Перечень сведений, доступ к которым не может быть ограничен. Для реализации права на информацию в Конституции РФ заложены

основания, по которым доступ к отдельным видам информации не подле­жит какому-либо ограничению, например, в статье 42 закреплено право на достоверную информацию о состоянии окружающей среды, которое не может быть ограничено. В случае возникновения угрозы жизни и здо­ровью людей должностные лица обязаны информировать население о ней под страхом привлечения к ответственности (часть 3 статьи 41).

В ряде законов, устанавливающих ограничения доступа к информа­ции, также вводится перечень сведений, доступ к которым не может быть ограничен. Так, в статье 7 Закона РФ «О государственной тайне» пере­числены сведения, не подлежащие засекречиванию. В пункте 3 статьи 10 Федерального закона «Об информации, информатизации и защите ин­формации» приведен перечень документов, доступ к которым запрещено ограничивать.

За непредставление информации гражданам, палатам Федерального Собрания РФ и Счетной палате РФ (статьи 140 и 287), а также за сокры­тие информации об обстоятельствах, создающих опасность для жизни или здоровья людей (статья 237), в Уголовном кодексе РФ предусмотре­на ответственность.

Ответственность в действующем законодательстве оговорена в случае неправомерного засекречивания, нарушения требований по составу пре­доставляемых сведений, неопубликования сведений, нарушения права граждан на бесплатное получение информации, сокрытие (непредостав­ление) сведений об обстоятельствах, создающих опасность для жизни или здоровья людей, несвоевременное предоставление сведений, сокры­тие информации, сообщение ложных (недостоверных) сведений, ограни­чение права на предоставление информации, искажение сведений, нару­шение свободного международного информационного обмена.

Защита права на доступ к информации может осуществляться либо в административном порядке — через подачу жалобы лицом, чьи права на­рушены, на должностное лицо (орган) в вышестоящую инстанцию, спе­циальный орган — Судебную палату по информационным спорам при Президенте РФ, либо в судебном порядке через подачу иска (жалобы) для рассмотрения в гражданском, административном или уголовном су­допроизводстве.

Проблемы защиты информации постоянно усугубляются процессами проникновения во все сферы общества технических средств обработки и передачи данных и, прежде всего, вычислительных систем.

Концентрация информации в вычислительных системах заставляет все более усиливать контроль в области защиты информации. Работы в этом направлении ведутся специалистами по информационной безопас­ности в вычислительных системах, которые отвечают за разработку, реа­лизацию и эксплуатацию вычислительных систем и обеспечивают целост­ность, пригодность и конфиденциальность циркулирующей в вычисли­тельных системах информации.

Сложность защиты информации в вычислительных системах определя­ется тем, что данные могут быть похищены и одновременно оставаться на месте; ценность данных заключается в обладании ими, а не в уничтожении или изменении. Кроме того, защита информации в вычислительных систе­мах осложняется спецификой самих вычислительных систем, особенностя­ми сбора, обработки и передачи данных с их использованием.

Рассмотрим проблемы защиты информации в автоматизированных системах обработки данных, персональных компьютерах (ПЭВМ), а так­же проблемы защиты информации в сетях ЭВМ.

Под защитой информации в автоматизированных системах обработки данных (АСОД) понимается регулярное использование в них средств и методов, принятие мер и осуществление мероприятий с целью системно­го обеспечения требуемой надежности информации, хранимой и обраба­тываемой с использованием средств АСОД.

Основными видами информации, подлежащими защите в АСОД, мо­гут быть:

• исходные данные, т. е. данные, поступившие в АСОД на хранение и обработку от пользователей, абонентов и взаимодействующих систем;

• производные данные, т. е. данные, полученные в АСОД в процессе обработки исходных и производных данных; нормативно-справоч­ные, служебные и вспомогательные данные, включая данные сис­темы защиты; программы, используемые для обработки данных, организации и обеспечения функционирования АСОД, включая и программы защиты информации;

• алгоритмы, на основе которых разрабатывались программы (если они находятся на объектах, входящих в состав АСОД);

• методы и модели, на основе которых разрабатывались алгоритмы (если они находятся на объектах, входящих в состав АСОД); поста­новки задач, на основе которых разрабатывались методы, модели, алгоритмы и программы (если они находятся на объектах, входя­щих в состав АСОД);

• техническая, технологическая и другая документация, находящаяся на объектах АСОД.

Общая классификационная структура задач по защите информации в АСОД включает в себя следующие группы:

I. Механизмы защиты:

1) введение избыточности элементов системы; 2) резервирование эле­ментов системы; 3) регулирование доступа к элементам системы; 4) регу­лирование использования элементов системы; 5) маскировка информа­ции; 6) контроль элементов системы; 7) регистрация сведений о фактах, событиях и ситуациях, которые возникают в процессе функционирова­ния АСОД; 8) своевременное уничтожение информации, которая больше не нужна для функционирования АСОД; 9) сигнализация о состоянии уп­равляемых объектов и процессов; 10) реагирование на проявление деста­билизирующих факторов с целью предотвращения или снижения степени их воздействия на информацию.

II. Управление механизмами защиты:

1) планирование защиты — процесс выработки рациональной (опти­мальной) программы предстоящей деятельности. В общем случае разли­чают долгосрочное (перспективное), среднесрочное и текущее планирова­ние; 2) оперативно-диспетчерское управление защитой информации — организованное реагирование на непредвиденные ситуации, которые возникают в процессе функционирования управляемых объектов или про­цессов; 3) календарно-плановое руководство защитой — регулярный сбор информации о ходе выполнения планов защиты и изменении условий за­щиты, анализ этой информации и выработка решений о корректировке планов защиты; 4) обеспечение повседневной деятельности всех подраз­делений и отдельных должностных лиц, имеющих непосредственное от­ношение к защите информации — планирование, организация, оценка те­кущей деятельности, сбор, накопление и обработка информации, относя­щейся к защите, принятие текущих решений и др.

К основным методам защиты информации относятся:

• повышение достоверности информации;

• криптографическое преобразование информации;

• контроль и учет доступа к внутреннему монтажу аппаратуры, линиям связи и технологическим органам управления; ограничение доступа;

• разграничение и контроль доступа к информации;

• разделение доступа (привилегий); идентификация и аутентифика­ция пользователей, технических средств, носителей информации и документов.

Основная цель защиты информации в ПЭВМ заключается в обеспече­нии ее физической целостности и предупреждении несанкционированно­го доступа к ней.

В самом общем виде данная цель достигается путем ограничения до­ступа посторонних лиц в помещения, где находятся ПЭВМ, а также хра­нения сменных запоминающих устройств и самих ПЭВМ с важной ин­формацией в нерабочее время в опечатанном сейфе.

Наряду с этим для предупреждения несанкционированного доступа к информации используются следующие методы:

• опознавание (аутентификация) пользователей и используемых ком­понентов обработки информации;

• разграничение доступа к элементам защищаемой информации;

• регистрация всех обращений к защищаемой информации;

• криптографическое закрытие защищаемой информации, хранимой на носителях (архивация данных);

• криптографическое закрытие защищаемой информации в процессе ее непосредственной обработки.

Для опознавания пользователей к настоящему времени разработаны и нашли практическое применение следующие способы. Распознавание по простому паролю. Каждому зарегистрированному пользователю выдает­ся персональный пароль, который он вводит при каждом обращении к ПЭВМ.

Опознавание в диалоговом режиме. При обращении пользователя программа защиты предлагает ему назвать некоторые данные из имею­щейся записи (пароль, дата рождения, имена и даты рождения родных и близких и т. п.), которые сравниваются с данными, хранящимися в фай­ле. При этом для повышения надежности опознавания каждый раз запра­шиваемые у пользователя данные могут быть разными.

Опознавание по индивидуальным особенностям и физиологическим характеристикам. Реализация данного способа предполагает наличие специальной аппаратуры для съема и ввода соответствующих парамет­ров и программ их обработки и сравнения с эталоном. Опознавание по радиокодовым устройствам. Каждому зарегистрированному пользовате­лю выдается устройство, способное генерировать сигналы, имеющие ин­дивидуальные характеристики. Параметры сигналов заносятся в запоми­нающие устройства механизмов защиты.

Опознавание по специальным идентификационным карточкам. Из­готавливаются специальные карточки, на которые наносятся данные, персонифицирующие пользователя: персональный идентификацион­ный номер, специальный шифр или код и т. п. Эти данные на карточку заносятся в зашифрованном виде, причем ключ шифрования может быть дополнительным идентифицирующим параметром, поскольку может быть известен только пользователю, вводиться им каждый раз при обращении к системе и уничтожаться сразу же после использо­вания.

Каждый из перечисленных способов опознавания пользователей име­ет свои достоинства и недостатки, связанные с простотой, надежностью, стоимостью и др.

Разграничение доступа к элементам защищаемой информации заклю­чается в том, чтобы каждому зарегистрированному пользователю предо­ставить возможности беспрепятственного доступа к информации в пре­делах его полномочий и исключить возможности превышения своих полномочий. Само разграничение может осуществляться несколькими способами.

По уровням секретности. Каждому зарегистрированному пользовате­лю предоставляется вполне определенный уровень допуска (например, «секретно», «совершенно секретно», «особой важности» и т. п.). Тогда пользователю разрешается доступ к массиву (базе) своего уровня и мас­сивам (базам) низших уровней и запрещается доступ к массивам (базам) более высоких уровней.

Разграничение доступа по специальным спискам. Для каждого эле­мента защищаемых данных (файла, базы, программы) составляется спи­сок всех пользователей, которым предоставлено право доступа к соот­ветствующему элементу, или, наоборот, для каждого зарегистрированно­го пользователя составляется список тех элементов защищаемых данных, к которым ему предоставлено право доступа.

Разграничение доступа по матрицам полномочий. Данный способ предполагает формирование двумерной матрицы, по строкам которой со­держатся идентификаторы зарегистрированных пользователей, а по столб­цам — идентификаторы защищаемых элементов данных. Элементы мат­рицы содержат информацию об уровне полномочий соответствующего пользователя относительно соответствующего элемента.

Дата добавления: 2014-11-20