VII этап — начиная с 1985 года  — связан с созданием и развитием  глобальных информационно-коммуникационных  сетей с использованием космических  средств обеспечения. Можно предположить что очередной этап развития информационной безопасности, очевидно, будет связан с широким использованием сверхмобильных коммуникационных устройств с широким спектром задач и глобальным охватом в пространстве и времени, обеспечиваемым космическими информационно-коммуникационными системами. Для решения задач информационной безопасности на этом этапе необходимо создание макросистемы информационной безопасности человечества под эгидой ведущих международных форумов. 

     Нормативные документы в области  информационной безопасности 

     В Российской Федерации к нормативно-правовым актам в области информационной безопасности относятся:

- Акты  федерального законодательства:

- Международные  договоры РФ;

- Конституция  РФ;

- Законы  федерального уровня (включая федеральные конституционные законы, кодексы);

- Указы  Президента РФ;

- Постановления  правительства РФ;

- Нормативные  правовые акты федеральных министерств  и ведомств;

- Нормативные  правовые акты субъектов РФ, органов  местного самоуправления и т.  д.

     К нормативно-методическим документам можно отнести

Методические  документы государственных органов  России:

- Доктрина  информационной безопасности РФ;

- Руководящие  документы ФСТЭК (Гостехкомиссии  России);

- Приказы  ФСБ;

- Стандарты  информационной безопасности, из  которых выделяют:

- Международные  стандарты;

- Государственные  (национальные) стандарты РФ;

- Рекомендации  по стандартизации;

     Государственные органы РФ, контролирующие деятельность в области защиты информации:

- Комитет  Государственной думы по безопасности;

- Совет безопасности России;

- Федеральная  служба по техническому и экспортному  контролю (ФСТЭК);

- Федеральная  служба безопасности Российской  Федерации (ФСБ России);

- Министерство  внутренних дел Российской Федерации  (МВД России);

- Федеральная  служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

     Службы, организующие защиту информации на уровне предприятия

Служба  экономической безопасности;

- Служба  безопасности персонала (Режимный  отдел);

- Отдел  кадров;

-Служба  информационной безопасности.

     Для описания технологии защиты информации конкретной информационной системы  обычно строится так называемая Политика информационной безопасности или Политика безопасности рассматриваемой информационной системы.

     Политика  безопасности (информации в организации) (англ. Organizational security policy) — совокупность документированных правил, процедур, практических приемов или руководящих принципов в области безопасности информации, которыми руководствуется организация в своей деятельности.

     Политика  безопасности информационно-телекоммуникационных технологий (англ. ІСТ security policy) — правила, директивы, сложившаяся практика, которые  определяют, как в пределах организации  и её информационно-телекоммуникационных технологий управлять, защищать и распределять активы, в том числе критичную информацию.

     Для построения Политики информационной безопасности рекомендуется отдельно рассматривать  следующие направления защиты информационной системы:

- Защита  объектов информационной системы;

- Защита  процессов, процедур и программ обработки информации;

- Защита  каналов связи;

- Подавление  побочных электромагнитных излучений;

- Управление  системой защиты. 

Программно-технические  способы и средства обеспечения информационной безопасности 

     Средства  защиты от несанкционированного доступа (НСД):

- Средства  авторизации;

- Мандатное  управление доступом;

- Избирательное  управление доступом;

- Управление  доступом на основе ролей;

- Журналирование (так же называется Аудит).

- Системы  анализа и моделирования информационных потоков (CASE-системы).

- Системы  мониторинга сетей: 

- Системы  обнаружения и предотвращения  вторжений (IDS/IPS).

- Анализаторы  протоколов.

- Антивирусные  средства.

- Межсетевые  экраны.

     Криптографические средства:

- Шифрование;

- Цифровая  подпись.

- Системы  резервного копирования.

     Системы бесперебойного питания:

- Источники  бесперебойного питания;

- Резервирование  нагрузки;

- Генераторы  напряжения.

     Системы аутентификации:

- Пароль;

- Сертификат;

- Биометрия.

- Средства  предотвращения взлома корпусов и краж оборудования.

Меры  информационной безопасности.

     Информационная безопасность подчеркивает  важность информации в современном  обществе - понимание того, что информация - это ценный ресурс, нечто большее,  чем отдельные элементы данных. Информационной безопасностью называют меры по защите информации от неавторизованного доступа, разрушения, модификации, раскрытия и задержек в доступе. Информационная безопасность включает в себя меры по защите процессов создания данных, их ввода, обработки и вывода. Целью информационной безопасности является обезопасить ценности системы, защитить и гарантировать точность и целостность информации, и минимизировать разрушения, которые могут иметь место, если информация будет модифицирована или разрушена. Информационная безопасность требует учета всех событий, в ходе которых информация создается, модифицируется, к ней обеспечивается доступ или она распространяется

Можно выделить следующие направления  мер  информационной безопасности.

• правовые
• организационные
• технические

              К правовым мерам следует отнести  разработку норм, устанавливающих  ответственность за компьютерные  преступления, защиту авторских  прав программистов, совершенствование  уголовного и гражданского законодательства, а также судопроизводства. К правовым мерам относятся также вопросы общественного контроля за разработчиками компьютерных систем и принятие международных договоров об их ограничениях, если они влияют или могут повлиять на военные, экономические и социальные аспекты жизни стран, заключающих соглашение

              К организационным мерам можно отнести охрану вычислительного центра, тщательный подбор персонала, исключение случаев ведения особо важных работ только одним человеком, наличие плана восстановления работоспособности центра, после выхода его из строя, организацию обслуживания вычислительного центра посторонней организацией или лицами, незаинтересованными в сокрытии фактов нарушения работы центра, универсальность средств защиты от всех пользователей (включая высшее руководство), возложение ответственности на лиц, которые должны обеспечить безопасность центра, выбор места расположения центра и т.п.

               К техническим мерам можно  отнести защиту от несанкционированного  доступа к системе, резервирование  особо важных компьютерных подсистем, организацию вычислительных сетей с возможностью перераспределения ресурсов в случае нарушения работоспособности отдельных звеньев, установку оборудования обнаружения и тушения пожара, оборудования обнаружения воды, принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов, установку резервных систем электропитания, оснащение помещений замками, установку сигнализации и многое другое. Более подробно эти меры будут рассмотрены в последующих разделах этого реферата. 
 
 
 
 
 
 
 

Защита  программного обеспечения  компьютерных систем 

     Безопасность  программного обеспечения (ПО) в широком  смысле является свойством данного  ПО функционировать без проявления различных негативных последствий  для конкретной компьютерной системы. Под уровнем безопасности ПО понимается вероятность того, что при заданных условиях в процессе его эксплуатации будет получен функционально пригодный результат. Причины, приводящие к функционально непригодному результату могут быть разными: сбои компьютерных систем, ошибки программистов и операторов, дефекты в ПО. При этом дефекты принято рассматривать двух типов: преднамеренные и непреднамеренные. Первые являются, как правило, результатом злоумышленных действий, вторые - ошибочных действий человека.

     При исследовании проблем защиты ПО от преднамеренных дефектов неизбежна постановка следующих вопросов:

- кто потенциально  может осуществить практическое  внедрение программных дефектов  деструктивного воздействия в  исполняемый программный код; 

- каковы возможные  мотивы действий субъекта, осуществляющего разработку таких дефектов;

- как можно  идентифицировать наличие программного  дефекта; 

как можно отличить преднамеренный программный дефект от программной ошибки;

- каковы наиболее  вероятные последствия активизации  деструктивных программных средств при эксплуатации КС.

     При ответе на первый вопрос следует отметить, что это: непосредственные разработчики алгоритмов и программ для компьютерных систем. Они хорошо знакомы с технологией  разработки программных средств, имеют опыт разработки алгоритмов и программ для конкретных прикладных систем, знают тонкости существующей технологии отработки и испытаний программных компонентов и представляют особенности эксплуатации и целевого применения разрабатываемой КС. Кроме того, при эксплуатации программных комплексов возможен следующий примерный алгоритм внесения программного дефекта: дизассемблирование исполняемого программного кода, получение исходного текста, привнесение в него деструктивной программы, повторная компиляция, корректировка идентификационных признаков программы (в связи с необходимостью получения программы "схожей" с оригиналом). Таким образом, манипуляции подобного рода могут сделать и посторонние высококлассные программисты, имеющие опыт разработки и отладки программ на ассемблерном уровне.

     В качестве предположений при ответе на второй вопрос следует отметить, что алгоритмические и программные  закладки могут быть реализованы  в составе программного компонента вследствие следующих факторов:

- в результате  инициативных злоумышленных действий непосредственных разработчиков алгоритмов и программ;

- в результате  штатной деятельности специальных  служб и организаций, а также  отдельных злоумышленников; 

- в результате  применения инструментальных средств  проектирования ПО, несущих вредоносное свойство автоматической генерации деструктивных программных средств.

     Для описания мотивов злоумышленных  действий при разработке программных  компонентов необходим психологический "портрет" злоумышленника, что  требует проведения специальных исследований психологов и криминологов в области психологии программирования. Однако некоторые мотивы очевидны уже сейчас и могут диктоваться следующим: