В процессе выделения отрасли права большое значение имеет не только предмет отношений, но и метод его регулирования. Вся совокупность отношений по поводу информации (информационных ресурсов) регулируется нормами права национального, в данном случае Российской Федерации, нормами международного права, а также договоров РФ с другими государствами, в целом образующими систему информационного права.
Наиболее социализированной формой информации является знаковая и прежде всего письменная форма представления информации. Поэтому первый закон, специально посвященный информационным проблемам - Федеральный закон «Об информации, информатизации и защите информации», принятый в 1995 г. Предмет его регулирования - документированная информация, на основе которой формируются информационные ресурсы разных субъектов. Зарубежное законодательство, как правило, говорит о документе в качестве предмета регулируемых отношений.
Предметом информационного права является не только сама информация, но и процессы, связанные с ее получением (созданием, снятием), обработкой, хранением, передачей, распространением и т. д. Совокупность этих действий, связанных с информацией, называется информатикой, а создание условий для внедрения новейших технологий в работе с информацией - информатизацией. Таким образом, информация, информатизация, коммуникация информации по различным типам сетей и отношения, возникающие в этой связи, в совокупности составляют предметную область информационного права.
Более сложным является вопрос о методе этой отрасли права. В данном случае уместно говорить о методах, а не об одном методе. И это требует пояснения.
Нормативность - общеобязательность правовых норм (правил) обеспечивается рядом условий. В числе этих условий:
- степень точности предметной области (сферы) социальной жизни, деятельности, в которой нормы должны действовать, получать реализацию;
- степень точности, конкретность обозначения круга лиц - субъектов права, обязанных соблюдать правовые предписания, - адресность норм;
- юридическое оформление содержания поведения или отношений субъектов права;
- способы, в организационном отношении - механизмы, обеспечения исполнения воли субъекта - законодателя (творца нормативных предписаний), содержание предписания.
Если первые два условия обеспечиваются в процессе определения предмета правового регулирования, то содержательное наполнение норм права (предписаний), равно как и способы гарантирования реализации норм, имеют непосредственное отношения к методам правового регулирования.
Важно установить основные признаки регулирования в информационной сфере. В этой связи необходимо напомнить, какие цели решаются данной категорией права:
- предписание действовать определенным образом в конкретной ситуации (в ситуации юридического факта) в пределах предметной сферы отношений, определение правил поведения, отношений субъектов права;
- установление организационных мер и структур для обеспечения соблюдения установленных предписаний (правил);
- установление структур, их прав и обязанностей, действующих в случаях нарушения нормативно предусмотренных правил поведения субъектов права в пределах регулируемой сферы (отрасли) отношений и реализующих принудительные и карательные меры в случаях нарушения порядка, предусмотренного нормами права.
Всепроникающая природа информации обуславливает то обстоятельство, что в праве формируется отрасль, которая не является ни классической, ни чистой по принадлежности к какому-либо семейству одной отрасли права по методу регулирования. Информационное право явля-
ется отраслью третьего уровня классификации - отраслью комплексной по методам правового регулирования. Имея наиболее точно очерченную сферу регулирования - информацию и информационную деятельность, данная часть правовой системы по своим методам использует разные средства и приемы, присущие всей системе права. Поэтому возможно говорить не об одном методе, а о методах, их множестве и разнообразии, взаимодополнении в пределах одной предметной отрасли.
Специфика методов информационного права - сочетание конституционного регулирования, административных способов обеспечения особенностей информационной деятельности, привлечение всего арсенала регулирующих, контрольных, принудительных, карательных и стимулирующих мер в процессе обеспечения соблюдения законодательства и реакции государства на правонарушения - объясняет и проблему места информационного права в системе права в целом. Информационное право - отрасль, которая находится в тесном контакте и взаимодействии со всеми другими отраслями права.
Базовой отраслью права для регулирования отношений, связанных с информационной деятельностью, - отношений в области связи и коммуникаций является административное право, и на этом основании выделяемое в самостоятельную область информационное право следует отнести к семейству административного права, что не исключает его связи с другими отраслями публичного права (уголовным, финансовым, экологическим и т. д.).
Информационная безопасность Российской Федерации является одной из составляющих национальной безопасности Российской Федерации и оказывает влияние на защищенность национальных интересов Российской Федерации в различных сферах жизнедеятельности общества и государства. Угрозы информационной безопасности Российской Федерации и методы ее обеспечения являются общими для этих сфер.
В различных сферах жизнедеятельности имеются свои особенности обеспечения информационной безопасности, связанные со спецификой объектов обеспечения безопасности, степенью их уязвимости в отношении угроз информационной безопасности Российской Федерации.
Общие методы обеспечения информационной безопасности Российской Федерации разделяются на правовые, организационно-технические и экономические.
Рис. 5.1. Методы обеспечения информационной безопасности
К правовым методам обеспечения информационной безопасности Российской Федерации относится разработка нормативных правовых актов, регламентирующих отношения в информационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности Российской Федерации.
Наиболее важными направлениями этой деятельности являются:
внесение изменений и дополнений в законодательство Российской Федерации, регулирующее отношения в области обеспечения информационной безопасности, в целях создания и совершенствования системы обеспечения информационной безопасности Российской Федерации, устранения внутренних противоречий в федеральном законодательстве, противоречий, связанных с международными соглашениями, к которым присоединилась Российская Федерация, и противоречий между федеральными законодательными актами и законодательными актами субъектов Российской Федерации, а также в целях конкретизации правовых норм, устанавливающих ответственность за правонарушения в области обеспечения информационной безопасности Российской Федерации;
законодательное разграничение полномочий в области обеспечения информационной безопасности Российской Федерации между федеральными органами государственной власти и органами государственной власти субъектов Российской Федерации, определение целей, задач и механизмов участия в этой деятельности общественных объединений, организаций и граждан;
разработка и принятие нормативных правовых актов Российской Федерации, устанавливающих ответственность юридических и физических лиц за несанкционированный доступ к информации, ее противоправное копирование, искажение и противозаконное использование, преднамеренное распространение недостоверной информации, противоправное раскрытие конфиденциальной информации, использование в преступных и корыстных целях служебной информации или информации, содержащей коммерческую тайну;
уточнение статуса иностранных информационных агентств, средств массовой информации и журналистов, а также инвесторов при привлечении иностранных инвестиций для развития информационной инфраструктуры России;
законодательное закрепление приоритета развития национальных сетей связи и отечественного производства космических спутников связи;
определение статуса организаций, предоставляющих услуги глобальных информационно-телекоммуникационных сетей на территории Российской Федерации, и правовое регулирование деятельности этих организаций;
создание правовой базы для формирования в Российской Федерации региональных структур обеспечения информационной безопасности.
К организационно-техническим методам обеспечения информационной безопасности Российской Федерации относятся:
создание и совершенствование системы обеспечения информационной безопасности Российской Федерации;
усиление правоприменительной деятельности федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, включая предупреждение и пресечение правонарушений в информационной сфере, а также выявление, изобличение и привлечение к ответственности лиц, совершивших преступления и другие правонарушения в этой сфере;
разработка, использование и совершенствование средств защиты информации и методов контроля эффективности этих средств, развитие защищенных телекоммуникационных систем, повышение надежности специального программного обеспечения;
создание систем и средств предотвращения несанкционированного доступа к обрабатываемой информации и специальных воздействий, вызывающих разрушение, уничтожение, искажение информации, а также изменение штатных режимов функционирования систем и средств информатизации и связи;
выявление технических устройств и программ, представляющих опасность для нормального функционирования информационно-телекоммуникационных систем, предотвращение перехвата
информации по техническим каналам, применение криптографических средств защиты информации при ее хранении, обработке и передаче по каналам связи, контроль за выполнением специальных требований по защите информации;
сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандартизация способов и средств защиты информации;
совершенствование системы сертификации телекоммуникационного оборудования и программного обеспечения автоматизированных систем обработки информации по требованиям информационной безопасности;
контроль за действиями персонала в защищенных информационных системах, подготовка кадров в области обеспечения информационной безопасности Российской Федерации;
формирование системы мониторинга показателей и характеристик информационной безопасности Российской Федерации в наиболее важных сферах жизни и деятельности общества и государства.
К экономическим методам обеспечения информационной
безопасности Российской Федерации относятся:
разработку программ обеспечения информационной безопасности Российской Федерации и определение порядка их финансирования;
совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов защиты информации, создание системы страхования информационных рисков физических и юридических лиц.
Обеспечение информационной безопасности Российской Федерации в сфере экономики играет ключевую роль в обеспечении национальной безопасности Российской Федерации.
Воздействию угроз информационной безопасности Российской Федерации в сфере экономики наиболее подвержены:
система государственной статистики;
кредитно-финансовая система;
информационные и учетные автоматизированные системы подразделений федеральных органов исполнительной власти, обеспечивающих деятельность общества и государства в сфере экономики;
системы бухгалтерского учета предприятий, учреждений и организаций независимо от формы собственности;
системы сбора, обработки, хранения и передачи финансовой, биржевой, налоговой, таможенной информации и информации о внешнеэкономической деятельности государства, а также предприятий, учреждений и организаций независимо от формы собственности.
Переход к рыночным отношениям в экономике вызвал появление на внутреннем российском рынке товаров и услуг множества отечественных и зарубежных коммерческих структур – производителей и потребителей информации, средств информатизации и защиты информации. Бесконтрольная деятельность этих структур по созданию и защите систем сбора, обработки, хранения и передачи статистической, финансовой, биржевой, налоговой, таможенной информации создает реальную угрозу безопасности России в экономической сфере. Аналогичные угрозы возникают при бесконтрольном привлечении иностранных фирм к созданию подобных систем, поскольку при этом складываются благоприятные условия для несанкционированного доступа к конфиденциальной экономической информации и для контроля за процессами ее передачи и обработки со стороны иностранных спецслужб.
Критическое состояние предприятий национальных отраслей промышленности, разрабатывающих и производящих средства информатизации, телекоммуникации, связи и защиты информации, приводит к широкому использованию соответствующих импортных средств, что создает угрозу возникновения технологической зависимости России от иностранных государств.
Серьезную угрозу для нормального функционирования экономики в целом представляют компьютерные преступления, связанные с проникновением криминальных элементов в компьютерные системы и сети банков и иных кредитных организаций.
Недостаточность нормативной правовой базы, определяющей ответственность хозяйствующих субъектов за недостоверность или сокрытие сведений об их коммерческой деятельности, о потребительских свойствах производимых ими товаров и услуг, о результатах их хозяйственной деятельности, об инвестициях и тому подобном, препятствует нормальному функционированию хозяйствующих субъектов. В то же время существенный экономический ущерб хозяйствующим субъектам может быть нанесен вследствие разглашения информации, содержащей коммерческую тайну. В системах сбора, обработки, хранения и передачи финансовой, биржевой, налоговой, таможенной информации наиболее опасны противоправное копирование информации и ее искажение вследствие преднамеренных или случайных нарушений технологии работы с информацией, несанкционированного доступа к ней. Это касается и федеральных органов исполнительной власти, занятых формированием и распространением информации о внешнеэкономической деятельности Российской Федерации.
Основными мерами по обеспечению информационной безопасности Российской Федерации в сфере экономики являются:
организация и осуществление государственного контроля за созданием, развитием и защитой систем и средств сбора, обработки,
хранения и передачи статистической, финансовой, биржевой, налоговой, таможенной информации;
коренная перестройка системы государственной статистической отчетности в целях обеспечения достоверности, полноты и защищенности информации, осуществляемая путем введения строгой
юридической ответственности должностных лиц за подготовку первичной информации, организацию контроля за деятельностью этих лиц и служб обработки и анализа статистической информации, а
также путем ограничения коммерциализации такой информации;
разработка национальных сертифицированных средств защиты информации и внедрение их в системы и средства сбора, обработки, хранения и передачи статистической, финансовой, биржевой, налоговой, таможенной информации;
разработка и внедрение национальных защищенных систем электронных платежей на базе интеллектуальных карт, систем электронных денег и электронной торговли, стандартизация этих систем, а также разработка нормативной правовой базы, регламентирующей их использование;
совершенствование нормативной правовой базы, регулирующей информационные отношения в сфере экономики;
совершенствование методов отбора и подготовки персонала для работы в системах сбора, обработки, хранения и передачи экономической информации.
Наиболее важными объектами обеспечения информационной безопасности Российской Федерации в области науки и техники являются:
результаты фундаментальных, поисковых и прикладных научных исследований, потенциально важные для научно-технического, технологического и социально-экономического развития страны, включая сведения, утрата которых может нанести ущерб национальным интересам и престижу Российской
Федерации;
открытия, незапатентованные технологии, промышленные образцы, полезные модели и экспериментальное оборудование;
научно-технические кадры и система их подготовки;
системы управления сложными исследовательскими комплексами (ядерными реакторами, ускорителями элементарных частиц, плазменными генераторами и др.).
Ограничение доступа.
Ограничение доступа заключается в создании некоторой физической замкнутой преграды вокруг объекта защиты с организацией контролируемого доступа лиц, связанных с объектом защиты по
своим функциональным обязанностям.
Ограничение доступа к автоматизированной системе обработки информации (АСОИ) заключается:
в выделении специальной территории для размещения АСОИ;
в оборудовании по периметру выделенной зоны специальных ограждений с охранной сигнализацией;
в сооружении специальных зданий или других сооружений;
в выделении специальных помещений в здании;
в создании контрольно-пропускного режима на территории, в зданиях и помещениях.
Задача средств ограничения доступа – исключить случайный и преднамеренный доступ посторонних лиц на территорию размещения АСОИ и непосредственно к аппаратуре. В указанных целях создается защитный контур, замыкаемый двумя видами преград: физической и контрольно-пропускной. Такие преграды часто называют системой охранной сигнализации и системой контроля доступа.
Традиционные средства контроля доступа в защищаемую зону заключаются в изготовлении и выдаче допущенным лицам специальных пропусков с размещенной на них фотографией личности владельца и сведений о нем. Данные пропуска могут храниться у владельца или непосредственно в пропускной кабине охраны. В последнем случае допущенное лицо называет фамилию и свой номер, либо набирает его на специальной панели кабины при проходе через турникет, пропускное удостоверение выпадает из гнезда и поступает в руки работника охраны, который визуально сверяет личность владельца с изображением на фотографии, названную фамилию с фамилией на пропуске. Эффективность защиты данной системы выше первой. При этом исключаются потеря пропуска, его перехват и подделка. Кроме того, есть резерв в повышении эффективности защиты с помощью увеличения количества проверяемых параметров. Однако основная нагрузка по контролю при этом ложится на человека, а он, как известно, может ошибаться.
К проверяемым параметрам можно отнести биометрические методы аутентификации человека.
Биометрические технологии
Биометрические технологии – это идентификация человека по уникальным, присущим только ему биологическим признакам.
На сегодняшний день биометрические системы доступа являются самыми надежными. Важным фактором увеличения популярности биометрической защиты является простота их эксплуатации, поэтому они становятся доступными для домашних пользователей.
Рис. 5.2. Статистика
Отпечатки пальцев
Идентификация человека по отпечаткам пальцев – самый распространенный способ, использующийся биометрическими системами защиты информации. Сегодня существует три технологии снятия отпечатков пальцев. Первая из них – это использование оптических сканеров. Принцип действия этих устройств практически идентичен принципам работы обычных сканеров. Главное достоинство оптических сканеров – это их дешевизна. К недостаткам следует отнести то, что это весьма капризные приборы, требующие постоянного ухода. Пыль, грязь и царапины могут отказать в допуске легальному пользователю, кроме того, отпечаток, полученный с помощью оптического сканера, очень сильно зависит от состояния кожи. Жирная или, наоборот, сухая и уж тем более потрескавшаяся кожа может послужить причиной размытости изображения и невозможности идентификации личности.
Вторая технология основана на использовании не оптических, а электрических сканеров. Суть ее заключается в следующем. Пользователь прикладывает палец к специальной пластине, которая со-
стоит из кремниевой подложки, содержащей 90 тысяч конденсаторных пластин с шагом считывания 500 тнд. При этом получается своеобразный конденсатор. Одна пластина – это поверхность сенсора, вторая – палец человека. А поскольку потенциал электрического поля внутри конденсатора зависит от расстояния между пластинами, то карта этого поля повторяет папиллярный рисунок пальца.
Электрическое поле измеряется, а полученные данные преобразуются в восьмибитовое растровое изображение. К достоинствам этой технологии можно отнести очень высокую точность получаемого отпечатка пальца, не зависящую от состояния кожи пользователя.
Система прекрасно сработает даже в том случае, если палец человека испачкан. Кроме того, само устройство имеет маленькие размеры, что позволяет использовать его во многих местах. Но есть
у электрического сканера и недостатки. Во-первых, изготовление сенсора, содержащего 90 тысяч конденсаторных пластин достаточно дорогое. Во-вторых, кремниевый кристалл, лежащий в основе скане-
ра, требует герметичной оболочки. А это накладывает дополнительные ограничения на условия применения системы, в частности на внешнюю среду, наличие вибрации и ударов. В-третьих, отказ от работы при наличии сильного электромагнитного излучения.
Третья технология идентификации человека по отпечаткам пальцев – TactileSense, разработанная компанией Who Vision Systems. В этих сканерах используется специальный полимерный материал, чувствительный к разности электрического поля между гребнями и впадинами кожи. То есть фактически принцип работы устройств TactileSense такой же, как и у электрических сканеров, но у них есть ряд преимуществ. Первое – стоимость производства полимерного сенсора в сотни раз меньше, чем цена кремниевого.
Второе – отсутствие хрупкой основы обеспечивает высокую прочность как поверхности сканера, так и всего устройства. Третье – миниатюрные размеры сенсора. Фактически для получения отпечатка нужна только пластинка площадью, равной площади подушечки пальца, и толщиной всего 0,075 мм. К этому нужно добавить небольшую электронную начинку. Получившийся сенсор настолько мал, что его можно без какого-либо ущерба встроить практически в любое компьютерное устройство.
Глаза
У человеческого глаза есть две уникальные для каждого человека характеристики. Это сетчатка и радужная оболочка. Первую для построения биометрических систем обеспечения информационной безопасности используют уже давно. В этих системах сканер определяет либо рисунок кровеносных сосудов глазного дна, либо отражающие и поглощающие характеристики самой сетчатки. Обе эти технологии считаются самыми надежными среди биометрических. Сетчатку невозможно подделать, ее нельзя сфотографировать или снять откуда-нибудь, как отпечаток пальца. Правда, недостатков у систем, работающих с сетчаткой глаза, более чем достаточно.
Во-первых, это высокая стоимость сканеров и их большие габариты.
Во-вторых, долгое время анализа полученного изображения (не менее одной минуты). В-третьих, – неприятная для человека процедура сканирования. Дело в том, что пользователь должен во время этого процесса смотреть в определенную точку. Причем сканирование осуществляется с помощью инфракрасного луча, из-за чего человек испытывает болезненные ощущения. И, наконец, в-четвертых, – значительное ухудшение качества снимка при некоторых заболеваниях, например при катаракте. А это значит, что люди
с ухудшенным зрением не смогут воспользоваться этой технологией.
Недостатки идентификации человека по сетчатке глаза привели к тому, что эта технология плохо подходит для использования в системах защиты информации. Поэтому наибольшее распространение она получила в системах доступа на секретные научные и военные объекты.
По-другому обстоят дела с системами, использующими для идентификации радужную оболочку глаза. Для их работы нужны только специальное программное обеспечение и камера. Принцип работы таких систем очень прост. Камера снимает лицо человека.
Программа из полученного изображения выделяет радужную оболочку. Затем по определенному алгоритму строится цифровой код, по которому и осуществляется идентификация. Данный метод имеет ряд преимуществ. Во-первых, небольшая цена. Во-вторых, ослабленное зрение не препятствует сканированию и кодированию идентифицирующих параметров. В-третьих, камера не доставляет никакого дискомфорта пользователям.
Лицо
На сегодняшний день существует две биометрические технологии, использующие для идентификации человека его лицо. Первая представляет специальное программное обеспечение, которое получает изображение с веб-камеры и обрабатывает его. На лице выделяются отдельные объекты (брови, глаза, нос, губы), для каждого из которых вычисляются параметры, полностью его определяющие. При этом многие современные системы строят трехмерный образ лица человека. Это нужно для того, чтобы идентификация оказалась возможной, например, при наклоне головы и повороте под небольшим углом. Достоинство у подобных систем одно – это цена. Ведь для работы нужны только специальное программное обеспечение и веб-камера, которая уже стала привычным атрибутом многих компьютеров. Недостатков идентификации человека по форме лица гораздо больше. Самый главный минус – низкая точность. Человек во время идентификации может не так повернуть голову, или его лицо может иметь не то выражение, которое хранится в базе данных. Кроме того, система, скорее всего, откажет в доступе женщине, которая накрасилась не так, как обычно, например изменив форму бровей. Можно еще вспомнить и близнецов, форма лица которых практически идентична.
Вторая технология, основанная на идентификации человека по его лицу, использует термограмму. Дело в том, что артерии человека, которых на лице довольно много, выделяют тепло. Поэтому, сфотографировав пользователя с помощью специальной инфракрасной камеры, система получает «карту» расположения артерий, которая и называется термограммой. У каждого человека она различна. Даже у однояйцевых близнецов артерии расположе ны по-разному. А поэтому надежность этого метода достаточно вы-
сока. К сожалению, он появился недавно и пока не получил большого распространения.
Ладонь
Так же как и в предыдущем случае существуют два способа идентификации человека по ладони. В первом используется ее форма. Основой системы является специальное устройство. Оно состоит из камеры и нескольких подсвечивающих диодов. Главная задача этого устройства – построить трехмерный образ ладони, который потом сравнивается с эталонными данными. Надежность этого способа идентификации довольно велика. Вот только прибор, сканирующий ладонь, – довольно хрупкое устройство. А поэтому условия его использования ограничены.
Вторая биометрическая технология, использующая ладонь человека, использует для идентификации термограмму. В общем, этот способ полностью идентичен определению пользователя
по термограмме лица, так что его достоинства и недостатки точно
такие же.
Динамические характеристики
Динамические параметры – это поведенческие характеристики, то есть те, которые построены на особенностях, характерных для подсознательных движений в процессе воспроизведения какого-либо действия. В биометрических системах чаще всего используются голос, почерк и клавиатурный почерк.
Главными достоинствами систем, идентифицирующих людей по голосу, являются низкая цена и удобство как для пользователей, так и для администраторов. Для этого необходимо специальное программное обеспечение и микрофон, подключенный к компьютеру. К недостаткам биометрических систем, использующих голос, в первую очередь следует отнести довольно низкую надежность. Дело в том, что, используя современные высококачественные устройства, можно записать и воспроизвести голос человека
и нет никакой гарантии, что система распознает подделку. Кроме того, простуда может немного изменить голос пользователя, в результате чего ему будет отказано в доступе.
Личная подпись для идентификации человека используется уже много веков. Первые компьютерные системы, использующие этот параметр, просто сравнивали полученную картинку
с эталоном. Но, к сожалению, этот способ идентификации очень ненадежен. При желании злоумышленник может натренироваться и легко подделать практически любую подпись. Поэтому современные системы не просто сравнивают две картинки, но и измеряют динамические характеристики написания (время нанесения подписи, динамику нажима на поверхность и т. п.). Естественно, что для этого нужно специальное оборудование. В большинстве случаев компьютер доукомплектовывается сенсорной поверхностью, похожей на графический планшет. Но все большую и большую популярность завоевывают специальные «ручки», способные измерять степень нажима во время «письма» и прочие параметры. Главное их достоинство перед сенсорными поверхностями – минимум занимаемого места, что существенно расширяет область применения биометрических систем этого класса.
Наиболее распространенный способ идентификации человека по динамическим характеристикам – клавиатурный почерк. Дело в том, что каждый человек по-своему набирает текст на клавиатуре.
Поэтому по определенным характеристикам можно идентифицировать пользователя с довольно высокой точностью. Плюсы подобных систем очевидны. Во-первых, не нужно никакое дополнительное оборудование. Во-вторых, идентификация очень удобна для пользователя: он вводит обычный пароль, а на самом деле система точно определяет, имеет ли право сидящий за компьютером на доступ
к информации. Главный недостаток использования клавиатурного почерка для идентификации личности – временное изменение этого самого почерка у пользователей под влиянием стрессовых ситуаций. Что, в свою очередь, может привести к отказу в доступе человеку, имеющему на это право.
Необходимо отметить, что ситуация на рынке биометрических систем изменяется очень быстро. Постоянно появляются новые, более надежные, а зачастую и более дешевые технологии.
Совершенствование контрольно-пропускной системы в настоящее время ведется также в направлении совершенствования конструкции пропуска-удостоверения личности путем записи кодовых значений паролей.
Физическая преграда защитного контура, размещаемая по периметру охраняемой зоны, снабжается охранной сигнализацией.
В настоящее время ряд предприятий выпускает электронные системы для защиты государственных и частных объектов от проникновения в них посторонних лиц. Гарантировать эффективность системы охранной сигнализации можно только в том случае, если обеспечены надежность всех ее составных элементов и их согласованное функционирование. При этом имеют значение тип датчика, способ оповещения или контроля, помехоустойчивость, а также реакция на сигнал тревоги. Местная звуковая или световая сигнализация может оказаться недостаточной, поэтому местные устройства охраны целесообразно подключить к специализированным средствам централизованного управления, которые при получении сигнала тревоги высылают специальную группу охраны.
Следить за состоянием датчиков может автоматическая система, расположенная в центре управления, или сотрудник охраны, который находится на объекте и при световом или звуковом сигнале принимает соответствующие меры. В первом случае местные охранные устройства подключаются к центру через телефонные линии, а специализированное цифровое устройство осуществляет периодический опрос состояния датчиков, автоматически набирая номер приемоответчика, расположенного на охраняемом объекте. При поступлении в центр сигнала тревоги автоматическая система включает сигнал оповещения.
Датчики сигналов устанавливаются на различного рода ограждениях, внутри помещений, непосредственно на сейфах и т. д.
При разработке комплексной системы охраны конкретного объекта учитывают его специфику: внутреннюю планировку здания, окон, входной двери, размещение наиболее важных технических средств.
Все эти факторы влияют на выбор типа датчиков, их расположение и определяют ряд других особенностей данной системы. По принципу действия системы тревожной сигнализации можно классифицировать следующим образом:
традиционные (обычные), основанные на использовании цепей сигнализации и индикации в комплексе с различными контактами (датчиками);
ультразвуковые;
прерывания луча;
телевизионные;
радиолокационные;
микроволновые;
Деятельность по обеспечению информационной безопасности осуществляется с помощью различных способов, средств и приемов, которые в совокупности и составляют методы. Метод предусматривает определенную последовательность действий на основании и конкретного плана. Методы могут значительно изменяться и варьироваться в зависимости от типа деятельности, в которой они используются, а также сферы применения.
Важными методами анализа состояния обеспечения информационной безопасности являются методы описания и классификации. Для осуществления эффективной защиты системы управления НБ следует, во-первых, описать, а только потом классифицировать различные виды угроз и опасностей, рисков и вызовов и соответственно сформулировать систему мер по осуществлению управления ими.
В качестве распространенных методов анализа уровня обеспечения информационной безопасности используются методы исследования при действующих связей. С помощью данных методов оказываются причинные связи между общ грозами и опасностями, осуществляется поиск причин, которые стали источником и причиной актуализации тех или иных факторов опасности, а также разрабатываются меры по их нейтрализации. В числе данных методов причинных связей можно назвать следующие: метод сходства, метод различия, метод сочетания сходства и различия, метод сопроводительных изменений, метод остатков.
Выбор методов анализа состояния обеспечения информационной безопасности зависит от конкретного уровня и сферы организации защиты в зависимости от угрозы, задачи по дифференциации как различных уровней угроз, так и различных уровней защиты. Что касается сферы информационной безопасности, то в ней обычно выделяют:
1) физический;
2) программно-технический;
3) управленческий;
4) технологический;
5) уровень пользователя;
6) сетевой;
7) процедурный
На физическом уровне осуществляется организация и физическую защиту информационных ресурсов, информационных технологий, используемых и управленческих технологий.
На программно-техническом уровне осуществляется идентификация и проверка подлинности пользователей, управления доступом, протоколирование и аудит, криптография, экранирование, обеспечение высокой доступности.
На уровне управления осуществляется управление, координация и контроль организационных, технологических и технических мероприятий на всех уровнях со стороны единой системы обеспечения информационной безопасности.
На технологическом уровне осуществляется реализация политики информационной безопасности за счет применения комплекса современных автоматизированных информационных технологий.
На уровне пользователя реализация политики информационной безопасности направлена на уменьшение рефлексивного воздействия на объекты информационной безопасности.
На сетевом уровне данная политика реализуется в формате координации действий компонентов системы управления, которые связаны между собой одной целью.
На процедурном уровне принимаются меры, реализуемые людьми. Среди них можно выделить следующие группы процедурных мероприятий: управление персоналом, физическая защита, поддержание работоспособности, регулирования на нарушения режима безопасности, планирования реанимационных работ.
Выделяют несколько типов методов обеспечения информационной безопасности:
1) одноуровневые методы строятся на основании одного принципа управления информационной безопасностью;
2) многоуровневые методы строятся на основе нескольких принципов управления информационной безопасностью, каждый из которых служит решению собственного задачи. При этом частные технологии не связаны между собой и направлены лишь на конкретные факторы информационных угроз;
3) комплексные методы - многоуровневые технологии, которые объединены в единую систему координирующими функциями на организационном уровне с целью обеспечения информационной безопасности, исходя из анализа совокупности и факторов опасности, которые имеют семантическая связь либо генерируются из единого информационного центра информационного воздействия;
4) интегрированные высокоинтеллектуальные методы - многоуровневые, многокомпонентные технологии, построенные на основе мощных автоматизированных интеллектуальных средств с организационным управлением;
Общие методы обеспечения информационной безопасности активно используются на любой стадии управления угрозами. К таким стадий относятся: принятие решения по определению области и контекста информационной угрозы и состава участников процесса противодействия;
Специфика методов, используемых, значительно зависит от субъекта деятельности, объекта воздействия, а также преследуемых целей. Так, методы деятельности индивида в связи с его ограниченной возможностью по обеспечению информационной безопасности в основном сводятся к источнику угрозы, апеллирование к общественному мнению, а также к государству, должна принимать решительные меры по нейтрализации информационных угроз.
Причем, к сожалению, следует констатировать, что в нашей стране не на достаточном уровне осознают опасность именно в информационной сфере, нет штатных единиц в органах государственного управления информационной, не на достаточном уровне проводится подготовка соответствующих специалистов для системы управления.
Весьма важным является применение аналитических методов познания и исследования состояния общественного сознания в сфере информационной безопасности. Например, осознание важности обеспечения информационной безопасности на уровне индивида, общества и организации мешает распространенный миф о том, что защита информации и криптография одно и то же время такое понимание является результатом использования устаревших подходов к информационной безопасности, когда информационная безопасность только отождествляются с защитой информации путем шифрования.
Важным условием обеспечения информационной безопасности являются не столько секретность, конфиденциальность информации, сколько ее доступность, целостность, защита от различных угроз. Итак, система соответственно в реагировать и гарантировать эффективную деятельность в этом направлений.
Другой задачей защиты является обеспечение неизменности информации во время ее хранения или передачи, то есть обеспечение ее целостности. Таким образом конфиденциальность информации, которая обеспечивается с помощью криптографических методов не является главным требованием при проектировании систем защиты информации. Выполнение процедур кодирования и декодирования может замедлить передачу данных и уменьшить доступ к ним из-за того, что пользователь будет лишен возможности своевременного и быстрого доступа к этим данным и информации. Именно поэтому обеспечение конфиденциальности информации должно соответствовать возможности доступа к нее. Таким образом, управление в сфере информационной безопасности должно осуществляться на основе принципа доступности и безопасности. Система обеспечения информационной безопасности в первую очередь должна гарантировать доступность и целостность информации, а ее конфиденциальность в случае необходимости.
Однако не следует питать надежду на создание абсолютной системы информационной безопасности, поскольку, как отмечалось нами выше, мы стоим на той позиции, что угроза и опасность есть атрибутивными компонентами системы информационной безопасности, поэтому их существование и реализация, а также негативные последствия является естественным компонентом системы информационной безопасности. Именно они дают возможность увидеть недостатки в системе управления информационной безопасностью, и одновременно служат импульсом к совершенствованию, т.е. к развитию. Следовательно, важным метод обеспечения информационной безопасности является методом развития.
Основным методом анализа информационных рисков является количественный и качественный анализ, факторный анализ и т.д. Цель качественной оценки рисков - ранжировать информационные угрозы и опасности по различным критериям, система которых позволит сформировать эффективную систему воздействия на них.
Важным методом обеспечения информационной безопасности является также метод критических сценариев. В указанных сценариях анализируются ситуации, когда воображаемый противник парализует систему государственного управления и существенно снижает способность поддерживать государственное управление в пределах оптимальных параметров. Причем анализ событий в мире предоставляет все основания утверждать, что информационные войны становятся органической частью политики национальной безопасности многих развитых стран.
Также можно указать на метод моделирования, с помощью которого можно проводить обучение по информационной безопасности. Положительный опыт этого у США, где на базе одной из известных корпораций постоянно проводятся оперативно-исследовательские обучения, чтобы моделировать различные формы информационных атак в ходе информационной войны.
Среди методов обеспечения информационной безопасности важное значение имеет метод дихотомии. Для противодействия угрозам информационной безопасности принимаются необходимые меры как в направлении предоставления определенного влияния н на источник угрозы, так и в направлении укрепления объекта безопасности. Согласно выделяют две предметные области противодействия. Одна из них образуется совокупностью источников угроз, а другая - совокупность мероприятий по обеспечению грузки информационной безопасности объекта.
Методы воздействия на информацию в форме сообщений можно разделить также на электронные и неэлектронных. Электронные методы воздействия применяются в тех случаях, когда сообщение закрепляются на электромагнитных носителях, которые предназначены для обработки с помощью средств вычислительной техники Они заключаются в уничтожении, искажении, копировании сообщений. Такие действия могут быть совершены только с помощью технического и программного обеспечения неэлектронных методы по своей сути имеют тот же смысл, но реализуются без использования средств вычислительной техники дл я воздействия на сообщение закрепления на других, прежде бумажных, носителях информации.
Методы воздействия на информационную инфраструктуру могут быть разделены на информационные и неинформационные. Информационные методы воздействия ориентированы на нарушения формирования информационно-телекоммуникационных систем, сетей связи, средств автоматизации управления, систем автоматизированной обработки информации, и таким образом, на предупреждение нанесения вреда предметам общественных отношений.
В целом же следует отметить, что выбор целей и методов противодействия конкретным угрозам и опасностям информационной безопасности представляет собой важную проблему и составную часть деятельности по реализации основан них направлений государственной политики информационной безопасности В рамках решения данной проблемы определяются возможные формы соответствующей деятельности органов государственной власти, что требует проведения детального анализу экономического, социального, политического и других слоев общества, государства и личности, возможных последствий выбора тех или иных вариантов осуществления этой деятельности.
Информационная безопасность , как и защита информации, задача комплексная, направленная на обеспечение безопасности, реализуемая внедрением системы безопасности. Проблема защиты информации является многоплановой и комплексной и охватывает ряд важных задач. Проблемы информационной безопасности постоянно усугубляются процессами проникновения во все сферы общества технических средств обработки и передачи данных и, прежде всего, вычислительных систем.
На сегодняшний день сформулировано три базовых принципа, которые должна обеспечивать информационная безопасность:
целостность данных - защита от сбоев, ведущих к потере информации, а также зашита от неавторизованного создания или уничтожения данных;
конфиденциальность информации;
При разработке компьютерных систем, выход из строя или ошибки в работе которых могут привести к тяжелым последствиям, вопросы компьютерной безопасности становятся первоочередными. Известно много мер, направленных на обеспечение компьютерной безопасности, основными среди них являются технические, организационные и правовые.
Обеспечение безопасности информации - дорогое дело, и не только из-за затрат на закупку или установку средств защиты, но также из-за того, что трудно квалифицированно определить границы разумной безопасности и обеспечить соответствующее поддержание системы в работоспособном состоянии.
Средства зашиты информации нельзя проектировать, покупать или устанавливать до тех пор, пока не произведен соответствующий анализ.
На сайте анализируется информационная безопасность и ее место в системе национальной безопасности, определяются жизненно важные интересы в информационной сфере и угрозы для них. Рассмотрены вопросы информационной войны, информационного оружия, принципы, основные задачи и функции обеспечения информационной безопасности, функции государственной системы по обеспечению информационной безопасности, отечественные и зарубежные стандарты в области информационной безопасности. Значительное внимание уделяется также правовым вопросам информационной безопасности.
Так же рассматриваются общие вопросы защиты информации в автоматизированных системах обработки данных (АСОД), предмет и объекты зашиты информации, задачи защиты информации в АСОД. Рассмотрены типы преднамеренных угроз безопасности и методы защиты информации в АСОД. Рассмотрены методы и средства подтверждения подлинности пользователей и разграничения их доступа к компьютерным ресурсам, контроля доступа к аппаратуре, использования простых и динамически изменяющихся паролей, методы модификации схемы простых паролей, функциональные методы.
Основные принципы построения системы информационной безопасности.
При построении системы информационной безопасности объекта следует руководствоваться следующими принципами:
Непрерывность процесса совершенствования и развития системы информационной безопасности, заключающаяся в обосновании и реализации наиболее рациональных методов, способов и путей защиты информации, непрерывном контроле, выявлении узких и слабых мест и потенциально возможных каналов утечки информации и несанкционированного доступа.
Комплексное использование всего арсенала имеющихся средств защиты на всех этапах производства и обработки информации. При этом все используемые средства, методы и мероприятия объединяются в единый, целостный механизм - систему информационной безопасности.
Контроль функционирования, обновление и дополнение механизмов защиты в зависимости от изменения возможных внутренних и внешних угроз.
Надлежащая подготовка пользователей и соблюдение ими всех установленных правил сохранения конфиденциальности. Без выполнения этого требования никакая система информационной безопасности не может обеспечить требуемого уровня защиты.
Важнейшим условием обеспечения безопасности являются законность, достаточность, соблюдение баланса интересов личности и предприятия, взаимная ответственность персонала и руководства, взаимодействие с государственными правоохранительными органами.
10) Этапы построения ИБ
Этапы построения.
1. Комплексный анализ информационной системы
предприятия на различных уровнях. Анализ рисков.
2. Разработка организационно-распорядительных и
регламентирующих документов.
3. Обучение, повышение квалификации и
переподготовка специалистов.
4. Ежегодная переоценка состояния информационной
безопасности предприятия
11) Брандмаузер
Брандмауэры и антивирусные пакеты.
Брандмауэр (иногда его называют межсетевым экраном) помогает повысить безопасность компьютера. Он ограничивает информацию, поступающую на компьютер с других компьютеров, позволяя лучше контролировать данные на компьютере и обеспечивая линию обороны компьютера от людей или программ (включая вирусы и «черви»), которые несанкционированно пытаются подключиться к компьютеру. Можно считать брандмауэр пограничным постом, на котором проверяется информация (часто называемая трафик), приходящая из Интернета или локальной сети. В ходе этой проверки брандмауэр отклоняет или пропускает информацию на компьютер в соответствии с установленными параметрами.
От чего защищает брандмауэр?
Брандмауэр МОЖЕТ:
1. Блокировать компьютерным вирусам и «червям» доступ на компьютер.
2. Запросить пользователя о выборе блокировки или разрешения для определенных запросов на подключение.
3. Вести учет (журнал безопасности) - по желанию пользователя - записывая разрешенные и заблокированные попытки подключения к компьютеру.
От чего брандмауэр не защищает?
Он не может:
1. Обнаружить или обезвредить компьютерных вирусов и «червей», если они уже попали на компьютер.
3. Блокировать спам или несанкционированные почтовые рассылки, чтобы они не поступали в папку входящих сообщений.
АППАРАТНЫЕ И ПРОГРАММНЫЕ БРАНДМАУЭРЫ
Аппаратные брандмауэры - отдельные устройства, которые весьма быстры, надежны, но очень дороги, поэтому обычно они используются лишь для защиты крупных вычислительных сетей. Для домашних же пользователей оптимальны межсетевые экраны, встроенные в маршрутизаторы, коммутаторы, беспроводные точки доступа и др. Комбинированные маршрутизаторы-брандмауэры обеспечивают двойную защиту от атак.
Программный брандмауэр - это защитная программа. По принципу действия она аналогична аппаратному брандмауэру, но более «дружественна» к пользователю: у нее больше готовых настроек и часто есть программы-мастера, которые помогают в настройке. С ее помощью вы сможете разрешать или запрещать другим программам доступ в Интернет.
Антивирусная программа (антивирус) - любая программа для обнаружения компьютерных вирусов, а также нежелательных (считающихся вредоносными) программ вообще и восстановления зараженных (модифицированных) такими программами файлов, а также для профилактики - предотвращения заражения (модификации) файлов или операционной системы вредоносным кодом.
12) Классификация вычислительных систем
В зависимости от территориального расположения абонентских систем
вычислительные сети можно разделить на три основных класса:
глобальные сети (WAN - Wide Area Network);
региональные сети (MAN - Metropolitan Area Network);
Локальные сети (LAN - Local Area Network).
Основные топологии ЛВС
Топология ЛВС - это геометрическая схема соединений узлов сети.
Топологии вычислительных сетей могут быть самыми различными, но
для локальных вычислительных сетей типичными являются всего три:
Кольцевая,
Звездообразная.
Любую компьютерную сеть можно рассматривать как совокупность
Узел - любое устройство, непосредственно подключенное к
передающей среде сети.
Кольцевая топология предусматривает соединение узлов сети замкнутой кривой - кабелем передающей среды. Выход одного узла сети соединяется со входом другого. Информация по кольцу передается от узла к узлу. Каждый промежуточный узел между передатчиком и приемником ретранслирует посланное сообщение. Принимающий узел распознает и получает только адресованные ему сообщения.
Кольцевая топология является идеальной для сетей, занимающих сравнительно небольшое пространство. В ней отсутствует центральный узел, что повышает надежность сети. Ретрансляция информации позволяет использовать в качестве передающей среды любые типы кабелей.
Последовательная дисциплина обслуживания узлов такой сети снижает ее быстродействие, а выход из строя одного из узлов нарушает целостность кольца и требует принятия специальных мер для сохранения тракта передачи информации.
Шинная топология - одна из наиболее простых. Она связана с использованием в качестве передающей среды коаксиального кабеля. Данные от передающего узла сети распространяются по шине в обе стороны. Промежуточные узлы не транслируют поступающих сообщений. Информация поступает на все узлы, но принимает сообщение только тот, которому оно адресовано. Дисциплина обслуживания параллельная.
Это обеспечивает высокое быстродействие ЛВС с шинной топологией. Сеть легко наращивать и конфигурировать, а также адаптировать к различным системам Сеть шинной топологии устойчива к возможным неисправностям отдельных узлов.
Сети шинной топологии наиболее распространены в настоящее время. Следует отметить, что они имеют малую протяженность и не позволяют использовать различные типы кабеля в пределах одной сети.
Звездообразная топология базируется на концепции центрального узла, к которому подключаются периферийные узлы. Каждый периферийный узел имеет свою отдельную линию связи с центральным узлом. Вся информация передается через центральный узел, который ретранслирует, переключает и маршрутизирует информационные потоки в сети.
Звездообразная топология значительно упрощает взаимодействие узлов ЛВС друг с другом, позволяет использовать более простые сетевые адаптеры. В то же время работоспособность ЛВС со звездообразной топологией целиком зависит от центрального узла.
В реальных вычислительных сетях могут использоваться более развитые топологии, представляющие в некоторых случаях сочетания рассмотренных.
Выбор той или иной топологии определяется областью применения ЛВС, географическим расположением ее узлов и размерностью сети в целом.
Internet – всемирная информационная компьютерная сеть, представляющая собой объединение множества региональных компьютерных сетей и компьютеров, обменивающих друг с другом информацией по каналам общественных телекоммуникаций (выделенным телефонным аналоговым и цифровым линиям, оптическим каналам связи и радиоканалам, в том числе спутниковым линиям связи).
Провайдер - поставщик сетевых услуг – лицо или организация, предоставляющие услуги по подключению к компьютерным сетям.
Хост (от англ. host - «хозяин, принимающий гостей») - любое устройство, предоставляющее сервисы формата «клиент-сервер» в режиме сервера по каким-либо интерфейсам и уникально определённое на этих интерфейсах. В более частном случае под хостом могут понимать любой компьютер, сервер, подключённый к локальной или глобальной сети.
Сетево́й протоко́л - набор правил и действий (очерёдности действий), позволяющий осуществлять соединение и обмен данными между двумя и более включёнными в сеть устройствами.
IP-адрес (айпи-адрес, сокращение от англ. Internet Protocol Address) - уникальный сетевой адрес узла в компьютерной сети, построенной по протоколу IP. В сети Интернет требуется глобальная уникальность адреса; в случае работы в локальной сети требуется уникальность адреса в пределах сети. В версии протокола IPv4 IP-адрес имеет длину 4 байта.
Доменное имя - символьное имя, помогающее находить адреса интернет-серверов.
13) Задачи одноранговой сети
К методам и средствам защиты информации относят правовые, организационно-технические и экономические мероприятия информационной защиты и меры защиты информации (правовая защита информации, техническая защита информации, защита экономической информации и т.д.).
К правовым методам обеспечения информационной безопасности относится разработка нормативных правовых актов, регламентирующих отношения в ин-формационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности Российской Федерации. Наиболее важными направлениями этой деятельности являются:
- внесение изменений и дополнений в законодательство Российс-кой Федерации, регулирующее отношения в области обеспечения информационной безопасности, в целях создания и совершенствова-ния системы обеспечения информационной безопасности Российской Федерации, устранения внутренних противоречий в федеральном за-конодательстве, противоречий, связанных с международными согла-шениями, к которым присоединилась Россия, и противоречий между федеральными законодательными актами и законодательными ак-тами субъектов Российской Федерации, а также в целях конкретиза-ции правовых норм, устанавливающих ответственность за правона-рушения в области обеспечения информационной безопасности Рос-сийской Федерации;
- законодательное разграничение полномочий в области обеспе-чения информационной безопасности Российской Федерации между федеральными органами государственной власти и органами государ-ственной власти субъектов Российской Федерации, определение це-лей, задач и механизмов участия в этой деятельности общественных объединений, организаций и граждан;
- разработка и принятие нормативных правовых актов Российс-кой Федерации, устанавливающих ответственность юридических и физических лиц за несанкционированный доступ к информации, ее противоправное копирование, искажение и противозаконное исполь-зование, преднамеренное распространение недостоверной информа-ции, противоправное раскрытие конфиденциальной информации, использование в преступных и корыстных целях служебной инфор-мации или информации, содержащей коммерческую тайну;
- уточнение статуса иностранных информационных агентств, СМИ и журналистов, а также инвесторов при привлечении иност-ранных инвестиций для развития информационной инфраструкту-ры России;
- законодательное закрепление приоритета развития нацио-нальных сетей связи и отечественного производства космических спутников связи;
- определение статуса организаций, предоставляющих услуги
глобальных информационно-телекоммуникационных сетей на территории Российской Федерации, и правовое регулирование деятель-ности этих организаций; - создание правовой базы для формирования в Российской Феде-рации региональных структур обеспечения информационной безопас-ности.
Организационно-техническими методами обеспечения информационной безопасности являются:
- создание и совершенствование системы обеспечения информа-ционной безопасности РФ;
- усиление правоприменительной деятельности федеральных ор-ганов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, включая предупреждение и пресе-чение правонарушений в информационной сфере, а также выявле-ние, изобличение и привлечение к ответственности лиц, совершив-ших преступления и другие правонарушения в этой сфере;
- разработка, использование и совершенствование средств защи-ты информации и методов контроля эффективности этих средств, развитие телекоммуникационных систем, повышение надежности специального программного обеспечения;
- создание систем и средств предотвращения несанкционирован-ного доступа к обрабатываемой информации и специальных воздей-ствий, вызывающих разрушение, уничтожение, искажение инфор-мации, а также изменение штатных режимов функционирования систем и средств информатизации и связи;
- выявление технических устройств и программ, представляю-щих опасность для нормального функционирования информацион-но-телекоммуникационных систем, предотвращение перехвата ин-формации по техническим каналам, применение криптографических средств защиты информации при ее хранении, обработке и передаче по каналам связи, контроль над выполнением специальных требова-ний по защите информации;
- сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандарти-зация способов и средств защиты информации;
- совершенствование системы сертификации телекоммуникаци-онного оборудования и программного обеспечения автоматизирован-ных систем обработки информации по требованиям информацион-ной безопасности;
- контроль над действиями персонала в защищенных информа-ционных системах, подготовка кадров в области обеспечения инфор-мационной безопасности Российской Федерации;
- формирование системы мониторинга показателей и характе-ристик информационной безопасности Российской Федерации в наи-более важных сферах жизни и деятельности общества и государства.
Экономические методы обеспечения информационной безопасности включают в себя:
- разработку программ обеспечения информационной безопасно-сти Российской Федерации и определение порядка их финансирова-ния;
- совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов за-щиты информации, создание системы страхования информационных рисков физических и юридических лиц.
В современных информационных технологиях для эффектив-ного использования этих методов широко применяются организационные, физические, программно-технические средства.
Организационные мероприятия предполагают объединение всех составляющих (компонент) безопасности. Во всем мире основную угрозу информации организации представляют ее сотруд-ники, оказывающиеся психически неуравновешенными, обижен-ными или неудовлетворенными характером их работы, заработной платой, взаимоотношениями с коллегами и руководителями.
Американские специалисты утверждают, что до 85% случаев промышленного шпионажа ведется силами сотрудников компании, в которой это происходит. Они отмечают, что более трети финансовых потерь и потерь данных в организациях происходит по вине их собственных сотрудников. Даже сотрудники – авторизованные пользователи – случайно или намерено нарушают политику безопасности. Существует даже некоторая их классификация. Например, «неграмотный» - сотрудник, открывающий любые письма, вложения и ссылки; «инсайдер» - сотрудник, стремящийся, как правило в корыстных целях, поручить и вынести конфиденциальную информацию; «нецелевик» - сотрудник, использующий ресурсы организации в личных целях (веб-серфинг, почта, чаты, мгновенные сообщения, игры, обучение, хранилища и др.). При этом специалисты отмечают, что преднамеренные утечки информации (злой умысел) обычно составляют 1-2% всех инцидентов.
Решение этих проблем относится к компетенции администрации и службы безопасности организации.
Физические мероприятия примыкают к организационным. Они заключаются в применении человеческих ресурсов, специальных технических средств и устройств, обеспечивающих защиту от про-никновения злоумышленников на объект, несанкционированного использования, порчи или уничтожения ими материальных и люд-ских ресурсов. Такими человеческими ресурсами являются лица ведомственной или вневедомственной охраны и вахтеры, отдель-ные, назначаемые руководством организации, сотрудники. Они ограничивают, в том числе с помощью соответствующих техни-ческих устройств, доступ на объекты нежелательных лиц.
Программные средства защиты являются самым распро-страненным методом защиты информации в компьютерах и ин-формационных сетях. Они обычно применяются при затруднении использования некоторых других методов и средств и делятся на основные и вспомогательные.
Основные программные средства защиты информации спо-собствуют противодействию съема, изменения и уничтожения ин-формации по основным возможным каналам воздействия на нее. Для этого они помогают осуществлять: аутентификацию объектов (работников и посетителей организаций), контроль и регулирова-ние работы людей и техники, самоконтроль и защиту, разграниче-ние доступа, уничтожение информации, сигнализацию о несанк-ционированном доступе и несанкционированной информации.
Вспомогательные программы защиты информации обеспечи-вают: уничтожение остаточной информации на магнитных и иных перезаписываемых носителях данных, формирование грифа сек-ретности и категорирование грифованной информации, имитацию работы с несанкционированным пользователем для накопления сведений о его методах, ведение регистрационных журналов, об-щий контроль функционирования подсистемы защиты, проверку системных и программных сбоев и др.
Программные средства защиты информации представляют собой комплекс алгоритмов и программ специального назначения и общего обеспечения функционирования компьютеров и инфор-мационных сетей, нацеленных на: контроль и разграничение до-ступа к информации; исключение несанкционированных действий с ней; управление охранными устройствами и т.п. Они обладают универсальностью, простотой реализации, гибкостью, адаптив-ностью, возможностью настройки системы и др. и применяются для борьбы с компьютерными вирусами Для защиты машин от компьютерных вирусов, профилактики и «лечения» используются программы-антивирусы, а также средства диагностики и профилактики, позволяющие не допустить попада-ния вируса в компьютерную систему, лечить зараженные файлы и диски, обнаруживать и предотвращать подозрительные действия Антивирусные программы оцениваются по точности обнаружении и эффективному устранению вирусов, простоте использовании, стоимости, возможности работать в сети. Наибольшей популярностью пользуются отечественные антивирусные программы DrWeb (Doctor Web ) И. Данилова и AVP (Antiviral Toolkit Pro ) E . Касперского. Они обладают удобным интерфейсом, средствами сканирования программ, проверки системы при загрузке и т.д.
Однако абсолютно надежных программ, гарантирующих об-наружение и уничтожение любого вируса, не существует. Только многоуровневая оборона способна обеспечить наиболее полную защиту от вирусов. Важный элемент защиты от компьютерных вирусов - профилактика. Антивирусные программы применяют одновременно с регулярным резервированием данных и профилактическими мероприятиями. Вместе эти меры позволяют значи-тельно снизить вероятность заражения вирусом.
Основными мерами профилактики вирусов являются:
- применение лицензионного программного обеспечения;
- регулярное использование нескольких постоянно обновляе-мых антивирусных программ для проверки не только собственных носителей информации при переносе на них сторонних файлов, но и любых «чужих» дискет и дисков с любой информацией на них, в том числе и переформатированных;
- применение различных защитных средств при работе на компьютере в любой информационной среде (например, в Интер-нете), проверка на наличие вирусов файлов, полученных по сети;
- периодическое резервное копирование наиболее ценных данных и программ.
Чаще всего источниками заражения являются компьютерные игры, приобретенные «неофициальным» путем, и нелицензион-ное программное обеспечение. Надежной гарантией от вирусов является аккуратность пользователей при выборе программ и установке их на компьютере, а также во время сеансов в Интер-нете.
Информационные ресурсы в электронной форме размещаются стационарно на жестких дисках серверов и компьютеров пользо-вателей и т.п., хранятся на переносимых носителях информации.
Они могут представлять отдельные файлы с различной инфор-мацией, коллекции файлов, программы и базы данных. В зависи-мости от этого к ним применяются различные меры, способству-ющие обеспечению безопасности информационных ресурсов. К основным программно-техническим мерам, применение которых позволяет решать проблемы обеспечения безопасности информа-ционных ресурсов, относят: аутентификацию пользователя и уста-новление его идентичности; управление доступом к базе данных; поддержание целостности данных; протоколирование и аудит; за-щиту коммуникаций между клиентом и сервером; отражение уг-роз, специфичных для СУБД и др.
В целях защиты информации в базах данных важнейшими яв-ляются следующие аспекты информационной безопасности
- доступность - возможность получить некоторую требуемую информационную услугу;
- целостность - непротиворечивость информации, ее защищен-ность от разрушения и несанкционированного изменения;
- конфиденциальность - защита от несанкционированного про-чтения.
Эти аспекты являются основополагающими для любого про-граммно-технического обеспечения, предназначенного для созда-ния условий безопасного функционирования данных в компьюте-рах и компьютерных информационных сетях.
Контроль доступа представляет собой процесс защиты дан-ных и программ от их использования объектами, не имеющими на это права.
Одним из наиболее известных способов защиты информации является ее кодирование (шифрование, криптография).
Криптография - это система изменения информации (кодиро-вания, шифрования) с целью ее защиты от несанкционированных воздействий, а также обеспечения достоверности передаваемых данных.
Код характеризуется: длиной - числом знаков, используемых при кодировании, и структурой - порядком расположения символов, обозначающих классификационный признак.
Средством кодирования служит таблица соответствия. Приме-ром такой таблицы для перевода алфавитно-цифровой информа-ции в компьютерные коды является кодовая таблица ASCII .
Для шифрования информации все чаще используют криптогра-фические методы ее защиты.
Криптографические методы защиты информации содержат комплекс (совокупность) алгоритмов и процедур шифрования и кодирования информации, используемых для преобразования смыслового содержания передаваемых в информационных сетях данных. Они подразумевают создание и применение специальных секретных ключей пользователей.
Общие методы криптографии существуют давно. Она счи-тается мощным средством обеспечения конфиденциальности и контроля целостности информации. Пока альтернативы методам криптографии нет. И хотя криптография не спасает от физических воздействий, в остальных случаях она служит надежным средс-твом защиты данных.
Стойкость криптоалгоритма зависит от сложности методов пре-образования. Главным критерием стойкости любого шифра или кода являются имеющиеся вычислительные мощности и время, в течение которого можно их расшифровать. Если это время равня-ется нескольким годам, то стойкость таких алгоритмов является вполне приемлемой и более чем достаточной для большинства организаций и личностей. Если использовать 256- и более раз-рядные ключи, то уровень надежности защиты данных составит десятки и сотни лет работы суперкомпьютера. При этом для ком-мерческого применения достаточно 40-, 44-разрядных ключей.
Для кодирования ЭИР, с целью удовлетворения требованиям обес-печения безопасности данных от несанкционированных воздействий на них, используется электронная цифровая подпись (ЭЦП).
Цифровая подпись для сообщения представляет последова-тельность символов, зависящих от самого сообщения и от неко-торого секретного, известного только подписывающему субъекту, ключа. Она должна легко проверяться и позволять решать три следующие задачи:
- осуществлять аутентификацию источника сообщения,
- устанавливать целостность сообщения,
- обеспечивать невозможность отказа от факта подписи конк-ретного сообщения.
Первый отечественный стандарт ЭЦП появился в 1994 году. Вопросами использования ЭЦП в России занимается Федераль-ное агентство по информационным технологиям (ФАИТ).
Существующий в мире опыт свидетельствует, что строить сис-темы безопасности из отдельных продуктов неэффективно. Поэ-тому отмечается общая потребность в комплексных решениях ин-формационной безопасности и их сопровождения. При этом специалисты отмечают, что наиболее эффективные меры защиты кроются не в технических средствах, а в применении различных организационных и административных мер, регламентов, инс-трукций и в обучении персонала.
Технические мероприятия базируются на применении сле-дующих средств и систем: охранной и пожарной сигнализации; контроля и управления доступом; видеонаблюдения и защиты периметров объектов; защиты информации; контроля состояния окружающей среды и технологического оборудования, систем безопасности, перемещения людей, транспорта и грузов; учета рабочего времени персонала и времени присутствия на объектах различных посетителей.
Для комплексного обеспечения безопасности объекты обору-дуются системами связи, диспетчеризации, оповещения, контроля и управления доступом; охранными, пожарными, телевизионными и инженерными устройствами и системами; охранной, пожарной сигнализацией, противопожарной автоматикой и др.
Биометрические методы защиты информации. Понятие «биометрия» определяет раздел биологии, занимаю-щийся количественными биологическими экспериментами с при-влечением методов математической статистики.
Биометрия представляет собой совокупность автоматизирован-ных методов и средств идентификации человека, основанных на его физиологических или поведенческих характеристик. Биометрическая идентификация позволяет идентифицировать индивида по присущим ему специфическим биометрическим признакам, то есть его статическими (отпечаткам пальца, роговице глаза, генетическому коду, запаху и др.) и динамическими (голосу, почерку, поведению и др.) характеристиками.
Биометрическая идентификация считается одним из наиболее надежных способов. Уникальные биологические, физиологические и поведенческие характеристики, индивидуальные для каждого человека, называют биологическим кодом человека.
Первые биометрические системы использовали рисунок (отпе-чаток) пальца. Примерно одну тысячу лет до н.э. в Китае и Вави-лоне знали об уникальности отпечатков пальцев. Их ставили под юридическими документами. Однако дактилоскопию стали приме-нять в Англии с 1897 года, а в США - с 1903 года.
Считыватели обеспечивают считывание идентификационного кода и передачу его в контроллер. Они преобразуют уникальный код пользователя в код стандартного формата, передаваемый контроллеру для принятия управленческого решения. Считыва-тели бывают контактные и бесконтактные. Они могут фиксиро-вать время прохода или открывания дверей и др. К ним относят устройства: дактилоскопии (по отпечаткам пальцев); идентифи-кации глаз человека (идентификация рисунка радужной оболоч-ки глаза или сканирование глазного дна); фотоидентификации (сравнение создаваемых ими цветных фотографий (банк данных) с изображением лица индивида на экране компьютера); иденти-фикации по форме руки, генетическому коду, запаху, голосу, по-черку, поведению и др.
В различных странах (в том числе в России) включают биомет-рические признаки в загранпаспорта и другие идентифицирую-щие личности документы. Преимущество биологических систем идентификации, по сравнению с традиционными (например, PI №-кодовыми, доступом по паролю), заключается в идентификации не внешних предметов, принадлежащих человеку, а самого челове-ка. Анализируемые характеристики человека невозможно утерять, передать, забыть и крайне сложно подделать. Они практически не подвержены износу и не требуют замены или восстановления.
С помощью биометрических систем осуществляются:
- ограничение доступа к информации и обеспечение персо-нальной ответственности за ее сохранность;
- обеспечение допуска сертифицированных специалистов;
- предотвращение проникновения злоумышленников на охра-няемые территории и в помещения вследствие подделки и (или) кражи документов (карт, паролей);
- организация учета доступа и посещаемости сотрудников, а также решается ряд других проблем.
Самой популярной считается аутентификация по отпечаткам пальцев, которые, в отличие от пароля, нельзя забыть, потерять, и заменить. Однако в целях повышения надежности аутентификации и защиты ценной информации лучше использовать комбинацию биометрических признаков. Удачным считается одновременное использование двухфакторной аутентификации пользователя, включающее оптический сканер отпечатков пальцев и картридер для смарт-карты, в которой в защищенном виде хранятся те же отпечатки пальцев.
К новым биометрическим технологиям следует отнести трех-мерную идентификацию личности, использующую трехмерные сканеры идентификации личности с параллаксным методом ре-гистрации образов объектов и телевизионные системы регис-трации изображений со сверхбольшим угловым полем зрения. Предполагается, что подобные системы будут применяться для идентификации личностей, трехмерные образы которых войдут в состав удостоверений личности и других документов. Сканирова-ние с помощью миллиметровых волн - быстрый метод, позволя-ющий за две-четыре секунды сформировать трехмерное топогра-фическое изображение, которое можно поворачивать на экране монитора для досмотра предметов, находящихся в одежде и на теле человека. С этой же целью используют и рентгеновские ап-параты. Дополнительным преимуществом миллиметровых волн в сравнении с рентгеном является отсутствие радиации - этот вид просвечивания безвреден, а создаваемое им изображение гене-рируется энергией, отраженной от тела человека. Энергия, излу-чаемая миллиметровыми волнами, в 10 000 раз слабее излучения от сотового телефона.
Защита информации в информационных компьютерных сетях осуществляется с помощью специальных программных, техничес-ких и программно-технических средств. С целью защиты сетей и контроля доступа в них используют:
- фильтры пакетов, запрещающие установление соединений,
пересекающих границы защищаемой сети; - фильтрующие маршрутизаторы, реализующие алгоритмы
анализа адресов отправления и назначения пакетов в сети; - шлюзы прикладных программ, проверяющие права доступа к
программам.
В качестве устройства, препятствующего получению злоумыш-ленником доступа к информации, используют Firewalls (рус. «огненная стена» или «защитный барьер» - брандмауэр). Такое устройство располагают между внутренней локальной сетью организации и Интернетом. Оно ограничивает трафик, пресекает по-пытки несанкционированного доступа к внутренним ресурсам орга-низации. Это внешняя защита. Современные брандмауэры могут «отсекать» от пользователей корпоративных сетей незаконную и нежелательную для них корреспонденцию, передаваемую по электронной почте. При этом ограничивается возможность получении избыточной информации и так называемого «мусора» (спама).
Считается, что спам появился в 1978 г., а значительный его рост наблюдается в 2003 г. Сложно сказать, какой почты приходит больше: полезной или бестолковой. Выпускается много ПО, предназначенного для борьбы с ним, но единого эффективного средства пока нет.
Техническим устройством, способным эффективно осущест-влять защиту в компьютерных сетях, является маршрутизатор. Он осуществляет фильтрацию пакетов передаваемых данных. В результате появляется возможность запретить доступ некоторым пользователям к определенному «хосту», программно осущест-влять детальный контроль адресов отправителей и получателей. Также можно ограничить доступ всем или определенным катего-риям пользователей к различным серверам, например ведущим распространение противоправной или антисоциальной информа-ции (пропаганда секса, насилия и т.п.).
Защита может осуществляться не только в глобальной сети или локальной сети организации, но и отдельных компьютеров. Для этой цели создаются специальные программно-аппаратные комп-лексы.
Защита информации вызывает необходимость системного под-хода, т.е. здесь нельзя ограничиваться отдельными мероприятиями. Системный подход к защите информации требует, чтобы средства и действия, используемые для обеспечения информационной безо-пасности - организационные, физические и программно-техни-ческие - рассматривались как единый комплекс взаимосвязанных взаимодополняющих и взаимодействующих мер. Один из основных принципов системного подхода к защите информации - принцип «разумной достаточности», суть которого: стопроцентной защиты не существует ни при каких обстоятельствах, поэтому стремиться стоит не к теоретически максимально достижимому уровню защи-ты, а к минимально необходимому в данных конкретных условиях и при данном уровне возможной угрозы.
Загрузка...
