Файл: Особенности работы с персоналом, владеющим конфиденциальной информацией (Основные направления обеспечения безопасности информационных ресурсов).pdf

Введение

С развитием информационных технологий проблема конфиденциальности и конфиденциальной информации приобретает большую значимость. И в различных областях и различных странах конфиденциальность и информация относящаяся к конфиденциальной определяется по разному.

Согласно конвенции «О защите физических лиц при автоматизированной обработке персональных данных» (ETS N 108) стороны должны соблюдать секретность или конфиденциальность при обработке персональных данных, а также в отношении информации сопровождающей ходатайство о помощи.

В качестве критериев развитости информационного общества можно выделить: наличие компьютеров, уровень развития компьютерных сетей и количество населения, занятого в информационной сфере, а также использующего информационные и коммуникационные технологии в своей повседневной деятельности.

На сегодняшний день информация стоит дорого и её необходимо охранять. Массовое применение персональных компьютеров, к сожалению, оказалось связанным с появлением самовоспроизводящихся программ-вирусов, препятствующих нормальной работе компьютера, разрушающих файловую структуру дисков и наносящих ущерб хранимой в компьютере информации.

Информацией владеют и используют её все люди без исключения. Каждый человек решает для себя, какую информацию ему необходимо получить, какая информация не должна быть доступна другим и т.д. Человеку легко, хранить информацию, которая у него в голове, а как быть, если информация занесена в «мозг машины», к которой имеют доступ многие люди.

Повреждения могут быть вызваны поломкой оборудования или канала связи, подделкой или разглашением секретной информации. Внешние воздействия возникают как в результате стихийных бедствий, так и в результате сбоев оборудования или кражи.

Практическая значимость заключается в решении проблемы информационной безопасности. Значительное место занимает построение эффективной системы организации работы с персоналом, обладающим конфиденциальной информацией.

На данный момент в российском законодательстве чёткого определения понятия «конфиденциальная информация» нет. В утратившем силу федеральном законе № 24 «Об информации, информатизации и защите информации» говорится, что конфиденциальная информация — документированная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации важная информация, и каналы связи.

Персонал генерирует новые идеи, новшества, открытия и изобретения, которые продвигают научно - технический прогресс, повышают благосостояние сотрудников фирмы и являются полезными не только для фирмы в целом, но и для каждого отдельного сотрудника. Каждый сотрудник объективно заинтересован в сохранении в тайне тех новшеств, которые повышают прибыли и престиж фирмы. Несмотря на это, персонал, к сожалению, является в то же время основным источником утраты (разглашения, утечки) ценной и конфиденциальной информации.

Конфиденциальность в Интернете — вопрос наиболее сложно регулируемый, так как сохранность данных зависит в основном от него самого и от того, как, какую и в каком количестве информацию он предоставляет. Конфиденциальность в этой области регулируется в основном политикой конфиденциальности, которая прописывается на сайтах. В политике объясняется, какие данные о вас собираются на сайте, каким образом они используются, разглашаются и защищаются, а также каким образом можно изменить и удалить эти данные. Однако подобные описания встречаются не на всех сайтах.

Глава 1. Понятие информации, которая считается конфиденциальной

В условиях рынка и конкуренции возникают проблемы, связанные с обеспечением безопасности не только физических и юридических лиц, их имущественной собственности, но и информации, имеющей коммерческое значение, иных сведений, в частности, о результатах интеллектуальной деятельности: секретах производства, служебных секретах производства и др.

К конфиденциальной информации зачастую относят сведения, связанные с технологией производства, стилем управления, финансовой, торговой и другой деятельностью предприятия.

Информация может свободно использоваться любым лицом и передаваться одним лицом другому лицу, если федеральными законами не установлены ограничения доступа к информации либо иные требования к порядку ее предоставления или распространения. Таким образом, термин «информация» становится универсальным, он обозначает любые сведения о ком-либо или о чем-либо, получаемые из любого источника в любой форме: письменной, устной, визуальной и т. п. В данном определении сведения понимаются как реальные объекты социальной жизни: лица, предметы, факты, события, явления, процессы. Эти сведения могут служить и объектом познания, и ресурсом пополнения информационной базы: с одной стороны, сведения могут быть получены в результате исследования окружающей действительности и приобщены к уже существующей объективной системе знаний о мире, а с другой – быть объектом поиска, производимого конкретным потребителем для достижения его целей.

Кроме того, при взаимодействии информации и общества происходит изменение социальных регуляторов (морали, права), а также структурное изменение всего общества под воздействием технических и технологических процессов. Повсеместное внедрение информационных технологий и основанных на них информационных телекоммуникационных сетей привело к формированию глобального межгосударственного информационного виртуального пространства, в котором информация вращается в непривычной для традиционного права электронной форме.

Таким образом, усиление информационной зависимости человека от растущего объема потребляемой информации требует упорядочения и системной организации самой информации, в том числе с помощью норм права.

1.1 Основные направления обеспечения безопасности информационных ресурсов

1.1.1 Угрозы конфиденциальной информации

Угроза информационной безопасности — совокупность условий и факторов, создающих опасность нарушения информационной безопасности.

Под угрозой (в общем) понимается потенциально возможное событие, действие (воздействие), процесс или явление, которые могут привести к нанесению ущерба чьим-либо интересам.

Угрозы информационной безопасности могут быть классифицированы по различным признакам:

• По аспекту информационной безопасности, на который направлены угрозы:
  • Угрозы конфиденциальности (неправомерный доступ к информации). Угроза нарушения конфиденциальности заключается в том, что информация становится известной тому, кто не располагает полномочиями доступа к ней. Она имеет место, когда получен доступ к некоторой информации ограниченного доступа, хранящейся в вычислительной системе или передаваемой от одной системы к другой. В связи с угрозой нарушения конфиденциальности, используется термин «утечка». Подобные угрозы могут возникать вследствие «человеческого фактора» (например, случайное делегировании тому или иному пользователю привилегий другого пользователя), сбоев работе программных и аппаратных средств. К информации ограниченного доступа относится государственная тайна и конфиденциальная информация (коммерческая тайна, персональные данные, профессиональные виды тайна: врачебная, адвокатская, банковская, служебная, нотариальная, тайна страхования, следствия и судопроизводства, переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений (тайна связи), сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации (ноу-хау) и др.).
  • Угрозы целостности (неправомерное изменение данных). Угрозы нарушения целостности – это угрозы, связанные с вероятностью модификации той или иной информации, хранящейся в информационной системе. Нарушение целостности может быть вызвано различными факторами – от умышленных действий персонала до выхода из строя оборудования.
  • Угрозы доступности (осуществление действий, делающих невозможным или затрудняющих доступ к ресурсам информационной системы). Нарушение доступности представляет собой создание таких условий, при которых доступ к услуге или информации будет либо заблокирован, либо возможен за время, которое не обеспечит выполнение тех или иных бизнес-целей.
• По расположению источника угроз:
  • Внутренние (источники угроз располагаются внутри системы);
  • Внешние (источники угроз находятся вне системы).
• По размерам наносимого ущерба:
  • Общие (нанесение ущерба объекту безопасности в целом, причинение значительного ущерба);
  • Локальные (причинение вреда отдельным частям объекта безопасности);
  • Частные (причинение вреда отдельным свойствам элементов объекта безопасности).
• По степени воздействия на информационную систему:
  • Пассивные (структура и содержание системы не изменяются);
  • Активные (структура и содержание системы подвергается изменениям).
• По природе возникновения:
  • Естественные (объективные) — вызванные воздействием на информационную среду объективных физических процессов или стихийных природных явлений, не зависящих от воли человека;
  • Искусственные (субъективные) — вызванные воздействием на информационную сферу человека. Среди искусственных угроз в свою очередь выделяют:
  • Непреднамеренные (случайные) угрозы — ошибки программного обеспечения, персонала, сбои в работе систем, отказы вычислительной и коммуникационной техники;
  • Преднамеренные (умышленные) угрозы — неправомерный доступ к информации, разработка специального программного обеспечения, используемого для осуществления неправомерного доступа, разработка и распространение вирусных программ и т.д. Преднамеренные угрозы обусловлены действиями людей. Основные проблемы информационной безопасности связаны прежде всего с умышленными угрозами, так как они являются главной причиной преступлений и правонарушений.

Носителями угроз безопасности информации являются источники угроз. В качестве источников угроз могут выступать как субъекты (личность), так и объективные проявления, например, конкуренты, преступники, коррупционеры, административно-управленческие органы. Источники угроз преследуют при этом следующие цели: ознакомление с охраняемыми сведениями, их модификация в корыстных целях и уничтожение для нанесения прямого материального ущерба.

1.1.2 Идентификация и аутентификация

Для начала мы узнаем, что такое идентификация и аутентификация, в чем разница между этими понятиями.

Идентификация — это процедура распознавания субъекта по его идентификатору (проще говоря, это определение имени, логина или номера).

Важным средством защиты объектов безопасности является идентификация и аутентификация.

Идентификация выполняется при попытке войти в какую-либо систему (например, в операционную систему или в сервис электронной почты).

Аутентификация – это процедура проверки подлинности (пользователя проверяют с помощью пароля, письмо проверяют по электронной подписи и т.д.)

Чтобы определить чью-то подлинность, можно воспользоваться тремя факторами:

• Пароль – то, что мы знаем (слово, PIN-код, код для замка, графический ключ);
• Устройство – то, что мы имеем (пластиковая карта, ключ от замка, USB-ключ);
• Биометрика – то, что является частью нас (отпечаток пальца, портрет, сетчатка глаза);

Получается, что каждый раз, когда вы вставляете ключ в замок, вводите пароль или прикладываете палец к сенсору отпечатков пальцев, вы проходите аутентификацию.

Для защиты парольного входа используются следующие методы:

• Установка минимальной длины паролей;
• Пароль должен быть составлен из символов разного регистра, знаков препинания, цифр;
• Для каждого пароля должен быть установлен промежуток, по истечению которого пароль должен быть сменен;
• Защита файлов, где хранятся пароли;
• Использование программ-генераторов паролей;
• Использование одноразовых паролей;

Пользователю известен только ключ, при вводе которого каждый раз генерируется новый пароль, который и передается системе.

Таким образом, по сети каждый раз передается разный пароль. Разумеется, зная ключ и алгоритм генерации можно сгенерировать нужный пароль.

По направленности аутентификация может быть односторонней (пользователь доказывает свою подлинность системе, например при входе в систему) и двусторонней (взаимной).

Рис. 1.  Классическая процедура идентификации и аутентификации

Разграничение доступа является одним из основных способов сохранения конфиденциальности информации и является дополнением таких процедур как идентификация и аутентификация.

Но разграничение доступа не только позволяет сохранять конфиденциальность информации, но и защищает ее от угроз доступности и целостности. Правильное распределение ролей в системе может уберечь объекты безопасности от случайных или некомпетентных действий, которые могут вызвать потерю или искажение информации.

В общем случае постановка задачи следующая. Имеется множество субъектов безопасности (пользователи или процессы), доступ которых к информации предполагается регулировать. С другой стороны, имеется множество объектов данных, доступ к которым субъектов безопасности может регулироваться. В качестве объектов могут выступать самые разные элементы. персонал конфиденциальный информация увольнение.

Для реляционных баз данных это могут базы данных, таблицы, столбцы, строки и т.д. Для каждой пары «субъект-объект» должно быть определено множество операций, которые субъект может выполнять над объектом.

Операции могут быть простыми, такими как добавление данных, удаление данных, обновление данных, а могут представлять собой хранимые процедуры, содержащие множество различных действия.

Кроме ограничений на действия с данными для субъектов безопасности, субъекту могут даваться разрешения на операции выдачи прав или введение ограничений на действия с данными других субъектов. Это особо тонкая работа, требующая вдумчивого подхода. Достаточно случайно дать дополнительные права какому-либо пользователю, и он сам сможет расширить свои права для работы с данными или создать нового пользователя с расширенными правами.

Использование ролей не только помогает управлять доступом целой группы пользователей, но и вносит дополнительные сложности для администратора.

Таким образом, перед тем как разрешить, или запретить какие-либо действия над данными необходимо проанализировать все роли, в которые данный пользователь прямо или косвенно (через вложенные роли) входит. При этом может оказаться, что в одной роли данное действие разрешено, а в другой запрещено. Обычно придерживаются следующего правила: запрет всегда сильнее разрешения. Поэтому, если пользователь является членом множества ролей и только в одной роли указан запрет на определенное действие, то для пользователя это действие будет запрещено. В некоторых системах (например, в MS SQL Server) объекты безопасности также могут объединяться в группы (в MS SQL Server -они называются схемами). В этом случае, можно разрешить или запретить какие-либо действия для целой группы объектов.