15.​ Соотношение понятий безопасность информации и защита информации.

Понятие «безопасность информации» распадается на две со​ставляющие:

−​ безопасность содержательной части (смысла) информа​ции— отсутствие в ней побуждения человека к негатив​ным действиям, умышленно заложенных механизмов нега​тивного воздействия на человеческую психику или нега​тивного воздействия на иной блок информации (например, информация, содержащаяся в программе для ЭВМ, име​нуемой компьютерным вирусом);

−​ защищенность информации от внешних воздействий (по​пыток неправомерного копирования, распространения, модификации (изменения смысла) либо уничтожения.

Таким образом, защита информации входит составной частью в понятие безопасность информации.

Статьей 16 (ч. 1) ФЗ «Об информации, информационных технологиях и о защите информации» устанавливается следующее.

Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

1) обеспечение защиты информации от неправомерного дос​тупа, уничтожения, модифицирования, блокирования, копирова​ния, предоставления, распространения, а также от иных неправо​мерных действий в отношении такой информации;

2) соблюдение конфиденциальности информации ограничен​ного доступа;

3) реализацию права на доступ к информации.

В этой связи можно выделить три основных направления правовой защиты объектов в информационной сфере (правового обеспечения информационной безопасности).

16.​ Основные направления правовой защиты объектов в информационной сфере (правового обеспечения информационной безопасности).

В этой связи можно выделить три основных направления правовой защиты объектов в информационной сфере (правового обеспечения информационной безопасности).

1.​ Первое направление. Защита интересов личности, общества, государства от угроз воздействия недоброкачественной информации, от нарушения порядка распространения информации включает защиту:

-​ чести, достоинства и деловой репутации граждан и организаций;

-​ духовности и интеллектуального уровня развития личности;

-​ нравственных и эстетических идеалов;

-​ стабильности и устойчивого развития общества;

-​ информационного суверенитета и целостности государства от угроз воздействия вредной, опасной, недоброкачественной информации, недостоверной, ложной информации, дезинформации, от сокрытия информации об опасности для жизни личности, развития общества и государства, от нарушения порядка распространения информации.

(Институт массовой информации. Институт документированной информации. Нормы УК РФ. Нормы КоАП РФ).

2.​ Второе направление. Защита информации, информационных ресурсов и информационных систем от угроз несанкционированного и неправомерного воздействия посторонних лиц включает защиту:

-​ информации и информационных ресурсов прежде всего ограниченного доступа (все виды тайн, в том числе и личной тайны);

-​ информационных систем, информационных технологий, средств связи и телекоммуникаций от угроз несанкционированного и неправомерного воздействия посторонних лиц.

(Институт документированной информации. Институт государственной тайны. Институт коммерческой тайны. Институт персональных данных. Другие виды тайн. Нормы УК РФ. Нормы КоАП РФ. Нормы ГК РФ).

3.​ Третье направление. Защита прав и свобод в информационной сфере в условиях информатизации включает защиту:

-​ права на производство, распространение, поиск, получение, передачу и использование информации;

-​ права на интеллектуальную собственность;

-​ права собственности на информационные ресурсы и на документированную информацию, на информационные системы и технологии.

17.​ Общедоступная информация и информация ограниченного доступа: понятие, виды. Информация ограниченного доступа: служебная и профессиональная тайны.

К общедоступной информации относятся общеизвестные сведения и иная информация, доступ к которой не ограничен. Она может использоваться любыми лицами по их усмотрению при соблюдении установленных федеральными законами ограничений в отношении распространения такой информации. Обладатель информации, ставшей общедоступной по его решению, вправе требовать от лиц, распространяющих такую информацию, указывать себя в качестве источника такой информации (ст.7).

Ограничение доступа к информации устанавливается федеральными законами в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства (ч.1 ст. 9).

В ст.9 ФЗ «Об информации, информационных технологиях и о защите информации» выделяют следующие виды информации ограниченного доступа:

1)​ государственную тайну,

2)​ коммерческую тайну,

3)​ информацию о частной жизни лица (персональные данные, личную или семейную тайну),

4)​ профессиональную тайну,

5)​ служебную тайну и иную тайну.

Профессиональная тайна – конфиденциальная информация, защищаемая по закону, не являющаяся государственной тайной и доверенная или ставшая известной лицу (держателю) исключительно в силу исполнения им своих профессиональных обязанностей, не связанных с государственной или муниципальной службой, распространение которой может нанести ущерб правам и законным интересам другого лица (доверителя), доверившего эти сведения.

К объектам профессиональной тайны относится: врачебная аудиторская, нотариальная, журналистская (редакционная), адвокатская тайна, тайна связи, усыновления, страхования, исповеди.

Служебная тайна – конфиденциальная информация, защищаемая по закону и не являющаяся государственной тайной, ставшая известной в органах государственной власти и органах местного самоуправления на законных основаниях и в силу исполнения их представителями служебных обязанностей, а также служебная информация о деятельности государственных органов, доступ к которой ограничен федеральным законом.

К объектам служебной тайны относится: военная, судебная, налоговая, банковская тайна и тайна следствия.

18.​ Информация ограниченного доступа: государственная тайна, коммерческая тайна, персональные данные.

Защита государственной тайны осуществляется на основе  Закона   РФ  от 21 июля 1993 г. № 5485-1 « О   государственной   тайне» в статье 3 которого указывается:  государственная   тайна  - защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации.

Защита коммерческой тайны осуществляется на основе ФЗ от 29 июля 2004 г. N 98-ФЗ «О коммерческой тайне», в статье 3 которого указывается:

1) коммерческая тайна - конфиденциальность информации, позволяющая ее обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду;

2) информация, составляющая коммерческую тайну, - научно-техническая, технологическая, производственная, финансово-экономическая или иная информация (в том числе составляющая секреты производства (ноу-хау), которая имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к которой нет свободного доступа на законном основании и в отношении которой обладателем такой информации введен режим коммерческой тайны;

3) режим коммерческой тайны - правовые, организационные, технические и иные принимаемые обладателем информации, составляющей коммерческую тайну, меры по охране ее конфиденциальности.

Защита персональных данных осуществляется на основе ФЗ от 27 июля 2006 г. N 152-ФЗ «О персональных данных», в статье 3 которого указывается: персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

19.​ Принципы базовой системы защиты информации в информационных системах.

Создание базовой системы защиты информации в ИС основывается на следующих принципах;

1.​ Комплексный подход к построению системы защиты при ведущей роли организационных мероприятий, означающий оптимальное сочетание программно-аппаратных средств и организационных мер защиты.

2.​ Разделение и минимизация полномочий по доступу к обрабатываемой информации и процедурам обработки, т.е. предоставление пользователям минимума строго определенных полномочий, достаточных для успешного выполнения ими своих служебных обязанностей, с точки зрения автономной обработки доступной им конфиденциальной информации.

3.​ Полнота контроля и регистрация попыток несанкционированного доступа, т.е. необходимость точного установления идентичности каждого пользователя и протоколирования его действий для проведения возможного расследования, а также невозможность совершения любой операции обработки информации в ИС без ее предварительной регистрации.

4.​ Обеспечение надежности системы защиты, т.е. невозможность снижения уровня надежности при возникновении в системе сбоев, отказов, преднамеренных действий нарушителя или непреднамеренных ошибок пользователей или обслуживающего персонала.

5.​ Обеспечение контроля за функционированием системы защиты, т.е. создание средств и методов контроля работоспособности механизмов защиты.

6.​ Экономическая целесообразность использования системы защиты, выражающаяся в том, что стоимость разработки и эксплуатации систем защиты информации должна быть меньше стоимости возможного ущерба, наносимого объекту в случае разработки и эксплуатации ИС без системы защиты информации.

20.​ Средства обеспечения безопасности информации в информационных системах.

Рассмотренные методы обеспечения безопасности информации реализуются на практике за счет применения различных средств защиты.

Технические средства реализуются в виде электрических, электромеханических и электронных устройств. Вся совокупность технических средств делится на аппаратные и физические.

Под аппаратными техническими средствами принято понимать устройства, встраиваемые непосредственно в вычислительную технику или устройства, которые сопрягаются с подобной аппаратурой по стандартному интерфейсу (устройства для сканирования отпечатков пальцев, сетчатки глаза и т.п.).

Физические средства реализуются в виде автономных устройств и систем (замки, решетки, электромеханическое оборудование охранной сигнализации).

Программные средства представляют ПО, специально предназначенное для выполнения функций защиты информации.

Организационные средства защиты представляю собой организационно-технические и организационно-правовые мероприятия, осуществляемые в процессе создания и эксплуатации вычислительной техники, аппаратуры телекоммуникаций для обеспечения защиты информации. Эти мероприятия охватывают все структурные элементы аппаратуры на всех этапах их жизненного цикла (строительство помещений, проектирование ИС, монтаж и наладка оборудования, испытания, эксплуатация).

Законодательные средства определяются законодательными актами страны, которыми регламентируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.

Морально-этические средства защиты реализуются в виде всевозможных норм, которые сложились традиционно или складываются по мере распространения ВТ и средств связи в обществе. Эти нормы большей частью не являются обязательными как законодательные меры, однако, несоблюдение их ведет обычно к потере авторитета и престижа человека.

Все рассмотренные средства защиты разделены на формальные, которые выполняют защитные функции строго по заранее предусмотренной процедуре без непосредственного участия человека, и неформальные, которые определяются целенаправленной деятельностью человека либо регламентируют эту деятельность.

21.​ Основные направления и виды защиты информации в информационных системах.

 К основным направлениям защиты относятся:

- защита информации от несанкционированного доступа;

- защита информации в системах связи;

- защита юридической значимости электронных документов;

- защита конфиденциальной информации от утечки по кана​лам побочных электромагнитных излучений и наводок;

- защита информации от компьютерных вирусов и других опасных воздействий по каналам распространения программ;

-​ защита от несанкционированного копирования и распростра​нения программ и ценной компьютерной информации.

Видами защиты информации от несанкцио​нированного доступа являются

1)​ разграничение полномочий и доступа к информации;

2)​ регистрация, при которой фиксируются все осуществленные или неосуществлен​ные попытки доступа к данным или программам.

Система регистрации и учета осуществляет:

- регистрацию входа (выхода) субъектов доступа в систему (из системы) либо регистрацию загрузки и инициализации операцион​ной системы и ее программного останова;

- регистрацию и учет выдачи печатных (графических) докумен​тов на твердую копию;

- регистрацию запуска (завершения) программ и процессов (за​даний, задач), предназначенных для обработки защищаемых фай​лов;

- регистрацию попыток доступа программных средств к защищаемым файлам;

-​ учет всех защищаемых носителей информации.

К видам защиты информации в системах связи относятся применение криптографии и специальных связных протоколов.

К видам защиты юридической значимости электронных документов относится применение «цифровой подписи», которая является одним из криптографических методов проверки подлинности ин​формационных объектов.

Для защиты от побочных электромагнит​ных излучений и наводок применяется экранирование по​мещений, предназначенных для размещения средств вычислитель​ной техники, а также технические меры, позволяющие снизить ин​тенсивность информативных излучений ПЭВМ и средств связи.

Видами защиты информации от компьютерных вирусов и других опас​ных воздействий по каналам распространения программ являются:

- «иммуностойкие» программные средства, за​щищенные от возможности несанкционированной модифика​ции (разграничение доступа, методы самоконтроля и самовос​становления);

- специальные программы-анализаторы, осущест​вляющие постоян​ный контроль возникновения отклонений в работе прикладных программ, периодическую проверку нали​чия других возможных следов вирусной активности, а также входной контроль новых программ перед их использованием.

Защита от несанкционированного копирования и распростране​ния программ и ценной компьютерной информации осуществляется с помощью специальных программ​ных средств, подвергающих защищаемые программы и базы дан​ных предварительной обработке (вставка парольной защиты, про​верки по обращению к устройствам хранения ключа и ключевым дискетам, блокировка отладочных прерываний, проверка рабо​чей ПЭВМ по ее уникальным характеристикам и т.д.), которая приводит исполняемый код защищаемой программы и базы данных в состояние, препятствующее его выполнению на «чужих» машинах.