Защита информации в базах данных на примере КУВО «УСЗН Кантемировского района»

ВВЕДЕНИЕ .........................................................................................................3
1 ПОНЯТИЕ И СУЩНОСТЬ ЗАЩИТЫ ИНФОРМАЦИИ В БАЗАХ ДАННЫХ.............................................................................................................7
1.1 Актуальность проблемы защиты информации в базах данных................7
1.2 Классификация угроз информационной безопасности...........................14
2 МЕТОДЫ И СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ В БАЗАХ ДАННЫХ...........................................................................................................24
2.1 Требования к безопасности баз данных....................................................25
2.2 Понятие и характеристика методов и средств защиты информации в базах данных......................................................................................................32
3 ПРАКТИЧЕСКИЕ АСПЕКТЫ ПО СОЗДАНИЮ ЗАЩИТЫ ИНФОРМАЦИИ В БАЗЕ ДАННЫХ НА ПРИМЕРЕ КУВО «УСЗН КАНТЕМИРОВСКОГО РАЙОНА»................................................................41
3.1 Анализ угроз безопасности и определение задач защиты базы данных учреждения КУВО "УСЗН Кантемировского района"..................................41
3.2 Разработка метода защиты базы данных для учреждения КУВО "УСЗН Кантемировского района".................................................................................44
3.3 Выбор средств реализации задач защиты базы данных для учреждения КУВО "УСЗН Кантемировского района"........................................................47
3.4 Разработка модели защиты базы данных учреждения КУВО "УСЗН Кантемировского района".................................................................................54
ЗАКЛЮЧЕНИЕ ................................................................................................57
СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ........................................60
ПРИЛОЖЕНИЯ ...............................................................................................64

ВВЕДЕНИЕ

Актуальность темы исследования. Развитие информационных систем, привело в настоящее время к появлению и последующему развитию концепции открытых систем. Но, при этом стало возникать довольно большое количество проблем несанкционированного получения доступа к информации.
Защита информации, особенно информации конфиденциальной, является самой актуальной задачей, и, учитывая, что более 90% информации ныне находится в электронном виде, физические средства и методы защиты информации утратили свою былую эффективность.
Основной документ Российской Федерации, который нормирует меры и действия, обязательные для проблем разрешения информационной безопасности всех вновь создаваемых либо привлекаемых извне, а также обслуживаемых информационных разработок – это Доктрина информационной безопасности РФ, которая была еще подписана в 2000 году Президентом России В.В. Путиным [1].
...

1.1 Актуальность проблемы защиты информации в базах данных
В последнее время количество случаев хищения персональных данных значительно возросло в связи с утечкой информации из баз данных и различными махинациями с информацией, хранящейся в БД больших организаций. Информация является очень дорогим и важным ресурсом, а следовательно базы данных регулярно подвергаются нападениям злоумышленников.
Большинство случаев кражи информации осуществляются легальными пользователями через бреши в информационной безопасности компании, и уязвимостей СУБД в частности. Все эти случаи стали причиной пересмотра требований не только к усовершенствованию информационной безопасности внутри компаний, так и к пересмотру требований регуляторов к обеспечению защиты данных. Почти все регуляторы (Федеральный закон «О защите персональных данных», PCI DSS, HIPAA, SOX и т.д.
...

1.2 Классификация угроз информационной безопасности баз данных

Под угрозой информационной безопасности понимается случайное или преднамеренное явление или событие, действие или процесс, которые могут привести к искажению, несанкционированному использованию или к уничтожению информационных ресурсов информационной системы, используемых программных и технических средств и соответственно прямому или косвенному моральному или материальному ущербу интересам общества, личности или государства (например, ущерб деловой репутации, необходимость восстановления нарушенных защищаемых информационных ресурсов, невозможность выполнения взятых на себя обязательств перед третьей стороной, снижение эффективности политики государства и т.д.) [21, с. 211-212].
Реализация угроз информационной безопасности заключается в частичном или полном нарушении работоспособности информационной системы, а также утрате ценности или частичном обесценивании информации в случае нарушения[11, с.
...

2.1 Требования к безопасности баз данных

От уровня защиты баз данных зависит не только сохранность информации, но и непрерывность всего бизнеса в целом. Любые перебои в работе или компрометация коммерческих данных могут нарушить устоявшиеся бизнес-процессы и парализовать деятельность компании.
Помимо этого, информация об утечке персональных данных клиентов или другой информации, защищаемой нормативными актами, обычно влечет за собой не только ухудшение репутации, но и отзыв лицензий или штрафы регуляторов.
В качестве системы контроля баз данных многие компании используют штатные возможности СУБД для протоколирования действий пользователей, но, как показывает практика, этого функционала недостаточно для противодействия современным приемам злоумышленников. Кроме того, дополнительная нагрузка на сервер снижает скорость обработки данных и увеличивает время бизнес-процессов [9, с. 114].
...

2.2 Понятие и характеристика методов и средств защиты информации в базах данных

К методам обеспечения информационной безопасности принято относить препятствие; управление доступом, включая идентификацию и аутентификацию объекта или субъекта, проверку полномочий, регистрацию обращений и реагирование; маскировку,
регламентацию, принуждение и побуждение.
Эти методы реализуются с помощью следующих основных средств: законодательные, организационные, аппаратные, программные, криптографические и т.д.
В частности, организационные средства обеспечения информационной безопасности - это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к конфиденциальной информации становятся невозможными или существенно затрудняются за счет проведения организационных мероприятий. Оно включает в себя ряд административных, технических и экономических мероприятий.
...

3. ПРАКТИЧЕСКИЕ АСПЕКТЫ ПО СОЗДАНИЮ ЗАЩИТЫ ИНФОРМАЦИИ В БАЗЕ ДАННЫХ НА ПРИМЕРЕ КУВО «УСЗН КАНТЕМИРОВСКОГО РАЙОНА»

Организация казенное учреждение Воронежской области "Управление социальной защиты населения Кантемировского района" (далее КУВО «УСЗН Кантемировского района») зарегистрирована 29 марта 2013 года по адресу 396731, Воронежская обл., Кантемировский р-н, Кантемировка рп, Мира ул., 1.
Основным видом деятельности является предоставление социальных услуг без обеспечения проживания престарелым и инвалидам.
...

3.1 Анализ угроз безопасности и определение задач защиты базы данных учреждения КУВО "УСЗН Кантемировского района"

С целью разработки результативного метода охраны информации в базах данных КУВО "УСЗН Кантемировского района", нами был предварительно разработан проект действий:
1. Осуществить анализ угроз информационной безопасности.
2. Выявить актуальные угрозы безопасности защищаемой БД.
3. Определить проблемы охраны БД в учреждении.
Задача защиты базы данных учреждения КУВО "УСЗН Кантемировского района" решается выделением особой подсистемы информативной безопасности. На физическом уровне база данных находится на сервере отделения автоматизированных систем управления (АСУ). Допуск к базе данных возможен только лишь с сервера АСУ и из локальной сети учреждения, допуск из сети Интернет недоступен. Для установления конкретных вопросов охраны защищаемой базы данных нами были проанализированы возможные опасности хранящейся в ней данных.
...