1.2. Анализ угроз информационной безопасности

Для успешного противодействия угрозам и атакам КС, а также выбора способов и средств защиты, политики безопасности и ана­лиза рисков от возможного НСД, необходимо классифицировать су­ществующие угрозы информационной безопасности. Каждый при­знак классификации должен отражать одно из обобщенных требований к системе защиты, а сами угрозы позволяют детализи­ровать эти требования. Современные КС и сети являются сложны­ми системами, подверженными, кроме того, влиянию чрезвычайно большого числа факторов и поэтому формализовать задачу описания полного множества угроз не представляется возможным. Как след­ствие, для защищенной КС определяется не полный перечень угроз, а перечень классов угроз, которым должен противодействовать ком­плекс средств защиты.

Классификация угроз может быть проведена по ряду базовых признаков:

1. По природе возникновения:

• объективные природные явления, не зависящие от человека;

• субъективные действия, вызванные деятельностью человека.

2. По степени преднамеренности:

• ошибки конечного пользователя или персонала;

• преднамеренного действия, для получения НСД к информации.

3. По степени зависимости от активности КС:

• проявляющиеся независимо от активности КС (вскрытие шифров, хищение носителей информации); проявляющиеся в процессе обработки данных (внедрение вирусов, сбор «мусора» в памяти, сохранение и анализ работы клавиатуры и устройств отображения).

4. По степени воздействия на КС:

• пассивные угрозы (сбор данных путем выведывания или подсматривания за работой пользователей);

• активные угрозы (внедрение программных или аппаратных закладок и вирусов для модификации информации или дезорга­низации работы КС).

4. По способу доступа к ресурсам КС:

• получение паролей и прав доступа, используя халатность владельцев и персонала, несанкционированное использование терминалов пользователей, физи­ческого сетевого адреса, аппаратного блока кодирования и др.;

• обход средств защиты, путем загрузки посторонней операцион­ной защиты со сменного носителя;

• использование недокументированных возможностей операционной системы.

4. По текущему месту расположения информации в КС:

• внешние запоминающие устройства;

• оперативная память;

• сети связи;

• мо­нитор или иное отображающее устройство (возможность скрытой съемки работы принтеров, графопостроителей, световых па­нелей и т.д.).

Необходимо отметить, что абсолютно надежных систем защиты не существует. Кроме того, любая система защиты увеличивает вре­мя доступа к информации, поэтому построение защищенных КС не ставит целью надежно защититься от всех классов угроз. Уровень системы защиты — это компромисс между понесенными убытками от потери конфиденциальности информации, с одной стороны, и убытками от усложнения, удорожания КС и увеличения времени доступа к ресурсам от введения систем защиты, с другой стороны.

1.3. Юридические основы информационной безопасности

Широкое распространение КС и сетей, внедрение их в государ­ственных учреждениях и важность задачи сохранения конфиденци­альности государственной и частной информации заставили многие страны принять соответствующие законы, регламентирующие защиту КС и сетей.

Наиболее общим законом Российской Федерации является Кон­ституция. Главы 23, 29, 41 и 42 в той или иной мере затрагивают вопросы информационной безопасности. Статья 23 Конституции например, гарантирует право на личную и семейную тайну, на тайну переписки, телефонных разговоров, почтовых, телеграфных и иных сообщений; статья 29 — право свободно искать, получать, передавать, производить и распространять информацию любым законным спо­собом. Главы 41 и 42 гарантируют право на знание фактов и обстоя­тельств, создающих угрозу жизни и здоровью людей, право на зна­ние достоверной информации о состоянии окружающей среды.

Действующий Уголовный кодекс Российской Федерации предус­матривает наказания за преступления, связанные с нарушением кон­фиденциальности информации. Глава 28 «Преступления в сфере ком­пьютерной информации» содержит статьи 272—274, посвященные преступлениям, связанным, соответственно, с неправомерным дос­тупом к компьютерной информации, созданием, использованием и распространением вредоносных программ, нарушением правил экс­плуатации ЭВМ, систем и сетей на их основе.

Интересы государства в плане обеспечения конфиденциальнос­ти информации наиболее полно представлены в Законе «О госу­дарственной тайне». В нем государственная тайна определена как защищаемые государством сведения в области военной, внешнеполитической, эко­номической, разведывательной, контрразведывательной и оператив­но-розыскной деятельности, распространение которых может нане­сти ущерб безопасности Российской Федерации. Здесь же дается описание средств защиты информации, к которым, согласно данно­му Закону, относятся технические, криптографические, программные и другие средства, предназначенные для защиты сведений, состав­ляющих государственную тайну Наряду с общими законами, во мно­гих странах приняты законы о защите информации в компьютерных системах и сетях. Описание основных положений этих законов, при­нятых в США и РФ, приведены ниже.