Правовые проблемы обеспечения информационной безопасности

Проблема обеспечения информационной безопасности является на сегодня одной из самых острых не только у нас в стране, но и в развитых странах мира. Опыт эксплуатации информационных систем и ресурсов в различных сферах жизнедеятельности показывает, что существуют различные и весьма реальные угрозы потери информации, приводящие к материальным и иным ущербам. При этом обеспечить на 100% безопасность информации практически невозможно.

Интерес к проблемам информационной безопасности определяется все возрастающей ролью информации в различных сферах жизни общества (например, экономической, политической сферах).

Проблема обеспечения информационной безопасности является одной из актуальных проблем, которая стоит перед мировым сообществом. Значительными событиями в сфере обеспечения информационной безопасности и борьбы с компьютерными преступлениями стали Международные конференции представителей государственных и коммерческих структур стран «восьмерки» по вопросам безопасности и доверия в киберпространстве, которые состоялись в 2000 году в Париже и в Берлине. На этих конференциях рассматривались такие важные вопросы: защита электронной торговли, критической инфраструктуры и повышение доверия в киберпространстве путем оценки угроз и предотвращения преступлений; улучшение способности обнаружения и идентификации преступников, использующих информационные технологии; совершенствование партнерских отношений между государственными структурами, частным сектором, пользователями в целях обеспечения безопасности и доверия в киберпространстве; а также подписание главами «восьмерки» 22 июля 2000 года Окинавской Хартии глобального информационного общества, в которой ведущие страны в очередной раз подчеркнули важность принятия всех необходимых мер, направленных на создание безопасного и свободного от преступности мирового киберпространства. Отмечена необходимость поиска эффективных политических решений таких актуальных проблем, как, например, несанкционированного доступа и компьютерных вирусов.

В соответствии с указанным документом, информационная и коммуникационная технология является одной из наиболее влиятельных и могущественных сил, которые обозначают контуры ХХІ столетия. Ее революционное влияние касается быта, образования, работы, а также способов взаимосвязи советов и гражданского общества. Как ускоритель экономического роста, данная технология обладает большим потенциалом различных социальных преобразований.

В связи с этим, в некоторых европейских государствах появилось законодательное закрепление понятия «информационная безопасность». Так в законодательстве Российской Федерации есть конкретное определение данного понятия, а именно: «под информационной безопасностью Российской Федерации понимается состояние защищенности её национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства» .

На законодательном же уровне Украины понятие «информационной безопасности» отсутствует.

Так что же такое «информационная безопасность»? Рассмотрим содержание понятия «безопасность» как таковое.

На протяжении всей истории мировой цивилизации безопасность является одной из главнейших целей и неотъемлемым слагаемым деятельности людей, социальных групп, обществ, государств и мирового сообщества. Забота о безопасности имманентно присуща каждой частице социальной структуры общества от конкретного индивида до предельно широкого объединения людей.

Термин «безопасность» означает отсутствие опасности, сохранность, надежность или положение, при котором не угрожает опасность кому-, чему-нибудь . Вопросы охраны безопасности рассматриваются и на законодательном уровне, а именно: Законы Украины «Об объектах повышенной опасности», «Об использовании ядерной энергии радиационную безопасность», «О дорожном движении», «О пожарной безопасности».

Итак, можно сделать вывод, что безопасность – это состояние защищенности жизненно важных интересов личности, общества и государства от внутренних и внешних угроз.

Информация является основным объектом информационного общества и ее роль на сегодняшний день очень велика. Термин «информация» произошел от латинского слова «informatio», что означает пояснение, сообщение. Информация состоит из сообщений. Сообщение является формой представления информации.

Согласно статьи 1 закона Украины «Об информации», под информацией следует понимать документированные или публично оглашенные сведения о событиях или явлениях, которые происходят в обществе, государстве или окружающей природной среде .

Важной особенностью информации является возможность ее практически неограниченного тиражирования, распространения и преобразования форм ее фиксации .

Отсюда следует, что информационная безопасность – это состояние защищенности личности, общества, государства в информационной сфере от внутренних (источниками являются: неблагоприятная криминогенная обстановка, сопровождающаяся тенденциями сращивания государственных и криминальных структур; получения криминальными структурами доступа к конфиденциальной информации; усиления влияния организованной преступности на жизнь общества; снижения степени защищенности законных интересов граждан, общества и государства; недостаточное финансирование мероприятий по обеспечению информационной безопасности; недостаточная экономическая мощь государства; критическое состояние отечественных отраслей промышленности) и внешних (деятельность иностранных разведывательных и информационных структур, направленная против интересов государства; обострение международной конкуренции за обладание информационными технологиями и ресурсами) угроз. Отметим, что информационная сфера – это сфера деятельности, которая связана с созданием, распространением, переработкой и потреблением информации .

Источники информационных опасностей подразделяются на естественные (природного происхождения) и искусственные (созданные человеком в процессе его жизнедеятельности).

Наиболее очевидными источниками информационной безопасности являются:
1) отсутствие единой государственной политики в области обеспечения информационной безопасности;
2) несовершенство нормативной правовой базы, регулирующие отношения в области обеспечения информационной безопасности, а также недостаточная правоприменительная практика;
3) недостаточный контроль за развитием информационного рынка со стороны государственных структур и общества;
4) низкий уровень информатизации государственных и коммерческих структур;
5) низкий уровень защищенности интересов физических и юридических лиц в информационной сфере;
6) сращивание государственных и коммерческих структур в области кредитно-финансовой сферы с криминальными структурами;
7) получение доступа криминальными структурами к конфиденциальной информации;
8) усиление влияния организованной преступности на жизнь общества;
9) контрабандный ввоз и незаконная продажа компьютерной техники и средств радиосвязи, получение неконтролируемой прибыли.

В качестве объектов, подлежащих защите от информационных угроз и опасностей, выделяют сознание, психику отдельного человека, социальных сообществ (коллектив, социальные группы, нации, народности, гражданское общество, государство); информационно-технические системы различного назначения и информационные потоки, связывающие все элементы в единую социальную или техническую систему .

Угрозами же безопасности информационных средств и систем могут являться:
- противоправный сбор и использование информации;
- разработка и распространение программ, нарушающих нормальное функционирование информационных систем, в том числе систем защиты информации;
- утечка информации по техническим каналам (визуально-оптические, акустические, электрические, радиотехнические, материально-вещественные );
- внедрение электронных устройств для перехвата информации в технические средства обработки, хранения и передачи информации по каналам связи, а также в служебные помещения органов государственной власти, предприятий, учреждений и организаций, независимо от формы собственности;
- уничтожение, повреждение, разрушение или хищение машинных и других носителей информации;
- перехват информации в сетях передачи данных и на линиях связи;
- несанкционированный доступ к информации, находящейся в банках и базах данных (может быть целенаправленный и случайный);
- нарушение законных ограничений на распространение информации.

Центральным моментом применения информационных компьютерных технологий в Украине является наличие адекватного информационного законодательства. Под информационным законодательством следует понимать комплекс законов и нормативных актов, которые регламентируют правоотношения в области собирания, обработки, сохранения и использования информации . Однако, на сегодняшний день действующие законы Украины (например, законы Украины «Об информации», «О государственной тайне», «Об информационных агентствах», «О государственном реестре физических лиц плательщиков налогов и других обязательных платежей») и другие нормативные акты, которые непосредственно или косвенно связаны с этими вопросами, не охватывают весь комплекс проблем и не образуют целостной системы. Поэтому, реализация эффективных мер правового обеспечения информационной безопасности жизненно необходима для развития Украины, ведь информационное общество можно создать только в правовом государстве.

Одной из составных частей информационной безопасности является защита информации в компьютерных системах и сетях. На законодательном уровне Украины охрана информации в компьютерных системах и сетях не рассматривалась. И только в связи с принятием нового Уголовного кодекса Украины в 2001 году, компьютерная безопасность поставлена под охрану уголовного закона (раздел ХVІ УК «Преступления в сфере использования электронно-вычислительных машин (компьютеров), систем и компьютерных сетей»). Однако само по себе законодательное закрепление данных моментов еще не способствует их пресечению. Как заметила по этому поводу А.А. Матвеева: «Уголовно-правовые нормы являются лишь законодательной базой, необходимым (в условиях правового государства), но не единственным условием. Основное значение состоит в их правильном и своевременном применении. В качестве главного принципа уголовной ответственности нужно признать ее неотвратимость. При этом, прежде чем рассматривать организационные и технические сложности, следует в первую очередь оценить, насколько совершенно (а, следовательно, действенно), существующее уголовное законодательство.

В итоге представляется необходимым дальнейшее усовершенствование правовой базы, особое место в системе которой занимает уголовное право, и практики ее применения. При этом в первую очередь необходимо достижение единства норм различных отраслей права, максимальное уменьшение их несбалансированности .

Обеспечение информационной безопасности не сводится лишь к принятию правовых мер, а включает в себя широкий спектр организационного, технического и иного характера (создание и совершенствование системы обеспечения информационной безопасности; разработка, использование и совершенствование средств защиты информации и методов контроля эффективности этих средств, развитие защищенных телекоммуникационных систем, повышение надежности специального программного обеспечения; сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандартизация способов и средств защиты). Поэтому, выполнение всего комплекса мероприятий возможно при наличии развитой законодательной базы и обеспечения их финансирования.

Литература:

1. Доктрина информационной безопасности Российской Федерации // Андреев Б.В., Пак П.Н., Хорст В.П. Расследование преступлений в сфере компьютерной информации. – М: Издательство «Юрлитинформ», 2001. – С.89.
2. Даль В. Толковый словарь живого великорусского языка. Т.1. – М., 1978. – С.67.
3. Ожегов С.И. Словарь русского языка. – М., 1986. – С.38.
4. Закон України “Про інформацію» від 02.10.1992 року // Відомості Верховної Ради – 1992. - N 48. - Ст. 650.
5. Гражданское право. Учебник. Под ред. Сергеева А.П., Толстого Ю.К. – М.: Проспект, 1997. – С.214-215.
6. Орлов П.І. Інформація та інформатизація: Нормативно-правове забезпечення: Науково-практичний посібник. – Харків: Видавництво Університету внутрішніх справ, 2000. – С.9.
7. Российская криминологическая энциклопедия. Под общей редакцией А.И. Долговой. – М.: Издательство НОРМА (Издательская группа НОРМА – ИНФРА-М), 2000. – С.67.
8. Методы и средства защиты информации: Методические указания. – К: КМУГА, 1997. – С.17.
9. Кисельов М. Про створення єдиної інформаційної системи органів юстиції України // Право України. – 1997. - №3. – С.53.
10. Матвеева А.А. Информационная безопасность и проблемы совершенствования уголовного законодательства // Уголовное право в ХХІ веке: Материалы Международной научной конференции на юридическом факультете МГУ им. М.В. Ломоносова 31 мая – 1 июня 2001 г. – М.: «ЛексЭст», 2002. – С.181-186.

Нынешнее состояние информационной безопасности России - это состояние нового, только оформляющегося с учетом веления времени государственно-общественного института. Многое на пути его становления уже сделано, но еще больше здесь проблем, требующих самого оперативного решения. За последние годы в РФ реализован ряд мер по совершенствованию информационной безопасности. Назовем самые важные из них.

Во-первых, начато формирование базы правового обеспечения информационной безопасности. Принят ряд законов, регламентирующих общественные отношения в этой сфере, развернута работа по созданию механизмов их реализации. Этапным результатом и нормативно-правовой основой дальнейшего решения проблем в этой сфере стало утверждение Президентом РФ в сентябре 2001 г. Доктрины информационной безопасности Российской Федерации (далее - Доктрина). Она представляет собой совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности России. В Доктрине рассматриваются:

объекты, угрозы и источники угроз информационной безопасности;

возможные последствия угроз информационной безопасности;

методы и средства предотвращения и нейтрализации угроз информационной безопасности;

особенности обеспечения информационной безопасности в различных сферах жизнедеятельности общества и государства;

основные положения государственной политики по обеспечению информационной безопасности в РФ.

На основе Доктрины осуществляются:

формирование государственной политики в области обеспечения информационной безопасности;

подготовка предложений по совершенствованию правового, методического, научно- технического и организационного обеспечения информационной безопасности;

разработка целевых программ обеспечения информационной безопасности.

Во-вторых, к настоящему времени проведены первоочередные мероприятия по обеспечению информационной безопасности в федеральных органах государственной власти, органах власти субъектов РФ, на предприятиях, в учреждениях и организациях независимо от форм собственности. Развернута работа по созданию защищенной информационно-телекоммуникационной системы специального назначения в интересах органов государственной власти.

В-третьих, обеспечению информационной безопасности способствуют созданные:

государственная система защиты информации;

система лицензирования деятельности в области защиты государственной тайны;

система сертификации средств защиты информации.

Вместе с тем анализ состояния информационной безопасности показывает, что ее уровень не в полной мере соответствует требованиям времени. Все еще существует ряд проблем, серьезно препятствующих полноценному обеспечению информационной безопасности человека, общества и государства. Доктрина называет следующие основные проблемы данной сферы. 1.

Современные условия политического и социально-экономического развития страны все еще сохраняют острые противоречия между потребностями общества в расширении свободного обмена информацией и необходимостью действия отдельных регламентированных ограничений на ее распространение. 2.

Противоречивость и неразвитость правового регулирования общественных отношений в информационной сфере существенно затрудняет поддержание необходимого баланса интересов личности, общества и государства в этой области. Несовершенное нормативное правовое регулирование не позволяет завершить формирование на территории РФ конкурентоспособных российских информационных агентств и средств массовой информации. 3.

Необеспеченность прав граждан на доступ к информации, манипулирование информацией вызывают негативную реакцию населения, что в ряде случаев ведет к дестабилизации социально-политической обстановки в обществе. 4.

Закрепленные в Конституции РФ права граждан на неприкосновенность частной жизни, личную и семейную тайну, тайну переписки практически не имеют достаточного правового, организационного и технического обеспечения. Неудовлетворительно организована защита собираемых федеральными органами государственной власти, органами власти субъектов РФ, органами местного самоуправления данных о физических лицах (персональных данных). 5.

Нет четкости при проведении государственной политики в области формирования российского информационного пространства, а также организации международного информационного обмена и интеграции информационного пространства России в мировое информационное пространство, что создает условия для вытеснения российских информационных агентств, средств массовой информации с внутреннего информационного рынка, ведет к деформации структуры международного обмена. 6.

Недостаточна государственная поддержка деятельности российских информационных агентств по продвижению их продукции на зарубежный информационный рынок. 7.

Не улучшается ситуация с обеспечением сохранности сведений, составляющих государственную тайну. 8.

Серьезный урон нанесен кадровому потенциалу научных и производственных коллективов, действующих в области создания средств информатизации, телекоммуникации и связи, в результате массового ухода из этих коллективов наиболее квалифицированных специалистов. 9.

Отставание отечественных информационных технологий вынуждает федеральные органы государственной власти, органы власти субъектов РФ и органы местного самоуправления при создании информационных систем идти по пути закупок импортной техники и привлечения иностранных фирм. Из-за этого повышается вероятность несанкционированного доступа к обрабатываемой информации и возрастает зависимость России от иностранных производителей компьютерной и телекоммуникационной техники, а также программного обеспечения.

10. В связи с интенсивным внедрением зарубежных информационных технологий в сферы деятельности личности, общества и государства, а также с широким применением открытых информационно-телекоммуникационных систем, интеграцией отечественных и международных информационных систем возросли угрозы применения информационного оружия против соответствующей инфраструктуры России. Работы по адекватному противодействию этим угрозам ведутся в условиях недостаточной координации и слабого бюджетного финансирования. Не уделяется необходимое внимание развитию средств космической разведки и радиоэлектронной борьбы.

Обеспечение информационной безопасности требует решения целого комплекса задач. Доктрина перечисляет наиболее важные из них:

разработка основных направлений государственной политики в области обеспечения информационной безопасности, а также мероприятий и механизмов, связанных с реализацией этой политики;

развитие и совершенствование системы обеспечения информационной безопасности, реализующей единую государственную политику в этой области, включая совершенствование форм, методов и средств выявления, оценки и прогнозирования угроз информационной безопасности, а также системы противодействия этим угрозам;

разработка федеральных целевых программ обеспечения информационной безопасности;

разработка критериев и методов оценки эффективности систем и средств обеспечения информационной безопасности, а также их сертификации;

совершенствование нормативно-правовой базы обеспечения информационной безопасности;

установление ответственности должностных лиц федеральных органов власти и местного самоуправления, юридических лиц и граждан за соблюдение требований информационной безопасности;

координация деятельности органов государственной власти, предприятий, учреждений и организаций независимо от форм собственности в области обеспечения информационной безопасности;

развитие научно-практических основ обеспечения информационной безопасности с учетом современной геополитической ситуации, условий политического и социально-экономического развития России и реальности угроз применения информационного оружия;

создание механизмов формирования и реализации государственной информационной политики России;

повышение эффективности участия государства в формировании информационной политики государственных телерадиовещательных организаций, других государственных средств массовой информации;

обеспечение технологической независимости Российской Федерации в важнейших областях информатизации, телекоммуникации и связи, определяющих ее безопасность, в первую очередь в области создания специализированной вычислительной техники для образцов вооружения и военной техники;

разработка современных методов и средств защиты информации, обеспечения безопасности информационных технологий, прежде всего в системах управления войсками и оружием, экологически опасными и экономически важными производствами;

развитие и совершенствование систем защиты информации и государственной тайны; создание защищенной технологической основы управления государством в мирное время, в чрезвычайных ситуациях и в военное время;

расширение взаимодействия с международными и зарубежными органами и организациями для обеспечения безопасности информации, передаваемой с помощью международных телекоммуникационных систем и систем связи;

обеспечение условий для активного развития российской информационной инфраструктуры, участия России в процессах создания и использования глобальных информационных сетей и систем;

создание системы подготовки кадров в области информационной безопасности и информационных технологий.

Важнейшая задача в деле обеспечения информационной безопасности России - осуществление комплексного учета интересов личности, общества и государства в данной сфере.

Доктрина эти интересы определяет следующим образом:

интересы личности в информационной сфере заключаются в реализации конституционных прав человека и гражданина на доступ к информации, на использование информации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального развития, а также в защите информации, обеспечивающей личную безопасность;

интересы общества в информационной сфере заключаются в обеспечении интересов общества в этой сфере, упрочении демократии, создании правового социального государства, достижении и поддержании общественного согласия, в духовном обновлении России;

интересы государства в информационной сфере заключаются в создании условий для гармоничного развития российской информационной инфраструктуры, реализации конституционных прав и свобод человека (гражданина) в области получения информации. Одновременно требуется использование этой сферы только в целях обеспечения незыблемости конституционного строя, суверенитета и территориальной целостности России, политической, экономической и социальной стабильности, в безусловном обеспечении законности и правопорядка, развитии равноправного и взаимовыгодного международного сотрудничества.

Соблюдение принципа баланса интересов граждан, общества и государства в информационной сфере предполагает законодательное закрепление приоритета этих интересов в различных областях жизнедеятельности общества, а также использование различных форм общественного контроля над деятельностью федеральных органов государственной власти и органов государственной власти субъектов РФ. Реализация гарантий конституционных прав и свобод человека и гражданина, касающихся деятельности в информационной сфере, является важнейшей задачей государства в области информационной безопасности.

Общие методы решения ключевых задач в деле обеспечения информационной безопасности Доктрина объединяет в три группы: правовые;

организационно-технические; экономические.

К правовым методам относится разработка нормативных правовых актов, регламентирующих отношения в информационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности РФ (они подробно рассматриваются в гл. 4 настоящего пособия).

Организационно-техническими методами обеспечения информационной безопасности являются:

создание и совершенствование систем обеспечения информационной безопасности; усиление правоприменительной деятельности органов власти, включая предупреждение и пресечение правонарушений в информационной сфере;

совершенствование средств защиты информации и методов контроля эффективности этих средств, развитие защищенных телекоммуникационных систем, повышение надежности программного обеспечения;

создание систем и средств предотвращения несанкционированного доступа к информации и воздействий, вызывающих разрушение, уничтожение, искажение информации, изменение штатных режимов функционирования систем и средств информатизации и связи;

выявление технических устройств и программ, представляющих опасность для функционирования информационно-телекоммуникационных систем, предотвращение перехвата информации по техническим каналам, применение криптографических средств защиты информации, контроль за выполнением специальных требований по защите информации;

сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандартизация способов и средств защиты информации;

совершенствование системы сертификации телекоммуникационного оборудования и программного обеспечения автоматизированных систем обработки информации по требованиям информационной безопасности;

контроль за действиями персонала в информационных системах, подготовка кадров в области обеспечения информационной безопасности;

формирование системы мониторинга показателей и характеристик информационной безопасности в наиболее важных сферах жизни и деятельности общества и государства.

Экономические методы обеспечения информационной безопасности включают в себя: разработку программ обеспечения информационной безопасности и определение порядка их финансирования;

совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов защиты информации, создание системы страхования информационных рисков физических и юридических лиц.

Согласно Доктрине, государство в процессе реализации своих функций по обеспечению информационной безопасности:

проводит объективный и всесторонний анализ и прогнозирование угроз информационной безопасности, разрабатывает меры по ее обеспечению;

организует работу органов власти по реализации комплекса мер, направленных на предотвращение, отражение и нейтрализацию угроз информационной безопасности;

поддерживает деятельность общественных объединений, направленную на объективное информирование населения о социально значимых явлениях общественной жизни, защиту общества от искаженной и недостоверной информации;

осуществляет контроль за разработкой, созданием, развитием, использованием, экспортом и импортом средств защиты информации посредством их сертификации и лицензирования деятельности в области защиты информации;

проводит необходимую протекционистскую политику в отношении производителей средств информатизации и защиты информации на территории РФ и принимает меры по защите внутреннего рынка от проникновения на него некачественных средств информатизации и информационных продуктов;

способствует предоставлению физическим и юридическим лицам доступа к мировым информационным ресурсам, глобальным информационным сетям;

Описание проблемы

Сайту, порталу и виртуальному центру данных нужна надежная система безопасности. По мере того как компания двигается в направлении распределенной обработки данных и упрощения доступа к информации, угрозы безопасности приобретают все более масштабный характер. Сочетание этих факторов способствует усилению риска. Необходима система комплексного управления безопасностью (КУБ). Нужно решить, какая роль будет отводиться управляемым службам безопасности и как совладать с нарастающим потоком данных, поступающих от средств защиты. Прибавьте сюда постоянные обновления программного обеспечения и проблемы, связанные с беспроводными системами.

Лишь три процента веб-приложений достаточно надежны, чтобы противостоять хакерам, 97% веб-сайтов имеют "серьезные дефекты в защите", в результате чего данные и системы могут быть взломаны с целью злонамеренного использования. Из 97% обнаруженных серьезных "дыр" почти 40% приложений позволяли взломщикам получать полный контроль и доступ к информации. Около 23% дефектов могли привести к нарушениям конфиденциальности, а 21% обнаруженных ошибок давали возможность "похищать" товары из электронных магазинов. 5% дефектов позволяли взломщикам изменять информацию, а еще 5% - перехватывать транзакции. 2% ошибок в программном обеспечении настолько серьезны, что злоумышленники могут преспокойно удалить веб-сайты.

В развитых странах предприятия расходуют на обеспечение информационной безопасности от 5 до 7% бюджета, отведенного на информационные технологии. В России же компании тратят на эти цели куда меньше - лишь 1-2%

В России приблизительно 48% компаний используют антивирусное программное обеспечение. Вторыми по популярности (около 29%) являются межсетевые экраны и средства построения виртуальных частных сетей (VPN). Примерно одинаковое количество финансовых средств тратится на решения для обнаружения атак (10%) и продукты для идентификации, авторизации и администрирования (11%). В Европе же наибольшее внимание уделяется как раз средствам идентификации, авторизации и администрирования. Рекомендуется защищаться не от угроз «вообще», а от риска простоя информационной системы.

Совершенствуется не только защита, но и нападение. Атаки вирусов становятся комплексными - они распространяются несколькими путями и вред наносят разнообразный: крадут почтовые адреса, блокируют работу некоторых программ, оставляют лазейки для последующих нападений.

В 80% случаев сбои в работе ИТ-систем происходят на программном уровне, то есть из-за программных ошибок, проникновения в систему вирусов, повреждения данных, случайного их удаления и т. д. В 12% случаев простои происходят из-за отказа аппаратных компонентов системы. Причиной еще 8% сбоев являются различные природные катаклизмы, террористические акты, проблемы с электропитанием.

Угрозу для жизнеспособности бизнеса, даже большую, чем терроризм, представляют ошибки или злонамеренные действия сотрудников. Ситуация усугубляется зачастую излишне легкомысленным отношением предприятий к планам по аварийному восстановлению данных. Так, 17% ИТ-менеджеров вообще не имеют плана аварийного восстановления , 57% пересматривают такой план раз в год и реже, 6% - никогда их не пересматривают, а 25% - никогда не тестировали подобные планы.

С простоями вычислительной техники сталкивались 84% всех предприятий. В 26% из них сбои случаются один раз в квартал и чаще. В 14% предприятий продолжительность простоя системы составила от 24 до 48 часов; в 16% - наблюдались потери важных данных.

Влияние нарушений безопасности на деятельность ИТ служб представлено вТабл. 1

Таблица 1

Влияние нарушений безопасности на деятельность ИТ служб

Необходимость обеспечения безопасности данных связана со следующими причинами:

• Непосредственными расходами на восстановление и простой. Эти расходы наиболее существенны и могут быть очень значительными. Сюда же следует отнести расходы на уменьшение работоспособности (например, система устояла, но канал связи оказался забит запросами атакующего) и расходы на отвлечение персонала от их основной работы (крупные сбои могут привлечь на борьбу и восстановление большую часть персонала компании).
• Снижением доверия клиентов . Крупные сбои не удастся скрыть от общественности, а это создает опасность, что клиенты перейдут к конкуренту, а значит потерю прибыли.
• Опасностью судебного преследования . Потеря денег клиентов или разглашение частной информации, может привести к судебному разбирательству, а значит потерям на судебные издержки, а возможно и крупные компенсации.
• Собственно потерей и/или разглашением секретных данных . Не поддается оценке, ущерб просто может быть огромен, вплоть до банкротства фирмы.

Инвестиции организаций в обеспечение информационной безопасности в виде приобретаемых средств защиты, затрат на оплату труда специалистов, на проведение внешнего аудита безопасности и т. п., неуклонно увеличиваясь из года в год, зачастую не окупаются. Происходит это главным образом потому, что большинство организаций продолжают придерживаться фрагментарного подхода, который оправдывает себя только при слабой зависимости организации от ИТ и низком уровне рисков информационной безопасности. Адекватный уровень информационной безопасности в состоянии обеспечить только комплексный подход, предполагающий планомерное использование как программно-технических, так и организационных мер защиты на единой концептуальной основе. При этом организационные меры играют первостепенную роль. Эффективность самых сложных и дорогостоящих механизмов защиты сводится к нулю, если пользователи игнорируют элементарные правила парольной политики, а сетевые администраторы нарушают установленные процедуры предоставления доступа к ресурсам корпоративной сети.

Возможные нарушения безопасности – реальные угрозы

Перехват . Хакерам легче всего заполучить имена сообществ с правами чтения: одной программы-анализатора (наподобие Ethereal) достаточно для чтения запросов от менеджеров управления сетью. Системы, где для защиты доступа не применяются списки контроля доступа, легко становятся жертвами хакеров. Но и защита с помощью списков доступа часто бывает мало эффективной из-за ошибок реализации. Нечистые на руку сотрудники могут обходить списки.

Подбор имени сообщества/метод «грубой силы». Значительный фактор риска представляют собой не удаленные имена сообществ по умолчанию. В Internet можно найти довольно полные списки, на основании которых легко подобрать имена по умолчанию к системам практически любого производителя. Часто администраторы оставляют эти имена после инсталляции, что существенно облегчает хакеру захват систем. Системы сканирования защиты предлагают легко реализуемую атаку на системы SNMP, в рамках которой в процессе подбора имени сообщества, наряду со списками слов, перебираются все доступные последовательности знаков. Если у хакера есть время (несколько недель), то он может провести такую атаку методом «грубой силы» и без заметного увеличения нагрузки на сеть. Однако подобные действия должны распознаваться всякой хорошо сконфигурированной системой обнаружения несанкционированного доступа.

Перехват через систему удаленного мониторинга. Удаленный мониторинг разрабатывается с целью дистанционного анализа сети и нахождения неисправностей и, при условии разумного использования, значительно облегчает обслуживание компьютерной сети. При этом предоставляется справка о компьютерах в сети (hosts), отправителях и получателях наибольшего объема данных (hostTopN, как правило, серверы) и т. п. Нередко «перевербованные» коммутаторы или маршрутизаторы в течение нескольких месяцев используются в качестве исходной базы для хакеров. Так ли уж часто администратор проверяет конфигурацию коммутатора, если он функционирует без сбоев?

Другие атаки. В инструментах управления того или иного производителя можно всегда найти слабые места из-за ошибок реализации. При этом возникает целый ряд проблем безопасности, из-за которых становится возможным доступ к конфигурационным данным, содержащим имена пользователей, пароли и имена сообществ. Излюбленный прием взломщика - переконфигурация маршрутизаторов. Он может контролировать обмен данными с целью их изменения или только считывания и создавать таким образом условия для технически сложных атак с промежуточным звеном (Man in the Middle), при которых он указывает свой маршрутизатор в качестве еще одного пункта следования пакетов на пути между сервером и жертвой.

Коммутаторы позволяют осуществлять анализ через зеркальные порты. В таком случае хакеру удается получить доступ практически ко всем передаваемым коммутатором данным. Единственное условие - достаточная пропускная способность зеркального порта.

Следует также упомянуть имеющиеся почти в любом программном обеспечении уязвимости вследствие переполнения буфера. Хакеры используют ошибки программирования путем ввода сверхдлинных последовательностей знаков, которые приводят либо к сбою соответствующего процесса/системы, либо к исполнению недопустимых шагов программы на атакованной системе. Особенно много найдется таких уязвимых мест у сконфигурированных через сервер Web маршрутизаторов.

Источники «информационных катастроф» являются: неверная, неполная, бесполезная информация, информационная перегрузка.

Технологии развиваются, и инструментарий, который может использоваться для атак на системы, по своим возможностям всегда будет опережать продукты, предназначенные для их защиты. И помните: только хорошо обученные, квалифицированные пользователи, осознающие важность этой проблемы, смогут поддерживать целостность и защиту информации и ресурсов перед лицом постоянно растущей угрозы.

Анализ уязвимости бывает двух видов: пассивный и активный . При пассивном подходе производится сканирование системы, делая предположение о возможности проведения вторжения. А активный подход предполагает попытки проведения контратаки.

нарушений безопасности

При разработке любой стратегии защиты, прежде всего, необходимо точно определить, что именно надо защищать. Начните с выяснения реальных ограничений систем, безопасность которых вы намерены обеспечить. ИТ-системы представляют собой комплексы физических компонентов, программного обеспечения, данных, служб связи и бизнес-процессов. Важно отметить, что система вовсе не обязательно состоит из компьютеров, связанных друг с другом или с чем-то еще. Например, у каждого из разъездных агентов есть свой мобильный компьютер, все эти компьютеры служат для выполнения одной и той же работы и контролируются уполномоченным на это специалистом. Все мобильные компьютеры тоже следует защищать.

После того, как вы выяснили, что представляет собой система, которую вам предстоит защитить, вы можете лучше понять, кто и что ей угрожает. Теперь нужно определить, насколько важен каждый из компонентов для решения того круга задач, которые стоят перед данным подразделением. Информация, хранящаяся в системе, физическая инфраструктура, программное обеспечение и специалисты, работающие с данной системой, должны оцениваться с точки зрения трех основных типов потенциальных угроз - тех, что приводят к снижению готовности, надежности и к раскрытию секретной или конфиденциальной информации.

Информационная безопасность человека и общества: учебное пособие Петров Сергей Викторович

2.1. Основные проблемы информационной безопасности и пути их решения

Нынешнее состояние информационной безопасности России – это состояние нового, только оформляющегося с учетом веления времени государственно-общественного института. Многое на пути его становления уже сделано, но еще больше здесь проблем, требующих самого оперативного решения. За последние годы в РФ реализован ряд мер по совершенствованию информационной безопасности. Назовем самые важные из них.

Во-первых, начато формирование базы правового обеспечения информационной безопасности. Принят ряд законов, регламентирующих общественные отношения в этой сфере, развернута работа по созданию механизмов их реализации. Этапным результатом и нормативно-правовой основой дальнейшего решения проблем в этой сфере стало утверждение Президентом РФ в сентябре 2001 г. Доктрины информационной безопасности Российской Федерации (далее – Доктрина). Она представляет собой совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности России. В Доктрине рассматриваются:

объекты, угрозы и источники угроз информационной безопасности;

возможные последствия угроз информационной безопасности;

методы и средства предотвращения и нейтрализации угроз информационной безопасности;

особенности обеспечения информационной безопасности в различных сферах жизнедеятельности общества и государства;

основные положения государственной политики по обеспечению информационной безопасности в РФ.

На основе Доктрины осуществляются:

формирование государственной политики в области обеспечения информационной безопасности;

подготовка предложений по совершенствованию правового, методического, научно-технического и организационного обеспечения информационной безопасности;

разработка целевых программ обеспечения информационной безопасности.

Во-вторых, к настоящему времени проведены первоочередные мероприятия по обеспечению информационной безопасности в федеральных органах государственной власти, органах власти субъектов РФ, на предприятиях, в учреждениях и организациях независимо от форм собственности. Развернута работа по созданию защищенной информационно-телекоммуникационной системы специального назначения в интересах органов государственной власти.

В-третьих, обеспечению информационной безопасности способствуют созданные:

государственная система защиты информации;

система лицензирования деятельности в области защиты государственной тайны;

система сертификации средств защиты информации.

Вместе с тем анализ состояния информационной безопасности показывает, что ее уровень не в полной мере соответствует требованиям времени. Все еще существует ряд проблем, серьезно препятствующих полноценному обеспечению информационной безопасности человека, общества и государства. Доктрина называет следующие основные проблемы данной сферы.

1. Современные условия политического и социально-экономического развития страны все еще сохраняют острые противоречия между потребностями общества в расширении свободного обмена информацией и необходимостью действия отдельных регламентированных ограничений на ее распространение.

2. Противоречивость и неразвитость правового регулирования общественных отношений в информационной сфере существенно затрудняет поддержание необходимого баланса интересов личности, общества и государства в этой области. Несовершенное нормативное правовое регулирование не позволяет завершить формирование на территории РФ конкурентоспособных российских информационных агентств и средств массовой информации.

3. Необеспеченность прав граждан на доступ к информации, манипулирование информацией вызывают негативную реакцию населения, что в ряде случаев ведет к дестабилизации социально-политической обстановки в обществе.

4. Закрепленные в Конституции РФ права граждан на неприкосновенность частной жизни, личную и семейную тайну, тайну переписки практически не имеют достаточного правового, организационного и технического обеспечения. Неудовлетворительно организована защита собираемых федеральными органами государственной власти, органами власти субъектов РФ, органами местного самоуправления данных о физических лицах (персональных данных).

5. Нет четкости при проведении государственной политики в области формирования российского информационного пространства, а также организации международного информационного обмена и интеграции информационного пространства России в мировое информационное пространство, что создает условия для вытеснения российских информационных агентств, средств массовой информации с внутреннего информационного рынка, ведет к деформации структуры международного обмена.

6. Недостаточна государственная поддержка деятельности российских информационных агентств по продвижению их продукции на зарубежный информационный рынок.

7. Не улучшается ситуация с обеспечением сохранности сведений, составляющих государственную тайну.

8. Серьезный урон нанесен кадровому потенциалу научных и производственных коллективов, действующих в области создания средств информатизации, телекоммуникации и связи, в результате массового ухода из этих коллективов наиболее квалифицированных специалистов.

9. Отставание отечественных информационных технологий вынуждает федеральные органы государственной власти, органы власти субъектов РФ и органы местного самоуправления при создании информационных систем идти по пути закупок импортной техники и привлечения иностранных фирм. Из-за этого повышается вероятность несанкционированного доступа к обрабатываемой информации и возрастает зависимость России от иностранных производителей компьютерной и телекоммуникационной техники, а также программного обеспечения.

10. В связи с интенсивным внедрением зарубежных информационных технологий в сферы деятельности личности, общества и государства, а также с широким применением открытых информационно-телекоммуникационных систем, интеграцией отечественных и международных информационных систем возросли угрозы применения информационного оружия против соответствующей инфраструктуры России. Работы по адекватному противодействию этим угрозам ведутся в условиях недостаточной координации и слабого бюджетного финансирования. Не уделяется необходимое внимание развитию средств космической разведки и радиоэлектронной борьбы.

Обеспечение информационной безопасности требует решения целого комплекса задач. Доктрина перечисляет наиболее важные из них:

разработка основных направлений государственной политики в области обеспечения информационной безопасности, а также мероприятий и механизмов, связанных с реализацией этой политики;

развитие и совершенствование системы обеспечения информационной безопасности, реализующей единую государственную политику в этой области, включая совершенствование форм, методов и средств выявления, оценки и прогнозирования угроз информационной безопасности, а также системы противодействия этим угрозам;

разработка федеральных целевых программ обеспечения информационной безопасности;

разработка критериев и методов оценки эффективности систем и средств обеспечения информационной безопасности, а также их сертификации;

совершенствование нормативно-правовой базы обеспечения информационной безопасности;

установление ответственности должностных лиц федеральных органов власти и местного самоуправления, юридических лиц и граждан за соблюдение требований информационной безопасности;

координация деятельности органов государственной власти, предприятий, учреждений и организаций независимо от форм собственности в области обеспечения информационной безопасности;

развитие научно-практических основ обеспечения информационной безопасности с учетом современной геополитической ситуации, условий политического и социально-экономического развития России и реальности угроз применения информационного оружия;

создание механизмов формирования и реализации государственной информационной политики России;

повышение эффективности участия государства в формировании информационной политики государственных телерадиовещательных организаций, других государственных средств массовой информации;

обеспечение технологической независимости Российской Федерации в важнейших областях информатизации, телекоммуникации и связи, определяющих ее безопасность, в первую очередь в области создания специализированной вычислительной техники для образцов вооружения и военной техники;

разработка современных методов и средств защиты информации, обеспечения безопасности информационных технологий, прежде всего в системах управления войсками и оружием, экологически опасными и экономически важными производствами;

развитие и совершенствование систем защиты информации и государственной тайны;

создание защищенной технологической основы управления государством в мирное время, в чрезвычайных ситуациях и в военное время;

расширение взаимодействия с международными и зарубежными органами и организациями для обеспечения безопасности информации, передаваемой с помощью международных телекоммуникационных систем и систем связи;

обеспечение условий для активного развития российской информационной инфраструктуры, участия России в процессах создания и использования глобальных информационных сетей и систем;

создание системы подготовки кадров в области информационной безопасности и информационных технологий.

Важнейшая задача в деле обеспечения информационной безопасности России – осуществление комплексного учета интересов личности, общества и государства в данной сфере. Доктрина эти интересы определяет следующим образом:

интересы личности в информационной сфере заключаются в реализации конституционных прав человека и гражданина на доступ к информации, на использование информации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального развития, а также в защите информации, обеспечивающей личную безопасность;

интересы общества в информационной сфере заключаются в обеспечении интересов общества в этой сфере, упрочении демократии, создании правового социального государства, достижении и поддержании общественного согласия, в духовном обновлении России;

интересы государства в информационной сфере заключаются в создании условий для гармоничного развития российской информационной инфраструктуры, реализации конституционных прав и свобод человека (гражданина) в области получения информации. Одновременно требуется использование этой сферы только в целях обеспечения незыблемости конституционного строя, суверенитета и территориальной целостности России, политической, экономической и социальной стабильности, в безусловном обеспечении законности и правопорядка, развитии равноправного и взаимовыгодного международного сотрудничества.

Соблюдение принципа баланса интересов граждан, общества и государства в информационной сфере предполагает законодательное закрепление приоритета этих интересов в различных областях жизнедеятельности общества, а также использование различных форм общественного контроля над деятельностью федеральных органов государственной власти и органов государственной власти субъектов РФ. Реализация гарантий конституционных прав и свобод человека и гражданина, касающихся деятельности в информационной сфере, является важнейшей задачей государства в области информационной безопасности.

Общие методы решения ключевых задач в деле обеспечения информационной безопасности Доктрина объединяет в три группы:

правовые;

организационно-технические; экономические.

К правовым методам относится разработка нормативных правовых актов, регламентирующих отношения в информационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности РФ (они подробно рассматриваются в гл. 4 настоящего пособия).

Организационно-техническими методами обеспечения информационной безопасности являются:

создание и совершенствование систем обеспечения информационной безопасности;

усиление правоприменительной деятельности органов власти, включая предупреждение и пресечение правонарушений в информационной сфере;

совершенствование средств защиты информации и методов контроля эффективности этих средств, развитие защищенных телекоммуникационных систем, повышение надежности программного обеспечения;

создание систем и средств предотвращения несанкционированного доступа к информации и воздействий, вызывающих разрушение, уничтожение, искажение информации, изменение штатных режимов функционирования систем и средств информатизации и связи;

выявление технических устройств и программ, представляющих опасность для функционирования информационно-телекоммуникационных систем, предотвращение перехвата информации по техническим каналам, применение криптографических средств защиты информации, контроль за выполнением специальных требований по защите информации;

сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандартизация способов и средств защиты информации;

совершенствование системы сертификации телекоммуникационного оборудования и программного обеспечения автоматизированных систем обработки информации по требованиям информационной безопасности;

контроль за действиями персонала в информационных системах, подготовка кадров в области обеспечения информационной безопасности;

формирование системы мониторинга показателей и характеристик информационной безопасности в наиболее важных сферах жизни и деятельности общества и государства.

Экономические методы обеспечения информационной безопасности включают в себя:

разработку программ обеспечения информационной безопасности и определение порядка их финансирования;

совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов защиты информации, создание системы страхования информационных рисков физических и юридических лиц.

Согласно Доктрине, государство в процессе реализации своих функций по обеспечению информационной безопасности:

проводит объективный и всесторонний анализ и прогнозирование угроз информационной безопасности, разрабатывает меры по ее обеспечению;

организует работу органов власти по реализации комплекса мер, направленных на предотвращение, отражение и нейтрализацию угроз информационной безопасности;

поддерживает деятельность общественных объединений, направленную на объективное информирование населения о социально значимых явлениях общественной жизни, защиту общества от искаженной и недостоверной информации;

осуществляет контроль за разработкой, созданием, развитием, использованием, экспортом и импортом средств защиты информации посредством их сертификации и лицензирования деятельности в области защиты информации;

проводит необходимую протекционистскую политику в отношении производителей средств информатизации и защиты информации на территории РФ и принимает меры по защите внутреннего рынка от проникновения на него некачественных средств информатизации и информационных продуктов;

способствует предоставлению физическим и юридическим лицам доступа к мировым информационным ресурсам, глобальным информационным сетям;

формулирует и реализует государственную информационную политику России;

организует разработку федеральной программы обеспечения информационной безопасности, объединяющей усилия государственных и негосударственных организаций в данной области;

способствует интернационализации глобальных информационных сетей и систем, а также вхождению России в мировое информационное сообщество на условиях равноправного партнерства.

При решении основных задач и выполнении первоочередных мероприятий государственной политики по обеспечению информационной безопасности в настоящее время доминирует стремление решать главным образом нормативно-правовые и технические проблемы. Чаще всего речь идет о «разработке и внедрении правовых норм», «повышении правовой культуры и компьютерной грамотности граждан», «создании безопасных информационных технологий», «обеспечении технологической независимости» и т. п.

Соответствующим образом планируется и развитие системы подготовки кадров, используемых в области обеспечения информационной безопасности, то есть преобладает подготовка кадров в области средств связи, обработки информации, технических средств ее защиты. В меньшей степени осуществляется подготовка специалистов в области информационно-аналитической деятельности, социальной информации, информационной безопасности личности. К сожалению, многие государственные институты считают наиболее важной техническую сторону проблемы, упуская из виду социально-психологические ее аспекты.