Ақпараттық қауіпсіздік тақырыбындағы баяндама материалы

«А.Өтепбергенов атындағы ЖББМ» КММ

БАЯНДАМА

ИНФОРМАТИКА ПӘНІН ОҚЫТУДА ЖӘНЕ МЕМЛЕКЕТТІК БІЛІМ БЕРУ ҰЙЫМДАРЫНДА АҚПАРАТТЫҚ ҚАУІПСІЗДІК ҚАҒИДАЛАРЫН ОРЫНДАУ

Орындаушы: Асқар Жасұлан

2024-2025 оқу жыл

МАЗМҰНЫ:

КІРІСПЕ3

НЕГІЗГІ БӨЛІМ4

Сәйкестендіру және қол жеткізуді басқару жүйелері дегеніміз не?4

IAАА жүйесінің негізгі элементтеріне мыналар жатады:5

Куәліктің өмірлік циклін басқару дегеніміз не?6

Куәліктер федерациясы7

Аутентификация әдістері8

Саясаттар, стандарттар мен рәсімдер дегеніміз не?9

Құпия ақпараттың түрлері11

Нормативтер мен стандарттар11

Интернеттегі пайдаланушының қауіпсіздігі13

Wi-Fi сымсыз желі13

Интернеттегі қауіпсіздік бойынша негізгі кеңестер14

Құпия сөздер19

Электрондық пошта24

Әлеуметтік желілер30

Онлайн-транзакциялар33

Қауіпсіздік ережелері37

Браузер40

Дербес компьютерлер және мобильді құрылғылардың қауіпсіздігі44

ҚОРЫТЫНДЫ52

ПАЙДАЛАНЫЛҒАН ӘДЕБИЕТТЕР:53

КІРІСПЕ

Ақпараттық қауіпсіздік-мемлекеттік ақпарат ресурстарының, сондайақ ақпарат саласында адамның құқықтары мен қоғамды қорғаудың жай күйі.

Ақпаратты қорғау-ақпараттық қауіпсіздікті қамтамасыз етуге бағытталған шаралар кешені. Іс жүзінде ақпаратты қорғау дегеніміз-деректерді Енгізу, сақтау, өңдеу және беру үшін пайдаланылатын ақпарат пен ресурстардың тұтастығын, қол жетімділіктің оңтайлылығын және қажет болған жағдайда анонимділігін қолдау. Осылайша, ақпаратты қорғау-бұл ақпараттың ағып кетуіне, ұрлануына, жоғалуына, рұқсатсыз жойылуына, өзгеруіне, түрленуіне, рұқсатсыз көшірілуіне, бұғатталуына жол бермеу үшін жүргізілетін шаралар кешені. Қауіпсіздікті қамтамасыз ету уақытына қойылатын шектеулерді қанағаттандыруға бағытталған ұйымдастырушылық, бағдарламалық және техникалық әдістер мен құралдарды қамтиды.

Ақпараттық қауіпсіздік-мемлекеттік ақпараттық ресурстардың жай-күйі, сондай-ақ ақпарат саласындағы жеке адамның құқықтары мен қоғамның мүдделерін қорғау.

Ақпаратты қорғау-ақпараттық қауіпсіздікті қамтамасыз етуге бағытталған шаралар кешені. Іс жүзінде ақпаратты қорғау дегеніміз-деректерді Енгізу, сақтау, өңдеу және беру үшін пайдаланылатын ақпарат пен ресурстардың тұтастығын, қол жетімділіктің оңтайлылығын және қажет болған жағдайда анонимділігін қолдау. Осылайша, ақпаратты қорғау-бұл ақпараттың ағып кетуіне, ұрлануына, жоғалуына, рұқсатсыз жойылуына, өзгеруіне, түрленуіне, рұқсатсыз көшірілуіне, бұғатталуына жол бермеу үшін жүргізілетін шаралар кешені. Қауіпсіздікті қамтамасыз ету уақытына қойылатын шектеулерді қанағаттандыруға бағытталған ұйымдастырушылық, бағдарламалық және техникалық әдістер мен құралдарды қамтиды.

Ақпараттық қауіпсіздіктің 3 маңызды сәтін ажыратуға болады: қол жетімділік (оңтайлылық), тұтастық және анонимділік.

Қол жетімділік (оңтайлылық) — ақылға қонымды уақыт ішінде қажетті ақпараттық қызметті алу мүмкіндігі. Ақпараттың қолжетімділігі-ақпаратқа кедергісіз (қол сұғылмайтын) қол жеткізуге тиісті өкілеттіктері бар субъектілердің ақпаратқа қол жеткізуін қамтамасыз ету қабілетімен сипатталатын ақпараттың, техникалық құралдар мен өңдеу технологияларының қасиеті.

Тұтастық-ақпаратты бұзудан және заңсыз өзгерістерден қорғау. Ақпараттың тұтастығы деп есептеу техникасы құралдарының немесе автоматтандырылған жүйелердің ақпаратты кездейсоқ немесе қасақана бұрмалау (бұзу) кезінде осы ақпараттың өзгермейтіндігін қамтамасыз ету қабілеті түсініледі.

Анонимділік-бұл заңсыз кіруден немесе оқудан қорғау.

НЕГІЗГІ БӨЛІМ

Сәйкестендіру және қол жеткізуді басқару жүйелері дегеніміз не?

Сәйкестендіру және қол жеткізуді басқару жүйелері (IAАА) ақпараттық ресурстарға қол жеткізу құқықтарын тиімді басқару қажеттілігінің артуына жауап ретінде әсіресе көптеген пайдаланушылар мен күрделі деректер құрылымдары бар ұйымдарда дамыды. IААА эволюциясының тарихы бірнеше кезеңдерді қамтиды:

1. Компьютерлендірудің алғашқы кезеңі

Ақпараттық технологиялардың дамуының басында және компьютерлердің пайда болуында негізінен физикалық қауіпсіздік пен компьютерлік кеңістіктерге қол жетімділікті бақылауға баса назар аударылды.

2. Желілердің өсуі және орталықсыздандыру

Желілердің пайда болуымен және ақпаратқа қашықтан қол жетімділікпен сәйкестендіру мен қол жеткізу құқықтарын мұқият басқару қажет болды.

3. Ұйымдардың кешенділігі

Корпорациялар мен ұйымдардың дамуы қызметкерлер санының артуына және қол жеткізуге болатын әртүрлі жүйелер мен ресурстардың өсуіне әкелді.

4. Стандарттар мен реттеулердің пайда болуы

Sarbanes-Oxley Act және HIPAA сияқты қауіпсіздік стандарттары мен заңнамалық талаптардың пайда болуымен ұйымдар сәйкестікке қол жеткізуді қатаң басқара бастады.

5. IААА технологияларын дамыту

1990-2000 жылдары сәйкестендіруді, аутентификацияны және авторизацияны орталықтандырылған бақылауды ұсынатын алғашқы IAM шешімдері пайда бола бастады.

6. Қауіптер мен кибершабуылдардың өсуі

Киберқауіптердің және шабуылдардың көбеюі рұқсатсыз кіруден қорғау үшін тиімді IAАА жүйелерінің қажеттілігін көрсетті.

Сәйкестендіру және қол жеткізуді басқару жүйелері орталықтандырылған қол жеткізуді басқаруды, пайдаланушы әрекетін тексеруді және қауіпсіздік стандарттарына сәйкестікті қамтамасыз ететін ақпараттық қауіпсіздіктің ажырамас бөлігіне айналды. Бұл эволюция технологияның дамуымен және цифрлық кеңістіктегі қауіптердің өзгеруімен бірге әлі күнге дейін жалғасуда.

IAАА жүйесінің негізгі элементтеріне мыналар жатады:

1. Сәйкестендіру (Identity Management)

Пайдаланушы сәйкестендіру деректерінің өмірлік циклін басқару.

Есептік жазбаларды құру, өзгерту және жою.

Пайдаланушы рөлдері мен топтарын басқару.

2. Аутентификация (Authentication)

Кіру кезінде пайдаланушылардың түпнұсқалығын растау.

Құпия сөздер, биометрика, бір реттік кодтар және басқалар сияқты әртүрлі әдістерді қолдану.

3. Авторизация (Аuthorization)

Белгілі бір ресурстарға қол жеткізу үшін пайдаланушылардың рұқсаттарын басқару.

Қандай пайдаланушылардың қандай деректер мен функционалдылыққа қол жеткізе алатынын анықтау үшін рөлдер мен ережелерді тағайындау.

4. Аудит (Аudit)

Пайдаланушылардың белсенділігін және қол жеткізу құқықтарының өзгеруін бақылау үшін журналдар мен аудит жүргізу.

Инциденттерді тергеу мүмкіндігін қамтамасыз ету және нормативтік талаптарды сақтау.

IAАА ұйымдарға ақпараттық ресурстарды тиімді басқаруға, қауіпсіздік тәуекелдерін азайтуға және сәйкестікті қамтамасыз етуге мүмкіндік береді. IAАА жүйесін қолдану әсіресе көптеген пайдаланушылары, әртүрлі рөлдері және деректерге қол жеткізудің күрделі құрылымдары бар үлкен ұйымдарда өте маңызды.

Сәйкестендіру және қол жеткізуді басқару жүйесінің мысалы (IAАА)

Microsoft Azure Active Directory (Azure AD)

1. Сәйкестендіру

Жергілікті каталогтармен синхрондау: Azure AD қызметкерлерге бірыңғай кіруді қамтамасыз ете отырып, деректерді жергілікті каталогтармен синхрондауға мүмкіндік береді.

Бірнеше аутентификация әдістері: құпия сөздерді, көп факторлы аутентификацияны және биометрияны қоса, әртүрлі аутентификация әдістерін қолдау.

2. Авторизация

Рөлдік басқару: Azure AD әкімшілерге рөлге негізделген қол жеткізу құқықтарын тағайындауға мүмкіндік беретін рөлдік басқару механизмін ұсынады.

Қол жеткізу шарттарын басқару: қол жеткізуді дәлірек басқару үшін құрылғының орналасқан жері немесе түрі сияқты қол жеткізу шарттарын анықтау.

3. Аудит және мониторинг

Аудит журналдары: Azure AD аудит журналдарын сақтайды, бұл әкімшілерге пайдаланушылардың белсенділігі мен жүйенің өзгеруін бақылауға мүмкіндік береді.

Қауіпсіздік мониторингі: қауіпсіздік мониторингі құралдары күдікті әрекеттер туралы ескертеді және оқиғаларға жауап беруге көмектеседі.

4. Сәйкестендірудің өмірлік циклін басқару

Процесті автоматтандыру: Azure AD есептік жазбаларды құруды, өзгертуді және өшіруді қоса алғанда, сәйкестендірудің өмірлік циклін басқаруға арналған автоматтандыру құралдарын ұсынады.

5. Бұлтты сәйкестендіру

Бұлтты қызметтермен интеграция: бұлтты ресурстарға қауіпсіз қол жетімділікті қамтамасыз ету үшін бұлтты қосымшалармен және қызметтермен интеграция.

Azure AD бұлтта сәйкестендіру мен қол жеткізуді басқарудың кешенді тәсілін ұсынатын заманауи IAАА жүйесінің мысалы болып табылады.

Куәліктің өмірлік циклін басқару дегеніміз не?

Тіркелгі деректерінің өмірлік циклін басқару ақпараттық жүйелерде пайдаланушы тіркелгі деректерін жасау, басқару және тоқтату процесін білдіреді. Бұл процесс бірнеше негізгі қадамдарды қамтиды:

1. Сәйкестіктерді жасаңыз

Бұл кезеңде пайдаланушыға бірегей пайдаланушы аты мен құпия сөз сияқты сәйкестендіру деректері беріледі. Бұл деректер пайдаланушы жүйеге алғаш рет тіркелгенде жасалуы мүмкін.

2. Басқаруды өзгерту

Құпия сөзді өзгерту, жеке ақпаратты жаңарту немесе кіру деңгейін өзгерту сияқты тіркелгі деректерінің өмірлік циклі кезінде өзгерістер орын алуы мүмкін. Өзгерістерді басқару процестері деректердің ағымдағы және дәлдігін қамтамасыз ететін құралдарды қамтиды.

3. Қол жеткізуді басқару

Жүйеде қандай ресурстар мен деректерге пайдаланушылардың қол жеткізе алатынын анықтау және реттеу. Бұған рөлдерді басқару және қол жеткізу құқықтарын басқару кіреді.

4. Бірнеше аутентификация және қауіпсіздік

Кейбір жағдайларда қауіпсіздіктің қосымша деңгейін қамтамасыз ету үшін бірнеше аутентификацияны жүзеге асыру қажет. Бұл кезең пайдаланушының аутентификация әдістерін басқарады.

5. Жою және аяқтау

Пайдаланушы жүйеге кіруді қажет етпеген кезде (мысалы, ұйымнан шығу), тіркелгі деректері тиісті түрде тоқтатылуы немесе жойылуы керек. Бұл рұқсатсыз кіруді болдырмау үшін маңызды.

6. Аудит және мониторинг

Аудит және мониторинг процестері пайдаланушы әрекетін бақылайды, жүйеге сәтсіз кіру әрекеттері немесе кіру деңгейлеріндегі өзгерістер сияқты маңызды оқиғаларды жазады.

7. Құпия сөзді қалпына келтіру және қолдау

Жоғалған немесе ұмытылған құпия сөздерді қалпына келтіруге арналған құралдармен қамтамасыз ету, сондай-ақ тіркелгі деректеріне қатысты мәселелер туындаған жағдайда пайдаланушыларға қолдау көрсету.

Сәйкестендірудің өмірлік циклін басқару ақпараттық жүйелердің қауіпсіздігін қамтамасыз етуде және пайдаланушының тіркелгі деректерін пайдалану барысында ағымдағы және тиімді ұстауда маңызды рөл атқарады.

Куәліктер федерациясы

Жеке куәліктер федерациясы (Identity Federation) - бұл жеке куәлік пен қол жетімділікті басқару саласындағы тұжырымдама, онда сенімді тараптар қауіпсіздіктің бірыңғай кіруін қамтамасыз ету үшін бір-бірінің тіркелгі деректеріне рұқсат беруге келіседі.

Куәліктер федерациясының негізгі элементтеріне мыналар жатады:

1. Бірлескен сенім

Федерация қатысушылары пайдаланушылардың тіркелгі деректерін өңдеуде және тексеруде бір-біріне сенеді. Бұл пайдаланушылар туралы ақпарат алмасуға бірлескен сенімділікті қамтамасыз етеді.

2. Біріңғай кіру (Single Sign-On, SSO)

Федерация пайдаланушыларға бір есептік жазба мен құпия сөзді қолдана отырып, әр түрлі мүшелер ұсынатын ресурстарға қол жеткізуге мүмкіндік береді. Бұл пайдаланушы тәжірибесін жеңілдетеді және қайта аутентификация қажеттілігін азайтады.

3. Пікір алмасу (Assertion Exchange)

Куәліктер федерациясы процесінде сәйкестендіру деректері және қол жеткізу құқықтары сияқты бекіту туралы ақпарат (Assertion) қауіпсіздік жүйесінде пайдаланушыны орнату үшін қатысушылар арасында алмасады.

Куәлік федерациясының сценарийінің мысалы:

А ұйымы мен Б ұйымы федерацияға келіседі:

А ұйымының пайдаланушылары өздерінің тіркелгі деректерін жаңа есептік жазбаларды ашпай ақ Б ұйымы ұсынатын ресурстарға қол жеткізу үшін пайдалана алады және керісінше.

Куәліктер федерациясы қауіпсіздікті жақсартуға, пайдаланушыларды басқаруды жеңілдетуге және ұйымдар арасындағы ресурстарға қол жетімділікті арттыруға ықпал етеді. SAML (Security Assertion Markup Language) және OAuth сияқты стандарттар куәліктер федерациясын жүзеге асыру үшін кеңінен қолданылады.

Аутентификация әдістері

Пайдаланушылардың түпнұсқалығын тексеру үшін қолданылатын бірнеше аутентификация әдістері бар. Бірге қарастырайық:

1. Құпия сөздер

Пайдаланушы өзінің жеке басын растау үшін таңбалардың (құпия сөздің) бірегей тіркесімін енгізеді. Бұл әдіс ең кең таралған әдістердің бірі болып табылады.

2. Биометрия

Саусақ іздері, бетті тану, көздің торлы қабық сканері немесе дауыс үлгілері сияқты аутентификация үшін физиологиялық немесе мінез-құлық сипаттамаларын пайдалану.

3. Бірнеше аутентификация (MFA)

Екі немесе одан да көп түрлі әдістер арқылы жеке басын растау, мысалы, мобильді құрылғыға бір реттік кодпен біріктірілген құпия сөз.

4. Кіру карталары

Пайдаланушының аутентификациясы үшін физикалық карталарды (мысалы, смарт-карталар) пайдалану.

5. IP мекенжайы бойынша аутентификация

Кіру әрекеті орын алатын компьютердің немесе желінің IP мекенжайына негізделген рұқсат.

6. Уақыт бойынша аутентификация

Белгілі бір уақыт аралықтарына немесе уақыт параметрлері негізінде кіруді шектеу.

7. Токендер

Уақытша немесе бір реттік кодтарды жасау, көбінесе аппараттық немесе бағдарламалық токендер түрінде.

8. OAuth және OpenID Connect

Пайдаланушыларға Google, Facebook немесе Twitter сияқты басқа қызметтердегі аккаунттары арқылы аутентификациялауға мүмкіндік беретін хаттамалар.

9. Желілік сертификаттар

Желілік коммуникацияларда түпнұсқалығын растау үшін сертификаттарды пайдалану.

10. Қолтаңба және цифрлық сертификаттар

Жеке басын растау үшін электрондық қолтаңба мен цифрлық сертификаттарды пайдалану.

Бірнеше аутентификация әдістерінің тіркесімі жүйенің қауіпсіздік деңгейін жоғарылатып, рұқсатсыз қол жеткізуді қиындатады.

Саясаттар, стандарттар мен рәсімдер дегеніміз не?