Защита образовательной информации в условиях сетевого обучения.
В условиях, когда всё большая часть информации переводится в электронную форму, в этой форме хранится, обрабатывается и передаётся, особое значение приобретают вопросы обеспечения целостности, сохранности и безопасности информации. Ввиду глобальной коммуникабельности мир стал очень тесен, а следовательно, информационно опасен. Специальная правительственная комиссия США по компьютерной безопасности еще в 1994 году назвала угрозу информационного противоборства "главным вызовом безопасности в этом десятилетии, а возможно, и в следующем столетии".
Опыт показывает, что практически каждый компьютер, подключенный к глобальной сети Интернет, несколько раз в неделю сканируется, зондируется и всячески прощупывается на предмет поиска наиболее слабых мест в системе защиты как специальными службами, так и хакерами-любителями.
В феврале 2000 года сразу три крупных американских университета оказались невольными сообщниками хакеров, атаковавших их основные Web-сайты. Хакеры наводнили эти сайты посланиями из сети Интернет, которые вывели главные компьютеры-серверы из строя и сделали невозможным доступ к ним другим пользователям.
Под защитой информации понимается обеспечение:
- конфиденциальности - невозможности открытия информации посторонними лицами;
- аутентификации - гарантированной идентификации (определения происхождения, опознания) источника информации;
- целостности - невозможности уничтожить, подменить, повторить информацию;
- неотказуемости - невозможности для посылающей стороны отказаться от факта создания и передачи информации.
Под безопасностью информации понимают такое состояние хранимых, обрабатываемых и передаваемых данных, при котором невозможно их случайное или преднамеренное получение, изменение или уничтожение. Остроте проблемы обеспечения безопасности способствуют как общий прогресс информационных технологий, так и постоянное противоборство нападающих и защищающихся.
Безопасность информации может быть нарушена в результате:
- случайных воздействий природной среды (урагана, землетрясения, пожара, наводнения и т. п.);
- целенаправленных воздействий нарушителя (шпионажа, разрушения компонентов информационной системы и т. д.);
- внутренних возмущающих факторов (отказов аппаратуры, ошибок в программном обеспечении, недостаточной подготовки персонала и т. д.).
Создание образовательной среды, техническим ядром которой является корпоративная сеть, требует и создания системы обеспечения безопасности, так как:
- корпоративная сеть имеет несколько территориально разнесенных частей, связи между которыми могут находиться в ведении внешнего поставщика сетевых услуг, выходя за пределы контролируемой зоны;
- корпоративная сеть может иметь одно или несколько подключений к глобальной сети Интернет;
- в каждой из частей корпоративной сети могут находиться критически важные серверы, в доступе к которым нуждаются работники, базирующиеся в других частях, мобильные работники и, возможно, сотрудники сторонних организаций и другие внешние пользователи;
- для доступа пользователей могут применяться потребительские устройства, использующие, в частности, беспроводную связь;
- в течение сеанса работы пользователю приходится обращаться к нескольким информационным сервисам, опирающимся на разные аппаратно-программные платформы;
- к доступности информационных сервисов предъявляются жесткие требования, обычно выражающиеся в необходимости круглосуточного функционирования;
- информационная система представляет собой сеть с активными агентами, то есть в процессе работы программные компоненты, такие как аплеты или сервлеты, передаются с одной машины на другую и выполняются в целевой среде, поддерживая связь с удаленными компонентами;
- не все пользовательские системы полностью могут контролироваться администраторами организации;
- конфигурация информационной системы постоянно изменяется (меняется состав пользователей, их привилегии, версии программ, появляются новые сервисы, новая аппаратура и т. п.);
- сеть имеет разделяемые (общие) ресурсы, доступ к которым может быть сравнительно легко получен с любого устройства, подключенного к сети;
- выявлено немало погрешностей в системе безопасности основной сетевой операционной системы Windows NT, включая ее обновленные версии.
Проблему обеспечения безопасности информации рассматривают с точки зрения принципа системности. Данный принцип требует, чтобы обеспечение безопасности информации представляло собой регулярный процесс, осуществляемый на всех этапах жизненного цикла средств информационных технологий при комплексном использовании всех средств и механизмов защиты. При этом все средства и механизмы, используемые для защиты информации, объединяются в систему обеспечения безопасности, которая должна обеспечивать многоуровневую защиту информации не только от злоумышленников, но и от пользователей и обслуживающего персонала.
Система защиты информации - это совокупность технических, программных средств и целенаправленных мероприятий по обеспечению безопасности информации. Хорошо продуманная, системно построенная и досконально соблюдаемая политика защиты позволяет избежать появления трещин в фундаменте корпоративной сети, избежать потери или утраты информации вследствие несанкционированного доступа. Система должна быть защищена от ошибок и даже злонамеренных действий её операторов, удобна в эксплуатации и, по возможности, "прозрачна" для конечного пользователя.
К системам защиты информации и ее элементам предъявляют требования:
1) надёжность; система защиты должна надежно обеспечить безопасность информации на протяжении заданного времени;
2) стойкость; способность системы защиты противостоять специально организованным вторжениям извне, сохраняя при этом свою работоспособность;
3) экономичность; создание и эксплуатация системы защиты должны осуществляться с минимальным расходом материальных и сетевых ресурсов;
4) удобство для пользователей (принцип невидимости защиты); механизмы защиты информации не должны создавать дополнительные трудности законным пользователям сети;
5) невозможность миновать защитные средства; обеспечение закрытия по возможности всех обходных путей в действующей системе защиты;
6) усиление самого слабого звена; в цепи обеспечения безопасности действуют те же правила, что и в жизни - "где тонко, там и рвётся"; "устойчивость всей системы защиты равна устойчивости её слабейшего звена";
7) минимизация привилегий; каждому пользователю предоставляются только действительно необходимые ему права по доступу к ресурсам системы;
8) невозможности перехода в небезопасное состояние; это означает, что при любых обстоятельствах, в том числе нештатных, защитное средство либо полностью выполняет свои функции, либо полностью блокирует доступ;
9) полнота контроля (принцип равнопрочности границ); должен осуществляться полный контроль при каждом обращении к каждому ресурсу;
10) распределение полномочий (принцип глубокоэшелонированной обороны); каждая важная операция должна разрешаться при соблюдении только двух или более условий;
11) централизованное управление системой (см. ниже);
12) наказуемость нарушений; должны быть предусмотрены "наказания" за нарушения (например, блокировка терминала при вводе пароля больше разрешенного числа раз).
Система защиты информации включает методы и средства. Совокупность методов защиты информации подразделяется на две категории: организационные и технические. Как правило, в чистом виде ни один из методов не используется, а конкретные решения по безопасности строятся на их сочетании.