Игнатьев В.А. Информационная безопасность современного коммерческого предприятия

Подождите немного. Документ загружается.

выраженный в материальной (денежный ущерб) или немате-

риальной (моральный ущерб) форме.

Лазейка - скрытый программный или аппаратный меха низм,

позволяющий обойти системные механизмы защиты. Обычно этот

механизм активизируется некоторым неочевид ным способом.

Личная безопасность (personnel security) - процедуры, удо-

стоверяющие, что все, кто имеет доступ к критичной инфор мации,

получили необходимое разрешение и соответствующие

полномочия.

Логическая бомба (logic bomb) - программа, выполняемая

периодически или в определенный момент времени с целью

исказить, уничтожить или модифицировать данные.

Маскарад (masquerading) - попытка получить доступ к си-

стеме, объекту или выполнение других действий субъектом, не

обладающим полномочиями на соответствующее действие и

выдающим себя за другого, которому эти действия разрешены.

Масштабируемость - способность системы эффективно

справляться с увеличением объемов данных и вычислитель ных

мощностей в рамках существующей архитектуры и п-ринципов

работы.

Межсетевые экраны (firewall) - специальные технические

средства разграничения доступа к информационным ре сурсам и

контроля обмена данными между различными ком пьютерными

сетями.

Механизм контроля доступа (access control mechanism) -

оборудование или программное обеспечение, процедуры системы,

процедуры администратора и их различные комбинации, которые

обнаруживают, предотвращают несанкционированный доступ и

разрешают законный в автоматизированных системах.

Миграция/демиграция (Migrate/Demigrate) - означает фи-

зическое перемещение файла по структуре HSM с сохранением

единого логического местоположения. Приложения, использующие

этот файл, обращаются к нему по логическому местоположению.

Минимум привилегий (least privilege) - один из основопо-

лагающих принципов организации системы защиты, гласящий, что

каждый субъект должен иметь минимально воз можный набор

привилегий, необходимый для решения поставленных перед ним

задач. Следование этому принципу пре дохраняет от нарушений,

возможных в результате злого умыс ла, ошибки или

несанкционированного использования привилегий.

Многоуровневая безопасность (multilevel security) - класс

систем, содержащих информацию с различными уровнями

критичности, которые разрешают одновременный доступ к

объектам субъектам с различными уровнями прозрачности, но

запрещают при этом несанкционированный доступ.

Модель Белла-Лападула (Bella-LaPadula model) - формаль-

ная автоматная модель политики безопасности, описывающая

множество правил управления доступом. В этой модели компо-

ненты системы делятся на объекты и субъекты. Вводится понятие

безопасного состояния и доказывается, что если каждый переход

сохраняет безопасное состояние (то есть переводит сис тему из

безопасного состояния в безопасное), то согласно прин ципу

индукции система является безопасной. Состояние систе мы

считается безопасным, если в соответствии с политикой бе-

зопасности субъектам разрешены только определенные типы

доступа к объектам (в том числе отсутс твие доступа). Для опре-

деления, разрешен субъекту доступ к объекту или нет, его уро вень

прозрачности сравнивается с меткой объекта (уровнем бе-

зопасности объекта) и для запрашиваемого типа доступа прини-

мается решение - разрешить доступ или нет.

Модель политики безопасности (security policy model) -

формальное представление политики безопасности, разрабо-

танной для системы. Оно должно содержать формальное описание

определяющих управление, распределение и защиту критической

информации.

Мэйнфрейм - большая электронно-вычислительная машина с

уникальными архитектурой и программным обеспече нием.

Мультимедийные технологии - технологии, обеспечивающие

возможность использования звука и видео.

Наводки - токи и напряжения в токопроводящих элемен тах,

вызванные электромагнитным излучением, емкостными и

индуктивными связями.

Нарушение безопасности информации - событие, при ко-

тором компрометируется один или несколько аспектов безо-

пасности информации (доступность, конфиденциальность, це-

лостность и достоверность).

Национальный Центр Компьютерной Безопасности, США

(National Computer Security Center NCSC) - организация,

поддерживающая и стимулирующая распространение защищенных

систем в учреждениях Федерального правительс тва. Является

координирующим органом в области анализа и раз работки систем с

гарантированной защитой. Первичное название - Центр

Компьютерной Безопасности министерства обороны США (DoD

Computer Security Center).

Незаконное вмешательство (illegal interference) - означает

преднамеренное существенное затруднение или нарушение

работы информационной системы, а также удаление, разрушение,

изменение данных в компью терной системе либо п-репятствование

доступу к ним с намерением причинить ущерб физическому или

юридическому лицу.

Незаконный доступ (illegal access) - означает преднаме-

ренное получение доступа, при отсутствии на то прав, к ин-

формационной системе в целом или к любой ее части в слу чае,

если:

- информационная система защищена при помощи техни-

ческих средств;

- нарушитель действует с намерением причинить ущерб

юридическому или физическому лицу;

- нарушитель стремится извлечь экономическую выгоду для

себя или для других лиц.

Область (domain) - уникальный контекст (например; па-

раметры контроля доступа) исполнения программы, множе ство

объектов, к которым субъект может иметь доступ. Име ет

иерархическую структуру.

Обработка информации - совокупность операций сбора,

накопления, ввода, вывода, приема, передачи, записи, хране ния,

регистрации, уничтожения, преобразования, отображе ния

информации.

Объект (object) - пассивный компонент системы, храня щий,

принимающий или передающий информацию. Доступ к объекту

подразумевает доступ к содержащейся в нем информации.

Примеры объектов: записи, блоки, страницы, сегмен ты, файлы,

директории и программы, а также отдельные биты, байты, слова,

поля; различные устройства (терминалы, прин теры, дисководы и

т.д.); различные сетевые устройства (отдельные узлы, кабели и

т.д.).

Объект информатизации - совокупность информационных

ресурсов, средств и систем обработки информации, используемых

в соответс твии с заданной информационной тех нологией, средств

обеспечения объекта информатизации помещений или объектов

(зданий, сооружений, техничес ких средств), в которых они

установлены, или помещения и объекты, предназначенные для

ведения конфиденциальных переговоров.

Оконечное шифрование (end-to-end encryption) см. Або-

нентское шифрование.

Онлайновая [сетевая] служба - услуга, предоставляемая в

реальном времени посредством сети передачи данных.

Онлайновый ресурс - ресурс, доступ к которому осуще-

ствляется в режиме реального времени посредством компью тера,

подключенного к сети обмена данными. В виде онлайновых

ресурсов может предоставляться оперативная инфор мация или

возможность работы в режиме диалога с прог раммой или другим

пользователем.

Оранжевая книга (system Evaluation Criteria (TCSEC) -

отчет,издаваемый Агенством Национальной Безопасности (АНБ)

США, в котором:

- приводятся критерии оценки надежности компьютерных

систем;

- определяются семь уровней безопасности, образующих в

свою очередь четыре группы безопасности.

Отказ в обслуживании (denial of service) - любое действие

или последовательность действий, которая приводит любую часть

системы к выходу из строя, при котором та перестают выполнять

свои функции. Причиной может быть несанкцио нированный доступ,

задержка в обслуживании и т.д.

Открытый ключ - пользовательский ключ для кодирования

отправляемых сообщений.

Оценка рисков (Risk Assessment) - идентификация рисков,

выбор параметров для их описания и получение оценок по этим

параметрам.

Паразитное электромагнитное излучение - электромагнит-

ное излучение, вызванное паразитной генерацией в электрических

цепях технических средств обработки информации.

Пассивная угроза безопасности (Passive threat) - угроза

несанкционированного раскрытия информации без изменения

состояния автоматизированной системы.

Пассивное нападение - реализация пассивной угрозы безо-

пасности.

«Пирожок» (cookie) - текстовая строка с данными о поль-

зователе, возвращаемая веб-сервером при регистрации пользо-

вателя. При следующем посещении этот веб-узел автоматически

получает доступ к сведениям о пользователе. К числу этих

сведений относятся, например, имя пользователя, ад рес, номер

телефона, предпочтения при просмотре. Существу ет несколько

типов строк cookie, и обозреватель Internet Explorer 6.0 позволяет

разрешить использование любых файлов cookie, только некоторых

типов или вообще запретить их использование.

План обеспечения непрерывной работы и восстановления

функционирования, план ОНРВ (contingency plan (backup plan,

recovery plan) - план реагирования на опасные ситуации, ре-

зервного копирования и последующих восстановительных

процедур, являющийся частью программы защиты и обеспе-

чивающий доступность основных ресурсов системы и непре-

рывность обработки в кризисных ситуациях.

Побочное электромагнитное излучение - электромагнитное

излучение, возникающее при работе технических средств

обработки информации.

Повторное использование объекта (object reuse) - переназ-

начение и повторное использование пространства памяти (на-

пример, страницы, фрейма, сектора диска, магнитной лен ты),

которое ранее содержало в себе один или несколько объектов. Для

поддержания безопасности это пространство при выделении его

под новый объект не должно содержать информации старых

объектов.

«Подключи и работай» (Plug-and-Play) - принцип и спе-

цификация быстрого подключения к компьютеру дополни тельного

оборудования и самоконфигурирования системы. Поддерживается

всеми современными операционными системами, BIOS и

аппаратными средствами. Операционная сис тема обнаруживает

вновь подключенное устройство, опрашивает его, оценивает

предъявляемые им требования к системе, определяет и выполняет

оптимальные установки для каждого устройства.

Подотчетность (accountability) - свойство системы, позво-

ляющее фиксировать деятельность субъектов системы (ом. subject)

и ассоциировать их с индивидуальными идентифик аторами для

установления ответственности за определенные действия.

Полис Ллойда по страхованию от преступного использо-

вания электроники и компьютеров (Lloyd's Electronic &

Computer Crime Policy) - страховой полис по страхованию от

засылки в компьютерную систему ложных сведений или от

изменения заложенной в компьютерной системе информации. Этот

полис разработан как добавление к стандартному ВВВ,

Политика безопасности (security policy) - набор законов,

правил и практического опыта, на основе которых строится

управление, защита и распределение критичной информации.

Политика информационной безопасности (Security policy) -

совокупность правил, определяющих и ограничивающих виды

деятельности объектов и участников, системы инфор мационной

безопасности.

Полномочное управление доступом (mandatory access

control MAC) - способ управления доступом к объектам, ос-

нованный на степени секретности или критичности информа ции

(представленной специальными метками), содержащейся в

объекте и формальной проверке полномочий и прав субъекта при

доступе к информации данного уровня критичности.

Полный (Full) анализ рисков - анализ рисков для инфор-

мационных систем, предъявляющих повышенные требования в

области ИБ (более высокие, чем базовый уровень защищенности).

Это предполагает:

-определение ценности ресурсов;

-оценку угроз и уязвимостей;

-выбор адекватных контрмер, оценку их эффективности.

Портал - веб-узел, предназначенный для предоставления

интегрированной информации. Представляет «единую точку

доступа» ко всем необходимым ресурсам и обычно содержит

ссылки на другие веб-узлы, содержание которых отвечает

интересам посетителя портала.

Преднамеренная угроза - угроза безопасности, в основе

которой лежит злой умысел человека.

Провайдер услуг - компания, предоставляющая в данном

регионе разного рода ИТ-услуги, например, доступ в Интернет,

системная интеграция и т. п.

Проверка подлинности (аутентификация) - действие, когда

клиент с помощью пароля удостоверяет, что он тот, за кого себя

выдает.

Проверка полномочий (авторизация) - действие, опреде-

ляющее, имеет ли право клиент с данным именем на дан ные

действия.

Программа преимущественного права на защиту личной

информации (Platform for privacy preferences initiative, P3P) -

набор стандартов и технологических спецификаций для ком-

мерческих веб-сайтов и браузеров. Программа обеспечивает

пользователям возможность автоматического контроля ин-

формации, которую они оставляют на сайте.

Программная закладка - внесенные в программное обес-

печение функциональные объекты, которые при определен ных

условиях (входных данных) инициируют выполнение не описанных

в документации функций программного обеспечения, позволяющих

осуществлять несанкционированные воз действия на информацию.

Программное обеспечение (ПО) - общее понятие, описы-

вающее программы для компьютеров в отличие от их аппаратных

составляющих.

Программный вирус - исполняемый программный код или

интерпретируемый набор инструкций, обладающий свойством

несанкционированного распространения и самовоспроизведе ния

(репликации). В процессе распрос транения вирусные субъекты

могут себя модифицировать. Некоторые программ ные вирусы

могут изменять, копировать или удалять программы или данные.

Происшествие - событие, которое можно рассматривать как

осуществление угрозы безопасности.

Проникновение (penetration) - успешное преодоление ме-

ханизмов защиты системы.

Протокол (protocols) - набор правил и форматов, семанти-

ческих и синтаксических, позволяющих различным компо нентам

системы обмениваться информацией (например, узлам сети).

Процесс (process) - выполняющаяся программа. См. так-лее

domain и subject.

Распределение данных (Data striping) - метод хранения

данных, при котором блоки файла размещаются на несколь ких

физических носителях в виде логически непрерывных областей.

При выполнении операций чтения-записи обращение происходит

одновременно к нескольким физическим носителям, что

значительно повышает пропускную способность системы.

Резервное копирование (Reserved copy) - технология ко-

пирования программ и (или) данных с целью повышения на-

дежности хранения данных. Обычно имеющиеся данные ко-

пируются на магнитные диски, магнитные ленты либо опти ческие

диски. Различают глобальное копирование и копиро вание

изменений.

Ресурс (Asset) - в широком смысле это все, что представ ляет

ценность с точки зрения организации и является объек том защиты.

В узком смысле ресурс — часть информационной системы. В

прикладных методах анализа рисков обычно рассматриваться

следующие классы ресурсов:

- оборудование (физические ресурсы);

- информационные ресурсы (базы данных, файлы, все виды

документации);

- программное обеспечение (системное, прикладное, ути литы,

другие вспомогательные программы);

- сервис и поддерживающая инфраструктура (обслужива ние

СВТ, энергоснабжение, обеспечение климатических параметров и

т.п.).

Риск нарушения информационной безопасности (Security

Risk) - возможность реализации угрозы.

Секретный ключ - пользовательский ключ для декодирования

получаемых сообщений, зашифрованных с помощью открытого

ключа.

Сервер –

1) программа, которая оказывает некоторые услуги другим

программам (клиентам). Связь между клиентом и сервером обычно

осуществляется посредством передачи сообщений, часто по сети,

и использует некий протокол для кодирования запросов клиента и

ответов сервера.

2) компьютер, который оказывает некоторые услуги другим

компьютерам, подключенным к нему через сеть.

Сервер защиты данных - сервер, оснащенный набором

средств обеспечения безопасности данных.

Сеть см. Интернет.

Сеть передачи данных - объединение двух или более уст-

ройств (например, компьютеров) для передачи данных меж ду

этими устройствами.

Система защиты данных - комплекс программных, техни-

ческих, криптографических и организационных средств, обес-

печивающих защиту данных от несанкционированного исполь-

зования, а также преднамеренного или случайного их разру шения и

искажения.

Система обеспечения безопасности (Security system) - со-

вокупность с тандартных защитных мер: криптографическое

кодирование, паролирование, присваивание идентификатора,

электронная цифровая подпись и т.д.

Система обработки информации - совокупность техничес ких

средств и программного обеспечения, а также методов обработки

информации и действий персонала, обеспечиваю щая выполнение

автоматизированной обработки информации.

Система управления информационной безопасностью

(Information Security Management System) - комплекс мер,

направленных на обеспечение режима ИБ на всех стадиях

жизненного цикла ИС,

Системный журнал (audit trail) - хронологически упорядо-

ченная совокупность записей результатов деятельности субъек тов

системы, достаточная для восстановления, просмотра и ана лиза

последовательности действий, окружающих или приводя щих к

выполнению операций, процедур или совершению собы тий при

транзакции с целью инспекции конечного результата.

Скрытый вре менной канал (covert timing channel) - скрытый

канал, в котором один процесс передает информацию другому

посредством модуляции доступа к системным ресур сам (например,

времени занятости центрального процессора) таким образом, что

эта модуляция может распознаваться и детектироваться другим

процессом.

Скрытый канал (covert channel) - путь передачи информа-

ции, позволяющий двум взаимодействующим процессам об-

мениваться информацией таким способом, который наруша ет

системную политику безопасности.

Скрытый канал с памятью (covert storage channel) - скры-

тый канал, обеспечивающий прямую или косвенную запись в

пространство памяти одним процессом и чтение этой инфор мации

другим процессом. Скрытый канал с памятью обычно связан с

использованием ресурсов ограниченного объема (на пример,

секторов на диске), которые разделяются двумя субъектами с

различными уровнями безопасности.

Слой безопасных соединений (Secure Sockets Layer, SSL) -

протокол, обеспечивающий защиту данных, передаваемых по сети

Интернет. Протокол SSL обеспечивает безопасность и целостность

канала передачи с помощью шифрования и опознавательных кодов

сообщения.

Случайная угроза - угроза безопасности, происхождение

которой не является злонамеренным.

Смарт-карта - пластиковая карточка с встроенным мик-

ропроцессором. Смарт-карты могу т использоваться для про-

ведения электронных платежей, для доступа к онлайновым

сетевым с лужбам или другим услугам.

Совокупная стоимость владения (Total Cost of Ownership,

TCO) - включает расходы на техническую поддержку конеч ных

пользователей и на устранение последствий некомпетентных или

несанкционированных действий. Сюда также входят косвенные

затраты, связанные с непродуктивной деятель ностью конечных

пользователей и с простоями в период вос становления

работоспособности их компьютеров техническим персоналом.

Список апробированной продукции (evaluated Products List

EPL) - список оборудования, аппаратуры и программного обес-

печения, которое было оценено и признано соответствующим

определенному классу, согласно стандарту Trusted Computer.

Список предпоч тительной продукции (Preferred Products

List PPL) - список коммерческой продукции (аппаратуры и

оборудования), прошедшей испытания по программе TEMPEST и

удовлетворяющей другим требованиям Агенства Националь ной

Безопасности (АНБ) США. PPL включен в Information System

Security Products and Services Catalogue, издаваемый АНБ.

Средства защиты информации - в РФ:

- технические, криптографические, программные и другие

средства, предназначенные для защиты сведений, составляю щих

государственную тайну;

- средства реализации средств защиты информации;

- средства контроля эффективности защиты информации.

Средства обеспечения объекта информатизации - техни-

ческие средства и системы, их коммуникации, не предназна ченные

для обработки информации, но ус танавливаемые вместе со

средствами обработки информации на объекте информатизации.

Структурированное хранение информации (Hierarchical

Storage Management, HSM) - подразумевает организацию рас-

пределенной структуры устройств хранения информации. Обычно

такая структура включает в себя как устройства опе ративного

доступа (устройства с быстрым доступом - жесткие диски и

устройства с меньшей скоростью доступа - библиотеки с

магнитооптическими дисками или ленточными носите лями), так и

устройства, требующие вмешательства оператора (отдельные

стримеры и магнитооптические дисководы).

СУБД (система управления базами данных) - приложение,

обеспечивающее создание, хранение, обновление и поиск ин-

формации в базах данных.

Субъект (subject) - активный компонент системы, обычно

представленный в виде пользователя, процесса или устройства,

который может явиться причиной потока информации от объекта к

объекту или изменения состояния системы. Обычно субъект

представляется парой процесс - область.

Телекоммуникация - передача всех форм информации,