Файл: Курс лекций по дисциплине Информационные технологии в юридической деятельности.rtf

Эти угрозы по условиям реализации делятся на три группы.

Первая группа включает в себя угрозы, реализуемые в ходе загрузки операционной системы. Вторая группа - угрозы, реализуемые после загрузки операционной среды независимо от того, какая прикладная программа запускается пользователем. Наконец, третья группа включает в себя угрозы, реализация которых определяется тем, какая из прикладных программ запускается пользователем, или фактом запуска любой из прикладных программ.

Большинство из этих угроз могут быть реализованы в случае получения нарушителем физического доступа к самому компьютеру или, по крайней мере, к средствам ввода информации в компьютер.

Угрозы программно-математического воздействия

Программно-математическое воздействие - это воздействие с помощью вредоносных программ. Программой с потенциально опасными последствиями или вредоносной программой называют некоторую самостоятельную программу (набор инструкций), которая способна выполнять любое непустое подмножество следующих функций:

• 
  скрывать признаки своего присутствия в программной среде;
  
• 
  обладать способностью к самодублированию, ассоциированию себя другими программами и (или) переносу своих фрагментов в иные области оперативной или внешней памяти;
  
• 
  разрушать (искажать произвольным образом) код программ в оперативной памяти;
  
• 
  выполнять без инициирования со стороны пользователя (пользовательской программы в штатном режиме ее выполнения) деструктивные функции (копирования, уничтожения, блокирования и т.п.);
  
• 
  сохранять фрагменты информации из оперативной памяти в некоторых областях внешней памяти прямого доступа (локальных или удаленных);
  
• 
  искажать произвольным образом, блокировать и (или) подменять выводимый во внешнюю память или в канал связи массив информации, образовавшийся в результате работы прикладных программ, или уже находящиеся во внешней памяти массивы данных.
  

Вредоносные программы могут быть внесены (внедрены) преднамеренно или случайно в компьютерное программное обеспечение в процессе его разработки, сопровождения, модификации и настройки. Кроме этого, они могут быть внесены в процессе эксплуатации с внешних носителей информации или посредством сетевого взаимодействия как в результате НСД, так и случайно пользователями компьютера.

---

Наличие в компьютере вредоносных программ может способствовать возникновению скрытых, в том числе нетрадиционных каналов доступа к информации, позволяющих вскрывать, обходить или блокировать защитные механизмы, предусмотренные в системе, в том числе парольную и криптографическую защиту.

Основными видами вредоносных программ являются:

• 
  программные закладки;
  
• 
  классические программные (компьютерные) вирусы;
  
• 
  вредоносные программы, распространяющиеся по сети (сетевые черви);
  
• 
  другие вредоносные программы, предназначенные для осуществления НСД (например, подбора и вскрытия паролей, осуществления сетевой атаки).
  

В связи с усложнением и возрастанием разнообразия программного обеспечения число вредоносных программ быстро возрастает. Вместе с тем, далеко не все из них представляют реальную угрозу. Во многих случаях устранение уязвимостей в системном или прикладном программном обеспечении привело к тому, что ряд вредоносных программ уже не способны внедриться в систему компьютера. Часто основную опасность представляют новые вредоносные программы.

угрозы нетрадиционных информационных каналов

Нетрадиционный информационный канал - это канал скрытной передачи информации с использованием традиционных каналов связи и специальных преобразований передаваемой информации, не относящихся к криптографическим методам.

Для формирования нетрадиционных каналов могут использоваться методы:

• 
  компьютерной стеганографии;
  
• 
  манипуляции различных характеристик ресурсов системы, которые можно получать санкционировано (например, времени обработки различных запросов, объемов доступной памяти или доступных для чтения идентификаторов файлов или процессов и т.п.).
  

Компьютерная стеганография скрывает сам факт передачи сообщения путем встраивания скрываемой информации во внешне безобидные данные (текстовые, графические, аудио- или видеофайлы). Это возможно или на использовании специальных свойств компьютерных форматов хранения и передачи данных или на избыточности аудио, визуальной или текстовой информации с позиции психофизиологических особенностей восприятия человека.

Сейчас развитие и применение находят методы сокрытия информации в графических стеганоконтейнерах. Это обусловлено: размещением сравнительно большого объема информации без заметного искажения изображения; наличием в большинстве реальных изображений текстурных областей, имеющих шумовую структуру и хорошо подходящих для встраивания информации; развитыми методами цифровой обработки изображений и цифровых форматов представления изображений и т.д.

---

Современные коммерческие и бесплатные программные продукты доступны обычному пользователю и реализуют известные стеганографические методы, в основном, в графических и аудио-контейнерах.

При использовании в информационных каналах некоторых разделяемых ресурсов возможна их манипуляция. При этом в каналах, использующих временные характеристики, осуществляется модуляция по времени занятости разделяемого ресурса (например, модулируя время занятости процессора, приложения могут обмениваться данными). В каналах памяти ресурс используется как промежуточный буфер (например, приложения могут обмениваться данными путем помещения их в имена создаваемых файлов и директорий). В каналах баз данных и знаний используют зависимости между данными, возникающими в реляционных базах данных и знаний.

Нетрадиционные информационные каналы могут быть сформированы на различных уровнях работы компьютерной системы:

• 
  аппаратном;
  
• 
  микрокодов и драйверов устройств;
  
• 
  операционной системы;
  
• 
  прикладного программного обеспечения;
  
• 
  функционирования каналов передачи данных и линий связи.
  

Эти каналы могут использоваться как для скрытной передачи скопированной информации, так и для скрытной передачи команд на выполнение деструктивных действии, запуска приложении и т.п. Для его реализации, как правило, надо внедрить в компьютерную систему программную или программно-аппаратную закладку, обеспечивающую формирование нетрадиционного канала, существующего в системе непрерывно или с активацией одноразово или по заданным условиям. При этом возможно существование обратной связи с субъектом НСД.

Неумышленные угрозы безопасности и целостности информации

К неумышленным нарушениям относятся:

- случайные ошибки персонала;

- неверное исполнение программ (затирание данных, блокировка, неэффективное управление совместными ресурсами), связанное с воздействием внешней среды (например, мощное электромагнитное излучение) или сбоями в программе;

- неумышленное заражение программами-вирусами дисков и программ;

- несчастные случаи, стихийных бедствия (нарушение правил противопожарной безопасности, нарушение правил эксплуатации оборудования и т.п.).
2. Основные направления системы защиты информации в современных информационных системах

---

Эффективная защита от рассмотренных угроз безопасности и целостности информации может реализоваться только через комплексную систему защиты. Это совокупность правовых, организационных мероприятий, технических средств, программно-технических методов, организуемых и поддерживаемых для предупреждения разрушения, утечки или модификации защищаемой информации в вычислительной системе.

ПРАВОВОЕ ОБЕСПЕЧЕНИЕ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ

Нормативно-правовая база в области обеспечения информационной безопасности формируется на четырех иерархических уровнях:

Первый уровень образуют международные договоры и федеральные законы России, например:

- Международные конвенции об охране интеллектуальной собственности, авторском праве;

- Конституция РФ (ст. 23, 24, 29, 44);

- Федеральный закон РФ от 19.12.2005 №160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных»;

- Уголовный кодекс РФ (ст. 272, ст.273, ст.274);

- Федеральный закон РФ от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации»;

- Закон РФ от 21.07.93 № 5485-1 (ред. 01.12.2007) «О государственной тайне»;

- Федеральный закон РФ от 10.01.2002 № 1-ФЗ (ред. 08.11.2007) «Об электронной цифровой подписи»;

- Федеральный закон РФ от 27.07.2006 №152-ФЗ «О персональных данных».

Второй уровень составляют подзаконные акты, к которым относятся указы Президента РФ и постановления Правительства РФ, а также письма Высшего Арбитражного Суда РФ и постановления пленумов Верховного Суда РФ. Примерами таких актов могут являться:

- Указ Президента РФ от 06.03.97 № 188 (ред. 23.09.2005) «Об утверждении перечня сведений конфиденциального характера»;

- Указ Президента РФ от 12.05.09 № 537 «О стратегии национальной безопасности Российской Федерации до 2020 года».

- «Доктрина информационной безопасности РФ», утверждена Президентом РФ 09.09.2000 г. №Пр.-1895.

- Указ Президента РФ от 16.08.2004 №1085 (ред. от 17.11.2008) «Вопросы Федеральной службы по техническому и экспортному контролю».

- Указ Президента РФ от 17.03.2008 №351 (ред. 21.10.2008) «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена».

- Постановление Правительства РФ от 15.08.2006 №504 «О лицензировании деятельности по технической защите конфиденциальной информации».

- Приказ ФСТЭК РФ №55, ФСБ РФ №86, Мининформсвязи РФ №20 от 13.02.2008 «Об утверждении Порядка проведения классификации информационных систем персональных данных».

---

- Постановление Правительства РФ от 06.07.2008 №512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных».

- Приказ ФСБ РФ от 09.02.2005 №66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)».

Третий уровень - это государственные стандарты (ГОСТы) в области защиты информации, руководящие документы, нормы, методики и классификаторы, разработанные соответствующими государственными органами. В качестве примеров можно привести следующие документы:

- ГОСТ Р 51275-99. «Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения»;

- Приказ ФСТЭК РФ от 28.08.2007 №182 «Об утверждении Административного регламента Федеральной службы по техническому и экспортному контролю по исполнению государственной функции по лицензированию деятельности по разработке и (или) производству средств защиты конфиденциальной информации»;

- Приказ Россвязькомнадзора от 17.07.2008 №08 «Об утверждении образца формы уведомления об обработке персональных данных»;

- Постановление Правительства РФ от 17.11.2007 № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»;

- Стандарт Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» СТО БР ИББС-1.0-2008» (принят и введен в действие Распоряжением ЦБ РФ от 25.12.2008).

Четвертый уровень образуют локальные нормативные акты, положения, инструкции, методические рекомендации и другие документы по комплексной защите информации территориальных подразделений. В них определяются перечни сведений ограниченного распространения, порядки организации реальных мероприятий и т.д.

Организационные мероприятия

Целью этих мероприятий является создание организационной защиты, предотвращающей доступ посторонних лиц к компьютерам, на которых хранится и обрабатывается сетевая информация, а также к средствам и линиям связи в сети.

Организационная защита - это регламентация служебной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение информацией ограниченного распространения и проявления внутренних и внешних угроз.

---