEM-системы

SIEM-системы (Security Information and Event Management) — решения, которые внедряются крупными компаниями для обеспечения комплексной информационной защиты. Они не защищают напрямую от инцидентов, а обеспечивают оперативное информирование о сбоях и нарушениях в работе ПО и оборудования.

SIEM с установленной периодичностью выполняет опрос программ, включая антивирусы и DLP, маршрутизаторов, другого оборудования. Полученные данные сопоставляются с заданными значениями. При обнаружении отклонений SIEM отправляет уведомление, на основании которого соответствующие службы принимают необходимые меры.

К дополнительным функциям таких систем относится протоколирование и ведение журналов учета, что позволяет сформировать доказательную базу для расследования преступлений и нарушений в сфере информационной безопасности. Кроме того, SIEM обеспечивают аудит готовности системы к исполнению своих функций. Данные, получаемые от SIEM, дают основания для внедрения нового ПО или изменения технологических параметров АИС.

DLP-системы

DLP-системы призваны поддерживать максимальную защиту от несанкционированных действий пользователей, обеспечивая полную целостность и конфиденциальность защищаемых данных. Действие такой системы строится на способности отличать открытую информацию от конфиденциальной. Она осуществляет мониторинг внутреннего и внешнего трафика и фиксируется события, связанные с копированием, передачей наружу или выводом на печать конфиденциальной информации. В таких случаях применяется блокировка и с предупреждением пользователя.

Система DLP может дорабатываться под индивидуальные потребности организации и обеспечивает комплексную защиту информации. Необходимым условием для внедрения таких систем является наличие сертификата ФСТЭК, подтверждающего отсутствие незадекларированных возможностей.

Собрала для вас похожие темы рефератов, посмотрите, почитайте:

Введение

Для предотвращения несанкционированного доступа к вашим компьютерам необходимы средства идентификации и разграничения доступа к информации.

Информационная безопасность и технические меры защиты

Информация является результатом отражения движения объектов материального мира в системах живой природы.

Важным событием последнего десятилетия в области технической защиты информации является появление и развитие концепции аппаратной защиты.

Основные идеи аппаратной защиты следующие:

Необходимость защиты информационных технологий была признана совсем недавно.

В процессе информационного взаимодействия на разных его этапах люди (операторы, пользователи) заняты и используются средства информатизации — технические (ПК, ЛВС) и программные (ОС, ПП). Информация создается людьми, затем трансформируется в данные и представляется в автоматизированных системах в виде электронных документов, которые объединяются в информационные ресурсы. Данные между компьютерами передаются по каналам связи. Во время работы автоматизированной системы данные преобразуются в соответствии с используемой информационной технологией.

Меры технической защиты могут быть дифференцированы соответствующим образом:

1. аутентификация участников информационного взаимодействия;
2. защита технических средств от несанкционированного доступа;
3. разграничение доступа к документам, ресурсам ПК и сети;
4. защита электронных документов;
5. защита данных в каналах связи;
6. защита информационных технологий;
7. дифференциация доступа к потокам данных.

В следующем разделе рассматриваются виды мер по выявлению и разграничению информации, относящейся к нашей теме.

Методы идентификации и разграничения информации

Идентификация/аутентификация (ИА) участников информационного взаимодействия должна осуществляться на аппаратном уровне до этапа загрузки операционной системы. Базы данных ИА должны храниться в энергонезависимой памяти ЛВС, организованной таким образом, чтобы доступ к ним с помощью ПК был невозможен, т.е. энергонезависимая память должна размещаться вне адресного пространства ПК. Программное обеспечение блока управления должно храниться в памяти блока управления и быть защищено от несанкционированного изменения. Целостность программного обеспечения контроллера должна быть гарантирована технологией производства контроллера LPG. Идентификация производится с помощью отчужденных носителей.

Современные операционные системы все чаще содержат встроенные средства разграничения доступа. Как правило, эти инструменты используют функции конкретной файловой системы (ФС) и основаны на атрибутах, которые тесно связаны с одним из уровней API операционной системы. Это неизбежно приводит к проблемам, по крайней мере, следующим.

Привязка к свойствам файловой системы

Современные операционные системы обычно используют не одну, а несколько ФС — как новые, так и устаревшие. В этом случае, как правило, работает на новой ТС, встроенной в операционную систему, а на старой — может не работать, так как встроенный разъединитель доступа использует существенные отличия новой ТС. Этот факт обычно явно не упоминается в сертификате, что может ввести пользователя в заблуждение. И на самом деле, представим себе, что на компьютере с новой операционной системой используется программное обеспечение, разработанное для предыдущей версии, которое фокусируется на особенностях предыдущей ФС. Пользователь имеет право верить, что установленные механизмы безопасности, сертифицированные и специально разработанные для используемой операционной системы, выполняют свои функции, когда на самом деле они отключены. В реальной жизни такие случаи могут встречаться довольно часто — зачем переписывать задание приложения после смены операционной системы? Кроме того, она должна обеспечить совместимость со старой FS и быть включена в новую операционную систему.

Привязка к API операционной системы

Обычно операционные системы меняются очень быстро — раз в полтора года. Возможно, что они будут меняться еще чаще. Некоторые из этих изменений связаны с изменениями, включая API — например, переход с Win9x на WinNT. Если атрибуты разграничения доступа отражают состав API — при переходе на современную версию операционной системы, настройки безопасности придется переустанавливать, персонал будет проходить переподготовку и т.д. и т.п.

Таким образом, можно сформулировать общее требование — подсистема разграничения доступа должна быть наложена на операционную систему и при этом независима от файловой системы. Конечно, структура атрибутов должна быть достаточной для описания политики безопасности, и описание не должно быть в таких терминах, как API операционной системы, а также в терминах, где обычно работают администраторы безопасности.

Теперь рассмотрим конкретный комплекс мероприятий на программно-аппаратном уровне, направленных на обеспечение информационной безопасности информационных систем.

Здесь можно назначить следующие группы:

• универсальные инструменты для ОС;
• Брандмауэры.

Борьба с угрозами, присущими сетевой среде, с помощью универсальных операционных систем невозможна. Универсальная операционная система — это огромная программа, которая, помимо очевидных недостатков, вероятно, содержит некоторые возможности, которые могут быть использованы для получения незаконных привилегий. Современные технологии программирования не позволяют сделать такие большие программы безопасными. Кроме того, администратор, имеющий дело со сложной системой, далеко не всегда в состоянии учесть все последствия внесенных изменений (а также врач, который не знает всех побочных эффектов рекомендуемых препаратов). Наконец, в универсальной многопользовательской системе дыры в безопасности постоянно создаются самими пользователями (слабые и/или редко меняющиеся пароли, плохо настроенные права доступа, необслуживаемый терминал и т.д.).

Как упоминалось выше, единственным перспективным направлением является разработка специальных средств защиты, которые в силу своей простоты позволяют проводить формальную или неформальную проверку. Брандмауэр как раз и является таким инструментом, который позволяет осуществлять дальнейшую декомпозицию в связи с работой различных сетевых протоколов.

Брандмауэр — это полупроницаемая мембрана, расположенная между защищенной (внутренней) сетью и внешней средой (внешними сетями или другими сегментами корпоративной сети), которая контролирует все информационные потоки, входящие и выходящие из внутренней сети (Рисунок 1). Управление информационными потоками заключается в их фильтрации, т.е. избирательном прохождении экрана, возможно, с некоторыми проведенными преобразованиями и уведомлением отправителя о том, что его данные в паспорте будут отклонены. Фильтрация основана на наборе предустановленных на экране правил, которые представляют собой выражение сетевых аспектов политики безопасности организации.

Рекомендуется разделять случаи, когда экран устанавливается на границе внешней (обычно публичной) сети или на границе между сегментами корпоративной сети. Соответственно, мы поговорим о внешних и внутренних брандмауэрах.

При общении с внешними сетями обычно используется только семейство протоколов TCP/IP. Поэтому внешний брандмауэр должен учитывать особые функции этих протоколов. Для внутренних брандмауэров ситуация более сложная; здесь, помимо TCP/IP, следует учитывать, по крайней мере, протоколы SPX/IPX, используемые в сетях Novell NetWare. Другими словами: Внутренние экраны часто должны быть многопротокольными. Ситуации, когда корпоративная сеть содержит только один внешний канал, являются скорее исключением, чем правилом. Напротив, типичная ситуация, когда корпоративная сеть состоит из нескольких географически рассредоточенных сегментов, каждый из которых подключен к публичной сети (Рисунок 2). В этом случае каждое соединение должно быть защищено отдельным экраном. Точнее, можно предположить, что внешний корпоративный брандмауэр составлен и что он должен решить проблему скоординированного управления (управления и аудита) всеми компонентами.

Семиуровневая референсная модель ISO/OSI является основой для любого рассмотрения сетевых технологий. Также полезно классифицировать брандмауэры в соответствии с тем, осуществляется ли фильтрация на уровне соединения, сети, транспорта или приложения. Соответственно, можно сделать ссылку на экранирующие концентраторы (уровень 2), маршрутизаторы (уровень 3), транспортное экранирование (уровень 4) и прикладное экранирование (уровень 7). Существуют также сложные экраны, которые анализируют информацию на нескольких слоях.

В этой статье мы не будем рассматривать экранирующие концентраторы, так как они концептуально очень сильно отличаются от экранирующих маршрутизаторов.

Таким образом, возможности брандмауэра напрямую определяются тем, какую информацию можно использовать в правилах фильтрации и насколько мощными могут быть наборы правил. В целом, чем выше уровень в модели ISO/OSI, на котором работает экран, тем больше информации доступно на экране и тем тоньше и надежнее можно настроить экран. В то же время, фильтрация на каждом из вышеупомянутых уровней имеет свои преимущества, такие как низкая стоимость, высокая эффективность или прозрачность для пользователей. По этой причине, как и по некоторым другим причинам, в большинстве случаев используются смешанные конфигурации, сочетающие различные типы экранов. Наиболее распространенной является комбинация экранирующих маршрутизаторов и экрана приложений.

Помимо выразительности и допустимого количества правил, качество брандмауэра определяется двумя другими очень важными характеристиками — удобством использования и самозащитой. С точки зрения удобства использования, четкий интерфейс при настройке правил фильтрации и возможность централизованного управления сложными конфигурациями имеют первостепенное значение. В последнем аспекте, с другой стороны, было бы желательно предусмотреть средства для централизованной загрузки правил фильтрации и проверки набора правил на непротиворечивость. Также важным является централизованный сбор и анализ регистрационной информации и получение сигналов о попытках совершения действий, запрещенных политикой безопасности.

Собственная защита брандмауэра обеспечивается теми же средствами, что и защита универсальных систем. При выполнении централизованного управления все равно необходимо обеспечить защиту информации от пассивного и активного перехвата сети, то есть обеспечить ее (информации) целостность и конфиденциальность.

Вид экранирования (фильтрации) как защитного механизма очень глубокий. Помимо блокирования потоков данных, нарушающих политики безопасности, брандмауэр также может скрывать информацию о защищаемой сети, что затрудняет действия потенциальных злоумышленников. Например, окно приложения может действовать от имени субъектов внутренней сети, создавая впечатление, что только брандмауэр взаимодействует (рисунок 4). Такой подход скрывает топологию внутренней сети от внешних пользователей, что значительно усложняет задачу злоумышленника.

Заключение

В области защиты компьютерной информации дилемма безопасности сформулирована следующим образом: Необходимо выбирать между безопасностью системы и открытостью. Однако правильнее говорить о равновесии, чем о выборе, поскольку система, не обладающая свойством открытости, не может быть использована.

Список литературы

Образовательный сайт для студентов и школьников

© Фирмаль Людмила Анатольевна — официальный сайт преподавателя математического факультета Дальневосточного государственного физико-технического института

Читайте также:

  

• Британская национальная библиотека реферат

  

• 14 января день защитника отечества в узбекистане реферат

  

• Реферат на тему философия нового времени ф бэкон

  

• Функции органов местного самоуправления при осуществлении мер социальной защиты населения реферат

  

• Реферат на тему природные комплексы

Содержание:

ВВЕДЕНИЕ

Распространение и повсеместное использование новых информационных ресурсов и технологий не только дает множество преимуществ, но также и создает трудности совершенно нового уровня. Высокая степень информатизации общества привела его к такой ситуации, в которой данные обрабатываются в считанные секунды, но при этом они уязвимы, как никогда прежде в человеческой истории.

Сегодня насчитывается множество самых разнообразных угроз информационной безопасности, которые могут возникнуть как по вине человека, так и без его непосредственного участия. Ущерб же, нанесенный человеком, может быть случайный и умышленный, и в последнем случае мы имеем дело с киберпреступлениями. В основном подобные преступления совершаются на основе корпоративных сетей и компьютеров, так как компаниям, как правило, действительно есть, что терять. И в связи с этим недостаточный уровень подготовки к различным видам воздействия на информацию может очень дорого стоить для коммерческих предприятий.

Цель работы – изучение назначения и структуры системы защиты информации коммерческого предприятия.

Для достижения поставленной цели необходимо выполнить следующие задачи:

1. Рассмотреть понятие защиты информации.
2. Охарактеризовать системы защиты информации.
3. Проанализировать назначение системы защиты информации коммерческого предприятия.
4. Изучить структуру системы защиты информации коммерческого предприятия.

Объектом исследования выступают системы защиты информации коммерческого предприятия, а предметом – назначение и структура таких систем.

Структура работы имеет следующий вид: 2 главы, 4 параграфа, введение, заключение, список использованной литературы.

Теоретической базой исследования выступили труды различных современных исследователей проблемы, всесторонне и глубоко изучающих вопросы обеспечения информационной безопасности в целом и информационной безопасности коммерческого предприятия в частности. В число авторов, чьи работы были проанализированы, входят такие известные исследователи, как Галицкий А. В. и Партика Т. Л., а также мн. др.

Защита информации. Системы защиты информации

1.1 Понятие защиты информации

Под защитой информации принято понимать использование различных средств и методов, принятие мер и осуществление мероприятий с целью системного обеспечения надежности передаваемой, хранимой и обрабатываемой информации.

Можно выделить несколько основных задач, решение которых в информационных системах и телекоммуникационных сетях обеспечивает защиту информации, а именно:

• организация доступа к информации только допущенных к ней лиц;
• подтверждение истинности информации;
• защита от перехвата информации при передаче ее по каналам связи;
• защита от искажений и ввода ложной информации [5].

Защитить информацию – это значит:

• обеспечить физическую целостность информации, т.е. не допустить искажений или уничтожения элементов информации;
• не допустить подмены (модификации) элементов информации при сохранении ее целостности;
• не допустить несанкционированного получения информации лицами или процессами, не имеющими на это соответствующих полномочий;
• быть уверенным в том, что передаваемые (продаваемые) владельцем информации ресурсы будут использоваться только в соответствии с обговоренными сторонами условиями.

Угроза безопасности информации – совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации, как несанкционированными, так и непреднамеренными воздействиями на нее [15].

Основными формами нарушения (угрозами), которые возможны при наличии уязвимостей, применительно к основным свойствам информации, являются:

• разглашение (конфиденциальной) информации – несанкционированное доведение защищаемой информации до потребителей, не имеющих права доступа к этой информации;
• несанкционированный доступ (НСД) – получение защищаемой информации заинтересованным субъектом с нарушением установленных правовыми документами или собственником, владельцем информации прав или правил доступа к защищаемой информации;
• непреднамеренные или несанкционированные воздействия, приводящие к изменению, искажению (модификации), копированию, уничтожению и т.д.
• блокирование доступа к ЗИ в результате непреднамеренных или несанкционированных воздействий;
• уничтожение, или сбой функционирования носителя ЗИ в результате непреднамеренных или несанкционированных воздействий [9].

Причины возникновения данных угроз проявляются следующим образом:

1) Непреднамеренное или несанкционированное воздействие на информацию (НПД):

• ошибка пользователя информацией,
• сбой технических и программных средств информационных систем,
• природные явления или иные нецеленаправленные на изменение информации действия, приводящие к искажению, уничтожению, копированию, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации.

2) Сбои оборудования:

• сбои кабельной системы перебои электропитания;
• сбои дисковых систем;
• сбои систем архивации данных;
• сбои работы серверов, рабочих станций, сетевых карт и т.д.

3) Потери информации из–за некорректной работы ПО:

• потери или изменение данных при ошибках ПО;
• потери при заражении системы компьютерными вирусами;
• программные ловушки;

Технические средства получения информации

К техническим средствам получения информации относятся:

• перехват электрического излучения;
• включение в электрическую цепь;
• жучки;
• акустический перехват;
• хищение информационных носителей [11]

Для защиты информации используются технические и программные средства.

Технические средства реализуются в виде электрических, электромеханических, электронных устройств.

Всю совокупность технических средств принято делить на:

• аппаратные устройства, встраиваемые непосредственно в аппаратуру, или устройства, которые сопрягаются с аппаратурой сети по стандартному интерфейсу (схемы контроля информации по четности, схемы защиты полей памяти по ключу, специальные регистры);
• физические – реализуются в виде автономных устройств и систем (электронно–механическое оборудование охранной сигнализации и наблюдения. Замки на дверях, решетки на окнах) [5].

Программные средства – программы, специально предназначенные для выполнения функций, связанных с защитой информации.

Радикальное решение проблем защиты электронной информации может быть получено только на базе использования криптографических методов, которые позволяют решать важнейшие проблемы защищённой автоматизированной обработки и передачи данных. При этом современные скоростные методы криптографического преобразования позволяют сохранить исходную производительность автоматизированных систем.

Криптографические преобразования данных являются наиболее эффективным средством обеспечения конфиденциальности данных, их целостности и подлинности. Только их использование в совокупности с необходимыми техническими и организационными мероприятиями могут обеспечить защиту от широкого спектра потенциальных угроз.

Электронная цифровая подпись (ЭЦП) – вид аналога собственноручной подписи, являющийся средством защиты информации, обеспечивающим возможность контроля целостности и подтверждения подлинности электронных документов [13].

1.2 Система защиты информации

В настоящее время большинство авторов в определение комплексной системы защиты информации включают три основных компонента: объект, угроза, защита [6]. Объектом защиты в данном случае являются информация или носитель информации, или информационный процесс, которые необходимо защищать в соответствии с поставленной целью защиты информации [2]. В связи с возможностью перехода информации из одной формы в другую, а также с многообразием видов носителей информации определить полный перечень объектов защиты практически невозможно. Обычно объекты защиты определяют по основному признаку – содержат ли они или циркулирует ли в них информация ограниченного доступа. В соответствии с Национальным стандартом РФ «Защита информации. Основные термины и определения» (ГОСТ Р 50922–2006) к объектам защиты информации могут быть отнесены: охраняемая территория, здание (сооружение), выделенное помещение, информация и (или) информационные ресурсы объекта информатизации.

Носитель информации – это материальный объект, в том числе физическое поле, в котором информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин [3].

Различают следующие виды носителей информации:

• люди (обслуживающий персонал, пользователи информации и информационных ресурсов и др.; способность мозга человека познавать внешний мир, накапливать в памяти информацию, а также анализировать и перерабатывать ее с целью создания новой информации ставит чело­века на первое место как носителя конфиденциальной информации);
• документ (согласно ст.2 Федеральный закон от 27 июля 2006 г. № 149–ФЗ «Об информации, информационных технологиях и о защите информации» документированная информация – зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или в установленных законодательством Российской Федерации случаях ее материальный носитель[15]; данный термин указывает на три основных признака документа: наличие материального носителя информации; идентифицируемость зафиксированных на носителе сведений; возможность изменения форм ее закрепления, т.е. возможность копирования информации; могут быть классифицированы по ряду признаков: по видам деятельности, по происхождению, по месту возникновения, по содержанию, по гласности, по форме, по срокам хранения, в зависимости от способа воспроизведения, по стадиям создания и др.; являются наиболее информативными носителями, так как они содержат, как правило, достоверную информацию в отработанном и сжатом виде; особую ценность имеют подписанные и утвержденные документы);
• публикации (информационные носители в виде разнообразных изданий: книги, статьи, обзоры, сообщения, доклады, рекламные проспекты и т.д.; отграничивают содержание различных конференций, симпозиумов, научных семинаров и других подобных публичных форумов, где опытные специалисты собирают новую и самую ценную информацию);
• технические носители (носители любой формы, кино–, фотоматериалы, магнитные носители, видеодиски, распечатки данных и программ на принтерах и др.) [16];
• технические средства обеспечения производственной и трудовой деятельности (телефоны, телевизоры, радиоприемники, системы громкоговорящей связи, усилительные системы, охранные и пожарные системы, автоматизированные системы обработки данных и др.);
• промышленные и производственные отходы (несут сведения об используемых материалах, их составе, особенностях производства, технологии) [6].

Угроза – одно из ключевых понятий в сфере обеспечения информационной безопасности. В соответствии с Национальным стандартом РФ «Защита информации. Основные термины и определения» (ГОСТ Р 50922–2006) под угрозой (безопасности информации) понимается совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации. Фактором, воздействующий на защищаемую информацию, считается явление, действие или процесс, результатом которого могут быть утечка, искажение, уничтожение защищаемой информации, блокирование доступа к ней. Источником угрозы безопасности информации является субъект (физическое лицо, материальный объект или физическое явление), являющийся непосредственной причиной возникновения угрозы безопасности информации [9].

К наиболее важным свойствам угрозы относятся избирательность, предсказуемость и вредоносность. Избирательность характеризует нацеленность угрозы на нанесение вреда тем или иным конкретным свойствам объекта безопасности. Предсказуемость характеризует наличие признаков возникновения угрозы, позволяющих заранее прогнозировать возможность появления угрозы и определять конкретные объекты безопасности, на которые она будет направлена. Вредоносность характеризует возможность нанесения вреда различной тяжести объекту безопасности. Вред, как правило, может быть оценен стоимостью затрат на ликвидацию последствий проявления угрозы либо на предотвращение ее появления.

Необходимо выделить два наиболее важных типа угроз:

• намерение нанести вред, которое появляется в виде объявленного мотива деятельности субъекта;
• возможность нанесения вреда – существование достаточных для этого условий и факторов.

Особенность первого типа угроз заключается в неопределенности возможных последствий, неясности вопроса о наличии у угрожающего субъекта сил и средств, достаточных для осуществления намерения.

Возможность нанесения вреда заключается в существовании достаточных для этого условий и факторов. Особенность угроз данного типа состоит в том, что оценка потенциала совокупности факторов, которые могут послужить превращению этих возможностей и условий во вред, может быть осуществлена только собственно субъектами угроз [7].

Между угрозой и опасностью нанесения вреда всегда существует устойчивая причинно–следственная связь.

Угроза всегда порождает опасность. Опасность также можно представить как состояние, в котором находится объект безопасности вследствие возникновения угрозы этому объекту. Главное отличие между ними заключается в том, что опасность является свойством объекта информационной безопасности и характеризует его способность противостоять проявлению угроз, а угроза – свойством объекта взаимодействия или находящихся во взаимодействии элементов объекта безопасности, выступающих в качестве источника угроз. Понятие угрозы имеет причинно–следственную связь не только с понятием опасности, но и с возможным вредом как последствием негативного изменения условий существования объекта. Возможный вред определяет величину опасности.

Под защитой информации понимается деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию [5].

Выделяют следующие виды защиты информации:

• правовая защита информации – защита информации правовыми методами, включающая в себя разработку законодательных и нормативных правовых документов (актов), регулирующих отношения субъектов по защите информации, применение этих документов (актов), а также надзор и контроль за их исполнением;
• техническая защита информации – защита информации, заключающаяся в обеспечении некриптографическими методами безопасности информации (данных), подлежащей (подлежащих) защите в соответствии с действующим законодательством, с применением технических, программных и программно–технических средств;
• криптографическая защита информации – защита информации с помощью ее криптографического преобразования;
• физическая защита информации – защита информации путем применения организационных мероприятий и совокупности средств, создающих препятствия для проникновения или доступа неуполномоченных физических лиц к объекту защиты [2].

Организационные мероприятия по обеспечению физической защиты информации предусматривают установление режимных, временных, территориальных, пространственных ограничений на условия использования и распорядок работы объекта защиты.

Понятие «защита информации» тесно связано с понятием «информационная безопасность». Сущность защиты информации заключается в предупреждении, выявлении, обнаружении угроз, ликвидации их последствий, т.е. в обеспечении безопасности информации. Под безопасностью информации [6] принято считать состояние защищенности информации, при котором обеспечены ее конфиденциальность, доступность, целостность. Информационная безопасность – это состояние защищенности информационной среды, информационная безопасность государства – состояние защищенности его национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства. Таким образом, система защиты информации – это комплекс организационных и технических мер, направленных на обеспечение информационной безопасности предприятия.

Система защиты информации коммерческого предприятия

2.1 Назначение системы защиты информации коммерческого предприятия

Защита информационных ресурсов (данных) компании от утечек – важнейшая задача мероприятий по информационной безопасности. При любом виде деятельности у каждой компании есть определённый набор сведений, которые являются основой существования фирмы. Эти сведения и обслуживающий их документооборот являются коммерческой тайной компании, и, разумеется, требуют защиты от утечек и разглашения. Угрозы утечки данных разделяют на два направления: внешние (вредоносное ПО, хакерские атаки и т.д.) и внутренние угрозы (инсайдеры). Эффективная защита информации от утечек требует комплексного подхода. Для успешного построения системы информационной безопасности требуется анализ и аудит информационной безопасности предприятия [4].

Конфиденциальная для бизнеса информация входит в сферу повышенного интереса конкурирующих компаний. Для недобросовестных конкурентов, коррупционеров и других злоумышленников особый интерес представляет информация о составе менеджмента предприятий, их статусе и деятельности фирмы. Доступ к конфиденциальной информации и ее изменение могут нанести существенный урон финансовому положению компании. При этом, информационная утечка может быть даже частичной. В некоторых случаях даже обеспечение хищения 1/5 конфиденциальной информации может иметь критические последствия для финансовой безопасности. Причиной утечки информации, если отсутствует должное обеспечение информационной безопасности организации, могут быть различные случайности, вызванные неопытностью сотрудников.

Информационная безопасность предполагает обеспечение защиты данных от хищений или изменений как случайного, так и умышленного характера. Система обеспечения информационной безопасности организации – эффективный инструмент защиты интересов собственников и пользователей информации. Следует отметить, что ущерб может быть нанесен не только несанкционированным доступом к информации. Он может быть получен в результате поломки коммуникационного или информационного оборудования. Особенно актуальна эффективная организация обеспечения безопасности информационных банковских систем и учреждений открытого типа (учебные, социальные и др.).

Для того чтобы наладить должное обеспечение защиты информации следует иметь четкое представление об основных понятиях, целях и роли информационной безопасности [9].

Термин «безопасность информации» описывает ситуацию, исключающую доступ для просмотра, модерации и уничтожения данных субъектами без наличия соответствующих прав. Это понятие включает обеспечение защиты от утечки и кражи информации с помощью современных технологий и инновационных устройств.

Защита информации включает полный комплекс мер по обеспечении целостности и конфиденциальности информации при условии ее доступности для пользователей, имеющих соответствующие права.

Целостность – понятие, определяющее сохранность качества информации и ее свойств.

Конфиденциальность предполагает обеспечение секретности данных и доступа к определенной информации отдельным пользователям.

Доступность – качество информации, определяющее ее быстрое и точное нахождение конкретными пользователями.

Цель защиты информации – минимизация ущерба вследствие нарушения требований целостности, конфиденциальности и доступности [9].

Назначением системы защиты информации в коммерческом предприятии является минимизация возможности реализации следующих трех угроз информационной безопасности:

1. Неблагоприятная для предприятия экономическая политика государства. Регулирование экономики государством с помощью манипуляций (определение валютного курса, учетная ставка, таможенные тарифы и налоги) является причиной многих противоречий на предприятиях в сфере производства, финансов и коммерции.

Большую опасность для обеспечения безопасности информации предприятия несут административные обязательства выхода на рынок, что приводит к насильственному сужению товарно–денежных отношений, нарушению законов со стороны государства и ограничению деятельности предприятия. Часто государство преувеличивает свою компетентность в финансовой и коммерческой сфере деятельности предприятия и необоснованно вмешивается в пространство информации этих сфер, а также посягает на собственность предприятия в различных формах.

Серьезную угрозу для обеспечения безопасности информации предприятия несут политические действия, направленные на ограничение или прекращение экономических связей. Санкции в экономике вызывают у обеих сторон недоверие к дальнейшей деятельности и подрывают коммерческие взаимоотношения. Все это ведет к дестабилизации экономических отношений, и не только на уровне государства [12].

2. Действия иных хозяйствующих субъектов. В данном случае риск обеспечению безопасности информации несет нездоровая конкуренция. Нездоровая или недобросовестная конкуренция имеет несколько понятий и по нормам международного права разделяется на три вида:

1. Когда деятельность одной коммерческой структуры пытаются представить потребителю под видом другой;
2. Дискредитирование репутации коммерческого предприятия путем распространения ложной информации;
3. Неправомерное и некорректное использование торговых обозначений, вводящих потребителя в заблуждение.

В западных странах существуют законодательные акты по ведению недобросовестной конкуренции, фирменным наименованиям, товарным обозначениям и препятствованию обеспечению безопасности информации, нарушение которых ведет к определенной юридической ответственности. Также к ответственности приводят следующие неправомерные действия:

Подкуп или переманивание потребителей со стороны конкурента;

1. Порядок обеспечения информационной безопасности организации нарушается путем разглашения коммерческих тайн, а также выяснения информации с помощью шпионажа, подкупа;
2. Установление неравноправных и дискредитирующих условий, влияющих на обеспечение безопасности информации;
3. Тайное создание картелей, сговор во время торгов с предоставлением коммерческой информации;
4. Создание условий, ограничивающих возможность обеспечения безопасности информации;
5. Преднамеренное снижение цен для подавления конкуренции;
6. Копирование товаров, рекламы, услуг и других форм коммерческой деятельности и информации конкурента [14].

Имеются и другие аспекты, выявляющие недобросовестную конкуренцию. К ним относится экономическое подавление, которое выражается в разных формах – шантаж персонала, руководителей, компрометирующая информация, парализация деятельности предприятия и срыв сделок с помощью медиаканалов, коррупционных связей в госорганах.

Коммерческий и промышленный шпионаж, подрывающий основы обеспечения информационной безопасности организации, также входит под правовую юридическую ответственность, поскольку он подразумевает незаконное завладение секретной информацией конкурента с целью извлечения личной выгоды.

Та информация, которая предоставляется для широких масс по легальным каналам, не дает руководству предприятия полного ответа на интересующие вопросы о конкурентах. Поэтому, многие крупные предприятия, даже считая действия шпионажа неэтичными и неправомерными, все равно прибегают к мерам, противодействующим обеспечению безопасности информации. Шпионы, работающие на конкурирующем предприятии, часто прибегают к таким действиям, как прямое предложение служащему о предоставлении секретной информации, кража, подкуп и другие разные уловки. Многие действия по подрыву обеспечения безопасности информации облегчаются за счет появления на рынке различных подслушивающих устройств и других современных технических разработок, которые позволяют максимально качественно осуществлять коммерческий и промышленный шпионаж.

Для многих служащих конкурентной компании сумма, предложенная за шпионаж, предоставление секретной информации и нарушение обеспечения безопасности информации, в несколько раз превышает их ежемесячный доход, что является очень соблазнительным для обычного сотрудника. Поэтому, можно считать, что подписка о неразглашении не является полной гарантией обеспечения безопасности коммерческой информации [11].

Следующей формой недобросовестной конкуренции, направленной на препятствование обеспечению безопасности информации, считается физическое подавление в виде посягательства на жизнь и здоровье служащего компании. В эту категорию входит:

1. Организация разбойных нападений на производственные, складские помещения и офисы с целью ограбления;
2. Уничтожение, порча имущества и материальных ценностей путем взрыва, поджога или разрушения;
3. Захват сотрудников в заложники или физическое устранение.

3. Кризисные явления в мировой экономике. Кризисы имеют особенность перетекать из одной страны в другую, используя каналы внешних экономических связей. Они также наносят ущерб обеспечению безопасности информации. Это следует учесть, определяя методы и средства обеспечения информационной безопасности организации.

Поэтапное интегрирование России в международную экономику способствует зависимости коммерческих предприятий страны от различных процессов, происходящих в мировой экономике (падение и рост цен на энергоносители, структурная перестройка и другие факторы). По степени внедрения национальной экономики в мировую экономическую структуру усиливается ее подверженность внешним факторам. Поэтому, современное производство в стремлении к увеличению прибыли, улучшению деятельности путем модернизации, повышению уровня обеспечения безопасности информации, стабильности обязательно должно обращать внимание на динамику потребительского спроса, политику государства и центральных банков, развитие научно–технического прогресса, на отношение конкурентов, мировую политику и хозяйственную деятельность [6].

Подводя итог данного параграфа, можно сказать, что основная цель обеспечения комплексной системы безопасности информации для защиты коммерческого предприятия, это:

1. Создать благоприятные условия для нормального функционирования в условиях нестабильной среды;
2. Обеспечить защиту собственной безопасности;
3. Возможность на законную защиту собственных интересов от противоправных действий конкурентов;
4. Обеспечить сотруднику сохранностью жизни и здоровья.

Предотвращать возможность материального и финансового хищения, искажения, разглашения и утечки конфиденциальной информации, растраты, производственные нарушения, уничтожение имущества и обеспечить нормальную производственную деятельность.

Качественная безопасность информации для специалистов – это система мер, которая обеспечивает:

1. Защиту от противоправных действий;
2. Соблюдение законов во избежание правового наказания и наложения санкций;
3. Защиту от криминальных действий конкурентов;
4. Защиту от недобросовестности сотрудников.

Эти меры применяются в следующих сферах:

• Производственной (для сбережения материальных ценностей);
• Коммерческой (для оценки партнерских отношений и правовой защиты личных интересов);
• Информационной (для определения ценности полученной информации, ее дальнейшего использования и передачи, как дополнительный способ от хищения);
• Для обеспечения предприятия квалифицированными кадрами.

2.2 Структура системы защиты информации коммерческого предприятия

Система информационной безопасности коммерческого предприятия обеспечивается работой таких подразделений, как:

1. Компьютерная безопасность. Работа этого подразделения основана на принятии технологических и административных мер, которые обеспечивают качественную работу всех аппаратных компьютерных систем, что позволяет создать единый, целостный, доступный и конфиденциальный ресурс.
2. Безопасность данных – это защита информации от халатных, случайных, неавторизированных или умышленных разглашений данных или взлома системы.
3. Безопасное программное обеспечение – это целый комплекс прикладных и общецелевых программных средств, направленных на обеспечение безопасной работы всех систем и безопасную обработку данных.
4. Безопасность коммуникаций обеспечивается за счет аутентификации систем телекоммуникаций, предотвращающих доступность информации неавторизированным лицам, которая может быть выдана на телекоммуникационный запрос [14].

Структура системы защиты информации коммерческого предприятия строится на основе следующих принципов:

1. Принцип комплексности. При создании защитных систем необходимо предполагать вероятность возникновения всех возможных угроз для каждой организации, включая каналы закрытого доступа и используемые для них средства защиты. Применение средств защиты должно совпадать с вероятными видами угроз и функционировать как комплексная система защиты, технически дополняя друг друга. Комплексные методы и средства обеспечения информационной безопасности организации являются сложной системой взаимосвязанных между собой процессов.
2. Принцип эшелонирования представляет собой порядок обеспечения информационной безопасности организации, при котором все рубежи защитной системы будут состоять из последовательно расположенных зон безопасности, самая важная из которых будет находиться внутри всей системы.
3. Принцип надежности (равнопрочности). Стандарт организации обеспечения информационной безопасности должен касаться всех зон безопасности. Все они должны быть равнопрочными, то есть иметь одинаковую степень надежной защиты с вероятностью реальной угрозы.
4. Принцип разумной достаточности предполагает разумное применение защитных средств с приемлемым уровнем безопасности без фанатизма создания абсолютной защиты. Обеспечение организации высокоэффективной защитной системой предполагает большие материальные затраты, поэтому к выбору систем безопасности нужно подходить рационально. Стоимость защитной системы не должна превышать размер возможного ущерба и затраты на ее функционирование и обслуживание.
5. Принцип непрерывности. Работа всех систем безопасности должна быть круглосуточной и непрерывной [16].

Основы обеспечения информационной безопасности организации базируются на таких функциональных направлениях, как:

1. Своевременная организация безопасности по предотвращению угроз для жизненно важных интересов организации со стороны криминальных лиц или конкурентов. В этом случае для обеспечения защиты используются такие методы информации, как деловая разведка и аналитическое прогнозирование ситуации.
2. Принятие мер по предотвращению внедрения агентуры и установки технических устройств с целью получения конфиденциальной информации и коммерческой тайны предприятия. Основными средствами защиты здесь являются строгий пропускной режим, бдительность охранной службы и применение технических защитных устройств.
3. Обеспечение личной охраны руководству и персоналу организации. Основными критериями для этого вида охраны являются организация предупреждающих мер, опыт и профессионализм охранника, системный подход к обеспечению безопасности [4].

На структуру и организацию системы безопасности оказывают влияние такие факторы, как:

1. Масштабность и уровень производственной деятельности организации, количество служащих и возможности для технического развития;
2. Позиция предприятия на рынке – темпы его развития в отрасли, динамика продаж и процентный охват рынка, зоны стратегического влияния, конкурентная способность товаров и услуг;
3. Уровень финансовой рентабельности, платежеспособность, деловая активность и привлекательность для инвестиционных вложений;
4. Наличие объектов и субъектов для специальной охраны – обладатели коммерческой или государственной тайны, взрывоопасные и пожароопасные участки, экологически вредное производство;
5. Присутствие криминальной среды [3].

Система информационной безопасности коммерческого предприятия может состоять из типового набора услуг:

Первое направление – юридическая защита коммерческой деятельности, которая представляет собой юридически грамотное оформление обязанностей, прав и условий для ведения деятельности (прав собственности на патент, лицензию, имущество, ведение бухгалтерской документации, регистрационных документов, соглашений, арендных договоров, уставов и другой документации). Реализация и внедрение данной защиты для безопасности деятельности очевидна, поскольку нормативно–правовая база в данных условиях нестабильна и требует определенной юридической защиты.

Второе направление – физическая безопасность участников коммерческой деятельности. В данном случае участниками или субъектами предпринимательской деятельности могут быть не только предприниматели, но и используемые ими ресурсы – материальные, финансовые, информационные. Безопасность интеллектуальных ресурсов также входит в эту категорию. Это обслуживающий персонал, работники предприятия, акционеры.

Третье направление – информационно–коммерческая безопасность, которая представляет собой защиту информационных ресурсов предприятия и его интеллектуальной собственности.

Четвертое направление – охрана и безопасность персонала и людей, работающих на предприятии. Это соблюдение техники безопасности, охраны труда, экологии, санитарии, деловых взаимоотношений, личной безопасности работников [3].

Во второй главе данной работы были рассмотрены назначение и структура системы защиты информации коммерческого предприятия. На основании данной информации можно сделать вывод, что универсального или идеального метода защиты на сегодняшний день не существует, хотя потребность в качественной безопасности очевидна, а в некоторых случаях – критически необходима.

ЗАКЛЮЧЕНИЕ

В ходе выполнения работы была выполнена поставленная цель – изучены назначение и структура системы защиты информации коммерческого предприятия.

Для достижения данной цели были выполнены следующие задачи:

1. Рассмотрено понятие защиты информации.
2. Охарактеризована система защиты информации.
3. Проанализировано назначение системы защиты информации коммерческого предприятия.
4. Изучена структура системы защиты информации коммерческого предприятия.

Безопасность коммерческого предприятия, в частности, информационная, в современном мире приобретает все большее значение. От сохранения целостности, адекватности и достоверности данных во многом может зависеть успешность или даже просто выживание той или иной компании – и здесь в прямой зависимости находятся и сотрудники, и партнеры, и даже клиенты. Иначе говоря, при проявлении недостаточного усердия в вопросе обеспечения информационной безопасности, пострадать может не только сама компания, но и большинство взаимодействующих с ней сторон.

В то же время необходимо отметить, что чем дальше идет время, тем более усложняются и меняются угрозы информационной безопасности. Следовательно, системы защиты информации также должны модифицироваться и усложняться, совершенствуясь и обеспечивая максимальную защиту данных. В связи с этим нельзя сказать, что проблема изучена полностью – текст работы может быть дополнен со временем при появлении более актуальной информации.

СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ

1. Федеральный закон «О персональных данных» от 27.07.2006 N 152–ФЗ [Электронный ресурс]. Режим доступа: http://www.consultant.ru/document/cons_doc_LAW_61801/
2. Бабаш, А. В. Информационная безопасность (+ CD–ROM) / А. В. Бабаш, Е.К. Баранова, Ю.Н. Мельников. – М.: КноРус, 2017. – 136 c.
3. Балабанов, И. Т. Страхование. Организация. Структура. Практика / И. Т. Балабанов, А. И. Балабанов. – М.: Питер, 2016. – 256 c
4. Галицкий, А. В. Защита информации в сети – анализ технологий и синтез решений / А. В. Галицкий, С. Д. Рябко, В. Ф. Шаньгин. – М.: ДМК Пресс, 2016. – 615 c.
5. Емельянова, Н. З. Защита информации в персональном компьютере / Н. З. Емельянова, Т. Л. Партыка, И. И. Попов. – М.: Форум, 2015. – 368 c.
6. Коробов, Н. А. Информационные технологии в торговле / Н.А. Коробов, А.Ю. Комлев. – М.: Академия, 2016. – 176 c.
7. Малюк, А. А. Введение в защиту информации в автоматизированных системах / А. А. Малюк, С. В. Пазизин, Н. С. Погожин. – М.: Горячая линия – Телеком, 2018. – 147 c.
8. Мельников, В. В. Защита информации в компьютерных системах / В. В. Мельников. – М.: Финансы и статистика; Электроинформ, 2016. – 368 c.
9. Мельников, В. В. Информационная безопасность и защита информации: моногр. / В. В. Мельников, С.А. Клейменов, А.М. Петраков. – М.: Academia, 2016. – 336 c.
10. Партыка, Т. Л. Информационная безопасность / Т. Л. Партыка, И. И. Попов. – М.: ИНФРА–М, 2015. – 368 c.
11. Сергеева, Ю. С. Защита информации. Конспект лекций / Ю. С. Сергеева. – М.: А–Приор, 2015. – 128 c.
12. Соколов, А. В. Защита информации в распределенных корпоративных сетях и системах / А. В. Соколов, В. Ф. Шаньгин. – М.: ДМК Пресс, 2016. – 656 c.
13. Спесивцев, А. В. Защита информации в персональных ЭВМ / А. В. Спесивцев, В. А. Вегнер, А. Ю. Крутяков. – М.: Радио и связь, 2016. – 192 c.
14. Степанов, Е. А. Информационная безопасность и защита информации. Учебное пособие / Е. А. Степанов, И. К. Корнеев. – М.: ИНФРА–М, 2014. – 304 c.
15. Федоров, А. В. Информационная безопасность в мировом политическом процессе / А. В. Федоров. – М.: МГИМО–Университет, 2017. – 220 c
16. Шаньгин, В. Ф. Защита информации в компьютерных системах и сетях / В. Ф. Шаньгин. – М.: «ДМК пресс. Электронные книги», 2014. – 592 c.

Виды защиты, используемые в автоматизированных информационных системах

Одной из
оборотных сторон компьютерных информационных технологий является обострение проблемы
защиты информации. Данные в компьютерной форме сосредоточивают в физически
локальном и небольшом объеме огромные массивы информации, несанкционированный
доступ к которой или ее разрушение могут приводить порой к катастрофическим
последствиям и ущербу. Возможность быстрого, во многих случаях практически
мгновенного, и без следов копирования огромных массивов данных, находящихся в
компьютерной форме, в том числе и удаленно расположенных, дополнительно провоцирует
злоумышленников на несанкционированный доступ к информации, ее
несанкционированную модификацию или разрушение.

Вместе с тем
теоретическая проработка вопросов обеспечения безопасности информации и их
практическая реализация долгое время отставали от уровня развития программной
индустрии СУБД, и в коммерческих продуктах средства обеспечения безопасности
данных стали появляться лишь в 90-х годах.

Импульсы
развития и первые исследования теории и практики обеспечения безопасности
данных в компьютерных системах были обусловлены, прежде всего, потребностями
военной сферы, где проблема безопасности в целом, и компьютерной безопасности в
частности стоят особенно остро. Начало этим процессам было положено
исследованиями вопросов защиты компьютерной информации, проведенными в конце
70-х — начале 80-х годов национальным центром компьютерной безопасности (NCSC —
National Computer Security Center) Министерства обороны США. Результатом этих
исследований явилось издание Министерством обороны США в 1983 г. документа под
названием «Критерии оценки надежных компьютерных систем», впоследствии
по цвету обложки получившего название «Оранжевой книги». Данный документ
стал фактически первым стандартом в области создания защищенных компьютерных
систем и впоследствии основой организации системы сертификации компьютерных
систем по критериям защиты информации.

Подходы к
построению и анализу защищенных систем, представленные в «Оранжевой книге»,
послужили методологической и методической базой для дальнейших исследований в
этой сфере. В 1991 г. NCSC был издан новый документ — Интерпретация «Критериев
оценки надежных компьютерных систем» в применении к понятию надежной системы
управления базой данных, известный под сокращенным названием TDI или «Розовой
книги», конкретизирующий и развивающий основные положения «Оранжевой книги» по
вопросам создания и оценки защищенных СУБД.

В конце 80-х
— начале 90-х годов аналогичные исследования по проблемам компьютерной
безопасности были проведены во многих странах и созданы соответствующие
национальные стандарты в этой сфере. В нашей стране Государственной технической
комиссией при Президенте РФ были разработаны и в 1992 г. опубликованы «Руководящие
документы по защите от несанкционированного доступа к информации»,
определяющие требования, методику и стандарты построения защищенных средств
вычислительной техники и автоматизированных систем.

Понятие и модели безопасности данных

Исследования
по проблемам защиты компьютерной информации, проведенные в конце 70-х—начале
80-х годов, развитые впоследствии в различных приложениях и закрепленные в
соответствующих стандартах, определяют в качестве составных элементов понятия безопасности
информации три компонента:

• конфиденциальность
(защита от несанкционированного доступа);

• целостность
(защита от несанкционированного изменения информации);

• доступность
(защита от несанкционированного удержания информации и ресурсов, защита от
разрушения, защита работоспособности).

Составляющим
безопасности информации противостоят соответствующие угрозы. Под угрозой
безопасности информации понимается осуществляемое или потенциально осуществимое
воздействие на компьютерную систему, которое прямо или косвенно может нанести
ущерб безопасности информации. Угрозы реализуют или пытаются реализовать нарушители
информационной безопасности.

Формализованное
описание или представление комплекса возможностей нарушителя по реализации тех
или иных угроз безопасности информации называют моделью нарушителя
(злоумышленника).

Качественное
описание комплекса организационно-технологических и программно-технических мер
по обеспечению защищенности информации в компьютерной системе (АИС) называют политикой
безопасности. Формальное (математическое, алгоритмическое,
схемотехническое) выражение и формулирование политики безопасности называют моделью
безопасности.

Модель
безопасности включает:

• модель
компьютерной (информационной) системы;

• критерии,
принципы, ограничения и целевые функции защищенности информации от угроз;

•
формализованные правила, ограничения, алгоритмы, схемы и механизмы безопасного
функционирования системы.

В основе
большинства моделей безопасности лежит субъектно-объектная модель компьютерных
систем, в том числе и баз данных как ядра автоматизированных информационных
систем. База данных АИС разделяется на субъекты базы данных (активные
сущности), объекты базы данных (пассивные сущности) и порождаемые
действиями субъектов процессы над объектами (см. рис. 1).

Рис. 1. База
данных АИС в моделях безопасности данных

Определяются
два основополагающих принципа безопасности функционирования информационных
систем:

• персонализация (идентификация) и аутентификация
(подтверждение подлинности) всех субъектов и их процессов по отношению к
объектам;

• разграничение
полномочий субъектов
по отношению к объектам и обязательная проверка полномочий любых процессов над
данными.

Рис. 2.
Схематический аспект защиты информации в компьютерных системах

В узком
смысле политика безопасности, реализуемая монитором безопасности компьютерной
системы, собственно и определяет модель безопасности (вторая и третья
компоненты).

Обозначения: Ч
– чтение; М – модификация; С – создание; У – удаление (записей)

Рис. 3.
Модель безопасности на основе матрицы доступа (дискреционный принцип
разграничения доступа)

Важным
аспектом моделей безопасности является управление доступом. Существует два
подхода:

•
добровольное управление доступом;

•
принудительное управление доступом.

При добровольном
управлении доступом вводится так называемое владение объектами. Как
правило, владельцами объектов являются те субъекты базы данных, процессы
которых создали соответствующие объекты. Добровольное управление доступом
заключается в том, что права на доступ к объектам определяют их владельцы.
Иначе говоря, соответствующие ячейки матрицы доступа заполняются теми
субъектами (пользователями), которым принадлежат права владения над
соответствующими объектами базы данных. В большинстве систем права владения
объектами могут передаваться. В результате при добровольном управлении доступом
реализуется полностью децентрализованный принцип организации и управления
процессом разграничения доступа.

Такой подход
обеспечивает гибкость настраивания системы разграничения доступа в базе данных
на конкретную совокупность пользователей и ресурсов, но затрудняет общий
контроль и аудит состояния безопасности данных в системе.

Принудительный
подход к управлению доступом предусматривает введение единого централизованного администрирования
доступом. В базе данных выделяется специальный доверенный субъект
(администратор), который (и только он), собственно, и определяет разрешения на
доступ всех остальных субъектов к объектам базы данных. Иначе говоря, заполнять
и изменять ячейки матрицы доступа может только администратор системы.

Принудительный
способ обеспечивает более жесткое централизованное управление доступом. Вместе
с тем он является менее гибким и менее точным в плане настройки системы
разграничения доступа на потребности и полномочия пользователей, так как
наиболее полное представление о содержимом и конфиденциальности объектов (ресурсов)
имеют, соответственно, их владельцы.

На практике
может применяться комбинированный способ управления доступом, когда
определенная часть полномочий на доступ к объектам устанавливается
администратором, а другая часть владельцами объектов.

Исследования
различных подходов к обеспечению информационной безопасности в традиционных
(некомпьютерных) сферах и технологиях показали, что одноуровневой модели
безопасности данных недостаточно для адекватного отражения реальных
производственных и организационных схем. В частности традиционные подходы
используют категорирование информационных ресурсов по уровню
конфиденциальности (совершенно секретно — СС, секретно — С, конфиденциально
— К, и т. п.). Соответственно субъекты доступа к ним (сотрудники) также категорируются
по соответствующим уровням доверия, получая так называемого допуска
(допуск степени 1, допуск степени 2 и т. д.). Понятие допуска определяет мандатный
(полномочный) принцип разграничения доступа к информации. В соответствии с
мандатным принципом работник, обладающий допуском степени «1», имеет право
работать с любой информацией уровня «СС», «С» и «К». Работник с допуском «2»
соответственно имеет право работы с любой информацией уровня «С» и «К».
Работник с допуском «3» имеет право работать с любой информацией только уровня
«К».

Мандатный
принцип построения системы разграничения доступа в СУБД реализует многоуровневую
модель безопасности данных, называемую еще моделью Белл — ЛаПадула (по
имени ее авторов — американских специалистов Д. Белла и Л. ЛаПадула), которая
иллюстрируется схемой, приведенной на рис. 4.

Рис. 4. Модель
безопасности данных Белл — ЛаПадула (мандатный принцип разграничения доступа)

В модели Белл — ЛаПадула
объекты и субъекты категорируются по иерархическому мандатному принципу
доступы. Субъект, имеющий допуск 1-й (высшей) степени, получает доступ к
объектам 1-го (высшего) уровня конфиденциальности и автоматически ко всем
объектам более низких уровней конфиденциальности (т. е. к объектам 2-го и 3-го
уровней). Соответственно, субъект со 2-й степенью допуска имеет доступ ко всем
объектам 2-го и 3-го уровней конфиденциальности, и т. д.

В модели Белл — ЛаПадула
устанавливаются и поддерживаются два основных ограничения политики
безопасности:

• запрет чтения вверх
(no read up — NRU);

•
запрет записи вниз (no write down — NWD).

Ограничение NRU
является логическим следствием мандатного принципа разграничения доступа,
запрещая субъектам читать данные из объектов более высокой степени
конфиденциальности, чем позволяет их допуск.

Ограничение NWD
предотвращает перенос (утечку) конфиденциальной информации путем ее копирования
из объектов с высоким уровнем конфиденциальности в неконфиденциальные объекты
или в объекты с меньшим уровнем конфиденциальности.

Ограничения NRU и NWD
приводят к тому, что по разным типам доступа («чтение», «создание», удаление»,
«запись») в модели Белл—ЛаПадула устанавливается разный порядок доступа
конкретного субъекта к объектам. В частности, в схеме, приведенной на рис. 7.4,
может показаться странным, что по типу доступа «создание» субъект (процесс) с
допуском степени 3 (низшей) имеет возможность создавать объекты (записи) в
объектах более высокого уровня конфиденциальности. Такой подход, тем не менее,
отражает реальные жизненные ситуации, когда работники, к примеру, кадрового
подразделения могут заполнять формализованные карточки на новых сотрудников,
направляя их в специальную картотеку личных данных сотрудников организации и
порождая первые документы личных дел новых сотрудников, но не имеют при этом
собственно самого доступа к этой картотеке по другим типам операций (чтение,
удаление, изменение).

Мандатный
принцип разграничения доступа, опять-таки исходя из дополнительных способов
разграничения доступа к конфиденциальной информации, наработанных в «бумажных»
технологиях, в частности в военной сфере, может дополняться элементами функционально-зонального
принципа разграничения доступа. В соответствии с функционально-зональным
принципом, защищаемые сведения, помимо категории конфиденциальности, получают признак
функциональной тематики (зоны), например сведения по артиллерии, сведения по
авиации, и т. д. Соответственно, каждый работник, имеющий определенный допуск к
конфиденциальным сведениям, еще по своим функциональным обязанностям имеет определенный
профиль деятельности, который предоставляет допуск или уточняет сферу допуска к
категорированным сведениям только соответствующей тематики. Такой подход
предоставляет более гибкие и точные возможности организации работы с
конфиденциальными сведениями и в СУБД реализуется через технику профилей и
ролей пользователей.

На практике в
реальных политиках мониторов безопасности баз данных чаще всего применяется
дискреционный принцип с принудительным управлением доступом, «усиливаемый»
элементами мандатного принципа в сочетании с добровольным управлением доступом
(допуска субъектов устанавливает и изменяет только администратор, уровень
конфиденциальности объектов устанавливают и изменяют только владельцы). В
распределенных СУБД могут также применяться элементы функционально-зонального
разграничения доступа в виде жесткой привязки объектов и субъектов к
определенным устройствам, а также выделении специальных зон, областей со
«своей» политикой безопасности.

При
реализации политик и моделей безопасности данных в фактографических АИС на
основе реляционных СУБД возникают специфические проблемы разграничения доступа
на уровне отдельных полей таблиц. Эти проблемы связаны с отсутствием в
реляционной модели типов полей с множественным (многозначным) характером
данных.

Поясним суть
подобных проблем следующим образом. Предположим, в базе данных имеется таблица
с записями по сотрудникам с полями «Лич_№», «Фамилия», «Подразделение»,
«Должность». Предположим также, что в структуре организации имеется
засекреченное подразделение «Отдел_0», известное для всех непосвященных под
названием «Группа консультантов». Соответственно поля «Подразделение»,
«Должность» для записей сотрудников этого подразделения будут иметь двойные
значения — одно истинное (секретное), другое для прикрытия (легенда). Записи
таблицы «Сотрудники» в этом случае могут иметь вид:

Таблица 1

В таблице
знаком [С] обозначены секретные значения, знаком [НС] несекретные значения
соответствующих полей. Как видно из приведенной таблицы, требования первой
нормальной формы в таких случаях нарушаются.

Более того,
даже если взять более простой случай, когда конфиденциальные данные по некоторым
полям пользователям, не имеющим соответствующей степени допуска, просто не
показываются, т.е. такой пользователь «видит» в секретных полях некоторых
записей просто пустые значения, то тем не менее возникают косвенные каналы
нарушения конфиденциальности. Так как на самом деле в соответствующем поле
данные имеются, то при попытке записи в эти поля неуполномоченный на это
пользователь получит отказ, и, тем самым, «почувствует» что-то неладное,
подозрительное, скажем, в отношении записи сотрудника с личным номером 007. Это
и есть косвенный канал.

В более общем
виде под косвенным каналом нарушения конфиденциальности подразумевается механизм,
посредством которого субъект, имеющий высокий уровень благонадежности, может
предоставить определенные аспекты конфиденциальной информации субъектам,
степень допуска которых ниже уровня конфиденциальности этой информации.

В
определенной степени проблему многозначности и косвенных каналов можно решать
через нормализацию соответствующих таблиц, разбивая их на связанные таблицы,
уровень конфиденциальности которых, или конфиденциальности части записей
которых, будет различным.

Другие
подходы основываются на расширении реляционной модели в сторону многозначности
и допущения существования в таблицах кортежей с одинаковыми значениями ключевых
полей.

Технологические аспекты защиты информации

Практическая
реализация политик и моделей безопасности, а также аксиоматических принципов
построения и функционирования защищенных информационных систем обусловливает
необходимость решения ряда программно-технологических задач, которые можно
сгруппировать по следующим направлениям:

• технологии
идентификации и аутентификации;

• языки
безопасности баз данных;

• технологии
обеспечения безопасности повторного использования объектов;

• технологии надежного
проектирования и администрирования.

Идентификация
и аутентификация

Технологии
идентификации и аутентификации являются обязательным элементом защищенных
систем, так как обеспечивают аксиоматический принцип персонализации субъектов
и, тем самым, реализуют первый (исходный) программно-технический рубеж защиты
информации в компьютерных системах.

Под идентификацией
понимается различение субъектов, объектов, процессов по их образам, выражаемым
именами.

Под аутентификацией
понимается проверка и подтверждение подлинности образа идентифицированного
субъекта, объекта, процесса.

Как вытекает
из самой сути данных понятий, в основе технологий идентификации и
аутентификации лежит идеология статистического распознавания образов,
обусловливая, соответственно, принципиальное наличие ошибок первого
(неправильное распознавание) и второго (неправильное нераспознавание) рода.
Методы, алгоритмы и технологии распознавания направлены на обеспечение
задаваемых вероятностей этих ошибок при определенных стоимостных или иных затратах.

В
системотехническом плане структуру систем идентификации/аутентификации можно
проиллюстрировать схемой, приведенной на рис. 5.

При
регистрации объекта идентификации/аутентификации в системе монитором
безопасности формируется его образ, информация по которому подвергается
необратимому без знания алгоритма и шифра-ключа, т. е. криптографическому,
преобразованию и сохраняется в виде ресурса, доступного в системе исключительно
монитору безопасности. Таким образом формируется информационный массив внутренних
образов объектов идентификации/аутентификации.

Рис. 5.
Системотехнический аспект идентификации/аутентификации

Впоследствии
при идентификации/аутентификации (очередной вход в систему пользователя, запрос
процесса на доступ к объекту, проверка подлинности объекта системы при
выполнении над ним действий и т. д.) объект через канал переноса информации
передает монитору безопасности информацию о своем образе, которая подвергается
соответствующему преобразованию. Результат этого преобразования сравнивается с
соответствующим зарегистрированным внутренним образом, и при их совпадении
принимается решение о распознавании (идентификации) и подлинности
(аутентификации) объекта.

Информационный
массив внутренних образов
объектов идентификации/аутентификации является критическим ресурсом системы,
несанкционированный доступ к которому дискредитирует всю систему безопасности.
Поэтому помимо всевозможных мер по исключению угроз несанкционированного
доступа к нему сама информация о внутренних образах объектов
идентификации/аутентификации находится в зашифрованном виде.

Формирование
образов осуществляется на разной методологической и физической основе в
зависимости от объекта идентификации/аутентификации (пользователь-субъект;
процесс; объект-ресурс в виде таблицы, формы, запроса, файла, устройства,
каталога и т. д.). В общем плане для идентификации/аутентификации
пользователей-субъектов в компьютерных системах могут использоваться их биометрические
параметры (отпечатки пальцев, рисунок радужной оболочки глаз, голос, почерк и
т. д.), либо специальные замково-ключевые устройства (смарт-карты, магнитные
карты и т. п.). Однако при доступе непосредственно в АИС (в базы данных), чаще
всего используются парольные системы идентификации/аутентификации.

Парольные
системы основаны на предъявлении пользователем в момент аутентификации специального
секретного (известного только подлинному пользователю) слова или набора
символов — пароля. Пароль вводится пользователем с клавиатуры, подвергается
криптопреобразованию и сравнивается со своей зашифрованной соответствующим
образом учетной копией в системе. При совпадении внешнего и внутреннего парольного
аутентификатора осуществляется распознавание и подтверждение подлинности
соответствующего субъекта.

Парольные
системы являются простыми, но при условии правильной организации подбора и
использования паролей, в частности, безусловного сохранения пользователями
своих паролей втайне, достаточно надежным средством аутентификации, и, в силу
данного обстоятельства, широко распространены.

Основной
недостаток систем парольной аутентификации заключается в принципиальной
оторванности, отделимости аутентификатора от субъекта-носителя. В результате
пароль может быть получен тем или иным способом от законного пользователя или
просто подобран, подсмотрен по набору на клавиатуре, перехвачен тем или иным
способом в канале ввода в систему и предъявлен системе злоумышленником.

В результате
внутренний образ субъекта существенно расширяется и появляется возможность
варьирования аутентификатора при каждом следующем входе пользователя в систему.
При входе пользователя в систему монитор безопасности (субъект аутентификации)
формирует случайную выборку вопросов и, чаще всего, по статистическому критерию
«n из m» принимает решение об аутентификации.

В системах
коллективного вхождения парольную аутентификацию должны одновременно пройти
сразу все зарегистрированные для работы в системе пользователи. Иначе говоря,
поодиночке пользователи работать в системе не могут. Вероятность подбора,
перехвата и т. д. злоумышленником (злоумышленниками) сразу всех паролей, как
правило, существенно меньше, и, тем самым, надежность подобных систем
аутентификации выше.

Аутентификации
в распределенных информационных системах в принципе должны подвергаться и
объекты (ресурсы, устройства), а также процессы (запросы, пакеты и т. д.).
Аутентифицированный (подлинный) пользователь, обращаясь к объектам системы и
порождая соответствующие процессы, должен, в свою очередь, убедиться в их
подлинности, например, отправляя распечатать сформированный в базе данных
конфиденциальный отчет на сетевой принтер, специально предназначенный для
распечатки соответствующих конфиденциальных документов.

Как правило,
для аутентификации объектов применяются технологии асимметричных криптосистем,
называемых иначе системами с открытым ключом, рассмотрение которых выходит за
допустимый объем данного пособия.

Для
аутентификации процессов широкое распространение нашли технологии меток
(дескрипторов) доступа.

Технология
меток или дескрипторов
доступа отражает сочетание одноуровневой и многоуровневой моделей
безопасности данных и основывается на присвоении администратором системы всем
объектам и субъектам базы данных специальных дескрипторов доступа, содержащих набор
параметров уровня конфиденциальности, допустимых операциях, допустимых имен
объектов или субъектов доступа и других особых условий доступа. Субъект
доступа, инициируя в соответствии со своим дескриптором (меткой) разрешенный процесс,
передает ему свою метку доступа (помечает своей меткой). Ядро безопасности СУБД
(ТСВ) проверяет подлинность метки процесса, сравнивая ее с меткой
доступа пользователя-субъекта, от имени которого выступает процесс. При
положительном результате метка доступа процесса сравнивается с меткой доступа
объекта, операцию с которым намеревается осуществлять процесс. Если дескрипторы
доступа процесса и объекта совпадают (или удовлетворяют правилам и ограничениям
политики безопасности системы), монитор безопасности разрешает соответствующий
доступ, т. е. разрешает осуществление процесса (операции).

Проверка
подлинности метки процесса предотвращает возможные угрозы нарушения
безопасности данных путем формирования субъектом для инициируемого им процесса
такой метки, которая не соответствует его полномочиям.

Для проверки
подлинности меток в системе формируется специальный файл (массив) учетных
записей. При регистрации нового пользователя в системе для него создается
учетная запись, содержащая его идентификационный номер (идентификатор),
парольный аутентификатор и набор дескрипторов доступа к объектам базы данных
(метка доступа). При инициировании пользователем (субъектом) какого-либо
процесса в базе данных и передаче ему своей метки доступа ядро безопасности
СУБД подвергает метку процесса криптопреобразованию, сравнивает ее с
зашифрованной меткой соответствующего субъекта (пользователя) в массиве учетных
записей и выносит решение о подлинности метки.

Массив
учетных записей, в свою
очередь, является объектом высшей степени конфиденциальности в системе, и
доступен только администратору. Ввиду исключительной важности массива учетных
записей для безопасности всей системы помимо шифрования его содержимого
принимается ряд дополнительных мер к его защите, в том числе специальный режим
его размещения, проверка его целостности, документирование всех процессов над
ним.

Список использованной
литературы

1. Астахова Л. В. Информатика. Часть
1. Социальная информатика: Учебная пособие. – Челябинск, 2002. – 245 с.

2. Бизнес и безопасность. – КМЦ
“Центурион”, 2002.

3. Информационная безопасность: Учеб.
для вузов по гуманитар. и социально- экон. специальностям. – М.: Междунар.
отношения: Летописец, 2002.

4. Степанов Е. А., Корнеев И. К.
Информационная безопасность и защита информации. – М.: ИНФРА-М, 2003.

5. Чалдаева Л. А. Информационная
безопасность компании. / Л. А. Чалдаев, А. А. Килячков // Финансы и кредит. –
2002. – № 18. – С. 32-37.

6. Ярочкин В. И. Коммерческая
информация фирмы. Утечка или разглашение? – М.: 2003