24.3. Угрозы, риски, правонарушения в области информационной безопасности

Понятия угроз, рисков, правонарушений

Наиболее общим понятием, объединяющим все виды на­рушений безопасности информационных ресурсов, инфор­мационных технологий и прав субъекта на информацию, является понятие «несанкционированный доступ» к объ­екту защиты от факторов нарушения безопасного функцио­нирования. Причинами нарушения безопасности являются: неудовлетворительная работа по организации охраны, за­щиты и использования соответствующего ресурса самим субъектом, ответственным за обеспечение информацион­ной безопасности.

Нарушениями в области информационной безопасно­сти могут быть угрозы, риски, правонарушения — проступ­ки и преступления, различаемые по степени общественной опасности, последствий и виновности нарушителя.

К угрозам обычно относят умышленные воздействия, включая и несанкционированный доступ со стороны внеш­них сил, относительно конкретной организации или инфор­мационной системы.

Угрозы в интернет-среде могут исходить от ряда субъек­тов. В отношениях по обеспечению информационной без­опасности в этом случае участвуют: операторы интернет-связи, абоненты, другие пользователи, правоохранительные органы. Например, к угрожающим действиям оператора относятся такие действия, как: незаконный сбор сведений об информационном общении абонента, умышленное изме­нение времени и скорости обмена информацией, фильтра­ция содержимого текста в сети и т.д.

К классификации угроз в области обеспечения безопас­ности могут быть применены различные подходы. Обра­тим внимание на два из них: во-первых, угрозы состоянию всего комплекса ИКТ и его составляющих, угрозы внутри­системные и внешние; во-вторых, угрозы от самой инфор­мации и средств ее обработки и передачи для сфер, в ко­торых используют эти ресурсы. Это области национальной безопасности: оборонная, экономическая, производствен­ная, социальная, научная, управленческая и т.п. Особенно чувствительными являются области обращения социально значимой, личной информации, а также области использо­вания информации и информационных технологий двойно­го назначения и критически важных объектов.

Риск как возможное наступление неблагоприятных по­следствий возникает, чаще всего, в результате отступлений от установленных правил поведения и организации отно­шений субъектов, самостоятельно обеспечивающих без­опасность своих информационных систем, допускающих нарушение правового режима информационных ресурсов, информационных технологий. Распространение, например, информации порнографического характера, о наркотиках и т.п. влечет неотвратимость уголовной ответственности за нарушение закона для тех, кто распространяет такую ин­формацию и создает угрозы для общества в целом.

К области рисков следует отнести и промахи в законо­дательной практике. Федеральный закон «О персональных данных», принятый в 2006 г., не имел подготовленной базы для его исполнения. Соответственно, в 2009 г. возник риск того, что он не будет действовать в полной мере, так как ин­формационные системы персональных данных, созданные до вступления его в силу, не могут быть до 1 января 2010 г. приведены в соответствие с этим законом. Поэтому указан­ный срок продлен до 1 января 2011 г. Такое явление объ­ясняется поспешностью принятия закона, но одновременно с этим и неготовностью системы отношений и инфраструк­туры к его реализации.

Упущения в правовом обеспечении мер безопасности, небрежность в оформлении документов и их баз данных, неправильное оформление трудовых отношений с работ­никами, соприкасающимися с информацией ограниченного доступа, обязательно создают возможность возникновения угроз, идущих изнутри самой организации. Эти же ситуа­ции могут возникнуть и в результате небрежного оформ­ления отношений с контрагентами или иными субъектами информационного взаимодействия.

Правонарушения могут быть реализованы в форме должностного проступка, административного правонару­шения, преступления. Напомним, что административным правонарушением признается противоправное, виновное действие (бездействие) физического или юридического лица, за которое устанавливается административная ответ­ственность в соответствии с действующим КоЛП РФ. Уго­ловные преступления в информационной ссрере предусмо­трены УК РФ.

Для осмысления того, какое значение имеет ситуация нарушения обеспечения информационной безопасности, может быть интересен тот факт, что только 27% организа­ций используют системы защиты от утечки информации, 47% — не используют, а 24,7% — не знают об этом, что дает основания говорить об их безразличном отношении к данному вопросу. Все же создание центров управления безопасностью (SOS—SecurityOperationCenter) является весьма полезным для предупреждения угроз, рисков и пра­вонарушений в информационной сфере.

Конфликты в области информационных отношений — причина нарушения информационной безопасности

Исследования проблем обеспечения информационной безопасности и методов предотвращения нарушений в этой области обозначили необходимость более глубоко разо­браться в вопросах информационных конфликтов, часто приводящих к более серьезным последствиям, чем просто фиксация очевидного конфликта и ожидание его затухания или перерастания в правонарушение. В этой связи в 2008 г. в ИГП РАН был проведен теоретический семинар на тему «Конфликты в информационной сфере», материалы кото­рого опубликованы в одноименном сборнике статей и вы­ступлений его участников.

«Конфликт в переводе с латинского, — говорила про­фессор Т. А. Полякова, — это столкновение противополож­но направленных целей, интересов, позиций, мнений или взглядов оппонентов или субъектов взаимодействия». Та­кие противоречия при построении информационного обще­ства неизбежны, многообразны и всеобъемлющи.

Рассматривая конфликты как объективированную в от­ношениях субъектов форму противоречий, мы обратили внимание на то, что конфликты возникают как в области социальной сферы, так и в системе информатизации, в информационной инфраструктуре. Они могут быть по значи­мости и отрицательными относительно решаемых обще­ством задач, и позитивными, наталкивая ответственных субъектов на поиск новых или более совершенных реше­ний. Конфликт может выполнять роль мотива правонару­шения, если он не учтен в процессе его выявления. Чаще всего конфликты проявляются в самом законодательстве в силу его слабой согласованности и недостаточно тщатель­ной подготовленности проектов нормативных актов, а так­же упущений в процессах правоприменения и исполнения законодательных актов.

Весьма существенны конфликты в области правотвор­чества в условиях культурного разнообразия и игнорирова­ния исторических факторов при реализации установленных правил, непонимания баланса и согласованности действий в области отношений органов государственной власти и местного самоуправления, юридических лиц и граждан. Конфликты возникают по причинам несоблюдения правил работы с информационными технологиями, информаци­онными ресурсами, невыполнения требований к системам коммуникаций. Способы разрешения конфликтов различ­ны и зависят от причин и области их возникновения. Они могут быть погашены в административном, служебном порядке, путем мирного взаимодействия сторон, но могут быть доведены и до судебного рассмотрения. В любом слу­чае наличие конфликта, выявленного и зафиксированного, является условием предотвращения более серьезных ситуа­ций. Можно сказать, что за каждой формой нарушения пра­вил обеспечения информационной безопасности скрыты выявленные или невыявленные конфликты объективного или субъективного характера.

С учетом значимости конфликта в рассматриваемой об­ласти общественных отношений важно сформулировать по­нятие юридически значимого конфликта в информационной среде (сфере) следующим образом. Юридически значимым конфликтом является создание ситуации нестабильности законных прав и интересов граждан, государства, общества, отдельных организаций в их информационной среде, ситуа­ции, снижающей уровень обеспечения безопасности, в том числе ведущей к созданию угроз, рисков и разрушений в самой информационной инфраструктуре или в области прав субъектов — участников информационных отношений и процессов. Отметим, что конфликты ведут к подрыву зна­чимости информации в процессе развития информацион­ного, гражданского, демократического, социального, устой­чивого правового и гуманного общества.

Внешние и внутренние угрозы и их источники

Информационное развитие стран в XX и XXI вв. сфор­мировало два направления деятельности в области обеспе­чения информационной безопасности. Это деятельность по обеспечению безопасности информационной инфраструк­туры в масштабе государства и деятельность по проведе­нию мер информационного противоборства с другими госу­дарствами.

Например, в США Национальный план обеспечения безопасности информационных систем сопровождается из­данием книг с разноцветной обложкой, где излагаются тре­бования к обеспечению безопасности в информационной сфере. Они содержат от 8 до 10 конкретных программ. Ана­логичная книга («Зеленая») была одобрена в ФРГ, Велико­британии, Франции, Голландии. На ее основе в ЕС создана система критериев оценки угроз ITSE(Критерии оценки защищенности информационных технологий). В более поздней книге — «Белой» - перечислены восемь компо­нентов безопасности.

Как правило, они касаются таких направлений деятель­ности, как: определение критически важных ресурсов ин­фраструктуры, их взаимосвязей и стоящих перед ними угроз; обнаружение нападений и несанкционированных вторжений; разработка разведывательного обеспечения и правовых актов по защите критических информационных систем; своевременный обмен информацией предупрежде­ния; создание возможностей по реагированию, реконфигу­рации и восстановлению. Более подробно эти вопросы рас­смотрены в работах А. А. Стрельцова и В. Н. Лопатина.

Аналогичные программы существуют и в других странах. Их реализация мобилизует государственные и обществен­ные структуры, субъектов корпоративных и персональных информационных систем на выработку концепций и мер борьбы с внутренними угрозами и рисками в сфере их ин­формационной безопасности.

Наряду с программами обеспечения информационной безопасности разрабатываются и планы информационного противоборства. В зарубежной практике эта часть работ на­зывается «информационными операциями». Печать и теле­радиовещание середины 2008 г. сообщают об ужесточении таможенных правил и правил контроля за багажом авиа­пассажиров в США. Контроль касается всех средств ин­формационных технологий и связи (ноутбуков, мобильных телефонов, других носителей информации). Ноутбуки из­ымаются на две-три недели, и в каком состоянии они будут возвращены владельцу, не ясно. Все это делается во имя борьбы с угрозами так называемого терроризма. Контролю подлежат носители информации, принадлежащие не толь­ко туристам, но и гражданам США.

В процессе реализации программ и законодательства в этой области обосновываются системы внешних угроз для других стран и субъектов. Это могут быть реализуемые в разных формах информационные войны, спам, распростра­нение ложной или незаконной рекламы, ложных сведений и т.д. В этом плане весьма показательны ситуации, пред­ставленные в публикации немецкого журнала «DerSpiegel» о практике конфликтов китайских пользователей с амери­канским интернет-концерномGoogleпо поводу использо­вания его продукта в китайской информационной практике. Выявляются двусторонние нарушения и просчеты, а также меры по выходу из сложившегося критического положения. Одновременно этот инцидент обнаружил и наличие жестко соблюдаемого режима конкуренции между разными компа­ниями, обеспечивающими функционирование Интернета.

В уже упомянутой коллективной работе, посвященной «информационным операциям», упоминается документ США 1998 г. «Объединенная доктрина борьбы с система­ми управления» и директива S3600. «Информационные операции». В соответствии с этими и подобными докумен­тами предполагается, что американские вооруженные силы могут получить в свое распоряжение интегрированную си­стему принятия решений, базирующуюся на технологиях искусственного интеллекта, использовании нанотехнологий, эффективном анализе информации и т.п., что позволит обе­спечить к 2020 г. принятие решений в реальном времени. Естественно, что подобные планы, и особенно в военной об­ласти, должны вызвать соответствующую реакцию защиты.

Меры по противостоянию внешним информационным угрозам должны быть дифференцированы относительно степени их вредности в области реализации конституци­онных прав и свобод человека и гражданина, в сфере за­щиты интересов государства и общества в целом. При этом важно сосредоточить внимание не столько на прямом уча­стии в информационных войнах, сколько на профилактике противостояния, предотвращении внешних угроз. Прежде всего — на укреплении правовой основы пресечения, пре­дотвращения вредных для общества форм информацион­ной борьбы — «холодных» и «горячих» войн. А для этого необходимо уделять наибольшее внимание правовому, ор­ганизационному и техническому уровню обеспечения ин­формационной безопасности национальных систем инфор­матизации, организации каждой информационной системы в отдельности.

При организации и оценке деятельности в области обе­спечения информационной безопасности важно учитывать следующие условия: 1) точное определение информацион­ного объекта, безопасность которого обеспечивается; 2) ин­формационный статус субъекта, безопасность прав которо­го обеспечивается; 3) правовой статус субъектов, которые обеспечивают информационную безопасность; 4) знание угроз, рисков, правонарушений в зоне обеспечения инфор­мационной безопасности, а также источников, от которых эти угрозы исходят; 5) наличие установки, как, какими спо­собами (мерами) может быть обеспечен необходимый уро­вень безопасности конкретного информационного объекта и прав субъектов, которые связаны с этим информацион­ным объектом.

Основные направления повышения уровня защищен­ности объектов общей информационно-технологической инфраструктуры федеральных органов государствен­ной власти на основе распоряжения Правительства РФ от 27.09.2004 № 1244-р освещены в работе Л. В. Короткова и его соавторов. Они включают:

1) обеспечение комплексного подхода к решению задач информационной безопасности с учетом необходимости дифференциации ее уровня в различных федеральных ор­ганах государственной власти;

2) разработку модели угроз информационной безопас­ности;

3) определение технических требований и критери­ев установления критических объектов информационно-технологической инфраструктуры, создание реестра критиче­ски важных объектов, разработку мер по их защите и средств надзора за соблюдением соответствующих требований;

4) обеспечение эффективного мониторинга состояния информационной безопасности;

5) совершенствование нормативной правовой и мето­дической базы в области защиты государственных инфор­мационных систем и ресурсов, формирование единого по­рядка согласования технических заданий на обеспечение информационной безопасности государственных информа­ционных систем и ресурсов;

6) проведение уполномоченными федеральными орга­нами государственной власти аттестации государственных информационных систем и ресурсов, используемых в дея­тельности федеральных органов государственной власти, и контроль их соответствия требованиям информационной безопасности;

7) создание физически обособленного телекоммуника­ционного сегмента специального назначения, обеспечиваю­щего возможность обмена в электронном виде информаци­ей, содержащей государственную тайну, для ограниченного круга органов государственной власти;

8) развитие средств защиты информации систем обеспе­чения безопасности электронного документооборота, систе­мы контроля действия государственных служащих по работе с информацией; развитие и совершенствование защищенных средств обработки информации общего применения, систем удостоверяющих центров в области электронной цифровой подписи, а также систем их сертификации и аудита

.