Интересы обшества состоят в обеспечении интереса личности в информационной сфере, упрочении демократии, создании правового социального государства, в духовном обновлении России.
Интересы государства заключаются в создании условий для гармоничного развития российской информационной инфраструктуры, для реализации конституционных прав и свобод человека и гражданина в области получения информации и пользования ею в целях обеспечения незыблемости конституционного строя, суверенности и территориальной целостности России, политической, экономической и социальной стабильности, в безусловном обеспечении законности и правопорядка, развития равноправного и взаимовыгодного международного сотрудничества.
Выделяют четыре основные составляющие национальных интересов РФ в информационной сфере.
1.Соблюдение конституционных прав и свобод человека и гражданина
вобласти получения информации и пользования ею, обеспечения духовного обновления России, сохранение и укрепление нравственных ценностей общества, традиций патриотизма и гуманизма, культурного и научного потенциала страны.
2.Информационное обеспечение государственной политики РФ, связанное с доведением до российской и международной общественности достоверной информации о государственной политике РФ, ее официальной позиции по социально значимым событиям российской и международной жизни, с обеспечением доступа граждан к открытым государственным информационным ресурсам.
3.Развитие современных информационных технологий, отечественной индустрии информации, в том числе индустрии средств информатизации, телекоммуникации и связи, обеспечение потребностей внутреннего рынка ее продукцией и выход этой продукции на мировой рынок, а также обеспечение накопления, сохранности и эффективного использования отечественных информационных ресурсов.
4.Защиту информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и телекоммуникационных систем, как уже развернутых, так и создаваемых на территории России.
Доктрина также определяет источники угроз информационной безопасности Российской Федерации и общие методы обеспечения информационной безопасности РФ, которые подразделяются на правовые, организационно-технические и экономические.
Правовые методы предполагают разработку нормативных правовых актов, регламентирующих отношения в информационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности РФ.
15
Организационно-технические методы предполагают создание и совершенствование системы технического, технологического и другого обеспечения информационной безопасности РФ. Также создается система мониторинга показателей и характеристик информационной безопасности РФ в наиболее важных сферах и деятельности общества и государства.
Экономические методы обеспечения включают:
–разработку программ обеспечения информационной безопасности РФ
иопределение порядка их финансирования;
–совершенствование системы финансирование работ, связанных с реализацией правовых и организационно-технических методов защиты информации, создание системы страхования информационных рисков физических и юридических лиц.
Информационная безопасность в широком смысле охватывает все общество и его жизнедеятельность, при этом на информационную безопасность возлагается задача по минимизации всех отрицательных последствий от всеобщей информатизации и содействия развитию всего общества при использовании информации как ресурса его развития.
Основными задачами информационной безопасности в широком смысле являются:
–защита государственной тайны, т.е. секретной и другой конфиденциальной информации, являющейся собственностью государства, от всех видов несанкционированного доступа, манипулирования и уничтожения;
–защита прав граждан на владение, распоряжение и управление принадлежащей им информацией;
–защита информационных прав предпринимателей при осуществлении ими коммерческой деятельности;
–защита конституционных прав граждан на тайну переписки, переговоров, личную тайну.
Информационная безопасность в узком смысле включает совокупность методов и средств защиты информации и ее материальных носителей, направленных на обеспечение целостности, конфиденциальности и доступности информации, что связано с решением следующих задач:
–защита технических и программных средств информатизации от ошибочных действий персонала и техногенных воздействий, а также стихийных бедствий;
–защита технических и программных средств информатизации от преднамеренных воздействий.
Тема 1.6. Уровни формирования информационной безопасности
Обеспечение информационной безопасности – это комплексная проблема, для решения которой требуется сочетание мер законодательного,
16
административного, процедурного и программнотехнического уровней. Соответственно выделяют три уровня формирования режима информационной безопасности:
–законодательно-правовой;
–административный (организационный);
–программно-технический.
Законодательно-правовой уровень включает комплекс законодательных и иных правовых актов, устанавливающих правовой статус субъектов информационных отношений, субъектов и объектов защиты, методы, формы и способы защиты, их правовой статус. Кроме того, к этому уровню относятся стандарты и спецификации в области информационной безопасности. Система законодательных актов и разработанных на их базе нормативных и организационно-распорядительных документов должна обеспечивать организацию эффективного надзора за их исполнением со стороны правоохранительных органов и реализацию мер судебной защиты и ответственности субъектов информационных отношений. К этому уровню можно отнести и морально-этические нормы поведения, которые сложились традиционно или складываются по мере распространения вычислительных средств в обществе. Морально-этические нормы могут быть регламентированными в законодательном порядке, т. е. в виде свода правил и предписаний.
Разработка и принятие правовых вопросов призваны регулировать вопросы использования информационной структуры и телекоммуникаций, доступа к информации, защиты информации от несанкционированного доступа и утечки по техническим каналам, защиты граждан, общества и государства от ложной информации, защиты информации телекоммуникационных сетей от неправомерных действий, обеспечения техногенной безопасности и ее информационных аспектов.
Принято выделять два направления формирования информационного законодательства. К первому относиться меры, направленные на создание и поддержание в обществе негативного (в том числе карательного) отношения к нарушениям и нарушителям информационной безопасности. Среди российских законов сюда можно отнести Закон «Об информации, информатизации и защиты информации», соответствующие главы Уголовного кодекса РФ и т.д.
Ко второму можно отнести принятие нормативных документов, способствующих повышению образованности общества в области информационной безопасности, определяющих в разработку и распространение средств обеспечения информационной безопасности. Многообразие нормативных документов представлено международными, национальными, отраслевыми нормативными документами и соответствующими нормативными документами организаций, предприятий и фирм.
Большую работу в этом направлении проводят Международная организация по стандартизации – ISO, Международная электротехническая
17
комиссия – IEC, Международный союз электросвязи – ITU. Кроме того, значительные усилия предпринимают национальные организации по стандартизации ANSI и NIST – в США, DIN в ФРГ, Госстандарт в России и т.д. Активно участвуют в разработках SWIFT – общество всемирных межбанковских финансовых телекоммуникаций, GISA – германское агентство защиты информации и т.д.
Вопросы сертификации и лицензирования средств обеспечения информационной безопасности в России рассматривает Федеральная служба по техническому и экспортному контролю при Президенте РФ.
При проведении работ по стандартизации и сертификации в области обеспечения информационной безопасности учитывают два аспекта: формальный – определение критериев, которым должны соответствовать защищенные информационные технологии и практический – определение конкретного комплекса мер безопасности применительно к рассматриваемой информационной технологии.
Основными критериями работоспособности концепций и стандартов ИБ в настоящее время считаются следующие:
Исходя из подобных критериев оценки, наиболее работоспособным из созданных уже документов считают «Единые общие критерии оценки безопасности информационных технологий», представляющие собой результат совместной работы Международной организации по стандартизации, Национального института стандартов и технологии США, организаций Великобритании, Канады, Германии, Франции и Нидерландов.
Среди стандартов практических аспектов информационной безопасности можно также отметить британский BS 7799 «Практические правила управления информационной безопасностью», в котором обобщен опыт обеспечения режима информационной безопасности в информационных системах различного профиля, и немецкий BSI, который относиться к этапу анализа рисков.
Административный уровень включает комплекс взаимо-
координируемых мероприятий и технических мер, реализующих практические механизмы защиты в процессе создания и эксплуатации систем защиты информации. Организационный уровень должен охватывать все структурные элементы систем обработки данных на всех этапах их жизненного цикла: строительство помещений, проектирование системы, монтаж и наладка оборудования, испытания и проверки, эксплуатация.
В основе административных мер, предпринимаемых руководством организации, лежит политика безопасности, под которой понимается совокупность документированных управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов.
Политика безопасности определяет стратегию организации в области информационной безопасности, а также ту меру внимания и количество ресурсов, которую руководство считает целесообразным на это выделить.
18
Определение политики ИБ должно сводиться к следующим практическим шагам:
1.Определение используемых руководящих документов и стандартов в области ИБ, а также основных положений политики ИБ, включая:
–управление доступом к средствам вычислительной техники, программам и данным;
–антивирусную защиту;
–вопросы резервного копирования;
–проведение ремонтных и восстановительных работ;
–информирование об инцидентах об области ИБ.
2.Определение подходов к управлению рисками: является ли достаточным базовый уровень защищенности или требуется проводить полный анализ вариантов рисков.
3.Структуризация контрмер защиты по уровням.
4.Порядок сертификации на соответствие стандартам в области ИБ. Для построения системы защиты информации необходимо определить
границы системы, для которой должен быть обеспечен режим информационной безопасности. Соответственно система управления информационной безопасности (система защиты информации) должна строиться в следующих границах:
1.Структура организации. Описание существующей структуры и изменений, которые предполагается внести в связи с разработкой или модернизации автоматизированной системы обработки информации.
2.Размещение средств вычислительной техники и поддерживающей инфраструктуры. Модель иерархии средств вычислительной техники.
3.Ресурсы информационной системы, подлежащие защите. Рекомендуется рассмотреть ресурсы автоматизированной системы следующих классов: средства вычислительной техники, данные, системное и прикладное программное обеспечение.
4.Технология обработки информации, решаемые задачи модели обработки информации в терминах ресурсов.
Врезультате должен быть составлен документ, в котором для фирмы:
– зафиксированы границы и структура системы;
– перечислены ресурсы, подлежащие защите;
– дана система критериев для оценки их ценности.
Минимальным требованиям к режиму информационной безопасности
соответствует базовый уровень. Обычной областью использования этого уровня являются типовые проектные решения. Существует ряд стандартов и спецификаций, в которых рассматривается минимальный (типовой) набор наиболее вероятных угроз, таких как вирусы, сбои оборудования, несанкционированный доступ и т.д. Для нейтрализации этих угроз обязательно должны быть приняты контрмеры вне зависимости от вероятности осуществления угроз и уязвимости ресурсов. Таким образом, характеристики угроз на базовом уровне рассматривать не обязательно.
19