İnformasiyanın elektron arxivinin yaradılması və müntəzəm olaraq yeniləşdirilməsi. Bu tədbir bu və ya digər səbəbdən xarab və ya itirilmiş informasiyanın qismən bərpa olunmasını təmin edir. Adətən, müasir serverlər, lent və disk saxlayıcıları informasiyanın surətini insanın iştrakı olmadan arxivə əlavə edir. Kitabxanada belə qurğular olmadıqda kitabxanaçı bu işi özü və maksimum dərəcədə müntəzəm olaraq görməlidir.
İnformasiya ehtiyatlarından və kitabxananın kompüter sistemindən qeyri-leqal istifadənin qarşısının alınması. Bu tədbir kitabxananın lokal şəbəkəsinin işçi stansiyalarının proqram-sistem təminatının, qəsdən və ya səriştəsizlik üzündən xarab olmasının qarşısının alınmasını, şəbəkə serverinin İnternet vasitəsilə kənar hücumlardan qorunmasını nəzərdə tutur. Bu tədbir aşağıdakı üsullarla həyata keçirilir:
İdentifikasiya və autentifikasiya. İdentifıkasiya özünü adlandırmağa (öz adını bildirməyə) imkan verir. Autentifıkasiyanm köməyi ilə ikinci tərəf əmin olur ki, subyekt doğrudan da özünü qələmə verdiyi şəxsdir12. Subyekt özünün əslliyini, aşağıdakı mənbələrdən ən azı birini təqdim etməklə təsdiq edə bilər:
onun bildiyi nəyisə (parolu, şəxsi identifıkasiya nömrəsini, kriptoqrafık açarı və s.);
onun sahib olduğu nəyisə (şəxsi kartı və ya digər təyinatlı analoji qurğunu);
-yalnız ona məxsus nəyisə (səs, barmaq izləri və s., yəni özünün biometrik xarakteristikalarını).
Təəssüf ki, etibarlı identifıkasiya və autentifıkasiya bir sıra prinsipial səbəblərdən çətinləşir. Birincisi, kompüter sistemi informasiyanın alındığı şəklinə əsaslanır, başqa sözlə desək, informasiya mənbəyi naməlum qalır. Məsələn, bədniyyətli əvvəlcədən «əldə etdiyi» başqasının identifıkasiya məlumatlarını daxil edə bilər. Deməli, identifıkasiya və autentifıkasiya məlumatının təhlükəsiz daxil edilməsi və verilməsi üçün tədbirlər görmək lazımdır. Şəbəkə mühitində bu xüsusilə çətindir. İkincisi, demək olar ki, bütün autentifıkasiya elementlərini oğurlamaq, öyrənmək və saxtalaşdırmaq mümkündür. Üçüncüsü, praktikada autentifıkasiyanm etibarlılığı ilə istifadəçinin və sistem administratorunun arasında ziddiyyət yaranır. Məsələn, təhlükəsizlik baxımından müəyyən tezliklə, autentifıkasiya məlumatlarını təkrar daxil edilməsini istifadəçidən xahiş etmək olar. Bu isə yorucu olmaqla yanaşı, həm də daxil etməyə göz yetirmə ehtimalını artırır. Dördüncüsü, etibarlı müdafiə vasitələri olduqca bahadır. Xüsusilə, biometrik xarakteristikaların ölçülməsi vasitələri daha çox bahadırlar.
Autentifıkasiyanm ən geniş yayılmış növü paroldur. Sistem daxil edilmiş və verilən istifadəçi üçün əvvəlcədən
verilmiş parolu müqayisə edir. Üst-üstə düşdüyü halda istifadəçinin həqiqiliyi təsdiqlənmiş sayılır. Tədricən populyarlıq qazanan digər vasitə gizli kriptoqrafık açarlardır. Parolla autentifıkasiyanm əsas üstünlüyü - sadəlikdir. Düzgün istifadə edildikdə parollar bir çox təşkilatlar üçün, o cümlədən kiçik və orta kitabxanalar üçün qəbul edilən təhlükəsizlik səviyyəsini təmin edə bilər. Buna baxmayaraq, xarakteristikalar məcmusuna görə onları ən zəif autentifıkasiya vasitəsi hesab etmək lazımdır. Parolların ən prinsipial çatışmazlığı onların elektron ələ keçirilməsidir1. Bu çatışmazlığı istifadəçilərin təlimi və ya adminstrə edilmənin təkmilləşdirilməsi ilə kompensasiya etmək mümkün deyil. Praktiki olaraq yeganə çıxış - rabitə xətləri ilə ötürülməzdən qabaq parolların kriptoqrafık şifrələnməsidir. Ancaq hər halda aşağıdakı ölçülər parol müdafiəsinin etibarlılığını artırmağa xeyli imkan verir:
-texniki məhdudiyyətlərin qoyulması (parol çox qısa olmamalıdır, parolda hərf, rəqəm, durğu işarələri olmalıdır və s.);
parolun fəaliyyət müddətinin idarə olunması, onların vaxtaşırı dəyişdirilməsi;
parollar faylına icazənin məhdudlaşdırılması;
sistemə uğursuz daxilolma cəhdlərinin sayının məhdudlaşdırılması;
istifadəçilərin təlimi;
parol generasiya edən xüsusi proqramlardan istifadə. Sadalanan tədbirləri həmişə, hətta parolla yanaşı digər autenti- fıkasiya metodları istifadə olunduğu halda da tətbiq etmək məqsədəmüvafiqdir. Son vaxtlar autentifıkasiya üçün tokenlərdən istifadə olunur. Token əşyadır (qurğudur). Ona sahib olma istifadəçinin əsililiyini təsdiq edir. Yaddaşa malik tokenlər - passiv tokenlər13 və intellektual tokenlər - aktiv tokenlər istehsal olunur. Passiv tokenlərin ən geniş yayılan növü maqnit zolaqlı kartlardır. Belə tokenlərdən istifadə etmək üçün klaviatura və prosessorla təchiz olunmuş oxuma qurğusu lazımdır. Adətən istifadəçi klaviaturada özünün şəxsi identifı- kasiya nömrəsini yığır, prosessor onu kartda yazılanla müqayisə edir, həmçinin kartın əsliliyini yoxlayır. Faktiki olaraq autentifıkasiyanm iki üsulundan istifadə olunur ki, bu da bədniyyətlinin hərəkətlərini xeyli çətinləşdirir. Bəzən (adətən girişə fiziki nəzarət üçün) kartlar bilavasitə, şəxsi identifıkasiya nömrəsi tələb olunmadan istifadə edilir. Şübhəsiz, üstünlükləri ilə yanaşı yaddaşı olan tokenlərin müəyyən çatışmazlıqları da var, hər şeydən əvvəl onlar parollardan xeyli bahadırlar. Xüsusi oxuma qurğusu tələb olunur. İstifadə üçün rahat deyil və s.
İntellektual tokenlər özünün hesablama gücünün olması ilə xarakterizə olunur. İntellektual tokenlərin əsas üstünlüyü onların açıq şəbəkədə autentifıkasiya üçün istifadə edilməsi imkanıdır. Generasiya olunan və cavab olaraq verilən parollar daim dəyişirlər ki, bədniyyətli hətta cari parolu ələ keçirsə belə, hiss olunacaq fayda götürə bilməz. Praktiki nöqteyi-nəzərdən intellektual tokenlər birdəfəlik parollar mexanizmini realizə edir. İntellektual tokenlərin digər üstünlüyü onların potensial çoxfunksiyalı olmasıdır. Onları yalnız təhlükəsizlik məqsədi ilə deyil, məsələn, maliyyə əməliyyatları üçün də istifadə etmək olar. Onların əsas çatışmayan cəhətləri qiymətinin yüksək olması, istifadəçinin müəyyən narahatçılığıdır. İntellektual tokenlərin adminstrə edilməsi maqnit kartları ilə müqayisədə kriptoqrafık açarları idarəetmə səbəbindən mürəkkəbdir.
Biometrik xarakteristikalara nəzarət qurğuları mürəkkəb və bahadırlar, buna görə də yalnız təhlükəsizliyə yüksək tələblər olan təşkilatlarda istifadə olunurlar. Kitabxanalarda bu qurğulardan az hallarda, yalnız qiymətli məxfi, informasiya- larin və proqram təminatının qorunması üçün istifadə oluna bilər.
Çox mühüm məsələ identifıkasiya və autentifıkasiya xidmətlərinin administrə olunmasıdır ki, bu bircins olmayan şəbəkə mühitində xüsusilə asan deyil. Buna adətən əsliliyi yoxlayan ayrıca serverlərin (Kerberos kimi) və ya mərkəzləşdirilmiş administrəetmə vasitələrinin tətbiqi ilə nail olmaq olar. Qeyd edək ki, mərkəzləşdirmə nəinki sistem ad- ministratorlannm, həmçinin istifadəçilərin də işini yüngülləşdirir. İstifadəçi bir dəfə əslilik yoxlamasındın keçərək, öz səlahiyyətləri çərçivəsində şəbəkənin bütün ehtiyatlarına icazə əldə edir.
İcazələrin idarə olunması. İcazələrin idarə olunması şəbəkə ehtiyatlarında «hüquqlu» rejimlə istifadəni nəzərdə tutur. Şəbəkə administratoru tərəfindən hər bir istifadəçiyə səlahiyyətinə uyğun istifadə hüququ verilir. İcazələrin idarə olunması - çox istifadəçisi olan sistemlərdə «hüquqsuz» istifadəçilərə xidməti qadağan etməklə, informasiyanın tam məxfiliyini və tamlığını təmin edən əsas mexanizmdir. İcazə hüququna nəzarət proqram mühitinin müxtəlif komponentləri - əməliyyat sistemi, əlavə təhlükəsizlik vasitələri, verilənlər bazasını idarəetmə sistemi, ara vasitəçi proqram təminatı (məsələn, tranzaksiyalar monitoru) tərəfindən həyata keçirilir.
Protokollaşdırma və audit. Protokollaşdırma dedikdə, informasiya sistemində baş verən hadisələr haqqında məlumatın toplanması və cəmlənməsi başa düşülür. Audit - toplanan informasiyanın operativ (demək olar ki, real vaxtda) və ya dövri (məsələn, gündə bir dəfə) aparılan təhlilidir. Protokol- laşdırma və audit vasitəsilə informasiya təhlükəsizliyini pozma cəhdlərini, sistemdə problemləri aşkar etmək olar. Audit nəticəsində nəinki təhlükəsizliyi pozan səbəbi, həmçinin səbəbin günahkarını tapmaq, vurulmuş ziyanın miqyasını qiymətləndirmək olar. Bütün bunlar isə sistemi normal işə qayıtmaq üçün çox əhəmiyyətlidir.
Kriptoqrafiya. İnformasiyanın məxfiliyinin təmin edilməsi və tamlığına nəzarət üçün ən güclü vasitələrdən biri kriptoqrafıyadır. Bir sıra hallarda kriptoqrafiya digər proqram- texniki tədbirlərin realizə olunması üçün əsas rol oynayır, bəzən də yeganə müdafiə vasitəsi olur. Məsələn, informasiya hətta «oğurlansa» belə kriptoqrafiya məxfiliyə təminat verir. Kriptoqrafiya informasiyanın xüsusi alqoritm əsasında şifrələnməsini nəzərdə tutur. Bu zaman informasiya müvafiq şifrəni bilməyən istifadəçi üçün «başa düşülməz» formada olacaq. Kitabxanada bu üsuldan demək olar ki, nadir hallarda, yalnız dövlət əhəmiyyətli, xüsusi qrifli bəzi sənədlərin mühafizəsi üçün istifadə olunur.
Elektron rəqəm imzası. Elektron rəqəm imzası informasiyanın əsliliyinin təsdiqi və onun tamlığı məsələsini nisbətən asan və ucuz həll etməyə imkan verir. Elektron imza ən azı üç funksiya yerinə yetirir: birincisi-imzalayan şəxsin təsdiqini, ikincisi-imzalayan şəxs imzaladığı sənəddən boyun qaçıra bilməz, üçüncüsü-göndərənin başqa sənədi deyil, məhz göndərdiyi sənədi imzaladığını təsdiq edir. Başqa sözlə, imza sahibinə başqa və ya oxşar sənədi zorla qəbul etdirmək olmaz, çünki onda orijinalın imzalanmış surəti var. Qeyd edək ki, birinci iki funksiya sənədin nəzərdə tutulduğu şəxsin maraqlarını, üçüncü isə imzalayanın maraqlarını müdafiə edir. Ümumi halda elektron rəqəm imzası konkret məlumata (mətnə, fayla və ya ixtiyari uzunluqlu istənilən bitlər yığınına) əlavə olunan və yuxarıda qeyd olunan üç funksiyanı təmin etməyə imkan verən sabit uzunluqlu informasiya blokudur. Kitabxanada bu üsuldan rəsmi yazışmalar, elektron sənəd göndərişi zamanı istifadə olunur.
|
