МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ РОССИЙСКОЙ ФЕДЕРАЦИИ

УРАЛЬСКИЙ ГОСУДАРСТВЕННЫЙ ЭКОНОМИЧЕСКИЙ УНИВЕРСИТЕТ

УТВЕРЖДАЮ

Проректор по учебной работе

Л. М. Капустина

«_»_2011 г.

ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ

Программа учебной дисциплины Наименование специальности 080801 «Прикладная информатика в экономике»

Екатеринбург 2011 1. Цели освоения учебной дисциплины Целью изучения дисциплины «Информационная безопасность» является формирование у студентов способности анализировать способы нарушений информационной безопасности, изучение методов защиты информационных систем, моделей безопасности и их применения.

Изучение дисциплины обеспечивает реализацию требований Государственного образовательного стандарта высшего профессионального образования в области защиты информации по вопросам:

международные стандарты информационного обмена, аппаратных и программных средств компьютерных систем, используемых для обработки и хранения данных;

понятие информационной безопасности, ее цели, механизмы, инструментарий и основные направления;

проблемы в области информационной безопасности в Российской Федерации;

источники угроз информационной безопасности;

принципы защиты компьютерной информации;

модели безопасности, их практическое применение;

эффективность защиты в информационных системах;

программное и аппаратное обеспечение антивирусной профилактики, восстановления системной информации, удаленных и испорченных данных, противодействия угрозам безопасности корпоративных сетей со стороны Интернет.

Студент, изучивший дисциплину, должен знать:

особенности современных информационных систем как объекта защиты;

уязвимости основных структурно-функциональных элементов компьютерных систем;

классификацию угроз безопасности;

классификацию каналов проникновения в информационную систему и утечки информации;

неформальную модель нарушителя;

основные меры противодействия угрозам безопасности, принципы построения систем защиты, основные механизмы защиты;

модели разграничения доступа;

криптографические методы защиты, виды средств криптозащиты данных, их достоинства и недостатки, место и роль средств криптозащиты.

Студент, изучивший дисциплину, должен уметь:

использовать программное обеспечение для антивирусной профилактики;

восстанавливать системную информацию, удаленные и испорченные данные;

проводить основные организационные и организационнотехнические мероприятия по созданию и поддержанию функционирования комплексной системы защиты;

противодействовать угрозам безопасности корпоративной сети со стороны Интернет;

владеть специальной терминологией;

владеть информацией о правовом регулировании защиты информации в Российской Федерации.

2. Место учебной дисциплины в структуре ООП ВПО Учебная дисциплина «Информационная безопасность»

входит в федеральный компонент цикла специальных дисциплин СД.Ф.19 по специальности 080801 «Прикладная информатика в экономике» и изучается в 7 семестре.

Данная дисциплина использует знания, полученные студентами в предшествующих дисциплинах «Основы информатики и введение в специальность» и «Математика».

Знания, умения, навыки, полученные при изучении дисциплины «Информационная безопасность», используются при прохождении преддипломной практики, написании выпускной квалификационной работы.

3. Структура и содержание учебной дисциплины 3.1. Структура учебной дисциплины Общая трудоемкость дисциплины составляет 145 часов, в том числе:

по дневной форме обучения – аудиторные занятия – 68 ч (лекции – 34 ч, лабораторные занятия – 34 ч), самостоятельная работа – 77 ч.

Форма промежуточной аттестации – зачет.

Структура и трудоемкость дисциплины представлена в таблице.

Структура и трудоемкость дисциплины, ч Дневная форма обучения условиях функционирования в России глобальных сетей. Виды противников или «нарушителей». Понятия о видах вирусов дящие документы, касающиеся государственной безопасности на уровне безопасности и их применение. Таксономия нарушений информационной безопасности вычислительной системы и причины, обуславливающие их существование пьютерных систем Концепция информационной безопасности График изучения дисциплины в течение семестра приведен в календарно-тематическом плане и размещен на портале электронных образовательных ресурсов в разделе «Ресурсы».

3.2. Содержание учебной дисциплины Международные стандарты информационного обмена.

Понятие угрозы. Информационная безопасность в условиях функционирования в России глобальных сетей. Виды противников или «нарушителей».

Основные концептуальные положения системы защиты информации. Понятие информации. Структура защиты информации. Условия и требования, которым должна удовлетворять система защиты информации. Виды собственного обеспечения системы защиты информации.

Концептуальная модель информационной безопасности.

Объекты угроз. Угрозы конфиденциальной информации. Конфиденциальность, полнота (целостность), достоверность и доступность информации. Ущерб от угрозы информационной безопасности.

Классификация угроз по величине принесенного ущерба, по вероятности возникновения, по причинам появления, по характеру нанесенного ущерба.

Действия, приводящие к неправомерному овладению информацией. Разглашение. Утечка. Несанкционированный доступ.

Три вида возможных нарушений информационной системы. Защита. Основные нормативные руководящие документы, касающиеся государственной тайны Правовое регулирование защиты информации. Выполнение участниками информационных правоотношений и контроль выполнения полномочными субъектами, в т.ч. правоохранительными, норм права, содержащих организационнотехнические требования, дозволения и запреты в целях обеспечения целостности, доступности и конфиденциальности информации.

Интересы личности в информационной сфере. Интересы общества в информационной сфере. Интересы государства в информационной сфере.

Структура норм права Российской Федерации. Законодательства Российской Федерации в области защиты информации.

Направления правового регулирования защиты информации.

Конституционные гарантии интересов личности в информационной сфере.

Собственник, владелец и пользователь информационных ресурсов. Информация, не относящаяся к тайне, но распространение, которой ограничено (запрещено). Служебная или коммерческая тайна.

Руководящие документы Гостехкомиссии.

Административные правонарушения в сфере защиты информации. Составы преступлений, предусмотренные за нарушение режима защиты информации.

Электронная цифровая подпись. Закон об электронной цифровой подписи.

Нормативно-справочные документы.

Назначение и задачи в сфере обеспечения информационной безопасности на уровне государства Проблемы целостности и конфиденциальности информации на магнитных носителях.

Используемые методы защиты от непосредственного доступа к магнитным носителям.

Интеллектуальные возможности контроллера жесткого магнитного диска. Программное обеспечение для доступа и управления этими возможностями.

Физические принципы удаления и восстановления информации на магнитных носителях. Способы уничтожения информации на жестких магнитных дисках.

Обычные способы удаления файлов в файловых системах FAT, NTFS, S5/UFS. Возможности программ «шредеров». Программные и аппаратные средства уничтожения информации на HDD. Гарантированное уничтожение с разрушением магнитного носителя.

Способы восстановления информации на гибких магнитных дисках.

Основные положения теории информационной безопасности информационных систем.

Модели безопасности и их применение.

Таксономия нарушений информационной безопасности вычислительной системы и причины, обуславливающие Понятие и классификация криптографических методов и средств защиты информации. Шифрование и кодирование.

Ключ. Криптостойкость шифра. Характеристика некоторых методов шифрования.

Структура и классификация криптографических систем.

Основные режимы работы симметричных алгоритмов и стандартов шифрования данных. Симметричные и асимметричные (с открытым ключом) криптосистемы. Алгоритмы их работы.

Аутентификация электронных документов и сообщений.

Системы электронно-цифровой подписи.

Американские алгоритмы шифрования данных DES, AES, RSA.

Алгоритм шифрования данных по ГОСТ 28147-89.

Анализ способов нарушений информационной безопасности. Использование защищенных Вредоносные программы. Условия вредоносности. Команды в оболочках Windows, позволяющие копировать, модифицировать и удалять компьютерную информацию на уровне файлов и каталогов.

Деструктивные возможности стандартных команд. Вызов «опасных» функций в командной строке. Возможности программы RUNDLL32.EXE.

Разновидности программ. Разновидности вредоносных программ. Клавиатурные перехватчики. «Логические бомбы».

Сетевые «черви». «Жадные» программы. Программы «глюки».

«Мифические» вирусы.

Происхождение вирусов. Отличительные свойства компьютерных вирусов. Характеристика «традиционных» вирусов.

Сущность вирусного заражения.

Макровирусы. Причины распространения макровирусов.

Механизмы вирусного заражения шаблонов и документов.

Программные и аппаратные закладки. Отличительные свойства программных и аппаратных закладок. Функции, реализуемые программными и аппаратными закладками.

Жизненный цикл «вредоносной» программы. Способы запуска вредоносных программ. Социальная инженерия.

Характерные особенности программ удаленного администрирования.

Внедрение и запуск кода с помощью элементов ActiveX.

Использование серверов автоматизации в HTML-файлах.

Антивирусное программное обеспечение. Антивирусная профилактика.

Зачем нужны политика безопасности и процедуры безопасности? Выработка официальной политики предприятия в области информационной безопасности. Оценка рисков.

Выработка процедур для предупреждения нарушений безопасности. Процедуры выявления неавторизованной деятельности.

Типы процедур безопасности. Проверка системной безопасности. Процедуры управления счетами. Процедуры управления паролями. Процедуры конфигурационного управления.

Реакция на нарушения безопасности. Регистрационная документация.

Примерный перечень регламентирующих документов.

Документы, которые носят общий характер, но несут максимальную правовую нагрузку, позволяющие, в случае необходимости, давать административно-правовую оценку, возбуждать иски.

Документы, которые разделяют и закрепляют основные функции и обязанности. Документы, которые являются инструкциями для администраторов и пользователей КС и детализируют действия, права и обязанности пользователей.

Компьютерная система как источник побочных электромагнитных излучений. Несепарабельное электромагнитное поле.

Энергетика и диапазон побочных излучений.

Технические каналы утечки компьютерной информации.

Визуально-оптический перехват. Перехват побочных электромагнитных излучений. Перехват акустических полей.

Классификация элементов ПЭВМ по степени угроз.

Клавиатура как источник утечки информации. Виды аппаратных закладок в клавиатуре.

Принтеры как источники утечки компьютерной информации по техническим каналам. Четыре канала утечки информации характерные для принтеров.

Монитор как источник утечки. Плата видеоадаптера как источник побочных электромагнитных излучений. Возможная схема перехвата побочных электромагнитных излучений монитора. Аппаратные закладки в видеоканале.

Способы защиты от перехвата информации с экранов мониторов.

Требования к программно-аппаратным средствам защиты информации. Меры защиты информации. Принципы защиты информации.

Характеристики средств защиты информации, создаваемые аппаратно-программными средствами. Функции СЗИ. Схема защиты информации.

Реализация политики разграничения доступа (Dallas Lock).

Блокирование доступа злоумышленника к закрытым, виртуальным дискам, содержащим конфиденциальные данные и программы их обработки. Способы аутентификации личности.

Организация виртуального диска. Структура файла-образа виртуального диска.

Резидентные программы-шпионы, которые могут отслеживать процессы, происходящие с данными на компьютере.

Чтение остаточной информации в памяти после выполнения санкционированных запросов.

Сетевые средства защиты информации (ViPNet). Серверная часть программного обеспечения. Клиентская часть программного обеспечения.

Аппаратный модуль доверенной загрузки (Secret Disk, Аккорд). Программно-аппаратная система шифрования (Strong Disk).Комплексное средство защиты информации (Dallas Lock, ПАНЦЫРЬ).

Основные технологии построения защищенных Межсетевой экран (МЭ), Firewall, брандмауэр. Основные компоненты МЭ.

Фильтрующий маршрутизатор. Характеристики фильтрующего маршрутизатора.

Схема инкапсуляции данных в стеке протоколов TCP/IP.

Заголовок IP. Заголовок TCP. Заголовок UDP. Сообщение ICMP.

Пример таблицы фильтрации. Правила внутреннего и внешнего соединения узлов.

Шлюз сетевого уровня. Дополнительные возможности (NAT, Port Mapping).

Шлюз прикладного уровня. Реализация шлюза прикладного уровня. Функции шлюза прикладного уровня. "Укрепленный" компьютер. Использование COM-порта.

Политика межсетевого взаимодействия. Политика сетевой безопасности.

Основные схемы сетевой защиты на базе МЭ.

Двупортовый шлюз. Экранированный шлюз. Экранированная подсеть.

Использование нескольких бастионов. Объединение внутреннего и внешнего маршрутизаторов. Объединение внешнего маршрутизатора с бастионом.

Объединение внутреннего маршрутизатора с бастионом.

Использование нескольких внутренних маршрутизаторов.

Использование нескольких внутренних подсетей. Использование нескольких внутренних подсетей с магистралью. Использование нескольких внешних маршрутизаторов. Использование нескольких периметровых подсетей.

Место информационной безопасности экономических систем в национальной безопасности страны.

Концепция информационной безопасности Этапы управления доступом. Система управления доступом. Способы аутентификации личности.

Парольная система аутентификации личности пользователя. Пароль пользователя. Вероятность подбора пароля. Атаки на парольную систему. Требования к парольной системе. Минимальная длина пароля. Издержки «человеческого фактора». Рекомендации по выбору паролей.

Биометрическая идентификация. Формы динамической идентификации. Идентификация по росписи. Аутентификация по голосу. Клавиатурный почерк. Виды биометрической идентификации по статическим признакам. Достоинства и недостатки биометрической идентификации.

Средства идентификации пользователя.

Физические носители кодов паролей. Идентификационные карточки.

Надежность систем управления физического доступа к информационным ресурсам.

Концепция информационной безопасности Требования к аудиту. Политика аудита. Опасные привилегии. Аудит доступа к объектам.

Просмотр событий аудита. Подбор пароля администратора. Регистрация входа в систему.

Изменение политики аудита. Адекватная политика аудита.

Администраторы и аудиторы.

4. Оценочные средства для текущего контроля успеваемости, промежуточной аттестации по итогам освоения дисциплины и их учебно-методическое обеспечение Результаты освоения учебной дисциплины оцениваются следующими средствами текущего контроля успеваемости:

индивидуальный опрос;

контрольная работа;

самоконтроль;

тестирование;

собеседование.

Методическое обеспечение текущего контроля Индивидуальный опрос и собеседование проводится на лабораторных занятиях по вопросам к каждой теме. Перечень вопросов приведен в методических указаниях по выполнению лабораторных работ.

Задания к контрольным работам включают решение задач по темам из задачника для очной формы обучения.

Самоконтроль осуществляется по вопросам, перечисленным в разрезе тем в методических указаниях по самостоятельной работе и путем решения тестовых заданий для самоконтроля.

Тестовые задания для самоконтроля и текущего контроля размещены на портале электронных образовательных ресурсов по дисциплине «Информационная безопасность» в разделе «Тесты и экзамены».

4.2. Промежуточная аттестация Промежуточная аттестация по итогам освоения дисциплины проводится в форме зачета.

Вопросы к зачету размещены на портале электронных образовательных ресурсов по дисциплине «Информационная безопасность» в разделе «Ресурсы».

4.3. Использование балльно-рейтинговой системы для текущего контроля и промежуточной аттестации Для текущего контроля успеваемости и промежуточной аттестации используется балльно-рейтинговая система в соответствии с «Положением об академическом рейтинге».

Текущий рейтинг по дисциплине «Информационная безопасность» определяется с учетом посещаемости, участия студентов в лабораторных работах, выполнении контрольных точек, а также внеаудиторной работе (участие в конференциях, олимпиадах, конкурсах и др.).

Требования, критерии оценки для расчета текущего рейтинга по дисциплине размещены на портале электронных образовательных ресурсов в разделе «Ресурсы».

5. Учебно-методическое и информационное обеспечение учебной дисциплины Учебно-методическое и информационное обеспечение дисциплины «Информационная безопасность» включает конспект лекций, презентационные материалы для чтения лекций и проведения лабораторных занятий.

Электронная версия конспекта лекций, учебного пособия, учебника, презентации представлены на портале электронных образовательных ресурсов по дисциплине «Информационная безопасность» в разделе «Ресурсы».

Для изучения дисциплины «Информационная безопасность» следует использовать основную литературу, дополнительную литературу, базы данных Консультант-Плюс, Гарант, интернет-ресурсы.

1. Гайдамакин, Н.А. Автоматизированные системы, базы и банки данных. Вводный курс: [Текст] / Н.А.Гайдамакин – М:

Гелиос АРВ, 2007. – 368с.

2. Девянин, П.Н. Теоретические основы компьютерной безопасности [Текст] / П.Н.Девянин, О.О.Михальский, Д.И.

Правиков – М.: Радио и связь, 2008. – 192 с.

3. Зегжда, Д.П. Как построить защищенную информационную систему [Текст] / Д.П.Зегжда, А.М.Ивашко – СПб: Мир и семья, 2008. – 312 с.

4. Конев, И. Информационная безопасность предприятия:

[Текст] / Искандер Конев, Андрей Беляев – СПб.: БХВ – Санкт Петербург, 2007, – 752 с.: ил.

5. Коноплева, И.А. Управление безопасностью и безопасность бизнеса: учеб. пособие для студентов вузов, обучающихся по специальности «Прикладная информатика (по обл.)» / И.А.Коноплева, И.А.Богданов. – М.: ИНФРА-М, 2010. – 447 с.

6. Проскурин, В.Г. Защита в операционных системах:

[Текст] / В.Г.Проскурин, С.В.Крутов, И.В.Мацкевич – М.: Радио и связь, 2006. – 168 с.

7. Родичев, Ю.А. Информационная безопасность: нормативно-правовые аспекты: учеб. пособие / Ю.А.Родичев. – СПб:

Питер, 2008. – 272 с.

8. Цирлов, В.Л. Основы информационной безопасности:

крат.курс / В.Л.Цирлов. – Ростов н/Д: Феникс, 2008. – 254 с.

9. Ярочкин, В.И. Информационная безопасность: [Текст] / В.И.Ярочкин / Учебник для студентов вузов. – М.: Академический Проект, Фонд «МИР», 2006. – 640 с.: ил.

10. Агапов, А.Б. Основы государственного управления в сфере информатизации в Российской Федерации [Текст] / А.Б.

Агапов – М, 1997. – 344с.

11. Копылов, В.А. Информационное право: [Текст] / В.А.

Копылов, Учебное пособие. – М.: Юристъ, 1997г. – 472с.

12. Организация и современные методы защиты информации (под общ. ред Диева С.А., Шаваева А.Г.) – : [Текст] / М,1998. – 472с.

13. www.epos.kiev.ua.

14. www.cpress.ru.

15. www.hackzone.ru.

16. www.tbecodex.com.

6. Материально-техническое обеспечение Реализация данной учебной дисциплины осуществляется с использованием материально-технической базы, обеспечивающей проведение всех видов учебных занятий и научноисследовательской работы обучающихся, предусмотренных программой учебной дисциплины и соответствующей действующим санитарным и противопожарным правилам и нормам:

оборудованные кабинеты и аудитории, компьютерные классы, аудитории, оборудованные мультимедийными средствами обучения.

Программа составлена в соответствии с требованиями ГОС ВПО по специальности 080801 «Прикладная информатика в экономике», квалификация – информатик-экономист.

Программа размещена на портале электронных образовательных ресурсов в разделе «Ресурсы».

Автор – к.ф.-м. н., доцент А.В.Зенков