Уменьшить отрицательное воздействие угроз безопасности информации можно различными методами. Среди таких методов выделяются четыре основные группы:

1) организационные методы;

2) инженерно-технические методы;

3) технические методы;

4) программно-аппаратные методы;

Организационные методы в основном ориентированы на работу с персоналом, выбор местоположения и размещения объектов корпоративной сети, организацию систем физической и противопожарной защиты, осуществление контроля выполнения принятых мер, возложение персональной ответственности за выполнение мер защиты. Эти методы применяются не только для защиты информации и, как правило, уже частично реализованы на объектах корпоративной сети. Однако их применение дает значительный эффект и сокращает общее число угроз.

Инженерно-технические методы связаны с построением оптимальных сетей инженерных коммуникаций при учете требований безопасности информации. Это довольно дорогостоящие решения, но они, как правило, реализуются еще на этапе строительства или реконструкции объекта, способствуют повышению его общей живучести и дают высокий эффект при устранении некоторых угроз безопасности информации. Некоторые источники угроз, например обусловленные стихийными бедствиями или техногенными факторами, вообще не устранимы другими способами.

Технические методы основаны на применении специальных технических средств защиты информации и контроля обстановки и дают значительный эффект при устранении угроз безопасности информации, связанных с действиями криминогенных элементов по добыванию информации незаконными техническими средствами. Кроме того, некоторые методы, например резервирование средств и каналов связи, оказывают эффект при определенных техногенных факторах.

Программно-аппаратные методы главным образом нацелены на устранение угроз, непосредственно связанных с процессом обработки и передачи информации. Без этих методов невозможно построение целостной комплексной системы информационной безопасности.

Наибольший эффект при решении проблемы защиты информации достигается применением комплексного подхода к использованию и развитию всех средств и способов защиты информации (рис. 3.1). Использование какого-либо одного способа защиты, не обеспечивает надежного сохранения информации.

Препятствие физически преграждает злоумышленнику путь к защищаемой информации (на территорию и в помещения с аппаратурой, носителям информации).

Управление доступом – способ защиты информации регулированием использования всех ресурсов системы (технических, программных средств, элементов данных). Управление доступом включает следующие функции защиты:

· идентификацию пользователей, персонала и ресурсов системы, причем под идентификацией понимается присвоение каждому объекту персонального имени, кода, пароля и опознание субъекта или объекта по предъявленному им идентификатору;

· проверку полномочий, заключающуюся в проверке соответствия дня недели, времени суток, а также запрашиваемых ресурсов и процедур установленному регламенту;

· разрешение и создание условий работы в пределах установленного регламента;

· регистрацию обращений к защищаемым ресурсам;

· реагирование (задержка работ, отказ, отключение, сигнализация) при попытках несанкционированных действий.

Маскировка – способ защиты информации путем ее криптографического закрытия. При передаче информации по линиям связи большой протяженности криптографическое закрытие является единственным способом надежной ее защиты.

Регламентация заключается в разработке и реализации в процессе функционирования системы обработки данных комплексов мероприятий, создающих такие условия автоматизированной обработки и хранения защищаемой информации, при которых возможности несанкционированного доступа к ней сводились бы к минимуму. Для эффективной защиты необходимо строго регламентировать структурное построение системы обработки данных (архитектуру зданий, оборудование помещений, размещение аппаратуры), организацию и обеспечение работы всего персонала, занятого обработкой информации.

Принуждение заключается в том, что пользователи и персонал системы обработки данных вынуждены соблюдать правила обработки и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.

Рассмотренные способы защиты информации реализуются применением различных средств защиты, причем различают технические, программные, организационные, законодательные и морально-этические средства. Основными средствами, используемыми для создания механизмов защиты, принято считать технические и программные средства.

Технические средства – реализуются в виде электрических, электромеханических, электронных устройств. Всю совокупность технических средств принято делить на группы:

· аппаратные – устройства, встраиваемые непосредственно в аппаратуру, или устройства, которые сопрягаются с аппаратурой системы обработки данных по стандартному интерфейсу (схемы контроля информации по четности, схемы защиты полей памяти по ключу, специальные регистры);

· физические – реализуются в виде автономных устройств и систем (электронно-механическое оборудование охранной сигнализации и наблюдения, замки на дверях, решетки на окнах).

Программные средства – программы, специально предназначенные для выполнения функций, связанных с защитой информации.

Организационными средствами защиты называются организационно-правовые мероприятия, осуществляемые в процессе создания и эксплуатации системы обработки данных для обеспечения защиты информации. Организационные мероприятия охватывают все структурные элементы системы обработки данных на всех этапах: строительство помещений, проектирование системы, монтаж и наладку оборудования, испытания и проверку, эксплуатацию.

К законодательным средствам защиты относятся законодательные акты страны, которыми регламентируются правила использования и обработки информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.

К морально-этическим средствам защиты относятся всевозможные нормы, которые сложились традиционно или складываются по мере распространения вычислительных средств в данной стране или обществе. Эти нормы большей частью не являются обязательными, как законодательные меры, однако несоблюдение их ведет обычно к потере авторитета, престижа человека или группы лиц.