Методы обеспечения информационной безопасности РФ

Исходя из того, что компьютерная информация в силу своей специфики подвержена физическому уничтожению, несанкционированной модификации, копированию, блокированию, а также может быть получена лицами, для которых она не предназначалась, на одно из первых мест ставится проблема ее защиты[277].

Основной причиной наличия потерь, связанных с компьютерами, является недостаточная образованность в области безопасности. Только наличие некоторых знаний в области безопасности может прекратить инциденты и ошибки, обеспечить эффективное применение мер защиты, предотвратить преступление или своевременно обнаружить подозреваемого.

Осведомленность конечного пользователя о мерах безопасности обеспечивает четыре уровня защиты компьютерных и информационных ресурсов:

1. Предотвращение – только авторизованный персонал имеет доступ к информации и технологии.

2. Обнаружение – обеспечивается раннее обнаружение преступлений и злоупотреблений, даже если механизмы защиты были обойдены.

3. Ограничение – уменьшается размер потерь, если преступление все-таки произошло, несмотря на меры по его предотвращению и обнаружению.

4. Восстановление – обеспечивается эффективное восстановление информации при наличии документированных и проверенных планов по восстановлению.

Несколько лет назад контроль за технологией работы был заботой технических администраторов. Сегодня контроль за информацией стал обязанностью каждого нетехнического конечного пользователя. Контроль за информацией требует новых знаний и навыков для группы нетехнических служащих. Хороший контроль за информацией требует понимания возможностей совершения компьютерных преступлений и злоупотреблений, чтобы можно было в дальнейшем предпринять контрмеры против них.

Когда компьютеры впервые появились, они были доступны только небольшому числу людей, которые умели их использовать. Обычно они помещались в специальных помещениях, удаленных территориально от помещений, где работали служащие. Сегодня все изменилось. Компьютерные терминалы и настольные компьютеры используются везде. Компьютерное оборудование стало дружественным к пользователю, поэтому много людей могут быстро и легко научиться тому, как его использовать.

Число служащих в организации, имеющих доступ к компьютерному оборудованию и информационной технологии, постоянно растет. Доступ к информации больше не ограничивается только узким кругом лиц из верхнего руководства организации. Этот процесс привел к тому, что произошла «демократизация преступления». Чем больше людей получало доступ к информационной технологии и компьютерному оборудованию, тем больше возникало возможностей для совершения компьютерных преступлений.

Трудно обобщать, но компьютерным преступником может быть:

· конечный пользователь, не технический служащий и не хакер;

· тот, кто не находится на руководящей должности;

· тот, у кого нет судимостей;

· умный, талантливый сотрудник;

· тот, кто много работает;

· тот, кто не разбирается в компьютерах;

· тот, кого вы подозревали бы в последнюю очередь;

· именно тот, кого вы взяли бы на работу.

Компьютерным преступником может быть любой! Нельзя назвать типичным компьютерным преступником молодого хакера, использующего телефон и домашний компьютер для получения доступа к большим компьютерам. Типичный компьютерный преступник – это служащий, которому разрешен доступ к системе, нетехническим пользователем которой он является. В США компьютерные преступления, совершенные служащими, составляют 70-80 процентов ежегодного ущерба, связанного с компьютерами. Остальные 20 процентов дают действия нечестных и недовольных сотрудников. И совершаются они по целому ряду причин – личная или финансовая выгода, развлечение, месть, попытка добиться расположения кого-либо к себе, самовыражение, случайность, вандализм.

Но значительно больший ущерб, около 60 процентов всех потерь, наносят ошибки людей и инциденты. Предотвращение компьютерных потерь, как из-за умышленных преступлений, так и из-за неумышленных ошибок, требует знаний в области безопасности. Опросы, проводимые периодически в США, показывают, что именно служащие, имевшие знания в области компьютерной безопасности, были основной причиной выявления компьютерных преступлений.

Признаком компьютерного преступления является:

· неавторизованное использование компьютерного времени;

· неавторизованные попытки доступа к файлам данных;

· кражи частей компьютеров;

· кражи программ;

· физическое разрушение оборудования;

· уничтожение данных или программ;

· неавторизованное владение дискетами, лентами или распечатками.

И это только самые очевидные признаки, на которые следует обратить внимание при выявлении компьютерных преступлений. Иногда эти признаки говорят о том, что преступление уже совершено, или что не выполняются меры защиты. Они также могут свидетельствовать о наличии уязвимых мест, указать, где находится дыра в защите, и помочь наметить план действий по устранению уязвимого места. В то время как признаки могут помочь выявить преступление или злоупотребление, меры защиты могут помочь предотвратить его.

Меры защиты – это меры, вводимые руководством для обеспечения безопасности информации: административные руководящие документы (приказы, положения, инструкции), аппаратные устройства или дополнительные программы, основной целью которых является предотвратить преступления и злоупотребления, не позволив им произойти. Меры защиты могут также выполнять функцию ограничения, уменьшая размер ущерба от преступления.

Конкретные средства защиты компьютерной информации многообразны. Это общие охранные средства (пропускной режим, сигнализация, военизированная охрана), дифференциация возможностей пользователей, а также всякого рода интеллектуальные средства, затрудняющие несанкционированный доступ к компьютерной информации (индивидуальные коды доступа, идентифицирующий диалог с системой и другие). При попытке обращения ненадлежащего лица к запретным для него блокам компьютерной информации происходит автоматическое прерывание работы программы, иногда подаются звуковые сигналы, экран дисплея начинает особым образом мигать, привлекая внимание персонала. Программные средства защиты компьютерной информации могут быть созданы собственником информации либо по его заказу индивидуальным образом, чаще всего применяются типовые средства защиты, входящие в программное обеспечение ЭВМ.

Давая оценку существующим системам защиты информации, специалисты на вопрос, можно ли защитить данные в компьютерной системе полностью, отвечают отрицательно. При этом указывают на то, что уровень защищенности должен соответствовать степени риска, так как в этом случае стоимость разрушения системы (доступ к санкционированной информации несанкционированного пользователя) превышает выгоду, получаемую в результате разрушения системы защиты[278]. В этом случае каждая отрасль народного хозяйства, каждое промышленное предприятие должны использовать процедуру защиты своей информации и обеспечивать гарантированную охрану данных, осуществлять свои управленческие действия в полном соответствии с требованиями правил и законов по защите информации.

Защита компьютерной информации осуществляется по трем направлениям:

· детализация действующего уголовного законодательства и совершенствование его в этом направлении;

· совершенствование форм деятельности и подготовки представителей органов охраны правопорядка, в том числе создание и развитие специальных подразделений для выполнения этой работы;

· усиление мер безопасности против возможных злоупотреблений ЭВМ и поиск более совершенных средств защиты компьютерной техники и информационных сетей.

В соответствии с Федеральным законом «Об информации, информационных технологиях и о защите информации» целями защиты информации являются [279]:

· предотвращение утечки, хищения, утраты, искажения, подделки информации;

· предотвращение угроз безопасности личности, общества и государства;

· предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации; предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы, обеспечение правового регулирования документированной информации как объекта собственности;

· защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах;

· сохранение государственной тайны, конфиденциальности документированной информации в соответствии с законодательством;

· обеспечение прав субъектов в информационных процессах, при разработке, производстве и применении информационных систем, технологий и средств их обеспечения.

Защите подлежит любая документированная информация, неправомерное обращение с которой может нанести ущерб ее собственнику, владельцу, пользователю и иному лицу.

Режим защиты информации устанавливается:

· в отношении сведений, отнесенных к государственной тайне, – уполномоченными органами на основании Закона РФ «О государственной тайне»[280];

· в отношении конфиденциальной документированной информации – собственником информационных ресурсов или уполномоченным лицом;

· в отношении персональных данных – федеральным законом.

Контроль за соблюдением требований к защите информации и эксплуатацией специальных программно-технических средств защиты, а также обеспечение организационных мер защиты информационных систем, обрабатывающих информацию с ограниченным доступом в негосударственных структурах, осуществляются органами государственной власти.

Организации, обрабатывающие информацию с ограниченным доступом, которая является собственностью государства, создают специальные службы, обеспечивающие защиту информации. Например, средства защиты информационных систем органов государственной власти Российской Федерации и ее субъектов, других государственных органов, организаций, которые обрабатывают документированную информацию с ограниченным доступом, подлежат обязательной сертификации; организации, выполняющие работы в области проектирования, производства средств защиты компьютерной информации, получают лицензии на этот вид деятельности.

Собственник информационных ресурсов или уполномоченные им лица имеют право осуществлять контроль за выполнением требований по защите информации и запрещать или приостанавливать обработку информации в случае невыполнения этих требований.

Дата добавления: 2014-12-26