Реферат: Введение в информационную безопасность - текст реферата. Скачать бесплатно.
Банк рефератов, курсовых и дипломных работ. Много и бесплатно. # | Правила оформления работ | Добавить в избранное
 
 
   
Меню Меню Меню Меню Меню
   
Napishem.com Napishem.com Napishem.com

Реферат

Введение в информационную безопасность

Банк рефератов / Программирование

Рубрики  Рубрики реферат банка

закрыть
Категория: Реферат
Язык реферата: Русский
Дата добавления:   
 
Скачать
Microsoft Word, 772 kb, скачать бесплатно
Заказать
Узнать стоимость написания уникального реферата

Узнайте стоимость написания уникальной работы

Введение в информационную безопасность К омпьютеры : преступления , признаки уяз вимости и меры защиты Введение Информационная Эра привела к драматическим изменениям в способе выполнени я своих обязанностей для большого ч ис ла профессий . Теперь нетехнический специалист среднего уровня может выполнять работу , котор ую раньше делал высококвалифицированный программ ист . Служащий имеет в своем распоряжении с только точной и оперативной информации , сколь ко никогда не имел . Но испо льзование компьютеров и автоматизированных технологий приводит к появлению ряда проблем для руководства о рганизацией . Компьютеры , часто объединенные в сети , могут предоставлять доступ к колоссальн ому количеству самых разнообразных данных . По этому люди бес п окоятся о безопасн ости информации и наличии рисков , связанных с автоматизацией и предоставлением гораздо большего доступа к конфиденциальным , персональн ым или другим критическим данным . Все увел ичивается число компьютерных преступлений , что может привести в конечном счете к подрыву экономики . И поэтому должно б ыть ясно , что информация - это ресурс , котор ый надо защищать . Ответственность за защиту информации лежит на низшем звене руководства . Но также кто-то должен осуществлять общее руко водство этой деятел ьностью , поэтому в организации должно иметься лицо в верхнем звене руководства , отвечающее за поддержание работоспособности информационных систем . И так как автоматизация привела к тому , что теперь операции с вычислительной техникой выполняются простыми с лужащими организации , а не специально подготовленным техническим персоналом , нужно , чтобы конечные пользователи знали о своей ответственности за защиту информации. Целью этого документа является дать основы компьютерной безопасности для низшего звена упра вления , то есть д ля начальников отделов , руководителей групп и т.п . При ограблени и банка потери в среднем составляют 19 тыся ч долларов , а при компьютерном преступлении - 560 тысяч долларов Число компьютерных преступлений раст ет - также увеличиваются масшт абы компьюте рных злоупотреблений . По оценке специалистов США , ущерб от компьютерных преступлений увели чивается на 35 процентов в год и составляет около 3.5 миллиардов долларов . Одной из прич ин является сумма денег , получаемая в резу льтате преступления : в т о время как ущерб от среднего компьютерного преступле ния составляет 560 тысяч долларов , при ограблени и банка - всего лишь 19 тысяч долларов . Шансов быть пойманным у компьютерного преступника гораздо меньше , чем у грабителя банка - и даже при поимке у него меньше шансов попасть в тюрьму . Обн аруживается в среднем 1 процент компьютерных п реступлений . И вероятность того , что за ко мпьютерное мошенничество преступник попадет в тюрьму , меньше 10 процентов . Умышленные компьютерные преступления составл яют заметную часть преступлений . Но злоу потреблений компьютерами и ошибок еще больше . Как выразился один эксперт , "мы теряем из-за ошибок больше денег , чем могли бы украсть ". Эти потери подчеркивают важность и серьезность убытков , связанных с компьюте рами . Основной п ричиной наличия потерь , связанных с компьютерами , является недостаточная образованность в области безопасности . Тольк о наличие некоторых знаний в области безо пасности может прекратить инциденты и ошибки , обеспечить эффективное применение мер защит ы , предо т вратить преступление или своевременно обнаружить подозреваемого . Осведомленнос ть конечного пользователя о мерах безопасност и обеспечивает четыре уровня защиты компьютер ных и информационных ресурсов : Меры защиты : четыре уровня защи ты Предотвращение - только авторизован ный персонал имеет доступ к информации и технологии Обнаружение - обеспечивается раннее обнаружени е преступлений и злоупотреблений , даже если механизмы защиты были обойдены Ограничение - у меньшается р азмер потерь , если преступление все-таки произ ошло несмотря на меры по его предотвращен ию и обнаружению Восстановление - обеспечивается эфф ективное восстановление информации при наличии документированных и проверенных планов по восстановлению Вчера контроль за технологией работы был заботой технических администратор ов . Сегодня контроль за информацией стал о бязанностью каждого нетехнического конечного пол ьзователя . Контроль за информацией требует но вых знаний и навыков для группы нетехниче ских служащих . Хороший контроль за инфор мацией требует понимания возможностей совершения компьютерных преступлений и злоупотреблений , чтобы можно было в дальнейшем предпринять контрмеры против них . Когда компьютеры впервые появились , они были доступны только н ебольшому числу людей , которые умели их использовать . Обы чно они помещались в специальных помещениях , удаленных территориально от помещений , где работали служащие . Сегодня все изменилось . К омпьютерные терминалы и настольные компьютеры используются везде . К омпьютерное обор удование стало дружественным к пользователю , поэтому много людей могут быстро и легко научиться тому , как его использовать . Число служащих в организации , имеющих доступ к компьютерному оборудованию и информа ционной технологии , постоянно ра стет . Дост уп к информации больше не ограничивается только узким кругом лиц из верхнего руков одства организации . Этот процесс привел к тому , что произошла "демократизация преступления ". Чем больше людей получало доступ к инф ормационной технологии и компьют е рном у оборудованию , тем больше возникало возможно стей для совершения компьютерных преступлений. Трудно обобщать , но теперь компьютерным преступником может быть ... · конечный пользователь , н е технический служащий и не хакер · тот , кто не находитс я на ру ководящей должности · тот , у кого нет судимостей · умный , талантливый сотру дник · тот , кто много работ ает · тот , кто не разбирае тся в компьютерах · тот , кого вы подозре вали бы в последнюю очередь · именно тот , кого вы взяли бы на работу Компь ютерным преступником может быть любой Типичный компьют ерный преступник - это не молодой хакер , ис пользующий телефон и домашний компьютер для получения доступа к большим компьютерам . Типичный компьютерный п реступник - это слу жащий , которому разрешен доступ к системе , нетехническим пользователем которой он является . В США компьютерные преступления , совершенные служащими , составляют 70-80 процентов ежегодного ущерба , связанного с компьютерами . Остальные 20 пр о центов дают действия нечестных и недовольных сотрудников . И совершаются он и по целому ряду причин. Почем у люди совершают компьютерные преступления · личная или финансовая выгода · развлечение · мест ь · попытка добиться распол ожения кого-либо к себе · самовыражение · случайность · вандализм Но з начительно больший ущерб , около 60 процентов все х потерь , наносят ошибки людей и инциденты . Предотвращение компьютерных потерь , как из-за умышленных п реступлений , так и из-за неумышленных ошибок , требует знаний в обл асти безопасности . Опросы , проводимые периодически в США , показывают , что именно служащие , имевшие знания в области компьютерной безо пасности , были основной причиной выявления ко мпьютерных п реступлений. Призн аки компьютерных преступлений Обращайте внимание на : · неавторизованное использова ние компьютерного времени · неавторизованные попытки доступа к файлам данных · кражи частей комп ьютеров · кражи программ · физическое разрушение о борудования · уничтожение данных или программ · неавторизованное владение дискетами , лентами или распечатками И эт о только самые очевидные признаки , на кото рые следует обратить внимание при выявлен ии компьютерных преступлений . Иногда эти признаки говорят о том , что преступление уже совершено , или что не выполняются меры защиты . Они также могут свидетельствов ать о наличии уязвимых мест - указать , где находится дыра в защите - и помочь нам етить план д ействий по устранению уязвимого места . В то время как признак и могут помочь выявить преступление или з лоупотребление - меры защиты могут помочь пред отвратить его . Меры защиты - это меры , вводимые руково дством , для обеспечения безопасности информации - адм инистративные руководящие документы (пр иказы , положения , инструкции ), аппаратные устройств а или дополнительные программы - основной цель ю которых является предотвратить преступления и злоупотребления , не позволив им произойти . Меры защиты могут также выпол н ять функцию ограничения , уменьшая размер ущерба от преступления. Информационная безопасность То , что в 60-е годы назыв алось компьютерной безопасностью , а в 70-е - безопасностью данных , сейчас более прави л ьно именуется информационной безопасностью . Инфор мационная безопасность подчеркивает важность инф ормации в современном обществе - понимание тог о , что информация - это ценный ресурс , нечто большее , чем отдельные элементы данных. Информационной безопасность ю называют меры по защите информации от неавторизован ного доступа , разрушения , модификации , раскрытия и задержек в доступе . Информационная безопа сность включает в себя меры по защите процессов создания данных , их ввода , обработ ки и вывода . Целью информаци о нной безопасности является обезопасить ценности с истемы , защитить и гарантировать точность и целостность информации , и минимизировать разруш ения , которые могут иметь место , если инфо рмация будет модифицирована или разрушена . Ин формационная безопасность тр е бует уче та всех событий , в ходе которых информация создается , модифицируется , к ней обеспечивает ся доступ или она распространяется. Информационная безопасность дает гарантию того , что достигаются следующие цели : · конфиденциальность критичес кой информации · целостность информации и связанных с ней процессов ( создания , вво да , обработки и вывода ) · доступность информации , когда она нужна · учет всех процессов , связанных с информацией Некоторые техно логии по защите системы и обеспечению уче та всех собы тий могут быть встроены в сам компьютер . Другие могут быть встр оены в программы . Некоторые же выполняются людьми и являются реализацией указаний рук оводства , содержащихся в соответствующих руководя щих документах . Принятие решения о выборе уровня сложности технологий для защит е системы требует установления критичности ин формации и последующего определения адекватного уровня безопасности . Что же такое критические данные ? Под критическими данными будем понимать данные , которые требуют защиты из-за вероятности нанесения (риска ) ущерба и его велич ины в том случае , если произойдет случайно е или умышленное раскрытие , изменение , или разрушение данных . Этот термин включает в себя данные , чье неправильное использование и ли раскрытие может отрицательно отразиться на с п особности организации решать с вои задачи , персональные данные и другие д анные , защита которых требуется указами Прези дента РФ , законами РФ и другими подзаконны ми документами. Преступления и злоупотребления Анализ зарубежных и отечественных отчетов о выяв ленных компьютерных преступлениях позволяет описать основные технологии их совершения . Лишь немногие из них включают разрушение компьютеров или данных . Только в 3 процентах мошенничеств и 8 процентах злоупотр еблений происходило специальное разрушение обор у дования , уничтожение программ или данных . В большей части случаев мошенничест в и злоупотреблений использовалась информация - ею манипулировали , ее создавали , ее использ овали. Пять основных технологий , исп ользовавшихся при совершении компьютерных престу пле ний : Мошенничества 1. Ввод неавторизованной информации 2. Манипуляции разрешенной для ввода информацией 3. Манипуляции или неправил ьное использование файлов с информацией 4. Создание неавторизованных файлов с информацией 5. Обход внутренних мер защит ы Злоупотребления 1. Кража компьютерного времени , программ , информации и оборудования 2. Ввод неавторизованной ин формации 3. Создание неавторизованных файлов с информацией 4. Разработка компьютерных программ для неслужебного использования 5. Манипули рование или неправильное использование возможностей по п роведению работ на компьютерах С другой ст ороны стоит рассмотреть основные методы , испо льзовавшиеся для их совершения . Они включают : 1. Надувательство с данными . Наверное , самый распространенный мето д при совер шении компьютерных преступлений , так как он не требует технических знаний и относитель но безопасен . Информация меняется в процессе ее ввода в компьютер или во время вывода . Например , при вводе документы могут быть заменены фальшивыми , вместо ра б очих дискет подсунуты чужие , и данные могут быть сфальсифицированы . 2. Сканирование . Другой расп ространенный метод получения информации , который может привести к преступлению . Служащие , читающие файлы других , могут обнаружить там персональную информацию о своих коллегах . Информация , позволяющая получить доступ к компьютерным файлам или изменить их , может быть найдена после просмотра мусорных ко рзин . Дискеты , оставленные на столе , могут быть прочитаны , скопированы , и украдены . Очень хитрый сканирующий може т даже просматривать остаточную информацию , оставшуюся н а компьютере или на носителе информации п осле выполнения сотрудником задания и удалени я своих файлов . 3. Троянский конь . Этот метод предполагает , что пользователь не замет ил , что компьютерная программ а была из менена таким образом , что включает в себя дополнительные функции . Программа , выполняющая полезные функции , пишется таким образом , что содержит дополнительные скрытые функции , кот орые будут использовать особенности механизмов защиты системы (возмож н ости пользов ателя , запустившего программу , по доступу к файлам ) 4. Люк . Этот метод основ ан на использовании скрытого программного или аппаратного механизма , позволяющего обойти м етоды защиты в системе . Этот механизм акти вируется некоторым неочевидным обра зом . И ногда программа пишется таким образом , что специфическое событие , например , число транзакц ий , обработанных в определенный день , вызовет запуск неавторизованного механизма . 5. Технология салями Назван а так из-за того , что преступление соверша ется пон емногу , небольшими частями , настол ько маленькими , что они незаметны . Обычно эта технология сопровождается изменением компьют ерной программы . Например , платежи могут округ ляться до нескольких центов , и разница меж ду реальной и округленной суммой поступать н а специально открытый счет злоум ышленника . 6. Суперотключение . Названа по имени программы , использовавшейся в ряде компьютерных центров , обходившей системные меры защиты и использовавшейся при аварийных ситуациях . Владение этим "мастер-ключом " дает во змож ность в любое время получить дост уп к компьютеру и информации , находящейся в нем . Признаки Следующие признаки могут свидетельствовать о наличии уязвимых мест в информационной безопасности. 1. Не разработано положений о защит е информации или они не соблюд аются . Не назначен ответственный за информационную безопасность . 2. Пароли пишутся на ко мпьютерных терминалах , помещаются в общедоступные места , ими делятся с другими , или они появляются на компьютерном экране при их вводе 3. Удаленные терминалы и микрок омпьютеры оставляются без присмотра в рабочие и нерабочие часы . Данные от ображаются на компьютерных экранах , оставленных без присмотра . 4. Не существует ограничени й на доступ к информации , или на харак тер ее использования . Все пользователи имеют доступ ко всей информации и могут использовать все функции системы . 5. Не ведется системных журналов , и не хранится информация о том , кто и для чего использует компьютер . 6. Изменения в программы могут вноситься без их предварительного ут верждения руководством . 7. Отсутствует документация или она не позволяет делать следующее : понимать получаемые отчеты и формулы , по к оторым получаются результаты , модифицировать прог раммы , готовить данные для ввода , исправлять ошибки , производить оценку мер защиты , и понимать сам и данные - их источники , формат хранения , взаимосвязи между ними . 8. Делаются многочисленные попытки войти в систему с неправильными п аролями . 9. Вводимые данные не п роверяются на корректность и точность , или при их проверке много данных отвергается из-з а ошибок в них , требуется сделат ь много исправлений в данных , не делается записей в журналах об отвергнутых транза кциях . 10. Имеют место выходы и з строя системы , приносящие большие убытки 11. Не производился анализ информации , обрабатываемой в компьютере , с целью определения необходимого для нее у ровня безопасности 12. Мало внимания уделяется информационной безопасности . Хотя политика б езопасности и существует , большинство людей с читает , что на самом деле она не нужна . Меры з ащиты информационной безопасности 1. Контролируйте доступ как к ин формации в компьютере , так и к прикладным программам . Вы должны иметь гарантии того , что только авторизованные пользователи имею т доступ к информации и приложениям . Идентификация пользователей Требуйте , чтобы пользователи выполняли пр оцедуры входа в компьютер , и используйте э то как средство для идентификации в начал е работы . Чтобы эффективно контролировать мик рокомпьютер , может оказаться наиболее выгодным использ овать его как однопользовательскую систему . Обычно у микрокомпьютера нет про цедур входа в систему , право использовать систему предоставляется простым включением компь ютера. Аутентификация пользователей Используйте уникальные пароли для каждого пользовате ля , которые не являются ком бинациями личных данных пользователей , для ау тентификации личности пользователя . Внедрите меры защиты при администрировании паролей , и о знакомьте пользователей с наиболее общими оши бками , позволяющими совершиться компьютерному п р еступлению .. Другие меры защиты : Пароли - только один из тип ов идентификации - что-то , что знает только пользователь . Двумя другими типами идентификации , которые тоже эффективны , являются что-то , чем владеет пользователь ( например , магнитная карта ), или уникальные характеристики пользо вателя (его голос ). Если в компьютере имеется встроенный стандартный пароль ( пароль , который встроен в программы и позволяет обойти меры по управлению доступом ), обязательно измените его . Сделайте так , чтобы программы в ко мпьютере после входа пользователя в с истему сообщали ему время его последнего сеанса и число неудачных попыток установления сеанса после этого . Это позволит сделать пользователя составной частью системы провер ки журналов. Защищайте ваш пароль · не делит есь сво им паролем ни с кем · выбирайте пароль трудно угадываемым · попробуйте использовать строчные и прописные буквы , цифры , или в ыберите знаменитое изречение и возьмите оттуд а каждую четвертую букву . А еще лучше позвольте компьютеру самому сгенериров ать ваш пароль . · не используйте пароль , который является вашим адресом , псевдонимом , именем жены , телефонным номером или чем-либ о очевидным . · используйте длинные пар оли , так как они более безопасны , лучше всего от 6 до 8 символов · обеспечьте неото бра жаемость пароля на экране компьютера при его вводе · обеспечьте отсутствие п аролей в распечатках · не записывайте пароли на столе , стене или терминале . Держите е го в памяти Серьезно относитесь к админист рированию паролей · периодически меняйте пароли и делайте это не по граф ику · шифруйте или делайте что-нибудь еще с файлами паролей , хранящимис я в компьютере , для защиты их от неавт оризованного доступа . · назначайте на должность администратора паролей только самого надежно го человека · не используйте оди н и тот же пароль для всех сотруднико в в группе · меняйте пароли , когда человек увольняется · заставляйте людей распи сываться за получение паролей · установите и внедрите правила работы с паролями и обеспечьте , чтобы все знали их Пр оцедуры авторизации Разработайте процедуры авторизации , которые определяют , кто из пользователей должен име ть доступ к той или иной информации и приложениям - и используйте соответствующие м еры по внедрению этих процедур в организа ции. Установите порядок в организации , пр и котором для использования компьютерных ресу рсов , получения разрешения доступа к информац ии и приложениям , и получения пароля требу ется разрешение тех или иных начальников. Защита файлов Помимо идентификации пользователе й и процедур авт оризации разработайте процедуры по ограничению доступа к файлам с данными : · используйте внешние и внутренние метки файлов для указания типа информации , который они содержат , и требу емого уровня безопасности · ограничьте доступ в помещения , в которых х ранятся файлы д анных , такие как архивы и библиотеки данны х · используйте организационные меры и программно-аппаратные средства для ограничения доступа к файлам только автори зованных пользователей Предосторожности при работе · отключайте неиспользуемы е терминалы · закрывайте комнаты , где находятся терминалы · разворачивайте экраны к омпьютеров так , чтобы они не были видны со стороны двери , окон и тех мест в помещениях , которые не контролируются · установите специальное оборудование , такое как устр ойства , ограни чивающие число неудачных попыток доступа , или делающие обратный звонок для проверки ли чности пользователей , использующих телефоны для доступа к компьютеру · программируйте терминал отключаться после определенного периода неиспо льзования · если это возможно , в ыключайте систему в нерабочие часы 2. Защищ айте целостность информации . Вводимая информация должна быть авторизована , полна , точна и должна подвергаться проверкам на ошибки. Целостность информации Проверяйте точность информации с по мощью процедур сравнения результатов обра ботки с предполагаемыми результатами обработки . Например , можно сравнивать суммы или провер ять последовательные номера. Проверяйте точность вводимых данных , треб уя от служащих выполнять проверки на корр ектность , так ие как : · проверки на нахождение символов в допустимом диапазоне символов (числовом или буквенном ) · проверки на нахождение числовых данных в допустимом диапазоне ч исел · проверки на корректност ь связей с другими данными , сравнивающими входные данные с данными в других ф айлах · проверки на разумность , сравнивающие входные данные с ожидаемыми стандартными значениями · ограничения на транзакц ии , сравнивающие входные данные с администрат ивно установленными ограничениями на конкретные транзакции Трасс ируйте транзакции в системе Делайте перекрестные проверки содержимого файлов с помощью сопоставления числа запис ей или контроля суммы значений поля запис и. 3. Защищайте системные программы . Если ПО используется совместно , защищайте его от скрытой модифика ции при помощи политики безопасности , мер защиты при его разработ ке и контроле за ним в его жизненном цикле , а также обучения пользователей в области безопасности. Меры защиты при разработке программ и соответствующие политики должны включать про цедуры вне сения изменений в программу , ее приемки и тестирования до ввода в эксплуатацию . Политики должны требовать разреше ния ответственного лица из руководства для внесения изменений в программы , ограничения списка лиц , кому разрешено вносить изменени я и явно опи с ывать обязанности сотрудников по ведению документации. Должен быть разработан и поддерживаться каталог прикладных программ. Должны быть внедрены меры защиты по предотвращению получения , изменения или добавле ния программ неавторизованными людьми через у дале нные терминалы. 4. Сделайте меры защиты более адекватными с помощью привлечения организаций , занимающи хся тестированием информационной безопасности , пр и разработке мер защиты в прикладных прог раммах и консультируйтесь с ними при опре делении необходимости т естов и проверок при обработке критических данных . Контрольны е журналы , встроенные в компьютерные программ ы , могут предотвратить или выявить компьютерн ое мошенничество и злоупотребление . Должны иметься контрольные журналы для наблюдения за тем , кто из пол ьзоват елей обновлял критические информационные файлы Если критичность информации , хранимой в компьютерах , требует контрольных журналов , то важны как меры физической защиты , так и меры по управлению доступом. В компьютерной сети журналы должны хр аниться на хосте , а не на рабочей станции. Контрольные журналы не должны отключаться для повышения скорости работы. Распечатки контрольных журналов должны пр осматриваться достаточно часто и регулярно. 5. Рассмотрите вопрос о коммуникационной безопасности . Данные , пе редаваемые по неза щищенным линиям , могут быть перехвачены . Физическая безопасность Традиционная безопа сность : замки , ограждение и охрана Физическая безопасность озна чает лишь содержание компьютера и информации в нем в безопасности от физических о пасностей с помощью замков на входах в помещение , где он находится , строительства о граждения вокруг зданий и размещения охраны вокруг помещения . Но физическа я безопасность сейчас изменилась из-за современно й компьютерной среды - среды , которая часто представляет собой офис с большим числом персональных ЭВМ или терминалов. Физическая безопасность связана с внедрен ием мер защиты , которые защищают от стихий ных бед ствий (пожаров , наводнений , и зе млетрясений ), а также всяких случайных инциден тов . Меры физической безопасности определяют , каким будет окружение компьютера , вводимые да нные , и результаты обработки информации . Помим о помещений , где размещено компьютерное о б орудование , окружение включает в себя библиотеки программ , журналы , магнитные н осители , помещения для архивов , и помещения для ремонта техники. Меры физической защиты должны отвечать требованиям современной действительности и соч етать эффективность с невыс окой ценой . Например , установка дорогой противопожарной си стемы может быть необходимой для защиты б ольшого компьютера , обрабатывающего критические д анные , но оказаться неоправданно дорогой при защите одной персональной ЭВМ. Прест упления и злоупотребления Компьютеры могут быть поврежде ны , украдены и специально выведены из стро я с помощью короткого замыкания . Диски и ленты могут быть разрушены разлитыми нап итками , а компьютеры залиты водой . Также к омпьютер ы могут быть серьезно повреждены пожаром , скачками напряжения , стихийными бедс твиями и другими инцидентами . Информация може т быть перехвачена , украдена , продана и ис пользоваться в корыстных целях отдельным чело веком или целой компанией. Персональные ЭВМ ос обенно привлекают воров . При пожаре диски , не хранящиеся в специальных сейфах или флоппи-диски , остав ленные на терминалах , могут быть разрушены системой тушения пожара . Тысячи долларов бы ли потрачены на восстановление информации , ко торую они содержали. Но основной причиной разрушений ком пьютеров является , судя по всему , обычная неосторожность людей и вредное влияние окружа ющей среды. Призн аки Следующие признаки могут указы вать на наличие уязвимых мест в физ ической безопасности : · разрешено курить , есть и пить рядом с компьютерами · компьютерное оборудование оставляется в незапертых комнатах или явля ется незащищенным по какой-либо другой причин е · не установлена пожарная сигнализация · диски оставля ются в ящиках столов , не делается архивных к опий дисков · посетителям не задается вопросов о причине их нахождения в п омещениях , где установлены компьютеры · реестр компьютерного об орудования и программ отсутствует , неполон , не обновляется или не прове ряется после его заполнения . · распечатки , микрофиши , ди ски , содержащие критические данные выбрасываются в обычное мусорное ведро · замки на входах в помещения , где находится компьютерное оборудова ние , никогда не менялись · не производилось аттест аци и автоматизированной системы организации , то есть анализа насколько она уязвима к доступу неавторизованных людей , пожару ил и наводнению . Меры физической безопасности 1.Предотвратить злонамеренные раз ру шения , неавторизованное использование или кражу ПЭВМ могут быть заперты в комнатах и доступ к ним может быть ограничен с помощью устройств блокировки к лавиатуры и т.п . Удостоверьтесь , что люди с облюдают свои обязанности по использованию ко мпьютеров и их м ожно проконтролировать. Если информация обрабатывается на большом вычислительном центре , проверьте , как контрол ируется физический доступ к вычислительной те хнике . Могут оказаться уместными такие методы , как журналы , замки и пропуска , а такж е охрана. Ввод к ритической информации требует правильного обращения с исходными документам и . Правильное обращение означает соблюдение о динаковых правил работы с документами , незави симо от того , используются они в автоматиз ированной системе или нет . Правила работы могут в к лючать работу в безопасно м помещении , учет документов в журналах , г арантии того , что только люди , имеющие соо тветствующий допуск , могут ознакомиться с эти ми документами , и использование устройств уни чтожения документов (бумагорезок и т.п .). Внимательно проа нализируйте размещение компьютеров . Не слишком ли доступны они неавторизованным людям или чрезмерно уязвимы к стихийным бедствиям ? Вы должны иметь представление об осно вных схемах сопровождения посторонних . Например , авторизованный сотрудник должен сопров ожда ть в компьютерной зоне посетителя с компь ютерными распечатками или человека , заявляющего , что он техник по ремонту компьютеров. Вы должны знать , кто имеет право д оступа в помещения с компьютерным оборудовани ем и выгонять оттуда посторонних лиц . Многие люди полагают , что двери , оснащенные замками и охраняемые людьми , обесп ечивают физическую безопасность . Но электромагнит ные излучения от компьютеров могут быть п ерехвачены и таким образом может быть про читана информация с экрана . Рекомендуемые мер ы защит ы от этого должны учитыв ать требуемый уровень безопасности и тот факт , что такой перехват крайне редок , но может и произойти . Могут быть предприняты недорогие предохра нительные меры , которые будут гарантировать , ч то телефонные и компьютерные каналы связи в состоянии выполнять свои функции и являются безопасными . В сети может потреб оваться выделенный канал связи - он не вып олняет других функций . С другой стороны вы деление персональной ЭВМ для работы на не й одного приложения может оказаться самым эффективны м средством защиты . Для любой из основных трех технологий для передачи автоматизированной информации с уществует технология перехвата : кабель (подключени е к кабелю ), спутник (антенна приема сигнал а со спутника ), радиоволны ( радиоперехват ). Технологии защиты, которые могут быт ь использованы , включают шифрование информации , использование выделенных линий , модемы с фу нкциям безопасности , и использование скремблирова ния голосовых переговоров. 2. Стихийные бедствия могут на нести большой ущерб как большим , так и м аленьким компаниям. Примите меры по предотвращению , обнаружению и минимизации ущерба от пожа ра , наводнения , загрязнения окружающей среды , в ысоких температур и скачков напряжения. Защищайтесь от пожара с помощью регул ярной проверки пожарной сигнализации и систем пожаротушения . Защищайте ПЭВМ с помощь ю кожухов , чтобы они не были повреждены системой пожаротушения . Не храните горючие материалы в этих помещениях. Статическое электричество может очистить память в ПЭВМ . Антистатические коврики могут предотвратить это . Пользователям следует напоминать о снятии заряда с себя с помощью прикосновения к заземленному объекту. Скачки напряжения могут очистить память , изменить программы и разрушить микросхемы . Устройство бесперебойного питания ( УБП ) дает достаточно времен и , чтобы отключить ком пьютер без потери данных . Предохранить компью теры от кратковременных бросков питания могут фильтры напряжения . В грозу незащищенные ПЭВМ могут быть отключены и выключены из сети. Температура в помещении может контролиров аться кондицио нерами и вентиляторами , а также хорошей вентиляцией в помещении . Проб лемы с чрезмерно высокой температурой могут возникнуть в стойках периферийного оборудова ния или из-за закрытия вентиляционного отверс тия в терминалах или ПЭВМ. Воздушные фильтры могут очи стить воздух от вредных веществ в нем , которые могут нанести вред компьютерам и дискам . Следует запретить курить возле ПЭВМ. Размещайте компьютеры подальше от того , что может явиться источником большого коли чества воды , например трубопроводов , обычно за тап ливаемых помещений или не используйте систему пожаротушения , если есть другие с пособы защиты от пожара. Держите еду и напитки подальше от компьютера. Содержите оборудование в порядке . Следите и учитывайте в журналах ремонт техники . Это позволит проконтроли ровать , кто име л доступ к системе . Помните , что бригады ремонтников должны производить правильную иден тификацию себя. 3. Защищайте все носители инфо рмации ( исходные документы , ленты , картриджи , ди ски , распечатки ) · ведите , контролируйте и проверяйте рее стры носителей информации · обучайте пользователей правильным методам очищения и уничтожения нос ителей информации · делайте метки на но сителях информации , отражающие уровень критичност и информации , которая в них содержится . · уничтожайте носители ин ф ормации в соответствии с планом орга низации · удостоверьтесь , что дост уп к носителям информации для их хранения , передачи , нанесения меток , и уничтожения предоставлен только авторизованным людям · доведите все руководящи е документы до сотрудников Поду майте о возможности публикации следующих рекомендаций в общедоступном месте : Диски уязвимы · храните их в конвер тах и коробках · не пишите на конвер тах · не гните их · не касайтесь самих дисков · осторожно вставляйте их в компьютер · не разлива йте н а них напитки · держите их подальше от источников магнитного поля · храните их в металл ических сейфах · работайте с дисками в соответствии с маркировкой критичности на них Правильное обращение обеспечивает защиту · убирайте диски и ле нты , ко гда не работаете с ними · храните их разложенными по полкам в определенном порядке · не давайте носители информации с критической информацией неавторизов анным людям · отдавайте поврежденные диски с критической информацией только после их размагничива ния или аналогичной п роцедуры · уничтожайте критическую информацию на дисках с помощью их разм агничивания или физического разрушения в соот ветствии с порядком в вашей организации · уничтожайте распечатки и красящие ленты от принтеров с критическ ой инфо рмацией в соответствии с поряд ком в вашей организации . · обеспечьте безопасность распечаток паролей и другой информации , поз воляющей получить доступ к компьютеру 4. Удостоверьтесь , что существуют адекватные планы действий при ЧП (планы обеспечения непре рывной работы ). Помните , что целью этих планов являются гарантии того , что пользователи смогут продолжать вы полнять самые главные свои обязанности в случае невозможности работы по информационной технологии . Конечные пользователи информационной технологии, а также обслуживающий пе рсонал , должны знать , как им действовать п о этим планам. Планы обеспечения непрерывной работы и восстановления (ОНРВ ) должны быть написаны , проверены и регулярно доводиться до сотрудников . ОНРВ должны учитывать наличие операций арх ивации , то есть как будет обраба тываться информация , если компьютеры , на котор ых она обрабатывалась обычно , нельзя использо вать , и необходимость восстановления потерянной или разрушенной информации. Особенно для ПЭВМ ОНРВ должны учитыва ть выход из строя то й или иной техники , например выход из строя сетевого принтера . Процедуры и техника должны планироваться в расчете на пожар , затопление и т.д. Храните архивные копии , включая план О НРВ , в безопасном месте , удаленном от осно вных помещений , занимаемых компью терами . Процедуры плана должны быть адекватны уровню безопасности и критичности информации. Знайте , что делать в случае ЧП , и будьте знакомы с планом ОНРВ Помните , что план ОНРВ может применять ся в условиях неразберихи и паники . Тренир овки ваших сотрудник ов жизненно необходим ы . Информационная безопасность в Intranet Архитектура Intranet п одразумевает подключение к внешним открытым с етям , использование внешних сервисов и предос тавление собственных серв исов вовне , что предъявляет повышенные требования к защите информации. В Intranet-системах используется под ход клиент-сервер , а главная роль на сегод няшний день отводится Web-сервису . Web-серверы долж ны поддерживать традиционные защитные средства , такие к ак аутентификация и разграничен ие доступа ; кроме того , необходимо обеспечение новых свойств , в особенности безопасности программной среды и на серверной , и на клиентской сторонах . Таковы , если говорить совсем кратко , з адачи в области информационной безопа снос ти , возникающие в связи с переходом на технологию Intranet. Далее мы рассмотрим возможные подходы к их решению . Позволю себе небольшое отступление . Некот орое время назад один мой знакомый банкир , прочитав в каком-то дорогом журнале стат ью об информаци онной безопасности , сделал для себя вывод , что защищаться бесполезно - слишком велик арсенал потенциального злоумы шленника . Он перестал рассматривать предложения по защите компьютерной системы банка , счита я их заведомо бесполезными . К фаталистам м оего зна к омого не отнесешь , от подтяжек он еще не отказался , однако ма сса технических деталей , приведенных в журнал ьной статье , совершенно запутала и подавила его . Сжав голову руками , он ходил из угла в угол , бормоча : "Пароли перехватываютс я , соединения крадутся , п олучить прив илегии root - раз плюнуть " и т.д . и т.п . Мои попытки указать ему на то , что в ст атье допущен ряд чисто технических ошибок , что не оговорены условия , при которых в озможна та или иная атака , что , наконец , отсутствует комплексный подход к проблем е безопасности , успеха не имели . Так совпало , что вскоре дела банка , где работал мой знакомый , стали идти вс е хуже и хуже . Более удачливые конкуренты , казалось , все время предугадывали его хо ды , постоянно оказываясь на полшага впереди . Надеюсь , что у читат елей журнала LAN Magazine, напротив , все пойдет как нельзя лучше и у них окажется больше здравого смысла , больше умения видеть проблему в целом . Формирование режима информационной безопасно сти - проблема комплексная . Меры по ее реше нию можно разделить на четыре уровня : законодательный (законы , нормативные акты , стандарты и т.п .); административный (действия об щего характера , предпринимаемые руководством орга низации ); процедурный (конкретные меры безопасности , имеющие дело с людьми ); программно-технический (конкретные технические меры ). В таком порядке и будет построено последующее изложение . Закон одательный уровень В настоящее время наиболее подробным законодательным документом в области информационной безопасности является Уголо вный кодекс , точнее говоря , его новая реда кция , вступившая в силу в мае 1996 года . В разделе IX ("Преступления против обществен ной безопасности ") имеется глава 28 - "Преступления в сфере компьютерной информации ". Она содерж ит т ри статьи - 272 ("Неправомерный доступ к компьютерной информации "), 273 ("Создание , использован ие и распространение вредоносных программ для ЭВМ ") и 274 - "Нарушение правил эксплуатации ЭВ М , системы ЭВМ или их сети ". Уголовный кодекс стоит на страже всех а сп ектов информационной безопасности - доступности , це лостности , конфиденциальности , предусматривая наказани я за "уничтожение , блокирование , модификацию и копирование информации , нарушение работы ЭВМ , системы ЭВМ или их сети ". Весьма энергичную работу в об ласт и современных информационных технологий проводит Государственная техническая комиссия (Гостехкоми ссия ) при Президенте Российской Федерации . В рамках серии руководящих документов (РД ) Гос техкомиссии подготовлен проект РД , устанавливающи й классификацию м ежсетевых экранов (firewalls, или брандмауэров ) по уровню обеспечения за щищенности от несанкционированного доступа (НСД ). Это принципиально важный документ , позволяющий упорядочить использование защитных средств , необходимых для реализации технологии Intr a net. Разработка сетевых аспектов п олитики безопасности Политика безопас ности определяется как совокупность документиров анных управленческих решений , направленных на защиту информации и ассоциированных с н ей ресурсов . При разработке и проведении ее в жизнь целесообразно руководствоваться следующими принципами : невозможность миновать защитные средства ; усиление самого слабого звена ; невозможность перехода в небезопасное состояние ; минимизация привилегий ; разделение обязанностей ; эшелон ированность обороны ; разнообразие защитных средст в ; простота и управляемость информационной си стемы ; обеспечение всеобщей поддержки мер без опасности . Поясним смысл перечисленных принципов . Если у злоумышленника или недовол ьного пользователя появится возможность миновать защитные средства , он , разумеется , так и сделает . Применительно к межсетевым экранам данный принцип означает , что все информацио нные потоки в защищаемую сеть и из не е должны проходить через экран . Не должно быть "тайных " модемных входов или тестовых линий , идущих в обход экрана . Надежность любой обороны определяется сам ым слабым звеном . Злоумышленник не будет б ороться против силы , он предпочтет легкую победу над слабостью . Часто самым слабым з веном оказывает ся не компьютер или пр ограмма , а человек , и тогда проблема обесп ечения информационной безопасности приобретает н етехнический характер . Принцип невозможности перехода в небезопа сное состояние означает , что при любых обс тоятельствах , в том числе нештатных , защи тное средство либо полностью выполняет свои функции , либо полностью блокирует доступ . Образно говоря , если в крепости механизм подъемного моста ломается , мост должен остава ться в поднятом состоянии , препятствуя проход у неприятеля . Принцип минимизации привилегий предписы вает выделять пользователям и администраторам только те права доступа , которые необходимы им для выполнения служебных обязанностей . Принцип разделения обязанностей предполагает такое распределение ролей и ответственности , при котором од ин человек не може т нарушить критически важный для организации процесс . Это особенно важно , чтобы предот вратить злонамеренные или неквалифицированные де йствия системного администратора . Принцип эшелонированности обороны предписыва ет не полагаться на один защитный р убеж , каким бы надежным он ни казался . За средствами физической защиты должны следов ать программно-технические средства , за идентифика цией и аутентификацией - управление доступом и , как последний рубеж , - протоколирование и аудит . Эшелонированна я оборона способна по крайней мере задержать злоумышленника , а наличие такого рубежа , как протоколирован ие и аудит , существенно затрудняет незаметное выполнение злоумышленных действий . Принцип разнообразия защитных средств рек омендует организовывать различ ные по свое му характеру оборонительные рубежи , чтобы от потенциального злоумышленника требовалось овлад ение разнообразными и , по возможности , несовме стимыми между собой навыками (например умение м преодолевать высокую ограду и знанием с лабостей нескольких о перационных систем ). Очень важен принцип простоты и управл яемости информационной системы в целом и защитных средств в особенности . Только для простого защитного средства можно формально или неформально доказать его корректность . Только в простой и управля емой систем е можно проверить согласованность конфигурации разных компонентов и осуществить централизован ное администрирование . В этой связи важно отметить интегрирующую роль Web-сервиса , скрывающего разнообразие обслуживаемых объектов и предос тавляющего е д иный , наглядный интерфей с . Соответственно , если объекты некоторого вид а (скажем таблицы базы данных ) доступны че рез Web, необходимо заблокировать прямой доступ к ним , поскольку в противном случае систем а будет сложной и трудноуправляемой . Последний принци п - всеобщая поддержка мер безопасности - носит нетехнический характ ер . Если пользователи и /или системные адми нистраторы считают информационную безопасность ч ем-то излишним или даже враждебным , режим безопасности сформировать заведомо не удастся . Следует с самого начала предусмотре ть комплекс мер , направленный на обеспечение лояльности персонала , на постоянное обучение , теоретическое и , главное , практическое . Анализ рисков - важнейший этап выработки политики безопасности . При оценке рисков , ко торым подверж ены Intranet-системы , нужно учитыва ть следующие обстоятельства : новые угрозы по отношению к старым сервисам , вытекающие из возможности пассивного или активного прослушивания сети . Пассивное прослушивание означает чтение сетевого трафи ка , а активное - его изменение (кражу , дублирование или модификацию передаваемых данных ). Например , аутентификация удаленного клиента с помощью пароля многократного использования не может считаться надежной в сетевой сре де , независимо от длины пароля ; новые (сете вые ) сервисы и ассоциированные с н ими угрозы . Как правило , в Intranet-системах следует при держиваться принципа "все , что не разрешено , запрещено ", поскольку "лишний " сетевой сервис может предоставить канал проникновения в к орпоративную систему . В принципе , ту же мы сль выражает положение "все непонятное о пасно ". Процедурные меры В общем и целом Intranet-технолог ия не предъявляет каких-либо специфических тр ебований к мерам процедурного уровня . На н аш взгляд , отдельно го рассмотрения заслуж ивают лишь два обстоятельства : описание должностей , связанных с определе нием , наполнением и поддержанием корпоративной гипертекстовой структуры официальных документов ; поддержка жизненного цикла информации , наполня ющей Intranet. При описании должностей целесообразно исходить из аналогии между Intranet и издательств ом . В издательстве существует директор , опреде ляющий общую направленность деятельности . В Intranet ему соответствует Web-администратор , решающий , как ая корпоративная инфор м ация должна присутствовать на Web-сервере и как следует структурировать дерево (точнее , граф ) HTML-документо в . В многопрофильных издательствах существуют редакции , занимающиеся конкретными направлениями (математические книги , книги для детей и т.п .). Анал огично , в Intranet целесообразно выдел ить должность публикатора , ведающего появлением документов отдельных подразделений и определяю щего перечень и характер публикаций . У каждой книги есть титульный редакто р , отвечающий перед издательством за свою работу. В Intranet редакторы занимаются вставкой документов в корпоративное дерево , их корре кцией и удалением . В больших организациях "слой " публикатор /редактор может состоять из нескольких уровней . Наконец , и в издательстве , и в Intranet д олжны быть авторы , соз дающие документы . Подчеркнем , что они не должны иметь пра в на модификацию корпоративного дерева и отдельных документов . Их дело - передать свой труд редактору . Кроме официальных , корпоративных , в Intranet могу т присутствовать групповые и личные документы , порядок работы с которыми (роли , пра ва доступа ) определяется , соответственно , групповым и и личными интересами . Переходя к вопросам поддержки жизненного цикла Intranet-информации , напомним о необходимости использования средств конфигурационного управле ния . Важное достоинство Intranet-технологии состои т в том , что основные операции конфигураци онного управления - внесение изменений (создание новой версии ) и извлечение старой версии документа - естественным образом вписываются в рамки Web-интерфейса . Те , для кого это необходимо , могут работать с деревом всех версий всех документов , подмножеством которого является дерево самых свежих версий . Управ ление доступом путем фильтрации информации Мы переходим к рас смот рению мер программно-технического уровня , направле нных на обеспечение информационной безопасности систем , построенных в технологии Intranet. На пе рвое место среди таких мер мы поставим межсетевые экраны - средство разграничения дост упа , служащее для з а щиты от вн ешних угроз и от угроз со стороны пол ьзователей других сегментов корпоративных сетей . Отметим , что бороться с угрозами , прис ущими сетевой среде , средствами универсальных операционных систем не представляется возможным . Универсальная ОС - это огр омная прогр амма , наверняка содержащая , помимо явных ошибо к , некоторые особенности , которые могут быть использованы для получения нелегальных привиле гий . Современная технология программирования не позволяет сделать столь большие программы безопасными . Кром е того , администратор , имеющий дело со сложной системой , далеко не всегда в состоянии учесть все после дствия производимых изменений (как и врач , не ведающий всех побочных воздействий рекоме ндуемых лекарств ). Наконец , в универсальной мно гопользовательской с и стеме бреши в безопасности постоянно создаются самими пользо вателями (слабые и /или редко изменяемые па роли , неудачно установленные права доступа , ос тавленный без присмотра терминал и т.п .). Как указывалось выше , единственный перспе ктивный путь связан с ра зработкой спе циализированных защитных средств , которые в с илу своей простоты допускают формальную или неформальную верификацию . Межсетевой экран к ак раз и является таким средством , допуска ющим дальнейшую декомпозицию , связанную с обс луживанием различных с е тевых протокол ов . Межсетевой экран - это полупроницаемая мем брана , которая располагается между защищаемой (внутренней ) сетью и внешней средой (внешними сетями или другими сегментами корпоративной сети ) и контролирует все информационные п отоки во внутренню ю сеть и из нее (Рис . 2). Контроль информационных потоков состои т в их фильтрации , то есть в выборочно м пропускании через экран , возможно , с вып олнением некоторых преобразований и извещением отправителя о том , что его данным в пропуске отказано . Фильтраци я осуществл яется на основе набора правил , предварительно загруженных в экран и являющихся выражен ием сетевых аспектов политики безопасности ор ганизации . Целесообразно разделить случаи , когда экр ан устанавливается на границе с внешней (о бычно общедоступной ) сетью или на гран ице между сегментами одной корпоративной сети . Соответственно , мы будет говорить о внеш нем и внутреннем межсетевых экранах. Как правило , при общении с внешними сетями используется исключительно семейство пр отоколов TCP/IP. Поэтому внешний межсетевой экран должен учитывать специфику этих протоколов . Для внутренних экранов ситуация сложнее , здесь следует принимать во внимание помимо TCP/IP по крайней мере протоколы SPX/IPX, применяемые в сетях Novell NetWare. Иными словами , от внутренних э к р анов нередко требуется многопротоко льность . Ситуации , когда корпоративная сеть содержит лишь один вн ешний канал , является , скорее , исключением , чем правилом . Напротив , типична ситуация , при которой корпоративная сеть состоит из несколь ких территориально р азнесенных сегментов , каждый из которых подключен к сети общег о пользования (Рис . 3). В этом случае каждое подключение должно защищаться своим экраном . Точнее говоря , можно считать , что корпора тивный внешний межсетевой экран является сост авным , и требуетс я решать задачу согласованного администрирования (управления и аудита ) всех компонентов . Экранирование корпоратив ной сети , состоящей из нескольких территориал ьно разнесенных сегментов , каждый из которых подключен к сети общего пользования. При рассмотрении любого вопроса , касающегося сетевых тех нологий , основой служит семиуровневая эталонная модель ISO/OSI. Межсетевые экраны также целесообразно классифицировать по тому , на каком уровне производится фильтрация - канальном , сетевом , т ранспортном или прикладно м . Соответствен но , можно говорить об экранирующих концентрат орах (уровень 2), маршрутизаторах (уровень 3), о тра нспортном экранировании (уровень 4) и о прикладн ых экранах (уровень 7). Существуют также комплек сные экраны , анализирующие информацию на неск оль к их уровнях . В данной работе мы не будем рассм атривать экранирующие концентраторы , поскольку ко нцептуально они мало отличаются от экранирующ их маршрутизаторов . При принятии решения "пропустить /не пр опустить ", межсетевые экраны могут использовать не только информацию , содержащуюся в фильтруемых потоках , но и данные , полученные из окружения , например текущее время . Таким образом , возможности межсетевого эк рана непосредственно определяются тем , какая информация может использоваться в правилах фи льтрации и ка кова может быть мощность наборов правил . Вообще говоря , чем выше уровень в модели ISO/OSI, на котором функционируе т экран , тем более содержательная информация ему доступна и , следовательно , тем тоньше и надежнее экран может быть сконфигуриро ван . В то же в р емя фильтрация на каждом из перечисленных выше уровней обладает своими достоинствами , такими как дешевизна , высокая эффективность или прозрачнос ть для пользователей . В силу этой , а та кже некоторых других причин , в большинстве случаев используются смешанны е конфи гурации , в которых объединены разнотипные экр аны . Наиболее типичным является сочетание экр анирующих маршрутизаторов и прикладного экрана (Рис . 4). Приведенная конфигурация называется экраниру ющей подсетью . Как правило , сервисы , которые организация п редоставляет для внешнего применения (например "представительский " Web-сервер ), целесообразно выносить как раз в экранирую щую подсеть . Помимо выразительных возможностей и допус тимого количества правил качество межсетевого экрана определяется еще двумя оче нь важными характеристиками - простотой применения и собственной защищенностью . В плане простоты использования первостепенное значение имеют наглядный интерфейс при задании правил фильтр ации и возможность централизованного администрир ования составных конф и гураций . В с вою очередь , в последнем аспекте хотелось бы выделить средства централизованной загрузки правил фильтрации и проверки набора правил на непротиворечивость . Важен и централизован ный сбор и анализ регистрационной информации , а также получение сиг н алов о попытках выполнения действий , запрещенных по литикой безопасности . Собственная защищенность межсетевого экрана обеспечивается теми же средствами , что и защищенность универсальных систем . При выпол нении централизованного администрирования следует еще позаботиться о защите информации от пассивного и активного прослушивания сети , то есть обеспечить ее (информации ) целост ность и конфиденциальность . Хотелось бы подчеркнуть , что природа э кранирования (фильтрации ), как механизма безопаснос ти , очень глубока . Помимо блокирования по токов данных , нарушающих политику безопасности , межсетевой экран может скрывать информацию о защищаемой сети , тем самым затрудняя действия потенциальных злоумышленников . Так , прикл адной экран может осуществлять действия от имени су б ъектов внутренней сети , в результате чего из внешней сети каже тся , что имеет место взаимодействие исключите льно с межсетевым экраном (Рис . 5). При таком подходе топология внутренней сети скрыта от внешних пользователей , поэтому задача зл оумышленника сущес т венно усложняется . Более общим методом сокрытия информации о топологии защищаемой сети я вляется трансляция "внутренних " сетевых адресов , которая попутно решает проблему расширения адресного пространства , выделенного организации . Ограничивающий интерфейс также можно рассматривать как разновидность экранирования . На невидимый объект трудно нападать , особенно с помощью фиксированного набора средств . В этом смысле Web-интерфейс обладает естественно й защитой , особенно в том случае , когда гипертекстовые докуме н ты формируются динамически . Каждый видит лишь то , что е му положено . Экранирующая роль Web-сервиса наглядно прояв ляется и тогда , когда этот сервис осуществ ляет посреднические (точнее , интегрирующие ) функции при доступе к другим ресурсам , в част ности таблиц ам базы данных . Здесь не только контролируются потоки запросов , но и скрывается реальная организация баз данн ых . Безоп асность программной среды Идея сетей с так называемы ми активными агентами , когда ме жду ком пьютерами передаются не только пассивные , но и активные исполняемые данные (то есть программы ), разумеется , не нова . Первоначально цель состояла в том , чтобы уменьшить се тевой трафик , выполняя основную часть обработ ки там , где располагаются данные ( приближение программ к данным ). На пра ктике это означало перемещение программ на серверы . Классический пример реализации подобно го подхода - это хранимые процедуры в реля ционных СУБД . Для Web-серверов аналогом хранимых процедур являются программы , обслужи вающие общий шлюзовый интерфейс (Common Gateway Interface - CGI). CGI-процедуры располага ются на серверах и обычно используются дл я динамического порождения HTML-документов . Политика безопасности организации и процедурные меры должны определять , кто имеет прав о помещать на сервер CGI-процедуры . Жесткий к онтроль здесь необходим , поскольку выполнение сервером некорректной программы может привести к сколь угодно тяжелым последствиям . Разумн ая мера технического характера состоит в минимизации привилегий пользо в ателя , от имени которого выполняется Web-сервер . В технологии Intranet, если заботиться о кач естве и выразительной силе пользовательского интерфейса , возникает нужда в перемещении про грамм с Web-серверов на клиентские компьютеры - для создания анимации , в ыполнения сема нтического контроля при вводе данных и т.д . Вообще , активные агенты - неотъемлемая часть технологии Intranet. В каком бы направлении ни перемещалис ь программы по сети , эти действия представ ляют повышенную опасность , т.к . программа , получ енна я из ненадежного источника , может содержать непреднамеренно внесенные ошибки или целенаправленно созданный зловредный код . Такая программа потенциально угрожает всем основны м аспектам информационной безопасности : доступности (программа может поглотить вс е наличные ресурсы ); целостности (программа может удалить или повредить данные ); конфиде нциальности (программа может прочитать данные и передать их по сети ). Проблему ненадежных программ осознавали д авно , но , пожалуй , только в рамках системы программирован ия Java впервые предложена це лостная концепция ее решения . Java предлагает три оборонительных рубежа : надежность языка ; контроль при получении программ ; контроль при выполнении программ . Впрочем , существует еще одно , очень ва жное средство обеспечения ин формационной безопасности - беспрецедентная открытость Java-системы . Исходные тексты Java-компилятора и интерпретатора доступны для проверки , поэтому велика вер оятность , что ошибки и недочеты первыми бу дут обнаруживать честные специалисты , а не злоумышлен н ики . В концептуальном плане наибольшие труднос ти представляет контролируемое выполнение програ мм , загруженных по сети . Прежде всего , необ ходимо определить , какие действия считаются д ля таких программ допустимыми . Если исходить из того , что Java - это язык для напи сания клиентских частей приложений , одним из основных требований к которым является м обильность , загруженная программа может обслужива ть только пользовательский интерфейс и осущес твлять сетевое взаимодействие с сервером . Про грамма не может работа т ь с фа йлами хотя бы потому , что на Java-терминале их , возможно , не будет . Более содержательные действия должны производиться на серверной стороне или осуществляться программами , лока льными для клиентской системы . Интересный подход предлагают специалисты к омпании Sun Microsystems для обеспечения безопасного выполнения командных файлов . Речь идет о среде Safe-Tcl (Tool Comman Language, инструментальный командный язык ). Sun п редложила так называемую ячеечную модель инте рпретации командных файлов . Существует г лавный интерпретатор , которому доступны в се возможности языка . Если в процессе рабо ты приложения необходимо выполнить сомнительный командный файл , порождается подчиненный кома ндный интерпретатор , обладающий ограниченной функ циональностью (например , из нег о могу т быть удалены средства работы с файлами и сетевые возможности ). В результате поте нциально опасные программы оказываются заключенн ыми в ячейки , защищающие пользовательские сис темы от враждебных действий . Для выполнения действий , которые считаются при в иле гированными , подчиненный интерпретатор может обра щаться с запросами к главному . Здесь , очев идно , просматривается аналогия с разделением адресных пространств операционной системы и п ользовательских процессов и использованием после дними системных вызовов. Подобная модель уже около 30 лет является стандартной для многопользовательских ОС . Защит а web-серверов Наряду с обеспечением безопасн ости программной среды (см . предыдущий раздел ), важнейшим будет во прос о разграниче нии доступа к объектам Web-сервиса . Для решен ия этого вопроса необходимо уяснить , что я вляется объектом , как идентифицируются субъекты и какая модель управления доступом - принуди тельная или произвольная - применяется . В Web-серверах объе ктами доступа выс тупают универсальные локаторы ресурсов (URL - Uniform (Universal) Resource Locator). За этими локаторами могут стоять различные сущности - HTML-файлы , CGI-процедуры и т.п . Как правило , субъекты доступа идентифицир уются по IP-адресам и /или именам компь ютеров и областей управления . Кроме того , может использоваться парольная аутентификация по льзователей или более сложные схемы , основанн ые на криптографических технологиях (см . следу ющий раздел ). В большинстве Web-серверов права разграничив ают ся с точностью до каталогов (директ орий ) с применением произвольного управления доступом . Могут предоставляться права на чтен ие HTML-файлов , выполнение CGI-процедур и т.д. Для раннего выявления попыток нелегальног о проникновения в Web-сервер важен регулярн ый анализ регистрационной информации . Разумеется , защита системы , на которой функционирует Web-сервер , должна следовать универсал ьным рекомендациям , главной из которых являет ся максимальное упрощение . Все ненужные серви сы , файлы , устройства должны быть уд ал ены . Число пользователей , имеющих прямой досту п к серверу , должно быть сведено к мин имуму , а их привилегии - упорядочены в соот ветствии со служебными обязанностями . Еще один общий принцип состоит в том , чтобы минимизировать объем информации о сервере , к оторую могут получить польз ователи . Многие серверы в случае обращения по имени каталога и отсутствия файла index.HTML в нем , выдают HTML-вариант оглавления каталога . В этом оглавлении могут встретиться имен а файлов с исходными текстами CGI-процедур и ли с и ной конфиденциальной информац ией . Такого рода "дополнительные возможности " ц елесообразно отключать , поскольку лишнее знание (злоумышленника ) умножает печали (владельца серв ера ). Аутен тификация в открытых сетях Методы , применяемые в открытых сетях для подтверждения и проверки подли нности субъектов , должны быть устойчивы к пассивному и активному прослушиванию сети . Су ть их сводится к следующему . Субъект демонстрирует знание секретного к люча , при этом клю ч либо вообще не передается по сети , либо передается в зашифрованном виде . Субъект демонстрирует облад ание программным или аппаратным средством ген ерации одноразовых паролей или средством , раб отающим в режиме "запрос-ответ ". Нетрудно замети ть , что перехва т и последующее в оспроизведение одноразового пароля или ответа на запрос ничего не дает злоумышленнику . Субъект демонстрирует подлинность своего место положения , при этом используется система нави гационных спутников . Вирту альные ча стные сети Одной из важнейших задач я вляется защита потоков корпоративных данных , передаваемых по открытым сетям . Открытые кана лы могут быть надежно защищены лишь одним методом - криптографическим . Отметим , что так называемые в ыделе нные линии не обладают особыми преимуществами перед линиями общего пользования в плане информационной безопасности . Выделенные линии хотя бы частично будут располагаться в неконтролируемой зоне , где их могут повредить или осуществить к ним несанкцион и рованное подключение . Единственное реальное достоинство - это гарантированная пропускная сп особность выделенных линий , а вовсе не как ая-то повышенная защищенность . Впрочем , современные оптоволоконные каналы способны удовлетворить потребности многих абонен т ов , поэто му и указанное достоинство не всегда обле чено в реальную форму . Любопытно упомянуть , что в мирное врем я 95% трафика Министерства обороны США передаетс я через сети общего пользования (в частнос ти через Internet). В военное время эта доля должна со ставлять "лишь " 70%. Можно предположи ть , что Пентагон - не самая бедная организа ция . Американские военные полагаются на сети общего пользования потому , что развивать собственную инфраструктуру в условиях быстрых технологических изменений - занятие очень д о рогое и бесперспективное , оправданно е даже для критически важных национальных организаций только в исключительных случаях . Представляется естественным возложить на межсетевой экран задачу шифрования и дешифров ания корпоративного трафика на пути во вн ешнюю сеть и из нее . Чтобы такое шифрование /дешифрование стало возможным , должно произойти начальное распределение ключей . Совре менные криптографические технологии предлагают д ля этого целый ряд методов . После того как межсетевые экраны осущ ествили криптографи ческое закрытие корпорати вных потоков данных , территориальная разнесенност ь сегментов сети проявляется лишь в разно й скорости обмена с разными сегментами . В остальном вся сеть выглядит как единое целое , а от абонентов не требуется прив лечение каких-либо д о полнительных защ итных средств . Прост ота и однородность архитектуры Важнейшим аспектом информационной безопасности является управляемость системы . Управляемость - это и поддержание высокой дост упности с истемы за счет раннего выявл ения и ликвидации проблем , и возможность и зменения аппаратной и программной конфигурации в соответствии с изменившимися условиями и ли потребностями , и оповещение о попытках нарушения информационной безопасности практически в ре а льном времени , и снижение числа ошибок администрирования , и многое , многое другое . Наиболее остро проблема управляемости вст ает на клиентских рабочих местах и на стыке клиентской и серверной частей информ ационной системы . Причина проста - клиентских м ест гораздо больше , чем серверных , они , как правило , разбросаны по значительно боль шей площади , их используют люди с разной квалификацией и привычками . Обслуживание и администрирование клиентских рабочих мест - зан ятие чрезвычайно сложное , дорогое и чреватое о шибками . Технология Intranet за счет простоты и однородности архитектуры позволяет сделать стоимость администрирования клиентского рабочего места практически нулевой . Важно и то , что замена и повторный ввод в эксплуатацию клиентского компьютера могут быть осуществлены очень быстро , поскольку это "клиенты без состояния ", у них нет ничего , что требовало бы длительного восс тановления или конфигурирования . На стыке клиентской и серверной часте й Intranet-системы находится Web-сервер . Это позволяет иметь единый механизм регистрации поль зователей и наделения их правами доступа с последующим централизованным администрированием . Взаимодействие с многочисленными разнородными сервисами оказывается скрытым не только от пользователей , но и в значительной степени от сис т емного администратора . Заклю чение Задача обеспечения информационной безопасности в Intranet оказывается более простой , чем в случае произвольных распределенных систем , построенных в архитектуре клиент /с ервер . Причина тому - однородность и пр остота архитектуры Intranet. Если разработчики прикладны х систем сумеют в полной мере воспользова ться этим преимуществом , то на программно-техн ическом уровне им будет достаточно нескольких недорогих и простых в освое н ии продуктов . Правда , к этому необходимо п рисовокупить продуманную политику безопасности и целостный набор мер процедурного уровня . Как защитить информацию Обеспечение безо пасности при работе с компьюте рной си стемой - задача многогранная . В ней можно в ыделить два основных направления : безопасность персонала и информационную безопасность . Оба аспекта составляют предмет жарких дискуссий ведущих специалистов отрасли на многочисленных совещаниях , семинарах и конференциях . Крупнейшим смотром технологий обеспечения и нформационной безопасности стала 23-я международная выставка-конференция , проводившаяся в Чикаго 12-13 ноября 1996 г ., в которой участвовало более 100 компаний. Остановимся подробнее на втором аспек те . Интерес к вопросам безопасности ин формации не случаен . Корпоративные системы эл ектронного документооборота , бухгалтерского учета и управления базами данных получили широко е распространение в развитых странах уже в первой половине 70-х гг . С развитием к омпьютерных технологий , по мере с нижения их стоимости , роста возможностей и доступности компьютеров , все больше компаний переходят на автоматизированные системы учета . В результате увеличиваются как объем инф ормации , хранящейся на различных электронных но с ителях , так и ее ценность (к оторая , в первую очередь , определяется суммой возможных убытков при потере данных или их попадании к конкуренту ). И тут-то в ыясняется , что электронные средства хранения даже более уязвимы , чем бумажные ; размещаемые на них данны е можно и уничт ожить , и скопировать , и незаметно видоизменить . Последнее , кстати , представляет наибольшую оп асность для компаний. Что же означает потеря данных , на основе которых ведется управление бизнесом ? П о данным Миннесотского университета , 93% компани й , лишившихся доступа к своим данным на срок более 10 дней , покинули бизнес , причем половина из них заявила о своей несостоятельности немедленно . Хотя компании , оп асаясь за свое реноме , предпочитают замалчива ть случаи крушения их информационных систем и в т оржения в них , статистика подобных происшествий все же существует . Так , подкомитет по расследованиям при сенате США недавно провел соответствующий опрос среди 500 крупнейших индустриальных компаний стра ны . Более половины респондентов (264 фирмы ) воздер жал и сь от ответа , однако 140 компаний признали , что их информационные системы п одвергались нападениям в течение последнего г ода , и почти пятая часть из них сообщи ла , что понесенные при этом убытки состави ли свыше 1 млн дол. В Российской Федерации такие исследо вания не проводились , но , конечно , собы тия подобного рода иногда происходят . Наприме р , в сеть одного крупного торгового зала проникли вирусы , и два дня , пока не была восстановлена информационная среда , фирма осуществляла только оптовые торговые операци и . В результате оборот снизился в несколько раз , клиенты , не получавшие тре буемых услуг , высказывали свое недовольство , п ерсонал работал неэффективно , а системные адм инистраторы в авральном порядке с утра до ночи "чистили " систему и восстанавливали информацию на дисках . Учитывая статист ику Миннесотского университета , можно сказать , что фирма легко отделалась. Российские предприниматели под давлением фактов , а иногда и личного опыта , наконец начали осознавать ценность информации , содер жащейся в их корпоративных сетях . Следст вием этого стало проявление некоторого , пока еще не слишком активного , интереса к системам безопасности . Немалую роль в продвиж ении технологий безопасности играют и отечест венные системные интеграторы , в задачи которы х входит создание комплек с ных инф ормационных систем поддержки бизнеса и разраб отка технических и организационно-режимных меропр иятий для повышения их безопасности . Государс тво , требующее от определенных организаций от ветственного подхода к хранению и передаче информации , также сти м улирует разви тие данной области . В частности , Президент РФ своим указом от 3 апреля 1995 г . предложил Центральному банку (ЦБ ) принять меры по отношению к коммерческим банкам , уклоняющимся от обязательного использования "защищенных т ехнических средств хран е ния , обработк и и передачи информации при их информацио нном взаимодействии с подразделениями ЦБ ". Правда , на сегодняшний день российские бизнесмены все же больше озабочены надежно стью функционирования своих компьютерных систем и их защиты от вирусов , нежели созданием барьеров , ограждающих от несанкциониров анного доступа . Возможно , это пока оправданно , поскольку лишь немногие фирмы содержат в компьютерных сетях информацию , ценность кото рой адекватна расходам на ее извлечение. Обсуждая вопросы безопасности инф орма ции в компьютерной системе со специалистами известных российских фирм , занимающихся сист емной интеграцией - таких как IBS, "ЛВС ", "АйТи ", " Анкей ", "Оптима " и RPI, - авторы выделили два осн овных принципа организации информационных систем . Во-первых , эт о комплексный подход к построению системы , охватывающий как прим енение специальных аппаратных и программных с редств , так и проведение организационно-режимных мероприятий . Во-вторых , высокие требования к квалификации обслуживающего персонала . Глобальными фа к торами , влияющими на функциониро вание системы и сохранность данных , являются сбой системы , случайное уничтожение ее от дельных компонентов и несанкционированный доступ к системе . Поскольку первые два фактора не связаны с прямой атакой на содерж имое информа ц ионной системы , их мо жно объединить термином "несчастный случай ". Несча стный случай К "несчастным случаям " мы относим неисправности оборудования , сбои в работе программного обеспечения ( ПО ), ошибки обслу живающего персонала , а также внешние воздействия - природные (землетряс ения , ураганы , наводнения и т.п .), техногенные (пожары , перебои с энергоснабжением , прорывы водопровода и канализации и т . п .) и со циальные (террористические акты , беспорядки , военны е д ействия и т.д .). Российская дей ствительность такова , что отечественные компании подвержены воздействию всех этих факторов (возможно , не считая природных катаклизмов ) в значительно большей степени , чем фирмы и з экономически развитых стран. На надежности сис тем отрицательно сказываются и наличие большого количества устройств , собранных из комплектующих низкого качества , и нередкое использование нелицензионног о ПО . Аппаратное и программное обеспечение зачастую не отвечает требованиям совместимости , а "прописа н ная " в соответствующих файлах конфигурация систем - имеющимся аппара тным ресурсам . Виной тому может стать недо статочная компьютерная грамотность ответственных за поддержание компьютерной системы сотрудников . Иными словами , чрезмерная экономия средств (на о бучение персонала , закупку ли цензионного ПО и качественного оборудования ) приводит к уменьшению времени безотказной раб оты и значительным затратам на последующее восстановление системы . Скупой , как известно , платит дважды. Важным фактором является недостат очно высокая квалификация персонала . Авторы отнюд ь не собираются оспаривать утверждение , что в России работает множество талантливых сп ециалистов-компьютерщиков . Вопрос заключается в то м , насколько эти таланты пригодны для выпо лнения обязанностей системно г о админи стратора корпоративной сети , в которой работа ют обычные бизнес-приложения . К сожалению , чело век , обладающий мастерством на уровне хакерст ва и умеющий работать с разнообразным ПО и отлично разбираться в сложных ситуация х (что , безусловно , очень пол е зно ), способен превратить информационную систему в цирк , на арене которого безостановочно см еняют друг друга версии и названия програ мм . Причем , как правило , замены производятся без глубокого понимания преимуществ нового пакета и не сопровождаются соответ с твующими организационными мероприятиями . Это и порождает различные сложные ситуации , к оторые затем мастерски преодолеваются (увы , не всегда быстро и без потерь ). Должности системного администратора в большей степени соответствует другой тип специалиста - э моционально устойчивый консерватор , способный реализовать комплексный подход для предупреж дения внештатной ситуации , и руководствующийся в своей деятельности принципом Оккама "Не плоди сущности без надобности ". Что же касается внешних воздействий н а информ ационную систему , то , действительн о , ураганы и цунами в Москве - большая редкость , а землетрясения происходят в основн ом при появлении на улицах города большог о числа бронетехники , но это уже другой фактор риска . Зато качество работы наших городских элект р осетей давно стало притчей во языцех , прорыв же канализации - и вовсе событие , значительно более вероя тное , чем извержение вулкана или падение м етеорита . Это усугубляет рискованность бизнеса , поскольку подобные несчастья , как правило , не относятся к разря д у форс-мажорн ых обстоятельств , а , соответственно , компания н е освобождается от штрафов в случае невып олнения обязательств. В комплекс мероприятий по защите инфо рмационной системы от несчастных случаев спец иалисты компаний , занимающихся системной интеграц ие й , включают целый ряд действий , напр авленных на предотвращение внештатной ситуации , а не ликвидацию ее последствий . Разберем , для начала , средства , обеспечивающие бессбойную работу системы. Источ ники бесперебойного питания Компьютерная сис тема энергоемка , и потому первое условие е е функционирования - бесперебойная подача электроэ нергии . Необходимой частью информационной системы становятся источники бесперебойного питания для серверов , а по возможности , и д ля всех локальных рабочих станций . Специалист ы компании IBS также рекомендуют дублировать эле ктропитание , используя для этого различные го родские подстанции . Такое решение особенно по лезно для крупной корпоративной информационной системы , размещенной в бо л ьшом городе , где перебои энергоснабжения чаще всег о локализуются в одном сегменте . В небольш их городах , в которых электроснабжение значит ельно хуже , сотрудники фирмы "Оптима " советуют для кардинального решения проблемы устанавли вать резервную силовую лини ю от собственного мотор-генератора (разумеется , с соблю дением всех норм пожарной безопасности ). Выбор надежного оборудования Важнейшим фактор ом обеспечения надежности работы системы явля ется подбор соответ ствующего оборудования . Практически все отечественные системные интегр аторы рекомендуют заказчикам применять технику известных компаний , так называемый brand name. Такое оборудование проходит серьезный выходной контр оль изготовителя , имеет высокий уровень совместимости и длительный срок гарантийн ого обслуживания. Для гарантийного ремонта установленной те хники в России существуют сервисные центры большинства компаний-производителей , созданные на базе либо представительства поставщика , либо отечественной комп ании , которая имеет н еобходимых специалистов и авторизована для вы полнения такого рода работ . Поэтому , как п равило , обещанный рекламой мировой уровень об служивания становится доступным и российскому потребителю . Есть , конечно , и печальные искл ючения - ска ж ем , Compaq и American Power Conversion (APC) уже ст али классическими примерами производителей , "забыв ших " за океаном свой знаменитый сервис . Ст андартный гарантийный срок на серверы и к омпьютеры (за исключением моделей низкого уро вня ) составляет три года , н а пери ферийное оборудование - один год . Ряд производи телей предоставляет гарантию типа on-site (с выездо м специалиста к заказчику ), другие за подо бные услуги требуют дополнительную плату. Как известно , производительность и живуче сть информационной системы во многом за висит от работоспособности серверов . Большинство современных серверов обладают набором специа льных аппаратных и программных средств , позво ляющих предсказывать возможный выход из строя процессоров и жестких дисков . Во время гарантийного периода при поступлении сигнала о грядущем сбое устройства пользов атель может потребовать от поставщика бесплат ной замены подозрительного компонента , не дож идаясь его фактического отказа . При необходим ости обеспечения круглосуточной бесперебойной ра боты информаци о нной системы использую тся специальные отказоустойчивые компьютеры , т . е . такие , выход из строя отдельного комп онента которых не приводит к отказу машин ы . В России наиболее известна высоконадежная техника компаний Stratus и Tandem. Из-за своей высоко й стои м ости она не получила в нашей стране широкого распространения и используется лишь крупными компаниями , бизнес которых в значительной степени зависит от работы компьютерной системы . Например , техника Tandem установлена примерно в полуторе десятков компаний, в число которых входят телекоммуникационная компания "Спринт ", аэропорт "Пулково " и ING Bank. Остается упомянуть о мелочах - сетевых розетках , разъемах , кабелях и т.д . Они также должны быть надлежащего качества , потому что система не сможет реализовать вес ь свой потенциал , если в ней окажется даже одна некачественная розетка. Выбор программного обеспечения Набор оборудован ия , связанного коммуникационными линиями , превраща ется в информационную систему , лишь полу чив свое внутреннее содержимое - программное о беспечение (ПО ) и данные . Сама архитектура современных сетевых операционных систем (ОС ) в значительной степени защищает их от неко рректного обращения , и потому лишь немногие действия прикладных программ и л и драйверов периферийных устройств способны прив ести к их краху . Большинство бизнес-приложений сертифицированы для работы с популярными ОС . Тем самым фирма-разработчик операционной среды гарантирует корректную инсталляцию и работу приложения в данной ОС. М ногообразие периферийных устройств у сложняет организацию обращения к ним из О С и прикладных программ . Поэтому системные интеграторы рекомендуют при выборе операционно й среды обращать особое внимание на ее оснащенность драйверами и утилитами , перекрестн ую с ертификацию оборудования и ПО , а также избегать использования доморощенных приложений . Помимо потенциальной несовместимости , последние имеют еще один недостаток - отсут ствие поддержки производителя. Среди сетевых операционных систем , исполь зуемых в России, наиболее популярны Microsoft Windows NT и Novell NetWare, причем в оценках доли рынка к аждой из них мнения интеграторов расходятся . До недавнего времени NetWare лидировала со зна чительным отрывом , чему способствовало большое число специалистов и компаний, сертифицир ованных Novell. Сейчас этот разрыв достаточно быстр о сокращается , растет число компаний со ст атусом Microsoft Solution Provider. Увеличение интереса к продуктам Microsoft во многом вызвано политикой компании , ра зумно вкладывающей значительные с р едс тва в обучение партнеров , в частности спон сирующей сдачу экзаменов системными инженерами Novell по курсам Microsoft. Что же касается Unix-систем , они поддерживаются ограниченным числом интеграто ров и , видимо , большей частью ориентированы на российские о тделения зарубежных компаний , исторически приверженных операционной системе UNIX. Восст ановление бизнеса после бедствия Выбор надежного оборудования и ПО позволяет до определен ной степени предотвратить сб ой информацио нной системы . Однако встречаются и неподвласт ные системному администратору ситуации , влекущие за собой уничтожение информационной системы или какой-либо ее части . В условиях сл ожных деловых связей "падение " одной компании , к сожалению , ставит под удар функционирование многих ее партнеров . Некоторые из подобных ситуаций могут быть отнесены к разряду форс-мажорных , и потому связанное с ними невыполнение обязательств перед п артнерами не повлечет за собой штрафных с анкций . Некоторые , но далеко не в се . Поэтому задача руководства компании - заран ее определить ряд мероприятий , составляющих п лан восстановления бизнеса после бедствия (ил и Business Disaster Recovery, BDR), которые позволяют свести к минимум у потери информации и время простоя систе мы . На Западе наличие такого плана стало обязательным для банков ; изготовители о борудования требуют его от своих поставщиков . Достаточно заглянуть в хронику происшествий газет "Коммерсант " или "МК ", чтобы понять , что многим компаниям на собственном опыте пришлос ь осознать необходимость по добного плана . В качестве примера можно вс помнить пожар в доме 4/17 по Покровскому буль вару , от которого пострадали офисы Hewlett-Packard, Москов ского народного банка , Union Bank of Switzerland и др. По существу , восстановление би знеса после бедствий представляет собой форму ст раховки , и потому возможно тесное взаимодейст вие фирм , предоставляющих услуги в этой об ласти , со страховыми компаниями и фискальными структурами . Основу мероприятий , повышающих с тойкость системы к подобного р ода несчастьям , составляют различные формы резервир ования и мультиплексирования оборудования и к оммуникаций , принадлежащих к информационной систе ме. Резер вное копирование Одним из клю чевых моментов , обесп ечивающих восстановление системы при аварии , является резервное ко пирование рабочих программ и данных . Несмотря на очевидность этой процедуры и ее о тносительную несложность , в некоторых организация х она производится недостаточно часто или игнорируется воо б ще . Опыт показывае т : если содержимое системы копируется еженеде льно в пятницу вечером , то все неприятност и случаются в пятницу же , но в районе обеда . Резервное копирование должно сопровож даться целым рядом не менее очевидных орг анизационных мероприятий . Н о сители - ле нты или магнито-оптические диски - должны храни ться за пределами серверной комнаты . Поскольк у носитель используется многократно , нужно зн ать стандарты на число допустимых перезаписей и тесты , позволяющие определить степень е го изношенности . Шир о кий выбор уст ройств для копирования также может сыграть злую шутку с пользователями : о совместимост и этих устройств следует позаботиться до того , как одно из них выйдет из строя. Резер вирование каналов связи Лишенный связи с внешним миром и своими подразделениями , офис оказывается парализованным , и потому большое значение имеет резервирование внешних и внутренних каналов связи . Рекомендуется сочетать разные виды связи - кабельные линии и радиокан алы , воздушную и подземную прокладку коммуникаций и т.д. По мере того как компании все бол ьше и больше обращаются к Internet, их бизнес оказывается в серьезной зависимости от фун кционирования Internet-провайдера . У поставщиков доступа к Сети иногда случают ся достаточно серьезные аварии . Скажем , в США в июне 1996 г . 12 часов не работала служба Netcom Online Communications Services, в августе на 19 часов отключилась America Online, в октябр е встал на сутки один из почтовых сер веров BBN, а в ноябре четверо су т ок не получали электронную почту пользователи WorldNet. В конце 1995 г . произошло вторжение в офис локального провайдера Internet в Атланте : банди ты "содрали " с компьютеров микросхемы памяти . Очевидно , что ущерб был причинен не тол ько ограбленной компании. Сведения об ав ариях у отечественных провайдеров отсутствуют , однако они , скорее всего , не менее уязви мы , чем американские. Какие меры может предпринять пользователь ? Хранить все важные приложения во внутрен ней сети компании , поддерживать отношения с неско лькими местными провайдерами , заранее изыскать путь оповещения стратегических клие нтов об изменении электронного адреса и т ребовать от провайдера проведения мероприятий , обеспечивающих его оперативное восстановление после несчастного случая. Дубли рование , мультиплексирование и резервные офисы Помимо резервног о копирования , которое производится при возни кновении внештатной ситуации либо по заранее составленному расписанию , для большей сохран ности данных на жестких дисках применяю т специальные технологии - "зеркалирование " дисков (запись осуществляется параллельно на два диска ) и создание RAID-массивов . Последние пред ставляют собой объединение нескольких жестких дисков . При записи информация поровну распр ед е ляется между ними - кроме одног о , на который записываются так называемые "контрольные суммы ". При выходе из строя од ного из дисков находящиеся на нем данные могут быть восстановлены по содержимому остальных. Симметричные многопроцессорные модели сервер ов , получающие все большее распространение , позволяют не только увеличить производитель ность машины за счет разделения задачи ме жду несколькими процессорами , но и обеспечить ее самовосстановление при выходе из стро я одного из процессоров . Hewlett-Packard прои з водит машины , имеющие до 12 процессоров , DEC - до 14. Представители компании "ЛВС " называют фирму Sequent лидером в этой области : число процессоров в некоторых ее серверах достигает 30. Технология кластеризации предполагает , что несколько компьютеров функц ионируют как единое целое . Кластеризуют , как правило , сер веры . Один из серверов кластера может функ ционировать в режиме "горячего " резерва (не совершая транзакций ), в полной готовности пе ренять эстафету от основной машины в случ ае ее выхода из строя . Возм о жн а и параллельная обработка информации несколь кими серверами . Кластерные технологии дороги , и потому наибольшее распространение в настоящ ее время получили кластеры из двух машин . Продолжением технологии кластеризации стала географическая , или распределен н ая , кл астеризация , при которой через глобальную сет ь объединяются несколько кластерных серверов , разнесенных на большое расстояние . Конечно , пр оцесс обработки в данном случае не распар аллеливается , однако на каждом сервере распре деленного кластера отображ а ются все изменения базы данных. Распределенные кластеры примыкают к понят ию резервных офисов , ориентированных на обесп ечение жизнедеятельности предприятия при уничтож ении его центрального помещения . Условно их можно разделить на "холодные " (в которых прове дена коммуникационная разводка , но о тсутствует какое-либо оборудование ) и "горячие " (ими могут быть дублирующий вычислительный це нтр , получающий всю информацию из центральног о офиса , филиал , офис на колесах и др .). Несан кционирова нный доступ к системе Фирмы вынуждены защищать свои информационные системы не только от стихийных бедствий и сбоев аппа ратуры , но и от доступа к ним посторон них лиц . Взаимоотношения систем защиты со средствами взлома подобны вечно му соревно ванию брони и снаряда : любая система безоп асности , в принципе , может быть вскрыта . Эф фективной можно считать такую защиту , стоимос ть взлома которой соизмерима с ценностью добываемой при этом информации . По степени сложности применяемых техническ и х средств можно выделить три уровня несанкциони рованного доступа - низкий (вход в систему и получение в ней прав привилегированного пользователя ), средний (прослушивание каналов пе редачи данных ) и высокий (сканирование излучен ия ). Некоторую защиту от несан кционированн ого доступа предоставляют штатные средства пр икладного и системного программного обеспечения . Для реализации более высокого уровня защ иты необходимо использовать специальные средства шифрования и защиты информации . Особенностью рынка подобных с редств является обязательная государственная лицензия на их создание , установку и эксплуатацию . Несмотря на многочисленные критические замечания в адрес государственного контроля над информационн ыми системами независимых компаний , подобная практика находи т ся в полном соотв етствии с действующим законодательством : правоохр анительные органы по решению суда имеют п раво доступа к любым данным , содержащимся в информационных системах . Для того чтобы реально обеспечить подобный доступ , государство вынуждено ограни ч ивать распространение систем защиты и иметь в своем распор яжении ключи для дешифровки. Разработка , производство , эксплуатация или реализация шифровальных средств , предоставление услуг в области криптографии запрещены ком паниям , не имеющим лицензий Федераль ного агентства правительственной связи и информац ии (ФАПСИ ). Выдача лицензий на создание сре дств защиты данных находится в ведении Го сударственной технической комиссии (ГТК ) и ФАП СИ . Также не разрешается ввозить в Россию без соответствующей лицензии крипт о графические средства иностранного производст ва . Таким образом государство ограничивает до ступ зарубежных компаний на рынок средств обеспечения безопасности информации , который ст ановится широким полем деятельности для росси йских разработчиков. Защит а от злоумышленника Западная статист ика показывает , что , как правило , проникновению злоумышленника в информационную систему комп ании способствуют либо некорректные действия администратора сети , либо умышленная и ли неумышленная помощь со стороны сотрудников . Причем в качестве предателя интересов ко мпании в подавляющем большинстве случаев выст упает ни кто иной , как представитель высше го эшелона власти . Последнее вполне объяснимо : топ-менеджер имеет широкий доступ к информации , понимает ее ценность и обладает достаточным кругом общения , для того чтобы ее продать . Подтверждается старинная русская пословица "От своего вора не уб ережешься ". Противодействовать утечке информации ч ерез такие каналы позволяют , в первую оче р едь , организационно-режимные мероприятия (в том числе ограничение доступа к ин формации ), о которых будет сказано ниже. Что же касается устойчивости к нападе ниям извне , то , согласно "Оранжевой книге " М инистерства обороны США , программное обеспечение может о тноситься к одному из сле дующих классов : класс D - защита отсутствует , пользователь и меет неограниченный доступ ко всем ресурсам . К этому классу относятся операционные си стемы типа MS-DOS; класс C, наиболее популярный подкл асс - C2. Доступ с паролем и имен ем . П ри работе с базой данных класса С пол ьзователь , получив доступ к той или иной таблице базы , получает и доступ ко вс ем имеющимся в ней данным . К этому кла ссу относится большинство сетевых операционных систем ; класс B, наиболее употребительный подклас с - B1. Базы данных класса В позволя ют дифференцировать доступ к данным для р азных пользователей даже внутри одной таблицы . Улучшенные с точки зрения безопасности р еализации стандартных операционных систем произв одят многие фирмы (DEC, Hewlett-Packard, Sant a Cruz Operations, Sun); класс А - наиболее защищенные операционные системы , которые российские системные интеграторы ре комендуют использовать только при построении сетевой защиты от внешнего мира (создании брандмауэра ). Надо заметить , что вероятность неса нкционированного входа в систему возраста ет при ее перегрузках , которые возникают , например , при массовом подключении к ней п ользователей (в начале рабочего дня ). Хакеры иногда создают сходную ситуацию , направляя в систему поток сообщений , которые она не в состоянии корректно обработать . В результате создается открытый канал , через который возможен несанкционированный доступ . Таким образом , наличие брандмауэра как средст ва , предоставляющего более высокую степень за щиты , оказывается вполне оправданным . На ф о не массового подключения к Internet бра ндмауэры начали устанавливать и российские ко мпании . По оценкам специалистов компании "ЛВС ", в России пользуются спросом сравнительно недорогие машины (стоимостью около 5 тыс . дол .) с операционной системой UNIX, серт и ф ицированной по классу С 2. СУБД также предоставляют определенный уро вень защиты , позволяя разграничить доступ к данным для разных категорий пользователей . Во-первых , информацию , доступную разным классам пользователей , можно хранить в разных табли цах . Во-вт орых , содержащуюся в таблице информацию пользователь может получать через некоторое промежуточное представление , или вид , охватывающий лишь определенную часть таблицы (скажем , три колонки из пяти ). В-третьих , можно ограничить права на выполнение отдел ьных модулей , время использования цент рального процессора , число физических считываний с диска за определенный промежуток време ни . Таким образом , возможны ситуации , когда любой запрос пользователя обрабатывается , но очень медленно. Серверы обладают различными в строенны ми средствами защиты - защитой от выключения питания ; двухуровневой системой паролей (для пользователя и системного администратора ), реал изованной средствами BIOS; паролями на съемные ко мпоненты (диски ); блокировкой клавиатуры ; гашением монитора. О днако сами по себе оборудование и ПО не в состоянии обеспечить защит у данных . Система безопасности должна быть грамотно настроена , что обуславливает особые требования к квалификации системного администр атора . Конфигурирование операционной системы клас са С 2 представляет собой сложную задачу . Кроме того , технические меры необход имо дополнять рядом организационно-режимных мероп риятий : ограничением доступа на предприятие и в различные его подразделения ; выделением специальных устройств для работы с секретн ой и н формацией (человек , имеющий д оступ к закрытой информации , не сможет выв одить свои данные на сетевой принтер ); рег улярной сменой паролей и наложением администр ативных санкций за их разглашение или ухо д с рабочего места без выхода из сист емы ; запретом на ис п ользование в качестве паролей имен , фамилий и других легко угадываемых слов. Большое значение для безопасности информа ционной системы имеют такие акции системного администратора , как своевременное обновление программного обеспечения . Как правило , при вых од е новой версии немедленно становится общедоступной информация об ошибках предыдущей (в том числе о недостатках системы за щиты ). Если обновление не было вовремя про изведено , вероятность взлома системы многократно возрастает . Впрочем , иногда возникают и п ро т ивоположные ситуации . В качестве примера можно упомянуть операционную систему Microsoft Windows NT 3.5, которая сертифицирована по стандарту бе зопасности С 2. Однако следующая версия , Windows NT 3.51, ни по какому стандарту безопасности не серт ифицирована. Следовательно , системный админ истратор , сменивший 3.5 на старшую 3.51, взял на себя ответственность за безопасность бизнеса фирмы . Только сообщить об этом руководству он , скорее всего , забыл. При соблюдении всех правил конфигурирован ия программного обеспеч ения и проведения административных мероприятий вероятность несанк ционированного доступа к информации значительно снижается . Штатные возможности программного обеспечения могут быть дополнены рядом технич еских средств (смарт-картами , магнитными ключами , исп о льзованием интеллектуального обору дования , например концентраторов с защитой на порт , структуризацией локальной сети с ог раничением прав доступа к ее отдельным се гментам ) и специальными программами мониторинга и защиты сетей . В частности , фирма "АйТи " рек о мендует своим клиентам прогр амму SecretNet производства российской компании "ИнформЗа щита ". Защит а данных от перехвата С помощью вы шеперечисленных способов защиты можно предотврат ить несанкционированное о бращение к прило жению или базе данных . Но информация , как известно , передается по сети ; прослушивая канал связи , ее удается перехватить . ФАПСИ разделяет коммуникации на три класса . Первы й охватывает локальные сети , расположенные в так называемой "зоне без о пасности " (территории с ограниченным доступом и за экранированным электронным оборудованием и комму никационными линиями ) и не имеющие выходов в каналы связи за ее пределами . Ко второму классу относятся каналы связи вне "зоны безопасности ", защищенные орган и зационно-техническими мерами (например , оптовол оконный кабель ), а к третьему - незащищенные каналы связи общего пользования . Применение коммуникаций второго класса значительно снижае т вероятность перехвата данных. Для защиты информации во внешнем кана ле св язи используются следующие устройств а : скремблеры (при защите речевой информации , передаваемой по обычным телефонным каналам связи в режиме точка-точка ), шифраторы /дешиф раторы (для широковещательной связи ) и криптог рафические средства , обеспечивающие шифр о вание передаваемого пакета . Однако их применение сопряжено с получением лицензий , ч то не всегда удается организовать оперативно . Поэтому интеграторы используют открытые для свободной эксплуатации средства , затрудняющие интерпретацию перехваченного пакета. На пример , компания "ЛВС " предлагает туннелировать данные из одного сетевого протокола в другой. Столь изощренные способы проникновения в информационную систему , как контроль излучен ия монитора , в России маловероятны , поскольку требуют оснащения на уровне т ехничес кой разведки . Вероятно , российские корпоративные сети еще не хранят столь ценную информ ацию , чтобы заинтересовать подобные структуры. Защита информационной системы представляет собой комплекс дорогих технических средств и организационных мероприятий . По оценкам фирмы "АйТи ", некоторые банки тратят на обеспечение сохранности информации до 30% стоимос ти всей компьютерной системы . В эту сумму не входят расходы на повышение квалифика ции системного администратора или менеджера п о безопасности , во многом и опреде ляющей надежность системы защиты . Разнообразные учебные центры предлагают достаточно длинный список курсов по администрированию тех или иных средств . Авторы затрудняются выделить среди них учебный цикл , в котором акцен т делается на выбор , конфигури р ова ние и управление средствами безопасности . Тем большее значение имеет взаимодействие заказч ика с системным интегратором с целью обуч ения и последующего консультирования его перс онала. Человеческий фактор и безопасн ость Техническое развитие человечества сопровождается передачей человеку все больше го числа управляющих функций , позволяя ему все больше отдаляться от орудий труда и превращаться из исполняющего в управляющий орган системы производст ва . Такая тра нсформация роли человека приводит к замене физического труда умственным , снижая необходимо сть мышечной работы и соответствующих энергоз атрат . Однако при этом значительно возрастает нагрузка на психику человека , которому пр иходится решать зада ч и оценки и прогнозирования эффективности работы оборудования и других людей , надежного взаимодействия с различными элементами социотехнической системы — производственного механизма . Согласно ста тистике , более половины аварий в социотехниче ских системах (в авиации до 90% проис шествий ) связаны с человеческим фактором — из-за возрастания концентрации управляемой мощн ости в руках одного человека. n грамотное обеспечение э ргономических требований увеличивает производительно сть на 100%. n хорошее освещение раб очего места увеличивает производительность труда на 20%. n снижение шума до ги гиенических норм повышает производительность тру да на 40-50%, а продуманное введение музыки — на 12-14%. n оптимальная окраска пом ещений и оборудования повышает производитель ность на 25% и снижает непроизводительные потери рабочего времени на 32%. Аварии приводят к значительным человеческим и эко номическим потерям . Однако не только такие "фатально-летальные " события сопровождают технически й прогресс информационного общества . "Тихи е " события , происходящие в банках , управленческ их офисах , могут приводить к катастрофам и глобального масштаба , так как информационное пространство уже не локализовано в одном помещении , одном учреждении и даже одной стране . "Утечка " конфиденциальной инфор мации о деятельности предприятия (целенаправленна я или непроизвольная ) либо уход ведущих сп ециалистов могут небольшую компанию привести к гибели. Униве рсальные черты корпоративной культуры безопаснос ти n личное осознание важности безопасности ; n знания и компетентность , обеспечиваемые подготовкой и инструкциями д ля персонала , а также его самоподготовкой ; n приверженность приоритетам безопасности , демонстрируемая на уровне стар ших руководителей ; понимание общих целей безопасности каждым из работников ; n усиление мотивации путе м использования админметодов (постановка целей , создание системы поощрений и наказаний , а также формирование у персонала личной по зиции по отношению к безопасности корпор ации ); n надзор (практика ревизий и экспертиз ); n готовность реагировать на критику , независимо от иерархического уров ня ; n ответственность персонала , вырабатываемая через формальное установление и описание должностных обязанностей и понимани е их раб отниками . Безопасность персонала Безопасность отдельного человека и коллектива становится функцией психофизиол огического соответствия человека требованиям про фессии . На бытовом уровне работа специалис та управленческой сферы кажется легкой и общедоступной . Все понимают , что носить пятипудовые мешки по силам далеко не к аждому . К сожалению , не всем известно , что работать с интенсивными потоками информации также могут не все люди , а во мно гих случаях попы т ка справиться с такой "легкой " задачей приводит к невроти зации личности и к таким заболеваниям , как гипертония , язва желудка и двенадцатиперстно й кишки , инфаркты , инсульты и т.п . Прогнозир ование потенциального нарушения здоровья и бе зопасности человека по з воляет избежат ь ненужных потерь времени и средств на освоение профессии и поддержание ее на необходимом уровне. Опыт использования системы показал , что негативное (настороженное ) на первых порах о тношение пользователей через некоторое время сменилось не то лько доверием к резуль татам тестирования , но и потребностью в еж едневном использовании системы . Правда , по име ющимся данным наблюдения за группой из 89 п ользователей , интерес к использованию системы оказался прямо пропорционален стремлению к д остижению вы с оких профессиональных ре зультатов . Так , на одном из первых предпри ятий , начавших работать с системой , 15 из 36 че ловек продолжали работать через год , причем пять из них вскоре перешли на более высокие должности . На трех других предприят иях активно начали п ользоваться еже дневным тестированием около 20% персонала , причем , по оценкам экспертов , практически все они относились к группе наиболее квалифицированных сотрудни ков. Вопросами профес сионального отбора людей для выполнения опред еленных социотехнических задач человечество нача ло уделять внимание еще 2 тыс . лет тому назад . К настоящему времени систему индивидуальн ого психофизиологического мониторинга умственной работоспособности человека , разра ботанную пер воначально для операторов предприятий энергетики и авиакосмической отрасли , используют более 200 зарегистрированных пользователей. Человеческий фактор В повседневной жизни при в сей индивиду альности восприятия наши оцен ки совпадают в большинстве случаев с таки ми же оценками других людей . Совершенно ес тественно , что такие обобщения требований к предметной среде и ее оптимизации со в ременем привели человечество к выработке неки х обобщенных кри т ериев и требован ий , ставших основой науки о труде — э ргономики ("эргос " — труд , "номос " — закон ), более известной в предыдущие десятилетия в англоязычных странах как "человеческий фа ктор " (human factors). В связи с изменением характера труда в ХХ веке и те нденцией перехода от физического к умственному труду сегод ня эргономику (или человеческий фактор ) можно определить как интерфейс человека с техн ическими средствами и окружающей средой , прич ем он имеет огромный потенциал для соверш енствования здоровья , без о пасности и комфорта как самого человека , так и с истем производства . Это мнение одного из в едущих и общепризнанных авторитетов мировой э ргономики Х . Хендрика (США ) разделяет большинст во других специалистов . Но почему в таком случае крупные организации , с и х большой заинтересованностью в увеличении доходов , уменьшении расходов и росте произв одительности не ломятся к эргономистам за помощью или не создают условия для раз вития эргономики за пределами ее сегодняшних возможностей ? Почему соответствующие ветви г о с ударственной власти не развивают законодательство , относящееся к человеческому ф актору /эргономике ? Почему и государственные м ужи , и руководители предприятий на эргономику чаще смотрят как на дополнительный груз расходов и увеличение затрат производства ? П о мнению Х . Хендрика , существуют , по крайней мере , четыре причины такого положения дел. Во-первых , некоторые из этих ин дивидуумов и организаций столкнулись с плохой эргономикой , или "эргономикой колдовства ", — как в форме продуктов , так и рабочих сред , долж енствующих быть разработанными именно в эргономическом плане , однако это го не произошло ; иные же эргономические ра зработки просто были выполнены некомпетентными лицами. Другая хорошо известная нам прич ина состоит в том , что "каждый сам себе голова ". Каждый "управляет " системами еже дневно (автомобилем , компьютером , ТВ , социумом ). Это порождает иллюзию знания человеческого фа ктора , хотя в действительности является не более чем обывательским "здравым смыслом ". Д аже опытные эргономисты имеют собственный спи сок так называемых решений "здравого смысла ", которые закончились серьезными происше ствиями , авариями или экономическим ущербом , — как результат несоответствия такого "здрав ого смысла " реалиям жизни. В-третьих , мы иногда полагаем , что мене джеры активно поддерж ат эргономику просто потому , что "это — правильно ". На само м же деле , западным менеджерам (у нас , к сожалению , даже до этого пока не дош ло ) необходимо как бы резервировать возможнос ть "оправдания своего вклада " в обеспечение конкурентоспособности и выжива е мости организации либо использовать эргономику в качестве "эвристического поиска какого-нибудь в ыхода из сложной ситуации ". Но эргономика не является панацеей от всех бед и до статочным основанием для "массированных " нововведе ний . Любое решение должно осно в ыва ться на реальной оценке ситуации Способы принятия ре шений Рутинный Руководитель ведет себя в соответствии с имеющейся программой . Его задача — р аспознавание ситуации и разрешение ее по готовой прогр амме . Такие ситуации должны быть предсказуемыми . Функция руководителя за ключается в том , чтобы "почувствовать ", идентифи цировать ситуацию , а затем взять на себя ответственность за начало определенных дейст вий. Для успешного решения проблем руководител ь дол жен обладать не только способнос тью "чувствовать " ситуацию , но и уметь трак товать имеющуюся программу действий в соответ ствии со сложившимися условиями , проявлять ре шительность в обеспечении эффективных действий в нужное время , действовать логично . На это м уровне не требуется творческог о подхода , поскольку все процедуры заранее предписаны. Cелективный Для этого уровня необходимы инициатива и свобода действий , однако в определенных границах . Здесь руководитель оценивает достоинс тва целого круга возможых реш ений и старается выбрать из некоторого числа хоро шо отработанных альтернативных наборов действий те , которые лучше всего подходят к да нной проблеме . Для такого рода решений нео бходимо обладать умением выбирать направление действий с максимальной вероятнос т ью их приемлемости , экономичности и эффективн ости. Aдаптационный На этом уровне встречаются дополнительные трудности , поскольку необходимо найти творче ское решение , которое (в определенном смысле ) может быть абсолютно новым. Обычно здесь имеются наборы пр ове ренных возможностей и некоторые новые идеи . Успех руководителя в решении этого типа проблем будет зависеть от его личной и нициативности и способности сделать "прорыв в неизвестное ". Подобные решения дают ответ на проблемы , которые могли существовать и р анее , но в иной конкретной фо рме . Иначе говоря , руководитель ищет новое решение известной проблемы. Инновационный Проблемы этого типа наиболее сложны , в едь они требуют особых способностей . Для и х решения нужен принципиально новый подход . Зачастую такой пр облемой может быть та , которую плохо поняли ранее , и для ее решения необходимы абсолютно новые пред ставления и методы . Могут возникать и друг ие препятствия , преодоление которых потребует создания новой отрасли науки.
1Архитектура и строительство
2Астрономия, авиация, космонавтика
 
3Безопасность жизнедеятельности
4Биология
 
5Военная кафедра, гражданская оборона
 
6География, экономическая география
7Геология и геодезия
8Государственное регулирование и налоги
 
9Естествознание
 
10Журналистика
 
11Законодательство и право
12Адвокатура
13Административное право
14Арбитражное процессуальное право
15Банковское право
16Государство и право
17Гражданское право и процесс
18Жилищное право
19Законодательство зарубежных стран
20Земельное право
21Конституционное право
22Конституционное право зарубежных стран
23Международное право
24Муниципальное право
25Налоговое право
26Римское право
27Семейное право
28Таможенное право
29Трудовое право
30Уголовное право и процесс
31Финансовое право
32Хозяйственное право
33Экологическое право
34Юриспруденция
 
35Иностранные языки
36Информатика, информационные технологии
37Базы данных
38Компьютерные сети
39Программирование
40Искусство и культура
41Краеведение
42Культурология
43Музыка
44История
45Биографии
46Историческая личность
47Литература
 
48Маркетинг и реклама
49Математика
50Медицина и здоровье
51Менеджмент
52Антикризисное управление
53Делопроизводство и документооборот
54Логистика
 
55Педагогика
56Политология
57Правоохранительные органы
58Криминалистика и криминология
59Прочее
60Психология
61Юридическая психология
 
62Радиоэлектроника
63Религия
 
64Сельское хозяйство и землепользование
65Социология
66Страхование
 
67Технологии
68Материаловедение
69Машиностроение
70Металлургия
71Транспорт
72Туризм
 
73Физика
74Физкультура и спорт
75Философия
 
76Химия
 
77Экология, охрана природы
78Экономика и финансы
79Анализ хозяйственной деятельности
80Банковское дело и кредитование
81Биржевое дело
82Бухгалтерский учет и аудит
83История экономических учений
84Международные отношения
85Предпринимательство, бизнес, микроэкономика
86Финансы
87Ценные бумаги и фондовый рынок
88Экономика предприятия
89Экономико-математическое моделирование
90Экономическая теория

 Анекдоты - это почти как рефераты, только короткие и смешные Следующий
- Дайте самую красивую розу.
- Девушке?
- У тещи день рождения.
- А что так скромно?
- Действительно. Дайте две.
Anekdot.ru

Узнайте стоимость курсовой, диплома, реферата на заказ.

Обратите внимание, реферат по программированию "Введение в информационную безопасность", также как и все другие рефераты, курсовые, дипломные и другие работы вы можете скачать бесплатно.

Смотрите также:


Банк рефератов - РефератБанк.ру
© РефератБанк, 2002 - 2016
Рейтинг@Mail.ru