11.3. Юридические основы информационной безопасности

Действующий Уголовный кодекс РФ предусматривает наказания за преступления, связанные с нарушением конфиденциальности информации. Глава 28 «Преступления в сфере компьютерной информации» содержит статьи 272-274, посвященные преступлениям, связанным с неправомерным доступом к компьютерной информации, созданием, использованием и распространением вредоносных программ, нарушением правил эксплуатации ЭВМ, систем и сетей на их основе.

Интересы государства в плане обеспечения конфиденциальности информации наиболее полно представлены в законе «О государственной тайне»

Гостайна – это сведения в области военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-разыскной деятельности, распространение которых может нанести ущерб безопасности РФ.

11.4. Принципы защиты информации в компьютерных системах

Госкомиссией при президенте РФ были приняты руководящие документы, посвященные вопросам защиты информации, и основанные на следующих принципах:

1. Защита основывается на существующих законах, стандартах и нормативно-методических документах по защите информации.

2. Защита средств вычислительной техники обеспечивается комплексом программно-технических средств.

3. Защита информации обеспечивается комплексом программно-технических средств и поддерживающих их организационных мер.

4. Защита обеспечивается на всех технологических этапах обработки информации и во всех режимах функционирования, в том числе при проведении ремонтных и регламентных работ.

5. Программно-технические средства не должны существенно ухудшать основные функциональные характеристики ИС (надежность, производительность, возможность изменения конфигурации).

6. Оценка эффективности средств защиты, должна учитывать всю совокупность технических характеристик, включая технические решения и практическую реализацию средств защиты.

7. Защита должна предусматривать контроль эффективности средств защиты от несанкционированного доступа, который может быть периодическим или включаться по мере необходимости пользователем или контролирующими органами.

11.5. Меры по поддержанию работоспособности компьютерных систем

Правила проведения повседневных мероприятий администратором системы:

• Администратор должен организовать поддержку пользователей при решении возникающих у них проблем, связанных с безопасностью системы, и указать пользователям способы их решения;

• Администратор должен следить за целостностью программного обеспечения, следить за изменением файлов программ;

• Пользователь должен иметь возможность проводить резервное копирование своих данных, копии необходимо сохранять на съемных носителях информации;

• Компьютерная система должна быть снабжена источником бесперебойного питания.

11.6. Основы противодействия нарушению конфиденциальности информации

На этапе эксплуатации основной задачей защиты информации в ИС является предотвращение несанкционированного доступа к аппаратным и программным средствам, а также контроль целостности этих средств. Комплекс мероприятий затрудняющих или предотвращающих НДС:

• Идентификация (имя пользователя, учетный номер и др.) и аутентификация (пароль, биометрические параметры, съемные носители информации, электронные жетоны, пластиковые карты, механические ключи) пользователей.

• Мониторинг несанкционированных действий – фиксирование и анализ событий в журнале аудита.

• Разграничения доступа к ИС.

• Криптографические методы – наиболее эффективные средства защиты информации при передаче ее по протяженным линиям связи. Их называют шифрами. Криптография (от греч. kryptos – тайна и graphō – пишу).

Шифрование – процесс преобразования открытого сообщения в шифрованное с помощью определенных правил, содержащихся в шифре. Часто применяются следующие три метода шифрования:

• Шифрование заменой (подстановка). При подстановке символы шифруемого текста заменяются другими символами, взятыми из одного или нескольких алфавитов.

• Шифрование методом перестановки.

• Методы шифрования, использующие ключи.

В последней группе методов выделяют несколькоразновидностей:

С открытым ключом. В таких системах для шифрования используется один ключ, а для дешифрования – другой. Первый ключ не является секретным и может быть опубликован для использования всеми пользователями системы. Для дешифрования данных получатель использует второй ключ, который является секретным. Ключ дешифрования не может быть определен из ключа шифрования. RSA (Rivest, Shamir и Adieman) – наиболее распространенный метод криптографической защиты информации с открытым ключом.

Симметричный – для шифрования и дешифрования используется один и тот же ключ.

Асимметричный – метод с открытым ключом.

Кэш-функция – используется для шифрования паролей пользователей ИС и при создании электронной подписи. Она отображает сообщение любой длины в строку фиксированного размера.

Электронная цифровая подпись

При обмене электронными документами очень важным является установление авторства, подлинности и целостности информации в полученном документе. Для этого используется цифровая подпись, сопровождающая электронный документ. Она аналогична обычной рукописной подписи и обладает ее основными достоинствами:

• удостоверяет, что подписанный текст исходит от лица, поставившего подпись;

• не дает лицу, подписавшему текст, освобождения от обязательств, связанных с подписанным текстом;

• гарантирует целостность подписанного текста.

Электронная цифровая подпись представляет собой относительно небольшое количество дополнительной информации, передаваемой вместе с документом. На этапе формирования цифровой подписи генерируются два ключа: секретный и открытый. Открытый ключ рассылается всем абонентам, которым будет направлен электронный документ. Подпись, добавляемая к документу, содержит такие параметры отправителя, как дату подписи, информацию об отправителе письма и имя открытого ключа. С помощью кэш-функции, примененной ко всему документу, вычисляется число, характеризующее весь текст в целом. Это число, шифруется закрытым ключом и является электронной цифровой подписью. Получателю пересылается сам документ в открытом виде и электронная подпись. При проверке цифровая подпись расшифровывается открытым ключом, известным получателю. К полученному открытому документу применяется преобразование кэш-функцией. Результат ее работы сравнивается с присланной электронной подписью.

Кроме уже рассмотренных средств защиты информации в корпоративных информационных системах широко применяются методы защиты от несанкционированного доступа в рамках систем управления базами данных [12].