7.4. Проблемы безопасности информационной инфраструктуры бизнеса

В системе современного бизнеса существуют значительные массивы информации, обеспечение целостности, доступности и конфиденциальности которых имеет для бизнеса решающее значение. К такого рода информации относятся:

• данные контрактов и договоров, выполняемых организацией;

• данные о текущем финансовом, материальном, техническом состоянии организации;

• данные о перспективных и готовящихся проектах и договорах, бизнес-планы;

• данные о персонале;

• данные об используемых ноу-хау;

• данные о текущей деятельности организации;

• данные учета (оперативного, бухгалтерского, движения материальных средств и др.);

• данные, необходимые для выполнения функциональной деятельности всех подразделений организации.

В современном бизнесе практически вся эта информация хранится и обрабатывается в автоматизированных информационных системах (АИС). Поэтому эффективность деятельности фирмы, а, значит, и судьба ее бизнеса, становятся все в большей степени зависимы от устойчивости функционирования и защищенности этих систем от пассивного и активного информационного воздействия внешней среды и конкурентов, соответственно. Потеря работоспособности АИС может повлечь негативные последствия для бизнес-структуры, а в некоторых случаях привести к гибели системы в целом.

На начальных этапах внедрения информационных технологий АИС использовались главным образом в системах учета и контроля. В настоящее время АИС все активнее используются в качестве ядра бизнес-процессов. Новый импульс для использования информационных технологий в бизнесе дал Интернет. Сначала его роль сводилась, главным образом, к роли нового канала коммуникаций – через электронную почту пошел основной поток переписки между сотрудниками фирм.

Важнейшим для развития Интернет-бизнеса является сектор платежных систем и систем обеспечения безопасности электронного документооборота. Роль и число организаций этого сектора будут возрастать по мере интенсификации использования Интернета в бизнесе, расширения и укрепления нормативной и законодательной базы Интернет-экономики. В значительной степени именно недостаточная развитость указанного сектора препятствует развитию новых форм бизнеса с применением Интернета. В качестве еще одного препятствия нельзя не отметить противоречивость существующей нормативно-правовой базы по вопросам применения криптографии. И если в законодательной области в ближайшее время можно рассчитывать на какие-то сдвиги в связи с принятием Закона об электронной цифровой подписи, то в области криптографического обеспечения Интернет-бизнеса можно констатировать чрезвычайно тревожную ситуацию.

На сегодняшний день существует положение о том, что разрешено использование в системах общего пользования только сертифицированных ФАПСИ средств криптографической защиты информации, что обеспечивает определенные гарантии их безопасности, но нужно что-то делать с тем, чтобы при этом решалась проблема отсутствия на отечественном рынке достаточно полного набора средств криптографической защиты, отвечающих указанному требованию. Предлагаемые отечественными предприятиями сертифицированные средства и системы криптографической защиты либо ориентированы на ведомственные решения, либо предназначены для создания систем обслуживания узкого круга клиентов и не применимы для реализации реальных крупномасштабных проектов Интернет-бизнеса.

Для успешного развития систем электронной коммерции в нашей стране нужно обеспечить возможности широкого доступа пользователей к криптографическим средствам формирования электронно-цифровой подписи (ЭЦП). Необходимо создать сеть удостоверяющих центров открытых ключей ЭЦП, которые будут выдавать сертификаты открытых ключей и удостоверять их правильность при заключении сделок и проведении финансовых транзакций.

Развитие современного бизнеса невозможно без обеспечения конфиденциальности при обмене информацией через телекоммуникационные каналы связи, что делает обязательным применение надежных средств шифрования. Однако требование обеспечения широкомасштабного доступа к средствам сильного шифрования в масштабе страны сталкивается с проблемой существования угрозы того, что средства шифрования могут быть использованы преступными организациями для координации и организации своей деятельности или использоваться недобросовестными предпринимателями, например, для ведения двойной бухгалтерии и сокрытия доходов от налогообложения. Для нейтрализации этих угроз необходимо создать эффективную инфраструктуру центров доверенного хранения и восстановления секретных криптографических ключей. Для того, чтобы нейтрализовать угрозы возможных злоупотреблений со стороны обслуживающего персонала или официальных лиц соответствующего уровня, необходимо разработать и реализовать технологии распределенного хранения отдельных частей ключей в различных центрах с возможностью предоставления частей ключей только их владельцам или правоохранительным органам в порядке, установленном законодательством.

В ближайшее время в стране должна быть усовершенствована система оценки безопасности информационных технологий.

В настоящее время для оценки уровня безопасности средств информатизации и автоматизированных систем применяется набор требований Рабочих документов (РД) Гостехкомиссии, большинство из которых разработаны около 10 лет назад и не удовлетворяют современным требованиям. Ближайшим шагом должно стать принятие российского стандарта, близкого по своему составу и содержанию к Общим критериям оценки безопасности информационных технологий, зафиксированным в международном стандарте ISO 15408. На основе этого ГОСТа предполагается разработать и принять Профили защиты для конкретных типов средств информатизации, по которым можно будет проводить сравнение уровней информационной защищенности, которые обеспечивают соответствующие средства.