1. Сущность и задачи комплексной защиты информации

1.1 Понятийный аппарат в области обеспечения безопасности информации

Изучение любой дисциплины необходимо начинать с освоения понятийного аппарата ее предметной области. Раскрытие значений некоторых ключевых терминов позволяет сформировать начальные представления о целях и задачах защиты информации. Терминология в области защиты информации изложена в Федеральных законах, указах Президента, постановлениях Правительства, государственных и отраслевых стандартах, руководящих документах ФСТЭК России.

Прежде всего, определимся с объектом защиты. Согласно [1], под информацией понимается:

1) сообщение, осведомление о положении дел, сведения о чем-либо, передаваемые людьми;

2) [в теории вероятности] уменьшаемая, снимаемая неопределенность в результате получения сообщений;

3) [с точки зрения математических подходов] сообщение, неразрывно связанное с управлением, сигналы в единстве синтаксических, семантических и прагматических характеристик;

4) передача, отражение разнообразия в любых объектах и процессах (неживой и живой природы).

Трудно переоценить роль информации в современном мире. По мнению многих ученых, именно информация является решающим фактором в конкурентной борьбе государств. Так, на Западе пользуется популярностью классификация, в соответствии с которой все страны делятся по уровню их развития следующим образом [2]:

страны, способные производить и продавать информационные услуги;

страны, не производящие информационных услуг на продажу, но создающие и продающие промышленные товары;

страны, не производящие ни информационных услуг, ни товаров, и являющиеся поставщиками сырья и рабочей силы в страны первых двух классов.

Важность информации, как локомотива развития отчетлива видна на примере Индии. Да и в США более 50% национального дохода обеспечивает продажа информационных услуг.

Владение информацией необходимого качества в нужное время и в нужном месте является залогом успеха в любом виде хозяйственной деятельности. Монопольное обладание определенной информацией оказывается зачастую решающим преимуществом в конкурентной борьбе. Именно поэтому собственнику и необходимо ее защищать.

Выделяется два вида собственной информации у предпринимателя [3]: техническая (технологическая) и деловая информация. К первому типу относятся, например, методы производства продукции, программное обеспечение, рецепты лекарств и т.п. Ко второму типу относятся, например, бизнес-планы предприятия, списки клиентов, материалы различных заказных исследований.

Теперь разберемся, что понимается под безопасностью информации. Определение понятия «безопасность» наиболее полно выражено в Федеральном законе Российской Федерации «О безопасности» от 05.03.92.

В трактовке Закона, безопасность - это «состояние защищенности жизненно важных интересов личности, общества и государства от внутренних и внешних угроз». При этом понятие защищенности указывает на способность (степень, уровень) противостояние конкретным, четко сформулированным угрозам.

В прикладном аспекте на более низком уровне, чем государство и общество в целом, безопасность определяется как состояние защищенности жизненно важных интересов человека, общества, государства и субъекта защиты в определенной сфере отношений, при соблюдении баланса интересов между ними.

Анализ отечественных и зарубежных источников показывает, что, в основном, все определения понятия безопасности включают следующие основные положения: наличие внутренних и внешних угроз, наличие жизненно важных интересов и соблюдения баланса интересов.

Первичным в определениях безопасности является наличие угроз и опасностей. Наличие жизненно важных интересов выступает в роли вторичного акта.

Под безопасностью информации понимается такое ее состояние, при котором исключается возможность ознакомления с этой информацией, ее изменения или уничтожения лицами, не имеющими на это права, а также утечки за счет побочных электромагнитных излучений и наводок, специальных устройств перехвата (уничтожения) при передаче между объектами вычислительной техники [4].

Под защитой информации понимается совокупность мероприятий, направленных на обеспечение конфиденциальности и целостности обрабатываемой информации, а также доступности информации для пользователей [5].

Итак, безопасность информации – это ее определенное состояние, а защита информации – это совокупность мероприятий. Более того, далее мы увидим, что защита информации – это целенаправленный непрерывно продолжающийся процесс. Приведем определения конечных целей защиты информации.

Конфиденциальность – свойство, позволяющее не давать права на доступ к информации или не раскрывать ее неполномочным лицам, логическим объектам или процессам [6].

Целостность - свойство, при выполнении которого информация сохраняет заранее определенные вид и качество. Целостность можно подразделить на статическую (понимаемую как неизменность информационных объектов) и динамическую (относящуюся к корректному выполнению сложных действий (транзакций)). Практически все нормативные документы и отечественные разработки относятся к статической целостности, хотя динамический аспект не менее важен. Статическую целостность можно разделить на понятия целостности данных и целостности информации.

Целостность данных - способность данных не подвергаться изменению или аннулированию в результате несанкционированного доступа. Доступность - такое состояние информации, когда она находится в виде и месте, необходимом пользователю, и в то время, когда она ему необходима [6].

Целостность информации - способность средства вычислительной техники или автоматизированной системы обеспечивать неизменность информации в условиях случайного и/или преднамеренного искажения (разрушения [7].

Защита информации осуществляется на объекте, в качестве которого может рассматриваться как все предприятие, так и некоторая его часть. Объект информатизации – это совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией, средств обеспечения объекта информатизации, помещений или объектов (зданий, сооружений, технических средств), в которых они установлены, или помещения и объекты, предназначенные для ведения конфиденциальных переговоров [8].

Важное значение имеет понятие контролируемой зоны. Контролируемая зона - это пространство, в котором исключено неконтролируемое пребывание лиц, не имеющих постоянного или разового допуска, и посторонних транспортных средств. Границей контролируемой зоны могут являться: периметр охраняемой территории предприятия (учреждения); ограждающие конструкции охраняемого здания, охраняемой части здания, выделенного помещения. В отдельных случаях на период обработки техническими средствами секретной информации (проведения закрытого мероприятия) контролируемая зона временно может устанавливаться большей, чем охраняемая территория предприятия. При этом должны приниматься организационно-режимные и технические меры, исключающие или существенно затрудняющие возможность ведения перехвата информации в этой зоне [9].

Главным критерием в выборе средств защиты информации следует считать ее ценность (реальную или потенциальную).

Иногда легко определить ценность информации в денежном выражении. Например, утечка копии снятого фильма приведет к его распространению на пиратских дисках, следовательно, в кинотеатрах не досчитаются зрителей, а фирма-производитель недополучит прибыль. В других случаях стоимость информации определить сложно. Например, сколько стоит информация о кодах блокировки ядерных ракет? Поэтому, для определения ценности информации в таких случаях вводят систему грифов секретности информации, предусматривая для различных грифов различные меры обеспечения безопасности.

Ценность информации позволяет установить возможный ущерб от овладения информацией конкурентами или ее искажения. Для того чтобы обеспечить эффективную защиту информации, кроме оценки ценности необходимо провести анализ ее уязвимости.

Уязвимость – это некая слабость, которая дает возможность выявить характерные особенности и недостатки объекта защиты, могущие облегчить проникновение злоумышленника к охраняемым сведениям. Главный результат анализа уязвимстей -- выявление источников информации и возможных каналов ее утечки или других нежелательных воздействий на нее.

Эти воздействия (атаки) являются реализацией угроз безопасности, которые носят потенциальный характер.

При построении и эксплуатации систем безопасности большое значение имеют методы оценки риска, под которым обычно понимается произведение вероятности реализации угрозы и наступившего в результате ущерба.