Файл: Виды и состав угроз информационной безопасности (Методы и средства защиты информации).pdf

25 февраля 1995 года Государственной Думой принят Федеральный закон “Об информации, информатизации и защите информации”. В законе даны определения основных терминов: информация, информатизация, информационные системы, информационные ресурсы, конфиденциальная информация, собственник и владелец информационных ресурсов, пользователь информации. Государство гарантирует права владельца информации, независимо от форм собственности, распоряжаться ею в пределах, установленных законом. Владелец информации имеет право защищать свои информационные ресурсы, устанавливать режим доступа к ним. В этом законе определены цели и режимы защиты информации, а также порядок защиты прав субъектов в сфере информационных процессов и информатизации.

Другим важным правовым документом, регламентирующим вопросы защиты информации в КС, является закон РФ “О государственной тайне”, принятый 21.07.93 года. Закон определяет уровни секретности государственной информации и соответствующую степень важности информации.

Отношения, связанные с созданием программ и баз данных, регулируются законом РФ от 23.09.92 года “О правовой охране программ для ЭВМ и баз данных” и законом РФ от 09.07.93 года “Об авторском праве и смежных правах”.

Важной составляющей правового регулирования в области информационных технологий является установление ответственности

граждан за противоправные действия при работе с КС. Преступления, совершённые с использованием КС или причинившие ущерб владельцам КС, получили название компьютерных преступлений.

В Уголовном кодексе РФ, принятом 1 января 1997 года, включена глава № 28, в которой определена уголовная ответственность за преступления в области компьютерных технологий.

В статье 272 предусмотрены наказания за неправомерный доступ к компьютерной информации. Это правонарушение может наказываться  от штрафа в размере 200 минимальных зарплат до лишения свободы на срок до 5 лет.

Статья 273 устанавливает ответственность за создание, использование и распространение вредоносных программ для ЭВМ. Это правонарушение может наказываться от штрафа до лишения свободы на срок до 7 лет.

В статье 274 определена ответственность за нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети. Если такое деяние причинило существенный вред, то виновные наказываются лишением права занимать определённые должности или заниматься определённой деятельностью на срок до 5 лет. Если те же деяния повлекли тяжкие последствия, то предусмотрено лишение свободы на срок до 4 лет.

Федеральным законом № 149-ФЗ «Об информации, информационных технологиях и о защите информации» установлено, что защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

1. обеспечение защиты информации от неправомерного доступа,

уничтожения, модифицирования, блокирования, копирования,

предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

2. соблюдение конфиденциальности информации ограниченного

доступа;

3. реализацию права на доступ к информации.

К основным направлениям обеспечения информационной безопасности относятся:

· защита государственной тайны, т.е. секретной и другой конфиденциальной информации, являющейся собственностью государства, от всех видов несанкционированного доступа, манипулирования и уничтожения;

· защита прав граждан на владение, распоряжение и управление

принадлежащей им информацией;

· защита прав предпринимателей при осуществлении ими коммерческой деятельности;

· защита конституционных прав граждан на тайну переписки, пере-

говоров, личную тайну;

· защита технических и программных средств информатики от

ошибочных действий персонала и техногенных воздействий, а

также стихийных бедствий и иных форс-мажорных обстоятельств

с целью сохранения возможности управления процессом обработки.

1.1 Методы и средства защиты информации

В различных сферах жизнедеятельности имеются свои особенности обеспечения информационной безопасности, связанные со спецификой объектов обеспечения безопасности, степенью их уязвимости в отношении угроз информационной безопасности Российской Федерации.

Общие методы обеспечения информационной безопасности

Российской Федерации разделяются на правовые, организационно-технические и экономические.

К правовым методам обеспечения информационной безопасности Российской Федерации относится разработка нормативных правовых актов, регламентирующих отношения в информационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности Российской Федерации.

Наиболее важными направлениями этой деятельности являются:

- внесение изменений и дополнений в законодательство Российской Федерации, регулирующее отношения в области обеспечения информационной безопасности, в целях создания и совершенствования системы обеспечения информационной безопасности Российской Федерации, устранения внутренних противоречий в федеральном законодательстве, противоречий, связанных с международными соглашениями, к которым присоединилась Российская Федерация, и противоречий между федеральными законодательными актами и законодательными актами субъектов Российской Федерации, а также в целях конкретизации правовых норм, устанавливающих ответственность за правонарушения в области обеспечения информационной безопасности Российской Федерации;

законодательное разграничение полномочий в области обеспечения информационной безопасности Российской Федерации между федеральными органами государственной власти и органами государственной власти субъектов Российской Федерации, определение целей, задач и механизмов участия в этой деятельности общественных объединений, организаций и граждан;

- разработка и принятие нормативных правовых актов Российской Федерации, устанавливающих ответственность юридических и

физических лиц за несанкционированный доступ к информации, ее

противоправное копирование, искажение и противозаконное использование, преднамеренное распространение недостоверной информации, противоправное раскрытие конфиденциальной информации, использование в преступных и корыстных целях служебной информации или информации, содержащей коммерческую тайну;

- уточнение статуса иностранных информационных агентств,

средств массовой информации и журналистов, а также инвесторов

при привлечении иностранных инвестиций для развития информационной инфраструктуры России;

- законодательное закрепление приоритета развития национальных сетей связи и отечественного производства космических

спутников связи;

К организационно-техническим методам обеспечения информационной безопасности Российской Федерации относятся:

- создание и совершенствование системы обеспечения информационной безопасности Российской Федерации;

- усиление правоприменительной деятельности федеральных органов исполнительной власти, органов исполнительной власти субъектов Российской Федерации, включая предупреждение и пресечение правонарушений в информационной сфере, а также выявление, изобличение и привлечение к ответственности лиц, совершивших преступления и другие правонарушения в этой сфере;

- разработка, использование и совершенствование средств защиты информации и методов контроля эффективности эти средств, развитие защищенных телекоммуникационных систем, повышение надежности специального программного обеспечения;

- создание систем и средств предотвращения несанкционированного доступа к обрабатываемой информации и специальных воздействий, вызывающих разрушение, уничтожение, искажение информации, а также изменение штатных режимов функционирования систем и средств информатизации и связи;

- выявление технических устройств и программ, представляющих опасность для нормального функционирования информационно-телекоммуникационных систем, предотвращение перехвата

информации по техническим каналам, применение криптографических средств защиты информации при ее хранении, обработке и

передаче по каналам связи, контроль за выполнением специальных

требований по защите информации;

- сертификация средств защиты информации, лицензирование

деятельности в области защиты государственной тайны, стандартизация способов и средств защиты информации;

- совершенствование системы сертификации телекоммуникационного оборудования и программного обеспечения автоматизированных систем обработки информации по требованиям информационной безопасности;

К экономическим методам обеспечения информационной

безопасности Российской Федерации относятся:

- разработку программ обеспечения информационной безопасности Российской Федерации и определение порядка их финансирования;

- совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов защиты информации, создание системы страхования информационных рисков физических и юридических лиц.

Обеспечение информационной безопасности Российской Федерации в сфере экономики играет ключевую роль в обеспечении национальной безопасности Российской Федерации.

Воздействию угроз информационной безопасности Российской Федерации в сфере экономики наиболее подвержены:

- система государственной статистики;

- кредитно-финансовая система;

- информационные и учетные автоматизированные системы под-

разделений федеральных органов исполнительной власти, обеспечивающих деятельность общества и государства в сфере экономики;

- системы бухгалтерского учета предприятий, учреждений и

организаций независимо от формы собственности;

- системы сбора, обработки, хранения и передачи финансовой, биржевой, налоговой, таможенной информации и информации о внешнеэкономической деятельности государства, а также предприятий, учреждений и организаций независимо от формы собственности.

Основными мерами по обеспечению информационной безопасности Российской Федерации в сфере экономики являются:

- организация и осуществление государственного контроля за

созданием, развитием и защитой систем и средств сбора, обработки, хранения и передачи статистической, финансовой, биржевой, налоговой, таможенной информации;

- коренная перестройка системы государственной статистической отчетности в целях обеспечения достоверности, полноты и защищенности информации, осуществляемая путем введения строгой юридической ответственности должностных лиц за подготовку первичной информации, организацию контроля за деятельностью этих лиц и служб обработки и анализа статистической информации, а также путем ограничения коммерциализации такой информации;

- разработка национальных сертифицированных средств защиты информации и внедрение их в системы и средства сбора, обработки, хранения и передачи статистической, финансовой, биржевой, налоговой, таможенной информации;

- разработка и внедрение национальных защищенных систем электронных платежей на базе интеллектуальных карт, систем электронных денег и электронной торговли, стандартизация этих систем, а также разработка нормативной правовой базы, регламентирующей их использование;

- совершенствование нормативной правовой базы, регулирующей информационные отношения в сфере экономики;

- совершенствование методов отбора и подготовки персонала

для работы в системах сбора, обработки, хранения и передачи экономической информации.

«Режим защиты информации устанавливается:

- в отношении сведений, отнесенных к государственной тайне, -

уполномоченными органами на основании Закона Российской

Федерации «О государственной тайне»;

- в отношении конфиденциальной документированной информации -

собственником информационных ресурсов или уполномоченным

лицом на основании настоящего Федерального закона;

- в отношении персональных данных - федеральным законом.»

Сис­те­ма за­щиты ин­форма­ции – ра­ци­ональ­ная со­вокуп­ность нап­равле­ний, ме­тодов, средств и ме­роп­ри­ятий, сни­жа­ющих у­яз­ви­мость ин­форма­ции и пре­пятс­тву­ющих не­сан­кци­они­рован­но­му дос­ту­пу к ин­форма­ции, ее раз­гла­шению или утеч­ке. 

Ос­новной ха­рак­те­рис­ти­кой сис­те­мы яв­ля­ет­ся ее ком­плексность, т. е. на­личие в ней обя­затель­ных эле­мен­тов, ох­ва­тыва­ющих все нап­равле­ния за­щиты ин­форма­ции. Эле­мен­та­ми сис­те­мы яв­ля­ют­ся: пра­вовой, ор­га­низа­ци­он­ный, ин­же­нер­но-тех­ни­чес­кий, прог­рам­мно-ап­па­рат­ный и крип­тогра­фичес­кий.

Пра­вовой эле­мент сис­те­мы за­щиты ин­форма­ции ос­но­выва­ет­ся на нор­мах ин­форма­ци­он­но­го пра­ва и пред­по­лага­ет юри­дичес­кое зак­репле­ние вза­имо­от­но­шений фир­мы и го­сударс­тва по по­воду пра­вомер­ности ис­поль­зо­вания сис­те­мы за­щиты ин­форма­ции.

Ор­га­низа­ци­он­ный эле­мент сис­те­мы за­щиты ин­форма­ции со­дер­жит ме­ры уп­равлен­ческо­го, ог­ра­ничи­тель­но­го (ре­жим­но­го) и тех­но­логи­чес­ко­го ха­рак­те­ра, оп­ре­деля­ющие ос­но­вы и со­дер­жа­ние сис­те­мы за­щиты, по­буж­да­ющие пер­со­нал соб­лю­дать пра­вила за­щиты кон­фи­ден­ци­аль­ной ин­форма­ции фир­мы.