Файл: Роль информационного права и информационной безопасности в современном обществе (Понятие информационной безопасности).pdf

Такие нарушители осуществляют создание методов и средств реализации атаки на ИС с привлечением специалистов в области разработки и анализа средств защиты информации, специалистов в области защиты информации по техническим каналам и(или) специалистов в области использования для атак не декларированных возможностей прикладного программного обеспечения.

Наконец, нарушители с высоким потенциалом имеют возможность вносить закладки в программно-техническое обеспечение системы, проводить специальные исследования и применять спец. средства проникновения и добывания информации. К таким нарушителям относятся только иностранные спецслужбы.

Такие нарушители могут привлекать не только отдельных специалистов, но и целые организации для реализации своих атак на ИС. Таким образом, подводя итоги вышесказанного, возникает необходимость рассмотрения принципов обеспечения комплексной защиты финансового объекта.

Что касается субъектов информационной сферы, то они могут быть разделены по целям их участия в общественных отношениях, которые непосредственно связаны с информацией и информационной инфраструктурой:

• на участвующих в регулируемых правом общественных отношениях по поводу объекта безопасности в качестве обладателей информации или обладающих правомочиями владеть, пользоваться и распоряжаться составляющими информационной инфраструктуры;
• реализующих интересы, направленные на нанесение ущерба свойствам объектов информационной безопасности;
• осуществляющих деятельность в области обеспечения информационной безопасности информации и информационной инфраструктуры.

При этом субъекты, цель которых состоит в нанесении ущерба свойствам объектов информационной безопасности создают угрозы информационной безопасности. Так, анализ сущности и содержания нормативных правовых актов Российской Федерации в области информационной безопасности позволяет сформулировать правовую модель информационной безопасности, предоставляющую наиболее полное понятие правовой основы информационной защиты (рисунок 6).

Рисунок 6. Правовая модель информационной безопасности

Таким образом, правовая модель информационной безопасности позволяет представить область деятельности организаций и ее непосредственных участников, а также правовые отношения, которые возникают при сборе, обработке, хранении, передаче и дальнейшем уничтожении и других действий, производимых с информацией^[18].

Говоря об основных составляющих информационной безопасности, необходимо сказать о том, что сегодня актуальность управления инцидентами информационной безопасности сегодня является важной частью систем информационной безопасности в любой современной организации. В связи с этим, помимо теоретических и документальных основ совершения инцидентов информационной безопасности, рассматривается роль инструментов и средств расследования инцидентов информационной безопасности.

Особое внимание в современных условиях необходимо уделять корпоративной культуре, элементы которой в противовес инсайдерским угрозам, могут в полной мере создать корпоративный дух, который бы способствовал повышению уровня внутреннего настроя члена данного коллектива не только на самоорганизацию, но и защиту интересов организации собственной осознанной деятельностью.

Корпоративная культура формируется постепенно вместе с развитием персонала и самой организации, а не происходит за несколько дней. И она есть не в бумажных массивах, а в умах каждого из нас, в наших действиях и стремлениях. Этот механизм защищает информацию не менее эффективно, чем современные технологии.

Таким образом, информационная безопасность является составной частью общей и национальной безопасности и охватывает все сферы деятельности государства, гражданина, а также различных организаций и бизнеса.

2.2 Проблемы информационного права и его роль в современном обществе

Переход человечества к информационному обществу, безусловно, характеризует современное общество, это является закономерным этапом цивилизационного развития. Интернет, его возникновение и развитие - это один из главных аспектов этого глобального процесса.

Право на информацию в России конституционно закрепилось более десяти лет назад. За эти годы принято немало законов, регулирующих информационную сферу. Созданы научно-исследовательская и учебная дисциплины, которые составляют информационное право.

Информационное пространство все больше расширяется с помощью информационных технологий и выходит за рамки правомочий некоторых государств, а также национальных систем законодательства и права.

Информационное право является одной из сложнейших сфер права, что обусловлено его специфическим предметом – общественными отношениями в области информации, использованием информационных технологий и защитой информации.

Важной проблемой информационного права является понимание слова «свобода» в праве, в законе, в правовых отношениях и правоприменительной практике. Очень важно установить связь между категорией «свобода» трактуя конституционные положения о свободе слова, мысли, поиска, а также, получения, передачи, производства и распространения информации.

Вопросы информационного права рассматривают проблему мониторинга законодательства и правоприменительной практики. Изначально этот вопрос относили к научно-прикладной области. Однако, проблема мониторинга права, которая ориентирована на методы, принципы и индикаторы оценки результата, не требует индивидуальной теории. Немного внимания практически всех областей права, уделяется проблемам оценки и анализа действующего законодательства, к перспективам его развития.

Особо важной задачей на современном этапе является защита информации в автоматизированных системах, в частности систем обработки данных (АСОД), в рамках которой необходимо обеспечить достоверность, сохранность и конфиденциальность информации^[19]. Можно отметить, что нормальное функционирование ни одной системы просто невозможно без соблюдения данных базовых правил.

Совокупность данных, содержащая необходимые сведения, которые подлежат защите, является элементом защиты. Под достоверностью информации понимают правильность и ее точность. Для того, чтобы достичь нужного уровня достоверности в автоматизированной системе обработки данных применяют специальные методы повышения достоверности информационной обработки, основой которых является введение одного из трех видов избыточности: информационной, временной или структурной.

Как было подчеркнуто выше, еще одной не менее важной, чем обеспечение достоверности данных, является задача обеспечения сохранности этой информации в автоматизированных системах. Для достижения нужного уровня сохранности информации в АСОД применяются также специальные методы, имеющие в зависимости от вида их реализации следующую классификацию: организационные и аппаратно-программные.

Таким образом, основные элементы, которые подлежат защите в АСОД:

• исходные данные, которые поступили в АСОД непосредственно от пользователей, абонентов и, безусловно, взаимодействующих систем, на хранение и обработку;
• производные данные, которые были получены в АСОД посредством обработки исходных и произвольных данных;
• различные нормативно-справочные, вспомогательные, а также служебные данные, включая при этом включая данные системы защиты;
• программы, непосредственно применяющиеся для обработки данных, организации, обеспечения функционирования АСОД и защиты информации;
• алгоритмы, на основе которых и разрабатывались программы, в том случае, если они находятся на объектах, которые непосредственно входят в состав АСОД;
• методы и модели, на основе которых велась разработка алгоритмов, в случае, если они находятся на объектах, которые входят в состав АСОД, безусловно;
• постановки задач, на основе которых разрабатывались методы, модели, программы и алгоритмы (если они находятся на объектах, входящих в состав АСОД);
• техническая, технологическая и другая документация, находящаяся на объектах АСОД.

Говоря об отечественном бизнесе в данном аспекте, отметим, что в России, к сожалению, не проводятся исследования, направленные на выявление нарушений информационной безопасности бизнеса^[20]. Связано это с тем, что компании, пострадавшие от хакерских атак, стараются не афишировать данные факты, а это не позволяет выявить несанкционированные проникновения в их информационные сети.

Управленческий учет, данные которого наглядно показывают все особенности работы предприятия, является общепризнанной в мировой практике информационной системой, которая обеспечивает потребности руководителя для непосредственной разработки и дальнейшего принятия управленческого решения^[21].

Потребности современного бизнеса в снижении всевозможных рисков, а также необходимость выполнения требований нормативных актов по защите информации, приводят к созданию системы обеспечения информационной безопасности (СОИБ) предприятия. СОИБ предполагает наличие процессов обеспечения информационной безопасности (ИБ).

Целью построения СУИБ является выбор соответствующих мер управления безопасностью, которые предназначены для защиты информационных активов и которые гарантируют доверие заинтересованных сторон. Процессы управления должны выполнять следующие функции: прогнозные, оценка эффективности мер и средств, реагирование на изменчивость бизнес-процессов, своевременное обнаружение проблем в СОИБ^[22].

Вместе с тем, новый этап автоматизации технологических процессов породил и появление определенных проблем, связанных с возникновением серьезных уязвимостей автоматизированных систем обработки данных^[23]. В результате сегодня данные автоматизированные системы часто становятся объектом для различного рода злоумышленников и проведения серьезных кибератак.

В связи с чем сегодня четкое конструирование бизнес-системы просто невозможно без информационной инфраструктуры, важной составляющей которой является защита информационных активов в составе активов предприятия.

Поддержка и защита системы управления предприятием подразумевает прежде всего поддержку и защиту самих бизнес-процессов, а также развитие инфраструктурной составляющей бизнес-системы, и в частности информационной, за счет преодоления инфраструктурной и информационной разобщенности подразделений предприятия. Защита информационных активов заключается в поддержании целостности, доступности и, если требуется, конфиденциальности информации в бизнес-системах.

Проведенный анализ возможных угроз показал, что информационная инфраструктура должна обладать свойством защищенности информации, которая непосредственно используется в обработке данных.

Данное свойство характеризует способность обеспечивать защиту от несанкционированного получения, изменения, уничтожения или использования коммерческой, служебной или технологической информации.

Однако процессный подход к организации и управлению хозяйственной деятельностью предприятия обусловливает необходимость применения процессно-ориентированного подхода и к формированию самой инфраструктуры защиты информации бизнес-процессов^[24].

Организация инфраструктуры защиты информации обработки данных должна производиться в соответствии со следующими принципами^[25]:

- системности;

- комплексности;

- непрерывности защиты;

- разумной достаточности;

- гибкости управления и применения;

- простоты применения защитных мер и средств.

Одной из наиболее известной сегодня технологией защиты информации является криптография (шифрование). Ее основной целью является обеспечение секретности, трансформация данных в форму зашифрованную, которую можно получить только при наличии специального ключа.

В основе криптографической защиты информации лежит шифрование — преобразование данных к такой форме, при которой их не могут прочитать те лица, для кого они не предназначены. Основным направлением использование средств криптографической защиты является кодирование и передача зашифрованных данных по каналам связи, хранение информации в зашифрованном виде.

Криптографические средства защиты обеспечивают основные составляющие защищаемой информации: конфиденциальность, целостность и доступность, а так же обеспечение аутентификации (подлинности) и подтверждение авторства.

В криптографии определены некоторые методы. Их можно подразделить в зависимости от количества ключей, которые используются в соответствующих алгоритмах: двухключевые, одноключевые, бесключевые (рисунок 7).

Рисунок 7. Криптографические методы защиты информации в АСОД

Следует также отметить и остальные криптографический метод, такой как аутентификация, которая может быть, как простой, например, парольной, так и сложной - с использованием биометрических средств.

Один из наиболее важных компонентов при организации информационной защиты является аутентификация. Суть данной технологии заключается в следующем: чтобы пользователь мог правомерно получить какой-либо ресурс, сначала будет проведена подлинность личных данных. После получения запроса на допуск к использованию ресурса, сервер, который непосредственно предоставляет данный ресурс, передаст управление серверу аутентификации. Затем остается дождаться положительного ответа.