Законодательный уровень

Общие принципы обеспечения защиты информации. Уровни информационной защиты

Меры обеспечения информационной безопасности

Определяющую роль при выборе моделей и методов информационной защиты играют характеристики субъектов информационных отношений. Тем не менее, для всего многообразия форм информационных отношений выделяют следующие уровни защиты:

1) законодательный (законы, нормативные акты, стандарты и т. п.);

2) административный (действия общего характера, предпринимаемые руководством организации);

3) процедурный (конкретные меры безопасности, имеющие дело с людьми);

4) программно-технический (конкретные технические меры).

Можно, в свою очередь, выделить два направления развития мер обеспечения информационной безопасности на законодательном уровне. Это меры, направленные на создание и поддержание в обществе негативного (в том числе карательного) отношения к нарушениям и нарушителям информационной безопасности, а также меры, способствующие повышению образованности общества в области информационной безопасности, помогающие в разработке и распространении средств обеспечения информационной безопасности.

К первой группе следует отнести в первую очередь главу 28 («Преступления в сфере компьютерной информации») раздела IX новой редакции Уголовного кодекса, а также Закон «Об информации, информатизации и защите информации».

К направляющим и координирующим законам и нормативным актам относится целая группа документов, регламентирующих процессы лицензирования и сертификации в области ин формационной безопасности. Главная роль здесь отведена Государственной технической комиссии (Гостехкомиссии) при Президенте Российской Федерации.

В области информационной безопасности законы реально работают через нормативные документы, подготовленные соответствующими ведомствами. В этой связи очень важны Руководящие документы Гостехкомиссии, определяющие требования к классам защищенности средств вычислительной техники и автоматизированных систем.

При обеспечении информационной безопасности существует два аспекта: формальный — определение критериев, которым должны соответствовать защищенные информационные технологии, и практический — определение конкретного комплекса мер безопасности применительно к рассматриваемой информационной технологии.

История развития стандартов, которым должны соответствовать защищенные информационные технологии, описана выше. В настоящее время ведущим в этой области считается международный стандарт «Общие критерии оценки безопасности информационных технологий».

Попытки стандартизации практических аспектов безопасно­сти начались сравнительно недавно. Первой удачной попыткой в этой области стал британский стандарт BS 7799 «Практические правила управления информационной безопасностью», изданный в 1995 г., в котором обобщен опыт обеспечения режима информационной безопасности в информационных системах разного профиля. Впоследствии было опубликовано несколько аналогичных документов: стандарты различных организаций и ведомств, например немецкий стандарт BSI. Содержание этих документов в основном относится к этапу анализа рисков, на котором определяются угрозы безопасности и уязвимости информационныхресурсов, уточняются требования к режиму информационной безопасности.

Дата добавления: 2014-01-20