В случае, когда нарушения информационной безопасности чреваты тяжелыми последствиями, базовый уровень требований к режиму информационной безопасности является недостаточным. При формулировке дополнительных требований необходимо:
–определить ценность ресурсов;
–к стандартному набору добавить список угроз, актуальных для исследуемой информационной системы;
–оценить вероятности угроз;
–определить уровень уязвимости ресурсов.
Политика безопасности строится на основе анализа рисков, которые признаются реальными для информационной системы организации.
Риск характеризует опасность, которой может подвергаться система и использующая ее организация. Риск зависит от показателей ценности ресурсов, вероятности реализации угроз для ресурсов и степени легкости, с которой уязвимости могут быть реализованы при существующих или планируемых средствах обеспечения информационной безопасности.
Существуют различные подходы к оценке рисков. Выбор подхода зависит от уровня требований, предъявляемых в организации к режиму информационной безопасности, характера принимаемых во внимание угроз (спектра воздействия угроз) и эффективности потенциальных контрмер.
На основании оценивания рисков выбираются средства, обеспечивающие режим ИБ. Ресурсы, значимые для нормальной работы организации и имеющие определенную степень уязвимости, считаются подверженными риску, если по отношению к ним существует какаялибо угроза. При оценивании рисков учитываются потенциальные негативные воздействия от нежелательных происшествий и показатели значимости рассматриваемых уязвимостей и угроз для этих ресурсов. На основе таких данных могут быть выбраны необходимые средства управления ИБ.
Вопрос о том, как провести границу между допустимыми и недопустимыми рисками, решается пользователем. Очевидно, что разработка политики безопасности требует учета специфики конкретных организаций.
Цели, задачи, критерии оценки информационной безопасности определяются функциональным назначением организации. Например, для режимных организаций на первое место ставится соблюдение конфиденциальности. Для сервисных информационных служб реального времени важным является обеспечение доступности подсистем. Для информационных хранилищ актуальным может быть обеспечение целостности данных и т. д.
Политика безопасности затрагивает всех субъектов информационных отношений в организации, поэтому на этапе разработки политики безопасности очень важно разграничить их права и обязанности, связанные с их непосредственной деятельностью.
20
На основании политики безопасности строится программа безопасности, которая реализуется на процедурном и программнотехническом уровнях уровне.
К процедурному уровню относятся меры безопасности, реализуемые людьми можно выделить следующие группы процедурных мер: управление персоналом; физическая защита; поддержание работоспособности; реагирование на нарушения режима безопасности; планирование восстановительных работ.
Реагирование на нарушение режима безопасности может быть регламентировано в рамках отдельно взятой организации. В настоящее время, осуществляется только мониторинг компьютерных преступлений в национальном масщтабе и на мировом уровне.
Основой программно-технического уровня являются следующие механизмы безопасности;
–идентификация и аутентификация пользователей;
–управление доступом;
–протоколирование и аудит;
–криптография;
–экранирование;
–обеспечение высокой доступности и т.д.
Программно-технический уровень включает три подуровня: физический, технический (аппаратный) и программный. Физический подуровень решает задачи с ограничением физического доступа к информации и информационным системам, соответственно к нему относятся технические средства, реализуемые в виде автономных устройств и систем, не связанных с обработкой, хранением и передачей информации: система охранной сигнализации, система наблюдения, средства физического воспрепятствования доступу (замки, ограждения, решетки и т. д.).
Средства защиты аппаратного и программного подуровней непосредственно связаны с системой обработки информации. Эти средства либо встроены в аппаратные средства обработки, либо сопряжены с ними по стандартному интерфейсу. К аппаратным средствам относятся схемы контроля информации по четности, схемы доступа по ключу и т. д. К программным средствам защиты, образующим программный подуровень, относятся специальное программное обеспечение, используемое для защиты информации, например антивирусный пакет и т. д. Программы защиты могут быть как отдельные, так и встроенные.
Важное значение имеют специализированные политики безопасности. Потенциально существуют десятки специализированных политик, которые могут применяться большинством организаций среднего и большого размера. Некоторые политики предназначаются для каждой организации, другие – специфичны для определенных компьютерных окружений.
С учетом особенностей применения специализированные политики безопасности можно разделить на две группы:
21
–политики, затрагивающие значительное число пользователей;
–политики, связанные с конкретными техническими областями.
Кспециализированным политикам, затрагивающим значительное число пользователей, относятся:
– политика допустимого использования;
– политика удаленного доступа к ресурсам сети;
– политики защиты информации;
– политика защиты паролей и др.
Кспециализированным политикам, связанным с конкретными техническими областями, относятся:
– политика конфигурации межсетевых экранов;
– политика по шифрованию и управлению криптоключами;
– политика безопасности виртуальных защищенных сетей VPN;
– политика по оборудованию беспроводной сети и др.
Подчеркнем, что формирование режима информационной безопасности является сложной системной задачей, решение которой в разных странах отличается по содержанию и зависит от таких факторов, как научный потенциал страны, степень внедрения средств информатизации в жизнь общества и экономику, развитие производственной базы, общей культуры общества и, наконец, традиций и норм поведения.
Тема 1.7. Нормативно-правовые основы информационной безопасности в РФ
Законодательные меры в сфере информационной безопасности направлены на создание в стране законодательной базы, упорядочивающей и регламентирующей поведение субъектов и объектов информационных отношений, а также определяющей ответственность за нарушение установленных норм.
Законодательная база в сфере информационной безопасности включает пакет Федеральных законов, Указов Президента РФ, постановлений Правительства РФ, межведомственных руководящих документов и стандартов.
Основополагающими документами по информационной безопасности в РФ являются Конституция РФ и Концепция национальной безопасности.
В Конституции РФ гарантируется "тайна переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений" (ст. 23, ч.2), а также "право свободно искать, получать, передавать, производить и распространять информацию любым законным способом" (ст. 29, ч.4). Кроме этого, Конституцией РФ "гарантируется свобода массовой информации" (ст. 29, ч.5), т. е. массовая информация должна быть доступна гражданам.
Концепция национальной безопасности РФ, введенная указом Президента РФ №24 в январе 2000 г., определяет важнейшие задачи обеспечения информационной безопасности Российской Федерации:
22
–реализация конституционных прав и свобод граждан Российской Федерации в сфере информационной деятельности;
–совершенствование и защита отечественной информационной инфраструктуры, интеграция России в мировое информационное пространство;
–противодействие угрозе развязывания противоборства в информационной сфере.
Для обеспечения прав граждан в сфере информационных технологий и решения задач информационной безопасности, сформулированных в Концепции национальной безопасности РФ, разработаны и продолжают разрабатываться и совершенствоваться нормативные документы в сфере информационных технологий.
1. Закон Российской Федерации от 21 июля 1993 года №5485-1 "О государственной тайне" регулирует отношения, возникающие в связи с отнесением сведений к государственной тайне, их рассекречиванием и защитой в интересах обеспечения безопасности Российской Федерации.
ВЗаконе определены следующие основные понятия:
–государственная тайна;
–носители сведений, составляющих государственную тайну;
–система защиты государственной тайны;
–доступ к сведениям, составляющим государственную тайну;
–гриф секретности;– средства защиты информации.
Законом определено, что средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности. Организация сертификации средств защиты информации возлагается на Государственную техническую комиссию при Президенте Российской Федерации, Федеральную службу безопасности Российской Федерации, Министерство обороны Российской Федерации в соответствии с функциями, возложенными на них законодательством Российской Федерации.
2. Закон РФ "Об информации, информатизации и защите информации" от 20 февраля 1995 года №24-ФЗ – является одним из основных базовых законов в области защиты информации, который регламентирует отношения, возникающие при формировании и использовании информационных ресурсов Российской Федерации на основе сбора, накопления, хранения, распространения и предоставления потребителям документированной информации, а также при создании и использовании информационных технологий, при защите информации и прав субъектов, участвующих в информационных процессах и информатизации.
Основными задачами системы защиты информации, нашедшими отражение в данном Законе, являются:
– предотвращение утечки, хищения, утраты, несанкционированного уничтожения, искажения, модификации (подделки), несанкционированного
23
копирования, блокирования информации и т.п., вмешательства в информацию и информационные системы;
–сохранение полноты, достоверности, целостности информации, ее массивов и программ обработки данных, установленных собственником или уполномоченным им лицом;
–сохранение возможности управления процессом обработки, пользования информацией в соответствии с условиями, установленными собственником или владельцем информации;
–обеспечение конституционных прав граждан на сохранение личной тайны и конфиденциальности персональной информации, накапливаемой в банках данных;
–сохранение секретности или конфиденциальности информации в соответствии с правилами, установленными действующим законодательством и другими законодательными или нормативными актами;
–соблюдение прав авторов программно-информационной продукции, используемой в информационных системах.
В соответствии с рассматриваемым Законом:
–информационные ресурсы делятся на государственные и негосударственные (ст. 6, ч. 1);
–государственные информационные ресурсы являются открытыми и общедоступными. Исключение составляет документированная информация, отнесенная законом к категории ограниченного доступа (ст. 10, ч. 1);
–документированная информация с ограниченного доступа по условиям ее правового режима подразделяется на информацию, отнесенную
кгосударственной тайне, и конфиденциальную (ст. 10, ч. 2).
Закон определяет пять категорий государственных информационных ресурсов:
–открытая общедоступная информация во всех областях знаний и деятельности;
–информация с ограниченным доступом;
–информация, отнесенная к государственной тайне;
–конфиденциальная информация;
–персональные данные о гражданах (относятся к категории конфиденциальной информации, но регламентируются отдельным законом).
При разработке и использовании законодательных и других правовых и нормативных документов, а также при организации защиты информации важно правильно ориентироваться во всем блоке действующей законодательной базы в этой области. Немаловажная роль в системе правового регулирования информационных отношений отводится ответственности субъектов за нарушения в сфере информационной безопасности.
Основными документами в этом направлении являются:
–Уголовный кодекс Российской Федерации.
24