9

Тема: “Организация защиты информации»

1. Общие сведения о проблеме информационной безопасности

“...Кто владеет информацией, тот владеет миром.”

Наполеон Бонапарт.

Эта крылатая фраза в настоящее время стала гораздо более актуальной, чем в те времена, когда она была произнесена. Информационные ресурсы в наши дни становятся одним из основных видов национального богатства. Поэтому защита этого богатства - одна из важнейших государственных задач, решение которой возложено на силовые структуры.

Защита информации в компьютерах и компьютерных сетях была и по-прежнему остается серьезной проблемой во всем мире. Каждый сбой или нарушение работы сети, независимо от своей природы, - это не только "моральный ущерб" для пользователей (потребителей) информации, владельцев и собственников информационных ресурсов. По мере развития технологий электронных платежей и "безбумажного" документооборота, создания компьютерных сетей, информационных БД и средств удаленного доступа, серьезный сбой в информационной системе может просто парализовать работу организаций и целых корпораций, что приводит к ощутимым материальным потерям.

Информация это совокупность сведений о лицах, предметах, фактах, событиях, явлениях и процессах. Она имеет как содержательный аспект (какие именно сведения), так и прагматический или ценностный аспект. Информация является основой управленческой деятельности. Именно на основе тщательного анализа информации могут приниматься правильные решения в той или иной области. Поэтому ценность информации с прагматической точки зрения определяется как своевременностью ее получения, как степенью ее влияния на принимаемое решение, так и важностью самого решения.

Под защитой информации в компьютерах и компьютерных сетях обычно понимается регулярное использование в них средств и методов системного обеспечения требуемой надежности, целостности, доступности и конфиденциальности информации, хранимой и обрабатываемой с использованием ЭВМ.

Информация может быть массовая, конфиденциальная (коммерческая или личная) и специальная. Если первый из названных видов требует защиты только от искажения и разрушения, то второй и третий следует защищать, кроме того, и от кражи, и от т. н. несанкционированного доступа. Эти последние виды информации служат как предметом преступного бизнеса, промышленного шпионажа, так и сферой деятельности разведывательных органов целых государств.

Отсюда следует, что защита информации должна включать:

1. меры по защите от стихийного и непреднамеренного искажения и разрушения информации;

2. меры по защите от преднамеренного и целенаправленного как искажения, так и незаконного за владения информацией.

При анализе 2-й группы защитных мероприятий принято говорить о возможных каналах утечки информации, которые обычно классифицируют по следующим группам факторов: человеческий фактор, аппаратные средства, программные средства, см. Таблицу 1.

Таблица 1

Каналы утечки информации

Факторы	Каналы утечки
Человеческий фактор	хищение носителей информации несанкционированный съем информации с экрана ЭВМ несанкционированный съем информации с документов
Аппаратные средства	подключение к ПЭВМ и каналам связи использование ЭМ-излучений устройств ПЭВМ
Программные средства	несанкционированный доступ к информации вскрытие шифров и паролей копирование информации с носителей

В целом в сфере безопасности информации можно выделить несколько самостоятельных уровней (областей) защиты:

1) правовой;

2. административный;

3. физический;

4. программно-аппаратный.

И далее мы с вами будем подробнее разбираться с этими областями. С первой из этих областей, которая включает законодательно-нормативную базу, мы познакомимся ближе при рассмотрении 2-го вопроса, а с остальными при рассмотрении 3-го вопроса.

2. Законодательство РФ о преступлениях в сфере компьютерной информации.

В настоящее время защита информации в компьютерах и компьютерных сетях становится одной из самых острых проблем в современной информатике. В соответствии с Федеральным законом РФ "Об информации, информатизации и защите информации" целью защиты являются:

предотвращение утечки, хищения, утраты, искажения, подделки информации; предотвращение угроз безопасности личности, общества, государства;

предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации;

предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы, обеспечение правового режима документирования информации как объекта собственности;

защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах;

сохранение государственной тайны, конфиденциальности документированной информации в соответствии с законодательством;

обеспечение прав субъектов в информационных процессах н при разработке, производстве и применении информационных систем, технологий и средств их обеспечения.

Защите подлежит любая документированная информация, неправомерное обращение с которой может нанести ущерб ее собственнику, владельцу, пользователю и иному лицу.

Режим защиты информации устанавливается:

в отношении сведений, отнесенных к государственной тайне - уполномоченными органами на основании Закона РФ "О государственной тайне";

в отношении конфиденциальной документированной информации - собственником информационных ресурсов или уполномоченным лицом на основании Федерального закона "Об информации, информатизации и защите информации";

в отношении персональных данных - на основании законодательства о персональных данных.

В УК РФ, действующем с 1 января 1997 г. впервые в российском уголовном законодательстве дается определение преступления в сфере компьютерной информации (Глава 28 УК).

Как преступление квалифицируется неправомерный доступ к компьютерной информации, создание, использование и распространение вредоносных программ для ЭВМ, нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети.

При этом неправомерный доступ к компьютерной информации считается преступлением, если:

• компьютерная информация охраняется законом, а именно отвечает нормам Закона “0б информации, информатизации и защите информации”, в частности, ст. 2 и 5 Закона;

• неправомерный доступ привел к уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ или сети (ст. 272 УК).

Эти действия наказываются штрафом, либо исправительными работами, либо лишением свободы на срок до двух лет.

Те же действия, совершенные с использованием служебного положения, влекут за собой наказание в большем размере (ст. 272 ч. 2 УК). Это означает, что хакеры со стороны несут меньшую уголовную ответственность, чем сотрудники фирмы или лица, допущенные к компьютерной информации фирмы по договору.

Новый УК вводит в употребление новое понятие: “вредоносные программы”. Под вредоносными программами для ЭВМ понимаются программы, заведомо приводящие к несанкционированному уничтожению, блокированию, модификации либо копированию информации, а также приводящие к нарушению работы ЭВМ, системы ЭВМ или их сети (ст. 273 УК). В настоящее время такие программы общепринято называть компьютерными вирусами.

Уголовному наказанию подлежит не только создание вредоносных программ, но и преобразование существующих программ во вредоносные, то есть заражение их вирусом, а также использование и распространение этих программ или их машинных носителей.

В зависимости от тяжести последствий такие преступления наказываются лишением свободы на срок до трех либо до семи лет (ст. 273 чч. 1 и 2 УК).

К разряду преступлений относится нарушение правил эксплуатации ЭВМ или сети, если это по неосторожности приводит к уничтожению, блокированию или модификации компьютерной информации, чти, в свою очередь, наносит существенный вред или влечет за собой тяжкие последствия (ст. 274 УК). Понятия “существенный вред” и “тяжкие последствия” УК не конкретизирует, равно как и не дает разъяснений, чему или кому причинен вред: информации, бизнесу, репутации фирмы или гражданина. Очевидно, что ответы на эти вопросы даст лишь судебная практика.