Технологии защиты информационного пространства управления

1. Пароль не должен быть значимым словом или сочетанием слов какого-либо языка. Словари всех языков давно составлены вместе со всеми возможными формами слов. Распространённые системы подбора паролей начинают перебор, используя словарь, в котором слова расставлены по частоте их употребления. Например, у вас длина пароля до 12 символов. Противник начинает взламывать вашу защиту, перебирая пароль со скоростью 10 000 вариантов в секунду (средний компьютер). Если в качестве пароля выбрано случайное сочетание символов (цифр и латинских букв разного регистра), то возможных вариантов примерно 12⁶², и перебор вариантов займёт

лет.

Возраст вселенной существенно меньше этого срока. Но если вы для более лёгкого запоминания поставили в качестве пароля осмысленное слово, то количество вариантов резко сокращается. В языке примерно 100 000 слов, вместе два языка дадут 200 000, с учётом всех возможных форм и кодировок пусть 10⁶. Такое число будет перебрано за

Несколько выше ваши шансы, если использовалась пара слов. Сочетаний из двух слов - 10¹². Перебор займёт 10⁸ с - около 3 лет. Однако стоит противнику применить более мощный компьютер, как время полного перебора вновь упадёт до нескольких минут. Если же ваше сочетание слов сколь-нибудь осмысленно, то задача упрощается на несколько порядков.

2. Не записывайте свой пароль в файл или на бумажке. Это приведёт к тому, что пароль не только станет известен тому, кто захочет его узнать, но и вы не будете подозревать, что пароль скомпрометирован. Когда вы не рискуете положиться на свою память, пароль записывается в специальный журнал паролей, который опечатывается и хранится в сейфе или в другом месте, исключающем доступ посторонних.

3. Не используйте один пароль для нескольких целей. Предположим, что вы придумали и ухитрились запомнить хороший пароль. И вы ставите его на свой аккаунт в локальной сети, на свой почтовый ящик, аккаунт в системе баннерного обмена, электронный кошелёк, шифруете им свои архивы и т.д. У всех этих систем разная степень стойкости. Грамотному хакеру не составит большого труда перехватить ваш пароль на почтовый ящик. После этого, если не полный лентяй, он попробует его ко всем вашим аккаунтам и, конечно, будет прав. Чтобы избежать такой "цепной реакции", придётся вам запоминать несколько паролей. Надо заметить, что не везде нужны пароли длинные и стойкие. Где-то возможно применение и простых паролей, если информация не представляет особой ценности.

4. При наборе пароля, хотя он, как правило, на экране не отображается, следует всё же избегать чужих глаз. Будет очень полезно, если вы заведёте в коллективе такой порядок, что когда кто-то набирает свой пароль, остальные, как истинные джентльмены, отворачиваются, независимо от того, видно им или нет.

Шифрованные архивы

Программы-архиваторы, как правило, имеют опцию шифровки. Ею можно пользоваться для не слишком важной информации. Во-первых, используемые там методы шифровки не слишком надёжны (подчиняются официальным экспортным ограничениям), во-вторых, детально не описаны. Всё это не позволяет всерьёз рассчитывать на такую защиту. Архивы с паролем можно использовать только "для чайников".

На некоторых сайтах в Internet можно найти "ломалки" для зашифрованных архивов. Например, архив ZIP взламывается на хорошем компьютере за несколько минут, при этом от пользователя не требуется никакой особой квалификации.

Шифрование в Word и Excel

Фирма Microsoft включила в свои продукты некоторое подобие криптозащиты. Но это весьма законопослушная фирма, которая чётко соблюдает все экспортные ограничения США, да ещё и перестраховывается. Это не позволяет надеяться на стойкость такой защиты. К тому же, алгоритм шифровки не описан, что, как было показано выше, является показателем ненадёжности.

Кроме того, имеются данные, что Майкрософт оставляет в используемых криптоалгоритмах “чёрный ход”. Если вам очень нужно расшифровать файл, пароль к которому утрачен (или враг не хочет говорить), можно обратиться в фирму. По официальному запросу, при достаточных основаниях они проводят расшифровку файлов Word и Excel. Так, кстати, поступают и некоторые другие производители ПО.

Шифрованные диски (каталоги)

Шифрование - достаточно надёжный метод защиты информации на вашем жёстком диске. Однако если количество закрываемой информации не исчерпывается двумя-тремя файлами, то вам будет несколько сложно с ней работать: каждый раз нужно будет файлы расшифровывать, а после редактирования - зашифровывать обратно. При этом на диске могут остаться страховочные копии файлов, которые создают многие редакторы.

Поэтому удобно использовать специальные программы (драйверы), которые автоматически зашифровывают и расшифровывают всю информацию при записи её на диск и чтении с диска.

Меры организационного характера

Обязательные

· Познакомить всех сотрудников с принципами ЗИ и принципами работы средств хранения и обработки информации. Представляя себе хотя бы на качественном уровне, что происходит при тех или иных операциях, сотрудник избежит явных ошибок.

· Чётко классифицировать всю информацию по степени её закрытости и ввести правила обращения с документами ограниченного распространения.

· Обязать сотрудников исполнять требования по ЗИ, подкрепив это соответствующими организационными и дисциплинарными мерами.

Желательные

· Заставить всех сотрудников изучить современные средства ЗИ и сдать по ним зачёт.

· Иметь в штате специалиста, профессионально разбирающегося в проблемах ЗИ.

· Не использовать в работе ПО, в отношении которого не имеется чёткой уверенности, что оно не совершает несанкционированных действий с обрабатываемой информацией, таких, например, как самовольное создание копий, сбор информации о компьютере, отсылка по Internet сведений изготовителю ПО. Особенно подобным поведением "грешат" программные продукты фирмы Microsoft.

· Поставив себя на место вероятного противника (конкурента), подумать, что он мог бы предпринять для получения несанкционированного доступа к вашей информации. Продумать ответные меры защиты.

· Приобрести сертифицированные средства ЗИ.

· Запретить сотрудникам (кроме уполномоченных специалистов) инсталлировать какое-либо новое ПО. При получении любых исполняемых файлов по электроной почте стирать их, не разбираясь.

Дополнительные

· Разработать комплексную стратегию защиты информации на вашем предприятии. Лучше поручить такую задачу сторонним специалистам.

· Провести "испытание" имеющихся у вас средств ЗИ, поручив стороннему специалисту испробовать на прочность вашу защиту.

Комплексные меры по защите информации

Принцип “слабейшего звена”

Когда мы реализуем целый комплекс мер по защите информации, мы как бы выстраиваем сплошную стену, охраняющую нашу территорию от вторжения врагов. Если хотя бы один участок стены окажется с брешью или недостаточно высок, вся остальная конструкция лишается смысла. Так и с защитой информации - устойчивость всей системы защиты равна устойчивости её слабейшего звена. Отсюда делаются следующие выводы.

· ЗИ может осуществляться лишь в комплексе; отдельные меры не будут иметь смысла;

· Стойкость защиты во всех звеньях должна быть примерно одинакова; усиливать отдельные элементы комплекса при наличии более слабых элементов - бессмысленно;

· При преодолении ЗИ усилия прикладываются именно к слабейшему звену.

Рассмотрим, какие есть “звенья” в системе защиты, и какое из них слабейшее. Надёжность защиты можно классифицировать по следующим группам:

· количество вариантов ключа (определяет устойчивость к прямому перебору);

· качество алгоритма (устойчивость к косвенным методам дешифровки);

· наличие у противника априорной информации;

· надёжность хранения или канала передачи секретного ключа;

· надёжность допущенных сотрудников;

· надёжность хранения незашифрованной информации.

Экономическая целесообразность защиты

Абсолютно надёжной защиты не существует. Это следует помнить всем, кто организует ЗИ. Любую защиту можно преодолеть. Но лишь “в принципе”. Это может потребовать таких затрат сил, средств или времени, что добытая информация их не окупит. Поэтому практически надёжной признаётся такая защита, преодоление которой потребует от противника затрат, значительно превышающих ценность информации.

Поэтому прежде чем защищать ту или иную информацию, следует подумать, а имеет ли это смысл. Прежде всего - с экономической точки зрения.

Итак, при построении защиты нужно руководствоваться следующим принципом. На защиту информации можно потратить средств для обеспечения уровня защиты не свыше необходимого. Необходимый же уровень определяется тем, чтобы затраты вероятного противника на преодоление защиты были выше ценности этой информации с точки зрения этого противника.

Категоризация информации

Для исключения лишних расходов по защите вся информация делится на категории в соответствии с требуемой степенью защиты. Эта степень определяется, исходя из:

· возможного ущерба для владельца при несанкционированном доступе к защищаемой информации;

· экономической целесообразности преодоления защиты для противника.

Естественно, производить такую оценку для каждого документа было бы слишком трудоёмко. Поэтому сложилась практика определения категорий секретности документов, по которым документы распределяются по формальным признакам. Например, в государственных органах используются 4 категории секретности:

· “для служебного пользования”;

· “секретно”;

· “совершенно секретно”;

· “совершенно секретно особой важности”.

Для упрощения решения вопросов защиты следует применять аналогичную схему. Издаётся инструкция, которая определяет, по каким признакам документ (информация) относится к той или иной категории, и какие сотрудники к какой категории имеют доступ.

Комплекс мер защиты

Постановка задач

Систематический подход к вопросам ЗИ требует прежде всего поставить задачи. Для этого мы должны ответить на следующие вопросы.