В системах с программируемой схемой защиты предусматривается механизм защиты данных с учетом специфических требований пользователя: ограничение календарного времени работы системы, доступ только к средним значениям файла данных, локальная защита отдельных элементов массива данных и т. д. В таких системах пользователь должен иметь возможность выделить защищаемые объекты и подсистемы. Защищаемая подсистема представляет собой совокупность программ и данных, правом доступа к которым наделены лишь входящие в подсистему программы. Программы подсистемы контролируют доступ к защищаемым объектам. Возможно применение программных шифраторов. Учитывая высокую криптостойкость современных шифров, это даст возможность ликвидировать такие каналы утечки, как копирование информации, хищение носителей и несанкционированный доступ к секретным файлам.
Важной областью применения криптографических методов является защита баз данных. К ним предъявляются следующие дополнительные требования:
— из-за возможности чтения и возобновления записей с середины файлов, шифрование и расшифровка каждой записи должны производиться независимо от других записей;
— во избежание перегрузки системы вспомогательными преобразованиями, все операции с файлами нужно проводить, когда содержащиеся в них данные представлены в зашифрованном виде. Безопасность данных может обеспечиваться следующей системой мероприятий:
— объекты данных идентифицируются и снабжаются информацией службы безопасности. Целесообразно эту информацию размещать не в отдельном каталоге, а вместе с информацией, имеющей метки;
— кодовые слова защиты размещаются внутри файлов, что в значительной мере повышает эффективность защиты;
— доступ к данным целесообразен с помощью косвенных ссылок в виде списка пользователей, допущенных владельцем файла к размещенным в нем данным;
— данные и программы могут преобразовываться (кодироваться) внутренним способом для хранения;
— информация по отрицательным запросам не выдается;
— повторные попытки доступа после неудачных обращений должны иметь предел;
— при уменьшении конфигурации системы или при ее тестировании функции защиты сохраняются;
— никакие изменения таблиц безопасности, кроме изменения со специального устройства или пульта управления, не разрешаются.
Необходим поиск некоторых критериев, в качестве которых могут быть использованы надежность обеспечения сохранности информации и стоимость реализации защиты. Принимаемая мера противодействия с экономической точки зрения будет приемлема, если эффективность защиты с ее помощью, выраженная через снижение вероятности экономического ущерба, превышает затраты на ее реализацию.
Комплексная система защиты информации должна отвечать следующим требованиям:
— оперативно реагировать на изменение факторов, определяющих методы и средства защиты информации;
— базироваться на лучших алгоритмах закрытия информации, гарантирующих надежную криптографическую защиту;
— иметь важнейшие элементы идентификации пользователей и контроля подлинности передаваемой и хранимой информации;
— осуществлять защиту от несанкционированного доступа к информации в базах данных, файлах, на носителях информации, а также при ее передаче по линиям связи в локальных и глобальных сетях;
— обеспечивать режим специально защищенной электронной почты для обмена секретной информацией с высокой скоростью и достоверностью передачи информации адресату;
— иметь удобную и надежную ключевую систему, обеспечивающую гарантию безопасности при выработке и распределении ключей между пользователями;
— обеспечивать различные уровни доступа пользователей к защищаемой информации.
Для реализации комплексной системы защиты информации на предприятии или в учреждении должно быть организовано специальное подразделение по охране коммерческой тайны. Состав и функционирование такого подразделения определяются с точки зрения экономической целесообразности и учитывают реальную ценность информации. В уставе предприятия или учреждения должно быть указано, что сведения, составляющие коммерческую тайну этого предприятия или учреждения, являются его собственностью. Должна быть проведена подготовка персонала в плане обучения исполнению своих обязанностей с одновременным выполнением требований по обеспечению защиты сведений, составляющих коммерческую тайну, и предупреждения об ответственности за несоблюдение указанных требований.