Информационная безопасность в современном мире

В результате решения проблем безопасности информации современные ИС должны обладать следующими основными признаками:

• наличием информации различной степени конфиденциальности;
• обеспечением криптографической защиты информации различной степени конфиденциальности при передаче данных;
• обязательным управлением потоками информации, как в локальных сетях, так и при передаче по каналам связи на далекие расстояния;
• наличием механизма регистрации и учета попыток несанкционированного доступа, событий в ИС и документов, выводимых на печать;
• обязательным обеспечением целостности программного обеспечения и информации в ИТ;
• наличием средств восстановления системы защиты информации;
• наличием физической охраны средств вычислительной техники и магнитных носителей;
• наличием специальной службы информационной безопасности системы.

 

Вся совокупность технических средств подразделяется на аппаратные и физические.

 

Аппаратные средства — устройства, встраиваемые непосредственно в вычислительную технику, или устройства, которые сопрягаются с ней по стандартному интерфейсу.  

Физические средства включают различные инженерные устройства и сооружения, препятствующие физическому проникновению злоумышленников на объекты защиты и осуществляющие защиту персонала (личные средства безопасности), материальных средств и финансов, информации от противоправных действий. Примеры физических средств: замки на дверях, решетки на окнах, средства электронной охранной сигнализации и т.п.

Программные средства — это специальные программы и программные комплексы, предназначенные для защиты информации в ИС. 
Из средств ПО системы защиты необходимо выделить еще программные средства, реализующие механизмы шифрования (криптографии).

Организационные средства осуществляют своим комплексом регламентацию производственной деятельности в ИС и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к конфиденциальной информации становится невозможным или существенно затрудняется за счет проведения организационных мероприятий.

Законодательные средства защиты определяются законодательными актами страны, которыми регламентируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил. Морально-этические средства защиты включают всевозможные нормы поведения, которые традиционно сложились ранее, складываются по мере распространения ИС в стране и в мире или специально разрабатываются. Морально-этические нормы могут быть неписаные (например, честность) либо оформленные в некий свод (устав) правил или предписаний. Эти нормы, как правило, не являются законодательно утвержденными, но поскольку их несоблюдение приводит к падению престижа организации, они считаются обязательными для исполнения.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Глава 3. Информационная безопасность в современном мире

3.1 Информационная  безопасность и информационные  технологии

В связи с массовой информатизацией современного общества все большую актуальность приобретает знание нравственно-этических норм и правовых основ использования средств новых информационных технологий в повседневной практической деятельности. Наглядными примерами, иллюстрирующими необходимость защиты информации и обеспечения информационной безопасности, являются участившиеся сообщения о компьютерных «взломах» банков, росте компьютерного пиратства, распространении компьютерных вирусов.

Число компьютерных преступлений растет, также увеличиваются масштабы компьютерных злоупотреблений. Умышленные компьютерные преступления составляют заметную часть преступлений, но злоупотреблений компьютерами и ошибок еще больше.

Основной причиной потерь, связанных с компьютерами, является недостаточная образованность в области безопасности.

Под информационной безопасностью понимается защищенность информации от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации.

Цель информационной безопасности - обезопасить ценности системы, защитить и гарантировать точность и целостность информации и минимизировать разрушения, которые могут иметь место, если информация будет модифицирована или разрушена.

На практике важнейшими являются три аспекта информационной безопасности:

• доступность (возможность за разумное время получить требуемую информационную услугу);
• целостность (ее защищенность от разрушения и несанкционированного изменения);
• конфиденциальность (защита от несанкционированного прочтения).

Кроме того, использование информационных систем должно производиться в соответствии с существующим законодательством. Данное положение, разумеется, применимо к любому виду деятельности, однако информационные технологии специфичны в том отношении, что развиваются исключительно быстрыми темпами. Почти всегда законодательство отстает от потребностей практики, и это создает в обществе определенную напряженность. Для информационных технологий подобное отставание законов, нормативных актов, национальных и отраслевых стандартов оказывается особенно болезненным.

Формирование режима информационной безопасности - проблема комплексная. Меры по ее решению можно разделить на четыре уровня:

1. законодательный (законы, нормативные акты, стандарты и т.п.);
2. административный (действия общего характера, предпринимаемые руководством организации);
3. процедурный (конкретные меры безопасности, имеющие дело с людьми);
4. программно-технический (конкретные технические меры).

Важнейшим аспектом решения проблемы информационной безопасности является правовой. Соответствующее законодательство довольно быстро развивается, стараясь учитывать развитие компьютерной техники и телекоммуникаций, но, естественно, не поспевает в силу разумного консерватизма, предполагающего создание новых правовых механизмов при условии накопления некой «критической массы» правоотношений, требующих урегулирования. В России аналогичное законодательство чаще всего называется «законодательством в сфере информатизации» и охватывает, по разным оценкам, от 70 до 500 нормативно-правовых актов (включая акты, которыми предусматривается создание отраслевых или специализированных автоматизированных систем).

Конституция РФ непосредственно не регулирует отношения в области производства и применения новых информационных технологий, но создает предпосылки для такого регулирования, закрепляя права граждан (свободно искать, получать, передавать, производить и распространять информацию любым законным способом - ст. 29 ч. 4; на охрану личной тайны - ст. 24 ч. 1 и др.) и обязанности государства (по обеспечению возможности ознакомления гражданина с документами и материалами, непосредственно затрагивающими его права и свободы - ст. 24 ч. 2).

Гражданский кодекс РФ (ГК) в большой степени определяет систему правоотношений в рассматриваемой области. Часть первая ГК устанавливает правовые режимы информации - служебная и коммерческая тайна, а также личная и семейная тайна.

Важно различать «информацию» как термин обыденной жизни и как правовую категорию, в которой она не всегда может выступать в силу указанных выше причин. Например, «утечка информации» означает несанкционированный доступ к конфиденциальной информации. «Продажа информации» может осуществляться в форме оказания информационных услуг или передачи исключительных прав на использование базы данных. «Собственником информации» на самом деле окажется владелец книги или личной библиотеки, служебная или деловая информация в виде приказов, договоров, уставов и т.д. есть не что иное, как документы, находящиеся в документообороте вне отношений собственности.

В государственно-правовых отношениях информация выступает в виде государственной тайны, имеющей определенные идентифицирующие признаки.

На уровне действующих законов России в области компьютерного права можно считать в достаточной степени урегулированными вопросы охраны исключительных прав и частично защиты информации (в рамках государственной тайны). Не получили достойного отражения в законодательстве две группы правоотношений:

• право граждан на доступ к информации;
• защита информации (в том числе коммерческая и служебная тайны, защита персональных данных).

Эти вопросы должны стать предметом разрабатываемых законопроектов.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

3.2 Угрозы информационной  безопасности в современном мире

Существуют четыре действия, производимые с информацией, которые могут содержать в себе угрозу: сбор, модификация, утечка и уничтожение.

Эти действия являются базовыми для дальнейшего рассмотрения.

Придерживаясь принятой классификации, будем разделять все источники угроз на внешние и внутренние.

Источниками внутренних угроз являются:

1. Сотрудники организации;
2. Программное обеспечение;
3. Аппаратные средства.

Внутренние угрозы могут проявляться в следующих формах:

• ошибки пользователей и системных администраторов;
• нарушения сотрудниками фирмы установленных регламентов сбора, обработки, передачи и уничтожения информацию;
• ошибки в работе программного обеспечения;
• отказы и сбои в работе компьютерного оборудования.

К внешним источникам угроз относят:

1. Компьютерные вирусы и вредоносные программы;
2. Организации и отдельные лица;
3. Стихийные бедствия.

Формами проявления внешних угроз являются:

• заражение компьютеров вирусами или вредоносными программами;
• несанкционированный доступ (НДС) к корпоративной информации;
• информационный мониторинг со стороны конкурирующих структур, разведывательных и специальных служб;
• действия государственных структур и служб, сопровождающиеся сбором, модификацией, изъятием и уничтожением информации;
• аварии, пожары, техногенные катастрофы.

По способам воздействия на объекты информационной безопасности угрозы подлежат следующей классификации: информационные, программные, физические, радиоэлектронные и организационно – правовые.

К информационным относятся:

• несанкционированный доступ к информационным ресурсам;
• незаконное копирование данных в информационных системах;
• хищение информации из библиотек, архивов, банков и баз данных;
• нарушение технологии обработки информации;
• противозаконный сбор и использование информации;
• использование информационного оружия.

К программным угрозам относят:

• использование ошибок и “дыр” в ПО;
• компьютерные вирусы и вредоносные программы;
• установка “закладных” устройств;

К физическим угрозам относят:

• уничтожение или разрушение средств обработки информации и связи;
• хищение носителей информации;
• хищение программных или аппаратных ключей и средств криптографической защиты данных;

К радиоэлектронным угрозам относятся: