– несанкционированный доступ к информационным ресурсам;
– воздействие излучений, приводящих к разрушению информации.
Приведенная совокупность определений достаточна для формирования общего, пока еще абстрактного взгляда на построение системы информационной безопасности. Для формирования более детального представления необходимо знание основных принципов организации системы информационной безопасности.
Первым и наиболее важным является принцип непрерывного совершенствования системы информационной безопасности. Суть этого принципа заключается в постоянном выявлении слабых мест системы, которые возникают от изменения характера внутренних и внешних угроз.
Вторым является принцип комплексного использования всех доступных средств защиты во всех структурных элементах организации и на всех этапах работы с информацией. Комплексный характер защиты информации проистекает прежде всего из того, что злоумышленники всегда ищут самое слабое звено в системе безопасности.
Важными условиями обеспечения безопасности являются законность, достаточность, соблюдение баланса интересов личности и организации, профессионализм представителей службы безопасности, подготовка пользователей и соблюдение ими всех установленных правил сохранения конфиденциальности, взаимная ответственность персонала и руководства, взаимодействие с государственными правоохранительными органами.
С позиций системного подхода для реализации приведенных принципов процесс да и сама система защиты информации должны отвечать некоторой совокупности требований. Защита информации должна быть[56]:
– плановой;
– централизованной;
– активной;
– конкретной и целенаправленной;
– надежной и универсальной;
– нестандартной (по сравнению с другими организациями), разнообразной по используемым средствам;
– открытой для изменения и дополнения; – экономически эффективной: затраты на систему защиты не должны превышать размеры возможного ущерба.
Наряду с основными требованиями, существует ряд устоявшихся рекомендаций, которые будут не бесполезны создателям систем информационной безопасности:
– средства защиты должны быть просты для технического обслуживания и «прозрачны» для пользователей;
– каждый пользователь должен иметь минимальный набор привилегий, необходимых для работы;
– возможность отключения защиты в особых случаях, например, когда механизмы защиты реально мешают выполнению работ;
– независимость системы защиты от субъектов защиты;
– разработчики должны предполагать, что пользователи имеют наихудшие намерения (враждебность окружения), будут совершать серьезные ошибки и искать пути обхода механизмов защиты;
– отсутствие на предприятии излишней информации о существовании механизмов защиты.
Все перечисленные позиции должны лечь в основу формирования системы защиты информации. При обеспечении информационной безопасности существует два аспекта[57]:
– формальный, связанный с определением критериев, которым должны соответствовать защищаемые информационные технологии;
– практический, характеризующий порядок определения конкретного комплекса мер безопасности применительно к рассматриваемой информационной технологии.
Критерии, которым должны соответствовать защищаемые информационные технологии, являются объектом стандартизации. В настоящее время разработан проект международного стандарта «Общие критерии оценки безопасности информационных технологий». Содержание подобных документов в основном относится к этапу анализа рисков, на котором определяются угрозы безопасности и уязвимости информационных ресурсов, уточняются требования к режиму информационной безопасности.
Изложенные основные концептуальные положения являются основой механизма выработки детальных предложений по формированию политики и построению системы информационной безопасности.
Необходимо отметить, что использование современных информационных технологий в промышленной, торговой, банковской, научной, культурной, образовательной и других сферах общественной жизни детерминировало динамический рост и качественное обновление компьютерной преступности в России, что создает новые угрозы для развития общества и государства. При этом обеспечение своевременности и эффективности предупредительной деятельности в сфере информационно-телекоммуникационных технологий представляет собой определенную проблему для органов внутренних дел, решение которой во многом зависит от комплексного подхода к разрешению организационных, правовых и методических аспектов специального предупреждения данного вида преступлений.
Развитие информационно-телекоммуникационных технологий позволяет совершать киберпреступления в большинстве случаев безнаказанно, поскольку уголовное законодательство слабо адаптировано к новым видам преступлений в сфере информационных технологий, хотя онлайн-торговля и банковские операции, услуги скоростной передачи данных, современные форматы связи, электронное образование, игровые и развлекательные порталы прочно вошли в жизнь общества и государства.
Повышение роли информационно-телекоммуникационных технологий отразилось и на современных тенденциях киберпреступности:
1. Нарастает, усиливается организованность, расширяются сферы криминальных интересов, усложняются применяемые преступные схемы.
2. Киберпреступления нередко совершаются в совокупности с иными общественно опасными деяниями и имеют факультативный характер. Это обусловлено тем, что, используя компьютерную информацию в качестве средства совершения преступления, преступники «превращают» ее в предмет другого общественно опасного деяния (хищение персональных данных с целью последующего вымогательства). Смещение корыстных интересов преступников в киберпространство произошло вследствие того, что данная криминальная деятельность сверхдоходна и относительно безопасна.
3. Наблюдается переход на транснациональный организованный уровень. Информационно-коммуникационные технологии на современном этапе превратились в удобное для многих преступников средство и орудие совершения любого рода преступлений. При этом постоянно расширяющиеся возможности глобальных сетей обусловили повышенный интерес к ним со стороны организованной преступности, в том числе экстремистских и террористических организаций, так как существующие правила эксплуатации киберпространства позволяют обеспечивать анонимность действий в сети и существенно осложняют идентификацию пользовательского оборудования.
По оценкам специалистов, свыше 80 % киберпреступлений совершаются в той или иной организационных формах, включая формирование единого «теневого рынка» киберпреступности, основанного на постоянной разработке вредоносного программного обеспечения, заражения пользовательских компьютеров, управления бот-сетями, сбора данных личного и финансового характера, продажи похищенных данных. В связи с существованием указанного преступного сегмента подсчитать точное количество преступных кибердеяний, а тем более количество пострадавших от них, невозможно[58].
В реальной действительности предупреждение преступлений представляет собой сложную систему, состоящую из отдельных элементов деятельности разнообразного характера, целью которой служит оказание воздействия на причины и условия, способствующие совершению преступлений, а также на лиц, их совершающих. Деятельность по предупреждению преступлений носит многоуровневый характер, поскольку, помимо масштабных, долговременных, перспективных мер, таких как постановка стратегических задач борьбы с преступностью, нормативного, организационного и ресурсного обеспечения, необходимым является разработка и принятие мер более узкого, конкретного характера, имеющих прикладное значение и рассчитанных на достижение менее крупных, но не менее значимых целей. Предупреждение преступлений, совершаемых с использованием высоких технологий, является одним из приоритетных направлений деятельности органов внутренних дел.
В системе противодействия преступлениям, совершаемым с использованием высоких технологий, целесообразно сосредоточить внимание на разработке нижеперечисленных мер[59].
1. Повышение эффективности научного обеспечения деятельности по противодействию преступности в сфере высоких технологий.
Основным результатом научно-исследовательской работы должен являться адаптированный перенос ее результатов в правоприменительную практику. Координация усилий правоохранительных органов должна осуществляться уже на этапе сбора криминологической информации (начиная с этапа регистрации заявлений и сообщений о преступлениях) и в дальнейшем представлять собой единую информационную систему, позволяющую беспрепятственно обмениваться информацией, в том числе научными разработками и методиками, в процессе предупреждения, раскрытия и расследования высокотехнологичных преступлений.
2. Совершенствование системы правоприменения и разработка новых форм и методов борьбы с преступлениями, совершаемыми с использованием высоких технологий (методическое обеспечение).
Реализация мер по предупреждению высокотехнологичной преступности на данном направлении представляет собой совершенствование подзаконных актов и различного рода инструктивнорегламентирующей документации, которые в силу своей специфики способны оказать оперативное воздействие на ситуацию в случаях, когда законодательное решение проблемы затруднено в силу разных причин. Кроме того, качественное методическое обеспечение способствует эффективному применению законодательных норм в практической деятельности.
К мерам предупреждения преступлений, совершаемых с использованием высоких технологий, также относится разработка новых методик противодействия данному виду преступлений, в том числе в процессе оперативно-розыскной деятельности. Так, представляется необходимым законодательно закрепить полномочия правоохранительных органов на осуществление мониторинга опубликованных в социальных сетях или иных ресурсах материалов противоправного характера, а в некоторых случаях обеспечить проведение соответствующих надзорных, оперативно-розыскных, следственных мероприятий с возможностью получения необходимой информации от провайдеров или Роскомнадзора напрямую без судебного разрешения.
3. Принятие организационно-управленческих мер предупреждения преступлений, совершаемых с использованием высоких технологий. Данное направление характеризуется комплексом мер, направленных на совершенствование деятельности субъектов предупреждения данного вида преступлений. К ним следует отнести[60]:
– создание системы подготовки сотрудников правоохранительных органов по специальностям «Защита информации и информационно-телекоммуникационных сетей», «Информационная безопасность» в образовательных учреждениях МВД, ФСБ, МО, ФТС России и др.;
– переход от преимущественно территориального принципа работы правоохранительных органов в сфере предупреждения высокотехнологичной преступности к функциональному;
– совершенствование информационно-аналитического обеспечения деятельности по противодействию преступлениям, совершаемым с использованием высоких технологий. Данная работа связана с решением целого ряда задач, включающих сбор и систематизацию криминологически значимой информации, ее анализ и классификацию, определение на этой основе реальной картины состояния дел и перспективное прогнозирование развития ситуации;
– перевод на новый уровень организации взаимодействия правоохранительных органов со средствами массовой информации. Использование средств массовой информации в системе противодействия высокотехнологичной преступности должно сочетать несколько направлений, таких как отчет перед населением о результатах борьбы с данными преступлениями.
4. Проведение комплекса целенаправленных мероприятий по устранению причин и условий, способствующих совершению компьютерных преступлений в отношении государственных и иных учреждений, предприятий и организаций.
Объектом данной деятельности являются учреждения, предприятия, организации разных форм собственности, пострадавшие или которые могут пострадать в результате преступных посягательств
Отдельно следует остановиться на виктомологическом аспекте противодействия преступлениям, совершаемым с использованием высоких технологий.
Основная работа сотрудников правоохранительных органов должна заключаться прежде всего в доведении до граждан элементарных правил безопасности, таких как недопустимость[61]:
– загрузки из сети Интернет программных продуктов из непроверенных источников; перехода по рекламным ссылкам в Интернете, сулящим бесплатные услуги, различные призы или существенные скидки; просмотра корреспонденции от неизвестных адресатов;
– общения в социальных сетях с незнакомыми пользователями, за которыми могут скрываться мошенники, сектанты, вербовщики в террористические организации;
– покупки SIM-карт с рук или оставления своих паспортных данных сомнительным конторам;
– отправки денежных переводов лицам, предлагающим посреднические услуги в разрешении проблем с родственниками, знакомыми, якобы попавшими в беду;
– передачи данных с кредитных или дебетовых карт, пользовательских паролей и кодовых слов, запрашиваемых по телефону или через социальные сети от лица друзей, знакомых, кредитных или иных организаций под различными предлогами;
– указания в своем профиле социальной сети личной информации, в том числе о своем образе жизни, планируемых отъездах и т. п.;
– проведения операций в интернет-банкинге без проверки истинности адреса личного кабинета или при наличии дополнительных не предусмотренных стандартной процедурой запросов (защита от «фишинга»);
– непринятия срочных мер по блокированию кредитных или дебетовых карт при получении SMS о несанкционированном списании или переводе средств третьим лицам;
– регистрации в личных кабинетах, на интернет-ресурсах или онлайн-магазинах с простыми паролями, состоящими из нескольких цифр, коротких слов, соседних клавиш на клавиатуре, личных памятных дат, адресов или номеров телефонов;
– записей личных паролей на стикерах, приклеенных к монитору, или в других легкодоступных местах.
Итак, виктимологическая профилактика преступлений, совершаемых с использованием высоких технологий, должна быть организована с учетом виктимности различных групп населения; учитывать различные аспекты обеспечения данного вида деятельности; иметь конкретную направленность на осознание необходимости соблюдения мер предосторожности в информационнотелекоммуникационном пространстве; основываться на доступных для населения или работников – неспециалистов рекомендациях по совершенствованию своей защищенности от киберугроз.