Некоторые аспекты защиты информации в ведомственных информационно-телекоммуникационных системах МВД России

Размещено на http://www.allbest.ru/

Некоторые аспекты защиты информации в ведомственных информационно-телекоммуникационных системах МВД России

Гариб Мусалим Оглы Гасанов, слушатель 2 факультета (подготовки руководителей (начальников) территориальных органов МВД России) (Академия управления МВД России)

Аннотация

В статье идет речь о ключевом факторе в соблюдении всех условий обеспечения требований информационной безопасности, в выполнении всех инструкций и регламентов защиты информации при работе с информационными системами. И это человеческий фактор.

Ключевые слова и словосочетания: информационная безопасность; защита информации; информационно-телекоммуникационные системы органов внутренних дел.

безопасность информационный вызов угроза

Annotation

Some aspects of information protection in departmental information and telecommunication systems of the Ministry of Internal Affairs of Russia

Garib Musalim Ogly Gasanov, Listener of the 2nd Faculty (Training Chiefs (Heads) of the Territorial Bodies of the Ministry of the Interior of Russia) (Management Academy of the Ministry of the Interior of Russia)

The article deals with the key factor in compliance with all the conditions for ensuring the requirements of information security, in the implementation of all instructions and regulations for information protection when working with information systems. And this is the human factor.

Keywords and phrases: information security; information protection; information and telecommunications system of the internal affairs bodies.

С учетом современных угроз негативных воздействий на все компоненты структуры информационной системы обеспечения деятельности (далее -- ИСОД) МВД России необходимо уделять значительное внимание принятию исчерпывающих мер по защите информации, циркулирующей в системе. Необходимо использовать современные средства и методы защиты информации с учетом адаптации к новым угрозам информационной безопасности, не забывая про неустраненные уязвимости, а также вредоносные программы, против которых еще не разработаны защитные механизмы. Функционал подсистемы безопасности ИСОД МВД России предусматривает противодействие подобным вызовам и угрозам . Однако ключевым фактором в возможности соблюдения всех условий обеспечения требований информационной безопасности, в выполнении всех инструкций и регламентов защиты информации при работе с информационными системами остается человеческий фактор, что характерно и для ИСОД МВД России.

Число сотрудников ОВД, получающих доступ к сервисам ИСОД, постоянно растет. Этот процесс влечет за собой увеличение угроз информационной безопасности как в количественном, так и в качественном отношении. Сегодня соблюдение принципов корпоративной политики информационной безопасности стало обязанностью каждого сотрудника ОВД, независимо от его технической компетентности [2, c. 249].

Для разграничения и управления доступом пользователей в ИСОД МВД России в качестве программной реализации элементов подсистемы информационной безопасности служит сервис управления доступом к информационным системам и ресурсам (СУДИС). Несмотря на отработанные механизмы защиты информации при работе с ИСОД МВД России, в ходе ежедневной эксплуатации сервисов сотрудниками и работниками подразделений и организаций системы МВД России имеют место проблемы. Рассмотрим некоторые из них.

Аутентификация в ИСОД является типичным механизмом практически для всех информационно-телекоммуникационных систем и в то же время ключевым для защиты информации. Принцип действия заключается в проверке СУДИС введенных сотрудником данных в форму аутентификации. При корректном ее заполнении сотрудник получает доступ к желаемому сервису. Одной из схем аутентификации является использование паролей. Этот набор знаков по умолчанию должен знать только владелец учетной записи. Но для пользователей часто является проблемой запоминание своих учетных данных для доступа к информационным системам, в частности, при смене временной учетной записи после первичного доступа. В результате порядок использования учетных данных пользователями часто не удовлетворяет политикам безопасности -- пользователи записывают свои пароли на бумаге, устанавливают простейший пароль и т. п. Нарушения характерны в основном для уровня «пользователь системы», которые допускаются как непредумышленно, так и сознательно. Типичный пример: сотрудник Н. для личного удобства сохраняет пароль, используя соответствующую функцию и поставив отметку в поле «запомнить», либо единожды вставляет в USB-порт своего автоматизированного рабочего места (АРМ) ключевой носитель (типа РуТокен), при этом для личного удобства пишет ПИН-код носителя на бумаге, не обеспечивая его последующую конфиденциальность. При ослаблении сотрудником контроля за доступом к собственному автоматизированному рабочему месту создаются условия несанкционированного доступа к информационным ресурсам МВД России посторонних лиц. Посторонними могут являться задержанные за какие-либо правонарушения граждане либо другие лица [1, с. 76].

На практике имели место нарушения регламента предоставления временных учетных записей, когда пользователь, получив бланк (с пометкой «Конфиденциально») с временной учетной записью, не выполнял требования данного регламента по незамедлительной смене временного пароля полученной временной учетной записи СУДИС, при первом входе в систему. К подобной категории нарушений информационной безопасности можно отнести случаи игнорирования ограниченных 30-ю днями сроков действия временных паролей и единичные случаи утраты временных учетных записей.

Еще одним типичным нарушением является нарушение порядка использования учетной записи при работе на АРМ в многопользовательском режиме. Заключается нарушение в невыполнении требования использовать для входа в Windows только персональные идентификационные данные, а после завершения работы на АРМ -- невыполнение обязательного выхода каждым сотрудником из операционной системы АРМ. Причинами могут быть личная недисциплинированность сотрудников ОВД либо несвоевременная выработка представителем Удостоверяющего Центра ключа электронной подписи каждому из сотрудников в силу организационных проблем или фактического отсутствия в подразделении носителей электронной подписи.

Управление данными учетных записей пользователей в ИСОД МВД России позволяет осуществлять распространение и централизованное управление правами и учетными записями пользователей в разных сервисах, операционных системах, приложениях. Автоматизируются все процессы, связанные с созданием, администрированием, удалением учетных записей, предоставлением доступа к необходимым ресурсам. Кроме того, в этом механизме реализована функция проведения регулярного аудита соответствия установленным правилам распределения привилегий пользователей, которая позволяет вести наблюдение за активностью, связанной с учетными записями пользователей, по событиям: созданию, изменению, переименованию, включению/ отключению и удалению объектов, по сменам паролей, по изменению разрешений и т. д. Проблемы в данном случае могут быть связаны с нарушениями, допускаемыми администраторами доступа, когда новым сотрудникам ОВД, допущенным до работы в ИСОД, открываются права доступа просто по аналогии с уже работающими в системе сотрудниками. Может иметь место избыточный доступ новым сотрудникам. Еще одними, очень удобными для злоумышленников пробелами в системе информационной безопасности могут являться действующие учетные записи: уволенных из ОВД сотрудников и работников, сотрудников, выведенных в распоряжение или находящихся на длительном лечении. Зачастую нарушения вызваны несвоевременным (свыше 3-х рабочих дней) предоставлением информации из кадрового аппарата подразделения в адрес администратора (оператора) доступа подразделения, где проходил службу уволенный, либо предоставлением недостоверной информации. Причиной может служить и недостаточный аудит предоставления доступа сотрудникам к информационным системам МВД России.

Управление полномочиями пользователей и сервисов в ИСОД разделяет полномочия (роли) пользователей, администраторов и других лиц, обеспечивающих функционирование сервисов, которые предусмотрены моделью доступа конкретного сервиса. Проблемы в управлении полномочиями пользователей проявляются в расхождении фактических полномочий пользователей сервисов ИСОД с пол-номочиями, которые должны быть назначены этому пользователю в соответствии с должностными обязанностями сотрудника, его компетенциями. Причиной служит пресловутый человеческий фактор, ошибка администратора ИСОД. Итог -- возникновение пробела в информационной безопасности системы.

В рамках рассматриваемого механизма необходимо отметить роль руководителя территориального подразделения в части, касающейся контроля за корректностью определения прав доступа сотрудникам подчиненного подразделения и контроля за регулярным пересмотром выданных прав доступа, в связи с тем, что через руководителя территориального органа МВД России (на региональном и районном уровнях) проходят все заявки на предоставление доступа его подчиненным.

Сегодня к сотрудникам органов внутренних дел предъявляются высокие квалификационные требования, предусматривающие необходимость владения профессиональными знаниями о формах и методах работы с применением компьютерной техники и оргтехники, а также обладания практическими навыками пользования компьютерной техникой и оргтехникой. В ст. 11 Федерального закона от 7 февраля 2011 г. № 3-ФЗ «О полиции» законодательно закреплена необходимость сотрудника полиции при исполнении своих служебных обязанностей использовать автоматизированные информационные системы, интегрированные банки данных, средства связи, а также современную информационно-телекоммуникационную инфраструктуру . Подобные требования изложены в приказе МВД России от 1 февраля 2018 г. № 50 «Об утверждении Порядка организации прохождения службы в органах внутренних дел Российской Федерации».

Обработка документов, осуществляемая посредством эксплуатации средств вычислительной техники сотрудниками ОВД, которые используют информационные технологии для обеспечения функционирования ИСОД, как пользователями, так и администраторами системы, должна выполнятся при условии жесткого соблюдения требований в части защиты информации. Контроль за вопросами информационной безопасности возложен на каждого сотрудника ОВД -- пользователя информационно-телекоммуникационной системы органов внутренних дел. Данные постулаты прописаны как в должностных регламентах сотрудников, так и в технических инструкциях, изучение которых -- одно из условий допуска сотрудников к пользованию средствами ИСОД МВД России. Хороший контроль за информацией на этом уровне исключает предпосылки для возникновения угроз безопасностей разных типов начального уровня. В то же время повсеместное использование настольных компьютеров и компьютерных терминалов ограничивает потенциал исключительно режимных мер обеспечения информационной безопасности, как это было еще 20 лет назад. Задачи, решаемые сотрудниками ОВД, требуют обращения к большим массивам данных, количество получающих доступ к ИСОД МВД России сотрудников постоянно увеличивается, увеличивается количество прикладных сервисов по направлениям деятельности. В целях совершенствования и унификации автоматизированной информационной системы и программно-техниче-ского комплекса продолжается их интеграция на единой программно-аппаратной платформе в составе ИСОД. Эти процессы являются естественными условиями возникновения пробелов в защите информации.

Учитывая, что сегодня средства защиты информации информационных систем МВД России работают в автоматическом режиме, не требуя от пользователя каких-либо действий с настройками программного обеспечения информационной безопасности, сотрудникам ОВД достаточно неукоснительно выполнять несколько простых, но обязательных правил, прописанных во всех инструкциях и регламентах пользователей, допущенных к работе с ведомственными информационными ресурсами: хранить ПИН-код в тайне, ключевой носитель -- в недоступном для других лиц месте; не использовать посторонние носители информации; не открывать электронную почту, пришедшую от неизвестного отправителя и т. п. Не менее важным является регулярное повышение квалификации действующих сотрудников в вопросах выполнения мер защиты информации при работе в информационно-телекоммуникационных системах МВД России.

безопасность информационный вызов угроза

Список литературы

1. Вострецова Е. В. Основы информационной безопасности: учебное пособие для студентов вузов. Екатеринбург, 2019

2. Гафнер В. В. Информационная безопасность: учебное пособие. Ростов-на-Дону, 2010.

Размещено на Allbest.ru