Защита образовательной информации в условиях сетевого обучения.

В условиях, когда всё большая часть информации переводится в электронную форму, в этой форме хранится, обрабатывается и передаётся, особое значение приобретают вопросы обеспечения целостности, сохранности и безопасности информации. Ввиду глобальной коммуникабельности мир стал очень тесен, а следовательно, информационно опасен. Специальная правительственная комиссия США по компьютерной безопасности еще в 1994 году назвала угрозу информационного противоборства "главным вызовом безопасности в этом десятилетии, а возможно, и в следующем столетии".

Опыт показывает, что практически каждый компьютер, подключенный к глобальной сети Интернет, несколько раз в неделю сканируется, зондируется и всячески прощупывается на предмет поиска наиболее слабых мест в системе защиты как специальными службами, так и хакерами-любителями.

В феврале 2000 года сразу три крупных американских университета оказались невольными сообщниками хакеров, атаковавших их основные Web-сайты. Хакеры наводнили эти сайты посланиями из сети Интернет, которые вывели главные компьютеры-серверы из строя и сделали невозможным доступ к ним другим пользователям.

Под защитой информации понимается обеспечение:

• конфиденциальности - невозможности открытия информации посторонними лицами;
• аутентификации - гарантированной идентификации (определения происхождения, опознания) источника информации;
• целостности - невозможности уничтожить, подменить, повторить информацию;
• неотказуемости - невозможности для посылающей стороны отказаться от факта создания и передачи информации.

Под безопасностью информации понимают такое состояние хранимых, обрабатываемых и передаваемых данных, при котором невозможно их случайное или преднамеренное получение, изменение или уничтожение. Остроте проблемы обеспечения безопасности способствуют как общий прогресс информационных технологий, так и постоянное противоборство нападающих и защищающихся.

Безопасность информации может быть нарушена в результате:

• случайных воздействий природной среды (урагана, землетрясения, пожара, наводнения и т. п.);
• целенаправленных воздействий нарушителя (шпионажа, разрушения компонентов информационной системы и т. д.);
• внутренних возмущающих факторов (отказов аппаратуры, ошибок в программном обеспечении, недостаточной подготовки персонала и т. д.).

Создание образовательной среды, техническим ядром которой является корпоративная сеть, требует и создания системы обеспечения безопасности, так как:

• корпоративная сеть имеет несколько территориально разнесенных частей, связи между которыми могут находиться в ведении внешнего поставщика сетевых услуг, выходя за пределы контролируемой зоны;
• корпоративная сеть может иметь одно или несколько подключений к глобальной сети Интернет;
• в каждой из частей корпоративной сети могут находиться критически важные серверы, в доступе к которым нуждаются работники, базирующиеся в других частях, мобильные работники и, возможно, сотрудники сторонних организаций и другие внешние пользователи;
• для доступа пользователей могут применяться потребительские устройства, использующие, в частности, беспроводную связь;
• в течение сеанса работы пользователю приходится обращаться к нескольким информационным сервисам, опирающимся на разные аппаратно-программные платформы;
• к доступности информационных сервисов предъявляются жесткие требования, обычно выражающиеся в необходимости круглосуточного функционирования;
• информационная система представляет собой сеть с активными агентами, то есть в процессе работы программные компоненты, такие как аплеты или сервлеты, передаются с одной машины на другую и выполняются в целевой среде, поддерживая связь с удаленными компонентами;
• не все пользовательские системы полностью могут контролироваться администраторами организации;
• конфигурация информационной системы постоянно изменяется (меняется состав пользователей, их привилегии, версии программ, появляются новые сервисы, новая аппаратура и т. п.);
• сеть имеет разделяемые (общие) ресурсы, доступ к которым может быть сравнительно легко получен с любого устройства, подключенного к сети;
• выявлено немало погрешностей в системе безопасности основной сетевой операционной системы Windows NT, включая ее обновленные версии.

Проблему обеспечения безопасности информации рассматривают с точки зрения принципа системности. Данный принцип требует, чтобы обеспечение безопасности информации представляло собой регулярный процесс, осуществляемый на всех этапах жизненного цикла средств информационных технологий при комплексном использовании всех средств и механизмов защиты. При этом все средства и механизмы, используемые для защиты информации, объединяются в систему обеспечения безопасности, которая должна обеспечивать многоуровневую защиту информации не только от злоумышленников, но и от пользователей и обслуживающего персонала.

Система защиты информации - это совокупность технических, программных средств и целенаправленных мероприятий по обеспечению безопасности информации. Хорошо продуманная, системно построенная и досконально соблюдаемая политика защиты позволяет избежать появления трещин в фундаменте корпоративной сети, избежать потери или утраты информации вследствие несанкционированного доступа. Система должна быть защищена от ошибок и даже злонамеренных действий её операторов, удобна в эксплуатации и, по возможности, "прозрачна" для конечного пользователя.

К системам защиты информации и ее элементам предъявляют требования:
1)  надёжность; система защиты должна надежно обеспечить безопасность информации на протяжении заданного времени;
2)  стойкость; способность системы защиты противостоять специально организованным вторжениям извне, сохраняя при этом свою работоспособность;
3)  экономичность; создание и эксплуатация системы защиты должны осуществляться с минимальным расходом материальных и сетевых ресурсов;
4)  удобство для пользователей (принцип невидимости защиты); механизмы защиты информации не должны создавать дополнительные трудности законным пользователям сети;
5)  невозможность миновать защитные средства; обеспечение закрытия по возможности всех обходных путей в действующей системе защиты;
6)  усиление самого слабого звена; в цепи обеспечения безопасности действуют те же правила, что и в жизни - "где тонко, там и рвётся"; "устойчивость всей системы защиты равна устойчивости её слабейшего звена";
7)  минимизация привилегий; каждому пользователю предоставляются только действительно необходимые ему права по доступу к ресурсам системы;
8)  невозможности перехода в небезопасное состояние; это означает, что при любых обстоятельствах, в том числе нештатных, защитное средство либо полностью выполняет свои функции, либо полностью блокирует доступ;
9)  полнота контроля (принцип равнопрочности границ); должен осуществляться полный контроль при каждом обращении к каждому ресурсу;
10)  распределение полномочий (принцип глубокоэшелонированной обороны); каждая важная операция должна разрешаться при соблюдении только двух или более условий;
11)  централизованное управление системой (см. ниже);
12)  наказуемость нарушений; должны быть предусмотрены "наказания" за нарушения (например, блокировка терминала при вводе пароля больше разрешенного числа раз).

Система защиты информации включает методы и средства. Совокупность методов защиты информации подразделяется на две категории: организационные и технические. Как правило, в чистом виде ни один из методов не используется, а конкретные решения по безопасности строятся на их сочетании.