Пайдаланушының қол жеткізуін басқару

Ақпараттық жүйеге және қызметке қол жеткізу құқығын бөліп таратуды басқару үшін нысанды рәсімдер әзірленуі және іске асырылуы тиіс. Рәсімдер пайдаланушылар қол жеткізуінің барлық сатысын қамтуы тиіс: жаңа пайдаланушыларды тіркеуден бастап ақпараттық жүйеге және қызметке қол жеткізуі енді талап етілмейтін сол пайдаланушыларды тіркеуден айыру қортындысына дейін. Онда осы талап етілетін, жүйені басқару құралдарын айналып өтуші пайдаланушыларға мүмкіндік беретін қол жеткізу құқығы артықшылығын бөліп тарату қажеттілігіне ерекше назар аударылуы тиіс.

• 
  олардың іс-қимылы үшін жауаптылығына сәйкес пайдаланушыларды байланыстыру үшін бірегей иденфикаторларды (ID) пайдалану;
  
• 
  жүйенің жұмыс істеуінің ерекшелігін ескере отырып қызметін жүзеге асыру үшін қажет болған жағдайда топтық ID пайдалану мүмкіндігін қарастыру;
  
• 
  тіркеу және айыру рұқсат етілген және құжатталған болуы тиіс, соның тексерілуі, себебі қол жеткізу құқығына басшыдан бөлек рұқсатты қолдануға, пайдаланушының ақпараттық жүйені және оның қызметін пайдалануға иесінен рұқсаты бар;
  
• 
  берілген қол жеткізудің деңгейі өндірістік мақсатқа және қауіпсіздік саясатына сәйкес болуы және жұмыс тәртібіне шек қоюға қатер төндірмеуі тиіс;
  
• 
  пайдаланушыларға жазбаша құжаттарды беру, онда олардың қол жеткізу құқығы регламенттелуде, талап етілуінде пайдаланушылар құжатқа қол қойып, себебі олар сол туралы қол жеткізудің шартын түсінеді;
  
• 
  тіркеу рәсімдерін аяқтау сәтінен бастап қол жеткізуді беру;
  
• 
  қызметтерді пайдалану үшін барлық тіркелген тұлғалар туралы нысандық есеп берулерді құру және қолдауды қамтамасыз ету;
  
• 
  қызметін ауыстырған, қамтылған нысаны немесе ұйымнан босатылған пайдаланушылардың қол жеткізу құқығын дереу жою немесе оқшауландыру;
  
• 
  артық ID және пайдаланушылардың есеп жүргізу жазбасын, сондай-ақ олардың жойылуы мен оқшаулануын табу үшін аудит;
  
• 
  ID айыру үшін, пайдаланушылар басқадай пайдаланушыларға қол жетімсіз болуын қамтамасыз ету;
  
• 
  Пайдаланушылардың қол жеткізу үлгілік профилінде қол жеткізу құқығының кейбір санын жинақтау жолымен өндірістік талап етуде негізделген олардың қызметтеріне сәйкес қол жеткізуді пайдалануды беру мүмкіншілігін қарастыру.
  

• 
  әрбір жүйелік өнімдермен байланысты қол жеткізудің артықшылығы ұқсастырылуы тиіс, мысалға, операциялық жүйемен, деректерді басқару жүйесімен және әрбір қосымшамен, сондай-ақ пайдаланушылар, онда олар ұсынылуы тиіс;
  
• 
  қол жеткізуді басқару саясатымен сәйкес «оқта-текте» ұстанымы бойынша және «пайдалану қажеттілігі» негізінде артықшылық пайдаланушыларға берілуі тиіс, мысалға ең аз қажетті артықшылық олардың қызметтік міндеттерін орындау үшін, тек қана қашан осы артықшылықтар қажет болғанда;
  
• 
  барлық берілген артықшылықтар және олар бойынша есеп беруді құрудың рұқсат етілген үдерісі қамтамасыз етілуі тиіс, оларды тіркеу үдерісін аяқтағанға дейін артықшылықты беруге болмайды;
  
• 
  пайдаланушыларға артықшылықты беруден қашуға мүмкіндік беретін жүйелік бағдарламаны пайдалануды әзірлеу қажет;
  
• 
  артықшылықты пайдаланушының әдеттегі жұмысында пайдаланатынына емес, пайдаланушының басқа ID беруі тиіс.
  

Пайдаланушы жеке пайдалану үшін бірегей идентификаторы (пайдаланушылық ID), болуы тиіс, пайдаланушының дәлме-дәлдігін растау үшін сәйкестендірілген сәйкесәдісін пайдалануы тиіс. Бұл пайдаланушылардың барлық түрлеріне (оның ішінде техникалық қолдау персоналына, операторларға, желі әкімшілеріне, желіллік бағдарламашыларға, дерекқорлар әкімшілеріне) қолданылуы тиіс. Пайдаланушылық ID сәйкес тұлғалармен орындалатын опрерациялардың сенімділігі үшін пайдаланылуы тиіс. Әдеттегі пайдаланушылық операциялар есеп жүргізу жазбаларының артық құқығымен орындалмауы тиіс.

Қолданбалы жүйеге және оның ішіндегіге қол жеткізуді шектеу үшін қауіпсіздік құралы пайдаланылуы тиіс. Қолданбалы бағдарламалық қамтамасыз етуге және ақпаратқа логикалық қол жеткізу тек қана рұқсат етілген пайдаланушыларға берілуі тиіс.

• 
  қол жеткізуді басқарудың белгілі бір саясатына сәйкес ақпаратқа және қолданбалы жүйенің қызметіне пайдаланушының қол жеткізуін басқару;
  
• 
  кез келген жүйелік қосалқы бағдарламаны, операциялық жүйені бағдарламалық қамтамасыз етуді, арам ниетті бағдарламалық кодтарды, жүйелерді немесе қосымшаларды басқару құралдарының жұмысын айналып өтетін немесе тоқтататын қабілеттіні пайдаланумен рұқсатсыз қол жеткізуден қорғауды қамтамасыз ету;
  
• 
  осы ақпараттық пайдаланатын басқадай жүйені қатерге қоймау.
  

Қол жеткізуді басқарудың белгіленген саясатына сәйкес, пайдаланушылар және қолдау қызметі персоналдар үшін ақпаратқа және қолданбалы жүйенің қызметіне қол жеткізу шектелуі тиіс. Қол жеткізудің шектелуі өндірістік қажеттілікке және ақпараттық қауіпсіздік саясатына негізделуі тиіс. Қол жеткізуге шектеу жөніндегі талаптарды қамтамасыз ету үшін мынадайларды қарау қажет:

• 
  қолданбалы жүйенің қызметіне қол жеткізуді басқару үшін мәзірді қамтамасыз ету;
  
• 
  пайдаланушылардың қол жеткізу құқықтарын басқару, мысалға, оқылымға, жазбаға, орындауға қосымшаны жоюға және жіберуге;
  
• 
  басқадай қосымшаларға қол жеткізу құқықтарын басқару;
  
• 
  қамтамасыз етудің жиыны, тек қана ақпаратты ұстайтын сезімтал ақпаратты өңдейтін қолданбалы жүйеден тұжырым үшін қажетті, осы тұжырымды пайдалану үшін және тұжырым тек қана рұқсат етілген терминалдарға және құралдарды ораналастырудың рұқсат етілген орнына жөнелтілсе;
  
• 
  тұжырымдардан артық ақпаратты жойылғанды кепілдендіретін, осындай тұжырымдардың мерзімдік тексеруін жүргізу.
  

Әлсіз жүйеге қарастылар оқшауланған есептегіш ортасы болуы тиіс. Әлсіз жүйеге қарастыларды оқшау үшін мынадай ұсынымдар қарастырылуы тиіс:

• 
  қолданбалы жүйеге қарастының әлсіздігі анық бірдейлестірілген және құжатталған болуы тиіс;
  
• 
  егер әлсіз қосымша жалпы пайдалану ортасында орындалуы тиіс болса, қолданбалы жүйеге қарасты бірдейленуі тиіс, ол ресурстарды, сондай-ақ сәйкес тәуекелді бөледі;
  
• 
  қолданбалы жүйеге қарастылар және тәуекелдер сезімтал қосымша иесімен рұқсат етілуі тиіс.
  

Жедел есептегіш және жойылған жұмыс

Жедел есептегіштерді пайдаланған кезде қосымшалардың сәйкес қорғауы ескерілуі тиіс. Жойылған жұмыстар жағдайында жойылған жұмыстар үшін пайдаланылған аймақты қорғауды қамтамасыз етуі және осы жұмыс тәсіліне сәйкес өкімммен істелгенді кепілдендіруі тиіс.

Ақпараттық қауіпсіздік қақтығыстарын басқару

Ақпараттық қауіпсіздік туралы және оның әлсіздігі туралы хабарлама

Оқиғалар және ақпараттық қауіпсіздік қатерінің пайда болуы туралы хабарлама бойынша нысанды рәсімдер іске асырылуы тиіс. Ақпараттық қауіпсіздік оқиғалары туралы мәлімет сәйкес арналар арқылы басқаруы қаншалықты мүмкін болса, соншалықты тез болуы тиіс. Қақтығысқа және қауіпсіздік жүйесін жұмылдыруға елеу рәсімімен бірге пайдаланылатын ақпараттық қауіпсіздік оқиғалары туралы хабарламаның нысанды рәсімі іске асырылуы тиіс, онда ақпараттық қауіпсіздік оқиғалары туралы еп қылған хабарламаны алғаннан кейін іс-қимылы сипатталған:

• 
  кері байланыстың сәйкес үдерістері ақпараттық қауіпсіздік оқиғалары туралы кім хабарлағанға кепіл болса, қалай проблема шешілгеннен кейін нәтижесі туралы хабарланатын болады;
  
• 
  ақпараттық қауіпсіздік оқиғасы болған жағдайда еп қылғанды, барлық қажетті іс-қимылды олар туралы еске сақтағанды кім хабарласа, оған хабарлағаны және көмектескені бойынша қамтамасыз ететін ақпараттық қауіпсіздік оқиғалары бойынша нысандар;
  
• 
  ақпараттық қауіпсіздік оқиғасы жағдайында дұрыс мінез-құлқы, мысалға,
  

• 
  барлық маңызды бөлшектерін дереу белгілеу (мысалға, сәйкесіздікті немесе бұзу түріндегіні, жөнсіз жұмыстың пайда болуын, экрандағы хабарламаны, оғаш жұмыстың тәртібіндегіні);
  
• 
  өз бастамаң бойынша ешқандай іс-қимылды еп қылмауың тиіс, бірақ байланыс бөлімшесіне дереу хабарлау;
  

• 
  қауіпсіздікті бұзатын қызметкерлермен, келісім шарт жасайтын агентпен немесе үшінші тараптың пайдаланушыларымен жолыққан кезде – белгіленген нысанды тәртіптік үдеріске сілтеме.
  

Болуы мүмкін ақпараттық қауіпсіздіктегі оқиғалар мен қақтығыстар:

• 
  қызметтерді, құралдарды немесе жұмыс істеуін жоғалту;
  
• 
  жүйенің дұрыс емес жұмыс жасауы немесе артық жүктелуі;
  
• 
  адамдық қателер;
  
• 
  ережелерді немесе нұсқаманы сақтамау;
  
• 
  физикалық қауіпсіздікті сақтамау;
  
• 
  бақылау жүргізілмейтін жүйенің өзгеруі;
  
• 
  бағдарламалық қамтамасыз етудің немесе аппараттық құралдардың істен шығуы;
  
• 
  қол жеткізудің бұзылуы;
  
• 
  ақпараттық жүйенің істен шығуы және қызметтерді берудің тоқтатылуы;
  
• 
  арам ниетті бағдарламалық код;
  
• 
  қызметтерді беруде бас тарту;
  
• 
  өндірістік дерктердің толық еместігіне немесе дәлдік еместігіне байланысты болатын қателер;
  
• 
  құпиялығының және тұтастығының бұзылуы;
  
• 
  ақпараттық жүйелерді дұрыс емес пайдаланылуы.
  

Ақпараттық жүйелердің аудит құралдарына қол жеткізу кез келген оларды дұрыс емес пайдалану немесе қатерді құруды болдырмас үшін қорғалуы тиіс. Ақпараттық жүйелердің аудит құралдары, оның ішінде бағдарламалық қамтамасыз ету, деректердің файлы операциялық жүйелер мен жүйелердің әзірлеуден бөлектенуі тиіс және пайдалушылар үшін тағайындалған орында, аймақта, немесе кітапханада сақталуы тиіс емес. Олар үшін сәйкес деңгейде қосымша қорғау қамтамасыз етілуі тиіс.

21. 
    Теориялық мағлұматпен танысу.
    
22. 
    Теориялық мағлұматқа талдау жасау.
    
23. 
    Бақылау сұрақтарына жауап беру.
    
24. 
    Жеке тапсырмаға талдау жасап, мысалдар келтіру.
    

4. 
   Қол жеткізуді басқару саясатының сақтау керек ережесі.
   
5. 
   Қол жеткізуді басқару саясаты қандай шараларды ескеруі керек?
   
6. 
   Пайдаланушының қол жеткізуін басқару қалай орындалады?
   
7. 
   Артықшылықты басқару қандай кезеңдерді қамтиды?
   
8. 
   Ақпаратқа және қосымшаларға қол жеткізуді басқаруға қойылатын талаптар.
   
9. 
   Қол жеткізуге шектеу жөніндегі талаптар қандай?
   
10. 
    Болуы мүмкін ақпараттық қауіпсіздіктегі оқиғалар мен қақтығыстар.
    
11. 
    Аудит құралдарын қорғау қызметі.
    

Егер ||aij|| матрицасын кілт түрінде пайдаланып, ал оның bj компонентінің орнына мәтін символын қойса, онда cj векторы компоненті шифрленген мәтін символынан тұрады. Кілт орнына үшінші қатардың шаршы матрицасын пайдаланып мысал келтірейік.

Алфавиттік реттік нөмерге сай алфавит әріптерін санға ауыстырайық. Сонда ВАТАЛА мәтінінің үзіндісі 3,0,19,0,12,0 сандарының нөмірлік ретіне сай келеді. Шифрлеудің қабылданған алгоритмі бойынша қажетті мәнді орындайық.

Бұл жағдайда шифрленген мәтін мына түрде болады: 99,62,28,60,24. Кері шифрлеу матрицаны векторға көбейту ережесін пайдаланумен жүреді жабуды жүзеге асырушы кері матрицаға негізге алынады, ал дербес-вектор – яғни жабық мәтін символына сәйкес санды вектор түрінде беріледі, бұл кезде нәтиже – векторының мәні ашық мәтін белгінің сандық эквиваленті болады. Деректерге кері матрица дегеніміз қосылған матрицаның берілген анықтағыш матрицаның барлық элементтеріне ыдырауы. Өз кезегінде алгебралық А қосымшасынан құралып берілген матрица мына формула бойынша Aij=(-1)^i+j Dij, есептеп шығарылады.

Dij-кезінде матрица анықтағышы i-мен оның жолдары j-бағанасы сызылуымен алынды.

Анықтағыш дегеніміз өздеріңізге белгілі келесі әдіспен: n-матрица элемент туындысының барлық мүмкіндіктері мүше қызметін атқарады, әр жолдан бір матрица элементі, әр бағаннан бір матрица алынғанда, қосындының мүшесі “+” белгісімен белгіленеді. Егер оның индексі орын алмастыруды құраса және “-” белгісімен алынады. Бұл қарама-қарсы жағдайда “-” осы белгімен алынады. Үшінші қатардың матрицалары үшін, мысалы, анықтағыш келесі формула бойынша есептеледі.

D=a11a22a33+a12a23a31+a13a21a32-a11a23a32-a12a21a33-a13a22a31

Онда ашу процесі төмендегідей болады:

Нәтижесінде алғашқы мәтінге сәйкес келетін ашық мәтіннің келесі тізбегі шығады: 3,0,19,12,0 . Бұл шифрлеу әдісі бағдарламалық құралдармен оңай өңделетін болғандықтан формальды болып саналады.