Процесс информатизации является неотъемлемой частью современного информационного общества. Этот процесс порождает зависимость субъекта от глобального информационного пространства, которое, в свою очередь, связывает мир в единую общую систему. Государства в такой системе являются информационно взаимозависимыми, а сам субъект (общество или человек) ее неотъемлемая часть.
Но процесс информатизации имеет и негативные последствия для общества, например, порождает опасности мирового уровня, связанные с обеспечением информационной безопасности (информационное оружие, информационная война и т.д.)
В настоящее время обеспечение информационной безопасности является одной из приоритетных задач многих государств.
Ключевой составляющей термина «информационная безопасность» является само понятие безопасности.
В каждой эпохе определение безопасности трактовалось по-разному.
Изначально безопасность понималась через реализацию отношений природы и человека; все опасности казались непостижимыми и принимались беспрекословно.
В древнегреческой философии считалось, что достичь абсолютной безопасности возможно только лишь во время деятельности, приносящей удовольствие. А единственная безопасная форма общего бытия – город-государство, основной целью которого является воспитание людей в духе благодеяния.
На этапе религиозного мировоззрения безопасность принималась в качестве абсолютного блага.
Немецкая классическая философия подразумевала пути достижения безопасности с помощью действия созидательных сил индивида – общения, разума, нравственности и труда, а сам индивид определялся как деятельное создающее себя культурно-историческое существо. Отсюда можно сделать вывод, что в каждом философском направлении, используются собственные критерии для оценки безопасности, а определение этому термину дается в зависимости от господствующего мировоззрения и культурно-исторической ситуации.
Согласно закону, в настоящее время безопасность – состояние защищенности жизненно важных интересов личности, общества и государства от внутренних и внешних угроз (ст. 1). Жизненно важные интересы при этом – это совокупность потребностей, удовлетворение которых надежно обеспечивает существование и возможности прогрессивного развития личности, общества и государства.
Основной структурной оставляющей выделенных объектов безопасности является деятельность, основной предмет которой – информация. Наличие угроз личности, обществу, государству или интересам данных объектов позволяет ввести понятие информационная безопасность.
Информационную безопасность в общем виде можно определить как невозможность нанесения вреда свойствам объекта безопасности, обусловливаемым информацией и информационной инфраструктурой.
Из такого определения информационной безопасности можно выделить два важных следствия:
Трактовать проблемы, в основе которых лежит информационная безопасность, можно по-разному. Формулировка будет зависеть от категории субъекта. Ярким примером будет служить сопоставление государственных и учебных организаций. В первом случае, будет легче допустить перерыв в работе, чем раскрыть секретную информацию, а во втором – поддерживать стабильность в работе самой системы.
Субъект информационных отношений может понести убытки или пострадать не только от несанкционированного доступа к информации, но и от сбоев, вызвавших перерыв в работе. Следовательно, понятие информационная безопасность нельзя свести только к защите от несанкционированного доступа к информации. Для некоторых организаций защита от несанкционированного доступа вообще не является ключевой позиций в политике информационной безопасности.
В ХХ в. возникла концепция «информационного общества», вследствие чего сформировалась проблема обеспечения информационной безопасности. В условиях мировой глобализации данная проблема приобретает международный, комплексный и междисциплинарный характер.
Информационно-технический прогресс способствует и появлению новых видов опасностей. К наиболее значимым из них относят: информационное оружие, социальные преступления в IT сфере, а так же применение информационных технологий в политической борьбе.
Первый вид опасностей способен нанести наибольший урон. Применяя такое оружие в мирное время, можно спровоцировать кризис в другой стране или вызвать протестные настроения общества по отношение к действующему политическому режиму. Следовательно, информационное оружие влияет не только на сознание и психику людей, но при этом оно способно изменить информационно-техническую составляющую общества. Примером информационного оружия могут служить компьютерные вирусы, которые способны вывести из строя системы управления, фальсификацию информации, логические бомбы и т.д. Социальные преступления в информационной сфере являются не менее значимым видом опасностей, поскольку могут быть направлены против личности, общества и государства. Примерам данного вида преступлений могут служить: мошеннические манипуляции с электронными деньгами, компьютерное хулиганство. В данный момент предотвращение подобных видов преступлений против общества и государства является одной из ключевых задач национальной политики безопасности. Это в большей степени связанно с активным развитием кибертерроризма и международной компьютерной преступности.
Третий вид опасностей является наименее агрессивным, но не стоит недооценивать его значение. В первую очередь усиление влияния информационных технологий в политической борьбе обусловлено ослаблением государственного давления. Ключевую роль играет информация, а умение правильно распорядиться информационными ресурсами обеспечивает победу на политической арене в большинстве случаев.
Все эти новые угрозы потребовали ответных мер. В России, в частности ,была разработана и принята «Доктрина информационной безопасности РФ». В ней определены составляющие национальных интересов, основные угрозы, а также даны методы обеспечения информационной безопасности. Доктрина содержит в себе основные принципы государственной политики РФ в информационной сфере и служит основой для разработки целевых программ обеспечения информационной безопасности Российской Федерации.
Стремление к информационному обществу порождает новые виды опасностей и угроз. Само же общество вынуждено реагировать на вызовы международной, национальной, общественной и личной безопасности.
Речь идет о следующих методах: разработка международно-правовых соглашений, при помощи которых возможно осуществление контроль за производством и распространением информационного оружия, о координировании деятельности в борьбе с кибертерроризмом и международными компьютерными преступлениями, о защите интеллектуальной собственности и авторских прав на материалы, распространяемые в открытом доступе. Необходимо разработать способы контроля за распространением по Интернету нецензурной и оскорбляющей общественную нравственность информации, недобросовестной рекламы, мошеннических операций и прочих материалов, оказывающих негативное воздействие на физическое, психическое и моральной здоровье людей.
Следовательно, наиболее рациональным подходом к проблемам информационной безопасности является выявление субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем (ИС). Угрозы информационной безопасности – это обратная сторона использования информационных технологий.
Быстрый процесс информатизации общества создает новый этап развития в современной науке. Исследования философов все больше направлены на изучение многогранных и сложных междисциплинарных объектов.
Обеспечение информационной безопасности является первоочередной задачей для современного общества. Это достаточно сложный и многофункциональный процесс, который зависит как от внешних, так и от внутренних факторов. Это объясняется тем, что на современном этапе развития общества информационные технологии приобретают все большую значимость в жизни не только отдельного человека, но и целого государства. Список литературы:
1. Соловьёв, А.В. Информационное общество: полифония культурных форм/ А.В. Соловьёв. – Рязань, Ряз. гос. ун-т им. С.А. Есенина, 2007. – 184 с.
2. Астахова, Л.В.Информационная безопасность: герменевтический подход / Л.В. Астахова. – М.: РАН, 2010. – 185
3. Закон Российской Федерации «О безопасности» от 5 марта 1992 года; Концепция национальной безопасности Российской Федерации, в редакции Указа Президента Российской Федерации № 24 от 10 января 2000 года.
4. Обеспечение информационной безопасности России. Теоретические и методологические основы / Стрельцов А.А. – М., МЦНМО, 2002. – 296 с.
Угрозы можно классифицировать по нескольким критериям:
по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены в первую очередь;
по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);
по способу осуществления (случайные/преднамеренные, действия природного/техногенного характера). 5. Принцип работы антивирусных программ
Обнаружение и удаление вредоносного кода с использованием всего комплекса необходимых технологий. Антивирусные технологии развиваются параллельно с эволюцией вредоносных программ, становясь всё более изощренными по мере усложнения угроз.
Принципы действия антивирусных программ можно классифицировать несколькими способами. Один из видов классификации базируется на том, какая угроза нейтрализуется – известная или неизвестная вирусным аналитикам и антивирусным компаниям: Реактивная защита – защита от известных угроз с использованием знаний об участках кода и других уникальных особенностях существующих вредоносных программ. Для того чтобы такая защита работала успешно, антивирусная программа должна иметь обновленные базы сигнатур. Проактивная защита – защита от новых вредоносных программ, основанная на знании неуникальных особенностей кода и поведения, характерных для деструктивного ПО.
Еще один вид классификации технологий, реализующих принцип антивирусной защиты, базируется на том, какие свойства угроз и потенциально зараженных объектов анализируются при детектировании:
Анализ кода подозрительных объектов.
Поведенческий анализ подозрительных объектов.
Отслеживание изменений файлов, хранящихся на компьютере, по контрольным суммам и другим признакам.
Антивирусные технологии можно классифицировать и по тому, в каком режиме осуществляется защита:
Постоянный мониторинг за процессами на компьютере и в сети, и обнаружение угроз «на лету», например, при открытии зараженного файла или загрузке инфицированной веб-страницы в браузер.
Сканирование компьютера, запускаемое по расписанию, событию или запросу пользователя.
Ещё один способ классификации технологий, реализующих принцип антивирусной защиты:
Блокирование или ограничение активности объектов, содержащихся в «черных» списках (например, в базах сигнатур угроз), и разрешение запуска всех остальных.
Разрешение активности только безопасных объектов из «белых» списков и запрет активности всех остальных.
Комбинированный подход, например, использование «черных» списков для обнаружения угроз и «белых» списков для коррекции результатов детектирования и минимизации ложных срабатываний.
Знать принцип работы антивирусов необходимо для правильного выбора антивирусного решения. Полноценный антивирус должен включать в себя полный комплекс технологий, нейтрализующих любые типы угроз. 6. Антивирусы 1) KasperskyAntivirus
Работа различных антивирусов одного класса мало чем отличается. Антивирус Касперского обеспечивает защиту среднего класса, поскольку не контролирует сетевой трафик в полном объеме. Работает антивирус так. В течении всего времени, когда компьютер включен он следит за запускаемыми программами, подключаемыми внешними устройствами и скачиваемыми файлами. При запуске программы Антивирус Касперского оценивает ее безопасность еще до исполнения кода. Таким образом он пытается заблокировать вредоносное ПО прежде чем оно успеет навредить вашему компьютеру. 2) Avast!
Avast! Internet Security представляет собой антивирусную систему, которая способна обнаруживать и ликвидировать различные виды вредоносных элементов, троянов, шпионских приложений и др. Способен в одном сеансе проверить всю систему на наличие вредоносного ПО и устаревших версий программ, требующих обновления. 3) Dr. WEB
«Доктор веб» – один из немногих антивирусных вендоров в мире, владеющих собственными уникальными технологиями детектирования и лечения вредоносных программ. Антивирусная защита Dr. Web позволяет информационным системам клиентов эффективно противостоять любым, даже неизвестным угрозам. 7. Опрос «Каким антивирусом вы защищаете компьютер?»
В нашем опросе приняли участие учащиеся школы и учителя, результаты которого вы можете видеть на диаграмме. То есть, если вы не рискуете самостоятельно решить, какой антивирус лучше установить на компьютер, то можно довериться данным этого опроса и установить тот, которым пользуется большинство людей. 8. Опрос «Какая информация защищается в первую очередь?»
Данный опрос мы провели среди IT – специалистов, которые считают, что персональные данные необходимо защищать в первую очередь. 9. Способ частичного взлома учетных записей GMail
Исследователь Ахмед Мехтаб нашел нетривиальный способ частичного взлома учетных записей GMail. Используя ошибку в функции объединения разных аккаунтов и пересылки почты, он показал, как можно отправлять сообщения от имени жертвы. В нормальных условиях подключить дополнительную учетную запись к собственной можно с помощью соответствующего меню в настройках. После этого на дополнительную почту отправляется подтверждение. Необходимо кликнуть на линк в этом сообщении, и у вас появляется возможность отправлять почту с собственного ящика от имени этого дополнительного аккаунта.
Соответственно, если у вас нет доступа к атакуемой почте, вы не увидите письмо с подтверждением и ссылку. Но в редких случаях это не требуется: если атакуемая учетная запись деактивирована, и почтовый сервер Google присылает нотификацию о невозможности доставки сообщения. Тогда можно стандартными средствами запросить подтверждение, оно отправится на атакуемый ящик, и вернется целиком в составе сообщения о невозможности доставки. Останется только кликнуть ссылку.
Понятно, что атака имеет крайне ограниченную сферу применения: против реальных почтовых ящиков она возможна только в случае, если каким-то образом заставить владельца деактивировать аккаунт. Второй вариант: жертва заблокировала ваш почтовый ящик, в таком случае начинают присылаться аналогичные сообщения. Как бы то ни было, можно только отправлять письма от имени жертвы, но не получать их. Исследователю удалось прикрутить к своей почте несуществующие адреса с красивыми именами типа [email protected]. Естественно, на момент публикации исследования, лазейка уже была закрыта.
Методы взлома
Полагаете, что ваши пароли в безопасности? Подумайте еще раз. Если вы хотите, чтобы ваш пароль и данные, которые он охраняет, были защищены от хакеров настолько, насколько это возможно, то обязательно ознакомьтесь с методами, используемыми для взломов паролей. В случае если Вы думаете, что такие преступные типы обойдут Вас своим вниманием, или думаете, что они никогда не смогут угадать Ваш пароль, может быть, Вам будет интересно узнать, насколько Вы не правы.
Вот наиболее распространенные методы взлома паролей: 1) Фишинг
Самый простой способ взлома – спросить у пользователя его/ее пароль. Фишинговое сообщение приводит ничего не подозревающего читателя на поддельные сайты онлайн-банкинга, платежных систем или иные сайты, на которых нужно обязательно ввести личные данные, чтобы “исправить какую-то страшную проблему с безопасностью”.
Зачем утруждать себя взломом пароля, когда пользователь с радостью сообщит его сам? 2) Социальная инженерия
Социальная инженерия придерживается той же концепции, что и фишинг – “спросить у пользователя пароль”, но не с помощью почтового ящика, а в реальном мире.
Любимый трюк социальной инженерии – позвонить в офис под видом сотрудника ИТ-безопасности и просто попросить пароль доступа к сети. Вы будете удивлены, как часто это работает. Некоторые преступники даже испытывают потребность – надеть костюм и бейдж прежде, чем придти в компанию, чтобы задать администратору в приемной тот же вопрос лицом к лицу. 3) Вредоносное программное обеспечение
Программа перехвата вводимой с клавиатуры или выводимой на экран информации может быть установлена вредоносным ПО, которое фиксирует всю информацию, которую Вы вводите, или создает скриншоты во время процесса авторизации, а затем направляет копию этого файла хакерам.
Некоторые вредоносные программы ищут существующий файл с паролями веб-браузера клиента, затем копируют этот файл, который (кроме хорошо зашифрованных) будет содержать легкодоступные сохраненные пароли из истории страниц, посещенных пользователем. 4) Оффлайн хакинг
Легко представить себе, что пароли в безопасности, когда они защищены системами блокировки, которые блокируют пользователей после трех-четырех неудачных попыток набора пароля, что также позволяет блокировать приложения автоматического подбора паролей. Это было бы верно, если бы не тот факт, что большинство взломов паролей происходит в оффлайне, с использованием набора хэшей в файле паролей, которые были “получены” от скомпрометированной системы.
Часто, рассматриваемая жертва оказывается скомпрометирована через взлом третьей стороны, которая тем самым обеспечивает доступ хакерам к системе серверов и всех важных файлов пользователя с хэшированными паролями. Взломщик паролей может работать столько времени, сколько ему нужно, чтобы попытаться взломать код без оповещения целевой системы или отдельных пользователей. 5) Подглядывание через плечо
Наиболее самоуверенные хакеры под видом курьеров, специалистов по техническому обслуживанию кондиционеров или любых других служащих проникают в офисные здания.
Как только они попадают в офисное здание, униформа обслуживающего персонала предоставляет им своего рода бесплатный билет на беспрепятственный доступ во все уголки офисного здания. Это позволяет им записывать пароли, вводимые реальными сотрудниками, а также предоставляет отличную возможность увидеть все те пароли, которые многие так любят писать на стикеры и клеить прямо на мониторы своих компьютеров. 6) Метод “пауков”
Опытные хакеры поняли, что многие корпоративные пароли состоят из слов, которые связаны с бизнесом. Изучение корпоративной литературы, материалов веб-сайтов, сайтов конкурентов и даже список клиентов могут обеспечить хакеров “боеприпасами” для построения пользовательского списка слов, который затем используется для взлома методом грубой силы.
Действительно опытные хакеры автоматизировали процесс и запускают “паутинные” приложения, аналогичные тем, которые применяются ведущими поисковыми системами, чтобы определить ключевые слова, собрать и обработать списки для взлома. 7) Догадки
Лучшим другом взломщиков паролей, конечно, является предсказуемость пользователей. Если действительно случайный пароль был создан с помощью программного обеспечения, предназначенного для этой задачи, то пользовательский “случайный” пароль, вряд ли будет напоминать что-то подобное.
Вместо этого, благодаря нашей эмоциональной привязанности к вещам, которые нам нравятся, скорее всего, те “случайные” пароли, которые мы создадим, будут основаны на наших интересах, хобби, именах домашних животных, семье и так далее. На самом деле, пароли, как правило, строятся на основе всех тех вещей, о которых мы так хотели бы поговорить в социальных сетях и даже включить в наш профиль. Взломщики паролей, вполне вероятно, посмотрят на эту информацию и сделают несколько, часто правильных, догадок при попытке взломать пароль потребительского уровня, не прибегая к словарю или методу грубой силы. 10. Способы защиты информации Использование паролей
Идея использования паролей заключается в следующем: если кто-либо попробует обратиться к вашим данным или аппаратным средствам, то пароли должны создать собой массу неудобств. Чем сложнее будет угадать или “взломать” используемый вами пароль, тем в большей безопасности будут ваши данные. Длина пароля существенно влияет на уровень защиты. Личные номера на сегодняшний день являются одним из наименее безопасных паролей широкого использования (напр. Кредитные карты для кассовых аппаратов АТМ или телефонные карты). В личных номерах могут использоваться цифры от 0 до 9, то есть номер может иметь десять тысяч вариаций. Шифрование
Шифрование – способ преобразования открытой информации в закрытую и обратно. Применяется для хранения важной информации в ненадёжных источниках или передачи её по незащищённым каналам связи Способы шифрования:
1) симметричное шифрование: посторонним лицам может быть известен алгоритм шифрования, но неизвестна небольшая порция секретной информации — ключа, одинакового для отправителя и получателя сообщения;
2) асимметричное шифрование: посторонним лицам может быть известен алгоритм шифрования, и, возможно, открытый ключ, но неизвестен закрытый ключ, известный только получателю. Электронная подпись
Электронная цифровая подпись в электронном документе признается юридически равнозначной подписи в документе на бумажном носителе.
При регистрации электронно-цифровой подписи в специализированных центрах корреспондент получает два ключа: секретный и открытый.
Процесс подписания электронного документа состоит в обработке с помощью секретного ключа текста сообщения.
Для проверки подлинности сообщения и электронной подписи абонент использует открытый ключ. Заключение
В ходе исследования было выяснено, что защита информации – есть комплекс мероприятий, проводимых собственником информации, по ограждению своих прав на владение и распоряжение информацией, созданию условий, ограничивающих ее распространение и исключающих или существенно затрудняющих несанкционированный, незаконный доступ к засекреченной информации и ее носителям.
А понятие информационной безопасности – это защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры.
Введение
С конца 80-ых начала 90-ых годов проблемы связанные с защитой информации беспокоят как специалистов в области компьютерной безопасности так и многочисленных рядовых пользователей персональных компьютеров. Это связано с глубокими изменениями вносимыми компьютерной технологией в нашу жизнь. Изменился сам подход к понятию “информация”. Этот термин сейчас больше используется для обозначения специального товара который можно купить, продать, обменять на что-то другое и т.д. При этом стоимость подобного товара зачастую превосходит в десятки, а то и в сотни раз стоимость самой вычислительной техники, в рамках которой он функционирует.
Естественно, возникает потребность защитить информацию от несанкционированного доступа, кражи, уничтожения и других преступных действий. Однако, большая часть пользователей не осознает, что постоянно рискует своей безопасностью и личными тайнами. И лишь немногие хоть каким либо образом защищают свои данные. Пользователи компьютеров регулярно оставляют полностью незащищенными даже такие данные как налоговая и банковская информация, деловая переписка и электронные таблицы. Проблемы значительно усложняются, когда вы начинаете работать или играть в сети так как хакеру намного легче в это время заполучить или уничтожить информацию, находящуюся на вашем компьютере. Кому нужны ваши данные?..
Это зависит от того, кто вы такой и какими данными располагаете. Но также существует отдельный тип рода деятельности называемый хакером (англ. cracker – взломщик). Некоторые работают группами, некоторые отдельно. Их методы различны, но основной постоянный рабочий инструмент – программа-взломщик, делящаяся на два основных компонента: программа для доступа к удаленным компьютерам по телефонным сетям и словарь вероятных кодов и паролей. Задача программы-взломщика получить доступ к удаленному компьютеру с помощью подбора кодов и паролей до тех пор, пока комбинация не будет найдена; это обеспечит доступ к системе.
Фрикеры – это взломщики, которые специализируются на нападениях на телефонные системы. Телефонная сеть привлекает внимание большинства взломщиков так как она является на данный момент самой большой (глобальной) сетью на планете. Выбор системы защиты
Запирать двери не очень удобно, однако без этого вы не выходите из дома. То же относится и к защите вашей компьютерной системы. Все, что от вас требуется – это готовность выполнять текущий контроль и совсем немного технических знаний.
Любая компьютерная система не является идеальной, то есть полностью не может обеспечить безопасность данных на вашем ПК. Чтобы на 100% защитить данные от попадания в чужие руки надо их уничтожить. А чтобы сохранить содержимое вашего компьютера в целости надо найти компромисс между важностью защищаемых вами данных и неудобствами связанными с использованием мер защиты. Далее я расскажу о ценных методах защиты данных, а также о том как уменьшить связанные с защитой данных неудобства. Дело в том, что каждый раз, когда повышается уровень защиты требуется более изощренный способ ее обхода. Выбор средства защиты должен основываться на обеспечении достаточной защищенности и в то же время не доставлять неудобств. Каждый пользователь должен произвести собственный анализ риска и решить какие меры защиты наиболее подходят вам в данном случае. Анализ риска для персональных компьютеров можно разделить на три класса: анализ автономных систем, то есть одного компьютера, анализ локальных систем и анализ систем удаленного доступа имеющих связь с глобальной сетью (напр. Internet). Использование паролей
Идея использования паролей заключается в следующем: если кто-либо попробует обратиться к вашим данным или аппаратным средствам, то пароли должны создать собой массу неудобств. Чем сложнее будет угадать или “взломать” используемый вами пароль, тем в большей безопасности будут ваши данные. Длина пароля существенно влияет на уровень защиты. Личные номера на сегодняшний день являются одним из наименее безопасных паролей широкого использования (напр. Кредитные карты для кассовых аппаратов АТМ или телефонные карты). В личных номерах могут использоваться цифры от 0 до 9, то есть номер может иметь десять тысяч вариаций. Этого достаточно если речь идет о человеке стоящем возле АТМ и набирающего код наугад, но совсем не много если речь идет о компьютере использующем лобовой метод решения.
При “лобовом” нападении проверяются все возможные комбинации паролей до тех пор пока одна из них не сработает. При увеличении длины пароля сложность лобового нападения возрастает так как это займет больше времени. Конечно, многие банки используют не только четырехразрядный код (PIN), но и другие методы для повышения безопасности, например, видеокамеры и АТМ, которые блокируют карточки. При этом меры защиты в каждом банке сильно отличаются. Большинство банков также оказывают следующую услугу: вы можете позвонить в банк, набрать номер карточки и личный номер и узнать состояние текущего счета. Этот сценарий делает уязвимым ваш личный номер (PIN) – некто может засесть за телефон и пробовать разные варианты.
С телефонной карточкой возникает та же проблема. Сети дальней телефонной связи вроде AT & T, MCI, Sprint также используют личные четырехразрядные номера для опознания звонков. Предположим, вы потеряли бумажник… обычно первая реакция – сожаления о наличных ценностях, а лишь потом звонят в кредитные компании и сообщают о потере карточки. Это позволяет заблокировать платежи с ваших карточек. Однако большинство людей забывают, что телефонная карта тоже является кредитной и небольшую программу для взламывания ее PINа способен написать даже подросток. Например:
For i:=0 to 9999 do
DialAccess(i);
Функция DialAccess() – это небольшой отрывок кода. Он набирает телефон компании и последовательно (в данном случае от 0 до 9999) вводит номер карточки, используя i как PIN. Это классический пример лобового метода решения.
Таким образом, четырехразрядный пароль – ваш PIN – имеет всего 9999 возможных комбинаций. Однако большинство компьютерных паролей длиннее и кроме чисел 1-9 могу содержать символы. Четырехразрядный пароль, в котором используются числа и символы, расшифровать сложнее – он может содержать 1679616 уникальных комбинаций.
Вот формула для вычисления возможного количества комбинаций символов: c=xy, где с – число возможных комбинаций, x – количество различных символов используемых в каждой позиции пароля, y – число символов пароля. Например, при использовании PINа c=104. Также некоторые пароли чувствительны к регистру и включают в себя знаки препинания, так что число возможных комбинаций ещё возрастает.
Кроме паролей используемых для обращения к местной сети, Internet и т.д., у пользователей компьютеров есть ряд защитных мер включающих пароли. К ним относятся основанная на BIOS защита, требующая ввести пароль при загрузке компьютера, специальные защитные программы, блокирующие доступ к отдельным файлам, и защищенные паролем архивные ZIP-файлы. Простые меры защиты
Есть кое какие несложные приемы для защиты ценной информации, которые используются уже много лет. Проблема в том, что все эти схемы легко обойдет хорошо осведомленный пользователь.
DOS и предшествующие операционные системы некоторое время сохраняют удаленные файлы, не уничтожая их полностью. При удалении просто редактируется FAT (File Allocation Table): запись имени файла объявляется недействительной, а сектора, где записан файл, — свободными. Это означает, что удаленные файлы можно восстановить с помощью некоторых широко распространенных утилит (нап. undelete).
Программы уничтожения полностью стирают файл, перезаписывая всю информацию о файле в FAT и сектора, где он находился.
Также можно надежно шифровать отдельные файлы и сообщения электронной почты используя правительственный стандарт шифрования DES. DES расшифровывается как Data Encryption Standart (стандарт шифрования данных). DES был разработан IBM по заказу FBI и CIA как программное обеспечение для шифрования. После разработки DES в 1977 году он был принят правительством USA. Программа DES for Windows, написанная Джеффом Зальцманом, является утилитой шифрования общего пользования. Защита электронной почты
Подавляющее большинство электронной почты посылается через Internet или другие глобальные сети в виде простого текста, который можно прочесть. Закон о конфиденциальности электронных коммуникаций приравнивает вашу электронную почту к обычному телефонному звонку.
Вы должны понимать, что системные администраторы имеют все необходимые средства для чтения электронной почты на своей системе. Иногда им даже необходимо просматривать электронную почту, чтобы удостовериться, что система работает нормально.
Хакеры и любопытные отличаются тем, что владеют различными способами получения доступа к вашей почте, но обе эти категории не могут читать вашу почту, если она зашифрована. Если вам необходимо защитить секретную информацию используйте PGP (Pretty Good Privacy) для шифрования почты перед отправлением.
Список литературы
“Защита информации в персональных ЭВМ”, А.В. Спесивцев.
“Вычислительная техника и её применение”, В.В. Голубев.
“Безопасность компьютера”, Эд Тайли.
НазваниеЭссе 5 Защита информации и информационная безопасность Понятие информационной безопасностиДата публикации27.02.2013Размер67.24 Kb.ТипДокументыshkolnie.ru > Информатика > ДокументыЭссе 5 Защита информации и информационная безопасность Понятие информационной безопасности
Под информационной безопасностью понимается защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры. Защита информации – это комплекс мероприятий, направленных на обеспечение информационной безопасности.
Правильный с методологической точки зрения подход к проблемам информационной безопасности начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем (ИС). Угрозы информационной безопасности – это оборотная сторона использования информационных технологий. ^ Информационная безопасность не сводится исключительно к защите от несанкционированного доступа к информации, это принципиально более широкое понятие. Субъект информационных отношений может пострадать (понести убытки и/или получить моральный ущерб) не только от несанкционированного доступа, но и от поломки системы, вызвавшей перерыв в работе. Более того, для многих открытых организаций (например, учебных) собственно защита от несанкционированного доступа к информации стоит по важности отнюдь не на первом месте.
Обратим внимание, что в определении ИБ перед существительным “ущерб” стоит прилагательное “неприемлемый”. Очевидно, застраховаться от всех видов ущерба невозможно, тем более невозможно сделать это экономически целесообразным способом, когда стоимость защитных средств и мероприятий не превышает размер ожидаемого ущерба. Значит, с чем-то приходится мириться и защищаться следует только от того, с чем смириться никак нельзя. Иногда таким недопустимым ущербом является нанесение вреда здоровью людей или состоянию окружающей среды, но чаще порог неприемлемости имеет материальное (денежное) выражение, а целью защиты информации становится уменьшение размеров ущерба до допустимых значений. ^ Основные составляющие информационной безопасности Информационная безопасность – многогранная, можно даже сказать, многомерная область деятельности, в которой успех может принести только систематический, комплексный подход.
Спектр интересов субъектов, связанных с использованием информационных систем, можно разделить на следующие категории: обеспечение доступности, целостности и конфиденциальности информационных ресурсов и поддерживающей инфраструктуры.
Иногда в число основных составляющих ИБ включают защиту от несанкционированного копирования информации, но, на наш взгляд, это слишком специфический аспект с сомнительными шансами на успех, поэтому мы не станем его выделять.
Поясним понятия доступности, целостности и конфиденциальности.
Доступность – это возможность за приемлемое время получить требуемую информационную услугу. Под целостностью подразумевается актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения.
Наконец, конфиденциальность – это защита от несанкционированного доступа к информации.
Информационные системы создаются (приобретаются) для получения определенных информационных услуг. Если по тем или иным причинам предоставить эти услуги пользователям становится невозможно, это, очевидно, наносит ущерб всем субъектам информационных отношений. Поэтому, не противопоставляя доступность остальным аспектам, мы выделяем ее как важнейший элемент информационной безопасности.
Особенно ярко ведущая роль доступности проявляется в разного рода системах управления – производством, транспортом и т.п. Внешне менее драматичные, но также весьма неприятные последствия – и материальные, и моральные – может иметь длительная недоступность информационных услуг, которыми пользуется большое количество людей (продажа железнодорожных и авиабилетов, банковские услуги и т.п.).
Целостность можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий (транзакций)). Средства контроля динамической целостности применяются, в частности, при анализе потока финансовых сообщений с целью выявления кражи, переупорядочения или дублирования отдельных сообщений.
Целостность оказывается важнейшим аспектом ИБ в тех случаях, когда информация служит “руководством к действию”. Рецептура лекарств, предписанные медицинские процедуры, набор и характеристики комплектующих изделий, ход технологического процесса – все это примеры информации, нарушение целостности которой может оказаться в буквальном смысле смертельным. Неприятно и искажение официальной информации, будь то текст закона или страница Web-сервера какой-либо правительственной организации. Конфиденциальность – самый проработанный у нас в стране аспект информационной безопасности. К сожалению, практическая реализация мер по обеспечению конфиденциальности современных информационных систем наталкивается в России на серьезные трудности. Во-первых, сведения о технических каналах утечки информации являются закрытыми, так что большинство пользователей лишено возможности составить представление о потенциальных рисках. Во-вторых, на пути пользовательской криптографии как основного средства обеспечения конфиденциальности стоят многочисленные законодательные препоны и технические проблемы.
Если вернуться к анализу интересов различных категорий субъектов информационных отношений, то почти для всех, кто реально использует ИС, на первом месте стоит доступность. Практически не уступает ей по важности целостность – какой смысл в информационной услуге, если она содержит искаженные сведения?
Наконец, конфиденциальные моменты есть также у многих организаций (даже в упоминавшихся выше учебных институтах стараются не разглашать сведения о зарплате сотрудников) и отдельных пользователей (например, пароли). ^ Важность и сложность проблемы информационной безопасности Информационная безопасность является одним из важнейших аспектов интегральной безопасности, на каком бы уровне мы ни рассматривали последнюю – национальном, отраслевом, корпоративном или персональном.
Для иллюстрации этого положения ограничимся несколькими примерами.
В ^ Доктрине информационной безопасности Российской Федерации защита от несанкционированного доступа к информационным ресурсам, обеспечение безопасности информационных и телекоммуникационных систем выделены в качестве важных составляющих национальных интересов РФ в информационной сфере.
В феврале 2001 года двое бывших сотрудников компании Commerce One, воспользовавшись паролем администратора, удалили с сервера файлы, составлявшие крупный (на несколько миллионов долларов) проект для иностранного заказчика. К счастью, имелась резервная копия проекта, так что реальные потери ограничились расходами на следствие и средства защиты от подобных инцидентов в будущем. В августе 2002 года преступники предстали перед судом.
Одна студентка потеряла стипендию в 18 тысяч долларов в Мичиганском университете из-за того, что ее соседка по комнате воспользовалась их общим системным входом и отправила от имени своей жертвы электронное письмо с отказом от стипендии.
Понятно, что подобных примеров множество, можно вспомнить и другие случаи – недостатка в нарушениях ИБ нет и не предвидится. Чего стоит одна только “Проблема 2000” – стыд и позор программистского сообщества!
При анализе проблематики, связанной с информационной безопасностью, необходимо учитывать специфику данного аспекта безопасности, состоящую в том, что информационная безопасность есть составная часть информационных технологий – области, развивающейся беспрецедентно высокими темпами. Здесь важны не столько отдельные решения (законы, учебные курсы, программно-технические изделия), находящиеся на современном уровне, сколько механизмы генерации новых решений, позволяющие жить в темпе технического прогресса.
К сожалению, современная технология программирования не позволяет создавать безошибочные программы, что не способствует быстрому развитию средств обеспечения ИБ. Следует исходить из того, что необходимо конструировать надежные системы (информационной безопасности) с привлечением ненадежных компонентов (программ). В принципе, это возможно, но требует соблюдения определенных архитектурных принципов и контроля состояния защищенности на всем протяжении жизненного цикла ИС.
В марте 1999 года был опубликован очередной, четвертый по счету, годовой отчет “Компьютерная преступность и безопасность-1999: проблемы и тенденции” (Issues and Trends: 1999 CSI/FBI Computer Crime and Security Survey). В отчете отмечается резкий рост числа обращений в правоохранительные органы по поводу компьютерных преступлений (32% из числа опрошенных); 30% респондентов сообщили о том, что их информационные системы были взломаны внешними злоумышленниками; атакам через Internet подвергались 57% опрошенных; в 55% случаях отмечались нарушения со стороны собственных сотрудников. Примечательно, что 33% респондентов на вопрос “были ли взломаны ваши Web-серверы и системы электронной коммерции за последние 12 месяцев?” ответили “не знаю”.
В аналогичном отчете, опубликованном в апреле 2002 года, цифры изменились, но тенденция осталась прежней: 90% респондентов (преимущественно из крупных компаний и правительственных структур) сообщили, что за последние 12 месяцев в их организациях имели место нарушения информационной безопасности; 80% констатировали финансовые потери от этих нарушений; 44% (223 респондента) смогли и/или захотели оценить потери количественно, общая сумма составила более 455 млн. долларов. Наибольший ущерб нанесли кражи и подлоги (более 170 и 115 млн. долларов соответственно).
Увеличение числа атак – еще не самая большая неприятность. Хуже то, что постоянно обнаруживаются новые уязвимые места в программном обеспечении и, как следствие, появляются новые виды атак.
В таких условиях системы информационной безопасности должны уметь противостоять разнообразным атакам, как внешним, так и внутренним, атакам автоматизированным и скоординированным. Иногда нападение длится доли секунды; порой прощупывание уязвимых мест ведется медленно и растягивается на часы, так что подозрительная активность практически незаметна. Целью злоумышленников может быть нарушение всех составляющих ИБ – доступности, целостности или конфиденциальности.
3 Содержание
1. Понятие информационной безопасности
2. Информационная безопасность и Интернет
3. Методы обеспечения информационной безопасности
Литература 1. Понятие информационной безопасности
Под информационной безопасностью понимается защищенность информации и поддерживающей ее инфраструктуры от любых случайных или злонамеренных воздействий, результатом которых может явиться нанесение ущерба самой информации, ее владельцам или поддерживающей инфраструктуре.
Информационная безопасность организации – состояние защищенности информационной среды организации, обеспечивающее её формирование, использование и развитие.
В современном социуме информационная сфера имеет две составляющие: информационно-техническую (искусственно созданный человеком мир техники, технологий и т.п.) и информационно-психологическую (естественный мир живой природы, включающий и самого человека). Соответственно, в общем случае информационную безопасность общества (государства) можно представить двумя составными частями: информационно-технической безопасностью и информационно-психологической (психофизической) безопасностью [2; 22].
В качестве стандартной модели безопасности часто приводят модель из трёх категорий:
· Конфиденциальность – состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право;
· Целостность – избежание несанкционированной модификации информации;
· Доступность – избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа.
Выделяют и другие не всегда обязательные категории модели безопасности:
· неотказуемость или апеллируемость – невозможность отказа от авторства;
· подотчётность – обеспечение идентификации субъекта доступа и регистрации его действий;
· достоверность – свойство соответствия предусмотренному поведению или результату;
· аутентичность или подлинность – свойство, гарантирующее, что субъект или ресурс идентичны заявленным [3; 39].
Действия, которые могут нанести ущерб информационной безопасности организации, можно разделить на несколько категорий:
1. Действия, осуществляемые авторизованными пользователями. В эту категорию попадают: целенаправленная кража или уничтожение данных на рабочей станции или сервере; повреждение данных пользователей в результате неосторожных действий.
2. «Электронные» методы воздействия, осуществляемые хакерами. Под хакерами понимаются люди, занимающиеся компьютерными преступлениями как профессионально (в том числе в рамках конкурентной борьбы), так и просто из любопытства. К таким методам относятся: несанкционированное проникновение в компьютерные сети; DOS_атаки.
Целью несанкционированного проникновения извне в сеть предприятия может быть нанесение вреда (уничтожения данных), кража конфиденциальной информации и использование ее в незаконных целях, использование сетевой инфраструктуры для организации атак на узлы третьих фирм, кража средств со счетов и т.п.
Атака типа DOS (сокр. от Denial of Service – «отказ в обслуживании») ? это внешняя атака на узлы сети предприятия, отвечающие за ее безопасную и эффективную работу (файловые, почтовые сервера). Злоумышленники организуют массированную отправку пакетов данных на эти узлы, чтобы вызвать их перегрузку и, в итоге, на какое-то время вывести их из строя. Это, как правило, влечет за собой нарушения в бизнес-процессах компании-жертвы, потерю клиентов, ущерб репутации и т.п.
3. Компьютерные вирусы. Отдельная категория электронных методов воздействия ? компьютерные вирусы и другие вредоносные программы. Они представляют собой реальную опасность для современного бизнеса, широко использующего компьютерные сети, интернет и электронную почту. Проникновение вируса на узлы корпоративной сети может привести к нарушению их функционирования, потерям рабочего времени, утрате данных, краже конфиденциальной информации и даже прямым хищениям финансовых средств. Вирусная программа, проникшая в корпоративную сеть, может предоставить злоумышленникам частичный или полный контроль над деятельностью компании.
4. Спам. Всего за несколько лет спам из незначительного раздражающего фактора превратился в одну из серьезнейших угроз безопасности: электронная почта в последнее время стала главным каналом распространения вредоносных программ; спам отнимает массу времени на просмотр и последующее удаление сообщений, вызывает у сотрудников чувство психологического дискомфорта; как частные лица, так и организации становятся жертвами мошеннических схем, реализуемых спамерами; вместе со спамом нередко удаляется важная корреспонденция, что может привести к потере клиентов, срыву контрактов и другим неприятным последствиям; опасность потери корреспонденции особенно возрастает при использовании черных списков RBL и других «грубых» методов фильтрации спама.
5. «Естественные» угрозы. На информационную безопасность компании могут влиять разнообразные внешние факторы: причиной потери данных может стать неправильное хранение, кража компьютеров и носителей, форс-мажорные обстоятельства и т.д.
Таким образом, в современных условиях наличие развитой системы информационной безопасности становится одним из важнейших условий конкурентоспособности и даже жизнеспособности любой компании. 2. Информационная безопасность и Интернет
Общение с использованием новейших средств коммуникации вобрал в себя Интернет. Всемирная информационная сеть развивается большими темпами, количество участников постоянно растет. По некоторым данным, в сети зарегистрировано около 1,5 миллиарда страниц. Некоторые «живут» до полугода, а некоторые работают на своих владельцев в полную силу и приносят большую прибыль. Информация в сети охватывает все стороны жизнедеятельности человека и общества. Пользователи доверяют этой форме себя и свою деятельность. Однако опыт работы в области компьютерных технологий полон примеров недобросовестного использования ресурсов Интернет.
Специалисты говорят, что главная причина проникновения в компьютерные сети – беспечность и неподготовленность пользователей. Это характерно не только для рядовых пользователей, но и для специалистов в области компьютерной безопасности. Вместе с тем, причина не только в халатности, но и в сравнительно небольшом опыте специалистов по безопасности в сфере информационных технологий. Связано это со стремительным развитием рынка сетевых технологий и самой сети Интернет.
По данным лаборатории Касперского, около 90% от общего числа проникновений на компьютер вредоносных программ используется посредством Интернет, через электронную почту и просмотр Web_страниц. Особое место среди таких программ занимает целый класс – Интернет-червь. Само распространяющиеся, не зависимо от механизма работы выполняют свои основные задачи по изменению настроек компьютера-жертвы, воруют адресную книгу или ценную информацию, вводят в заблуждение самого пользователя, создают рассылку с компьютера по адресам, взятым из записной книжки, делают компьютер чьим-то ресурсом или забирают часть ресурсов для своих целей или в худшем случае самоликвидируются, уничтожая все файлы на всех дисках.
Все эти и другие с ними связанные проблемы можно решить с помощью наличия в организации проработанного документа, отражающего политику информационной безопасности компании. В таком документе должны быть четко прописаны следующие положения:
· как ведется работа с информацией предприятия;
· кто имеет доступ;
· система копирования и хранения данных;
· режим работы на ПК;
· наличие охранных и регистрационных документов на оборудование и программное обеспечение;
· выполнение требований к помещению, где располагается ПК и рабочее место пользователя;
· наличие инструкций и технической документации;
· наличие рабочих журналов и порядок их ведения.
Кроме того, необходимо постоянно отслеживать развитие технических и информационных систем, публикуемых в периодической печати или следить за событиями, обсуждаемыми на подобных семинарах.
Так согласно Указа Президента РФ «О мерах по обеспечению информационной безопасности РФ при использовании информационно-телекоммуникационных сетей международного информационного обмена», запрещено подключение информационных систем, информационно-телекоммуникационных сетей и средств вычислительной техники, применяемых для хранения, обработки или передачи информации, содержащей сведения, составляющие государственную тайну, либо информации, обладателями которой являются госорганы и которая содержит сведения, составляющие служебную тайну, к информационно-телекоммуникационным сетям, позволяющим осуществлять передачу информации через государственную границу РФ, в том числе к Интернету.
При необходимости подключения указанных информационных систем, информационно-телекоммуникационных сетей и средств вычислительной техники к информационно-телекоммуникационным сетям международного информационного обмена такое подключение производится только с использованием специально предназначенных для этого средств защиты информации, в том числе шифровальных (криптографических) средств, прошедших в установленном законодательством РФ порядке сертификацию в Федеральной службе безопасности РФ и (или) получивших подтверждение соответствия в Федеральной службе по техническому и экспортному контролю [1]. 3. Методы обеспечения информационной безопасности
По убеждению экспертов «Лаборатории Касперского», задача обеспечения информационной безопасности должна решаться системно. Это означает, что различные средства защиты (аппаратные, программные, физические, организационные и т.д.) должны применяться одновременно и под централизованным управлением. При этом компоненты системы должны «знать» о существовании друг друга, взаимодействовать и обеспечивать защиту как от внешних, так и от внутренних угроз.
На сегодняшний день существует большой арсенал методов обеспечения информационной безопасности [6; 275]:
· средства идентификации и аутентификации пользователей (так называемый комплекс 3А);
· средства шифрования информации, хранящейся на компьютерах и передаваемой по сетям;
· межсетевые экраны;
· виртуальные частные сети;
· средства контентной фильтрации;
· инструменты проверки целостности содержимого дисков;
· средства антивирусной защиты;
· системы обнаружения уязвимостей сетей и анализаторы сетевых атак.
Каждое из перечисленных средств может быть использовано как самостоятельно, так и в интеграции с другими. Это делает возможным создание систем информационной защиты для сетей любой сложности и конфигурации, не зависящих от используемых платформ.
«Комплекс 3А» включает аутентификацию (или идентификацию), авторизацию и администрирование. Идентификация и авторизация ? это ключевые элементы информационной безопасности. При попытке доступа к информационным активам функция идентификации дает ответ на вопрос: «Кто вы?» и «Где вы?» ? являетесь ли вы авторизованным пользователем сети. Функция авторизации отвечает за то, к каким ресурсам конкретный пользователь имеет доступ. Функция администрирования заключается в наделении пользователя определенными идентификационными особенностями в рамках данной сети и определении объема допустимых для него действий.
Системы шифрования позволяют минимизировать потери в случае несанкционированного доступа к данным, хранящимся на жестком диске или ином носителе, а также перехвата информации при ее пересылке по электронной почте или передаче по сетевым протоколам. Задача данного средства защиты – обеспечение конфиденциальности. Основные требования, предъявляемые к системам шифрования – высокий уровень криптостойкости и легальность использования на территории России (или других государств).
Межсетевой экран представляет собой систему или комбинацию систем, образующую между двумя или более сетями защитный барьер, предохраняющий от несанкционированного попадания в сеть или выхода из нее пакетов данных.
Основной принцип действия межсетевых экранов ? проверка каждого пакета данных на соответствие входящего и исходящего IP_адреса базе разрешенных адресов. Таким образом, межсетевые экраны значительно расширяют возможности сегментирования информационных сетей и контроля за циркулированием данных.
Говоря о криптографии и межсетевых экранах, следует упомянуть о защищенных виртуальных частных сетях (Virtual Private Network – VPN). Их использование позволяет решить проблемы конфиденциальности и целостности данных при их передаче по открытым коммуникационным каналам. Использование VPN можно свести к решению трех основных задач:
1. защита информационных потоков между различными офисами компании (шифрование информации производится только на выходе во внешнюю сеть);
2. защищенный доступ удаленных пользователей сети к информационным ресурсам компании, как правило, осуществляемый через интернет;
3. защита информационных потоков между отдельными приложениями внутри корпоративных сетей (этот аспект также очень важен, поскольку большинство атак осуществляется из внутренних сетей).
Эффективное средство защиты от потери конфиденциальной информации ? фильтрация содержимого входящей и исходящей электронной почты. Проверка самих почтовых сообщений и вложений в них на основе правил, установленных в организации, позволяет также обезопасить компании от ответственности по судебным искам и защитить их сотрудников от спама. Средства контентной фильтрации позволяют проверять файлы всех распространенных форматов, в том числе сжатые и графические. При этом пропускная способность сети практически не меняется.
Все изменения на рабочей станции или на сервере могут быть отслежены администратором сети или другим авторизованным пользователем благодаря технологии проверки целостности содержимого жесткого диска (integrity checking). Это позволяет обнаруживать любые действия с файлами (изменение, удаление или же просто открытие) и идентифицировать активность вирусов, несанкционированный доступ или кражу данных авторизованными пользователями. Контроль осуществляется на основе анализа контрольных сумм файлов (CRC_сумм).
Современные антивирусные технологии позволяют выявить практически все уже известные вирусные программы через сравнение кода подозрительного файла с образцами, хранящимися в антивирусной базе. Кроме того, разработаны технологии моделирования поведения, позволяющие обнаруживать вновь создаваемые вирусные программы. Обнаруживаемые объекты могут подвергаться лечению, изолироваться (помещаться в карантин) или удаляться. Защита от вирусов может быть установлена на рабочие станции, файловые и почтовые сервера, межсетевые экраны, работающие под практически любой из распространенных операционных систем (Windows, Unix- и Linux_системы, Novell) на процессорах различных типов.
Фильтры спама значительно уменьшают непроизводительные трудозатраты, связанные с разбором спама, снижают трафик и загрузку серверов, улучшают психологический фон в коллективе и уменьшают риск вовлечения сотрудников компании в мошеннические операции. Кроме того, фильтры спама уменьшают риск заражения новыми вирусами, поскольку сообщения, содержащие вирусы (даже еще не вошедшие в базы антивирусных программ) часто имеют признаки спама и отфильтровываются. Правда, положительный эффект от фильтрации спама может быть перечеркнут, если фильтр наряду с мусорными удаляет или маркирует как спам и полезные сообщения, деловые или личные.
Для противодействия естественным угрозам информационной безопасности в компании должен быть разработан и реализован набор процедур по предотвращению чрезвычайных ситуаций (например, по обеспечению физической защиты данных от пожара) и минимизации ущерба в том случае, если такая ситуация всё-таки возникнет. Один из основных методов защиты от потери данных – резервное копирование с четким соблюдением установленных процедур (регулярность, типы носителей, методы хранения копий и т.д.) [5; 382]. Литература
1. Указ Президента РФ «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена» от 17.03.2008 №351;
2. Галатенко, В.А. Основы информационной безопасности. Интернет-университет информационных технологий ? ИНТУИТ.ру, 2008;
3. Галатенко, В.А. Стандарты информационной безопасности. Интернет-университет информационных технологий ? ИНТУИТ.ру, 2005;
4. Лопатин, В.Н. Информационная безопасность России: Человек, общество, государство. Серия: Безопасность человека и общества. М.: 2000. – 428 с;
5. Шаньгин, В.Ф. Защита компьютерной информации. Эффективные методы и средства. ? М.: ДМК Пресс, 2008. – 544 с.
6. Щербаков, А.Ю. Современная компьютерная безопасность. Теоретические основы. Практические аспекты. ? М.: Книжный мир, 2009. – 352 с.
ВВЕДЕНИЕ
Говоря об информационной безопасности, в настоящее время имеют в виду, собственно говоря, безопасность компьютерную. Действительно, информация, находящаяся на электронных носителях играет все большую роль в жизни современного общества. Уязвимость такой информации обусловлена целым рядом факторов: огромные объемы, многоточечность и возможная анонимность доступа, возможность “информационных диверсий”… Все это делает задачу обеспечения защищенности информации, размещенной в компьютерной среде, гораздо более сложной проблемой, чем, скажем, сохранение тайны традиционной почтовой переписки.
Вследствие этого настоящая работа посвящена именно проблеме обеспечения информационной безопасности именно в компьютерной среде. Если говорить о безопасности информации, сохраняющейся на “традиционных” носителях (бумага, фотоотпечатки и т.п.), то ее сохранность достигается соблюдением мер физической защиты (т.е. защиты от несанкционированного проникновения в зону хранения носителей). Другие аспекты защиты такой информации связаны со стихийными бедствиями и техногенными катастрофами. Таким образом, понятие “компьютерной” информационной безопасности в целом является более широким по сравнению с информационной безопасностью относительно “традиционных” носителей.
Если говорить о различиях в подходах к решению проблемы информационной безопасности на различных уровнях (государственном, региональном, уровне одной организации), то такие различия просто не существуют. Подход к обеспечению безопасности Государственной автоматизированной системы “Выборы” не отличается от подхода к обеспечению безопасности локальной сети в маленькой фирме. Поэтому принципы обеспечения информационной безопасности в данной работе рассматриваются на примерах деятельности отдельной организации.
ОСНОВНЫЕ ПОНЯТИЯ
Прежде всего, примем понятие информационной безопасности – это защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры.
Проблема обеспечения безопасности носит комплексный характер, для ее решения необходимо сочетание законодательных, организационных и программно-технических мер. К сожалению, законодательная база еще отстает от потребностей практики. Имеющиеся в России законы и указы носят в основном запретительный характер. В то же время следует учитывать, что в нашей стране доминирует зарубежное аппаратно-программное обеспечение. В условиях ограничений на импорт и отсутствия межгосударственных соглашений о взаимном признании сертификатов, потребители, желающие быть абсолютно законопослушными, оказываются по существу в безвыходном положении – у них нет возможности заказать и получить “под ключ” современную систему, имеющую сертификат безопасности.
Так сложилось, что в России интерес к вопросам информационной безопасности исходит в основном от банковских кругов. Это и хорошо, и плохо. Хорошо потому, что интерес есть. Плохо потому, что компьютеры стоят не только в банках, а банковскую информацию никак не отнесешь к самой ценной.
Общество в целом зависит от компьютеров, поэтому сегодня проблема информационной безопасности – это проблема всего общества. В других странах это поняли довольно давно. Так, в США в 1987 году был принят закон о компьютерной безопасности – Computer Security Act, вступивший в силу в сентябре 1988 года. Этот закон предусматривает комплекс мер по обучению пользователей, имеющих дело с критичной информацией, по подготовке разъяснительных руководств и т.д., без чего сознательное поддержание режима безопасности просто невозможно. И данный закон действительно выполняется.
Следующим после законодательного можно назвать управленческий уровень. Руководство каждой организации должно осознать необходимость поддержания режима безопасности и выделения на эти цели соответствующих ресурсов. Главное, что должен обеспечить управленческий уровень, – это выработать политику обеспечения информационной безопасности, определяющую общему направлению работ.
Применительно к персоналу, работающему с информационными системами, используются организационные и программно-технические меры обеспечения информационной безопасности. Сюда следует отнести методики подбора персонала, его обучения, обеспечения дисциплины, а также средства “защиты от дурака”. Важным элементом являются также меры по физической защите помещений и оборудования.
Для поддержания режима информационной безопасности особенно важны программно-технические меры, поскольку основная угроза компьютерным системам исходит от них самих: сбои оборудования, ошибки программного обеспечения, промахи пользователей и администраторов и т.п. Напомним названия ключевых механизмов обеспечения информационной безопасности:
– идентификация и аутентификация;
– управление доступом;
– протоколирование и аудит;
– криптография;
– экранирование.
НЕДОСТАТКИ СУЩЕСТВУЮЩИХ СТАНДАРТОВ И РЕКОМЕНДАЦИЙ
Стандарты и рекомендации образуют понятийный базис, на котором строятся все работы по обеспечению информационной безопасности. В то же время этот базис ориентирован, в первую очередь, на производителей и “оценщиков” систем и в гораздо меньшей степени – на потребителей.
Стандарты и рекомендации статичны, причем статичны, по крайней мере, в двух аспектах. Во-первых, они не учитывают постоянной перестройки защищаемых систем и их окружения. Во-вторых, они не содержат практических рекомендаций по формированию режима безопасности. Информационную безопасность нельзя купить, ее приходится каждодневно поддерживать, взаимодействуя при этом не только и не столько с компьютерами, сколько с людьми.
Иными словами, стандарты и рекомендации не дают ответов на два главных и весьма актуальных с практической точки зрения вопроса:
– как приобретать и комплектовать информационную систему масштаба предприятия, чтобы ее можно было сделать безопасной?
– как практически сформировать режим безопасности и поддерживать его в условиях постоянно меняющегося окружения и структуры самой системы?
Как уже отмечалось, стандарты и рекомендации несут на себе “родимые пятна” разработавших их ведомств. На первом месте в “Оранжевой книге” (документе, освещающем проблемы информационной безопасности в США) и аналогичных Руководящих документах Гостехкомиссии при Президенте РФ стоит обеспечение конфиденциальности. Это, конечно, важно, но для большинства гражданских организаций целостность и доступность – вещи не менее важные. Не случайно в приведенном определении информационной безопасности конфиденциальность поставлена на третье место.
Таким образом, стандарты и рекомендации являются лишь отправной точкой на длинном и сложном пути защиты информационных систем организаций. С практической точки зрения интерес представляют по возможности простые рекомендации, следование которым дает пусть не оптимальное, но достаточно хорошее решение задачи обеспечения информационной безопасности. Прежде чем перейти к изложению подобных рекомендаций, полезно сделать еще одно замечание общего характера.
Несмотря на отмеченные недостатки, у “Оранжевой книги” есть огромный идейный потенциал, который пока во многом остается невостребованным. Прежде всего, это касается концепции технологической гарантированности, охватывающей весь жизненный цикл системы – от выработки спецификаций до фазы эксплуатации. При современной технологии программирования результирующая система не содержит информации, присутствующей в исходных спецификациях. В то же время, ее наличие на этапе выполнения позволило бы по-новому поставить и решить многие проблемы информационной безопасности. Например, знание того, к каким объектам или их классам может осуществлять доступ программа, существенно затруднило бы создание “троянских коней” и распространение вирусов. К сожалению, пока для принятия решения о допустимости того или иного действия используется скудная и, в основном, косвенная информация – как правило, идентификатор (пароль) владельца процесса, – не имеющая отношения к характеру действия.
)профессиональная тайна: «информация, полученная гражданами (физическими лицами) при исполнении ими профессиональных обязанностей или организациями при осуществлении ими определенных видов деятельности (профессиональная тайна), подлежит защите в случаях, если на эти лица федеральными законами возложены обязанности по соблюдению конфиденциальности такой информации»;
2)коммерческая тайна: «режим конфиденциальности информации, позволяющий ее обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду»;
)личная или семейная тайна: «запрещается требовать от гражданина (физического лица) предоставления информации о его частной жизни, в том числе информации, составляющей личную или семейную тайну, и получать такую информацию помимо воли гражданина (физического лица), если иное не предусмотрено федеральными законами»;
)государственная тайна «защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации».
Заключение
Подводя итог вышесказанному, хотелось бы отметить, что, несмотря на отмену закона «Об информации, информатизации и защите информации» от 20.02.1995 № 24-ФЗ на более совершенный закон «Об информации, информационных технологиях и защите информации» от 27.07.2006 № 149-ФЗ, правовой режим тайны и ее видов полностью не разработан, также как и не прописаны инструменты контроля за сохранением тайны.
Список использованных источников
1.Гражданский кодекс Российской Федерации (часть первая) от 30.11.1994 № 51-ФЗ. // Российская газета, № 238-239, 08.12.1994.
2.Конституция Российской Федерации (принята всенародным голосованием 12.12.1993). // Российская газета, № 237, 25.12.1993.
.Федеральный закон «Об информации, информационных технологиях и защите информации» от 27.07.2006. № 149-ФЗ // Российская газета, № 165, 29.07.2006.
.Закон «О государственной тайне» от 21.07.1993 № 5485-1 // Российская газета, № 182, 21.09.1993.
.Закон «О коммерческой тайне» от 29.07.2004 № 98-ФЗ // Российская газета, № 166, 05.08.2004
.Ефремов Алексей. Понятие и виды конфиденциальной информации.
Закон «Об интерактивной безопасности детей», содержит определение Интернета через его техническую суть.
В 1999 году вступил в силу Закон «О защите потребителей от киберсквоттеров», который распространяется на отношения, связанные со сквоттингом – с неправомерным использованием доменных имен.
Закон «О защите авторских прав цифрового тысячелетия» предусматривает освобождение Интернет-провайдеров от ответственности за нарушение авторского права, если они своевременно удалили нарушающий авторские права материал, после соответствующего уведомления их о наличии такого материала в их системах.
Разработка в 2001 г. Закона «О контроле шпионского ПО и защите личных данных» стала реакцией Америки на проблему, связанную с программами-шпионами. Данный Закон был подвергнут критике за его недружественность по отношению к конечным потребителям.
Как отмечает О.В. Мозолина, зачастую США используют национальные правовые концепции для освоения международного информационного пространства. При этом такое экстерриториальное применение национального законодательства ущемляет суверенитет других государств.
В Китае, второй после США стране по количеству передаваемой через Интернет информации, принято около двух десятков национальных законов и подзаконных актов, регулирующих вопросы защиты информации. Акты касаются вопросов налогообложения электронной торговли, регулирования веб-сайтов по трудоустройству и ограничений по новостным сайтам, порядка лицензирования провайдеров Интернет-услуг. По законодательству Китая провайдерам запрещено размещать на своих страницах информацию определенного содержания, начиная от порнографии и заканчивая любыми политическими комментариями деятельности Коммунистической партии Китая. Кроме того, провайдеры обязаны записывать на жесткие диски всю информацию, появлявшуюся у них на страницах, включая различные чаты, и хранить ее в течение 60 дней, а также представлять эти записи полиции по ее запросам. Китайское законодательство в информационной сфере развивается в русле, которое было определено на специальной сессии парламента КНР: информационная сфера и электронная сеть должны оставаться под контролем государства и помогать экономическому росту страны. Власти Китая весной 2012 года запретили пользователям Интернет использовать псевдонимы (ники). Кроме настоящего имени, при регистрации в сети необходимо ввести паспортные данные, адрес и телефон.
В Сингапуре принят закон, который ограничивает доступ к страницам Интернета, содержание которых может угрожать правительству, государственной безопасности, национальной обороне, расовой и религиозной гармонии в стране и общественной морали.
Работа по выработке законодательства в сфере информационной безопасности активно ведется на регионально уровне. Примером может служить деятельность Евросоюза. Принятые в рамках ЕС директивы носят, как правило, универсальный характер и являются обязательными для государств – участников ЕС.
С.В. Глотова утверждает, что директивы представляют собой новую категорию правовых актов, ранее не известную международному праву. Специфика директивы в ее обязательности для государств-членов, для действия директивы в этих государствах не требует ее утверждения (принятия) органами власти государства. Другое отличие директивы от договора в том, что она является односторонним актом. Своеобразие директивы в том, что с ее помощью задачи сообщества реализуются внутригосударственными средствами.
Многие директивы Евросоюза так или иначе затрагивают вопросы Интернет-экономики. Вопросы информационной безопасности рассматриваются в неразрывной связи с вопросами экономической безопасности.
Директива 2009/136/ЕС «О конфиденциальности и электронных средствах связи» обязала провайдеров общедоступных услуг электронной связи или общественных связей сохранять определенные данные пользователей некоторое время.
Директива 2002/22/ЕС «Об универсальных услугах и правах пользователей в отношении сетей электронных коммуникаций и услуг» устанавливает права конечных пользователей и корреспондирующие им обязанности организаций, предоставляющих общедоступные услуги связи, и целый ряд других.
Наряду с директивами, в Евросоюзе действуют и другие акты, затрагивающие информационную сферу.
Хартия Европейского Союза об основных правах 2007 г. включила в каталог основных прав граждан ЕС право на защиту персональных данных.
В 2010 году в ЕС принята кодифицированная версия Директивы «Об аудиовизуальных медиа-услугах» 2007/65/ЕС. В документе развиты нормы о защите несовершеннолетних и о непричинении им физического и морального вреда.
В 2014 году предполагается принятие Декларации прав Интернет-пользователей. Генеральный директор по правам человека и правовым вопросам Совета Европы Филипп Буайя заявил, что «это будет новый документ по правам пользователей, декларация против отслеживания действий человека в Интернете, направленный на защиту человеческих прав онлайн».
Европейское сообщество вырабатывает и документы программного характера. Так, в 2006 году была принята Европейская Стратегия безопасного информационного общества, которая ориентирована на борьбу с киберпреступностью. В акте отмечено, что интернет-преступность является потенциальным новым экономическим, политическим и военным оружием.
В Стокгольмской программе, закрепляющей приоритеты развития ЕС в сфере законности, свободы и безопасности на период 2010-2014, уделено отдельное внимание вопросам обеспечения информационной безопасности и сформулирована задача о выработке комплексной стратегии внутри ЕС.
Обечпечение информационной безопасности становится предметом заботы мирового сообщества. Задолго до кристаллизации проблемы информационной безопасности был принят ряд нормативных актов общего характера, которые сегодня применяются к отношениям в информационной сфере.
Устав Организации Объединенных наций, помимо основных принципов международного права, содержит положения, на который основывается система коллективной безопасности и развивающая ее всеобъемлющая система международной безопасности.
Декларация о принципах международного права, касающихся дружественных отношений и сотрудничества между государствами 1970 года, Международный пакт о гражданских и политических правах 1966 года, Международная конвенция о ликвидации всех форм расовой дискриминации 1966 года, Конвенция о предупреждении преступления геноцида и наказании за него 1948 года, Международная конвенция о пресечении обращения порнографических изданий и торговли ими 1923 года, Конвенция о международном праве опровержения 1953 года, Конвенция о защите прав человека и основных свобод 1950 года применимы для регулирования информационной безопасности. Однако эти акты общего характера. Что же касается специализированных международных документов, то они немногочисленны.
Европейская конвенция по киберпреступлениям 2001 года – единственный действующий международный договор, непосредственно касающийся вопросов информационной безопасности, подписанный почти всеми странами Евросоюза, США и Канадой. Однако этот документ так и не был практически никем из государств ратифицирован, но подвергался доработкам после принятия. США, формально приветствуя заключение конвенции и присоединяясь к ней, зарезервировали за собой право вето на применение некоторых ее положений, не полностью соответствующих американскому законодательству.
Россия не участвует в Европейской конвенции о киберпреступости 2001 года, поскольку имеет собственную позицию по вопросу международной информационной безопасности. По словам Советника Секретаря Совета Безопасности РФ директора института проблем информационной безопасности МГУ им. М.В. Ломоносова В.П. Шерстюка, «противодействие вызовам в области безопасности использования глобальной и национальных информационных инфраструктур необходимо осуществлять на основании комплексного подхода, учитывающего весь спектр угроз, существующих в данной области».
Нормы Европейской конвенции, направленные на унификацию и гармонизацию национального законодательства, на выстраивание взаимной помощи, могли бы способствовать совершенствованию российского уголовного закона. Однако ряд положений Конвенции, на наш взгляд, неприемлем. Так, ст. 32 Конвенции закрепляет возможность трансграничного доступа к компьютерным данным, находящимся в системах общего доступа, независимо от территориального местонахождения этих данных; либо трансграничного доступа к компьютерным данным, находящимся на территории другой Стороны, при получении правомерного и добровольного согласия со стороны лица, обладающего законным правом на предоставление данных этой Стороне посредством вышеупомянутой компьютерной системы. Иными словами, Европейская конвенция предусматривает возможность проведения следственных действий в информационном пространстве другого государства без уведомления его следственных органов.
Судьба Торгового соглашения по борьбе с контрафакцией 2012 года (АСТА), согласно которому должно быть установлено строгое наблюдение за соблюдением авторского права Некоторые исследователи говорят о том, что для обеспечения Интернет-безопасности необходим особый международный режим, регулирующий деятельность в нем каждого с учетом интересов всех, поскольку «по многим признакам международное информационное пространство можно рассматривать в качестве общего наследия человечества. Интернет, в частности, используется всеми государствами и конкретно не должен принадлежать никому». Даррел Менте разработал концептуальную Теорию интернациональных пространств. По его мнению, таких пространств на данный момент три: Антарктика, космос и открытое море. Д. Менте предлагает рассматривать киберпространство четвертым пространством с международным режимом, на которое не распространяется государственный суверенитет. Отметим, что международное сообщество имеет успешный опыт кодификации космической деятельности и в сфере морского права, областей исключительно сложных с точки зрения согласования интересов государств. Однако применительно к Интернет-пространству отмечается очевидная сложность разработки такого режима, поскольку международное сообщество сталкивается с задачей кодификации не только новой и сложной с технической точки зрения области деятельности, но и крайне чувствительной для их безопасности сферы.
В качестве нормативно-регулятивной меры обеспечения безопасности в сети Интернет можно рассматривать сетевые кодексы поведения. Эта идея впервые была выдвинута вскоре после появления самой сети – тогда появились первые кодексы. Однако они не были эффективны. Причина в том, что нормы внутрисетевого поведения распространяются только на отдельные, связные сообщества пользователей Интернет. Внутри такого сообщества применяемые нормы саморегулирования эффективны и могут быть легко донесены до каждого пользователя. Вне устойчивого круга общения эти нормы, также могут применяться, но их регулятивные качества резко снижаются. Проблему обеспечения информационной безопасности в сети Интернет не удастся решить только с помощью саморегулирования. Это может быть хорошим дополнением к системе правового регулирования.
Инициатором следующей меры выступила Российская Федерация. В 1999 году она предложила ООН проект документа, озаглавленного «Принципы, касающиеся международной информационной безопасности», принятие которым могло способствовать выработке и закреплению основополагающих начал информационной безопасности. Основная идея документа сформулирована в положениях Принципа I – деятельность каждого государства в информационном пространстве должна способствовать общему прогрессу и не противоречить задаче поддержания мировой стабильности и безопасности, интересам безопасности других государств, принципам неприменения силы, невмешательства во внутренние дела, уважения прав и свобод человека.
Другой российской инициативой явилась разработка концепции Конвенции об обеспечении международной информационной безопасности, которая явилась своего рода противовесом Европейской киберконвенции, которую Россия отвергает. Ни одни из предложенных Российской Федерацией документов на данный момент не принят международным сообществом. По поводу принятия российского варианта Конвенции в ООН до сих пор ведутся оживленные дискуссии.
К следующей группе мер относятся меры по контролю. Они применяются на всех уровнях регулирования информационной безопасности. Говоря о контроле в глобальной сети в целях обеспечения информационной безопасности все мероприятия необходимо оценивать с точки зрения баланса интересов личности, общества, государства и мирового сообщества. В нормативных актах различного уровня декларируется стремление обеспечить доступ к информационным ресурсам для максимального числа пользователей. В этих документах речь идет об открытости и доступности Интернета как информационного ресурса и как неотъемлемой части инфраструктуры мировой экономики. Таким образом, по общему правилу, закрепленному в международных, региональных и национальных актах, Интернет должен быть доступным и открытым источником. Однако документы содержат и положения, позволяющие контролировать возможность использования сети Интернет посредством ограничений или запретов.
Конвенция о защите прав человека и основных свобод 1950 года в ч. 1 ст. 10 закрепляет право каждого «свободно выражать свое мнение. Это право включает свободу придерживаться своего мнения и свободу получать и распространять информацию и идеи без какого-либо вмешательства со стороны публичных властей и независимо от государственных границ». Однако ч. 2 этой статьи предусматривает возможность ограничения этого права «в интересах национальной безопасности, территориальной целостности или общественного порядка, в целях предотвращения беспорядков и преступлений, для охраны здоровья и нравственности, защиты репутации или прав других лиц, предотвращения разглашения информации, полученной конфиденциально, или обеспечения авторитета и беспристрастности правосудия». Руководствуясь этой нормой Конвенции, многие государства внедряют механизмы контроля за информацией в сети.
В России были приняты меры по контролю за информационным наполнением сети Интернет. В 2012 году был принят закон о реестре запрещенных сайтов, предполагающий блокировку страниц и сайтов, содержащих запрещенную в РФ информацию. Принятие этого закона вызвало большой общественный резонанс. В традиционных СМИ и на различных Интернет-площадках были развернуты дискуссии на эту тему. Практически все поддерживали положения, касающиеся защиты детей. Противники закона опасались, что благие намерения защитить российское общество от пагубного влияния негативного сетевого контента обернутся Интернет-цензурой и блокировкой оппозиционных, неугодных власти сайтов. По поводу принятия данного закона Совет при Президенте РФ по развитию гражданского общества и правам человека выступил с заявлением, в котором отмечается: «Мы считаем крайне важным остановить введение цензуры в русскоязычном сегменте сети Интернет и, в частности, на территории России – это приведёт к появлению нового «электронного занавеса», что губительно скажется на правах и возможностях граждан России, на развитии общества в целом и становлении всей экономики». Против принятия закона (в части введения фильтрации рунета – российского Интернета) выступили такие сетевые ресурсы как Google, LiveJournal, ВКонтакте, Яндекс. В знак протеста русская Википедия объявила забастовку, и ресурс был недоступен в течение суток. Федеральный закон № 139-ФЗ был принят и вступил в силу 1 ноября 2012 года. На официальном сайте http://www.zapret-info.gov.ru невозможно увидеть полный перечень запрещенных сайтов, что представляется неверным с позиции открытости информации и с точки зрения требований, предъявляемых к правовому национальному закону международным правом.
Конвенция о защите прав человека и основных свобод 1950 г. в ч. 2 ст. 10 предусматривает возможность ограничения свободы выражения мнения в определенных целях. Европейский Суд по правам человека определил критерии такого ограничения. Любое ограничение свободы выражение мнения, закрепленное в национальном законодательстве, должно соответствовать двум требованиям – точности и доступности. Это означает, что право должно быть в адекватной мере доступным: граждане должны иметь возможность ориентироваться в том, какие правовые нормы применяются к данному случаю. Норма не может считаться законом, пока она не будет сформулирована с достаточной степенью точности, позволяющей гражданину сообразовывать с ней свое поведение, предвидеть в разумной степени, применительно к обстоятельствам, последствия, которые может повлечь за собой то или иное действие. Таким образом, ограничивая доступ граждан к информации в виде реестра сайтов, которые были признаны запрещенными в России, государство лишает возможности ориентироваться в информационной среде и определять свое поведение в сети Интернет на будущее. Граждане не могут опираться исключительно на критерии отнесения электронного ресурса к запрещенным, закрепленные в законе, поскольку последние не всегда четко сформулированы. Необходимо основывать свое поведение и на практике применения законодательства.
О стремлении государства усилить контроль в сети свидетельствуют попытки разработать и принять Федеральный закон «О регулировании сегмента Российской Федерации сети Интернет». Существовало несколько проектов этого документа. В текущем году идея принятия закона вновь обсуждается, разработана его очередная концепция. Согласно концепции, информационная безопасность в сети Интернет обеспечивается посредством защиты участников взаимодействия в сети от информации, распространение которой в РФ запрещено; защитой авторских и интеллектуальных прав в сегменте РФ в сети; защитой персональных данных и иной информации ограниченного доступа. По словам его инициаторов, закон о регулировании Интернета в России нужен для того, чтобы «преступления, совершаемые с использованием современных технологий под прикрытием анонимности, также расследовались, виновные устанавливались и наказывались. Новый закон необходим для того, чтобы вооружить правоохранительные органы инструментом, необходимым для борьбы со злом в сети». По замыслу разработчиков, все противоправные деяния, совершенные в сети, должны подпадать под действие УК РФ или КоАП РФ.
Контрольной мерой является мониторинг глобальной сети, который стремится осуществить государство. В январе 2012 года Служба внешней разведки РФ объявила тендеры на разработку новых методик мониторинга блогосферы. На это мероприятие планировалось потратить порядка 30 миллионов рублей.
С точки зрения международного права не все меры государственного уровня могут считаться правовыми, несмотря на то, что на национальном уровне они оформлены надлежащими нормативно-правовыми актами. Зачастую, прикрываясь национальными интересами, государства принимают законы, а государственные органы предпринимают действия, нарушающие права и свободы человека. Такое поведение государств объяснимо. Бесконтрольный Интернет может представлять угрозу и для самого государства, и для власти в государстве. Интернет-технология приносит с собой возможность выражения новых форм протеста в новых условиях, а также включает в себя изменившиеся последствия для тех, кто ее использует. Примером того, как с помощью Интернет-ресурсов поднимались повстанческие движения, приведшие в итоге к смене власти и политического режима, являются так называемые арабские twitter-революции (другое название – жасминовые революции) в Египте, Тунисе, Ливии.
С позиции международного права не могут считаться правовыми действия властей во Вьетнаме, где блогеры получили тюремные сроки за критику властей. Суд признал их виновными в распространении антиправительственной пропаганды и приговорил на срок от 4 до 12 лет. Несколько лет назад блогеры основали сайт «Клуб свободных журналистов», на котором размещали материалы о коррупции в стране, обличали несправедливые действия официальных лиц и критиковали политику правительства. В связи с судом над блогерами ряд правозащитных организаций, правительства западных стран и Комиссия ООН по правам человека выступили с жесткой критикой в адрес вьетнамских властей.
Власти Китая запретили пользователям использовать в сети псевдонимы (ники). Более того, при регистрации в Интернет потребуются еще и паспортные данные, адрес и телефон. Кроме того, Китай давно блокирует доступ к Tvitter, Facebook, Youtube.
Данные меры направлены на обеспечение информационной безопасности. Однако такие действия властей, несмотря на законодательное закрепление, идут в разрез с принципами международного права.
Вызывает возражения инициатива по принятию многостороннего Торгового соглашения по борьбе с контрафакцией (АСТА). Соглашение предусматривает создание международного объединения, направленного против нарушений авторских прав I. Международные нормативные правовые акты:
1.Устав Организации Объединенных Наций // Сборник действующих договоров, соглашений и конвенций, заключенных СССР с иностранными государствами. Вып. XII. М., 1956.
.Декларация о принципах международного права, касающихся дружественных отношений и сотрудничества между государствами. 1970 г. Международное публичное право. Сборник документов. Т. 1. М., 1996.
3.Договор о принципах деятельности государств по исследованию и использованию космического пространства, включая Луну и другие небесные тела от 27 янв. 1967 г. Международное публичное право. Сборник документов. Т. 2. М., 1996.
.Европейская конвенция о взаимной правовой помощи по уголовным делам от 20 апр. 1959 г. // Бюллетень международных договоров. 2000. N 9.
5.Европейская конвенция по киберпреступлениям. 2001 г. // Сайт Стратег.Ру [Электронный ресурс]. – Режим доступа : II. Национальные нормативные правовые акты:
31.Конституция Российской Федерации от 12 дек. 1993 г. с попр. от 30 дек. 2008 г. // Российская газета. 21.01.2009. № 7.
32.Гражданский кодекс Российской Федерации (часть четвертая) : Федеральный закон от 18 дек. 2006 г. № 230-ФЗ : (в ред. от 08 дек. 2011 г.) // Собрание законодательства РФ. 25.12.1994. № 52. Ст. 5496.
.Уголовный кодекс Российской Федерации: Федеральный закон от 13 июня 1996 г. (ред. от 05 апр. 2013 г.) № 63-ФЗ / Собрание законодательства РФ. 17.06.1996. N 25. Ст. 2954.
34.О внесении изменений в Федеральный закон «О защите детей от информации, причиняющей вред их здоровью и развитию», и отдельные законодательные акты Российской Федерации: Федеральный закон от 28 июля 2012 г. № 139-ФЗ // Российская газета. 30.07.2012. № 172.
35.О защите детей от информации, причиняющей вред их здоровью и развитию: Федеральный закон: Федеральный закон от 29 дек. 2013 г. (ред. от 5 апр. 2013) № 436-ФЗ // [Электронный ресурс]. – Режим доступа : СПС КонсультантПлюс. – Дата обращения 20.04.2013.
36.О защите прав потребителей: Закон Российской Федерации от 7 фев. 1992 г. (ред. от 28 июля 2012 г.) № 2300-1 // [Электронный ресурс]. – Режим доступа : СПС КонсультантПлюс. – Дата обращения 20.04.2013.
37.Об информации, информационных технологиях и защите информации: Федеральный закон от 27 июля 2006 г. (ред. от 5 апр. 2013) № 149-ФЗ // [Электронный ресурс]. – Режим доступа : СПС КонсультантПлюс. – Дата обращения 20.04.2013.
38.О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена: Указ Президента РФ от 17 марта 2008 г. (в ред. от 14 янв. 2011 № 38) № 351 // [Электронный ресурс]. – Режим доступа : СПС КонсультантПлюс. – Дата обращения 20.04.2013.
39.Положение о Совете по развитию информационного общества в Российской Федерации (утв. Указом Президента РФ от 1 ноября 2008 г. № 1576) // Официальный сайт Президента РФ [Электронный ресурс]. – Режим доступа : http: // state.kremlin.ru. – Дата обращения 20. 04.2013.
.О координации мероприятий по использованию информационно-коммуникационных технологий в деятельности государственных органов: Постановление Правительства РФ от 24.05.2010 г. (ред. от 08.04.2013 № 314) № 365 // [Электронный ресурс]. – Режим доступа : СПС КонсультантПлюс. – Дата обращения 20.04.2013.
.Доктрина информационной безопасности Российской Федерации, утв. 9 сент. 2000 г. // Российская газета. 28.09.2000. № 187.
.Стратегия развития информационного общества в Российской Федерации от 7 фев. 2008 г. № Пр-212 // Российская газета. 16.02.2008. № 34.
43.Конвенция об обеспечении международной информационной безопасности (концепция) // Официальный сайт Совета Безопасности Российской Федерации [Электронный ресурс]. – Режим доступа : III. Специальная литература:
46.Баранов И., Сафронов И., Черненко Е. Разветка ботом. СВР займется социальными сетями // Коммерсантъ. 28.07.2012. № 158 (П).
47.Богданов В. Анонимки на просвет // Российская газета. 11 сент. 2012 г. N5881.
48.Большая Советская Энциклопедия. В 30 Т. М.: Советская энциклопедия, 1969-1978.
.Бурматов В.В., Глазунов О.Н. Совремнные революционные технологии. Стратегия, технология и тактика цветных революций. М., 2011.
.Валеев Р.М. Международный контроль. Казань, 1988.
.Глотова С.В. Директивы Европейского Сообщества: автореф. дис. … к.ю.н.: 12.00.10. М., 1999.
.Гольтяпина И.Ю. Административно-правовые средства обеспечения информационной безопасности в России: автореф. дис. … к.ю.н.: 12.00.14. Омск, 2008.
53.Горев А.И., Симаков А.А. Обеспечение информационной безопасности. Учебное пособие. Омск, 2005.
54.Дело редакции газеты «Правое дело» и Штекеля против Украины. Решение суда от 5 мая 2011 г. // [Электронный ресурс]. – Режим доступа : #”justify”>IV. Электронные ресурсы:
93.Государственный интернет-канал «Россия» // [Электронный ресурс]. – Режим доступа : . – Дата обращения 10.04.2013.
.Интернет-портал Российской газеты. 12 апр. 2013 г. // [Электронный ресурс]. – Режим доступа : haker-anons.html. – Дата обращения 20.04.2013.
.Официальный сайт Института проблем информационной безопасности // [Электронный ресурс]. – Режим доступа : . – Дата обращения 20.04.2013.
.Официальный сайт Интерфакс 3 нояб. 2012 г. // [Электронный ресурс]. – Режим доступа : http://www.interfax.ru/print.asp?sec=1446 &id=274223 . – Дата обращения 03.03.2013.
– целостность данных – защиту от сбоев, ведущих к потере информации, а также неавторизованного создания или уничтожения данных;
– конфиденциальность информации и одновременно ее доступность для всех авторизованных пользователей [2].
В процессе реализации указанных принципов государства определили наиболее уязвимые сферы возможных нарушений: банковские и финансовые институты, информационные сети, системы государственного управления, оборонные и специальные структуры. Эти структуры государства требуют специальных мер безопасности, поскольку они обеспечивают суверенитет страны. В качестве основных мер информационной безопасности применяются средства шифрования информации, вплоть до использования файловых систем с шифрованием данных [3]. Современные системы обнаружения нарушения информационной безопасности включают в себя системы виртуализации, песочницы со встроенными системами антивирусной защиты и системы управления знаниями о киберуг-розах и уязвимостях (Threat Intelligence).
Основную проблему в обеспечении информационной безопасности составляет защита самой информации. Государство обеспечивает защиту информации на законодательном уровне, но оно не может оградить нас от человеческого фактора [4]. Авторы работы отмечают изменения в подходах, используемых киберпреступниками для выполнения атак [5]:
– рассылка сотрудникам организации писем с вредоносным вложением;
– распространение вредоносного ПО через интернет-ресурсы;
– физическое проникновение в офис;
– проникновение в корпоративную сеть организации через внешний периметр – дополняются новым изощренным методом в виде внедрения в цепочку поставщиков.
В последнее время в России возникли проблемы защиты информации, связанные с использованием иностранного программного обеспечения. Так, по мнению Е.А. Разумовской, основная – «значительная, десятилетиями складывающаяся импортозависимость страны в компьютерной области» [6]. В нашей стране сложилась ситуация, когда вся продукция, которая идет на экспорт сопровождается документаций, схемами, чертежами, подготовленными исключительно на лицензионном ПО которое выпускается в западных странах; на заводах установлены системы управления предприятием, например, комплекс BAAN; российские банки непосредственно в сфере своей основной деятельности зависят от системы международных банковских переводов Swift, платежных систем Visa и Mastercard и т. п. Долгое время никто не думал, что использование ПО может стать объектом санкций против России. Ситуация с ограничением системы Swift для России в 2014 г. заставила власти подумать о поддержке отечественного ПО. Тем более что Европейский союз пока не отменил санкции, а рассматривает возможные ограничения в энергетическом и финансовых секторах. За прошедшее после 2014 г. время уже создан собственный аналог – Сервис по передаче финансовых сообщений (СПФС), к которому на январь 2016 г. подключилось уже 46 % российских банков [7]. Таким образом, Россия в банковском секторе уже готова обеспечить безопасность информации о клиентах банков, расчетах, транзакциях и т. п. Но более серьезной считается проблема защиты информации о людях – персональные данные и личная информация. Мода на пользование облачными сервисами, в большинстве случаев зарубежными, приводит к тому, что информация пользователей физически хранится на серверах зарубежных корпораций и любые коммерческие и производственные тайны, военные секреты остаются практически без защиты.
Защита информации – гарантия безопасности, задача государства. Но и пользователи, и предприятия способны проводить мероприятия по повышению информационной безопасности и защите информации. Для этого применяются достаточно простые, но эффективные меры: выстраивание системы разграничения критичных полномочий в бизнес-системах, ограничение доступа к информационным ресурсам, превышающим минимально достаточный уровень. Но успех в области информационной безопасности может принести только комплексный подход, сочетающий надлежащее руководство (административный уровень), усилия компании по убеждению работников в необходимости повышения безопасности информации (процедурный уровень), создания законодательства и контроля со стороны государства за уровнем информационной безопасности (законодательный уровень), и использовании отечественного программного обеспечения и информационных технологий (программно-технический уровень). Адаптация традиционных мер – сетевых решений, повышение качества сбора оперативной информации, моделирование угроз, повышение ответственности, также расширяют границы «безопасного периметра» и создают условия для эффективного и безопасного использования информации в режиме реального времени.
Библиографические ссылки
1. Что такое Информация? Значение слова Информация в философском словаре [Электронный ресурс]. URL: http://diclist.ru/slovar/filosofskiy/l/informatsija.html (дата обращения: 18.03.2016).
2. Белов Е. Б., Лось В. П. Основы информационной безопасности. М. : Горячая линия : Телеком, 2006.
3. Мельников В. П., Клейменов С. А., Петраков А. М. Информационная безопасность и защита информации. 3-е изд. М. : Академия, 2008.
4. Доктрина информационной безопасности Российской Федерации (утв. Президентом РФ 09.09.2000 № Пр-1895) [Электронный ресурс]. URL: http://www.consultant.ru/document/cons_ doc_LAW_28679/ (дата обращения: 20.03.2016).
Процесс информатизации является неотъемлемой частью современного информационного общества. Этот процесс порождает зависимость субъекта от глобального информационного пространства, которое, в свою очередь, связывает мир в единую общую систему. Государства в такой системе являются информационно взаимозависимыми, а сам субъект (общество или человек) ее неотъемлемая часть.
Но процесс информатизации имеет и негативные последствия для общества, например, порождает опасности мирового уровня, связанные с обеспечением информационной безопасности (информационное оружие, информационная война и т.д.)
В настоящее время обеспечение информационной безопасности является одной из приоритетных задач многих государств.
Ключевой составляющей термина «информационная безопасность» является само понятие безопасности.
В каждой эпохе определение безопасности трактовалось по-разному.
Изначально безопасность понималась через реализацию отношений природы и человека; все опасности казались непостижимыми и принимались беспрекословно.
В древнегреческой философии считалось, что достичь абсолютной безопасности возможно только лишь во время деятельности, приносящей удовольствие. А единственная безопасная форма общего бытия – город-государство, основной целью которого является воспитание людей в духе благодеяния.
На этапе религиозного мировоззрения безопасность принималась в качестве абсолютного блага.
Немецкая классическая философия подразумевала пути достижения безопасности с помощью действия созидательных сил индивида – общения, разума, нравственности и труда, а сам индивид определялся как деятельное создающее себя культурно-историческое существо. Отсюда можно сделать вывод, что в каждом философском направлении, используются собственные критерии для оценки безопасности, а определение этому термину дается в зависимости от господствующего мировоззрения и культурно-исторической ситуации.
Согласно закону, в настоящее время безопасность – состояние защищенности жизненно важных интересов личности, общества и государства от внутренних и внешних угроз (ст. 1). Жизненно важные интересы при этом – это совокупность потребностей, удовлетворение которых надежно обеспечивает существование и возможности прогрессивного развития личности, общества и государства.
Основной структурной оставляющей выделенных объектов безопасности является деятельность, основной предмет которой – информация. Наличие угроз личности, обществу, государству или интересам данных объектов позволяет ввести понятие информационная безопасность.
Информационную безопасность в общем виде можно определить как невозможность нанесения вреда свойствам объекта безопасности, обусловливаемым информацией и информационной инфраструктурой.
Из такого определения информационной безопасности можно выделить два важных следствия:
Трактовать проблемы, в основе которых лежит информационная безопасность, можно по-разному. Формулировка будет зависеть от категории субъекта. Ярким примером будет служить сопоставление государственных и учебных организаций. В первом случае, будет легче допустить перерыв в работе, чем раскрыть секретную информацию, а во втором – поддерживать стабильность в работе самой системы.
Субъект информационных отношений может понести убытки или пострадать не только от несанкционированного доступа к информации, но и от сбоев, вызвавших перерыв в работе. Следовательно, понятие информационная безопасность нельзя свести только к защите от несанкционированного доступа к информации. Для некоторых организаций защита от несанкционированного доступа вообще не является ключевой позиций в политике информационной безопасности.
В ХХ в. возникла концепция «информационного общества», вследствие чего сформировалась проблема обеспечения информационной безопасности. В условиях мировой глобализации данная проблема приобретает международный, комплексный и междисциплинарный характер.
Информационно-технический прогресс способствует и появлению новых видов опасностей. К наиболее значимым из них относят: информационное оружие, социальные преступления в IT сфере, а так же применение информационных технологий в политической борьбе.
Первый вид опасностей способен нанести наибольший урон. Применяя такое оружие в мирное время, можно спровоцировать кризис в другой стране или вызвать протестные настроения общества по отношение к действующему политическому режиму. Следовательно, информационное оружие влияет не только на сознание и психику людей, но при этом оно способно изменить информационно-техническую составляющую общества. Примером информационного оружия могут служить компьютерные вирусы, которые способны вывести из строя системы управления, фальсификацию информации, логические бомбы и т.д. Социальные преступления в информационной сфере являются не менее значимым видом опасностей, поскольку могут быть направлены против личности, общества и государства. Примерам данного вида преступлений могут служить: мошеннические манипуляции с электронными деньгами, компьютерное хулиганство. В данный момент предотвращение подобных видов преступлений против общества и государства является одной из ключевых задач национальной политики безопасности. Это в большей степени связанно с активным развитием кибертерроризма и международной компьютерной преступности.
Третий вид опасностей является наименее агрессивным, но не стоит недооценивать его значение. В первую очередь усиление влияния информационных технологий в политической борьбе обусловлено ослаблением государственного давления. Ключевую роль играет информация, а умение правильно распорядиться информационными ресурсами обеспечивает победу на политической арене в большинстве случаев.
Все эти новые угрозы потребовали ответных мер. В России, в частности ,была разработана и принята «Доктрина информационной безопасности РФ». В ней определены составляющие национальных интересов, основные угрозы, а также даны методы обеспечения информационной безопасности. Доктрина содержит в себе основные принципы государственной политики РФ в информационной сфере и служит основой для разработки целевых программ обеспечения информационной безопасности Российской Федерации.
Стремление к информационному обществу порождает новые виды опасностей и угроз. Само же общество вынуждено реагировать на вызовы международной, национальной, общественной и личной безопасности.
Речь идет о следующих методах: разработка международно-правовых соглашений, при помощи которых возможно осуществление контроль за производством и распространением информационного оружия, о координировании деятельности в борьбе с кибертерроризмом и международными компьютерными преступлениями, о защите интеллектуальной собственности и авторских прав на материалы, распространяемые в открытом доступе. Необходимо разработать способы контроля за распространением по Интернету нецензурной и оскорбляющей общественную нравственность информации, недобросовестной рекламы, мошеннических операций и прочих материалов, оказывающих негативное воздействие на физическое, психическое и моральной здоровье людей.
Следовательно, наиболее рациональным подходом к проблемам информационной безопасности является выявление субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем (ИС). Угрозы информационной безопасности – это обратная сторона использования информационных технологий.
Быстрый процесс информатизации общества создает новый этап развития в современной науке. Исследования философов все больше направлены на изучение многогранных и сложных междисциплинарных объектов.
Обеспечение информационной безопасности является первоочередной задачей для современного общества. Это достаточно сложный и многофункциональный процесс, который зависит как от внешних, так и от внутренних факторов. Это объясняется тем, что на современном этапе развития общества информационные технологии приобретают все большую значимость в жизни не только отдельного человека, но и целого государства.
Список литературы:
1. Соловьёв, А.В. Информационное общество: полифония культурных форм/ А.В. Соловьёв. – Рязань, Ряз. гос. ун-т им. С.А. Есенина, 2007. – 184 с.
2. Астахова, Л.В.Информационная безопасность: герменевтический подход / Л.В. Астахова. – М.: РАН, 2010. – 185
3. Закон Российской Федерации «О безопасности» от 5 марта 1992 года; Концепция национальной безопасности Российской Федерации, в редакции Указа Президента Российской Федерации № 24 от 10 января 2000 года.
4. Обеспечение информационной безопасности России. Теоретические и методологические основы / Стрельцов А.А. – М., МЦНМО, 2002. – 296 с.
Угрозы можно классифицировать по нескольким критериям:
по аспекту информационной безопасности (доступность, целостность, конфиденциальность), против которого угрозы направлены в первую очередь;
по компонентам информационных систем, на которые угрозы нацелены (данные, программы, аппаратура, поддерживающая инфраструктура);
по способу осуществления (случайные/преднамеренные, действия природного/техногенного характера).
5. Принцип работы антивирусных программ
Обнаружение и удаление вредоносного кода с использованием всего комплекса необходимых технологий. Антивирусные технологии развиваются параллельно с эволюцией вредоносных программ, становясь всё более изощренными по мере усложнения угроз.
Принципы действия антивирусных программ можно классифицировать несколькими способами. Один из видов классификации базируется на том, какая угроза нейтрализуется – известная или неизвестная вирусным аналитикам и антивирусным компаниям:
Реактивная защита – защита от известных угроз с использованием знаний об участках кода и других уникальных особенностях существующих вредоносных программ. Для того чтобы такая защита работала успешно, антивирусная программа должна иметь обновленные базы сигнатур.
Проактивная защита – защита от новых вредоносных программ, основанная на знании неуникальных особенностей кода и поведения, характерных для деструктивного ПО.
Еще один вид классификации технологий, реализующих принцип антивирусной защиты, базируется на том, какие свойства угроз и потенциально зараженных объектов анализируются при детектировании:
Анализ кода подозрительных объектов.
Поведенческий анализ подозрительных объектов.
Отслеживание изменений файлов, хранящихся на компьютере, по контрольным суммам и другим признакам.
Антивирусные технологии можно классифицировать и по тому, в каком режиме осуществляется защита:
Постоянный мониторинг за процессами на компьютере и в сети, и обнаружение угроз «на лету», например, при открытии зараженного файла или загрузке инфицированной веб-страницы в браузер.
Сканирование компьютера, запускаемое по расписанию, событию или запросу пользователя.
Ещё один способ классификации технологий, реализующих принцип антивирусной защиты:
Блокирование или ограничение активности объектов, содержащихся в «черных» списках (например, в базах сигнатур угроз), и разрешение запуска всех остальных.
Разрешение активности только безопасных объектов из «белых» списков и запрет активности всех остальных.
Комбинированный подход, например, использование «черных» списков для обнаружения угроз и «белых» списков для коррекции результатов детектирования и минимизации ложных срабатываний.
Знать принцип работы антивирусов необходимо для правильного выбора антивирусного решения. Полноценный антивирус должен включать в себя полный комплекс технологий, нейтрализующих любые типы угроз.
6. Антивирусы
1) KasperskyAntivirus
Работа различных антивирусов одного класса мало чем отличается. Антивирус Касперского обеспечивает защиту среднего класса, поскольку не контролирует сетевой трафик в полном объеме. Работает антивирус так. В течении всего времени, когда компьютер включен он следит за запускаемыми программами, подключаемыми внешними устройствами и скачиваемыми файлами. При запуске программы Антивирус Касперского оценивает ее безопасность еще до исполнения кода. Таким образом он пытается заблокировать вредоносное ПО прежде чем оно успеет навредить вашему компьютеру.
2) Avast!
Avast! Internet Security представляет собой антивирусную систему, которая способна обнаруживать и ликвидировать различные виды вредоносных элементов, троянов, шпионских приложений и др. Способен в одном сеансе проверить всю систему на наличие вредоносного ПО и устаревших версий программ, требующих обновления.
3) Dr. WEB
«Доктор веб» – один из немногих антивирусных вендоров в мире, владеющих собственными уникальными технологиями детектирования и лечения вредоносных программ. Антивирусная защита Dr. Web позволяет информационным системам клиентов эффективно противостоять любым, даже неизвестным угрозам.
7. Опрос «Каким антивирусом вы защищаете компьютер?»
В нашем опросе приняли участие учащиеся школы и учителя, результаты которого вы можете видеть на диаграмме. То есть, если вы не рискуете самостоятельно решить, какой антивирус лучше установить на компьютер, то можно довериться данным этого опроса и установить тот, которым пользуется большинство людей.
8. Опрос «Какая информация защищается в первую очередь?»
Данный опрос мы провели среди IT – специалистов, которые считают, что персональные данные необходимо защищать в первую очередь.
9. Способ частичного взлома учетных записей GMail
Исследователь Ахмед Мехтаб нашел нетривиальный способ частичного взлома учетных записей GMail. Используя ошибку в функции объединения разных аккаунтов и пересылки почты, он показал, как можно отправлять сообщения от имени жертвы. В нормальных условиях подключить дополнительную учетную запись к собственной можно с помощью соответствующего меню в настройках. После этого на дополнительную почту отправляется подтверждение. Необходимо кликнуть на линк в этом сообщении, и у вас появляется возможность отправлять почту с собственного ящика от имени этого дополнительного аккаунта.
Соответственно, если у вас нет доступа к атакуемой почте, вы не увидите письмо с подтверждением и ссылку. Но в редких случаях это не требуется: если атакуемая учетная запись деактивирована, и почтовый сервер Google присылает нотификацию о невозможности доставки сообщения. Тогда можно стандартными средствами запросить подтверждение, оно отправится на атакуемый ящик, и вернется целиком в составе сообщения о невозможности доставки. Останется только кликнуть ссылку.
Понятно, что атака имеет крайне ограниченную сферу применения: против реальных почтовых ящиков она возможна только в случае, если каким-то образом заставить владельца деактивировать аккаунт. Второй вариант: жертва заблокировала ваш почтовый ящик, в таком случае начинают присылаться аналогичные сообщения. Как бы то ни было, можно только отправлять письма от имени жертвы, но не получать их. Исследователю удалось прикрутить к своей почте несуществующие адреса с красивыми именами типа [email protected]. Естественно, на момент публикации исследования, лазейка уже была закрыта.
Методы взлома
Полагаете, что ваши пароли в безопасности? Подумайте еще раз. Если вы хотите, чтобы ваш пароль и данные, которые он охраняет, были защищены от хакеров настолько, насколько это возможно, то обязательно ознакомьтесь с методами, используемыми для взломов паролей. В случае если Вы думаете, что такие преступные типы обойдут Вас своим вниманием, или думаете, что они никогда не смогут угадать Ваш пароль, может быть, Вам будет интересно узнать, насколько Вы не правы.
Вот наиболее распространенные методы взлома паролей:
1) Фишинг
Самый простой способ взлома – спросить у пользователя его/ее пароль. Фишинговое сообщение приводит ничего не подозревающего читателя на поддельные сайты онлайн-банкинга, платежных систем или иные сайты, на которых нужно обязательно ввести личные данные, чтобы “исправить какую-то страшную проблему с безопасностью”.
Зачем утруждать себя взломом пароля, когда пользователь с радостью сообщит его сам?
2) Социальная инженерия
Социальная инженерия придерживается той же концепции, что и фишинг – “спросить у пользователя пароль”, но не с помощью почтового ящика, а в реальном мире.
Любимый трюк социальной инженерии – позвонить в офис под видом сотрудника ИТ-безопасности и просто попросить пароль доступа к сети. Вы будете удивлены, как часто это работает. Некоторые преступники даже испытывают потребность – надеть костюм и бейдж прежде, чем придти в компанию, чтобы задать администратору в приемной тот же вопрос лицом к лицу.
3) Вредоносное программное обеспечение
Программа перехвата вводимой с клавиатуры или выводимой на экран информации может быть установлена вредоносным ПО, которое фиксирует всю информацию, которую Вы вводите, или создает скриншоты во время процесса авторизации, а затем направляет копию этого файла хакерам.
Некоторые вредоносные программы ищут существующий файл с паролями веб-браузера клиента, затем копируют этот файл, который (кроме хорошо зашифрованных) будет содержать легкодоступные сохраненные пароли из истории страниц, посещенных пользователем.
4) Оффлайн хакинг
Легко представить себе, что пароли в безопасности, когда они защищены системами блокировки, которые блокируют пользователей после трех-четырех неудачных попыток набора пароля, что также позволяет блокировать приложения автоматического подбора паролей. Это было бы верно, если бы не тот факт, что большинство взломов паролей происходит в оффлайне, с использованием набора хэшей в файле паролей, которые были “получены” от скомпрометированной системы.
Часто, рассматриваемая жертва оказывается скомпрометирована через взлом третьей стороны, которая тем самым обеспечивает доступ хакерам к системе серверов и всех важных файлов пользователя с хэшированными паролями. Взломщик паролей может работать столько времени, сколько ему нужно, чтобы попытаться взломать код без оповещения целевой системы или отдельных пользователей.
5) Подглядывание через плечо
Наиболее самоуверенные хакеры под видом курьеров, специалистов по техническому обслуживанию кондиционеров или любых других служащих проникают в офисные здания.
Как только они попадают в офисное здание, униформа обслуживающего персонала предоставляет им своего рода бесплатный билет на беспрепятственный доступ во все уголки офисного здания. Это позволяет им записывать пароли, вводимые реальными сотрудниками, а также предоставляет отличную возможность увидеть все те пароли, которые многие так любят писать на стикеры и клеить прямо на мониторы своих компьютеров.
6) Метод “пауков”
Опытные хакеры поняли, что многие корпоративные пароли состоят из слов, которые связаны с бизнесом. Изучение корпоративной литературы, материалов веб-сайтов, сайтов конкурентов и даже список клиентов могут обеспечить хакеров “боеприпасами” для построения пользовательского списка слов, который затем используется для взлома методом грубой силы.
Действительно опытные хакеры автоматизировали процесс и запускают “паутинные” приложения, аналогичные тем, которые применяются ведущими поисковыми системами, чтобы определить ключевые слова, собрать и обработать списки для взлома.
7) Догадки
Лучшим другом взломщиков паролей, конечно, является предсказуемость пользователей. Если действительно случайный пароль был создан с помощью программного обеспечения, предназначенного для этой задачи, то пользовательский “случайный” пароль, вряд ли будет напоминать что-то подобное.
Вместо этого, благодаря нашей эмоциональной привязанности к вещам, которые нам нравятся, скорее всего, те “случайные” пароли, которые мы создадим, будут основаны на наших интересах, хобби, именах домашних животных, семье и так далее. На самом деле, пароли, как правило, строятся на основе всех тех вещей, о которых мы так хотели бы поговорить в социальных сетях и даже включить в наш профиль. Взломщики паролей, вполне вероятно, посмотрят на эту информацию и сделают несколько, часто правильных, догадок при попытке взломать пароль потребительского уровня, не прибегая к словарю или методу грубой силы.
10. Способы защиты информации
Использование паролей
Идея использования паролей заключается в следующем: если кто-либо попробует обратиться к вашим данным или аппаратным средствам, то пароли должны создать собой массу неудобств. Чем сложнее будет угадать или “взломать” используемый вами пароль, тем в большей безопасности будут ваши данные. Длина пароля существенно влияет на уровень защиты. Личные номера на сегодняшний день являются одним из наименее безопасных паролей широкого использования (напр. Кредитные карты для кассовых аппаратов АТМ или телефонные карты). В личных номерах могут использоваться цифры от 0 до 9, то есть номер может иметь десять тысяч вариаций.
Шифрование
Шифрование – способ преобразования открытой информации в закрытую и обратно. Применяется для хранения важной информации в ненадёжных источниках или передачи её по незащищённым каналам связи
Способы шифрования:
1) симметричное шифрование: посторонним лицам может быть известен алгоритм шифрования, но неизвестна небольшая порция секретной информации — ключа, одинакового для отправителя и получателя сообщения;
2) асимметричное шифрование: посторонним лицам может быть известен алгоритм шифрования, и, возможно, открытый ключ, но неизвестен закрытый ключ, известный только получателю.
Электронная подпись
Электронная цифровая подпись в электронном документе признается юридически равнозначной подписи в документе на бумажном носителе.
При регистрации электронно-цифровой подписи в специализированных центрах корреспондент получает два ключа: секретный и открытый.
Процесс подписания электронного документа состоит в обработке с помощью секретного ключа текста сообщения.
Для проверки подлинности сообщения и электронной подписи абонент использует открытый ключ.
Заключение
В ходе исследования было выяснено, что защита информации – есть комплекс мероприятий, проводимых собственником информации, по ограждению своих прав на владение и распоряжение информацией, созданию условий, ограничивающих ее распространение и исключающих или существенно затрудняющих несанкционированный, незаконный доступ к засекреченной информации и ее носителям.
А понятие информационной безопасности – это защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры.
Введение
С конца 80-ых начала 90-ых годов проблемы связанные с защитой информации беспокоят как специалистов в области компьютерной безопасности так и многочисленных рядовых пользователей персональных компьютеров. Это связано с глубокими изменениями вносимыми компьютерной технологией в нашу жизнь. Изменился сам подход к понятию “информация”. Этот термин сейчас больше используется для обозначения специального товара который можно купить, продать, обменять на что-то другое и т.д. При этом стоимость подобного товара зачастую превосходит в десятки, а то и в сотни раз стоимость самой вычислительной техники, в рамках которой он функционирует.
Естественно, возникает потребность защитить информацию от несанкционированного доступа, кражи, уничтожения и других преступных действий. Однако, большая часть пользователей не осознает, что постоянно рискует своей безопасностью и личными тайнами. И лишь немногие хоть каким либо образом защищают свои данные. Пользователи компьютеров регулярно оставляют полностью незащищенными даже такие данные как налоговая и банковская информация, деловая переписка и электронные таблицы. Проблемы значительно усложняются, когда вы начинаете работать или играть в сети так как хакеру намного легче в это время заполучить или уничтожить информацию, находящуюся на вашем компьютере.
Кому нужны ваши данные?..
Это зависит от того, кто вы такой и какими данными располагаете. Но также существует отдельный тип рода деятельности называемый хакером (англ. cracker – взломщик). Некоторые работают группами, некоторые отдельно. Их методы различны, но основной постоянный рабочий инструмент – программа-взломщик, делящаяся на два основных компонента: программа для доступа к удаленным компьютерам по телефонным сетям и словарь вероятных кодов и паролей. Задача программы-взломщика получить доступ к удаленному компьютеру с помощью подбора кодов и паролей до тех пор, пока комбинация не будет найдена; это обеспечит доступ к системе.
Фрикеры – это взломщики, которые специализируются на нападениях на телефонные системы. Телефонная сеть привлекает внимание большинства взломщиков так как она является на данный момент самой большой (глобальной) сетью на планете.
Выбор системы защиты
Запирать двери не очень удобно, однако без этого вы не выходите из дома. То же относится и к защите вашей компьютерной системы. Все, что от вас требуется – это готовность выполнять текущий контроль и совсем немного технических знаний.
Любая компьютерная система не является идеальной, то есть полностью не может обеспечить безопасность данных на вашем ПК. Чтобы на 100% защитить данные от попадания в чужие руки надо их уничтожить. А чтобы сохранить содержимое вашего компьютера в целости надо найти компромисс между важностью защищаемых вами данных и неудобствами связанными с использованием мер защиты. Далее я расскажу о ценных методах защиты данных, а также о том как уменьшить связанные с защитой данных неудобства. Дело в том, что каждый раз, когда повышается уровень защиты требуется более изощренный способ ее обхода. Выбор средства защиты должен основываться на обеспечении достаточной защищенности и в то же время не доставлять неудобств. Каждый пользователь должен произвести собственный анализ риска и решить какие меры защиты наиболее подходят вам в данном случае. Анализ риска для персональных компьютеров можно разделить на три класса: анализ автономных систем, то есть одного компьютера, анализ локальных систем и анализ систем удаленного доступа имеющих связь с глобальной сетью (напр. Internet).
Использование паролей
Идея использования паролей заключается в следующем: если кто-либо попробует обратиться к вашим данным или аппаратным средствам, то пароли должны создать собой массу неудобств. Чем сложнее будет угадать или “взломать” используемый вами пароль, тем в большей безопасности будут ваши данные. Длина пароля существенно влияет на уровень защиты. Личные номера на сегодняшний день являются одним из наименее безопасных паролей широкого использования (напр. Кредитные карты для кассовых аппаратов АТМ или телефонные карты). В личных номерах могут использоваться цифры от 0 до 9, то есть номер может иметь десять тысяч вариаций. Этого достаточно если речь идет о человеке стоящем возле АТМ и набирающего код наугад, но совсем не много если речь идет о компьютере использующем лобовой метод решения.
При “лобовом” нападении проверяются все возможные комбинации паролей до тех пор пока одна из них не сработает. При увеличении длины пароля сложность лобового нападения возрастает так как это займет больше времени. Конечно, многие банки используют не только четырехразрядный код (PIN), но и другие методы для повышения безопасности, например, видеокамеры и АТМ, которые блокируют карточки. При этом меры защиты в каждом банке сильно отличаются. Большинство банков также оказывают следующую услугу: вы можете позвонить в банк, набрать номер карточки и личный номер и узнать состояние текущего счета. Этот сценарий делает уязвимым ваш личный номер (PIN) – некто может засесть за телефон и пробовать разные варианты.
С телефонной карточкой возникает та же проблема. Сети дальней телефонной связи вроде AT & T, MCI, Sprint также используют личные четырехразрядные номера для опознания звонков. Предположим, вы потеряли бумажник… обычно первая реакция – сожаления о наличных ценностях, а лишь потом звонят в кредитные компании и сообщают о потере карточки. Это позволяет заблокировать платежи с ваших карточек. Однако большинство людей забывают, что телефонная карта тоже является кредитной и небольшую программу для взламывания ее PINа способен написать даже подросток. Например:
For i:=0 to 9999 do
DialAccess(i);
Функция DialAccess() – это небольшой отрывок кода. Он набирает телефон компании и последовательно (в данном случае от 0 до 9999) вводит номер карточки, используя i как PIN. Это классический пример лобового метода решения.
Таким образом, четырехразрядный пароль – ваш PIN – имеет всего 9999 возможных комбинаций. Однако большинство компьютерных паролей длиннее и кроме чисел 1-9 могу содержать символы. Четырехразрядный пароль, в котором используются числа и символы, расшифровать сложнее – он может содержать 1679616 уникальных комбинаций.
Вот формула для вычисления возможного количества комбинаций символов: c=xy, где с – число возможных комбинаций, x – количество различных символов используемых в каждой позиции пароля, y – число символов пароля. Например, при использовании PINа c=104. Также некоторые пароли чувствительны к регистру и включают в себя знаки препинания, так что число возможных комбинаций ещё возрастает.
Кроме паролей используемых для обращения к местной сети, Internet и т.д., у пользователей компьютеров есть ряд защитных мер включающих пароли. К ним относятся основанная на BIOS защита, требующая ввести пароль при загрузке компьютера, специальные защитные программы, блокирующие доступ к отдельным файлам, и защищенные паролем архивные ZIP-файлы.
Простые меры защиты
Есть кое какие несложные приемы для защиты ценной информации, которые используются уже много лет. Проблема в том, что все эти схемы легко обойдет хорошо осведомленный пользователь.
DOS и предшествующие операционные системы некоторое время сохраняют удаленные файлы, не уничтожая их полностью. При удалении просто редактируется FAT (File Allocation Table): запись имени файла объявляется недействительной, а сектора, где записан файл, — свободными. Это означает, что удаленные файлы можно восстановить с помощью некоторых широко распространенных утилит (нап. undelete).
Программы уничтожения полностью стирают файл, перезаписывая всю информацию о файле в FAT и сектора, где он находился.
Также можно надежно шифровать отдельные файлы и сообщения электронной почты используя правительственный стандарт шифрования DES. DES расшифровывается как Data Encryption Standart (стандарт шифрования данных). DES был разработан IBM по заказу FBI и CIA как программное обеспечение для шифрования. После разработки DES в 1977 году он был принят правительством USA. Программа DES for Windows, написанная Джеффом Зальцманом, является утилитой шифрования общего пользования.
Защита электронной почты
Подавляющее большинство электронной почты посылается через Internet или другие глобальные сети в виде простого текста, который можно прочесть. Закон о конфиденциальности электронных коммуникаций приравнивает вашу электронную почту к обычному телефонному звонку.
Вы должны понимать, что системные администраторы имеют все необходимые средства для чтения электронной почты на своей системе. Иногда им даже необходимо просматривать электронную почту, чтобы удостовериться, что система работает нормально.
Хакеры и любопытные отличаются тем, что владеют различными способами получения доступа к вашей почте, но обе эти категории не могут читать вашу почту, если она зашифрована. Если вам необходимо защитить секретную информацию используйте PGP (Pretty Good Privacy) для шифрования почты перед отправлением.
Список литературы
“Защита информации в персональных ЭВМ”, А.В. Спесивцев.
“Вычислительная техника и её применение”, В.В. Голубев.
“Безопасность компьютера”, Эд Тайли.
НазваниеЭссе 5 Защита информации и информационная безопасность Понятие информационной безопасностиДата публикации27.02.2013Размер67.24 Kb.ТипДокументыshkolnie.ru > Информатика > ДокументыЭссе 5
Защита информации и информационная безопасность
Понятие информационной безопасности
Под информационной безопасностью понимается защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.
Защита информации – это комплекс мероприятий, направленных на обеспечение информационной безопасности.
Правильный с методологической точки зрения подход к проблемам информационной безопасности начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем (ИС). Угрозы информационной безопасности – это оборотная сторона использования информационных технологий.
^ Информационная безопасность не сводится исключительно к защите от несанкционированного доступа к информации, это принципиально более широкое понятие. Субъект информационных отношений может пострадать (понести убытки и/или получить моральный ущерб) не только от несанкционированного доступа, но и от поломки системы, вызвавшей перерыв в работе. Более того, для многих открытых организаций (например, учебных) собственно защита от несанкционированного доступа к информации стоит по важности отнюдь не на первом месте.
Обратим внимание, что в определении ИБ перед существительным “ущерб” стоит прилагательное “неприемлемый”. Очевидно, застраховаться от всех видов ущерба невозможно, тем более невозможно сделать это экономически целесообразным способом, когда стоимость защитных средств и мероприятий не превышает размер ожидаемого ущерба. Значит, с чем-то приходится мириться и защищаться следует только от того, с чем смириться никак нельзя. Иногда таким недопустимым ущербом является нанесение вреда здоровью людей или состоянию окружающей среды, но чаще порог неприемлемости имеет материальное (денежное) выражение, а целью защиты информации становится уменьшение размеров ущерба до допустимых значений.
^ Основные составляющие информационной безопасности
Информационная безопасность – многогранная, можно даже сказать, многомерная область деятельности, в которой успех может принести только систематический, комплексный подход.
Спектр интересов субъектов, связанных с использованием информационных систем, можно разделить на следующие категории: обеспечение доступности, целостности и конфиденциальности информационных ресурсов и поддерживающей инфраструктуры.
Иногда в число основных составляющих ИБ включают защиту от несанкционированного копирования информации, но, на наш взгляд, это слишком специфический аспект с сомнительными шансами на успех, поэтому мы не станем его выделять.
Поясним понятия доступности, целостности и конфиденциальности.
Доступность – это возможность за приемлемое время получить требуемую информационную услугу. Под целостностью подразумевается актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения.
Наконец, конфиденциальность – это защита от несанкционированного доступа к информации.
Информационные системы создаются (приобретаются) для получения определенных информационных услуг. Если по тем или иным причинам предоставить эти услуги пользователям становится невозможно, это, очевидно, наносит ущерб всем субъектам информационных отношений. Поэтому, не противопоставляя доступность остальным аспектам, мы выделяем ее как важнейший элемент информационной безопасности.
Особенно ярко ведущая роль доступности проявляется в разного рода системах управления – производством, транспортом и т.п. Внешне менее драматичные, но также весьма неприятные последствия – и материальные, и моральные – может иметь длительная недоступность информационных услуг, которыми пользуется большое количество людей (продажа железнодорожных и авиабилетов, банковские услуги и т.п.).
Целостность можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий (транзакций)). Средства контроля динамической целостности применяются, в частности, при анализе потока финансовых сообщений с целью выявления кражи, переупорядочения или дублирования отдельных сообщений.
Целостность оказывается важнейшим аспектом ИБ в тех случаях, когда информация служит “руководством к действию”. Рецептура лекарств, предписанные медицинские процедуры, набор и характеристики комплектующих изделий, ход технологического процесса – все это примеры информации, нарушение целостности которой может оказаться в буквальном смысле смертельным. Неприятно и искажение официальной информации, будь то текст закона или страница Web-сервера какой-либо правительственной организации. Конфиденциальность – самый проработанный у нас в стране аспект информационной безопасности. К сожалению, практическая реализация мер по обеспечению конфиденциальности современных информационных систем наталкивается в России на серьезные трудности. Во-первых, сведения о технических каналах утечки информации являются закрытыми, так что большинство пользователей лишено возможности составить представление о потенциальных рисках. Во-вторых, на пути пользовательской криптографии как основного средства обеспечения конфиденциальности стоят многочисленные законодательные препоны и технические проблемы.
Если вернуться к анализу интересов различных категорий субъектов информационных отношений, то почти для всех, кто реально использует ИС, на первом месте стоит доступность. Практически не уступает ей по важности целостность – какой смысл в информационной услуге, если она содержит искаженные сведения?
Наконец, конфиденциальные моменты есть также у многих организаций (даже в упоминавшихся выше учебных институтах стараются не разглашать сведения о зарплате сотрудников) и отдельных пользователей (например, пароли).
^ Важность и сложность проблемы информационной безопасности
Информационная безопасность является одним из важнейших аспектов интегральной безопасности, на каком бы уровне мы ни рассматривали последнюю – национальном, отраслевом, корпоративном или персональном.
Для иллюстрации этого положения ограничимся несколькими примерами.
В ^ Доктрине информационной безопасности Российской Федерации защита от несанкционированного доступа к информационным ресурсам, обеспечение безопасности информационных и телекоммуникационных систем выделены в качестве важных составляющих национальных интересов РФ в информационной сфере.
В феврале 2001 года двое бывших сотрудников компании Commerce One, воспользовавшись паролем администратора, удалили с сервера файлы, составлявшие крупный (на несколько миллионов долларов) проект для иностранного заказчика. К счастью, имелась резервная копия проекта, так что реальные потери ограничились расходами на следствие и средства защиты от подобных инцидентов в будущем. В августе 2002 года преступники предстали перед судом.
Одна студентка потеряла стипендию в 18 тысяч долларов в Мичиганском университете из-за того, что ее соседка по комнате воспользовалась их общим системным входом и отправила от имени своей жертвы электронное письмо с отказом от стипендии.
Понятно, что подобных примеров множество, можно вспомнить и другие случаи – недостатка в нарушениях ИБ нет и не предвидится. Чего стоит одна только “Проблема 2000” – стыд и позор программистского сообщества!
При анализе проблематики, связанной с информационной безопасностью, необходимо учитывать специфику данного аспекта безопасности, состоящую в том, что информационная безопасность есть составная часть информационных технологий – области, развивающейся беспрецедентно высокими темпами. Здесь важны не столько отдельные решения (законы, учебные курсы, программно-технические изделия), находящиеся на современном уровне, сколько механизмы генерации новых решений, позволяющие жить в темпе технического прогресса.
К сожалению, современная технология программирования не позволяет создавать безошибочные программы, что не способствует быстрому развитию средств обеспечения ИБ. Следует исходить из того, что необходимо конструировать надежные системы (информационной безопасности) с привлечением ненадежных компонентов (программ). В принципе, это возможно, но требует соблюдения определенных архитектурных принципов и контроля состояния защищенности на всем протяжении жизненного цикла ИС.
В марте 1999 года был опубликован очередной, четвертый по счету, годовой отчет “Компьютерная преступность и безопасность-1999: проблемы и тенденции” (Issues and Trends: 1999 CSI/FBI Computer Crime and Security Survey). В отчете отмечается резкий рост числа обращений в правоохранительные органы по поводу компьютерных преступлений (32% из числа опрошенных); 30% респондентов сообщили о том, что их информационные системы были взломаны внешними злоумышленниками; атакам через Internet подвергались 57% опрошенных; в 55% случаях отмечались нарушения со стороны собственных сотрудников. Примечательно, что 33% респондентов на вопрос “были ли взломаны ваши Web-серверы и системы электронной коммерции за последние 12 месяцев?” ответили “не знаю”.
В аналогичном отчете, опубликованном в апреле 2002 года, цифры изменились, но тенденция осталась прежней: 90% респондентов (преимущественно из крупных компаний и правительственных структур) сообщили, что за последние 12 месяцев в их организациях имели место нарушения информационной безопасности; 80% констатировали финансовые потери от этих нарушений; 44% (223 респондента) смогли и/или захотели оценить потери количественно, общая сумма составила более 455 млн. долларов. Наибольший ущерб нанесли кражи и подлоги (более 170 и 115 млн. долларов соответственно).
Увеличение числа атак – еще не самая большая неприятность. Хуже то, что постоянно обнаруживаются новые уязвимые места в программном обеспечении и, как следствие, появляются новые виды атак.
В таких условиях системы информационной безопасности должны уметь противостоять разнообразным атакам, как внешним, так и внутренним, атакам автоматизированным и скоординированным. Иногда нападение длится доли секунды; порой прощупывание уязвимых мест ведется медленно и растягивается на часы, так что подозрительная активность практически незаметна. Целью злоумышленников может быть нарушение всех составляющих ИБ – доступности, целостности или конфиденциальности.
3
Содержание
1. Понятие информационной безопасности
2. Информационная безопасность и Интернет
3. Методы обеспечения информационной безопасности
Литература
1. Понятие информационной безопасности
Под информационной безопасностью понимается защищенность информации и поддерживающей ее инфраструктуры от любых случайных или злонамеренных воздействий, результатом которых может явиться нанесение ущерба самой информации, ее владельцам или поддерживающей инфраструктуре.
Информационная безопасность организации – состояние защищенности информационной среды организации, обеспечивающее её формирование, использование и развитие.
В современном социуме информационная сфера имеет две составляющие: информационно-техническую (искусственно созданный человеком мир техники, технологий и т.п.) и информационно-психологическую (естественный мир живой природы, включающий и самого человека). Соответственно, в общем случае информационную безопасность общества (государства) можно представить двумя составными частями: информационно-технической безопасностью и информационно-психологической (психофизической) безопасностью [2; 22].
В качестве стандартной модели безопасности часто приводят модель из трёх категорий:
· Конфиденциальность – состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право;
· Целостность – избежание несанкционированной модификации информации;
· Доступность – избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа.
Выделяют и другие не всегда обязательные категории модели безопасности:
· неотказуемость или апеллируемость – невозможность отказа от авторства;
· подотчётность – обеспечение идентификации субъекта доступа и регистрации его действий;
· достоверность – свойство соответствия предусмотренному поведению или результату;
· аутентичность или подлинность – свойство, гарантирующее, что субъект или ресурс идентичны заявленным [3; 39].
Действия, которые могут нанести ущерб информационной безопасности организации, можно разделить на несколько категорий:
1. Действия, осуществляемые авторизованными пользователями. В эту категорию попадают: целенаправленная кража или уничтожение данных на рабочей станции или сервере; повреждение данных пользователей в результате неосторожных действий.
2. «Электронные» методы воздействия, осуществляемые хакерами. Под хакерами понимаются люди, занимающиеся компьютерными преступлениями как профессионально (в том числе в рамках конкурентной борьбы), так и просто из любопытства. К таким методам относятся: несанкционированное проникновение в компьютерные сети; DOS_атаки.
Целью несанкционированного проникновения извне в сеть предприятия может быть нанесение вреда (уничтожения данных), кража конфиденциальной информации и использование ее в незаконных целях, использование сетевой инфраструктуры для организации атак на узлы третьих фирм, кража средств со счетов и т.п.
Атака типа DOS (сокр. от Denial of Service – «отказ в обслуживании») ? это внешняя атака на узлы сети предприятия, отвечающие за ее безопасную и эффективную работу (файловые, почтовые сервера). Злоумышленники организуют массированную отправку пакетов данных на эти узлы, чтобы вызвать их перегрузку и, в итоге, на какое-то время вывести их из строя. Это, как правило, влечет за собой нарушения в бизнес-процессах компании-жертвы, потерю клиентов, ущерб репутации и т.п.
3. Компьютерные вирусы. Отдельная категория электронных методов воздействия ? компьютерные вирусы и другие вредоносные программы. Они представляют собой реальную опасность для современного бизнеса, широко использующего компьютерные сети, интернет и электронную почту. Проникновение вируса на узлы корпоративной сети может привести к нарушению их функционирования, потерям рабочего времени, утрате данных, краже конфиденциальной информации и даже прямым хищениям финансовых средств. Вирусная программа, проникшая в корпоративную сеть, может предоставить злоумышленникам частичный или полный контроль над деятельностью компании.
4. Спам. Всего за несколько лет спам из незначительного раздражающего фактора превратился в одну из серьезнейших угроз безопасности: электронная почта в последнее время стала главным каналом распространения вредоносных программ; спам отнимает массу времени на просмотр и последующее удаление сообщений, вызывает у сотрудников чувство психологического дискомфорта; как частные лица, так и организации становятся жертвами мошеннических схем, реализуемых спамерами; вместе со спамом нередко удаляется важная корреспонденция, что может привести к потере клиентов, срыву контрактов и другим неприятным последствиям; опасность потери корреспонденции особенно возрастает при использовании черных списков RBL и других «грубых» методов фильтрации спама.
5. «Естественные» угрозы. На информационную безопасность компании могут влиять разнообразные внешние факторы: причиной потери данных может стать неправильное хранение, кража компьютеров и носителей, форс-мажорные обстоятельства и т.д.
Таким образом, в современных условиях наличие развитой системы информационной безопасности становится одним из важнейших условий конкурентоспособности и даже жизнеспособности любой компании.
2. Информационная безопасность и Интернет
Общение с использованием новейших средств коммуникации вобрал в себя Интернет. Всемирная информационная сеть развивается большими темпами, количество участников постоянно растет. По некоторым данным, в сети зарегистрировано около 1,5 миллиарда страниц. Некоторые «живут» до полугода, а некоторые работают на своих владельцев в полную силу и приносят большую прибыль. Информация в сети охватывает все стороны жизнедеятельности человека и общества. Пользователи доверяют этой форме себя и свою деятельность. Однако опыт работы в области компьютерных технологий полон примеров недобросовестного использования ресурсов Интернет.
Специалисты говорят, что главная причина проникновения в компьютерные сети – беспечность и неподготовленность пользователей. Это характерно не только для рядовых пользователей, но и для специалистов в области компьютерной безопасности. Вместе с тем, причина не только в халатности, но и в сравнительно небольшом опыте специалистов по безопасности в сфере информационных технологий. Связано это со стремительным развитием рынка сетевых технологий и самой сети Интернет.
По данным лаборатории Касперского, около 90% от общего числа проникновений на компьютер вредоносных программ используется посредством Интернет, через электронную почту и просмотр Web_страниц. Особое место среди таких программ занимает целый класс – Интернет-червь. Само распространяющиеся, не зависимо от механизма работы выполняют свои основные задачи по изменению настроек компьютера-жертвы, воруют адресную книгу или ценную информацию, вводят в заблуждение самого пользователя, создают рассылку с компьютера по адресам, взятым из записной книжки, делают компьютер чьим-то ресурсом или забирают часть ресурсов для своих целей или в худшем случае самоликвидируются, уничтожая все файлы на всех дисках.
Все эти и другие с ними связанные проблемы можно решить с помощью наличия в организации проработанного документа, отражающего политику информационной безопасности компании. В таком документе должны быть четко прописаны следующие положения:
· как ведется работа с информацией предприятия;
· кто имеет доступ;
· система копирования и хранения данных;
· режим работы на ПК;
· наличие охранных и регистрационных документов на оборудование и программное обеспечение;
· выполнение требований к помещению, где располагается ПК и рабочее место пользователя;
· наличие инструкций и технической документации;
· наличие рабочих журналов и порядок их ведения.
Кроме того, необходимо постоянно отслеживать развитие технических и информационных систем, публикуемых в периодической печати или следить за событиями, обсуждаемыми на подобных семинарах.
Так согласно Указа Президента РФ «О мерах по обеспечению информационной безопасности РФ при использовании информационно-телекоммуникационных сетей международного информационного обмена», запрещено подключение информационных систем, информационно-телекоммуникационных сетей и средств вычислительной техники, применяемых для хранения, обработки или передачи информации, содержащей сведения, составляющие государственную тайну, либо информации, обладателями которой являются госорганы и которая содержит сведения, составляющие служебную тайну, к информационно-телекоммуникационным сетям, позволяющим осуществлять передачу информации через государственную границу РФ, в том числе к Интернету.
При необходимости подключения указанных информационных систем, информационно-телекоммуникационных сетей и средств вычислительной техники к информационно-телекоммуникационным сетям международного информационного обмена такое подключение производится только с использованием специально предназначенных для этого средств защиты информации, в том числе шифровальных (криптографических) средств, прошедших в установленном законодательством РФ порядке сертификацию в Федеральной службе безопасности РФ и (или) получивших подтверждение соответствия в Федеральной службе по техническому и экспортному контролю [1].
3. Методы обеспечения информационной безопасности
По убеждению экспертов «Лаборатории Касперского», задача обеспечения информационной безопасности должна решаться системно. Это означает, что различные средства защиты (аппаратные, программные, физические, организационные и т.д.) должны применяться одновременно и под централизованным управлением. При этом компоненты системы должны «знать» о существовании друг друга, взаимодействовать и обеспечивать защиту как от внешних, так и от внутренних угроз.
На сегодняшний день существует большой арсенал методов обеспечения информационной безопасности [6; 275]:
· средства идентификации и аутентификации пользователей (так называемый комплекс 3А);
· средства шифрования информации, хранящейся на компьютерах и передаваемой по сетям;
· межсетевые экраны;
· виртуальные частные сети;
· средства контентной фильтрации;
· инструменты проверки целостности содержимого дисков;
· средства антивирусной защиты;
· системы обнаружения уязвимостей сетей и анализаторы сетевых атак.
Каждое из перечисленных средств может быть использовано как самостоятельно, так и в интеграции с другими. Это делает возможным создание систем информационной защиты для сетей любой сложности и конфигурации, не зависящих от используемых платформ.
«Комплекс 3А» включает аутентификацию (или идентификацию), авторизацию и администрирование. Идентификация и авторизация ? это ключевые элементы информационной безопасности. При попытке доступа к информационным активам функция идентификации дает ответ на вопрос: «Кто вы?» и «Где вы?» ? являетесь ли вы авторизованным пользователем сети. Функция авторизации отвечает за то, к каким ресурсам конкретный пользователь имеет доступ. Функция администрирования заключается в наделении пользователя определенными идентификационными особенностями в рамках данной сети и определении объема допустимых для него действий.
Системы шифрования позволяют минимизировать потери в случае несанкционированного доступа к данным, хранящимся на жестком диске или ином носителе, а также перехвата информации при ее пересылке по электронной почте или передаче по сетевым протоколам. Задача данного средства защиты – обеспечение конфиденциальности. Основные требования, предъявляемые к системам шифрования – высокий уровень криптостойкости и легальность использования на территории России (или других государств).
Межсетевой экран представляет собой систему или комбинацию систем, образующую между двумя или более сетями защитный барьер, предохраняющий от несанкционированного попадания в сеть или выхода из нее пакетов данных.
Основной принцип действия межсетевых экранов ? проверка каждого пакета данных на соответствие входящего и исходящего IP_адреса базе разрешенных адресов. Таким образом, межсетевые экраны значительно расширяют возможности сегментирования информационных сетей и контроля за циркулированием данных.
Говоря о криптографии и межсетевых экранах, следует упомянуть о защищенных виртуальных частных сетях (Virtual Private Network – VPN). Их использование позволяет решить проблемы конфиденциальности и целостности данных при их передаче по открытым коммуникационным каналам. Использование VPN можно свести к решению трех основных задач:
1. защита информационных потоков между различными офисами компании (шифрование информации производится только на выходе во внешнюю сеть);
2. защищенный доступ удаленных пользователей сети к информационным ресурсам компании, как правило, осуществляемый через интернет;
3. защита информационных потоков между отдельными приложениями внутри корпоративных сетей (этот аспект также очень важен, поскольку большинство атак осуществляется из внутренних сетей).
Эффективное средство защиты от потери конфиденциальной информации ? фильтрация содержимого входящей и исходящей электронной почты. Проверка самих почтовых сообщений и вложений в них на основе правил, установленных в организации, позволяет также обезопасить компании от ответственности по судебным искам и защитить их сотрудников от спама. Средства контентной фильтрации позволяют проверять файлы всех распространенных форматов, в том числе сжатые и графические. При этом пропускная способность сети практически не меняется.
Все изменения на рабочей станции или на сервере могут быть отслежены администратором сети или другим авторизованным пользователем благодаря технологии проверки целостности содержимого жесткого диска (integrity checking). Это позволяет обнаруживать любые действия с файлами (изменение, удаление или же просто открытие) и идентифицировать активность вирусов, несанкционированный доступ или кражу данных авторизованными пользователями. Контроль осуществляется на основе анализа контрольных сумм файлов (CRC_сумм).
Современные антивирусные технологии позволяют выявить практически все уже известные вирусные программы через сравнение кода подозрительного файла с образцами, хранящимися в антивирусной базе. Кроме того, разработаны технологии моделирования поведения, позволяющие обнаруживать вновь создаваемые вирусные программы. Обнаруживаемые объекты могут подвергаться лечению, изолироваться (помещаться в карантин) или удаляться. Защита от вирусов может быть установлена на рабочие станции, файловые и почтовые сервера, межсетевые экраны, работающие под практически любой из распространенных операционных систем (Windows, Unix- и Linux_системы, Novell) на процессорах различных типов.
Фильтры спама значительно уменьшают непроизводительные трудозатраты, связанные с разбором спама, снижают трафик и загрузку серверов, улучшают психологический фон в коллективе и уменьшают риск вовлечения сотрудников компании в мошеннические операции. Кроме того, фильтры спама уменьшают риск заражения новыми вирусами, поскольку сообщения, содержащие вирусы (даже еще не вошедшие в базы антивирусных программ) часто имеют признаки спама и отфильтровываются. Правда, положительный эффект от фильтрации спама может быть перечеркнут, если фильтр наряду с мусорными удаляет или маркирует как спам и полезные сообщения, деловые или личные.
Для противодействия естественным угрозам информационной безопасности в компании должен быть разработан и реализован набор процедур по предотвращению чрезвычайных ситуаций (например, по обеспечению физической защиты данных от пожара) и минимизации ущерба в том случае, если такая ситуация всё-таки возникнет. Один из основных методов защиты от потери данных – резервное копирование с четким соблюдением установленных процедур (регулярность, типы носителей, методы хранения копий и т.д.) [5; 382].
Литература
1. Указ Президента РФ «О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена» от 17.03.2008 №351;
2. Галатенко, В.А. Основы информационной безопасности. Интернет-университет информационных технологий ? ИНТУИТ.ру, 2008;
3. Галатенко, В.А. Стандарты информационной безопасности. Интернет-университет информационных технологий ? ИНТУИТ.ру, 2005;
4. Лопатин, В.Н. Информационная безопасность России: Человек, общество, государство. Серия: Безопасность человека и общества. М.: 2000. – 428 с;
5. Шаньгин, В.Ф. Защита компьютерной информации. Эффективные методы и средства. ? М.: ДМК Пресс, 2008. – 544 с.
6. Щербаков, А.Ю. Современная компьютерная безопасность. Теоретические основы. Практические аспекты. ? М.: Книжный мир, 2009. – 352 с.
ВВЕДЕНИЕ
Говоря об информационной безопасности, в настоящее время имеют в виду, собственно говоря, безопасность компьютерную. Действительно, информация, находящаяся на электронных носителях играет все большую роль в жизни современного общества. Уязвимость такой информации обусловлена целым рядом факторов: огромные объемы, многоточечность и возможная анонимность доступа, возможность “информационных диверсий”… Все это делает задачу обеспечения защищенности информации, размещенной в компьютерной среде, гораздо более сложной проблемой, чем, скажем, сохранение тайны традиционной почтовой переписки.
Вследствие этого настоящая работа посвящена именно проблеме обеспечения информационной безопасности именно в компьютерной среде. Если говорить о безопасности информации, сохраняющейся на “традиционных” носителях (бумага, фотоотпечатки и т.п.), то ее сохранность достигается соблюдением мер физической защиты (т.е. защиты от несанкционированного проникновения в зону хранения носителей). Другие аспекты защиты такой информации связаны со стихийными бедствиями и техногенными катастрофами. Таким образом, понятие “компьютерной” информационной безопасности в целом является более широким по сравнению с информационной безопасностью относительно “традиционных” носителей.
Если говорить о различиях в подходах к решению проблемы информационной безопасности на различных уровнях (государственном, региональном, уровне одной организации), то такие различия просто не существуют. Подход к обеспечению безопасности Государственной автоматизированной системы “Выборы” не отличается от подхода к обеспечению безопасности локальной сети в маленькой фирме. Поэтому принципы обеспечения информационной безопасности в данной работе рассматриваются на примерах деятельности отдельной организации.
ОСНОВНЫЕ ПОНЯТИЯ
Прежде всего, примем понятие информационной безопасности – это защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры.
Проблема обеспечения безопасности носит комплексный характер, для ее решения необходимо сочетание законодательных, организационных и программно-технических мер. К сожалению, законодательная база еще отстает от потребностей практики. Имеющиеся в России законы и указы носят в основном запретительный характер. В то же время следует учитывать, что в нашей стране доминирует зарубежное аппаратно-программное обеспечение. В условиях ограничений на импорт и отсутствия межгосударственных соглашений о взаимном признании сертификатов, потребители, желающие быть абсолютно законопослушными, оказываются по существу в безвыходном положении – у них нет возможности заказать и получить “под ключ” современную систему, имеющую сертификат безопасности.
Так сложилось, что в России интерес к вопросам информационной безопасности исходит в основном от банковских кругов. Это и хорошо, и плохо. Хорошо потому, что интерес есть. Плохо потому, что компьютеры стоят не только в банках, а банковскую информацию никак не отнесешь к самой ценной.
Общество в целом зависит от компьютеров, поэтому сегодня проблема информационной безопасности – это проблема всего общества. В других странах это поняли довольно давно. Так, в США в 1987 году был принят закон о компьютерной безопасности – Computer Security Act, вступивший в силу в сентябре 1988 года. Этот закон предусматривает комплекс мер по обучению пользователей, имеющих дело с критичной информацией, по подготовке разъяснительных руководств и т.д., без чего сознательное поддержание режима безопасности просто невозможно. И данный закон действительно выполняется.
Следующим после законодательного можно назвать управленческий уровень. Руководство каждой организации должно осознать необходимость поддержания режима безопасности и выделения на эти цели соответствующих ресурсов. Главное, что должен обеспечить управленческий уровень, – это выработать политику обеспечения информационной безопасности, определяющую общему направлению работ.
Применительно к персоналу, работающему с информационными системами, используются организационные и программно-технические меры обеспечения информационной безопасности. Сюда следует отнести методики подбора персонала, его обучения, обеспечения дисциплины, а также средства “защиты от дурака”. Важным элементом являются также меры по физической защите помещений и оборудования.
Для поддержания режима информационной безопасности особенно важны программно-технические меры, поскольку основная угроза компьютерным системам исходит от них самих: сбои оборудования, ошибки программного обеспечения, промахи пользователей и администраторов и т.п. Напомним названия ключевых механизмов обеспечения информационной безопасности:
– идентификация и аутентификация;
– управление доступом;
– протоколирование и аудит;
– криптография;
– экранирование.
НЕДОСТАТКИ СУЩЕСТВУЮЩИХ СТАНДАРТОВ И РЕКОМЕНДАЦИЙ
Стандарты и рекомендации образуют понятийный базис, на котором строятся все работы по обеспечению информационной безопасности. В то же время этот базис ориентирован, в первую очередь, на производителей и “оценщиков” систем и в гораздо меньшей степени – на потребителей.
Стандарты и рекомендации статичны, причем статичны, по крайней мере, в двух аспектах. Во-первых, они не учитывают постоянной перестройки защищаемых систем и их окружения. Во-вторых, они не содержат практических рекомендаций по формированию режима безопасности. Информационную безопасность нельзя купить, ее приходится каждодневно поддерживать, взаимодействуя при этом не только и не столько с компьютерами, сколько с людьми.
Иными словами, стандарты и рекомендации не дают ответов на два главных и весьма актуальных с практической точки зрения вопроса:
– как приобретать и комплектовать информационную систему масштаба предприятия, чтобы ее можно было сделать безопасной?
– как практически сформировать режим безопасности и поддерживать его в условиях постоянно меняющегося окружения и структуры самой системы?
Как уже отмечалось, стандарты и рекомендации несут на себе “родимые пятна” разработавших их ведомств. На первом месте в “Оранжевой книге” (документе, освещающем проблемы информационной безопасности в США) и аналогичных Руководящих документах Гостехкомиссии при Президенте РФ стоит обеспечение конфиденциальности. Это, конечно, важно, но для большинства гражданских организаций целостность и доступность – вещи не менее важные. Не случайно в приведенном определении информационной безопасности конфиденциальность поставлена на третье место.
Таким образом, стандарты и рекомендации являются лишь отправной точкой на длинном и сложном пути защиты информационных систем организаций. С практической точки зрения интерес представляют по возможности простые рекомендации, следование которым дает пусть не оптимальное, но достаточно хорошее решение задачи обеспечения информационной безопасности. Прежде чем перейти к изложению подобных рекомендаций, полезно сделать еще одно замечание общего характера.
Несмотря на отмеченные недостатки, у “Оранжевой книги” есть огромный идейный потенциал, который пока во многом остается невостребованным. Прежде всего, это касается концепции технологической гарантированности, охватывающей весь жизненный цикл системы – от выработки спецификаций до фазы эксплуатации. При современной технологии программирования результирующая система не содержит информации, присутствующей в исходных спецификациях. В то же время, ее наличие на этапе выполнения позволило бы по-новому поставить и решить многие проблемы информационной безопасности. Например, знание того, к каким объектам или их классам может осуществлять доступ программа, существенно затруднило бы создание “троянских коней” и распространение вирусов. К сожалению, пока для принятия решения о допустимости того или иного действия используется скудная и, в основном, косвенная информация – как правило, идентификатор (пароль) владельца процесса, – не имеющая отношения к характеру действия.
)профессиональная тайна: «информация, полученная гражданами (физическими лицами) при исполнении ими профессиональных обязанностей или организациями при осуществлении ими определенных видов деятельности (профессиональная тайна), подлежит защите в случаях, если на эти лица федеральными законами возложены обязанности по соблюдению конфиденциальности такой информации»;
2)коммерческая тайна: «режим конфиденциальности информации, позволяющий ее обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду»;
)личная или семейная тайна: «запрещается требовать от гражданина (физического лица) предоставления информации о его частной жизни, в том числе информации, составляющей личную или семейную тайну, и получать такую информацию помимо воли гражданина (физического лица), если иное не предусмотрено федеральными законами»;
)государственная тайна «защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации».
Заключение
Подводя итог вышесказанному, хотелось бы отметить, что, несмотря на отмену закона «Об информации, информатизации и защите информации» от 20.02.1995 № 24-ФЗ на более совершенный закон «Об информации, информационных технологиях и защите информации» от 27.07.2006 № 149-ФЗ, правовой режим тайны и ее видов полностью не разработан, также как и не прописаны инструменты контроля за сохранением тайны.
Список использованных источников
1.Гражданский кодекс Российской Федерации (часть первая) от 30.11.1994 № 51-ФЗ. // Российская газета, № 238-239, 08.12.1994.
2.Конституция Российской Федерации (принята всенародным голосованием 12.12.1993). // Российская газета, № 237, 25.12.1993.
.Федеральный закон «Об информации, информационных технологиях и защите информации» от 27.07.2006. № 149-ФЗ // Российская газета, № 165, 29.07.2006.
.Закон «О государственной тайне» от 21.07.1993 № 5485-1 // Российская газета, № 182, 21.09.1993.
.Закон «О коммерческой тайне» от 29.07.2004 № 98-ФЗ // Российская газета, № 166, 05.08.2004
.Ефремов Алексей. Понятие и виды конфиденциальной информации.
Закон «Об интерактивной безопасности детей», содержит определение Интернета через его техническую суть.
В 1999 году вступил в силу Закон «О защите потребителей от киберсквоттеров», который распространяется на отношения, связанные со сквоттингом – с неправомерным использованием доменных имен.
Закон «О защите авторских прав цифрового тысячелетия» предусматривает освобождение Интернет-провайдеров от ответственности за нарушение авторского права, если они своевременно удалили нарушающий авторские права материал, после соответствующего уведомления их о наличии такого материала в их системах.
Разработка в 2001 г. Закона «О контроле шпионского ПО и защите личных данных» стала реакцией Америки на проблему, связанную с программами-шпионами. Данный Закон был подвергнут критике за его недружественность по отношению к конечным потребителям.
Как отмечает О.В. Мозолина, зачастую США используют национальные правовые концепции для освоения международного информационного пространства. При этом такое экстерриториальное применение национального законодательства ущемляет суверенитет других государств.
В Китае, второй после США стране по количеству передаваемой через Интернет информации, принято около двух десятков национальных законов и подзаконных актов, регулирующих вопросы защиты информации. Акты касаются вопросов налогообложения электронной торговли, регулирования веб-сайтов по трудоустройству и ограничений по новостным сайтам, порядка лицензирования провайдеров Интернет-услуг. По законодательству Китая провайдерам запрещено размещать на своих страницах информацию определенного содержания, начиная от порнографии и заканчивая любыми политическими комментариями деятельности Коммунистической партии Китая. Кроме того, провайдеры обязаны записывать на жесткие диски всю информацию, появлявшуюся у них на страницах, включая различные чаты, и хранить ее в течение 60 дней, а также представлять эти записи полиции по ее запросам. Китайское законодательство в информационной сфере развивается в русле, которое было определено на специальной сессии парламента КНР: информационная сфера и электронная сеть должны оставаться под контролем государства и помогать экономическому росту страны. Власти Китая весной 2012 года запретили пользователям Интернет использовать псевдонимы (ники). Кроме настоящего имени, при регистрации в сети необходимо ввести паспортные данные, адрес и телефон.
В Сингапуре принят закон, который ограничивает доступ к страницам Интернета, содержание которых может угрожать правительству, государственной безопасности, национальной обороне, расовой и религиозной гармонии в стране и общественной морали.
Работа по выработке законодательства в сфере информационной безопасности активно ведется на регионально уровне. Примером может служить деятельность Евросоюза. Принятые в рамках ЕС директивы носят, как правило, универсальный характер и являются обязательными для государств – участников ЕС.
С.В. Глотова утверждает, что директивы представляют собой новую категорию правовых актов, ранее не известную международному праву. Специфика директивы в ее обязательности для государств-членов, для действия директивы в этих государствах не требует ее утверждения (принятия) органами власти государства. Другое отличие директивы от договора в том, что она является односторонним актом. Своеобразие директивы в том, что с ее помощью задачи сообщества реализуются внутригосударственными средствами.
Многие директивы Евросоюза так или иначе затрагивают вопросы Интернет-экономики. Вопросы информационной безопасности рассматриваются в неразрывной связи с вопросами экономической безопасности.
Директива 2009/136/ЕС «О конфиденциальности и электронных средствах связи» обязала провайдеров общедоступных услуг электронной связи или общественных связей сохранять определенные данные пользователей некоторое время.
Директива 2002/22/ЕС «Об универсальных услугах и правах пользователей в отношении сетей электронных коммуникаций и услуг» устанавливает права конечных пользователей и корреспондирующие им обязанности организаций, предоставляющих общедоступные услуги связи, и целый ряд других.
Наряду с директивами, в Евросоюзе действуют и другие акты, затрагивающие информационную сферу.
Хартия Европейского Союза об основных правах 2007 г. включила в каталог основных прав граждан ЕС право на защиту персональных данных.
В 2010 году в ЕС принята кодифицированная версия Директивы «Об аудиовизуальных медиа-услугах» 2007/65/ЕС. В документе развиты нормы о защите несовершеннолетних и о непричинении им физического и морального вреда.
В 2014 году предполагается принятие Декларации прав Интернет-пользователей. Генеральный директор по правам человека и правовым вопросам Совета Европы Филипп Буайя заявил, что «это будет новый документ по правам пользователей, декларация против отслеживания действий человека в Интернете, направленный на защиту человеческих прав онлайн».
Европейское сообщество вырабатывает и документы программного характера. Так, в 2006 году была принята Европейская Стратегия безопасного информационного общества, которая ориентирована на борьбу с киберпреступностью. В акте отмечено, что интернет-преступность является потенциальным новым экономическим, политическим и военным оружием.
В Стокгольмской программе, закрепляющей приоритеты развития ЕС в сфере законности, свободы и безопасности на период 2010-2014, уделено отдельное внимание вопросам обеспечения информационной безопасности и сформулирована задача о выработке комплексной стратегии внутри ЕС.
Обечпечение информационной безопасности становится предметом заботы мирового сообщества. Задолго до кристаллизации проблемы информационной безопасности был принят ряд нормативных актов общего характера, которые сегодня применяются к отношениям в информационной сфере.
Устав Организации Объединенных наций, помимо основных принципов международного права, содержит положения, на который основывается система коллективной безопасности и развивающая ее всеобъемлющая система международной безопасности.
Декларация о принципах международного права, касающихся дружественных отношений и сотрудничества между государствами 1970 года, Международный пакт о гражданских и политических правах 1966 года, Международная конвенция о ликвидации всех форм расовой дискриминации 1966 года, Конвенция о предупреждении преступления геноцида и наказании за него 1948 года, Международная конвенция о пресечении обращения порнографических изданий и торговли ими 1923 года, Конвенция о международном праве опровержения 1953 года, Конвенция о защите прав человека и основных свобод 1950 года применимы для регулирования информационной безопасности. Однако эти акты общего характера. Что же касается специализированных международных документов, то они немногочисленны.
Европейская конвенция по киберпреступлениям 2001 года – единственный действующий международный договор, непосредственно касающийся вопросов информационной безопасности, подписанный почти всеми странами Евросоюза, США и Канадой. Однако этот документ так и не был практически никем из государств ратифицирован, но подвергался доработкам после принятия. США, формально приветствуя заключение конвенции и присоединяясь к ней, зарезервировали за собой право вето на применение некоторых ее положений, не полностью соответствующих американскому законодательству.
Россия не участвует в Европейской конвенции о киберпреступости 2001 года, поскольку имеет собственную позицию по вопросу международной информационной безопасности. По словам Советника Секретаря Совета Безопасности РФ директора института проблем информационной безопасности МГУ им. М.В. Ломоносова В.П. Шерстюка, «противодействие вызовам в области безопасности использования глобальной и национальных информационных инфраструктур необходимо осуществлять на основании комплексного подхода, учитывающего весь спектр угроз, существующих в данной области».
Нормы Европейской конвенции, направленные на унификацию и гармонизацию национального законодательства, на выстраивание взаимной помощи, могли бы способствовать совершенствованию российского уголовного закона. Однако ряд положений Конвенции, на наш взгляд, неприемлем. Так, ст. 32 Конвенции закрепляет возможность трансграничного доступа к компьютерным данным, находящимся в системах общего доступа, независимо от территориального местонахождения этих данных; либо трансграничного доступа к компьютерным данным, находящимся на территории другой Стороны, при получении правомерного и добровольного согласия со стороны лица, обладающего законным правом на предоставление данных этой Стороне посредством вышеупомянутой компьютерной системы. Иными словами, Европейская конвенция предусматривает возможность проведения следственных действий в информационном пространстве другого государства без уведомления его следственных органов.
Судьба Торгового соглашения по борьбе с контрафакцией 2012 года (АСТА), согласно которому должно быть установлено строгое наблюдение за соблюдением авторского права Некоторые исследователи говорят о том, что для обеспечения Интернет-безопасности необходим особый международный режим, регулирующий деятельность в нем каждого с учетом интересов всех, поскольку «по многим признакам международное информационное пространство можно рассматривать в качестве общего наследия человечества. Интернет, в частности, используется всеми государствами и конкретно не должен принадлежать никому». Даррел Менте разработал концептуальную Теорию интернациональных пространств. По его мнению, таких пространств на данный момент три: Антарктика, космос и открытое море. Д. Менте предлагает рассматривать киберпространство четвертым пространством с международным режимом, на которое не распространяется государственный суверенитет. Отметим, что международное сообщество имеет успешный опыт кодификации космической деятельности и в сфере морского права, областей исключительно сложных с точки зрения согласования интересов государств. Однако применительно к Интернет-пространству отмечается очевидная сложность разработки такого режима, поскольку международное сообщество сталкивается с задачей кодификации не только новой и сложной с технической точки зрения области деятельности, но и крайне чувствительной для их безопасности сферы.
В качестве нормативно-регулятивной меры обеспечения безопасности в сети Интернет можно рассматривать сетевые кодексы поведения. Эта идея впервые была выдвинута вскоре после появления самой сети – тогда появились первые кодексы. Однако они не были эффективны. Причина в том, что нормы внутрисетевого поведения распространяются только на отдельные, связные сообщества пользователей Интернет. Внутри такого сообщества применяемые нормы саморегулирования эффективны и могут быть легко донесены до каждого пользователя. Вне устойчивого круга общения эти нормы, также могут применяться, но их регулятивные качества резко снижаются. Проблему обеспечения информационной безопасности в сети Интернет не удастся решить только с помощью саморегулирования. Это может быть хорошим дополнением к системе правового регулирования.
Инициатором следующей меры выступила Российская Федерация. В 1999 году она предложила ООН проект документа, озаглавленного «Принципы, касающиеся международной информационной безопасности», принятие которым могло способствовать выработке и закреплению основополагающих начал информационной безопасности. Основная идея документа сформулирована в положениях Принципа I – деятельность каждого государства в информационном пространстве должна способствовать общему прогрессу и не противоречить задаче поддержания мировой стабильности и безопасности, интересам безопасности других государств, принципам неприменения силы, невмешательства во внутренние дела, уважения прав и свобод человека.
Другой российской инициативой явилась разработка концепции Конвенции об обеспечении международной информационной безопасности, которая явилась своего рода противовесом Европейской киберконвенции, которую Россия отвергает. Ни одни из предложенных Российской Федерацией документов на данный момент не принят международным сообществом. По поводу принятия российского варианта Конвенции в ООН до сих пор ведутся оживленные дискуссии.
К следующей группе мер относятся меры по контролю. Они применяются на всех уровнях регулирования информационной безопасности. Говоря о контроле в глобальной сети в целях обеспечения информационной безопасности все мероприятия необходимо оценивать с точки зрения баланса интересов личности, общества, государства и мирового сообщества. В нормативных актах различного уровня декларируется стремление обеспечить доступ к информационным ресурсам для максимального числа пользователей. В этих документах речь идет об открытости и доступности Интернета как информационного ресурса и как неотъемлемой части инфраструктуры мировой экономики. Таким образом, по общему правилу, закрепленному в международных, региональных и национальных актах, Интернет должен быть доступным и открытым источником. Однако документы содержат и положения, позволяющие контролировать возможность использования сети Интернет посредством ограничений или запретов.
Конвенция о защите прав человека и основных свобод 1950 года в ч. 1 ст. 10 закрепляет право каждого «свободно выражать свое мнение. Это право включает свободу придерживаться своего мнения и свободу получать и распространять информацию и идеи без какого-либо вмешательства со стороны публичных властей и независимо от государственных границ». Однако ч. 2 этой статьи предусматривает возможность ограничения этого права «в интересах национальной безопасности, территориальной целостности или общественного порядка, в целях предотвращения беспорядков и преступлений, для охраны здоровья и нравственности, защиты репутации или прав других лиц, предотвращения разглашения информации, полученной конфиденциально, или обеспечения авторитета и беспристрастности правосудия». Руководствуясь этой нормой Конвенции, многие государства внедряют механизмы контроля за информацией в сети.
В России были приняты меры по контролю за информационным наполнением сети Интернет. В 2012 году был принят закон о реестре запрещенных сайтов, предполагающий блокировку страниц и сайтов, содержащих запрещенную в РФ информацию. Принятие этого закона вызвало большой общественный резонанс. В традиционных СМИ и на различных Интернет-площадках были развернуты дискуссии на эту тему. Практически все поддерживали положения, касающиеся защиты детей. Противники закона опасались, что благие намерения защитить российское общество от пагубного влияния негативного сетевого контента обернутся Интернет-цензурой и блокировкой оппозиционных, неугодных власти сайтов. По поводу принятия данного закона Совет при Президенте РФ по развитию гражданского общества и правам человека выступил с заявлением, в котором отмечается: «Мы считаем крайне важным остановить введение цензуры в русскоязычном сегменте сети Интернет и, в частности, на территории России – это приведёт к появлению нового «электронного занавеса», что губительно скажется на правах и возможностях граждан России, на развитии общества в целом и становлении всей экономики». Против принятия закона (в части введения фильтрации рунета – российского Интернета) выступили такие сетевые ресурсы как Google, LiveJournal, ВКонтакте, Яндекс. В знак протеста русская Википедия объявила забастовку, и ресурс был недоступен в течение суток. Федеральный закон № 139-ФЗ был принят и вступил в силу 1 ноября 2012 года. На официальном сайте http://www.zapret-info.gov.ru невозможно увидеть полный перечень запрещенных сайтов, что представляется неверным с позиции открытости информации и с точки зрения требований, предъявляемых к правовому национальному закону международным правом.
Конвенция о защите прав человека и основных свобод 1950 г. в ч. 2 ст. 10 предусматривает возможность ограничения свободы выражения мнения в определенных целях. Европейский Суд по правам человека определил критерии такого ограничения. Любое ограничение свободы выражение мнения, закрепленное в национальном законодательстве, должно соответствовать двум требованиям – точности и доступности. Это означает, что право должно быть в адекватной мере доступным: граждане должны иметь возможность ориентироваться в том, какие правовые нормы применяются к данному случаю. Норма не может считаться законом, пока она не будет сформулирована с достаточной степенью точности, позволяющей гражданину сообразовывать с ней свое поведение, предвидеть в разумной степени, применительно к обстоятельствам, последствия, которые может повлечь за собой то или иное действие. Таким образом, ограничивая доступ граждан к информации в виде реестра сайтов, которые были признаны запрещенными в России, государство лишает возможности ориентироваться в информационной среде и определять свое поведение в сети Интернет на будущее. Граждане не могут опираться исключительно на критерии отнесения электронного ресурса к запрещенным, закрепленные в законе, поскольку последние не всегда четко сформулированы. Необходимо основывать свое поведение и на практике применения законодательства.
О стремлении государства усилить контроль в сети свидетельствуют попытки разработать и принять Федеральный закон «О регулировании сегмента Российской Федерации сети Интернет». Существовало несколько проектов этого документа. В текущем году идея принятия закона вновь обсуждается, разработана его очередная концепция. Согласно концепции, информационная безопасность в сети Интернет обеспечивается посредством защиты участников взаимодействия в сети от информации, распространение которой в РФ запрещено; защитой авторских и интеллектуальных прав в сегменте РФ в сети; защитой персональных данных и иной информации ограниченного доступа. По словам его инициаторов, закон о регулировании Интернета в России нужен для того, чтобы «преступления, совершаемые с использованием современных технологий под прикрытием анонимности, также расследовались, виновные устанавливались и наказывались. Новый закон необходим для того, чтобы вооружить правоохранительные органы инструментом, необходимым для борьбы со злом в сети». По замыслу разработчиков, все противоправные деяния, совершенные в сети, должны подпадать под действие УК РФ или КоАП РФ.
Контрольной мерой является мониторинг глобальной сети, который стремится осуществить государство. В январе 2012 года Служба внешней разведки РФ объявила тендеры на разработку новых методик мониторинга блогосферы. На это мероприятие планировалось потратить порядка 30 миллионов рублей.
С точки зрения международного права не все меры государственного уровня могут считаться правовыми, несмотря на то, что на национальном уровне они оформлены надлежащими нормативно-правовыми актами. Зачастую, прикрываясь национальными интересами, государства принимают законы, а государственные органы предпринимают действия, нарушающие права и свободы человека. Такое поведение государств объяснимо. Бесконтрольный Интернет может представлять угрозу и для самого государства, и для власти в государстве. Интернет-технология приносит с собой возможность выражения новых форм протеста в новых условиях, а также включает в себя изменившиеся последствия для тех, кто ее использует. Примером того, как с помощью Интернет-ресурсов поднимались повстанческие движения, приведшие в итоге к смене власти и политического режима, являются так называемые арабские twitter-революции (другое название – жасминовые революции) в Египте, Тунисе, Ливии.
С позиции международного права не могут считаться правовыми действия властей во Вьетнаме, где блогеры получили тюремные сроки за критику властей. Суд признал их виновными в распространении антиправительственной пропаганды и приговорил на срок от 4 до 12 лет. Несколько лет назад блогеры основали сайт «Клуб свободных журналистов», на котором размещали материалы о коррупции в стране, обличали несправедливые действия официальных лиц и критиковали политику правительства. В связи с судом над блогерами ряд правозащитных организаций, правительства западных стран и Комиссия ООН по правам человека выступили с жесткой критикой в адрес вьетнамских властей.
Власти Китая запретили пользователям использовать в сети псевдонимы (ники). Более того, при регистрации в Интернет потребуются еще и паспортные данные, адрес и телефон. Кроме того, Китай давно блокирует доступ к Tvitter, Facebook, Youtube.
Данные меры направлены на обеспечение информационной безопасности. Однако такие действия властей, несмотря на законодательное закрепление, идут в разрез с принципами международного права.
Вызывает возражения инициатива по принятию многостороннего Торгового соглашения по борьбе с контрафакцией (АСТА). Соглашение предусматривает создание международного объединения, направленного против нарушений авторских прав I. Международные нормативные правовые акты:
1.Устав Организации Объединенных Наций // Сборник действующих договоров, соглашений и конвенций, заключенных СССР с иностранными государствами. Вып. XII. М., 1956.
.Декларация о принципах международного права, касающихся дружественных отношений и сотрудничества между государствами. 1970 г. Международное публичное право. Сборник документов. Т. 1. М., 1996.
3.Договор о принципах деятельности государств по исследованию и использованию космического пространства, включая Луну и другие небесные тела от 27 янв. 1967 г. Международное публичное право. Сборник документов. Т. 2. М., 1996.
.Европейская конвенция о взаимной правовой помощи по уголовным делам от 20 апр. 1959 г. // Бюллетень международных договоров. 2000. N 9.
5.Европейская конвенция по киберпреступлениям. 2001 г. // Сайт Стратег.Ру [Электронный ресурс]. – Режим доступа : II. Национальные нормативные правовые акты:
31.Конституция Российской Федерации от 12 дек. 1993 г. с попр. от 30 дек. 2008 г. // Российская газета. 21.01.2009. № 7.
32.Гражданский кодекс Российской Федерации (часть четвертая) : Федеральный закон от 18 дек. 2006 г. № 230-ФЗ : (в ред. от 08 дек. 2011 г.) // Собрание законодательства РФ. 25.12.1994. № 52. Ст. 5496.
.Уголовный кодекс Российской Федерации: Федеральный закон от 13 июня 1996 г. (ред. от 05 апр. 2013 г.) № 63-ФЗ / Собрание законодательства РФ. 17.06.1996. N 25. Ст. 2954.
34.О внесении изменений в Федеральный закон «О защите детей от информации, причиняющей вред их здоровью и развитию», и отдельные законодательные акты Российской Федерации: Федеральный закон от 28 июля 2012 г. № 139-ФЗ // Российская газета. 30.07.2012. № 172.
35.О защите детей от информации, причиняющей вред их здоровью и развитию: Федеральный закон: Федеральный закон от 29 дек. 2013 г. (ред. от 5 апр. 2013) № 436-ФЗ // [Электронный ресурс]. – Режим доступа : СПС КонсультантПлюс. – Дата обращения 20.04.2013.
36.О защите прав потребителей: Закон Российской Федерации от 7 фев. 1992 г. (ред. от 28 июля 2012 г.) № 2300-1 // [Электронный ресурс]. – Режим доступа : СПС КонсультантПлюс. – Дата обращения 20.04.2013.
37.Об информации, информационных технологиях и защите информации: Федеральный закон от 27 июля 2006 г. (ред. от 5 апр. 2013) № 149-ФЗ // [Электронный ресурс]. – Режим доступа : СПС КонсультантПлюс. – Дата обращения 20.04.2013.
38.О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена: Указ Президента РФ от 17 марта 2008 г. (в ред. от 14 янв. 2011 № 38) № 351 // [Электронный ресурс]. – Режим доступа : СПС КонсультантПлюс. – Дата обращения 20.04.2013.
39.Положение о Совете по развитию информационного общества в Российской Федерации (утв. Указом Президента РФ от 1 ноября 2008 г. № 1576) // Официальный сайт Президента РФ [Электронный ресурс]. – Режим доступа : http: // state.kremlin.ru. – Дата обращения 20. 04.2013.
.О координации мероприятий по использованию информационно-коммуникационных технологий в деятельности государственных органов: Постановление Правительства РФ от 24.05.2010 г. (ред. от 08.04.2013 № 314) № 365 // [Электронный ресурс]. – Режим доступа : СПС КонсультантПлюс. – Дата обращения 20.04.2013.
.Доктрина информационной безопасности Российской Федерации, утв. 9 сент. 2000 г. // Российская газета. 28.09.2000. № 187.
.Стратегия развития информационного общества в Российской Федерации от 7 фев. 2008 г. № Пр-212 // Российская газета. 16.02.2008. № 34.
43.Конвенция об обеспечении международной информационной безопасности (концепция) // Официальный сайт Совета Безопасности Российской Федерации [Электронный ресурс]. – Режим доступа : III. Специальная литература:
46.Баранов И., Сафронов И., Черненко Е. Разветка ботом. СВР займется социальными сетями // Коммерсантъ. 28.07.2012. № 158 (П).
47.Богданов В. Анонимки на просвет // Российская газета. 11 сент. 2012 г. N5881.
48.Большая Советская Энциклопедия. В 30 Т. М.: Советская энциклопедия, 1969-1978.
.Бурматов В.В., Глазунов О.Н. Совремнные революционные технологии. Стратегия, технология и тактика цветных революций. М., 2011.
.Валеев Р.М. Международный контроль. Казань, 1988.
.Глотова С.В. Директивы Европейского Сообщества: автореф. дис. … к.ю.н.: 12.00.10. М., 1999.
.Гольтяпина И.Ю. Административно-правовые средства обеспечения информационной безопасности в России: автореф. дис. … к.ю.н.: 12.00.14. Омск, 2008.
53.Горев А.И., Симаков А.А. Обеспечение информационной безопасности. Учебное пособие. Омск, 2005.
54.Дело редакции газеты «Правое дело» и Штекеля против Украины. Решение суда от 5 мая 2011 г. // [Электронный ресурс]. – Режим доступа : #”justify”>IV. Электронные ресурсы:
93.Государственный интернет-канал «Россия» // [Электронный ресурс]. – Режим доступа : . – Дата обращения 10.04.2013.
.Интернет-портал Российской газеты. 12 апр. 2013 г. // [Электронный ресурс]. – Режим доступа : haker-anons.html. – Дата обращения 20.04.2013.
.Официальный сайт Института проблем информационной безопасности // [Электронный ресурс]. – Режим доступа : . – Дата обращения 20.04.2013.
.Официальный сайт Интерфакс 3 нояб. 2012 г. // [Электронный ресурс]. – Режим доступа : http://www.interfax.ru/print.asp?sec=1446 &id=274223 . – Дата обращения 03.03.2013.
– целостность данных – защиту от сбоев, ведущих к потере информации, а также неавторизованного создания или уничтожения данных;
– конфиденциальность информации и одновременно ее доступность для всех авторизованных пользователей [2].
В процессе реализации указанных принципов государства определили наиболее уязвимые сферы возможных нарушений: банковские и финансовые институты, информационные сети, системы государственного управления, оборонные и специальные структуры. Эти структуры государства требуют специальных мер безопасности, поскольку они обеспечивают суверенитет страны. В качестве основных мер информационной безопасности применяются средства шифрования информации, вплоть до использования файловых систем с шифрованием данных [3]. Современные системы обнаружения нарушения информационной безопасности включают в себя системы виртуализации, песочницы со встроенными системами антивирусной защиты и системы управления знаниями о киберуг-розах и уязвимостях (Threat Intelligence).
Основную проблему в обеспечении информационной безопасности составляет защита самой информации. Государство обеспечивает защиту информации на законодательном уровне, но оно не может оградить нас от человеческого фактора [4]. Авторы работы отмечают изменения в подходах, используемых киберпреступниками для выполнения атак [5]:
– рассылка сотрудникам организации писем с вредоносным вложением;
– распространение вредоносного ПО через интернет-ресурсы;
– физическое проникновение в офис;
– проникновение в корпоративную сеть организации через внешний периметр – дополняются новым изощренным методом в виде внедрения в цепочку поставщиков.
В последнее время в России возникли проблемы защиты информации, связанные с использованием иностранного программного обеспечения. Так, по мнению Е.А. Разумовской, основная – «значительная, десятилетиями складывающаяся импортозависимость страны в компьютерной области» [6]. В нашей стране сложилась ситуация, когда вся продукция, которая идет на экспорт сопровождается документаций, схемами, чертежами, подготовленными исключительно на лицензионном ПО которое выпускается в западных странах; на заводах установлены системы управления предприятием, например, комплекс BAAN; российские банки непосредственно в сфере своей основной деятельности зависят от системы международных банковских переводов Swift, платежных систем Visa и Mastercard и т. п. Долгое время никто не думал, что использование ПО может стать объектом санкций против России. Ситуация с ограничением системы Swift для России в 2014 г. заставила власти подумать о поддержке отечественного ПО. Тем более что Европейский союз пока не отменил санкции, а рассматривает возможные ограничения в энергетическом и финансовых секторах. За прошедшее после 2014 г. время уже создан собственный аналог – Сервис по передаче финансовых сообщений (СПФС), к которому на январь 2016 г. подключилось уже 46 % российских банков [7]. Таким образом, Россия в банковском секторе уже готова обеспечить безопасность информации о клиентах банков, расчетах, транзакциях и т. п. Но более серьезной считается проблема защиты информации о людях – персональные данные и личная информация. Мода на пользование облачными сервисами, в большинстве случаев зарубежными, приводит к тому, что информация пользователей физически хранится на серверах зарубежных корпораций и любые коммерческие и производственные тайны, военные секреты остаются практически без защиты.
Защита информации – гарантия безопасности, задача государства. Но и пользователи, и предприятия способны проводить мероприятия по повышению информационной безопасности и защите информации. Для этого применяются достаточно простые, но эффективные меры: выстраивание системы разграничения критичных полномочий в бизнес-системах, ограничение доступа к информационным ресурсам, превышающим минимально достаточный уровень. Но успех в области информационной безопасности может принести только комплексный подход, сочетающий надлежащее руководство (административный уровень), усилия компании по убеждению работников в необходимости повышения безопасности информации (процедурный уровень), создания законодательства и контроля со стороны государства за уровнем информационной безопасности (законодательный уровень), и использовании отечественного программного обеспечения и информационных технологий (программно-технический уровень). Адаптация традиционных мер – сетевых решений, повышение качества сбора оперативной информации, моделирование угроз, повышение ответственности, также расширяют границы «безопасного периметра» и создают условия для эффективного и безопасного использования информации в режиме реального времени.
Библиографические ссылки
1. Что такое Информация? Значение слова Информация в философском словаре [Электронный ресурс]. URL: http://diclist.ru/slovar/filosofskiy/l/informatsija.html (дата обращения: 18.03.2016).
2. Белов Е. Б., Лось В. П. Основы информационной безопасности. М. : Горячая линия : Телеком, 2006.
3. Мельников В. П., Клейменов С. А., Петраков А. М. Информационная безопасность и защита информации. 3-е изд. М. : Академия, 2008.
4. Доктрина информационной безопасности Российской Федерации (утв. Президентом РФ 09.09.2000 № Пр-1895) [Электронный ресурс]. URL: http://www.consultant.ru/document/cons_ doc_LAW_28679/ (дата обращения: 20.03.2016).