Кр ЗАХИСТ СЛУЖБОВОЇ ІНФОРМАЦІЇ В КОМП'ЮТЕРНІЙ МЕРЕЖІ

КОНТРОЛЬНА РОБОТА
з навчальної дисципліни "Основи інформаційної безпеки"
на тему:
ЗАХИСТ СЛУЖБОВОЇ ІНФОРМАЦІЇ В КОМП'ЮТЕРНІЙ МЕРЕЖІ

ПЛАН

Вступ 3
1. Загальна характеристика неправомірного отримання
службової інформації і захист від нього 5
2. Механізми захисту службової інформації в комп'ютерних мережах 12
2.1 Ідентифікація та автентифікація 12
2.2 Управління доступом 14
2.3 Конфіденційність даних і повідомлень 16
3. Заходи щодо захисту службової інформації, яка циркулює в комп'ютерних мережах 18
4. Напрямки технічного захисту інформації, яка формується,
обробляється та передається в обчислювальних системах
оперативних підрозділів ОВС 21
Висновки 27
Список використаної літератури 29


ВСТУП
Широке використання інформаційних ресурсів і повсюдне об'єднання персональних комп'ютерів й автоматизованих систем у локальні, корпоративні й глобальні комп'ютерні мережі різко загострили проблему інформаційної безпеки, що обумовлює актуальність досліджень в галузі спеціальних засобів захисту інформації в комп'ютерних системах і мережах.
Одним із ключових механізмів захисту інформації в комп'ютерних мережах є засоби аутентифікації суб'єктів і повідомлень, які дозволяють гарантувати справжність користувачів комп'ютерних мереж, що обмінюються інформацією, а також цілісність самої інформації. Наразі розроблено низку різних протоколів аутентифікації, що відрізняються кількістю пересилань даних, участю сервера безпеки, застосуванням симетричного або асиметричного шифрування й іншими параметрами.
Реалізація засобів захисту інформації вимагає додаткових апаратних, програмних і часових витрат на обробку інформації. Виконання шифрування / розшифрування, реалізація механізмів аутентифікації суб'єктів і повідомлень вносять додаткові затримки в процес обробки й передачі інформації в мережах.
Таким чином, доволі актуальними є застосування засобів підвищення пропускної здатності комп'ютерних мереж щодо передачі користувальницької інформації, що дозволяє забезпечити пересилання захищеної інформації з доволі високою швидкістю.
Засоби захисту інформації повинні бути адаптованими до вимог конкретних установ, організацій і можливих спеціальних умов їх застосування. Це завдання вимагає створення моделей і спеціальних засобів і середовищ моделювання, аналізу й верифікації розробляємих і застосовуємих засобів захисту.
Останнім часом у засобах масової інформації з'явилося багато сенсаційних повідомлень про факти злочинних впливів на комп'ютерні системи обробки, зберігання й передачі інформації, особливо в кредитно-банківській діяльності.
За деякими даними, в промислово розвинених країнах середній збиток від одного злочину в сфері комп'ютерної інформації близький до 450 тис. дол., а щорічні сумарні втрати в США і Західній Європі досягають 100 млрд. і 35 млрд. дол. В останні десятиріччя зберігалася стійка тенденція до зростання збитків, пов'язаних зі злочинністю в сфері комп'ютерної інформації [6, c. 4].
Сучасний стан забезпечення безпеки інформації, у тому числі службової, в Україні характеризуються двома основними особливостями.
З одного боку, ринок організаційних і технічних засобів і методів захисту надає широкі можливості для обрання вітчизняних і зарубіжних засобів забезпечення безпеки. Лише в Україні пропонують понад 400 найменувань продуктів і послуг більше 1500 постачальників і виробників засобів захисту інформаційних систем [13, c. 49].
З іншого боку, має місце слабке розуміння та недооцінка значущості й цінності службової інформації для користувачів, спрощений підхід до організації діяльності служби безпеки взагалі й інформаційної безпеки, зокрема.
Отже, у наданій контрольній роботі:
– дається загальна характеристика неправомірного отримання службової інформації і захисту від нього;
– визначаються механізми захисту службової інформації в комп'ютерних мережах;
– розглядаються заходи щодо захисту службової інформації, як циркулює в комп'ютерних мережах;
– з’ясовуються напрямки технічного захисту інформації, яка формується, обробляється та передається в обчислювальних системах оперативних підрозділів ОВС.


1. ЗАГАЛЬНА ХАРАКТЕРИСТИКА НЕПРАВОМІРНОГО ОТРИМАННЯ СЛУЖБОВОЇ ІНФОРМАЦІЇ І ЗАХИСТ ВІД НЬОГО
У загальному плані оволодіння службовою інформацією, щодо якої встановлено обмежений доступ, може здійснюватись шляхом її мимовільної втрати, розголошення або несанкціонованого доступу до неї [9, с. 40].
У сучасній літературі поняття "витоку службової інформації" подається доволі неоднозначно. Проте зазвичай воно розглядається як мимовільне поширення службової інформації за рахунок технічних або експлуатаційних особливостей певного обладнання, втрати, пошкодження, знищення документальних та програмних носіїв інформації в результаті дії стихійного лиха, поширення інформації через потрапляння в інформаційні мережі комп'ютерних вірусів, інші випадки, які не мають навмисного характеру [14, c. 180].
Розголошення службової інформації виявляється в умисному або необережному її повідомленні, опублікуванні, оголошенні, переданні, наданні для ознайомлення, пересиланні, втраті особами, яким така інформація була відома у зв'язку з їх професійною діяльністю і коли у цьому не було службової необхідності [16, c. 120].
Несанкціонований доступ до службової інформації розуміється як доступ до інформації, який здійснюється з порушенням установлених правил розмежування доступу [11, c. 159].
Усі зазначені вище шляхи отримання службової інформації можуть використовуватись конкурентами, промисловими шпигунами, спецслужбами за допомогою створення так званих каналів витоку та передання інформації [10, с. 14].
Своєю чергою, ці канали передбачають створення відповідних умов для переходу інформації від її носія до споживача. Відомо, що взагалі інформація переноситься чи передається енергією або матеріальними носіями. У фізичній природі можливі такі шляхи перенесення інформації: світові промені, звукові хвилі, електромагнітні хвилі, матеріали і речовини.
Використовуючи ті чи інші фізичні поля, створюють відповідні системи передавання інформації, які складаються з джерел інформації, передавачів, каналу передавання, приймачів та отримувачів інформації.
Подібне існує у разі передання інформації та у взаємовідносинах людей. Носії інформації (джерела) через "передавачі", а в деяких випадках і "приймачі" передають її отримувачам. Джерелами інформації можуть бути люди, документи, публікації, технічні засоби забезпечення виробничої діяльності, продукція, промислові та виробничі відходи.
Передавачами та приймачами виступають різноманітні технічні засоби, тайники, кур'єри, зв'язківці та ін. Серед отримувачів можна виділити спецслужби, конкурентів, кримінальні елементи, ЗМІ, різні інформаційні, детективні агентства тощо.
У випадках мимовільного витоку службової інформації зазначеними отримувачами використовуються відповідні технічні засоби, які можуть сприймати та переробляти інформацію від так званих паразитних випромінювань технічних засобів та мереж, механічних коливань будівельних конструкцій, створених від дії на них звукових коливань.
Крім того, для отримання так званої випадкової інформації організовується спостереження за різними офіційними джерелами: Інтернет, ЗМІ, конференції, симпозіуми, вивчення технічних відходів та ін.
Як у разі мимовільного витоку службової інформації, так і за несанкціонованого доступу до неї існують відповідні канали отримання інформації:
1) візуально-оптичні (спостереження, відео-, фотозйомка);
2) акустичні та акустоперероблювальні;
3) електромагнітні (у тому числі й магнітні та електричні);
4) матеріально-речові (магнітні носії, папір, фотографії тощо).
Візуально-оптичні канали створюються як оптичний шлях від об'єкта інформації до її отримувача. Для цього необхідні енергетичні, часові та просторові умови і відповідні технічні засоби. Створенню зазначених каналів сприяють такі характеристики об'єкта інформації:
1) відповідні його розміри;
2) власна яскравість і контрастність.
Особлива цінність інформації, отриманої через такий канал, полягає в тому, що вона є максимально достовірною, оперативною і може слугувати документальним підтвердженням отриманих відомостей.
Джерелом створення акустичного каналу є тіла та механізми, які здійснюють вібрацію, або коливання, такі як голосові зв'язки людини, елементи машин, що рухаються, телефонні апарати, звукопідсилювальні системи, гучномовні засоби, засоби звукозапису та звуковідновлення та ін.
Звукові коливання від голосу людини, інших звуків створюють акустичні хвилі, які, поширюючись у просторі і взаємодіючи з відповідними перешкодами, викликають у них перемінний тиск (двері, вікна, стіни, підлога, різні прилади), приводячи їх у коливальний режим. Впливаючи на спеціальні прилади (мікрофони), звукові коливання створюють у них відповідні електромагнітні хвилі, які передаються на відстань і несуть у собі створену звуковими коливаннями інформацію.
Акустичні канали створюються:
– за рахунок поширення акустичних (механічних) коливань у вільному повітряному просторі (переговори на відкритому просторі, в приміщенні при відкритих вікнах, кватирках, дверях, виток через вентиляційні канали);
– за рахунок впливу звукових коливань на елементи і конструкції будівель, викликаючи їх вібрацію (стіни, стеля, підлога, вікна, двері, вентиляційна система, труби водопостачання, опалення, мережі кондиціювання);
– за рахунок дії звукових коливань на технічні засоби обробки інформації (мікрофонний ефект, акустична модуляція та ін.).
Електромагнітні канали за своєю фізичною природою та експлуатаційними особливостями технічних засобів, які забезпечують виробничу діяльність, є найбільш небезпечними і досить поширеними каналами отримання інформації.
Такі канали створюються через наявність у технічних засобах, які використовуються у виробництві, джерел небезпечних сигналів. Насамперед до таких джерел відносять перероблювачі, якими є прилади, що трансформують зміни однієї фізичної величини в зміни іншої.
У термінах електроніки перероблювач визначається як прилад, котрий перетворює неелектричну величину в електронний сигнал, або навпаки. Добрі знання роботи перероблювачів дають змогу визначати можливі неконтрольовані прояви фізичних полів, які і створюють електромагнітні канали витоку (передання) інформації.
Водночас, враховуючи ідентичність технічних і конструктивних рішень, електронних схем технічних засобів обробки інформації та забезпечення виробничої діяльності підприємств і банків, усім їм потенційно властиві ті чи інші канали витоку (передання) інформації. Тому у будь-якому випадку використання технічних засобів обробки та передання інформації створює загрозу її безконтрольного витоку (передання) [13, c. 47].
Матеріально-речові канали отримання інформації створюються через вивчення відходів виробничої діяльності (зіпсовані документи або їх фрагменти, чернетки різного роду поміток, записів, листів та ін.), викрадення, несанкціоноване ознайомлення, копіювання, фотографування, відеозапис документів, креслень, планів, зразків технічних або програмних засобів.
Поряд з неправомірним отриманням службової інформації існують й інші загрози, які не передбачають отримання інформації, але, своєю чергою, не менш небезпечні.
Серед них такі, як знищення і модифікація (зміна змісту) інформації. У цьому разі службова інформація хоч і не потрапляє до конкурентів чи злочинців, але її використання стає неможливим і самими власниками.
Слід зазначити, що до факторів, які створюють умови витоку (передання) службової інформації, за дослідженнями спецслужб, відносять такі:
1) надмірна балакучість співробітників підприємств, фірм, банків – 32%;
2) прагнення працівників підприємств, фірм, банків заробляти гроші будь-яким способом і будь-якою ціною – 24%;
3) відсутність на підприємстві, фірмі, у банку системи заходів, спрямованих на захист інформації – 14%;
4) звичка співробітників підприємств, фірм, банків ділитись один з одним почутими новинами, чутками, інформацією – 12%;
5) безконтрольне використання інформаційних систем – 10%;
6) наявність передумов для виникнення серед співробітників конфліктних ситуацій – 8% [5, c. 18]
На підставі викладеного можна зробити висновок, що отримання службової інформації спецслужбами, конкурентами та зловмисниками здебільшого здійснюється через технічні засоби, які використовуються на фірмах, підприємствах, у банках, та через їх співробітників. Тобто в основу інформаційної безпеки має бути покладено заходи захисту інформації в засобах і мережах її передання та обробки, а також створення відповідної нормативної бази, яка б регулювала порядок доступу, зберігання і використання інформації фірми, банку, підприємства.
Заходи захисту інформації в засобах і мережах її передавання та обробки в основному передбачають використання апаратних, програмних та криптографічних засобів захисту [14, с. 182].
Своєю чергою, апаратні засоби захисту (АЗЗ) застосовуються для вирішення таких завдань:
– перешкоджання візуальному спостереженню і дистанційному підслуховуванню;
– нейтралізація паразитних електромагнітних випромінювань і наводок;
– виявлення технічних засобів підслуховування і магнітного запису, несанкціоновано встановлених або таких, які принесено до установ фірми, підприємства, банку;
– захист інформації, що передається засобами зв'язку і міститься в системах автоматизованої обробки даних.
За своїм призначенням АЗЗ поділяються на засоби виявлення і засоби захисту від несанкціонованого доступу.
Необхідно зазначити, що універсального засобу, який би давав змогу виконувати всі функції, немає, тому для виконання кожної функції, відповідно до виду засобів несанкціонованого доступу існують свої засоби пошуку та захисту.
За таких умов заходи щодо протидії незаконному вилученню службової інформації за допомогою АЗЗ доволі трудомісткі та дорогі і вимагають спеціальної підготовки фахівців безпеки.
На практиці всі заходи щодо використання АЗЗ поділяються на три групи:
1) організаційні;
2) організаційно-технічні;
3) технічні [11, с. 160].
Організаційні заходи апаратного захисту – це заходи обмежувального характеру, які передбачають регламентацію доступу і використання технічних засобів передавання і обробки інформації.
Організаційно-технічні заходи забезпечують блокування можливих каналів витоку інформації через технічні засоби забезпечення виробничої і трудової діяльності за допомогою спеціальних технічних засобів, які встановлюються на елементи конструкцій споруд і будівель, приміщень і технічних засобів, потенційно створюючи канали витоку інформації.
Технічні заходи – це заходи, які забезпечують використання в процесі виробничої діяльності спеціальних, захищених від побічних випромінювань технічних засобів передавання й обробки конфіденційної інформації.
Під програмними засобами захисту розуміють систему спеціальних програм, включених до складу програмного забезпечення комп'ютерів та інформаційних систем, які реалізують функції захисту конфіденційної інформації від неправомірних дій і програми їх обробки [11, с. 162].
Програмні засоби забезпечують захист службової інформації від несанкціонованого доступу до неї, копіювання її або руйнування.
Під час захисту від несанкціонованого доступу (НСД) з допомогою програмних засобів здійснюється:
– ідентифікація об'єктів і суб'єктів;
– розмежування доступу до інформаційних ресурсів;
– контроль і реєстрація дій з інформацією і програмами.
Захист інформації від копіювання забезпечується виконанням таких функцій:
– ідентифікація середовища, з якого буде запускатись програма;
– аутентифікація середовища, із якого запущена програма;
– реакція на запуск із несанкціонованого середовища;
– реєстрація санкціонованого копіювання;
– протидія вивченню алгоритмів роботи системи.
Заходи захисту від руйнування інформації, враховуючи велику різноманітність причин руйнування (несанкціоновані дії, помилки програм і обладнання, комп'ютерні віруси та ін.), передбачають обов'язкові страхувальні дії, які спрямовані на попередження і профілактику можливих причин руйнування інформації.
Програмні засоби захисту у таких випадках бувають як спеціалізованими, так і універсальними.
Під криптографічними заходами розуміють використання спеціальних пристроїв, програм, виконання відповідних дій, які роблять сигнал, що передається, абсолютно незрозумілим для сторонніх осіб. Тобто криптографічні заходи забезпечують такий захист інформації, за якого у разі перехоплення її і обробки будь-якими способами, вона може бути дешифрована лише протягом часу, який потрібен їй для втрати своєї цінності. Для цього використовуються різноманітні спеціальні засоби шифрування документів, мови, телеграфних повідомлень.
2. МЕХАНІЗМИ ЗАХИСТУ СЛУЖБОВОЇ ІНФОРМАЦІЇ В КОМП'ЮТЕРНИХ МЕРЕЖАХ
2.1 Ідентифікація та автентифікація
Перший крок до забезпечення безпеки ресурсів комп’ютерних інформаційних систем (КІС) – це її здатність до перевірки особистості користувача.
Процес підтвердження (перевірки) особистості користувача називається встановленням дійсності (автентифікацією). Автентифікація забезпечує основу для ефективного функціонування інших способів і засобів захисту, що використовуються в КІC [18, с. 6].
Наприклад, механізм реєстрації дозволяє отримати інформацію про використання користувачами ресурсів КІС, що заснована на ідентифікаторі користувача, а за допомогою механізму управління доступом дозволяє організувати доступ до ресурсів КІС.
Ці засоби захисту є ефективними лише за умови, якщо користувач, який використовує КІС, – дійсний користувач, якому призначений даний ідентифікатор.
Ідентифікація вимагає, щоб користувач був так чи інакше відомий КІС, що зазвичай реалізовується шляхом призначення користувачу ідентифікатора. Проте КІС не може довіряти заявленому ідентифікатору без підтвердження його дійсності.
Встановлення дійсності можливе за наявності у користувача чогось унікального, наприклад, жетону або пароля, який знає лише він, або чогось, що робить користувача винятковим, у цьому випадку може використовуватись, наприклад, відбиток його пальця. Чим більшою є кількість таких унікальних речей, що надано користувачем КІС, тим меншим є ризик , що хтось підмінить законного користувача [7, с. 66].
У більшості КІС використовується механізм ідентифікації та автентифікації на основі ідентифікатора користувача – паролю.
Парольні системи можуть бути ефективні, якщо управляються належним чином, проте це буває рідко. Автентифікація, котра покладається винятково на пароль, часто не може забезпечити адекватний захист для КІС з ряду причин. Користувачі мають тенденцію створювати паролі, які є легкими для запам'ятовування, а, отже, легкими для вгадування [13, с. 44].
З іншого боку, якщо користувачі, за вимогою КІС, повинні використовувати паролі, які були прогенеровані з випадкових символів і які важко вгадувати, то користувачам також важко їх запам'ятати. Це змушує користувача записувати пароль, і, найбільш імовірно, зберігати у місці, яке є легко доступним при роботі.
Через вразливі місця, які ще існують при використанні механізмів захисту, заснованих виключно на основі паролів, можуть використовуватися більш надійні механізми. Так, існують нові розробки в галузі систем автентифікації, засновані на використанні смарт-карт і даних біометрії [17, с. 7].
Механізм, заснований на інтелектуальних картах, вимагає, щоб користувач мав таку карту і додатково може витребувати, щоб користувач знав персональний код ідентифікації або пароль. Смарт-карта реалізує автентифікацію з допомогою схеми "запит – відповідь", що використовує вказані вище параметри в реальному масштабі часу. Це допомагає запобігти одержанню зловмисником неавторизованого доступу шляхом відтворення сеансу реєстрації користувача. Такі пристрої можуть також шифрувати сеанс автентифікації, запобігаючи компрометації інформації автентифікації за допомогою спостереження та перехоплення [5, с. 19].
Механізми блокування для пристроїв, які розташовані на автоматизованих робочих місцях та вимагають для розблокування автентифікації користувача, можуть бути корисні для тих користувачів, які повинні часто залишати робоче місце. Ці механізми блокування дозволяють їм залишитися зареєстрованими в КІС і лишати їх робочі місця (протягом певного періоду часу), не роблячи при цьому своє робоче місце потенційно доступним зловмисникові.
2.2 Управління доступом
Ця служба захищає проти неавторизованого використання ресурсів КІС і може бути забезпечена з допомогою механізмів управління доступом і механізмів привілеїв. Більша частина файлових серверів і автоматизованих робочих місць, що використовуються кількома користувачами, до деякої міри забезпечують цю службу, проте це не завжди так.
Управління доступом може бути реалізовано при використанні дискреційного управління доступом або мандатного управлінням доступом.
Дискреційне управління доступом – найбільш загальний тип управління доступом, що використовується в інформаційних системах. Основний принцип цього виду захисту полягає в тому, що індивідуальний користувач або програма, що працює від імені користувача, має можливість явно визначити типи доступу, який можуть мати інші користувачі (або програми, що виконуються від цього імені) до інформації, що перебуває у веденні даного користувача [9, с. 115].
Дискреційне управління доступом відрізняється від мандатного захисту тим, що воно реалізує рішення з управління доступом прийняті користувачем.
Мандатне управління доступом реалізується на основі результатів порівняння рівня допуску користувача та ступеня конфіденційності інформації [9, с. 116].
На практиці використовуються механізми управління доступом, які підтримують ступінь його деталізації на рівні таких категорій:
– власник інформації;
– задана група користувачів;
– всі інші авторизовані користувачі.
Це дозволяє власнику файлу (або каталогу) мати права доступу, що відрізняються від прав всіх інших користувачів, та визначення особливих прав для зазначеної групи людей, а також для всіх інших.
У загальному випадку виділяють такі права доступу:
1) доступ на читання інформації;
2) доступ на запис;
3) доступ для виконання [5, с. 19].
Деякі операційні системи, на базі яких створюються КІС, забезпечують додаткові права доступу, котрі дозволяють модифікацію, додавання інформації тощо. Операційна система може підтримувати профілі користувача та списки можливостей або списки управління доступом для визначення спеціальних прав для великої кількості окремих користувачів і великої кількості різних груп.
Використання цих механізмів дозволяє забезпечити більшу гнучкість у наданні різних прав доступу, що забезпечує суворий контроль доступу до файлів (або каталогів). Гнучкі механізми запобігають наданню користувачу більших прав доступу, ніж необхідно, що є однією з проблем при описаному вище трирівневому підході.
Списки управління доступом визначають права специфікованих користувачів і груп до даного файлу або каталогу. Списки можливостей і профілі користувача визначають файли та каталоги, до яких можна звертатися даним користувачам (або користувачу).
Управління доступом користувача може здійснюватися на рівні каталогів або на рівні файлів.
Управління доступом на рівні каталогу призводить до того, що права доступу для всіх файлів у каталозі стають однаковими. Наприклад, користувач, що має доступ на читання до каталогу, може читати (і, можливо, копіювати) будь-який файл у цьому каталозі. Права доступу до директорії можуть також забезпечити явну заборону доступу, що запобігає будь-якому доступу користувача до файлів у підкаталозі.
У деяких інформаційних системах можна управляти типами звернень до файлу, це здійснюється, крім контролю за тим, хто може мати доступ до нього. Такі реалізації можуть надавати опцію управління доступом, що дозволяє власнику позначати файл як поділюваний або заблокований (такий, що використовується монопольно). Поділювані файли дозволяють здійснювати паралельний доступ до файлу кількох користувачів одночасно. Блокований файл буде дозволяти доступ до себе тільки одному користувачу в даний момент часу. Якщо файл доступний лише на читання, призначення його поділюваним дозволяє групі користувачів паралельно читати його [13, с. 46].
Ці засоби управління доступом можуть також використовуватися для обмеження припустимих типів взаємодій між серверами у локальній мережі.
Механізми привілеїв дозволяють авторизованим користувачам ігнорувати обмеження на доступ, або іншими словами, деяким способом легально обходити управління доступом, щоб виконувати якусь функцію, отримати доступ до файлу тощо. Механізм привілеїв повинен включати концепцію мінімальних привілеїв [6, с. 7].
Мінімальні привілеї – це принцип, відповідно до якого кожному суб'єкту в системі надається найбільш обмежена множина привілеїв, які необхідні для виконання завдань, що повинен вирішити користувач. Наприклад, принцип мінімальних привілеїв повинен застосовуватися при виконанні функції резервного копіювання.
Користувач, що авторизований виконувати функцію резервного копіювання, повинен мати доступ на читання до всіх файлів, щоб мати змогу копіювати їх на резервні носії інформації.
2.3 Конфіденційність даних і повідомлень
Служба конфіденційності даних і повідомлень може використовуватися, коли необхідно забезпечити будь-який ступінь таємності інформації. Як передня лінія захисту, ця служба може містити в собі механізми, пов'язані зі службою управління доступом, але може також покладатися на шифрування для забезпечення більшого збереження таємниці.
Шифрування інформації перетворить її в незрозумілу форму, що називається шифротекстом, а розшифровування перетворює інформацію назад у її первісну форму. Важлива інформація може зберігатися в шифрованій формі, у вигляді шифротексту [8, с. 120].
Таким чином, якщо служба управління доступом буде обійдена, до файлу може бути здійснений доступ, але інформація буде захищена, оскільки знаходиться в зашифрованій формі. Використання шифрування може бути важливим на комп'ютерах – робочих станціях, які не забезпечують службу управління доступом.
Виважена політика безпеки повинна явно вказувати користувачам типи службової інформації, які вважаються важливими настільки, що для них потрібне застосування шифрування.
Концептуальна політика інформаційної безпеки організації може вказувати широкі категорії інформації, які повинні бути обов'язково захищені, у той час, як політика безпеки конкретної КІС може деталізувати певні типи інформації та певні середовища роботи, для яких є необхідний захист за допомогою шифрування [16, с. 112].
На якому б рівні політики безпеки не пропонувалося використання шифрування, рішення про його застосування повинне бути прийняте особою в керівництві організації, яка відповідає за захист важливої інформації. Якщо в політиці явно не вказується, яка інформація підлягає шифруванню, то власник даних цілком відповідає за прийняття цього рішення.
Криптографія може бути розділена на таку, що використовує секретні ключі, або таку, що використовує відкриті ключі [17, с. 7].
Криптографія секретних ключів заснована на використанні єдиного криптографічного ключа, відомого двом сторонам. Цей самий ключ використається для шифрування та розшифровки даних. Він зберігається в таємниці обома сторонами.
Криптографія з відкритими ключами – це форма криптографії, яка використовує два типи ключів: відкритий ключ і секретний ключ. Ці два ключі зв'язані між собою, але мають таку властивість, що за даним відкритим ключем в обчислювальному відношенні неможливо отримати секретний ключ.
У криптосистемі з відкритими ключами кожна сторона має власну пару, що складається з відкритого та секретного ключів. Відкритий ключ може бути відомий будь-якій особі; секретний ключ зберігається в таємниці.
У цілому режим захисту службової інформації встановлюється:
– стосовно відомостей, віднесених до державної або комерційної таємниці;
– стосовно конфіденційної документованої інформації.

3. ЗАХОДИ ЩОДО ЗАХИСТУ СЛУЖБОВОЇ ІНФОРМАЦІЇ,
ЯКА ЦИРКУЛЮЄ В КОМП'ЮТЕРНИХ МЕРЕЖАХ

При організації захисту службової інформації, що циркулює в комп'ютерних мережах підприємства, організації, установи, фірми (надалі – організації) необхідно дотримуватися таких вимог:
– для розмежування потоків службової інформації (СІ) від інформації загального користування (ІЗК) локальна мережа СІ має бути фізично відокремлена від загальної локальної мережі організації;
– один і той самий комп'ютер не може одночасно бути приєднаний до СІ і ІЗК. Обмін інформацією між обома системами здійснюють з допомогою дискет, дисків або фізичним переключенням комп'ютера з одної системи на іншу;
– приєднання до СІ незахищених комп'ютерів (де зберігається нетаємна інформація), які розміщені в категорійованих приміщеннях чи суміжних з ними приміщеннях, можливе лише, якщо це дозволено режимним приписом на об'єкти категоріювання з безумовним виконанням цього припису користувачами CІ;
– приєднання до Інтернету захищених комп'ютерів для СІ, на яких обробляють таємну інформацію, у будь-який спосіб і за будь-яких умов забороняється;
– архітектура локальної мережі має бути побудована як дворівнева – з управлінням від проксі-серверу, на якому "прописані" імена користувачів з паролями доступу, що унеможливлює неконтрольоване приєднання користувачів до Інтернет і електронної пошти;
– Інтернет-вузол організації повинен мати програмні засоби захисту, які перешкоджають несанкціонованому витоку інформації через мережу Інтернет і електронну пошту, а також запобігають руйнуванню або модифікації інформації із зовні.
В окремих випадках дозволяється для виходу до глобальної комп'ютерної мережі користуватися індивідуальними факс-модемами, приєднаними до розеток телефонної мережі.
Якщо через факс-модем здійснюється вихід до Інтернету, то, крім дотримання інструкцій, які діють в організації, необхідно дотримуватися вимог чинних нормативних документів щодо визначення провайдера.
Для захисту інформації, що є власністю організації, користувачу забороняється обробляти або зберігати на комп'ютері, що використовуються для ІЗК, такі види інформації:
– з грифом "для службового користування";
– внутрішні організаційно-розпорядчі документи (накази, доручення, службові записки, протоколи засідань, акти тощо);
– документи щодо кадрової політики;
– документи бухгалтерського обліку і звітності, інші фінансові документи щодо господарської діяльності організації, документи, у яких віддзеркалена матеріальна база організації;
– юридичні документи щодо господарської діяльності організації;
– документи що містять конфіденційну інформацію, яка належить контрагентам організації;
– документи щодо майбутніх переговорів з іноземними партнерами;
– інші матеріали, безконтрольне розповсюдження яких за межами організації не є доцільним.
На комп'ютерах, які використовуються виключно для СІ, зазначені вище види інформації дозволяється обробляти і зберігати без обмежень.
З метою захисту СІ, що циркулює в комп’ютерній мережі організації, користувач повинен:
– регулярно оновлювати антивірусні програми на своєму комп'ютері;
– знищувати виконавчі файли (з файловими розширеннями ВАТ, СОМ, ЕХЕ), які надійшли з електронною поштою, якщо отримання таких файлів не було передбачено за домовленістю з адресантом;
– зберігати копії електронних документів великого обсягу, іншу трудомістку і цінну інформацію на змінних носіях інформації або на файловому сервері для СІ.
Перелік користувачів CІ формується на підставі заяв керівників підрозділів організації. Заява має бути завізована відповідним системним адміністратором (з урахуванням технічних можливостей системи) і мати резолюцію начальника відділу інформаційних технологій щодо її виконання (якщо в організації є такий відділ).
У загальному випадку користувач має можливість:
– виходу до Інтернету через особистий пароль;
– виходу до поштового серверу через особистий пароль і особисту поштову адресу;
– обмінюватися інформацією з іншими користувачами мережі для CІ;
– користуватися особистим або мережевим принтером і сканером;
– користуватися файловим і інформаційним серверами, приєднаними до мережі для СІ;
– здійснювати обмін інформацією між системами для СІ та ІЗК через дискет, диски або з допомогою фізичного переключення комп'ютера.
Для запобігання несанкціонованого доступу інших співробітників організації до СІ, що може призвести до оброблення на них недозволеної інформації, користувач для входу до операційної системи має використовувати персональні паролі.

4. НАПРЯМКИ ТЕХНІЧНОГО ЗАХИСТУ ІНФОРМАЦІЇ,
ЯКА ФОРМУЄТЬСЯ, ОБРОБЛЯЄТЬСЯ ТА ПЕРЕДАЄТЬСЯ В ОБЧИСЛЮВАЛЬНИХ СИСТЕМАХ ОПЕРАТИВНИХ ПІДРОЗДІЛІВ ОВС

Усе більше в повсякденній професійній діяльності працівники оперативних підрозділів різних рівнів використовують засоби обчислювальної техніки. Напрямки використання комп'ютерів цими підрозділами постійно розширюються. Комп'ютери використовуються для формування оперативних обліків різної спрямованості, накопичення службової та оперативної інформації, складання документів різного рівня доступу.
Крім цього, для підвищення швидкості обміну інформацією, вони підключаються до локальних, відомчих та глобальних мереж.
Розвиток засобів, методів та форм автоматизації процесів обробки інформації і поширення застосування комп'ютерів у роботі оперативних підрозділів роблять інформацію набагато вразливішою. Хоча підвищення рівня використання обчислювальної техніки та систем, які будуються на її основі, на сучасному етапі більш стосується оперативних підрозділів міського, обласного рівня та тих, що займаються боротьбою з організованими формами злочинності, але й районні оперативні підрозділи теж починають застосовувати її для обробки інформації.
Отже, зростання ролі засобів обчислювальної техніки в інформаційних процесах ставить перед ОВС проблеми, які пов'язані з безпекою інформації, що обробляється та зберігається в комп'ютерах або передається замовнику в обчислювальній мережі.
Наразі злочинним шляхом використовується електронна обчислювальна техніка насамперед у банківській системі. Хоча в умовах ринкових відносин предметом розкрадання може бути й інформація різного значення [13, с. 43].
Не є таємницею, що організовані злочинні угруповання мають у своїх "штатах" спеціалістів, які займаються розвідкою з використанням найсучасніших технічних засобів для збирання потрібної інформації про діяльність конкурентів, засобів масової інформації, підприємств та фірм, які знаходяться в межах їх інтересів, та правоохоронних органів [10, с. 14].
Виходячи з вимог безпеки інформації, яка зберігається, функціонує та обробляється в засобах обчислювальної техніки працівниками оперативних підрозділів ОВС, стає необхідним вжиття заходів, які б підвищили надійність її захисту. При цьому можуть використовуватись різні засоби захисту – фізичні, законодавчі, організаційні, програмні, технічні.
Перш за все, треба чітко уявляти можливі шляхи просочення інформації в обчислювальних системах для кваліфікованої побудови її технічного захисту. До них належать:
– дистанційне зняття інформації з технічних засобів, які мають побічне електромагнітне випромінювання;
– вилучення інформації, яка обробляється в електронно-обчислювальних машинах, з мереж живлення;
– акустичне просочення інформації;
– перехват інформації з каналів зв'язку;