Понятие об информационной безопасности и защите информации

Размещено на http://www.allbest.ru/

Размещено на http://www.allbest.ru/

Понятие об информационной безопасности и защите информации

1. Информационная безопасность: концепция, терминология и законодательная база > [1], 10…42

В соответствии с требованиями государственного образовательного стандарта по Вашей специальности («Прикладная информатика в экономике») в текущем семестре для Вас будет прочитана дисциплина Д-5112 «Информационная Безопасность» (сокр. -> ИБ).

Дисциплина включает сегодняшнее лекционное занятие и зачет, который планируется провести 24 декабря (в субботу).

Материал дисциплины «Информационная Безопасность», базируется, прежде всего, на знаниях, умениях и навыках, полученных при изучении информатики и программирования, вычислительных машин и систем, операционных систем, сред и оболочек.

Объектом изучения дисциплины являются основы построения, принципы организации, функционирования и использования аппаратно - программных средств обеспечения информационной безопасности ЭВМ и вычислительных сетей.

Основными задачами дисциплины являются:

1. Ознакомление с основными угрозами безопасности информации при ее хранении и обработке в ЭВМ и передаче по каналам связи

2. Изучение принципов реализации аппаратных и программных средств обеспечения информационной безопасности современных вычислительных телекоммуникационных сетей

3. Получение представление об организации комплексных систем информационной безопасности организации (предприятия).

При изучении материала дисциплины предполагается рассмотреть ДВЕ основные темы:

Т1. Информационная безопасность и защита информации

Т2. Понятие о методах, средствах и системе защиты информации в компьютерных средствах обработки данных предприятия / организации)

Разумеется, для студентов-заочников основной формой обучения является самостоятельная работа над дисциплиной.

В этой связи Ваша подготовка будет включать следующие мероприятия:

1. Подготовить домашнее задание на типовую тему «Обеспечение безопасности информации в организации, где Вы работаете».

2. Подготовка к зачету путем рассмотрения перечня теоретических вопросов и решения задач, рассматриваемых на практических занятиях.

Перечень теоретических вопросов для подготовки к зачету:

1. Понятие об информационной безопасности и защите информации

2. Общая характеристика основных угроз информационной безопасности

3. Общая характеристика стандартов в области информационной безопасности

4. Понятие об объектах и методах защиты информации

5. Понятие о защите и обработке персональных данных

6. Понятие о модели угроз безопасности информации

7. Парольная защита офисных документов и ее особенности

8. Особенности разграничения доступа пользователей в ОС Windows

9. Общая характеристика средств профилактики несанкционированного доступа в ОС Windows

10. Понятие о криптографии и криптографических методах

11. Особенности криптозащиты офисных документов

12. Особенности реализации метода шифрования с открытым ключом

13. Особенности реализации метода электронной цифровой подписи

14. Методы повышения надежности функционирования информационных систем

15. Политика информационной безопасности на предприятии (в организации)

Для усвоения материала, подготовки и успешной сдачи ЗАЧЕТа, Вам обязательно придется использовать основную литературу по дисциплине.

Среди достаточно обширной массы учебной и научно-популярной литературы по тематике дисциплины Д-5112 обращаю Ваше внимание на такие издания, как:

Литература:

1. Мельников В.П., Клейменов С.А., Петраков А.М. Информационная безопасность и защита информации. - 3-е изд., стер. - М.: Изд. Центр «Академия», 2008. -336 с.: ил.

2. Малюк А.А., Пазизин С.В., Погожин Н.С. Введение в защиту информации в автоматизированных системах. - М.: Горячая линия-Телеком, 2001. -148 с.: ил.

3. Куприянов А.И., Сахаров А.В., Шевцов В.А. Основы защиты информации: учеб. пос. для студ. высш. учеб. заведений. - М.: Издательский центр «Академия», 2006. -256 с.: ил.

4. Щеглов А.Ю. ЗАЩИТА компьютерной информации от несанкционированного доступа. - С-Пб.: Наука и техника, 2004. -384 с.: ил.

5. Варлатая С.К., Шаханова М.В. Программно-аппаратная защита информации: Учеб. пособие. - Владивосток: Изд-во ДВГТУ, 2007, 318 с.: ил.

6. Нечаев В.И. Элементы криптографии (Основы защиты информации): учеб. пос. под ред. В.А. Садовничего. - М.: Высшая школа, 1999. - 109 с.: ил.

7. Леонтьев Е.А. Надежность экономических информационных систем: учеб. пособие. - Тамбов: Изд-во Тамб. гос. техн. ун-та, 2002. 128 с.:ил.

8. Дорошенко А.Н., Ткачев Л.Л. Информационная безопасность. Методы и средства защиты информации в компьютерных системах. Учебное пособие. - М.: МГУПИ, 2006. - 143 с.

+ http://www.INTUIT.ru (Раздел БЕЗОПАСНОСТЬ)

Примечание. Все книги имеются в электронном виде и будут Вам выданы персонально и одновременно размещены на «раздаче» в соответствующей папке дисциплины Д-5112.

Словосочетание «информационная безопасность» в разных контекстах может иметь различный смысл.

В Доктрине информационной безопасности Российской Федерации термин «информационная безопасность» используется в широком смысле, поскольку имеется в виду состояние защищенности национальных интересов в информационной сфере, определяемых совокупностью сбалансированных интересов личности, общества и государства.

В данном курсе основное внимание будет сосредоточено на обеспечении безопасности хранения, обработки и передачи информации вне зависимости от того, на каком языке (русском или каком-либо другом) она закодирована, кто или что является ее источником и потребителем, а также, какое психологическое воздействие она оказывает или будет оказывать на людей.

Поэтому термин «информационная безопасность» будет использоваться в узком смысле, так, как это принято, например, в англоязычной литературе. И смысл этот будет понятен из следующего определения.

Под Информационной Безопасностью (ИБ) мы будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

Примечание. Информационная безопасность зависит не только от компьютеров, но и от поддерживающей инфраструктуры, к которой можно отнести системы электро-, водо- и теплоснабжения, кондиционеры, средства коммуникаций и, конечно же, сам обслуживающий персонал. Эта инфраструктура имеет самостоятельную ценность, но нас будет интересовать лишь то, как она влияет на выполнение информационной системой предписанных ей функций.

Термин «компьютерная безопасность» не является синонимом термина ИБ, поскольку компьютеры - это только одна из составляющих информационных систем.

И хотя основное внимание при изучении данной дисциплины будет сосредоточено в первую очередь на информации, которая хранится, обрабатывается и передается с помощью компьютеров, безопасность этой информации определяется всей совокупностью составляющих и, в первую очередь, самым слабым «звеном», которым в подавляющем большинстве случаев оказывается человек.

Требования к ИБ за последние десятилетия существенно изменились…

До начала широкого использования автоматизированных систем обработки данных (70-е годы прошлого века) безопасность информации достигалась исключительно физическими и административными мерами.

С появлением персональных компьютеров (начало 80-х годов) стала очевидной необходимость использования автоматических средств защиты файлов данных и программной среды.

Следующий этап развития автоматических средств защиты связан с появлением распределенных систем обработки данных и компьютерных сетей (90-е годы), в которых средства сетевой безопасности используются в первую очередь для защиты передаваемых по сетям данных.

В наиболее полной трактовке под средствами сетевой безопасности мы будем иметь в виду меры предотвращения нарушений безопасности, которые возникают при передаче информации по сетям, а также меры, позволяющие определять, что такие нарушения безопасности имели место.

Именно изучение методов и средств сетевой безопасности и связанных с ними теоретических и прикладных проблем, составляет основной материал изучаемого нами курса.

Следует обратить внимание, что в определении ИБ перед существительным «ущербом» стоит прилагательное «неприемлемый».

Это вполне естественно, поскольку застраховаться от всех видов ущерба практически невозможно.

Тем более, невозможно осуществить эту «страховку» экономически целесообразным способом, когда стоимость защитных средств и мероприятий не превышает размер ожидаемого ущерба.

Следовательно, чем-то приходится «жертвовать» и защищаться следует только от того, с чем смириться никак нельзя. Иногда таким недопустимым ущербом является нанесение вреда здоровью людей или состоянию окружающей среды, но чаще порог неприемлемости имеет материальное (денежное) выражение, а целью защиты информации становится уменьшение размеров ущерба до допустимых значений.

Основными составляющими информационной безопасности являются:

1. Обеспечение доступности

2. Обеспечение целостности

3. Обеспечение конфиденциальности

Поясним понятия доступности, целостности и конфиденциальности.

Доступность - это возможность за приемлемое время получить требуемую информационную услугу.

Информационные системы создаются (приобретаются) для получения определенных информационных услуг. Если по тем или иным причинам предоставить эти услуги пользователям становится невозможно, это, очевидно, наносит ущерб всем субъектам информационных отношений. Поэтому, не противопоставляя доступность остальным аспектам, можно выделить ее как важнейший элемент информационной безопасности.

Примечание. Особенно ярко ведущая роль доступности проявляется в разного рода системах управления - производством, транспортом и т.п. Внешне менее драматичные, но также весьма неприятные последствия - и материальные, и моральные - может иметь длительная недоступность информационных услуг, которыми пользуется большое количество людей (продажа железнодорожных и авиабилетов, банковские услуги и т.п.).

Под целостностью подразумевается актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения.

Целостность можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий (транзакций)). Средства контроля динамической целостности применяются, в частности, при анализе потока финансовых сообщений с целью выявления кражи, переупорядочения или дублирования отдельных сообщений.

Целостность оказывается важнейшим аспектом ИБ в тех случаях, когда информация служит «руководством к действию». Рецептура лекарств, предписанные медицинские процедуры, набор и характеристики комплектующих изделий, ход технологического процесса - все это примеры информации, нарушение целостности которой может оказаться в буквальном смысле смертельным. Неприятно и искажение официальной информации, будь то текст закона или страница Web-сервера какой-либо правительственной организации.

Наконец, конфиденциальность - это защита от несанкционированного доступа к информации.

Конфиденциальность - самый проработанный у нас в стране аспект информационной безопасности.

К сожалению, практическая реализация мер по обеспечению конфиденциальности современных информационных систем наталкивается в России на серьезные трудности.

Во-первых, сведения о технических каналах утечки информации являются закрытыми, так что большинство пользователей лишено возможности составить представление о потенциальных рисках.

Во-вторых, на пути пользовательской криптографии как основного средства обеспечения конфиденциальности стоят многочисленные законодательные препоны и технические проблемы.

Наконец, конфиденциальные моменты есть также у многих организаций (даже в учебных институтах стараются не разглашать сведения о зарплате сотрудников) и отдельных пользователей (например, пароли).

Защита информации - это комплекс мероприятий, направленных на обеспечение информационной безопасности.

Согласно терминологии, введенной Законом «Об информации, информационных технологиях и о защите информации» №149-ФЗ, защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

2) соблюдение конфиденциальности информации ограниченного доступа,

3) реализацию права на доступ к информации.

Термины «безопасность информации» и «защита информации» отнюдь не являются синонимами, поскольку термин «безопасность» включает в себя не только понятие защиты, но также и аутентификацию, аудит, обнаружение проникновения и многое другое.

Рассмотрим основные понятия, относящиеся к информационной безопасности, и их взаимосвязь.

Дадим следующие определения:

Уязвимость - слабое место в системе, с использованием которого может быть осуществлена атака.

Риск - вероятность того, что конкретная атака будет осуществлена с использованием конкретной уязвимости. В конечном счете, каждая организация должна принять решение о допустимом для нее уровне риска. Это решение должно найти отражение в политике безопасности, принятой в организации.

Политика безопасности - правила, директивы и практические навыки, которые определяют то, как информационные ценности обрабатываются, защищаются и распространяются в организации и между информационными системами; набор критериев для предоставления сервисов безопасности.

Атака - любое действие, нарушающее безопасность информационной системы. Более формально можно сказать, что атака - это действие или последовательность связанных между собой действий, использующих уязвимости данной информационной системы и приводящих к нарушению политики безопасности.

Механизм безопасности - программное и / или аппаратное средство, которое определяет и / или предотвращает атаку.

Сервис безопасности - сервис, который обеспечивает задаваемую политикой безопасность систем и / или передаваемых данных, либо определяет осуществление атаки. Сервис использует один или более механизмов безопасности.

Итак, собственник (владелец) информации определяет множество информационных ценностей, которые должны быть защищены от различного рода атак. Атаки осуществляются противниками или оппонентами, использующими различные уязвимости в защищаемых «ценностях».

Основными нарушениями безопасности являются раскрытие информационных ценностей (потеря конфиденциальности), их неавторизованная модификация (потеря целостности) или неавторизованная потеря доступа к этим ценностям (потеря доступности).

Собственники информационных ценностей анализируют уязвимости защищаемых ресурсов и возможные атаки, которые могут иметь место в конкретном окружении.

В результате такого анализа определяются риски для данного набора информационных ценностей. Этот анализ определяет выбор контрмер, который задается политикой безопасности и обеспечивается с помощью механизмов и сервисов безопасности.

Информационная безопасность является одним из важнейших аспектов общей (интегральной) безопасности государства, на каком бы уровне мы ни рассматривали последнюю:

- национальном;

- отраслевом;

- корпоративном;

- персональном.

В современных условиях, когда тенденция информатизации всех сфер жизнедеятельности общества становится доминирующей, ИБ приобретает не меньшее значение для государства, чем политическая, экономическая или военная безопасность.

Подтверждением этому является то, что законодательное обеспечение вопросов ИБ в Российской Федерации носит комплексный многоуровневый характер и включает:

1. Конституцию Российской Федерации

2. Законы Российской Федерации в области информации, информатизации и информационных технологий

3. Государственные стандарты в области защиты информации

4. Указы Президента РФ, Постановления Правительства РФ, Приказы и Инструкции специальных служб (например, ФАПСИ)

Основным законом Российской Федерации является Конституция, принятая 12 декабря 1993 года.

В соответствии со статьей 24 Конституции, органы государственной власти и органы местного самоуправления, их должностные лица обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом.

Статья 41 гарантирует право на знание фактов и обстоятельств, создающих угрозу для жизни и здоровья людей, статья 42 - право на знание достоверной информации о состоянии окружающей среды.

Статья 23 Конституции гарантирует право на личную и семейную тайну, на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, статья 29 - право свободно искать, получать, передавать, производить и распространять информацию любым законным способом.

Современная интерпретация этих положений включает обеспечение конфиденциальности данных, в том числе в процессе их передачи по компьютерным сетям, а также доступ к средствам защиты информации.

В Гражданском кодексе Российской Федерации (редакция от 15 мая 2001 года) фигурируют такие понятия, как банковская, коммерческая и служебная тайна.

Согласно статье 139, информация составляет служебную или коммерческую тайну в случае, когда информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к ней нет свободного доступа на законном основании, и обладатель информации принимает меры к охране ее конфиденциальности.

Это подразумевает, как минимум, компетентность в вопросах ИБ и наличие доступных (и законных) средств обеспечения конфиденциальности.

Весьма продвинутым в плане информационной безопасности является Уголовный кодекс Российской Федерации (редакция от 14 марта 2002 года).

Глава 28 - «Преступления в сфере компьютерной информации» - содержит три статьи:

1. Статья 272. Неправомерный доступ к компьютерной информации;

2. Статья 273. Создание, использование и распространение вредоносных программ для ЭВМ;

3. Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.

Первая статья имеет дело с посягательствами на конфиденциальность информации, вторая - с вредоносным ПО, третья - с нарушениями доступности и целостности, повлекшими за собой уничтожение, блокирование или модификацию охраняемой законом информации, хранящейся в памяти ЭВМ.

Статья 138 УК РФ, защищая конфиденциальность персональных данных, предусматривает наказание за нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений. Аналогичную роль для банковской и коммерческой тайны играет статья 183 УК РФ.

Интересы государства в плане обеспечения конфиденциальности информации нашли наиболее полное выражение в Законе «О государственной тайне» (редакция с изменениями и дополнениями от 6 октября 1997 года). В нем гостайна определена как защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации.

Там же дается определение средств защиты информации. Согласно данному Закону, это технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну; средства, в которых они реализованы, а также средства контроля эффективности защиты информации.

Примечание. Последняя часть определения имеет особую важность.

Основополагающим среди российских законов, посвященных вопросам информационной безопасности, следует считать Закон «Об информации, информационных технологиях и о защите информации» №149-ФЗ (принят Государственной Думой 8 июля 2006 года).

В нем даются основные определения и намечаются направления развития законодательства в данной области.

Вот содержание статьи 1 Закона, которая называется «Сфера действия настоящего Федерального закона»

1. Настоящий Федеральный закон регулирует отношения, возникающие при:

1) осуществлении права на поиск, получение, передачу, производство и распространение информации;

2) применении информационных технологий;

3) обеспечении защиты информации.

А вот названия некоторых статей Закона, которые «говорят» сами за себя.

- Статья 2. Основные понятия, используемые в настоящем Федеральном законе;

- Статья 3. Принципы правового регулирования отношений в сфере информации, информационных технологий и защиты информации;

- Статья 8. Право на доступ к информации;

- Статья 9. Ограничение доступа к информации;

- Статья 10. Распространение информации или предоставление информации;

- Статья 16. Защита информации;

- Статья 17. Ответственность за правонарушения в сфере информации, информационных технологий и защиты информации и т.д.

Основными лицензирующими органами в области защиты информации являются Федеральное агентство правительственной связи и информации (ФАПСИ) и Гостехкомиссия России.

ФАПСИ ведает всем, что связано с криптографией, Гостехкомиссия лицензирует деятельность по защите конфиденциальной информации.

Эти же организации возглавляют работы по сертификации средств соответствующей направленности.

Кроме того, ввоз и вывоз средств криптографической защиты информации (шифровальной техники) и нормативно-технической документации к ней может осуществляться исключительно на основании лицензии Министерства внешних экономических связей Российской Федерации, выдаваемой на основании решения ФАПСИ.

Все эти вопросы регламентированы соответствующими указами Президента и постановлениями Правительства РФ.

10 января 2002 года Президентом был подписан очень важный закон «Об электронной цифровой подписи» номер 1-ФЗ (принят Государственной Думой 13 декабря 2001 года).

Его роль поясняется в статьях 1 и 2.

1. Целью настоящего Федерального закона является обеспечение правовых условий использования электронной цифровой подписи в электронных документах, при соблюдении которых электронная цифровая подпись в электронном документе признается равнозначной собственноручной подписи в документе на бумажном носителе.

2. Действие настоящего Федерального закона распространяется на отношения, возникающие при совершении гражданско-правовых сделок и в других предусмотренных законодательством Российской Федерации случаях. Действие настоящего Федерального Закона не распространяется на отношения, возникающие при использовании иных аналогов собственноручной подписи.

К другим Законам РФ, в той или иной степени связанным с вопросами защиты информации, относятся:

- Закон РФ №128-ФЗ О лицензировании отдельных видов деятельности;

- Закон РФ №15-Ф3 О связи;

- Закон РФ №3523-1 О правовой охране программ для электронных вычислительных машин и баз данных;

- Закон РФ №5154-1 О стандартизации;

- Закон РФ №85-ФЗ Об участии в международном информационном обмене и т.п.

Кроме Конституции и Законов РФ для обеспечения информационной безопасности немаловажную роль играют Государственные стандарты (ГОСТы) в области защиты информации.

Этих ГОСТов достаточно много и среди них можно выделить следующие стандарты:

1. ГОСТ Р ИСО/МЭК 13335-1-2006. Информационная технология. Методы и средства обеспечения безопасности.

2. ГОСТ Р ИСО/МЭК 17799-2005 Информационная технология. Практические правила управления информационной безопасностью

3. ГОСТ Р 50739-95 Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования.

4. ГОСТ Р 50922-2006. Защита информации. Основные термины и определения».

5. ГОСТ 28147-89. Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования.

И, наконец, последним по счету (но, отнюдь не по значимости) компонентом многоуровневого законодательного обеспечения ИБ, являются Указы Президента РФ, Постановления Правительства РФ, Приказы и Инструкции специальных служб (например, ФАПСИ).

В качестве примера такого законодательного акта можно привести Указ Президента РФ №188, утвержденный 6 марта 1997 года. Он определяет перечень сведений конфиденциального характера.

Еще одним примером является Приказ ФАПСИ №158 «Об утверждении положения о порядке разработки, производства, реализации и использования средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну».

Особое положение среди подобного рода законодательных актов занимает Доктрина информационной безопасности Российской Федерации.

Доктрина информационной безопасности Российской Федерации представляет собой совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности Российской Федерации.

Настоящая Доктрина служит основой для:

- формирования государственной политики в области обеспечения информационной безопасности Российской Федерации;

- подготовки предложений по совершенствованию правового, методического, научно-технического и организационного обеспечения информационной безопасности Российской Федерации;

- разработки целевых программ обеспечения информационной безопасности Российской Федерации.

Настоящая Доктрина развивает Концепцию национальной безопасности Российской Федерации применительно к информационной сфере.

1. Национальные интересы Российской Федерации в информационной сфере и их обеспечение.

2. Виды угроз информационной безопасности Российской Федерации

3. Источники угроз информационной безопасности Российской Федерации

4. Состояние информационной безопасности Российской Федерации и основные задачи по ее обеспечению

5. Общие методы обеспечения информационной безопасности Российской Федерации

6. Особенности обеспечения информационной безопасности Российской Федерации в различных сферах общественной жизни

7. Международное сотрудничество Российской Федерации в области обеспечения информационной безопасности и др.

2. Основные угрозы информационной безопасности и их краткая характеристика

Понятие «угрозы информационной безопасности» дается в статье 2.6 Государственного Стандарта ГОСТ Р 50922-2006. Защита информации. Основные термины и определения.

Согласно вышеуказанному стандарту, под угрозой безопасности информации понимается совокупность условий и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации.

Фактор, воздействующий на защищаемую информацию, это - явление, действие или процесс, результатом которого могут быть утечка, искажение, уничтожение защищаемой информации, блокирование доступа к ней.

Источник угрозы безопасности информации - это: субъект (физическое лицо, материальный объект или физическое явление), являющийся непосредственной причиной возникновения угрозы безопасности информации.

Уязвимость (информационной системы) - это свойство информационной системы, обусловливающее возможность реализации угроз безопасности обрабатываемой в ней информации.

Примечания:

1. Условием реализации угрозы безопасности обрабатываемой в системе информации может быть недостаток или слабое место в информационной системе.

2. Если уязвимость соответствует угрозе, то существует риск.

Вредоносная программа - это программа, предназначенная для осуществления несанкционированного доступа к информации и (или) воздействия на информацию или ресурсы информационной системы.

Несанкционированное воздействие на информацию - это воздействие на защищаемую информацию с нарушением установленных прав и (или) правил доступа, приводящее к утечке, искажению, подделке, уничтожению, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации.

Основные угрозы информационной безопасности

Виды угроз информационной безопасности достаточно подробно рассмотрены в Доктрине ИБ РФ.

По своей общей направленности угрозы информационной безопасности Российской Федерации подразделяются на следующие виды:

1. Угрозы конституционным правам и свободам человека и гражданина в области духовной жизни и информационной деятельности, индивидуальному, групповому и общественному сознанию, духовному возрождению России

2. Угрозы информационному обеспечению государственной политики Российской Федерации

3. Угрозы развитию отечественной индустрии информации, включая индустрию средств информатизации, телекоммуникации и связи, обеспечению потребностей внутреннего рынка в ее продукции и выходу этой продукции на мировой рынок, а также обеспечению накопления, сохранности и эффективного использования отечественных информационных ресурсов

4. Угрозы безопасности информационных и телекоммуникационных средств и систем, как уже развернутых, так и создаваемых на территории России.

Если первые два вида угроз для изучения нашего курса особого интереса не представляют, то третий вид имеет ограниченный интерес, поскольку определяет такие угрозы, как:

а) противодействие доступу Российской Федерации к новейшим информационным технологиям, взаимовыгодному и равноправному участию российских производителей в мировом разделении труда в индустрии информационных услуг, средств информатизации, телекоммуникации и связи, информационных продуктов, а также создание условий для усиления технологической зависимости России в области современных информационных технологий;

б) закупка органами государственной власти импортных средств информатизации, телекоммуникации и связи при наличии отечественных аналогов, не уступающих по своим характеристикам зарубежным образцам;

в) вытеснение с отечественного рынка российских производителей средств информатизации, телекоммуникации и связи;

г) увеличение оттока за рубеж специалистов и правообладателей интеллектуальной собственности.

«Ключевым» видом угроз ИБ являются угрозы безопасности информационных и телекоммуникационных средств и систем. К этому виду относятся следующие угрозы:

а) противоправные сбор и использование информации;

б) нарушения технологии обработки информации;

в) внедрение в аппаратные и программные изделия компонентов, реализующих функции, не предусмотренные документацией на эти изделия;

г) разработка и распространение программ, нарушающих нормальное функционирование информационных и информационно-телекоммуникационных систем, в том числе систем защиты информации;

д) уничтожение, повреждение, радиоэлектронное подавление или разрушение средств и систем обработки информации, телекоммуникации и связи;

е) воздействие на парольно-ключевые системы защиты автоматизированных систем обработки и передачи информации;

ж) компрометация ключей и средств криптографической защиты информации;

з) утечка информации по техническим каналам;

к) уничтожение, повреждение, разрушение или хищение машинных и других носителей информации;

л) перехват информации в сетях передачи данных и на линиях связи, дешифрование этой информации и навязывание ложной информации;

м) использование несертифицированных отечественных и зарубежных информационных технологий, средств защиты информации, средств информатизации, телекоммуникации и связи при создании и развитии российской информационной инфраструктуры;

н) несанкционированный доступ к информации, находящейся в банках и базах данных;

о) нарушение законных ограничений на распространение информации.

ПРИМЕР реализации УГРОЗ

1 июня 2010 года система безопасности ЗАО «Национальная спутниковая компания» (оператор спутникового телевидения «Триколор ТВ», «Триколор ТВ-Сибирь») зарегистрировала массированную хакерскую атаку. В результате этого были модифицированы данные, содержащие информацию об абонентских картах «Триколор ТВ» 12-ой серии, и 3 июня карты перестали функционировать. В настоящий момент уровень защиты системы повышен, возможность повторных хакерских воздействий полностью исключена.

Карты 12-ой серии были выпущены в обращение в 2007-2008 годах в количестве 25 тысяч штук, что составляет менее 0,4% от всех зарегистрированных на 01 июня 2010 года абонентских устройств доступа «Триколор ТВ». В 2008 году в ЗАО «НСК» поступила информация, о том, что группа хакеров с территории СНГ взломала микросхему, произведенную известной европейской компанией и используемую в 12-ой серии карт «Триколор ТВ». В результате этой акции пострадали абоненты ряда европейских операторов платного ТВ. Несмотря на эти факты, система безопасности ЗАО «НСК» успешно противостояла атакам со стороны хакерского сообщества, но новые карты 12 серии перестали заказываться.

В течение июня 2010 года всем владельцам зарегистрированных карт 12 серии через официальных дилеров «Триколор ТВ» будет произведена внеплановая замена карт, а также будет предоставлено 2 месяца бесплатного просмотра пакета платных телепрограмм «Оптимум».

Согласно третьей статье Доктрине ИБ РФ источники угроз информационной безопасности РФ подразделяются на внешние и внутренние.

К внешним источникам относятся:

- деятельность иностранных политических, экономических, военных, разведывательных и информационных структур, направленная против интересов Российской Федерации в информационной сфере;

- стремление ряда стран к доминированию и ущемлению интересов России в мировом информационном пространстве, вытеснению ее с внешнего и внутреннего информационных рынков;

- обострение международной конкуренции за обладание информационными технологиями и ресурсами;

- деятельность международных террористических организаций;

- увеличение технологического отрыва ведущих держав мира и наращивание их возможностей по противодействию созданию конкурентоспособных российских информационных технологий;

- деятельность космических, воздушных, морских и наземных технических и иных средств (видов) разведки иностранных государств;

- разработка рядом государств концепций информационных войн, предусматривающих создание средств опасного воздействия на информационные сферы других стран мира, нарушение нормального функционирования информационных и телекоммуникационных систем, сохранности информационных ресурсов, получение несанкционированного доступа к ним.

К внутренним источникам относятся:

- критическое состояние отечественных отраслей промышленности;

- неблагоприятная криминогенная обстановка, сопровождающаяся тенденциями сращивания государственных и криминальных структур в информационной сфере, получения криминальными структурами доступа к конфиденциальной информации, усиления влияния организованной преступности на жизнь общества, снижения степени защищенности законных интересов граждан, общества и государства в информационной сфере;

- недостаточная координация деятельности федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации по формированию и реализации единой государственной политики в области обеспечения информационной безопасности Российской Федерации;

- недостаточная разработанность нормативной правовой базы, регулирующей отношения в информационной сфере, а также недостаточная правоприменительная практика;

- неразвитость институтов гражданского общества и недостаточный государственный контроль за развитием информационного рынка России;

- недостаточное финансирование мероприятий по обеспечению информационной безопасности Российской Федерации;

- недостаточная экономическая мощь государства;

- снижение эффективности системы образования и воспитания, недостаточное количество квалифицированных кадров в области обеспечения информационной безопасности;

- недостаточная активность федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации в информировании общества о своей деятельности, в разъяснении принимаемых решений, в формировании открытых государственных ресурсов и развитии системы доступа к ним граждан;

- отставание России от ведущих стран мира по уровню информатизации федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации и органов местного самоуправления, кредитно-финансовой сферы, промышленности, сельского хозяйства, образования, здравоохранения, сферы услуг и быта граждан.

ЦИТАТА: «Если Россия не будет независимой в области программного обеспечения, то все остальные сферы, в которых мы хотим быть независимыми и конкурентоспособными, окажутся под угрозой», - заявил Д.А. Медведев.

В статье 4-й Доктрины ИБ РФ рассматривается текущее состояние информационной безопасности России и основные задачи по ее обеспечению.

В частности говорится, что за последние годы в Российской Федерации реализован комплекс мер по совершенствованию обеспечения ее информационной безопасности, как-то:

1. Начато формирование базы правового обеспечения информационной безопасности. Приняты Закон Российской Федерации «О государственной тайне», Основы законодательства Российской Федерации об Архивном фонде Российской Федерации и архивах, федеральные законы «Об информации, информатизации и защите информации», «Об участии в международном информационном обмене», ряд других законов, развернута работа по созданию механизмов их реализации, подготовке законопроектов, регламентирующих общественные отношения в информационной сфере.

2. Осуществлены мероприятия по обеспечению информационной безопасности в федеральных органах государственной власти, органах государственной власти субъектов Российской Федерации, на предприятиях, в учреждениях и организациях независимо от формы собственности.

3. Развернуты работы по созданию защищенной информационно-телекоммуникационной системы специального назначения в интересах органов государственной власти.

Успешному решению вопросов обеспечения информационной безопасности Российской Федерации способствуют государственная система защиты информации, система защиты государственной тайны, системы лицензирования деятельности в области защиты государственной тайны и системы сертификации средств защиты информации.

Вместе с тем анализ состояния информационной безопасности Российской Федерации показывает, что ее уровень не в полной мере соответствует потребностям общества и государства.

Современные условия политического и социально-экономического развития страны вызывают обострение противоречий между потребностями общества в расширении свободного обмена информацией и необходимостью сохранения отдельных регламентированных ограничений на ее распространение.

Противоречивость и неразвитость правового регулирования общественных отношений в информационной сфере приводят к серьезным негативным последствиям.

Так, недостаточность нормативного правового регулирования отношений в области реализации возможностей конституционных ограничений свободы массовой информации в интересах защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороноспособности страны и безопасности государства существенно затрудняет поддержание необходимого баланса интересов личности, общества и государства в информационной сфере.

Ухудшается ситуация с обеспечением сохранности сведений, составляющих государственную тайну. Серьезный урон нанесен кадровому потенциалу научных и производственных коллективов, действующих в области создания средств информатизации, телекоммуникации и связи, в результате массового ухода из этих коллективов наиболее квалифицированных специалистов.

Отставание отечественных информационных технологий вынуждает федеральные органы государственной власти, органы государственной власти субъектов Российской Федерации и органы местного самоуправления при создании информационных систем идти по пути закупок импортной техники и привлечения иностранных фирм, из-за чего повышается вероятность несанкционированного доступа к обрабатываемой информации и возрастает зависимость России от иностранных производителей компьютерной и телекоммуникационной техники, а также программного обеспечения.

В связи с интенсивным внедрением зарубежных информационных технологий в сферы деятельности личности, общества и государства, а также с широким применением открытых информационно-телекоммуникационных систем, интеграцией отечественных информационных систем и международных информационных систем возросли угрозы применения «информационного оружия» против информационной инфраструктуры России.

Работы по адекватному комплексному противодействию этим угрозам ведутся при недостаточной координации и слабом бюджетном финансировании.

Недостаточное внимание уделяется развитию средств космической разведки и радиоэлектронной борьбы.

Космические войска - отдельный род войск вооружённых сил Российской Федерации, отвечающих за военные операции в космосе.

4 октября отмечается День космических войск. Праздник приурочен ко дню запуска первого искусственного спутника Земли, открывшего летопись космонавтики, в том числе и военной.

Орбитальная группировка РФ состоит из 100 космических аппаратов. Из них 40 спутников оборонного назначения, 21 - двойного назначения и 39 космических аппаратов научного и социально-экономического назначения.

Для сравнения, самой крупной орбитальной группировкой обладает США, которой принадлежат 413 искусственных спутников. На третьем месте находится Китай с 34-мя спутниками.

3. Понятие об объектах защиты информации при ее хранении, обработке и передаче по каналам связи

информация безопасность угроза передача

Работы по адекватному комплексному противодействию этим угрозам ведутся при недостаточной координации и слабом бюджетном финансировании.

Объектом защиты информации является компьютерная система или автоматизированная система обработки данных (АСОД).

В работах, посвященных защите информации в автоматизированных системах, до последнего времени использовался термин АСОД, который все чаще заменяется термином компьютерная система (КС).

Компьютерная система - это комплекс аппаратных и программных средств, предназначенных для автоматизированного сбора, хранения, обработки, передачи и получения информации.

Наряду с термином «информация» применительно к КС часто используют термин «данные» или «информационные ресурсы».

В соответствии с законом РФ «Об информации, информатизации и защите информации» под информационными ресурсами понимаются отдельные документы и отдельные массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных и других информационных системах).

Понятие КС очень широкое и оно охватывает следующие системы:

* ЭВМ всех классов и назначений;

* вычислительные комплексы и системы;

* вычислительные сети (локальные, региональные и глобальные).

Такой широкий диапазон систем объединяется одним понятием по двум причинам:

- во-первых, для всех этих систем основные проблемы защиты информации являются общими;

- во-вторых, более мелкие системы являются элементами более крупных систем.

Предметом защиты в КС является информация. Материальной основой существования информации в КС являются электронные и электромеханические устройства (подсистемы), а также машинные носители.

С помощью устройств ввода информации или систем передачи данных (СПД) информация попадает в КС. В системе информация хранится в запоминающих устройствах, (ЗУ) различных уровней, преобразуется (обрабатывается) процессорами (ПЦ) и выводится из системы с помощью устройств вывода или СПД.

В качестве машинных носителей используются бумага, магнитные ленты, диски различных типов.

Примечание. Раньше в качестве машинных носителей информации использовались бумажные перфокарты и перфоленты, магнитные барабаны и карты.

Большинство типов машинных носителей информации являются съемными, т.е. могут сниматься с устройств и использоваться (бумага) или храниться (ленты, диски, бумага) отдельно от устройств.

Таким образом, для защиты информации (обеспечения безопасности информации) в КС необходимо защищать устройства (подсистемы) и машинные носители от несанкционированных (неразрешенных) воздействий на них.

Однако такое рассмотрение КС с точки зрения защиты информации является неполным.

Компьютерные системы относятся к классу человеко-машинных систем. Такие системы эксплуатируются специалистами (обслуживающим персоналом) в интересах пользователей. Причем, в последние годы пользователи имеют самый непосредственный доступ к системе.

В некоторых КС (например, ПЭВМ) пользователи выполняют функции обслуживающего персонала. Обслуживающий персонал и пользователи являются также носителями информации. Поэтому от несанкционированных воздействий необходимо защищать не только устройства и носители, но также обслуживающий персонал и пользователей.

При решении проблемы защиты информации в КС необходимо учитывать также противоречивость человеческого фактора системы. Обслуживающий персонал и пользователи могут быть как объектом, так и источником несанкционированного воздействия на информацию.

Понятие «объект защиты» или «объект» чаще трактуется в более широком смысле.

Для сосредоточенных КС или элементов распределенных систем понятие «объект» включает в себя не только информационные ресурсы, аппаратные, программные средства, обслуживающий персонал, пользователей, но и помещения, здания, и даже прилегающую к зданиям территорию.

Одними из основных понятий теории защиты информации являются понятия «безопасность информации» и «защищенные КС».

Безопасность (защищенность) информации в КС - это такое состояние всех компонент компьютерной системы, при котором обеспечивается защита информации от возможных угроз на требуемом уровне.

Компьютерные системы, в которых обеспечивается безопасность информации, называются защищенными.

Сеть ЭВМ - это совокупность ЭВМ, взаимосвязанных каналами передачи данных, и необходимых для реализации этой взаимосвязи программного обеспечения и (или) технических средств, предназначенных для организации распределенной обработки данных.

В такой системе любое из подключенных устройств может использовать ее для передачи или получения информации. По размерности различают локальные и глобальные сети.

Многие организации используют средства сетей ЭВМ для обеспечения нужд обработки и передачи данных. До использования сетей ЭВМ основная часть обработки и обмена данными была централизована; информация и управление ею были сосредоточены в одном месте и централизованы.

Сейчас сети ЭВМ логически и физически рассредоточили данные, а также вычислительную мощность и службы обмена сообщениями по всей организации.

Службы безопасности, защищающие данные, а также средства по их обработке и передаче, также должны быть распределены по всей Сети.

Немаловажным, с точки зрения рассмотрения объектов защиты информации, являются компьютерные программы и базы данных. Но это отдельная тема разговора.

Более подробно материал представлен в рекомендованной литературе.

Размещено на Allbest.ru