Основы информационной безопасности. Учебное пособие для СПО
.pdfПроцитируем некоторые из этих определений:
•информация — сведения (сообщения, данные) независимо от формы их представления;
•документированная информация — зафиксированная на материаль-
ном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или в установленных законодательством Российской Федерации случаях ее материальный носитель;
•информационные технологии — процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов;
•информационная система — совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств;
•обладатель информации — лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам;
•доступ к информации — возможность получения информации и ее использования;
•конфиденциальность информации — обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя;
•оператор информационной системы — гражданин или юридическое лицо, осуществляющие деятельность по эксплуатации информационной системы, в том числе по обработке информации, содержащейся в ее базах данных.
Обратим внимание, что защиту государственной тайны и персональных данных берет на себя государство; за другую конфиденциальную информацию отвечают ее собственники.
Как же защищать информацию? Процитируем ст. 16 «Защита информации»: «1. Защита информации представляет собой принятие правовых, органи-
зационных и технических мер, направленных на:
1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.
31
2.Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.
3.Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в п. 1 и 3 ч. 1 настоящей статьи.
4.Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:
1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
2) своевременное обнаружение фактов несанкционированного доступа
кинформации;
3)предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;
4)недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
5)возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
6)постоянный контроль за обеспечением уровня защищенности инфор-
мации;
7)нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.
5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.
6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации».
32
Следуя логике Федерального закона «Об информации, информатизации и защите информации», мы продолжим наш обзор Федерального закона от 4 мая 2011 г. № 99-ФЗ «О лицензировании отдельных видов деятельности». Начнем с основных определений.
«1) лицензирование — деятельность лицензирующих органов по предоставлению, переоформлению лицензий, продлению срока действия лицензий в случае, если ограничение срока действия лицензий предусмотрено федеральными законами, осуществлению лицензионного контроля, приостановлению, возобновлению, прекращению действия и аннулированию лицензий, формированию и ведению реестра лицензий, формированию государственного информационного ресурса, а также по предоставлению в установленном порядке информации по вопросам лицензирования;
2)лицензия — специальное разрешение на право осуществления юридическим лицом или индивидуальным предпринимателем конкретного вида деятельности (выполнения работ, оказания услуг, составляющих лицензируемый вид деятельности), которое подтверждается записью в реестре лицензий;
3)лицензируемый вид деятельности — вид деятельности, на осуществление которого на территории Российской Федерации и на иных территориях, над которыми Российская Федерация осуществляет юрисдикцию в соответствии с законодательством Российской Федерации и нормами международного права, требуется получение лицензии в соответствии с настоящим Федеральным законом, в соответствии с федеральными законами, указанными в ч. 3 ст. 1 настоящего Федерального закона и регулирующими отношения в соответствующих сферах деятельности;
4)лицензирующие органы — уполномоченные федеральные органы исполнительной власти и (или) их территориальные органы, а в случае передачи осуществления полномочий Российской Федерации в области лицензирования органам государственной власти субъектов Российской Федерации органы исполнительной власти субъектов Российской Федерации, осуществляющие лицензирование;
5)соискатель лицензии — юридическое лицо или индивидуальный
предприниматель, обратившиеся в лицензирующий орган с заявлением
опредоставлении лицензии;
6)лицензиат — юридическое лицо или индивидуальный предприниматель, имеющие лицензию;
7)лицензионные требования — совокупность требований, которые установлены положениями о лицензировании конкретных видов деятельности,
33
основаны на соответствующих требованиях законодательства Российской Федерации и направлены на обеспечение достижения целей лицензирования;
8) место осуществления отдельного вида деятельности, подлежащего
лицензированию (далее — место осуществления лицензируемого вида дея-
тельности), — объект (помещение, здание, сооружение, иной объект), который предназначен для осуществления лицензируемого вида деятельности и (или) используется при его осуществлении, соответствует лицензионным требованиям, принадлежит соискателю лицензии или лицензиату на праве собственности либо ином законном основании, имеет почтовый адрес или другие позволяющие идентифицировать объект данные. Место осуществления лицензируемого вида деятельности может совпадать с местом нахождения соискателя лицензии или лицензиата».
Статья 12 Закона устанавливает перечень видов деятельности, на осуществление которых требуются лицензии. Например:
1)разработка, производство, распространение шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнение работ, оказание услуг в области шифрования информации, техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя);
2)разработка, производство, реализация и приобретение в целях продажи специальных технических средств, предназначенных для негласного получения информации;
3)деятельность по выявлению электронных устройств, предназначенных для негласного получения информации (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя);
4)разработка и производство средств защиты конфиденциальной информации;
5)деятельность по технической защите конфиденциальной информации;
6)производство и реализация защищенной от подделок полиграфической продукции.
34
Необходимо учитывать, что, согласно ст. 1, особенности лицензирования, в том числе в части, касающейся порядка принятия решения о предоставлении лицензии, срока действия лицензии и порядка продления срока ее действия, приостановления, возобновления и аннулирования действия лицензии, могут устанавливаться федеральными законами, регулирующими осуществление следующих видов деятельности:
1)оказание услуг связи, телевизионное вещание и (или) радиовещание;
2)частная детективная (сыскная) деятельность и частная охранная деятельность;
3)образовательная деятельность (за исключением указанной деятельности, осуществляемой частными образовательными организациями, находящимися на территории инновационного центра «Сколково»);
4)предпринимательская деятельность по управлению многоквартирными
домами;
5)сбор, транспортирование, обработка, утилизация, обезвреживание, размещение отходов I–IV классов опасности;
6)деятельность по перевозкам пассажиров и иных лиц автобусами;
7)деятельность по организации и проведению азартных игр в букмекерских конторах или тотализаторах.
Основными лицензирующими органами в области защиты информации являются Федеральное агентство правительственной связи и информации (ФАПСИ) и Федеральная служба по техническому и экспортному контролю России (ФСТЭК). ФАПСИ ведает всем, что связано с криптографией, ФСТЭК осуществляет контроль за соблюдением лицензионных требований при осуществлении деятельности по технической защите конфиденциальной информации и по разработке и производству средств защиты конфиденциальной информации. Эти же организации возглавляют работы по сертификации средств соответствующей направленности.
В 2011 г. был принят Федеральный закон от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи»5.
Закон (с последующими изменениями) ввел следующие основные понятия:
1)электронная подпись — информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с такой информацией и которая используется для определения лица, подписывающего информацию;
5 См.: РГ. 2011. 8 апр.
35
2)сертификат ключа проверки электронной подписи — электронный документ или документ на бумажном носителе, выданные удостоверяющим центром либо доверенным лицом удостоверяющего центра и подтверждающие принадлежность ключа проверки электронной подписи владельцу сертификата ключа проверки электронной подписи;
3)квалифицированный сертификат ключа проверки электронной подписи (далее — квалифицированный сертификат) — сертификат ключа проверки электронной подписи, соответствующий требованиям, установленным настоящим Федеральным законом и иными принимаемыми в соответствии с ним нормативными правовыми актами, созданный аккредитованным удостоверяющим центром либо федеральным органом исполнительной власти, уполномоченным в сфере использования электронной подписи (далее — уполномоченный федеральный орган), и являющийся в связи с этим официальным документом;
4)владелец сертификата ключа проверки электронной подписи —
лицо, которому в установленном настоящим Федеральным законом порядке выдан сертификат ключа проверки электронной подписи;
5)ключ электронной подписи — уникальная последовательность символов, предназначенная для создания электронной подписи;
6)ключ проверки электронной подписи — уникальная последователь-
ность символов, однозначно связанная с ключом электронной подписи и предназначенная для проверки подлинности электронной подписи (далее — проверка электронной подписи);
7)удостоверяющий центр — юридическое лицо или индивидуальный предприниматель либо государственный орган или орган местного самоуправления, осуществляющие функции по созданию и выдаче сертификатов ключей проверки электронных подписей, а также иные функции, предусмотренные настоящим Федеральным законом;
8)аккредитация удостоверяющего центра — признание соответствия удостоверяющего центра требованиям настоящего Федерального закона;
8.1) аккредитация доверенной третьей стороны — признание уполно-
моченным федеральным органом соответствия юридического лица требованиям настоящего Федерального закона к доверенной третьей стороне;
9)средства электронной подписи — шифровальные (криптографиче-
ские) средства, используемые для реализации хотя бы одной из следующих функций — создание электронной подписи, проверка электронной подписи, создание ключа электронной подписи и ключа проверки электронной подписи;
36
10)средства удостоверяющего центра — программные и (или) аппарат-
ные средства, используемые для реализации функций удостоверяющего центра;
11)участники электронного взаимодействия — осуществляющие об-
мен информацией в электронной форме государственные органы, органы местного самоуправления, организации, индивидуальные предприниматели, а также граждане;
12)корпоративная информационная система — информационная си-
стема, участники электронного взаимодействия в которой составляют определенный круг лиц;
13)информационная система общего пользования — информационная система, участники электронного взаимодействия в которой составляют неопределенный круг лиц и в использовании которой этим лицам не может быть отказано;
14)вручение сертификата ключа проверки электронной подписи —
передача доверенным лицом удостоверяющего центра созданного этим удостоверяющим центром сертификата ключа проверки электронной подписи его владельцу;
15)подтверждение владения ключом электронной подписи — полу-
чение удостоверяющим центром, уполномоченным федеральным органом доказательств того, что лицо, обратившееся за получением сертификата ключа проверки электронной подписи, владеет ключом электронной подписи, который соответствует ключу проверки электронной подписи, указанному таким лицом для получения сертификата;
16)заявитель — коммерческая организация, некоммерческая организация, индивидуальный предприниматель, физическое лицо, не зарегистрированное в качестве индивидуального предпринимателя, но осуществляющее профессиональную деятельность, приносящую доход, в соответствии с федеральными законами на основании государственной регистрации и (или) лицензии, в силу членства в саморегулируемой организации, а также любое иное физическое лицо, лица, замещающие государственные должности Российской Федерации или государственные должности субъектов Российской Федерации, должностные лица государственных органов, органов местного самоуправления, работники подведомственных таким органам организаций, нотариусы и уполномоченные на совершение нотариальных действий лица (далее — нотариусы), обращающиеся с соответствующим заявлением на выдачу сертификата ключа проверки электронной подписи в удостоверяющий центр за получением сертификата ключа проверки электронной подписи в качестве будущего владельца такого сертификата;
37
17)доверенная третья сторона — юридическое лицо, осуществляющее деятельность по проверке электронной подписи в электронных документах в конкретный момент времени в отношении лица, подписавшего электронный документ, для обеспечения доверия при обмене данными и электронными документами и иные функции, предусмотренные настоящим Федеральным законом;
18)средства доверенной третьей стороны — программные и (или) ап-
паратные средства, используемые для оказания услуг доверенной третьей стороной, прошедшие процедуру подтверждения соответствия требованиям, установленным в соответствии с настоящим Федеральным законом;
19)метка доверенного времени — достоверная информация в электронной форме о дате и времени подписания электронного документа электронной подписью, создаваемая и проверяемая доверенной третьей стороной, удостоверяющим центром или оператором информационной системы и полученная в момент подписания электронного документа электронной подписью в установленном уполномоченным федеральным органом порядке с использованием программных и (или) аппаратных средств, прошедших процедуру подтверждения соответствия требованиям, установленным в соответствии с настоящим Федеральным законом.
Принципами использования электронной подписи являются:
•право участников электронного взаимодействия использовать электронную подпись любого вида по своему усмотрению, если требование об использовании конкретного вида электронной подписи в соответствии с целями
ееиспользования не предусмотрено федеральными законами или принимаемыми в соответствии с ними нормативными правовыми актами либо соглашением между участниками электронного взаимодействия;
•возможность использования участниками электронного взаимодействия по своему усмотрению любой информационной технологии и (или) технических средств, позволяющих выполнить требования настоящего Федерального закона применительно к использованию конкретных видов электронных подписей;
•недопустимость признания электронной подписи и (или) подписанного ею электронного документа не имеющими юридической силы только на основании того, что такая электронная подпись создана не собственноручно, а с использованием средств электронной подписи для автоматического создания и (или) автоматической проверки электронных подписей в информационной системе.
38
1.5. Процедурный уровень обеспечения информационной безопасности
Режим информационной безопасности формируют люди, а не технические средства, и именно «человеческий фактор» оказывается главной угрозой в вопросах обеспечения безопасности. Этот вопрос заслуживает особого внимания.
На процедурном уровне можно выделить следующие классы мер:
•управление персоналом;
•физическая защита;
•поддержание работоспособности;
•реагирование на нарушения режима безопасности;
•планирование восстановительных работ.
Управление персоналом начинается с приема нового сотрудника на работу и даже раньше — с составления описания должности. Уже на данном этапе желательно подключить к работе специалиста по информационной безопасности для определения компьютерных привилегий, ассоциируемых с должностью. Существует два общих принципа, которые следует иметь в виду:
•разделение обязанностей;
•минимизация привилегий.
Принцип разделения обязанностей предписывает так распределять роли и ответственность, чтобы один человек не мог нарушить критически важный для организации процесс. Например, нежелательна ситуация, когда крупные платежи от имени организации выполняет один человек. Надежнее поручить одному сотруднику оформление заявок на подобные платежи, а другому — заверять эти заявки. Другой пример — процедурные ограничения действий суперпользователя. Можно искусственно «расщепить» пароль суперпользователя, сообщив первую его часть одному сотруднику, а вторую — другому. Тогда критически важные действия по администрированию ИС они смогут выполнить только вдвоем, что снижает вероятность ошибок и злоупотреблений.
Принцип минимизации привилегий предписывает выделять пользователям только те права доступа, которые необходимы им для выполнения служебных обязанностей. Назначение этого принципа очевидно — уменьшить ущерб от случайных или умышленных некорректных действий.
Предварительное составление описания должности позволяет оценить ее критичность и спланировать процедуру проверки и отбора кандидатов. Когда кандидат определен, он, вероятно, должен пройти обучение, по крайней мере, его следует подробно ознакомить со служебными обязанностями, а также с
39
нормами и процедурами информационной безопасности. Желательно, чтобы меры безопасности были им усвоены до вступления в должность и до заведения его системного счета с входным именем, паролем и привилегиями.
Проблема обучения — одна из основных с точки зрения информационной безопасности. Если сотрудник не знаком с политикой безопасности своей организации, он не может стремиться к достижению сформулированных в ней целей. Не зная мер безопасности, он не сможет их соблюдать. Напротив, если сотрудник знает, что его действия протоколируются, он, возможно, воздержится от нарушений6.
Физическая защита. Безопасность информационной системы зависит от окружения, в котором она функционирует. Необходимо принять меры для защиты зданий и прилегающей территории, поддерживающей инфраструктуры, вычислительной техники, носителей данных.
Основной принцип физической защиты, соблюдение которого следует постоянно контролировать, формулируется как «непрерывность защиты в пространстве и времени». Выделяют следующие направления физической защиты7:
•физическое управление доступом;
•противопожарные меры;
•защита поддерживающей инфраструктуры;
•защита от перехвата данных;
•защита мобильных систем.
Меры физического управления доступом позволяют контролировать и при необходимости ограничивать вход и выход сотрудников и посетителей. Контролироваться может все здание организации, а также отдельные помещения, например, те, где расположены серверы, коммуникационная аппаратура и т.п.
Важно сделать так, чтобы посетители по возможности не имели непосредственною доступа к компьютерам или, в крайнем случае, позаботиться о том, чтобы от окон и дверей не просматривались экраны мониторов и принтеры. Необходимо, чтобы посетителей по внешнему виду можно было отличить от сотрудников. Если отличие состоит в том, что посетителям выдаются идентификационные карточки, а сотрудники ходят «без опознавательных знаков», злоумышленнику достаточно снять карточку, чтобы его считали «своим». Очевидно, соответствующие карточки нужно выдавать всем.
6URL: http://www.intuit.ru/studies/curriculums/15832/courses/10/lecture/310.
7См.: Макаренко С. И. Информационная безопасность: учебное пособие для студентов вузов. Ставро-
поль: СФ МГГУ им. М. А. Шолохова, 2009. 372 с. URL: http://window.edu.ru/catalog/pdf2txt/775/77775/58783?p_ page=11.
40