Вопрос 1. Общие принципы обеспечения защиты информации

Говоря о защищенности данных, обрабатываемых с помощью информационных систем, противодействии угрозам компьютерной информации, о мерах по предупреждению и противодействию таким угрозам, следует различать понятия защиты информации и информационной безопасности.

В Доктрине информационной безопасности Российской Федерации под информационной безопасностью государства понимается состояние защищенности его национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

Под информационной безопасностью отдельной информационной системы понимается защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести ущерб информации, информационной системе и поддерживающей инфраструктуре.

В свою очередь защита информации - это комплекс мер, направленных на создание и дальнейшее обеспечение информационной безопасности.

С позиции информационной безопасности в защите нуждаются следующие свойства информации: целостность, доступность и конфиденциальность.

Поясним, что под целостностью информации следует понимать сохранение информации в полном и неизменном виде, без учета добавления любых дополнений и любых изменений, происходящих в процессе ее обработки.

Доступность информации – это возможность граждан и организаций на получение информации и ее использование.

Конфиденциальность информации – обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя.

Указанные свойства информации и определяют три базовых принципа, которые должна обеспечивать информационная безопасность:

1. Целостность данных – защита от сбоев, ведущих к потере информации, а также защита от неавторизованного создания или уничтожения данных.

2. Конфиденциальность информации.

3. Доступность информации для авторизованных пользователей.

Очевидно, что в качестве защищаемых объектов должны рассматриваться не только информация, но и ее носители, как отдельные компоненты так и вся информационная система).

Таким образом, появляется следующее понятие:

угрозы информационным ресурсам - потенциально возможные происшествия, могущие оказать нежелательное воздействие на информационную систему, ее часть либо на хранящуюся в ней информацию.

Все угрозы информационной безопасности в соответствии с источником их возникновения можно разделить на две категории: внутренние и внешние по отношению к организации, эксплуатирующей информационную систему.

Внутренние угрозы – это угрозы, исходящие «изнутри» информационной системы, например, сбой оборудования, ошибка оператора, преднамеренный ввод неверных данных и т.п.

Внешними называют угрозы, источник которых расположен за периметром информационной системы, такие как перехват передаваемой по каналам связи информации, взлом веб-сайта организации, перебои в подаче электроэнергии, затопление.

Иначе угрозы информационной безопасности можно классифицировать как случайные (непреднамеренные) и преднамеренные. К случайным угрозам можно отнести те, возникновение которых не зависит от воли человека или группы лиц. В частности, случайными угрозами являются стихийные бедствия, выход из строя оборудования, нарушение информации вследствие электромагнитных помех и т.п. Преднамеренные угрозы всегда инициированы некими злоумышленниками. В качестве примера преднамеренных угроз можно привести умышленное искажение вводимых данных оператором информационной системы или перехват информации при передаче.

Выделяют следующие уровни защиты информации:

- правовой (законы, нормативные акты, стандарты и т.п.);

- организационный (действия общего характера, предпринимаемые руководством организации и конкретные меры безопасности, имеющие дело с людьми);

- программно-технический (конкретные технические меры).

К правовым мерам защиты компьютерной информации и, в конечном итоге, обеспечения информационной безопасности РФ относится разработка нормативных правовых актов, регламентирующих отношения в информационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности РФ. Правовые меры защиты информации представляют собой комплекс гражданско-правовых, административно-правовых и уголовно-правовых норм, регулирующих общественные отношения в сфере использования компьютерной информации и устанавливающих ответственность за несанкционированное использование данных программных средств.

Основным является Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

Организационные меры защиты информации играют существенную роль в создании надежного механизма защиты информации и представляют собой совокупность организационных мероприятий по подбору, проверке и инструктажу персонала, осуществлению надлежащего режима работы с информационными системами, обеспечению физической охраны объектов.

Другими словами:

- разработка политики безопасности, включающую в себя совокупность документированных управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов;

- управление персоналом разработка:

- квалификационных требований по ИБ;

- в должностные инструкции включаются разделы, касающиеся ИБ;

- обучение персонала мерам безопасности.

- планирование восстановительных работ (разработка действий во время и после аварии, перенос информационных ресурсов, схема возвращения к нормальному режиму работы).

В связи с тем, что организационные и правовые меры защиты информации подробно рассматриваются в курсе «Правовая защита информации», имеет смысл более подробно остановиться на технических мерах защиты информации.

Программно-технические меры должны содержатьследующие механизмы защиты информации:

- физическая защита информации;

- идентификация и проверка подлинности пользователей при входе в систему;

- протоколирование и аудит;

- криптография;

- обеспечение целостности программных и технических средств вычислительной техники и средств защиты ИБ.

Технические, или инженерно-технические меры защиты информации - это совокупность специальных мер, персонала, технических средств, направленных на предотвращение разглашения, утечки, несанкционированного доступа и других форм вмешательства в информационные ресурсы.

К техническим мерам можно отнести защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем, организацию вычислительных систем с возможностью перераспределения ресурсов в случае нарушения работоспособности отдельных звеньев, установку оборудования обнаружения и тушения пожара и оборудования обнаружения утечек воды, принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов, установку резервных систем электропитания, оснащение помещений замками, установку сигнализации и многое другое.

Программные средства используются для защиты информации от несанкционированного доступа (НСД - определяется как доступ к информации, нарушающий установленные правила разграничения доступа с использованием штатных средств (в отличие от использования технических каналов), предоставляемых информационной системой. Штатные средства – совокупность программного, микропрограммного и технического обеспечения информационной системы.

Вывод: Исходя из двух направлений угроз информационной безопасности – случайные и умышленные, меры защиты информации, как программно-технические, организационные и правовые, следует также разделить на два соответствующих направления. При этом меры защиты информации от непреднамеренных угроз в некоторых случаях могут защитить от умышленных атак и наоборот. Планируя и организуя комплексную защиту информационной системы, нужно стараться максимально интегрировать меры обеспечения информационной безопасности различных направлений друг с другом, помня о том, что безопасности, как и денег, никогда не бывает слишком много.