Файл: Роль информационного права и информационной безопасности в современном обществе (Основные понятия информационной безопасности).pdf

1.2. Субъекты информационных отношений, их безопасность

Под субъектами информационных отношений подразумевается:

- государство (в целом или отдельные его ведомства, органы и организации)^[5];

- общественные или коммерческие организации (объединения) и предприятия (юридические лица),

- отдельных граждан (физические лица).

В процессе своей деятельности субъекты могут находиться друг с другом в разного рода отношениях, в том числе, касающихся вопросов получения, хранения, обработки, распространения и использования определённой информации. Такие отношения между субъектами будем называть информационными отношениями, а самих участвующих в них субъектов — субъектами информационных отношений.

Различные субъекты по отношению к определённой информации могут (возможно, одновременно) выступать в качестве (в роли):

- источников (поставщиков) информации;

- потребителей (пользователей) информации;

- собственников, владельцев, обладателей, распорядителей информации и систем ее обработки;

- физических и юридических лиц, о которых собирается информация;

- участников процессов обработки и передачи информации и т.д.

Для успешного осуществления своей деятельности по управлению объектами некоторой предметной области субъекты информационных отношений могут быть заинтересованы в обеспечении:

- своевременного доступа (за приемлемое для них время) к необходимой им информации и определенным автоматизированным службам (услугам);

- конфиденциальности(сохранения в тайне) определенной частиинформации;

- достоверности (полноты, точности, адекватности, целостности)информации и защиты от навязывания им ложной (недостоверной,искаженной) информации (то есть от дезинформации);

- защитычасти информации от незаконного ее тиражирования(защиты авторских прав, прав интеллектуальной собственности, прав собственника информации);

- разграничения ответственностиза нарушения законных прав (интересов) других субъектов информационных отношений и установленных правил обращения с информацией;

- возможности осуществления непрерывного контроля и управления процессами обработки и передачи информации и т.д^[6].

Будучи заинтересованным в обеспечении хотя бы одного из вышеназванных свойств и возможностей, субъект информационных отношений является уязвимым, то есть потенциально подверженным нанесению ему ущерба(прямого или косвенного, морального или материального) посредством воздействия на критичную для него информацию, её носители и процессы её обработки либо посредством неправомерного использования такой информации.

Поэтому все субъекты информационных отношений в той или иной степени (в зависимости от размеров ущерба, который им может быть нанесён) заинтересованы в обеспечении своей информационной безопасности. Об этом же самом, только другими словами, сказано в первой части стандарта ГОСТ Р ИСО/МЭК 15408-2008 «Информационная технология. Методы обеспечения безопасности. Критерии оценки безопасности информационных технологий»

Понятия безопасности и их взаимосвязь (ГОСТ Р ИСО/МЭК 15408-1-2008)

Для обеспечения законных прав и удовлетворения перечисленных выше интересов субъектов информационных отношений (т.е. обеспечения информационной безопасности субъектов) необходимо постоянно поддерживать (обеспечивать, защищать) следующие необходимые субъектам свойства информации и систем её обработки:

- доступность информации - такое свойство системы (средств и технологий обработки, инфраструктуры, в которой циркулирует информация), которое характеризует способность обеспечивать своевременный доступ субъектов к интересующей их информации и соответствующим автоматизированным службам всегда, когда в обращении к ним возникает необходимость (готовность к обслуживанию поступающих от субъектов запросов)^[7];

- целостность информации— такое свойство информации, которое заключается в ее существовании в неискаженном виде (неизменном по отношению к некоторому фиксированному ее состоянию). Точнее говоря, субъектов интересует обеспечение более широкого свойства - достоверности информации, которое складывается из адекватности (полноты и точности) отображения состояния предметной области и непосредственно целостности информации, то есть ее неискаженности. Однако, мы ограничимся только рассмотрением вопросов обеспечения целостности информации, так как вопросы адекватности отображения выходят далеко за рамки проблемы безопасности ИТ;

- конфиденциальность информации— такую субъективно определяемую (приписываемую собственником) характеристику (свойство) информации, которая указывает на необходимость введения ограничений на круг субъектов, имеющих доступ к данной информации, и обеспечиваемую способностью системы (инфраструктуры) сохранять указанную информацию в тайне от субъектов, не имеющих прав на доступ к ней.Объективные предпосылки подобного ограничения доступности информации для одних субъектов заключены в необходимости защиты законных интересов других субъектов информационных отношений.

Поскольку в нашем случае (речь об информационной безопасности) ущерб субъектам информационных отношений может быть нанесён только опосредованно, через определённую информацию и её носители, то закономерно возникает заинтересованность субъектов в защите этой информации, её носителей, процессов и систем её обработки.

Отсюда следует, что в качестве объектов, подлежащих защите с целью обеспечения безопасности субъектов информационных отношений, должны рассматриваться: информация, любые её носители (отдельные компоненты и АС в целом) и процессы её обработки (передачи)^[8].

Вместе с тем, говоря о защите АС, всегда следует помнить, что уязвимыми, в конечном счёте, являются именно заинтересованные в обеспечении определённых свойств информации и систем её обработки субъекты (информация, равно как и средства её обработки, не имеют своих интересов, которые можно было бы ущемить). Поэтому, под безопасностью АС или циркулирующей в ней информации, всегда следует понимать косвенное обеспечение безопасности соответствующих субъектов, участвующих в процессах автоматизированного информационного взаимодействия.

Термин «безопасность информации» нужно понимать как защищённость информации от нежелательного для соответствующих субъектов информационных отношений её разглашения (нарушения конфиденциальности), искажения или утраты (нарушенияцелостности, фальсификации) или снижения степени доступности(блокирования) информации, а также незаконного её тиражирования (неправомерного использования).

Поскольку субъектам информационных отношений ущерб может бьггь нанесён также посредством воздействия на процессы и средства обработки критичной для них информации, то становится очевидным необходимость обеспечения защиты системы обработки и передачи данной информации от несанкционированного вмешательства в процесс её функционирования, а также от попыток хищения, незаконной модификации и/или разрушения любых компонентов данной системы^[9].

Под «безопасностью автоматизированной системы» (системы обработки информации, компьютерной системы) следует понимать защищённость всех её компонентов (технических средств, программного обеспечения, данных, пользователей и персонала) от разного рода нежелательных для соответствующих субъектов воздействий.

Надо отметить, что пользователи и персонал системы также являются заинтересованными в обеспечении безопасности субъектами (внутренними).

Безопасность любого компонента (ресурса) АС складывается из обеспечения трёх его свойств: конфиденциальности, целостности и доступности.

Конфиденциальность компонента (ресурса) АС заключается в том, что он доступен только тем субъектам (пользователям, программам, процессам), которым предоставлены на то соответствующие полномочия.

Целостность компонента (ресурса) АС предполагает, что он может быть модифицирован только субъектом, имеющим для этого соответствующие права. Целостность является одним из условий корректности (неизменности, работоспособности) компонента в любой момент времени.

Доступность компонента (ресурса) АСозначает, что имеющий соответствующие полномочия субъект может без особых проблем получить своевременный доступ к необходимому компоненту системы.

Кроме того, для защиты субъектов от пиратства и разграничения их ответственности необходимо обеспечивать следующие свойства информационной инфраструктуры^[10]:

o неотказуемость субъектов от выполненных критичных действий;

o защиту от неправомерного тиражирования открытой информации.

Так же необходимо различать понятия «информационная безопасность» и «безопасность информации», которые до недавнего времени воспринимались как синонимы. Под информационной безопасностью понимается защищённость общества и личности от деструктивного информационного воздействия (пропаганды, агрессивной рекламы, низкопробных видов искусства и т.п.), а подбезопасностью информации понимается состояние защищённости информации от угроз.

ГЛАВА 2. Мероприятия по обеспечению информационной безопасности предприятия

2.1 Методы и средства обеспечения информационной безопасности

Обеспечение информационной безопасности возможно благодаря различным методам и средствам. Рассмотрим их и дадим им определение.

Препятствие – метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т. п.).

Управление доступом – метод защиты информации регулированием использования всех ресурсов автоматизированной информационной системы организации (фирмы). Управление доступом включает следующие функции защиты^[11]:

-идентификацию пользователей, персонала и ресурсов информационной системы (присвоение каждому объекту персонального идентификатора);

-аутентификацию (установление подлинности) объекта или субъекта по предъявленному им идентификатору;

-проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту);

-разрешение и создание условий работы в пределах установленного регламента;

-регистрацию (протоколирование) обращений к защищаемым ресурсам;

-реагирование (сигнализация, отключение, задержка работ, отказ в запросе) при попытках несанкционированных действий.

Маскировка – метод защиты информации в автоматизированной информационной системе путем ее криптографического закрытия.

Регламентация. Суть данного метода состоит в том, что создаются такие условия для защиты информации, которые автоматизируют обработку, порядок хранения и передачи информации. При таком методе регламентации несанкционированный доступ к информации, находящейся под защитой данного метода, практически невозможен.

 Принуждение. Суть данного метода состоит в том, чтобы защитить информацию посредством принуждения персонала и пользователей информации соблюдать правила обработки, хранения и передачи информации в рамках рабочего процесса. В случае нарушения установленных правил ответственному лицу грозит материальная, административная и даже уголовная ответственность.

Побуждение отличается от принуждения. Суть данного метода состоит в том, чтобы защитить информацию посредством побуждения персонала и пользователей информации соблюдать правила обработки, хранения и передачи информации в рамках рабочего процесса. То есть персонал и все пользователи выполняют правила добровольно, исходя их моральных и этических норм.

Далее рассмотрим, как часто на предприятии используют те или иные методы для обеспечения своей информационной безопасности в виде рисунка – структурной диаграммы.

Рисунок 3. Виды методов защиты информации

Следует отметить, что согласно различным исследованиям, наиболее широко предприятия пользуются методом управления доступом – 35% в общей структуре средств обеспечения информационной безопасности.