Предлагаемые средства защиты БД, в первую очередь, типом инструмента СУБД. Но эти отличия не столь значительны, поэтому можно средства защиты БД условно разделить на две группы: • Основные; • Дополнительные. К основным средствам защиты информации БД можно отнести следующие средства: • Парольная защита; • Шифрование данных и программ; • Установление прав доступа к оболочке БД; • Защита полей и записей таблиц БД. Парольная защита представляет собой простой и эффективный способ защиты БД от несанкционированного доступа. Пароли устанавливаются администраторами БД. Пароли должны быть достаточно длинными, нестандартными и регулярно меняться. Учет и хранение паролей должно производиться самой СУБД. Причем, пароли должны храниться в определенных системных файлах СУБД в зашифрованном виде. Поэтому просто найти и определить пароль невозможно. После ввода пароля СУБД представляет пользователю все допустимые для данного пользователя возможности по работе с фалами БД. Однако будущее не за паролями, как за средствами защиты БД, а за технологическим управление идентификацией, основанной на радиометках, биометрии, смарт-картах, когда каждый сотрудник с помощью одной лишь карты сможет получить доступ к своей ЭВМ или ИТ-ресурсам. Шифрование БД (всей базы или отдельных таблиц) применяется для того, чтобы другие программы, знающие формат файлов БД конкретной СУБД, не смогли прочитать данных. Шифрование исходных текстов программ позволяет скрыть от злоумышленников описание соответствующих алгоритмов. В целях контроля использования основных ресурсов БД предлагаются средства установления прав доступа к объектам БД. Права доступа определяют основные возможные действия над объектом. Владелец объекта – это сотрудник (пользователь), а также администратор БД, изменяет ее права. Основные пользователи должны иметь к разным объектам различные уровни доступа. По отношению к таблицам предусмотрены следующие права доступа: • Просмотр (чтение) данных; • Изменение (редактирование ) данных; • Добавление новых записей; • Удаление данных; • Все операции, в том числе изменение структуры таблицы. К данным, имеющимся в таблицах, могут применяться меры защиты по отдельным полям и отдельным записям. Контроль прав доступа должен быть в объектно-ориентированных СУБД, в которых есть идентификация отдельных записей (одно из отличий объектно-ориентированной модели от реляционной). Применительно к защите данных в полях таблиц можно выделить следующие уровни прав доступа: • Полный запрет доступа; • Только чтение; • Разрешение всех операций (чтение, удаление, редактирование). Для исключения просмотра и модификации (случайно и преднамеренной) программ, используемых в приложении СУБД, может применяться их парольная защита.
Введение 4 1 Программно-техническая среда КС компании ООО «Ромашка» 6 1.1 Схема программной и технической архитектур информационной системы 6 1.2 Анализ рисков и угроз информационной безопасности 13 1.2.1 Идентификация и оценка информационных активов 13 1.2.2 Оценка уязвимостей активов 20 1.2.3 Оценка угроз активам 27 1.3 Требования, предъявляемые к системе защиты информации компании 34 2 Механизмы защиты баз данных с использованием современных средств 39 3 Описание применения выбранных мер защиты 48 3.1 Средства защиты СУБД 48 3.2 Выбор инженерно-технических средств 53 3.3 Выбор программных средств 57 4 Безопасность жизнедеятельности 68 4.1 Анализ потенциально опасных и вредных факторов, воздействующих на оператора системы безопасности. 68 4.2 Разработка мероприятий производственной санитарии и безопасности жизнедеятельности пользователя 69 4.3 Расчёт освещённости рабочего места пользователя 72 4.4 Меры противопожарной безопасности 80 Заключение 84 Список использованной литературы 85 Приложение 1. Общие положения политики информационной безопасности 88 Приложение2. Регламент использования ИС 94 Приложение 3. Регламент резервного копирования данных 99 Приложение 4. Инструкция по организации антивирусной защиты 104
1. Автоматизированные информационные технологии в экономике: Учебник / Под ред. проф. Г.А. Титоренко. - М.: ЮНИТИ, 2005 г.- 399 с. 2. Бабурин А.В., Чайкина Е.А., Воробьева Е.И. Физические основы защиты информации от технических средств разведки: Учеб. пособие. Воронеж: Воронеж. гос. техн. ун-т, 2006.-193 с. 3. Бузов Г.А., Калинин СВ., Кондратьев А.В. Защита от утечки информации по техническим каналам: Учебное пособие.- М.- Горячая линия-Телеком.-2005.-416 с. 4. Волокитин А.В., Маношкин А.П., Солдатенков А.В., Савченко С.А., Петров Ю.А. Информационная безопасность государственных организаций и коммерческих фирм. Справочное пособие (под общей редакцией Реймана Л.Д.) М.: НТЦ «ФИОРД-ИНФО», 2002г.-272с. 5. Домарев В.В. "Безопасность информационных технологий. Системный подход" - К.:ООО ТИД «Диасофт», 2004.-992 с. 6. Казарин О.В. Безопасность программного обеспечения компьютерных систем, Москва, МГУЛ, 2003, 212 с. 7. Карпунин М.Г., Моисеева Н.К. «Основы теории и практики функционально-i стоимостного анализа». — М. Высшая школа, 1988. 8. Кнорринг Г.М. Справочная книга для проектирования электрического освещения / Г.М.Кнорринг, И.М.Фадин, Сидоров В.Н. — 2-е изд., перераб. и доп. — СПб.: Энергоатомиздат, 1992 .— 448с. 9. Кульгин М. В.,Технология корпоративных сетей. Энциклопедия. СПб, Питер, 2001, 300 с. 10. Лапонина О. Р., Межсетевое экранирование, Бином, 2007 г.-354с. 11. Лебедь С. В., Межсетевое экранирование: Теория и практика защиты внешнего периметра, Издательство Московского технического университета им. Баумана, 2002 г, 304 с. 12. Малюк А.А. Информационная безопасность: концептуальные и методологические основы защиты информации. Учеб. Пособие для вузов.- М.: Горячая линия-Телеком. -2004.-280 с. 13. Малюк А.А., Пазизин СВ., Погожин Н.С. Введение в защиту информации в автоматизированных системах: Учебное пособие для вузов. -2-е изд.-М.: Горячая линия-Телеком.-2004.- 147 с. Моисеева Н.К. «Практикум по проведению функционально Олифер В.Г., Олифер Н.А. ,Компьютерные сети. Принципы, тех-нологии, протоколы, 2-е изд, СПб, Питер-пресс, 2002 год, 465 с. 14. Петраков А.В. Основы практической защиты информации. 3-е изд. Учебное пособие-М.: Радио и связь, 2001г.-368с. 15. Руководящий документ Ростехкомиссии РФ «Средства вычислительной техники. межсетевые экраны.защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» 16. Скиба В. Ю., Курбатов В. А. Руководство по защите от внутренних угроз информационной безопасности, СпБ, Питер, 2008 г.- 320 с. 17. Стандарт ЦБ РФ "Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения", (принят и введен в действие распоряжением ЦБ РФ от 18 ноября 2004 г. N Р-609). 18. Федеральный закон Российской Федерации № 152-ФЗ «О персональных данных» от 27 июля 2006 года 19. Хорев А.А. Защита информации от утечки по техническим каналам. Часть 1. Технические каналы утечки информации. Учебное пособие. М.: Гостехкомиссия России, 1998. - 320 с. 20. Хорошко В.А., Чекатков А.А. Методы и средства защиты информации(под редакцией Ковтанюка) К.: Издательство Юниор, 2003г.-504с. 21. Щеглов А.Ю., Защита компьютерной информации от несанкционированного доступа: Изд. «Наука и техника», 2004, 384 с 22. Яковлев В.В., Корниенко А.А. Информационная безопасность и защита информации в корпоративных сетях железнодорожного транспорта, Издательство: Маршрут, 2002 год- 327 с. Ярочкин В.И. Информационная безопасность. Учебное пособие,. — М.: Междунар. отношения, 2000. — 400 с.: ил.