Организация защиты данных

Защита информации — комплекс мероприятий, направленных на обеспечение важнейших аспектов информационной безопасности (целостности, доступности и, если нужно, конфиденциальности информации и ресурсов, используемых для ввода, хранения, обработки и передачи данных).

Система называется безопасной, если она, используя соответствующие аппаратные и программные средства, управляет доступом к информации так, что только должным образом авторизованные лица или же действующие от их имени процессы получают право читать, писать, создавать и удалять информацию.

Очевидно, что абсолютно безопасных систем нет, и здесь речь идет о надежной системе в смысле «система, которой можно доверять» (как можно доверять человеку). Система считается надежной, если она с использованием достаточных аппаратных и программных средств обеспечивает одновременную обработку информации разной степени секретности группой пользователей без нарушения прав доступа.

Основными критериями оценки надежности являются: политика безопасности и гарантированность. Политика безопасности, являясь активным компонентом защиты (включает в себя анализ возможных угроз и выбор соответствующих мер противодействия), отображает тот набор законов, правил и норм поведения, которым пользуется конкретная организация при обработке, защите и распространении информации.

Выбор конкретных механизмов обеспечения безопасности системы производится в соответствии со сформулированной политикой безопасности.

Гарантированность, являясь пассивным элементом защиты, отображает меру доверия, которое может быть оказано архитектуре и реализации системы (другими словами, показывает, насколько корректно выбраны механизмы, обеспечивающие безопасность системы). 16, с.5].

В надежной системе должны регистрироваться все происходящие события, касающиеся безопасности (должен использоваться механизм подотчетности протоколирования, дополняющийся анализом запомненной информации, то есть аудитом).

Контроль допустимости выполнения субъектами определенных операций над объектами, то есть функции мониторинга, выполняется достоверной вычислительной базой. При каждом обращении пользователя к программам или данным монитор проверяет допустимость данного обращения (согласованность действия конкретного пользователя со списком разрешенных для него действий). Реализация монитора обращений называется ядром безопасности, на базе которой строятся все защитные механизмы системы. Ядро безопасности должно гарантировать собственную неизменность.

Как показывает практика, несанкционированный доступ (НСД) представляет одну из наиболее серьезных угроз для злоумышленного завладения защищаемой информацией в современных АСОД. Как ни покажется странным, но для ПК опасность данной угрозы по сравнению с большими ЭВМ повышается, чему способствуют следующие объективно существующие обстоятельства:

• 1. подавляющая часть ПК располагается непосредственно в рабочих комнатах специалистов, что создает благоприятные условия для доступа к ним посторонних лиц;
• 2. многие ПК служат коллективным средством обработки информации, что обезличивает ответственность, в том числе и за защиту информации;
• 3. современные ПК оснащены несъемными накопителями на ЖМД очень большой емкости, причем информация на них сохраняется даже в обесточенном состоянии;
• 4. накопители на ГМД производятся в таком массовом количестве, что уже используются для распространения информации так же, как и бумажные носители;
• 5. первоначально ПК создавались именно как персональное средство автоматизации обработки информации, а потому и не оснащались специально средствами защиты от НСД.

В силу сказанного те пользователи, которые желают сохранить конфиденциальность своей информации, должны особенно позаботиться об оснащении используемой ПК высокоэффективными средствами защиты от НСД.

Основные механизмы защиты ПК от НСД могут быть представлены следующим перечнем:

• 1. физическая защита ПК и носителей информации;
• 2. опознавание (аутентификация) пользователей и используемых компонентов обработки информации;
• 3. разграничение доступа к элементам защищаемой информации;
• 4. криптографическое закрытие защищаемой информации, хранимой на носителях (архивация данных);
• 5. криптографическое закрытие защищаемой информации в процессе непосредственной ее обработки. 17, c.15]

В разрабатываемой информационной системе реализована аутентификация пользователей путем ввода логина и пароля.

Ниже представлен код программы с помощью которого организована защита данных в информационной системе:

var.

sUser: string = '';

// event OnShow.

procedure Form1_OnShow (Sender: string; Action: string);

begin.

frmLogin.edPassword.PasswordChar := '*';

frmLogin.ShowModal; // show windows for login.

end;

procedure frmLogin_bLogin_OnClick (Sender: string; var Cancel: boolean);

var.

s: string;

begin.

// SQL query for check user and password.

s := VarToStr (SQLExecute ('SELECT count (id) FROM users WHERE (login = ''' + frmLogin.edUser.Text + ''') AND (password = ''' + frmLogin.edPassword.Text + ''');'));

// if SQL query found login and password.

if (s '0') and (s'') then.

begin.

sUser := frmLogin.edUser.Text; // remember username.

// window closing event for login.

procedure frmLogin_OnClose (Sender: string; Action: string);

begin.

// if the user has not been defined, and the user closes the login window, then close the main form.

if sUser='' then Form1. Close;

end;

begin.

// Initial check whether there is a database administrator user.

// if not, create an administrator with username admin and password admin.

if VarToStr (SQLExecute ('SELECT count (id) FROM users WHERE administrator=1;')) = '0' then.

begin.

SQLExecute ('INSERT INTO users (login, password, read, write, remove, search, administrator) VALUES («admin», «admin», 1, 1, 1, 1, 1);');

frmLogin.edUser.Text := 'admin';

frmLogin.edPassword.Text := 'admin';

end;

end.

3. Технико-экономическая часть

Технико-экономическое обоснование (ТЭО) — это анализ, расчет, оценка экономической целесообразности осуществления предлагаемого проекта, в данном случае — проекта по управлению взаимоотношениями с клиентами. ТЭО основано на сопоставительной оценке затрат и результатов, установлении эффективности использования, срока окупаемости вложений.

Технико-экономическое обоснование является необходимым для каждого инвестора исследованием, в ходе подготовки которого проводится ряд работ по изучению и анализу всех составляющих инвестиционного проекта и разработке сроков возврата вложенных в бизнес средств.

Технико-экономическое обоснование проекта имеет много общего с бизнес-планом. Отличия заключаются в следующем:

• — Обычно ТЭО пишется для проектов внедрения новых технологий, процессов и оборудования на уже существующем, работающем предприятии, поэтому анализ рынка, маркетинговая стратегия, описание компании и продукта, а также анализ рисков в нем часто отсутствуют.
• — В ТЭО приводится информация о причинах выбора предлагаемых технологий, процессов и решений, принятых в проекте, результаты от их внедрения и экономические расчеты эффективности.