Разработка модулей администрирования и шифрования данных для информационной системы предприятия
Дипломная работа - Компьютеры, программирование
Другие дипломы по предмету Компьютеры, программирование
енными модулями администрирования и шифрования данных
Чтобы снизить риски от угроз безопасности информационной системе учета заявок предприятия, следует реализовать:
1.Модуль администрирования, т.е. обеспечить:
1)строгую аутентификацию пользователей и контроль доступа в соответствии с избирательным управлением, регулируемым администратором безопасности. Это даст возможность персонализировать доступ и существенно снизить риск отказа пользователей от совершенных ими действий;
2)аудит критических (в плане безопасности) действий пользователей.
Сочетание аудита и строгой персонификации - достаточно веский аргумент в пользу отказа от противоправных действий для потенциальных нарушителей [22, 24]. Реализация этого модуля способствует нейтрализации следующих угроз:
-разглашение, передача или утрата атрибутов разграничения доступа;
-внедрение агентов в число персонала системы;
-незаконное получение паролей и других реквизитов разграничения доступа;
-несанкционированная модификация программного обеспечения;
-несанкционированный запуск технологических программ, способных вызывать потерю работоспособности системы или осуществляющих необратимые изменения в системе;
-вмешательство в процесс функционирования автоматизированной системы сетей общего пользования iелью несанкционированной модификации данных;
-действия сотрудников, приводящие к частичному или полному отказу системы или нарушению работоспособности аппаратных или программных средств;
-игнорирование организационных ограничений при работе в системе;
-ввод ошибочных данных.
2.Модуль шифрования, т.е. обеспечить:
)шифрование трафика между клиентской рабочей станцией и сервером БД, что предотвратит попытки кражи информации на сетевом уровне;
2)криптографическое преобразование тех данных, которые необходимо защитить. Это значительно снизит риск потери информации;
)хранение аутентификационной информации и ключей шифрования на персонализированном съемном носителе, например, на USB-ключе в защищенном виде. Это позволит устранить проблему "забытых паролей" и повысить персональную ответственность сотрудника [25, 26].
Реализация этого модуля способствует нейтрализации следующих угроз:
-разглашение, передача или утрата атрибутов разграничения доступа;
-незаконное получение паролей и других реквизитов разграничения доступа;
-перехват данных, передаваемых по каналам связи;
-хищение носителей информации;
-чтение остаточной информации из оперативной памяти и с внешних запоминающих устройств.
Согласно Концепции информационной безопасности Федеральной налоговой службы от 29 августа 2006 г. в целях защиты конфиденциальной информации в автоматизированных информационных системах ФНС России должны применяться средства криптографической защиты информации (СКЗИ). К ним предъявляются ряд требований, перечислим основные [12, 8]:
-СКЗИ должны допускать их встраивание в технологическую схему обработки электронных сообщений, обеспечивать взаимодействие с прикладным программным обеспечением на уровне обработки запросов на криптографические преобразования и выдачи результатов;
-СКЗИ должны поставляться разработчиками с полным комплектом эксплуатационной документации, включая описание ключевой системы, правила работы с ней, а также обоснование необходимого организационно-штатного обеспечения;
-СКЗИ должны быть реализованы на основе алгоритмов, соответствующих национальным стандартам Российской Федерации и (или) условиям договоров с контрагентами;
-СКЗИ должны иметь строгий регламент использования ключей, предполагающий контроль со стороны администратора безопасности за действиями пользователя на всех этапах работы с ключевой информацией (получение ключевого носителя, ввод ключей, использование ключей и сдача ключевого носителя).
Сертификация средств криптографической защиты информации (СКЗИ), фактически, является единственным возможным способом гарантии качества реализации криптостандартов и отсутствия в средствах защиты намеренно внесенных закладок.
Отсутствие сертификата ФСБ на СКЗИ не позволяет его использовать в Государственных органах и организациях РФ, и организациях или частных лицах, обменивающихся конфиденциальной информацией с Государственными органами и организациями РФ. А Положение ФАПСИ о системе сертификации СКЗИ устанавливает следующее требование к используемым в сертифицируемых СКЗИ криптоалгоритмам: "Заявки на проведение сертификации шифровальных средств принимаются при условии, что в указанных средствах реализованы криптографические алгоритмы, объявленные государственными или отраслевыми стандартами Российской Федерации, иными нормативными документами, утвержденными Советом Министров - Правительством Российской Федерации или ФАПСИ". Т.е. сертифицированное средство шифрования данных должно реализовывать именно отечественный криптостандарт ГОСТ 28147-89.
Для обеспечения защиты информации в информационной системе учета заявок предприятия поддерживается избирательный подход к вопросу обеспечения безопасности данных. При этом каждому пользователю в информационной системе присваивается уникальный идентификатор. Для дополнительной защиты каждый пользователь, кроме уникального идентификатора, снабжается паролем. При этом таблица с данными пользователей системы хранится на сервере в зашифрованном виде, с по