ИССЛЕДОВАНИЕ МЕТОДОВ И СРЕДСТВ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В ИТ-СИСТЕМАХ

Стремительное развитие информационных технологий, а также применение вычислительной техники привело к тому, что Интернет прочно вошел в жизнь современного человека. Социальные-медиа, портал государственных услуг, интернет-банкинг – вот небольшой набор информационных продуктов, используемых сегодня. Все эти порталы/интернет-сервисы, так или иначе хранят информацию о пользователе (паспортные данных, номера банковских счетов, адрес проживания, номер телефона и т.д.), зачастую конфиденциальною, которая, попадая в руки злоумышленников, может нанести непоправимый вред их владельцу.

На сегодняшний день информация – это очень дорогой продукт, поэтому компании тратят огромные денежные средства на обеспечение безопасности и защиты информации. Каждая компания в процессе своего развития, проходит этап, когда необходимо построить целый ряд процессов, связанных с управлением информационной безопасности. Для эффективной работы организации по предупреждению инцидентов необходимо иметь отлаженную систему обеспечения информационной безопасности, в которой распределены роли, обязанности и каждый участник процесса знает, за что несет ответственность. На законодательном уровне государство четко определило, что сбор, хранение и распространение информации без согласия не допускается, что описывается в ГОСТ Р 53114-2008.

Технологии защиты данных основываются на применении современных методов, которые предотвращают утечку информации и ее потерю. Сегодня используется шесть основных способов защиты:

• Препятствие. Создание на пути угрозы преграды, преодоление которой сопряжено с возникновением сложностей для злоумышленника или дестабилизирующего фактора.
• Маскирование. Изменение, преобразование данных, таким образом, которое делает их недоступными для злоумышленника. В основном к этому пункту относят способы преобразования данных криптографическим методом, а именно:
  
  • Симметричное шифрование - это тип шифрования, когда для шифрования и дешифрования электронной информации используется только один ключ (секретный ключ). Объекты, обменивающиеся данными с помощью симметричного шифрования, должны обмениваться ключом, чтобы его можно было использовать в процессе расшифровки. Этот метод шифрования отличается от асимметричного шифрования, когда пара ключей, один открытый и один закрытый, используется для шифрования и дешифрования сообщений.
  • Асимметричное шифрование. Это форма шифрования, в которой ключи создаются парами. То, что один ключ шифрует, только другой может расшифровать.
  • Хеширование. Хеширование - это метод криптографии, который преобразует любую форму данных в уникальную текстовую строку. Любая часть данных может быть хэширована, независимо от ее размера или типа. В традиционном хешировании, независимо от размера, типа или длины данных, хеш, который генерируют любые данные, всегда имеет одинаковую длину.

• Управление. Оказание управляющих воздействий на элементы защищаемой системы.

• Регламентация. Разработка и реализация комплекса мероприятий, создающих такие условия обработки информации, которые существенно затрудняют реализацию атак злоумышленника или воздействия других дестабилизирующих факторов.
• Принуждение. Метод заключается в создании условий, при которых пользователи и персонал вынуждены соблюдать условия обработки информации под угрозой ответственности (материальной, уголовной, административной).
• Побуждение. Метод заключается в создании условий, при которых пользователи и персонал соблюдают условия обработки информации по морально-этическим и психологическим соображениям.

Практически каждый сервис/портал, предоставляемый какой-либо компанией, который хранит персональные данные клиента/пользователя, взаимодействует с десятками, а иногда и с сотнями сторонних сервисов, что является потенциальной угрозой безопасности персональных данных клиента. Сторонние сервисы не должны иметь доступ к каноничной информации, однако, вполне вероятно, могут иметь доступ к зашифрованной части данных. Для обеспечения безопасности персональных данных ит-система должна иметь базис в виде триады информационной безопасности: конфиденциальность, целостность, доступность (CIA).

Конфиденциальность

Для защиты информации, ит-система должна иметь возможность ограничивать доступ к конфиденциальной информации пользователя в зависимости от прав доступа в системе. Например, федеральный закон требует, чтобы университеты ограничивали доступ к частной информации студентов. Университет должен быть уверен, что только те, кто авторизован, имеют доступ к просмотру записей оценок.

Целостность

Целостность – это гарантия того, что информация, к которой осуществляется доступ, не была изменена и действительно отражает то, что предполагается. Целостность информации означает, что информация представляет ее предполагаемое значение. Информация может потерять свою целостность из-за злого умысла, например, когда кто-то, кто не авторизован, вносит изменения, чтобы преднамеренно искажать что-либо. Примером этого может быть случай, когда нанят хакер, чтобы войти в систему университета и изменить оценку.

Целостность также может быть потеряна непреднамеренно, например, из-за скачка напряжения в компьютере, который повредил файл или кто-то, уполномоченный внести изменения, случайно удалил файл или ввел неверную информацию.

Доступность

Доступность означает, что информация может быть доступна и изменена любым лицом, уполномоченным на это в надлежащие сроки. В зависимости от типа информации, соответствующие сроки могут означать разные вещи. Например, биржевому торговцу нужна информация, чтобы он был доступен немедленно, в то время как продавец может быть рад получить цифры продаж за день в отчете на следующее утро. Такие компании, как Amazon.com, потребуют, чтобы их серверы были доступны круглосуточно и без выходных. Другие компании могут не пострадать, если время от времени их веб-серверы отключаются на несколько минут.

Фундаментальные концепции безопасности информационных систем

Аутентификация

Аутентификация – наиболее распространенный способ идентифицировать кого-либо. Самой распространенной формой аутентификации сегодня является идентификатор пользователя и пароль. В этом случае аутентификация выполняется путем подтверждения того, что пользователь знает (его ID и пароль). Но эту форму аутентификации легко поставить, и иногда требуются более сильные формы аутентификации. Идентификация кого-либо только по тому, что у него есть, например, по ключу или карточке, также может быть проблематичной. Когда этот идентификационный токен утерян или украден, личность может быть легко украдена. Также идентифицировать пользователя можно посредством использования физической характеристики, такой как сканирование глаза или отпечаток пальца. Идентификация кого-либо по его физическим характеристикам называется биометрией.

Более безопасным способом аутентификации пользователя является многофакторная аутентификация. Комбинируя два или более из перечисленных выше факторов, злоумышленнику становится намного сложнее исказить данные пользователя. Примером этого может быть использование токена RSA SecurID.

Контроль доступа

Как только пользователь прошел аутентификацию, следующий шаг - убедиться, что он может получить доступ только к соответствующим информационным ресурсам. Это делается с помощью контроля доступа. Контроль доступа определяет, каким пользователям разрешено читать, изменять, добавлять и/или удалять информацию. Существует несколько разных моделей контроля доступа. Рассмотрим два: список контроля доступа (Access control list) и контроль доступа на основе ролей (Role-based access control).

Для каждого информационного ресурса, которым организация хочет управлять, может быть создан список пользователей, которые могут выполнять определенные действия. Это список контроля доступа или ACL. Для каждого пользователя назначаются определенные возможности, такие как чтение, запись, удаление или добавление. Только пользователи с такими возможностями могут выполнять эти функции. Если пользователя нет в списке, он не может даже знать, что информационный ресурс существует.

ACL просты для понимания и поддержки. Однако у них есть несколько недостатков. Основным недостатком является то, что каждый информационный ресурс управляется отдельно, поэтому, если администратор безопасности хочет добавить или удалить пользователя к большому набору информационных ресурсов, это будет довольно сложно. По мере увеличения количества пользователей и ресурсов, ACL становится все труднее поддерживать. Это привело к усовершенствованному методу контроля доступа, который называется контролем доступа на основе ролей или RBAC. В RBAC вместо предоставления определенным пользователям прав доступа к информационному ресурсу пользователям назначаются роли, а затем этим ролям назначается доступ. Это позволяет администраторам управлять пользователями и ролями отдельно, упрощая администрирование и, соответственно, повышая безопасность.

Рис. 1. Модель контроля доступа на основе ролей

Вывод

Поскольку вычислительные и сетевые ресурсы становятся все более неотъемлемой частью бизнеса, они также становятся мишенью для преступников. Организации должны внимательно следить за тем, как они защищают персональные данные клиента.

Список литературы:

1. Защита персональных данных [Электронный ресурс] // searchinform: [сайт]. [2017]. URL: https://searchinform.ru/ (дата обращения: Декабрь 2019).
2. Персональные данные [Электронный ресурс] // pointlane: [сайт]. [2008]. URL: http://www.pointlane.ru/
3. Информационная безопасность предприятия: ключевые угрозы и средства защиты [Электронный ресурс] // kp: [сайт]. [2010]. URL: https://www.kp.ru/
4. Информационная безопасность в компании [Электронный ресурс] // tadviser: [сайт]. [2011]. URL: http://www.tadviser.ru/