19 Сентября 2012г.

//продолжение…

Деятельность ФСТЭК обеспечивается ее центральным аппаратом. Кроме того, ФСТЭК подчиняются специальные центры региональной направленности и головная научная организация. Центральный аппарат ФСТЭК в пределах своей компетенции:

1. Организует работу по оценке сил, средств, и возможностей технических разведок; осведомленности противника о защищаемых сведениях.

2. Осуществляет координацию работ по защите информации в информационных системах, в средствах и системах связи и управления.

3. Выполняет функции государственного заказчика работ, проводимых в рамках государственных программ по защите информации.

4. Организует работу по осуществлению государственного лицензирования деятельности по защите информации, проведению сертификации средств защиты информации, аттестацию объектов информатики по требованию безопасности информации в пределах компетенции, определенной нормативными актами.

5. Проверяет организацию защиты информации в органах государственного управления на предприятиях, воинских частях; контролирует, с применением технических средств, эффективность защиты информации и выполняет другие функции.

Специальные центры при ФСТЭК осуществляют деятельность по организации работ и контролю эффективности защиты информации в пределах территориально-промышленных зон.

ФСБ контролирует обеспечение в органах государственного управления и на предприятиях, ведущих работу по оборонной или иной секретной тематике, организационно-режимных мероприятий, участвует в лицензировании деятельности предприятий по проведению работ, связанных с использованием средств по проведению работ, связанных с использованием средств и сведений о государственной тайне.

ФСБ организует деятельность по созданию, оценки эффективности и использованию средств криптографической защиты информации, обрабатываемой средствами вычислительной техники, и передаваемой по каналам связи, а также организует работы по предотвращению ущерба за счет возможных внедренных в средства и объекты информатики закладных устройств.

ГосСтандарт выступает в качестве национального органа по стандартизации и сертификации продукции. Другие органы государственного управления (министерства и ведомства) в пределах своей компетенции:

1. Определяют перечень охраняемых сведений.

2. Обеспечивают разработку и осуществление технически и экономически обоснованных мер по защите информации на подведомственных предприятиях.

3. Организуют и координируют проведение научно-исследовательских и опытно-конструкторских работ в области защиты информации в соответствии с государственными (отраслевыми) программами.

4. Разрабатывают, по согласованию ФСТЭК, отраслевые документы по защите информации.

5. Контролирует выполнение на предприятиях отрасли установленных норм и требований по защите информации.

6. Создают отраслевые центры по защите информации и контролю эффективности принимаемых мер.

7. Организуют подготовку и повышение квалификации специалистов по защите информации.

Для осуществления указанных функций в составе органов гос. управления функционируют научно-технические подразделения (центры) по защите информации.

На предприятиях, выполняющих оборонные и иные секретные работы, функционируют научно-технические подразделения защиты информации и контроля, координирующие деятельность в этом направлении научных и производственных структурных подразделений предприятия, участвующие в разработке и реализации мер по защите информации, и контролирующие эффективность этих мер. Кроме того, в отраслях промышленности, и в регионах страны, функционируют лицензионные центры, осуществляющие организацию и контроль за лицензионной деятельностью в области оказания услуг по защите информации; органы по сертификации средств защиты информации, и испытательные центры по сертификации конкретных видов продукции по требованиям безопасности информации, а также органы по аттестации объектов информатики.

Тема: «Организация работ по защите информации, обрабатываемой техническими средствами».

Организация работ, по защите информации, составляющей государственную и служебную тайну, при ее обработке техническими средствами определяется в целом положением «О государственной системе защите информации РФ от иностранных технических разведок и от ее утечки по техническим каналам».

Мероприятия по защите информации, обрабатываемой техническими средствами, осуществляются во взаимосвязи с другими мерами по обеспечению безопасности информации, установленного законами РФ об информации, информационных технологиях и защите информации и о государственной тайне. В то же время эти мероприятия являются составной частью работ по созданию и эксплуатации систем информатизации учреждений и предприятий, располагающих такой информацией, и должны проводиться в установленном нормативными документами порядке в виде системы защиты секретной информации. Право на проведение работ со сведениями, составляющими государственную тайну, на разработку систем защиты информации и осуществлении мероприятий по защите тайны, предоставляется учреждениям и предприятиям в соответствии с положением по лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, оказанием услуг по защите государственной тайны. При оказании услуг в области защиты информации, и в соответствии с положением «О государственном лицензировании деятельности в области защиты информации».

В соответствии с требованиями указанных документов, право на обработку информации, составляющей государственную тайну предоставляется только предприятиям, получившим лицензию на право проведения работ, соответствующей степени секретности, а право на оказание услуг сторонним организациям и предприятиям предоставляется только предприятиям, имеющим лицензию ФСТЭК или ФСБ на право осуществления соответствующих видов деятельности в области защиты информации. Перечень таких предприятий, с указанием соответствующих видов деятельности публикуется ФСТЭК и ФСБ.

Защита информации осуществляется путем выполнения комплекса мероприятий по предотвращению утечки информации по техническим каналам за счет НСД к ней, предупреждением преднамеренных программно-технических воздействий с целью уничтожения или искажения информации в процессе ее обработки, передачи или хранения.

Тема: «Проблемы защиты информации в автоматизированных системах обработки информации».

Возможные угрозы безопасности информации и их специфика.

Роль информации в жизни общества чрезвычайно высока. Адекватное поведение каждого члена общества возможно только при наличии полной и достоверной информации о среде его деятельности и предмете его устремлений при обеспечении безопасности конфиденциальной информации находящейся в его распоряжении. Соответственно, и выполнение возложенных на автоматизированные системы функций возможно при соблюдении тех же условий.

Событие (действие), которое может вызвать нарушение функционирования автоматизированной системы, включая искажение, уничтожение или несанкционированное изменение и использование обрабатываемой в ней информации, называется угрозой.

Возможность реализации тех или иных угроз в автоматизированных системах зависит от наличия в системе уязвимых мест. Количество и специфика уязвимых мест определяется видом решаемых задач, характером обрабатываемой информации, аппаратно-программными особенностями Автоматизированной системы, наличием средств защиты и их характеристик.

Рассмотрим обобщенный перечень угроз, типичный для любой автоматизированной системы. Условно все угрозы делят на три группы, в соответствии с тремя видами угроз:

1. Природные

2. Технические

3. Созданные людьми.

В свою очередь, природные угрозы подразделяются на стихийные бедствия, вызванные магнитными бурями, вызванные радиоактивными излучениями и осадками.

Технические угрозы подразделяются на отключение/колебание питания и других средств обеспечения, отказы и сбои аппаратно-программных средств, электромагнитные излучения и наводки, утечки через каналы связи (оптические, электрические, звуковые и т.д.).

Угрозы, созданные людьми, делятся на две подгруппы: вызванные непреднамеренными действиями людей, и наоборот.

Непреднамеренные действия подразделяются на действия обслуживающего персонала, управленческого персонала, программистов, пользователей, работниками архивной службы, работниками службы безопасности.

Преднамеренные действия могут быть со стороны обслуживающего персонала, управленческого персонала, программистов, пользователей, работниками архивной службы, работниками службы безопасности, а также несанкционированных пользователей (военная разведка, коммерческий шпионаж, диверсии и т.д.).

Угрозы первой группы независимы от людей. Они либо связаны с прямым физическим воздействием на элементы автоматизированной системы (ураганы, пожары) и ведут к разрушению работы автоматизированной системы и к физическому уничтожению носителей информации, средств обработки и передачи данных обслуживающего персонала, либо оказывают электромагнитное воздействие на магнитные носители информации, на электронные средства обработки и передачи данных, на обслуживающий персонал, и ведут к отказам и сбоям аппаратуры, искажению или уничтожению информации, ошибкам персонала.

Угрозы второй группы связаны с надежностью технических средств систем обеспечения работы автоматизированных систем. Сюда относится внезапное временное прекращение работы автоматизированной системы, ведущее к потерям информации и управления объектами, управляющих автоматизированной системой.

К угрозам этой же группы относится электромагнитное излучение за счет которых осуществляется несанкционированный перенос информации за пределы автоматизированной системы, что приводит к утечке информации. К ним же относятся утечка информации через легальные каналы связи, за счет имеющейся возможности снятия ее специальными датчиками, или посредством прямого подключения.