Организация защиты информации

Вопросы определения стратегии разработки, приобретения и внедрения средств защиты информации, определение круга первоочередных задач и формирование политики информационной безопасности являются прерогативой высшего руководства организации (компании).

Вопросы реализации и обеспечения информационной безопасности прямо входят в сферу ответственности руководителя соответствующего структурного подразделения организации (например, ИТ-департамента/отдела/службы).

Как показывает опыт практической работы, для эффективной защиты автоматизированной системы организации необходимо решить ряд организационных задач:

• создать специальное подразделение, обеспечивающее разработку правил эксплуатации корпоративной информационной системы, определяющее полномочия пользователей по доступу к ресурсам этой системы и осуществляющее административную поддержку средств защиты (правильную настройку, контроль и оперативное реагирование на поступающие сигналы о нарушениях установленных правил доступа, анализ журналов регистрации событий безопасности и т. п.);

• разработать технологию обеспечения информационной безопасности, предусматривающую порядок взаимодействия подразделений организации по вопросам безопасности при эксплуатации автоматизированной системы и модернизации ее программных и аппаратных средств;

• внедрить технологию защиты информации и КИС путем разработки и утверждения необходимых нормативно-методических и организационно-распорядительных документов (концепций, положений, инструкций и т. п.), а также организовать обучение всех сотрудников, являющихся администраторами и пользователями КИС.

Разрабатываемая технология информационной безопасности должна обеспечивать:

• дифференцированный подход к защите различных АРМ и подсистем (уровень защищенности должен определяться с позиций разумной достаточности с учетом важности обрабатываемой информации и решаемых задач);

• максимальную унификацию средств защиты информации с одинаковыми требованиями к безопасности;

• реализацию разрешительной системы доступа к ресурсам ИС;

• минимизацию, формализацию (в идеале - автоматизацию) реальной выполнимости рутинных операций и согласованность действий различных подразделений по реализации требований разработанных положений и инструкций, не создавая больших неудобств при решении сотрудниками своих основных задач;

• учет динамики развития автоматизированной системы, регламентацию не только стационарного процесса эксплуатации защищенных подсистем, но и процессов их модернизации, связанных с многочисленными изменениями аппаратно-программной конфигурации АРМ;

• минимизацию необходимого числа специалистов отдела, занимающихся защитой информации.

Приобретение средств защиты – это только верхушка айсберга. Самое главное – правильно внедрить защитную систему, настроить и эксплуатировать. Поэтому финансовые затраты только на приобретении средств защиты не кончаются. Без соответствующего обновления система защиты со временем перестанет быть актуальной и не сможет отслеживать новые и изощренные способы несанкционированного доступа в сеть компании.

Стандартный набор средств комплексной защиты информации в составе современной информационной системы обычно содержит следующие компоненты:

• средства обеспечения надежного хранения информации с использованием технологии защиты на файловом уровне (File Encryption System - FES);

• средства авторизации и разграничения доступа к информационным ресурсам, а также защиту от несанкционированного доступа к информации с использованием систем биометрической авторизации и технологии токенов (смарт-карты, touch-memory, ключи для USB-портов и т. п.);

• средства защиты от внешних угроз при подключении к общедоступным сетям связи (Internet), а также средства управления доступом из Internet с использованием технологии межсетевых экранов (Firewall) и содержательной фильтрации (Content Inspection);

• средства защиты от вирусов с использованием специализированных комплексов антивирусной профилактики;

• средства обеспечения конфиденциальности, целостности, доступности и подлинности информации, передаваемой по открытым каналам связи с использованием технологии защищенных виртуальных частных сетей (VPN);

• средства обеспечения активного исследования защищенности информационных ресурсов с использованием технологии обнаружения атак (Intrusion Detection);

• средства обеспечения централизованного управления системой информационной безопасности в соответствии с согласованной и утвержденной Политикой безопасности компании.

Приобретение и поддержка средств защиты – это не бесполезная трата финансовых средств. Это инвестиции, которые при правильном вложении окупятся с лихвой и позволят вывести работу организации/ компании на желаемый уровень.

Миссия обеспечения информационной безопасности трудна, во многих случаях невыполнима, но всегда благородна.

Тема 14 ОСНОВЫ ПРАВОВОЙ ЗАЩИТЫ КОМПЬЮТЕРНОЙ

ИНФОРМАЦИИ

14.1. Понятие и содержание защиты компьютерной информации.

14.2. Сущность правовой защиты компьютерной информации.

14.3. Структура правовой защиты компьютерной информации.

14.4. Правовые методы защиты информации в Республике Беларусь.

14.1 Понятие и содержание защиты компьютерной

информации

В информационных системах сегодня сконцентрировано огромное количество сведений о самых различных сферах деятельности. В связи с этим одним из основных вопросов эффективного функционирования информационных систем является защита хранимой в них компьютерной информации.²⁸ Задача защиты компьютерной информации становится все более актуальной.

Целью защиты является предотвращение незаконного доступа к компьютерной информации любым путем, несанкционированных действий с ней (разрушение, модификация, уничтожение и т. д.), с помощью которых может быть нанесен ущерб интересам личности, общества или государства.

Компьютерной называется информация, содержащаяся:

– на машинном носителе (дискеты, лазерные диски и другие носители информации);

– на жестком диске ЭВМ (в виде программ, баз данных, их адаптации, модификации);

– в системе ЭВМ или их сети.

В общем виде защита компьютерной информации представляет собой комплекс организационных, этических, правовых, технических и программных средств, методов и мероприятий, направленных на предупреждение как преднамеренного, так и случайного несанкционированного доступа к компьютерной информации, а также ее модификации и уничтожения.

Можно выделить три аспекта уязвимости компьютерной информации:

1. подверженность ее физическому уничтожению;

2. возможность несанкционированной (умышленно или по неосторожности) модификации;

3. опасность несанкционированного (умышленного или по неосторожности) получения компьютерной информации лицами, для которых она не предназначена.

Повышению уязвимости компьютерной информации способствуют следующие основные факторы:

1. резкое увеличение объемов информации, накапливаемой, хранимой и обрабатываемой с помощью компьютеров;

2. сосредоточение в единых базах данных информации различного назначения и различной принадлежности;

3. значительное расширение круга пользователей, имеющих непосредственный доступ к информационным ресурсам в системах и сетях;

4. усложнение режимов функционирования технических средств компьютерных систем;

5. автоматизация обмена компьютерной информацией, в том числе на больших расстояниях.

Основную опасность для функционирования информационных систем представляет несанкционированный доступ к компьютерной информации, который, являясь сам по себе компьютерным правонарушением, создает предпосылки для совершения более тяжких правонарушений – хищения компьютерной информации, шпионажа и т. д.

Основным критерием несанкционированного доступа является именно незаконность действий лиц по доступу к компьютерной информации. Поэтому основной задачей специалистов в области защиты компьютерной информации является обеспечение ее безопасности от несанкционированного доступа, модификации или уничтожения.

Способы защиты компьютерной информации в информационных системах реализуются применением различных средств защиты: технических, программных, криптографических, организационных, правовых и этических.

Техническими называются такие средства, которые реализуются в виде электрических, электромеханических и электронных устройств.

Программные средства – наиболее универсальные и гибкие средства защиты. К ним относятся программы, специально предназначенные для выполнения функций, связанных с защитой компьютерной информации.

Криптографические методы защиты информации в информационных системах связаны с шифрованием или кодированием информации. Они могут использоваться как внутри отдельных систем, или звеньев системы, так и на различных компьютерах или линиях связи.

Организационные средства – это проведение определенных мероприятий по защите компьютерной информации в информационных системах от несанкционированного доступа, модификации и уничтожения.

К правовым средствам защиты компьютерной информации относятся законодательные акты, ведомственные и локальные нормативные акты, которыми регламентируются правила использования и обработки компьютерной информации, условия ограничения доступа к ней и устанавливаются меры ответственности за нарушение этих правил.

Морально-этическими средствами защиты компьютерной информации называются всевозможные нормы, которые сложились традиционно или складываются по мере распространения компьютерной техники. Эти нормы большей частью не являются обязательными, как законодательные нормы, однако несоблюдение их ведет к потере авторитета, престижа человека или группы лиц (организации).

С конца 70-х гг. XX в. генеральным направлением работ в области защиты компьютерной информации стало неуклонное повышение системности в решении данной проблемы.

В комплексной системе обеспечения защиты компьютерной информации выделяют четыре защитных пояса:

1. внешний пояс, охватывающий всю территорию, на которой расположены сооружения компьютерных систем;

2. пояс сооружений, помещений или устройств этих систем;

3. пояс компонентов системы (технические средства, программное обеспечение, элементы баз данных);

4. пояс технологических процессов обработки компьютерной информации (ввод-вывод, внутренняя обработка).

В процессе создания стройной и целенаправленной системы защиты компьютерной информации должны участвовать специалисты не только в области формальных средств защиты компьютерной информации, но и в области неформальных средств защиты, а именно юристы, так как основу неформальных средств защиты составляют правовые средства и близкие к ним организационные и морально-этические.

Основные правила защиты компьютерной информации в компьютерах, их сетях и системах можно сформулировать следующим образом:

1. обеспечение защиты компьютерной информации должно представлять собой непрерывный процесс, заключающийся в систематическом контроле защищенности компьютерной информации, обосновании и реализации наиболее рациональных путей совершенствования и развития системы защиты;

2. обеспечение комплексного использования всего арсенала имеющихся средств защиты;

3. подготовка пользователей и соблюдение ими всех правил защиты;

4. отсутствие абсолютной надежности системы защиты компьютерной информации.

РЕЗЮМЕ

Развитие системно-концептуального подхода к защите компьютерной информации возможно только на строгой правовой основе, регламентирующей процессы как создания и функционирования системы защиты компьютерной информации, так и применения права как средства, обеспечивающего надлежащую защиту.

Право пронизывает и укрепляет все остальные виды и способы защиты компьютерной информации, является основой деятельности должностных лиц и пользователей по защите компьютерной информации в информационных системах.