Файл: Законодательное регулирование защиты информации.pdf

Введение

В современном обществе сложилась такая тенденция, что самым ценным ресурсом стала информация, и поэтому ее ценность постоянно возрастает. «Кто владеет информацией, тот владеет миром». Это выражение очень точно отражает нынешнюю ситуацию, которая сложилась в мире. Разглашение информации очень часто приводит к отрицательным последствиям для ее владельца, поэтому вопрос обеспечения информационной безопасности становится все острее.

Так как на каждую защиту информации появляется способ ее преодоления, то для обеспечения необходимой защищенности информации нужно постоянно совершенствовать методы защиты.

Объектом исследования является информационная система Торгового дома «Раскрас» (ТД «Раскрас»).

Предметом исследования является защита компьютерной сети. 

Целью данной работы является разработка мероприятий по обеспечению безопасности компьютерной сети информационной системы.

К числу задач, решаемых в работе, необходимо отнести:

• анализ деятельности компании как объекта угроз;
• описание существующих угроз компьютерной сети;
• обоснование и выбор средств защиты компьютерной сети.

При выполнении работы были использованы следующие методы исследования: анализ литературных источников, обобщение материала, сравнение.

Проблема обеспечения информационной безопасности рассматривается в учебниках многих авторов, в частности Галатенко В.А., Бирюкова А.А., Герасименко В.А., Девянина Н.П., Жук А.П. , Мельникова В.П. Вопросам инженерно-технической защиты посвящен учебник Торокина А.А. и т.д.

Несмотря на разработанность и изученность проблемы, с каждым годом появляются все более новые проблемы в этой области, создаются новые вирусы, новые технические средства для прослушивания. Поэтому методы защиты должны совершенствоваться с каждым годом, непрестанно изучаться новые технологии и алгоритмы защиты.

Теоретические основы защиты информации

Основные понятия по информационной безопасности

Информация^[1] - сведения (сообщения, данные) независимо от формы их представления. Информация может быть пред­ставлена как на материальном носителе в виде символов, знаков, рисунков с возможностью ее визуального просмотра (документи­рованная информация), так и в электронном виде с возможно­стью ее просмотра только с использованием программно-технических средств. Отнесение информации к государственной тайне осуществляется в соответствии с Законом Российской Федерации «О государственной тайне».

Защита информации от несанкционированного доступа – дея­тельность (работа) должностных лиц, направ­ленная на создание и поддержание условий, установленных тре­бованиями нормативных документов, исключающих НСД к за­щищаемой (подлежащей защите) информации. Под защищаемой информацией понимаются информационные ресурсы и програм­мное обеспечение, подлежащие защите.

Защите подлежит информация любого вида, доступ к которой ограничивается. Ограничение доступа к информации устанавли­вается федеральными законами и нормативными актами для защиты основ конститу­ционного строя, здоровья, нравственности, прав и законных ин­тересов других лиц [15, с.102].

Утечка защищаемой информации – ее неконтролируемое раз­глашение, несанкционированный доступ к ней, получение защи­щаемой информации разведками [12, с.89].

Хищение информации – несанкционированный доступ к ин­формации, повлекший ознакомление с ней недопущенных субъ­ектов. При этом возможно как полное хищение, когда похищае­мая информация на машинном носителе информации полностью уничтожается, так и хищение, при котором производится только копирование защищаемой информации.

Несанкционированный доступ к информации – доступ к ин­формации, нарушающий установленные (принятые) норматив­ными правовыми актами требования (правила, порядок) разграничения доступа с использованием штатных средств (механизмов, методов, способов, возможно­стей), предоставляемых средствами ВТ.

Законодательное регулирование защиты информации

Нормативно-правовую базу составляют следующие основные группы документов, которые должны учитываться при обеспечении информационной безопасности:

1. Международное правовое обеспечение, которое составляют международные нормативные акты (Конвенции, Соглашения, Декларации) к которым присоединилась (подписала, ратифицировала) Российская Федерация, а также заключенные от лица Российской Федерации международные Договоры (Пакты).
2. Международное нормативно-техническое обеспечение, которое составляют международные Стандарты, Рекомендации, Регламенты в информационной сфере и сфере информационной безопасности.
3. Национальное правовое обеспечение, которое составляют нормативные акты Российской Федерации (Конституция РФ, Федеральные законы, Указы Президента РФ), подзаконные акты (Постановления и Распоряжения Правительства РФ, нормативные акты уполномоченных федеральных органов государственной власти), а также нормативные и подзаконные акты субъектов Российской Федерации.
4. Национальное нормативно-техническое обеспечение, которое составляют действующие в Российской Федерации технические регламенты, стандарты (государственные, отраслевые), руководящие документы, а также подзаконные акты уполномоченных федеральных органов государственной власти в основном нормативно-технического характера.

Документы I группы (международное правовое обеспечение) имеют преимущественное право при обеспечении информационной безопасности в сетях связи третьего поколения, если иного не предусмотрено законодательством Российской Федерации. В эту группу входят:

1. Всеобщая декларация прав человека, утвержденная и провозглашенная Генеральной Ассамблеей ООН (1948 г.);
2. Европейская Конвенция о защите прав человека и основных свобод (1996 г.);
3. Пакт о гражданских и политических правах (1976 г.);
4. Европейская Конвенция от 28.01.1981 г. об охране личности в отношении автоматизированной обработки персональных данных;
5. Директива Европейского Парламента и Совета Европейского Союза 95/46/ЕС об обработке персональных данных;
6. Директива Европейского Парламента и Совета Европейского Союза 97/66/ЕС об обработке персональных данных;

и ряд других международных договоренностей, признаваемых Российской Федерацией.

В этих документах затрагивается ряд важных и характерных, также, для российского национального законодательства вопросов, таких, как:

• общие цели безопасности;
• требования к системе безопасности;
• требования, связанные с управлением доступом;
• требования управления безопасностью.
• идентификация ситуации и вовлеченных сторон;
• оценка угроз и рисков, связанных с каждой угрозой,
• определение механизмов обнаружения и противодействия потенциальным угрозам и восстановления нормального функционирования информационной системы;
• механизмы аутентификации: с симметричными ключом, с асимметричным ключом, с "нулевым знанием";
• механизмы анонимности: временные идентификаторы с симметричным ключом; секретность подлинности с использованием асимметричного ключа; анонимный доступ;
• механизмы конфиденциальности: блочное шифрование, потоковое шифрование;
• некриптографические механизмы безопасности: верификация пользователя, регистрация пользователя, подсчет вызовов;
• механизмы обеспечения целостности: шифрование с добавлением избыточности, симметричный ключ, асимметричный ключ;
• механизмы неотказуемости: цифровая подпись;
• механизмы управления безопасностью: распределение ключей, управление версиями;
• и многие другие.

Национальное правовое обеспечение составляют конституционные и федеральные законы Российской Федерации, указы Президента Российской Федерации, Постановления и Распоряжения Правительства РФ, распоряжения и приказы федеральных министерств (Мининформсвязи России, Минпромэнерго России), служб (ФСТЭК России, ФСБ России, Россвязьнадзор) и агентств (Росинформтехнологии, Россвязь) по вопросам обеспечения безопасности информации, региональные нормативные акты субъектов Российской федерации в области формирования, использования и защиты информационных ресурсов. Документы этой группы носят обязательный характер для всех участников правоотношений на территории Российской Федерации, независимо от их национальной принадлежности и имеют наивысший приоритет при определении требований по обеспечению безопасности в них. Исключение составляют нормативные акты субъектов РФ, которые носят локальный характер и действуют в пределах границ субъекта Российской Федерации. Это наиболее многочисленная группа документов, в которую входят:

1. Конституция Российской Федерации [3]
2. Гражданский Кодекс Российской Федерации [4]
3. Уголовный Кодекс Российской Федерации [5]
4. Закон РФ «О государственной тайне», № 5485-1, 1993 г.
5. Федеральный закон «Об информации, информатизации и защите информации», № 24-ФЗ, 1995 г. [6]
6. Федеральный закон «Об электронной подписи» от 07 апреля 2011 г. [7]
7. Федеральный закон 152-ФЗ «О персональных данных» от 25.07.2011г.[8]
8. Федеральный закон «О коммерческой тайне», № 98-ФЗ, 2004 г. [9]
9. Указ Президента РФ «Об основах государственной политики в сфере информатизации», № 170, 1994 г.
10. Указ Президента РФ «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации», № 334, 1995 г.
11. Указ Президента РФ «Об утверждении перечня сведений конфиденциального характера», № 188, 1997 г.
12. Указ Президента РФ «Об утверждении концепции национальной безопасности РФ», № 1300, 1997 г.
13. Доктрина информационной безопасности Российской Федерации, утверждена Президентом РФ № Пр-1835, 2000 г. [1]

а также законы субъектов Российской Федерации и постановления (распоряжения) их руководителей (глав) по тем или иным вопросам в области обеспечения безопасности информации. В настоящее время нет единой структуры региональных актов, законодательные собрания субъектов Российской федерации находятся на разных уровнях понимания проблемы, поэтому такие акты разнородны и с трудом поддаются обобщению и анализу.

Методы и средства защиты информации

Согласно ГОСТ Р 50922-2006 угроза (безопасности информации) – совокупность условий и факторов, создающих потенциальнуюили реально существующую опасность нарушения безопасности информации.) [6].

Под мерой защиты информации будем понимать действие или совокупность действий (в т.ч. применение средств) для осуществления защиты информации [13, с.56].

Под средством защиты информации будем понимать техничес­кое, криптографическое, программное или другое средство, предназначенное для защиты информации, средства в которых они реализованы, а также средства контроля эффективности защиты информации.

Мероприятие по защите информации — совокупность действий по разработке и практическому применению мер и средств защиты информации. Общая классификация мер и средств защиты инфор­мации представлена на рис.1.

Рисунок 1 – Общая классификация мер и средств защиты информации [18, с.56]

Организационная защита – это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз. Благодаря организационной защите [28, с.87]:

• обеспечивается организация охраны, режима, работа с документами, с кадрами;
• используются технические средства безопасности и информационно-аналитическая деятельность с целью выявления внешних и внутренних угроз коммерческой деятельности.

Организационные меры защиты должны быть прописаны в документах, определяющих порядок обеспечения информационной безопасности в компании. Основным таким документом является политика информационной безопасности.

Под инженерно-технической защитой понимается совокупность технических средств, специальных органов и мероприятий по использованию технических средства с целью защиты конфиденциальной информации.
Выделяются следующие группы средств инженерно-технической защиты по функциональному назначению [31, с.29]:

Физические средства;

Аппаратные средства;

Программные средства;

Криптографические средства.

Физические средства включают различные сооружения и средства, которые препятствуют физическому доступу (или проникновению) нарушителей на объекты защиты и к материальным носителям конфиденциальной информации и осуществляют защиту материальных средств, персонала, информации и финансов от противоправных воздействий. Физическими средствами являются механические, электронно-оптические, электромеханические электронные, радио- и радиотехнические и другие устройства для запрета несанкционированного доступа, проноса (выноса) материалов и средств и других возможных видов преступных действий.

Меры контроля физического доступа к элементам ИС сводятся к применению средств и систем контроля физического доступа, которые создают препятствия для нарушителей на путях к защищаемым данным, например, на территорию, на которой располагаются объекты информатизации, в помещения с аппаратурой, носителями данных и т.п., и обеспечивают контроль доступа.

Система обнаружения вторжений (СОВ) – программное или аппаратное средство, предназначенное для выявления фактов неавто­ризованного доступа в компьютерную систему или сеть либо несанкционированного управления ими в основном через Internet. Соот­ветствующий английский термин – Intrusion Detection System (IDS) [14, с.59].