«Компьютерлік жүйеде ақпаратты қорғау» пәнінен оқу-әдістемелік кешен


Пайдаланушының қол жеткізуін басқару



жүктеу 3,39 Mb.
бет14/31
Дата24.12.2017
өлшемі3,39 Mb.
#5528
1   ...   10   11   12   13   14   15   16   17   ...   31

Пайдаланушының қол жеткізуін басқару.

Ақпараттық жүйеге және қызметке қол жеткізу құқығын бөліп таратуды басқару үшін нысанды рәсімдер әзірленуі және іске асырылуы тиіс. Рәсімдер пайдаланушылар қол жеткізуінің барлық сатысын қамтуы тиіс: жаңа пайдаланушыларды тіркеуден бастап ақпараттық жүйеге және қызметке қол жеткізуі енді талап етілмейтін сол пайдаланушыларды тіркеуден айыру қортындысына дейін. Онда осы талап етілетін, жүйені басқару құралдарын айналып өтуші пайдаланушыларға мүмкіндік беретін қол жеткізу құқығы артықшылығын бөліп тарату қажеттілігіне ерекше назар аударылуы тиіс.


Пайдаланушыны тіркеу
Ақпараттық жүйеге және қызметке қол жеткізуді беру немесе тоқтату үшін пайдаланушыларды нысанды тіркеуі немесе тіркеудің айыру рәсімі пайдаланылуы тиіс.
Пайдаланушыларды тіркеу және олардың тіркеуін айыру үшін қол жеткізуді басқару рәсімінде қолданылуы тиіс:

  • олардың іс-қимылы үшін жауаптылығына сәйкес пайдаланушыларды байланыстыру үшін бірегей иденфикаторларды (ID) пайдалану;

  • жүйенің жұмыс істеуінің ерекшелігін ескере отырып қызметін жүзеге асыру үшін қажет болған жағдайда топтық ID пайдалану мүмкіндігін қарастыру;

  • тіркеу және айыру рұқсат етілген және құжатталған болуы тиіс, соның тексерілуі, себебі қол жеткізу құқығына басшыдан бөлек рұқсатты қолдануға, пайдаланушының ақпараттық жүйені және оның қызметін пайдалануға иесінен рұқсаты бар;

  • берілген қол жеткізудің деңгейі өндірістік мақсатқа және қауіпсіздік саясатына сәйкес болуы және жұмыс тәртібіне шек қоюға қатер төндірмеуі тиіс;

  • пайдаланушыларға жазбаша құжаттарды беру, онда олардың қол жеткізу құқығы регламенттелуде, талап етілуінде пайдаланушылар құжатқа қол қойып, себебі олар сол туралы қол жеткізудің шартын түсінеді;

  • тіркеу рәсімдерін аяқтау сәтінен бастап қол жеткізуді беру;

  • қызметтерді пайдалану үшін барлық тіркелген тұлғалар туралы нысандық есеп берулерді құру және қолдауды қамтамасыз ету;

  • қызметін ауыстырған, қамтылған нысаны немесе ұйымнан босатылған пайдаланушылардың қол жеткізу құқығын дереу жою немесе оқшауландыру;

  • артық ID және пайдаланушылардың есеп жүргізу жазбасын, сондай-ақ олардың жойылуы мен оқшаулануын табу үшін аудит;

  • ID айыру үшін, пайдаланушылар басқадай пайдаланушыларға қол жетімсіз болуын қамтамасыз ету;

  • Пайдаланушылардың қол жеткізу үлгілік профилінде қол жеткізу құқығының кейбір санын жинақтау жолымен өндірістік талап етуде негізделген олардың қызметтеріне сәйкес қол жеткізуді пайдалануды беру мүмкіншілігін қарастыру.

Артықшылықты басқару
Бөлінген артықшылығымен және оларды пайдалану қатаң шектелген және басқарылатын болуы тиіс. Артықшылықтарды бөліп тарату осы артықшылықтарды тіркеу үдерісінің көмегімен басқарылуы тиіс. Мынадай кезеңдер қаралуы тиіс:

  • әрбір жүйелік өнімдермен байланысты қол жеткізудің артықшылығы ұқсастырылуы тиіс, мысалға, операциялық жүйемен, деректерді басқару жүйесімен және әрбір қосымшамен, сондай-ақ пайдаланушылар, онда олар ұсынылуы тиіс;

  • қол жеткізуді басқару саясатымен сәйкес «оқта-текте» ұстанымы бойынша және «пайдалану қажеттілігі» негізінде артықшылық пайдаланушыларға берілуі тиіс, мысалға ең аз қажетті артықшылық олардың қызметтік міндеттерін орындау үшін, тек қана қашан осы артықшылықтар қажет болғанда;

  • барлық берілген артықшылықтар және олар бойынша есеп беруді құрудың рұқсат етілген үдерісі қамтамасыз етілуі тиіс, оларды тіркеу үдерісін аяқтағанға дейін артықшылықты беруге болмайды;

  • пайдаланушыларға артықшылықты беруден қашуға мүмкіндік беретін жүйелік бағдарламаны пайдалануды әзірлеу қажет;

  • артықшылықты пайдаланушының әдеттегі жұмысында пайдаланатынына емес, пайдаланушының басқа ID беруі тиіс.

Пайдаланушының бірдейлігі және сәйкестігі

Пайдаланушы жеке пайдалану үшін бірегей идентификаторы (пайдаланушылық ID), болуы тиіс, пайдаланушының дәлме-дәлдігін растау үшін сәйкестендірілген сәйкесәдісін пайдалануы тиіс. Бұл пайдаланушылардың барлық түрлеріне (оның ішінде техникалық қолдау персоналына, операторларға, желі әкімшілеріне, желіллік бағдарламашыларға, дерекқорлар әкімшілеріне) қолданылуы тиіс. Пайдаланушылық ID сәйкес тұлғалармен орындалатын опрерациялардың сенімділігі үшін пайдаланылуы тиіс. Әдеттегі пайдаланушылық операциялар есеп жүргізу жазбаларының артық құқығымен орындалмауы тиіс.


Қашан қызметтер мен операциялар үшін осындай қол жетімді ID қажет болса, сонда жалпы ID берілуі тиіс, сенімі талап етілмейді (мысалға, тек қана оқылым бойынша қол жеткізген кезде), немесе қашан басқарудың басқадай құралдары іске асырылған болса (мысалға, жалпы ID үшін әр жолы тек қана бір персонал үшін құрылады және оқиға тіркеледі).
Сәйкестендірудің – (криптографиялық құрал, смарт-карталар, аппараттық кілттер немесе биометрикалық құралдар) баламалы әдістерін пайдалану мүмкіндігін қарау.
Паролдар – тек қана пайдаланушыға мәлім мәліметтің негізінде бірдейлестіруді және сәйкестендіруді қамтамасыз ететін ең таралған әдіс. Пайдаланушының бірдейлестіруі мен сәйкестендіруінің қатаңдығы қол жеткізуі жүзеге асырылатын ақпараттың сыншылдығына сәйкес болуы тиіс. Бірдейлестіру мен сәйкестендіру үшін жеке аппараттық кілттер мен смарт-карталар сияқты мынадай обьектілер пайдаланылуы мүмкін. Тұлғалардың дәлме-дәлдігін сәйкестендіру үшін бірегей сипаттамаларды және белгілерді пайдаланушы биометрикалық технологияларды қолдануы мүмкін.тұлғалар Нәтижесінде әртүрлі технологиялар мен механизмдердің сенімді үйлесімділігі аса қатаң сәйкестендіруді қамтамасыз етеді.

Ақпаратқа және қосымшаларға қол жеткізуді басқару

Қолданбалы жүйеге және оның ішіндегіге қол жеткізуді шектеу үшін қауіпсіздік құралы пайдаланылуы тиіс. Қолданбалы бағдарламалық қамтамасыз етуге және ақпаратқа логикалық қол жеткізу тек қана рұқсат етілген пайдаланушыларға берілуі тиіс.


Қолданбалы жүйелер тиіс:

  • қол жеткізуді басқарудың белгілі бір саясатына сәйкес ақпаратқа және қолданбалы жүйенің қызметіне пайдаланушының қол жеткізуін басқару;

  • кез келген жүйелік қосалқы бағдарламаны, операциялық жүйені бағдарламалық қамтамасыз етуді, арам ниетті бағдарламалық кодтарды, жүйелерді немесе қосымшаларды басқару құралдарының жұмысын айналып өтетін немесе тоқтататын қабілеттіні пайдаланумен рұқсатсыз қол жеткізуден қорғауды қамтамасыз ету;

  • осы ақпараттық пайдаланатын басқадай жүйені қатерге қоймау.

Ақпаратқа қол жеткізуді шектеу

Қол жеткізуді басқарудың белгіленген саясатына сәйкес, пайдаланушылар және қолдау қызметі персоналдар үшін ақпаратқа және қолданбалы жүйенің қызметіне қол жеткізу шектелуі тиіс. Қол жеткізудің шектелуі өндірістік қажеттілікке және ақпараттық қауіпсіздік саясатына негізделуі тиіс. Қол жеткізуге шектеу жөніндегі талаптарды қамтамасыз ету үшін мынадайларды қарау қажет:



  • қолданбалы жүйенің қызметіне қол жеткізуді басқару үшін мәзірді қамтамасыз ету;

  • пайдаланушылардың қол жеткізу құқықтарын басқару, мысалға, оқылымға, жазбаға, орындауға қосымшаны жоюға және жіберуге;

  • басқадай қосымшаларға қол жеткізу құқықтарын басқару;

  • қамтамасыз етудің жиыны, тек қана ақпаратты ұстайтын сезімтал ақпаратты өңдейтін қолданбалы жүйеден тұжырым үшін қажетті, осы тұжырымды пайдалану үшін және тұжырым тек қана рұқсат етілген терминалдарға және құралдарды ораналастырудың рұқсат етілген орнына жөнелтілсе;

  • тұжырымдардан артық ақпаратты жойылғанды кепілдендіретін, осындай тұжырымдардың мерзімдік тексеруін жүргізу.

Әлсіз жүйелерді бөлектеу

Әлсіз жүйеге қарастылар оқшауланған есептегіш ортасы болуы тиіс. Әлсіз жүйеге қарастыларды оқшау үшін мынадай ұсынымдар қарастырылуы тиіс:



  • қолданбалы жүйеге қарастының әлсіздігі анық бірдейлестірілген және құжатталған болуы тиіс;

  • егер әлсіз қосымша жалпы пайдалану ортасында орындалуы тиіс болса, қолданбалы жүйеге қарасты бірдейленуі тиіс, ол ресурстарды, сондай-ақ сәйкес тәуекелді бөледі;

  • қолданбалы жүйеге қарастылар және тәуекелдер сезімтал қосымша иесімен рұқсат етілуі тиіс.

Әлеуетті шығындарға әлсіз, қолданбалы жүйеге қарастылармен арнаулы үндеуін анықтау. Қолданбалы жүйеге қарастылар бөлінген компьютерде орындалуы немесе тек қана қолданбалы жүйеге қарастылармен ресурстарды бірлесіп пайдалануы тиіс. Оқшаулануға физикалық немесе логикалық әдістерді пайдалана отырып жетуі мүмкін.

Жедел есептегіш және жойылған жұмыс

Жедел есептегіштерді пайдаланған кезде қосымшалардың сәйкес қорғауы ескерілуі тиіс. Жойылған жұмыстар жағдайында жойылған жұмыстар үшін пайдаланылған аймақты қорғауды қамтамасыз етуі және осы жұмыс тәсіліне сәйкес өкімммен істелгенді кепілдендіруі тиіс.

Ақпараттық қауіпсіздік қақтығыстарын басқару

Ақпараттық қауіпсіздік туралы және оның әлсіздігі туралы хабарлама

Оқиғалар және ақпараттық қауіпсіздік қатерінің пайда болуы туралы хабарлама бойынша нысанды рәсімдер іске асырылуы тиіс. Ақпараттық қауіпсіздік оқиғалары туралы мәлімет сәйкес арналар арқылы басқаруы қаншалықты мүмкін болса, соншалықты тез болуы тиіс. Қақтығысқа және қауіпсіздік жүйесін жұмылдыруға елеу рәсімімен бірге пайдаланылатын ақпараттық қауіпсіздік оқиғалары туралы хабарламаның нысанды рәсімі іске асырылуы тиіс, онда ақпараттық қауіпсіздік оқиғалары туралы еп қылған хабарламаны алғаннан кейін іс-қимылы сипатталған:


  • кері байланыстың сәйкес үдерістері ақпараттық қауіпсіздік оқиғалары туралы кім хабарлағанға кепіл болса, қалай проблема шешілгеннен кейін нәтижесі туралы хабарланатын болады;

  • ақпараттық қауіпсіздік оқиғасы болған жағдайда еп қылғанды, барлық қажетті іс-қимылды олар туралы еске сақтағанды кім хабарласа, оған хабарлағаны және көмектескені бойынша қамтамасыз ететін ақпараттық қауіпсіздік оқиғалары бойынша нысандар;

  • ақпараттық қауіпсіздік оқиғасы жағдайында дұрыс мінез-құлқы, мысалға,

    • барлық маңызды бөлшектерін дереу белгілеу (мысалға, сәйкесіздікті немесе бұзу түріндегіні, жөнсіз жұмыстың пайда болуын, экрандағы хабарламаны, оғаш жұмыстың тәртібіндегіні);

    • өз бастамаң бойынша ешқандай іс-қимылды еп қылмауың тиіс, бірақ байланыс бөлімшесіне дереу хабарлау;

  • қауіпсіздікті бұзатын қызметкерлермен, келісім шарт жасайтын агентпен немесе үшінші тараптың пайдаланушыларымен жолыққан кезде – белгіленген нысанды тәртіптік үдеріске сілтеме.

Жоғарғы тәуекелдер жағдайында мәжбүрленудің іс-қимылы туралы хабарлауды пайдалану қажеттігі тууы мүмкін, мәжбүрленуде тұрған адам үшін осынадай проблемаларды бар екенінін көрсете алады. Мәжбүрленуде тұрған туралы хабарлауға елеу рәсімдері жоғарғы тәуекелдерімен барабар жағдайымен болуы тиіс, ондайға мынадай хабарлау көрсетеді.

Болуы мүмкін ақпараттық қауіпсіздіктегі оқиғалар мен қақтығыстар:



  • қызметтерді, құралдарды немесе жұмыс істеуін жоғалту;

  • жүйенің дұрыс емес жұмыс жасауы немесе артық жүктелуі;

  • адамдық қателер;

  • ережелерді немесе нұсқаманы сақтамау;

  • физикалық қауіпсіздікті сақтамау;

  • бақылау жүргізілмейтін жүйенің өзгеруі;

  • бағдарламалық қамтамасыз етудің немесе аппараттық құралдардың істен шығуы;

  • қол жеткізудің бұзылуы;

  • ақпараттық жүйенің істен шығуы және қызметтерді берудің тоқтатылуы;

  • арам ниетті бағдарламалық код;

  • қызметтерді беруде бас тарту;

  • өндірістік дерктердің толық еместігіне немесе дәлдік еместігіне байланысты болатын қателер;

  • құпиялығының және тұтастығының бұзылуы;

  • ақпараттық жүйелерді дұрыс емес пайдаланылуы.

Аудит құралдарын қорғау

Ақпараттық жүйелердің аудит құралдарына қол жеткізу кез келген оларды дұрыс емес пайдалану немесе қатерді құруды болдырмас үшін қорғалуы тиіс. Ақпараттық жүйелердің аудит құралдары, оның ішінде бағдарламалық қамтамасыз ету, деректердің файлы операциялық жүйелер мен жүйелердің әзірлеуден бөлектенуі тиіс және пайдалушылар үшін тағайындалған орында, аймақта, немесе кітапханада сақталуы тиіс емес. Олар үшін сәйкес деңгейде қосымша қорғау қамтамасыз етілуі тиіс.



ЖҰМЫСТЫ ОРЫНДАУ РЕТІ

  1. Теориялық мағлұматпен танысу.

  2. Теориялық мағлұматқа талдау жасау.

  3. Бақылау сұрақтарына жауап беру.

  4. Жеке тапсырмаға талдау жасап, мысалдар келтіру.


БАҚЫЛАУ СҰРАҚТАРЫ

  1. Қол жеткізуді басқару саясатының сақтау керек ережесі.

  2. Қол жеткізуді басқару саясаты қандай шараларды ескеруі керек?

  3. Пайдаланушының қол жеткізуін басқару қалай орындалады?

  4. Артықшылықты басқару қандай кезеңдерді қамтиды?

  5. Ақпаратқа және қосымшаларға қол жеткізуді басқаруға қойылатын талаптар.

  6. Қол жеткізуге шектеу жөніндегі талаптар қандай?

  7. Болуы мүмкін ақпараттық қауіпсіздіктегі оқиғалар мен қақтығыстар.

  8. Аудит құралдарын қорғау қызметі.


ЖЕКЕ ТАПСЫРМАЛАР
Аудит құралдарын қорғау қызметіне мысалдар келтіріңіздер.

Пратикалық жұмыс №9

Тақырыбы: «Аналитикалық түрлендіру көмегімен шифрлеу»

Теориялық мағлұмат
Шифрлеуге кейбір аналитикалық түрлендіруді қолдану ақпараттық сенімді, яғни жеткілікті түрде жабылуын қамтамасыз етеді. Бұл үшін алгебраның матрицалық әдісін мысалы, ереже бойынша матрицаны векторға көбейтсе жеткілікті:

Егер ||aij|| матрицасын кілт түрінде пайдаланып, ал оның bj компонентінің орнына мәтін символын қойса, онда cj векторы компоненті шифрленген мәтін символынан тұрады. Кілт орнына үшінші қатардың шаршы матрицасын пайдаланып мысал келтірейік.



Алфавиттік реттік нөмерге сай алфавит әріптерін санға ауыстырайық. Сонда ВАТАЛА мәтінінің үзіндісі 3,0,19,0,12,0 сандарының нөмірлік ретіне сай келеді. Шифрлеудің қабылданған алгоритмі бойынша қажетті мәнді орындайық.



Бұл жағдайда шифрленген мәтін мына түрде болады: 99,62,28,60,24. Кері шифрлеу матрицаны векторға көбейту ережесін пайдаланумен жүреді жабуды жүзеге асырушы кері матрицаға негізге алынады, ал дербес-вектор – яғни жабық мәтін символына сәйкес санды вектор түрінде беріледі, бұл кезде нәтиже – векторының мәні ашық мәтін белгінің сандық эквиваленті болады. Деректерге кері матрица дегеніміз қосылған матрицаның берілген анықтағыш матрицаның барлық элементтеріне ыдырауы. Өз кезегінде алгебралық А қосымшасынан құралып берілген матрица мына формула бойынша Aij=(-1)^i+j Dij, есептеп шығарылады.

Dij-кезінде матрица анықтағышы i-мен оның жолдары j-бағанасы сызылуымен алынды.

Анықтағыш дегеніміз өздеріңізге белгілі келесі әдіспен: n-матрица элемент туындысының барлық мүмкіндіктері мүше қызметін атқарады, әр жолдан бір матрица элементі, әр бағаннан бір матрица алынғанда, қосындының мүшесі “+” белгісімен белгіленеді. Егер оның индексі орын алмастыруды құраса және “-” белгісімен алынады. Бұл қарама-қарсы жағдайда “-” осы белгімен алынады. Үшінші қатардың матрицалары үшін, мысалы, анықтағыш келесі формула бойынша есептеледі.

D=a11a22a33+a12a23a31+a13a21a32-a11a23a32-a12a21a33-a13a22a31

Онда ашу процесі төмендегідей болады:



Нәтижесінде алғашқы мәтінге сәйкес келетін ашық мәтіннің келесі тізбегі шығады: 3,0,19,12,0 . Бұл шифрлеу әдісі бағдарламалық құралдармен оңай өңделетін болғандықтан формальды болып саналады.



жүктеу 3,39 Mb.

Достарыңызбен бөлісу:
1   ...   10   11   12   13   14   15   16   17   ...   31




©g.engime.org 2024
әкімшілігінің қараңыз

    Басты бет
рсетілетін қызмет
халықаралық қаржы
Астана халықаралық
қызмет регламенті
бекіту туралы
туралы ережені
орталығы туралы
субсидиялау мемлекеттік
кеңес туралы
ніндегі кеңес
орталығын басқару
қаржы орталығын
қаржы орталығы
құрамын бекіту
неркәсіптік кешен
міндетті құпия
болуына ерікті
тексерілу мемлекеттік
медициналық тексерілу
құпия медициналық
ерікті анонимді
Бастауыш тәлім
қатысуға жолдамалар
қызметшілері арасындағы
академиялық демалыс
алушыларға академиялық
білім алушыларға
ұйымдарында білім
туралы хабарландыру
конкурс туралы
мемлекеттік қызметшілері
мемлекеттік әкімшілік
органдардың мемлекеттік
мемлекеттік органдардың
барлық мемлекеттік
арналған барлық
орналасуға арналған
лауазымына орналасуға
әкімшілік лауазымына
инфекцияның болуына
жәрдемдесудің белсенді
шараларына қатысуға
саласындағы дайындаушы
ленген қосылған
шегінде бюджетке
салығы шегінде
есептелген қосылған
ұйымдарға есептелген
дайындаушы ұйымдарға
кешен саласындағы
сомасын субсидиялау