11.3Правовые основы информационной безопасности

В Конституции РФ (Глава 2. Права и свободы человека и гражданина) затронуты следующие вопросы информационной безопасности:

• каждый имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений;

• сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются;

• каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом;

• каждый имеет право на достоверную информацию о состоянии окружающей среды.

В России приняты Законы «О государственной тайне», «Об электронной подписи», «Об информации, информационных технологиях и защите информации», вступила в действие четвёртая часть Гражданского кодекса «Права на результаты интеллектуальной деятельности и средства индивидуализации». На законодательном уровне определено, что информация подлежит защите так же, как материальное имущество собственника.

Правовое регулирование отношений, возникающих в сфере информации, информационных технологий и защиты информации, основывается на следующих принципах:

1. свобода поиска, получения, передачи, производства и распространения информации любым законным способом;

2. установление ограничений доступа к информации только федеральными законами;

3. открытость информации о деятельности государственных органов и органов местного самоуправления и свободный доступ к такой информации, кроме случаев, установленных федеральными законами;

4. равноправие языков народов Российской Федерации при создании информационных систем и их эксплуатации;

5. обеспечение безопасности Российской Федерации при создании информационных систем, их эксплуатации и защите содержащейся в них информации;

6. достоверность информации и своевременность ее предоставления;

7. неприкосновенность частной жизни, недопустимость сбора, хранения, использования и распространения информации о частной жизни лица без его согласия;

8. недопустимость установления нормативными правовыми актами каких-либо преимуществ применения одних информационных технологий перед другими, если только обязательность применения определенных информационных технологий для создания и эксплуатации государственных информационных систем не установлена федеральными законами.

Нарушение законов влечет за собой дисциплинарную, гражданско-правовую, административную или уголовную ответственность в соответствии с законодательством Российской Федерации.

11.4Криптографические механизмы защиты информации

Криптология – наука, состоящая из двух ветвей: криптографии и криптоанализа.

Криптография – наука о методах преобразования (шифрования) информации с целью сокрытия и защиты ее от незаконных пользователей.

Криптоанализ – наука (и практика ее применения) о методах и способах вскрытия шифров.

Ключ – сменный элемент шифра, который применен для шифрования конкретного сообщения.

По характеру использования ключа известные криптосистемы можно разделить на симметричные (одноключевые, с секретным ключом) и асимметричные (с открытым ключом).

Симметричные системы основаны на использовании одного и того же секретного ключа для шифрования и дешифрования. Асимметричные характеризуются тем, что для шифрования используется один ключ, являющийся общедоступным, а для дешифрования — другой, являющийся секретным, при этом знание общедоступного ключа не позволяет определить секретный ключ.

Механизмы цифровой подписи основываются на алгоритмах асимметричного шифрования и включают две процедуры: формирование подписи отправителем и ее опознавание (верификацию) получателем. Первая процедура обеспечивает шифрование блока данных, либо его дополнение криптографической контрольной суммой, причем в обоих случаях используется секретный ключ отправителя. Вторая процедура основывается на использовании общедоступного ключа, знания которого достаточно для опознавания отправителя.

Механизмы обеспечения целостности данных применяются как к отдельному блоку, так и к потоку данных. Целостность блока является необходимым, но недостаточным условием целостности потока. Целостность блока обеспечивается выполнением взаимосвязанных процедур шифрования и дешифрования отправителем и получателем. Отправитель дополняет передаваемый блок криптографической суммой, а получатель сравнивает ее с криптографическим значением, соответствующим принятому блоку. Несовпадение свидетельствует об искажении информации в блоке. Однако описанный механизм не позволяет вскрыть подмену блока в целом. Поэтому необходим контроль целостности потока, который реализуется посредством шифрования с использованием ключей, изменяемых в зависимости от предшествующих блоков.

Различают одностороннюю и взаимную аутентификацию. В первом случае один из взаимодействующих объектов проверяет подлинность другого, тогда как во втором случае проверка является взаимной.

Механизмы постановки трафика, называемые также механизмами заполнения текста, используются для реализации засекречивания потока данных. Они основываются на генерации фиктивных блоков, их шифровании и организации передачи по каналам сети. Этим нейтрализуется возможность получения информации посредством наблюдения за внешними характеристиками потоков, циркулирующих по каналам связи. Скремблер – устройство, формирующее случайную последовательность битов, обеспечивающих постоянство спектральной плотности модулированных сигналов независимо от содержания передаваемой информации.

Механизмы управления маршрутизацией обеспечивают выбор маршрутов движения информации по коммуникационной сети таким образом, чтобы исключить передачу секретных сведений по скомпрометированным (небезопасным) физически ненадежным каналам.

Механизмы арбитража обеспечивают подтверждение характеристик передаваемых данных третьей стороной (арбитром). Для этого вся информация, отправляемая или получаемая объектами, проходит через арбитра, что позволяет ему впоследствии подтверждать упомянутые характеристики. В Интернете имеются серверы организаций, осуществляющих сертификацию даты, Web-узлов и издателей программного обеспечения. Средства для проверки сертификатов обычно предоставляют браузеры.

Подводя итоги вышеизложенных основ информационной безопасности, можно сделать следующие выводы:

• Автоматизация (без которой невозможно развитие современных информационных систем) приводит к росту угроз несанкционированного доступа к информации и, как следствие, к необходимости постоянной поддержки и развития систем защиты.

• Защита информации является не разовым мероприятием и даже не совокупностью мероприятий, а непрерывным процессом, который должен протекать на всех этапах жизненного цикла информационной системы.

• Создание эффективных средств защиты может быть осуществлено только высококвалифицированными специалистами.

• Анализ, оценку, проектирование и сертификацию системы защиты информации необходимо проводить независимыми организациями, имеющими государственную лицензию на проведение указанных работ.

• Комплексное решение проблем защиты информации в компьютерных системах требует вложения значительных средств.