1.7 Теоретические и концептуальные основы защиты информации.

Теория защиты информации – это система основных идей, относящихся к защите информации в современных системах ее обработки, дающая целостное представление о сущности проблемы защиты, закономерностях развития и существенных связях с другими отраслями знания, формирующаяся и развивающаяся на основе опыта практического решения задач защиты и определяющая основные ориентиры в направлении совершенствования практики защиты информации.

Иными словами, цель теории защиты информации – определять и объяснять сущность, цели, задачи, принципы, закономерности, тенденции, методы, средства защиты информации и связи между ними.

А.И. Алексенцев называет следующие основные положения теории защиты информации:

1. Общетеоретические положения:

• объективная необходимость и общественная потребность в защите информации;

• зависимость системы и состояния защиты информации от политико-правовых и социально-экономических реальностей;

• тесная взаимосвязь защиты информации с информатизацией общества;

2. Методологические принципы защиты информации:

• обеспечение единства, взаимосвязи и сбалансированности в решении задач производственной деятельности и защиты информации;

• сочетание общих норм защиты с нормами, обусловленными спецификой деятельности предприятий различного профиля;

• обеспечение сбалансированного соотношения объективной необходимости с экономической целесообразностью защиты информации;

Концепция защиты информации – это система взглядов на сущность, цели, принципы и организацию защиты информации конкретного субъекта. Она отражает методологию защиты информации конкретного субъекта.

Концепция является методологической основой для:

• формирования и проведения единой политики в области обеспечения информационной безопасности;

• принятия управленческих решений и разработки практических мер по воплощению политики безопасности информации и выработки комплекса согласованных мер нормативно-правового, технологического и организационно-технического характера, направленных на выявление, отражение и ликвидацию последствий реализации различных видов угроз безопасности информации;

Концепция защиты информации предполагает:

1. определение понятия, сущности и целей защиты информации субъекта;

2. какую информацию необходимо защищать, каковы критерии отнесения ее к защищаемой;

3. дифференциация защищаемой информации: а) по степеням конфиденциальности, б) по собственникам и владельцам;

4. определение состава и классификация носителей защищаемой информации;

1.8 Критерии, условия и принципы отнесения информации к защищаемой.

Понятие защищаемой информации неоднозначно. Существует два подхода к понятию «защищаемая информация»:

Первый подход (А.А. Шиверский и др.). Защищаемая информация – сведения, на использование и распространение которых введены ограничения их собственником. Иными словами, это информация ограниченного доступа.

Второй подход (А.И. Алексенцев и др.) В состав защищаемой информации включается не только информация ограниченного доступа, те или иные виды тайны, но и открытая информация. К защищаемой информации относится:

Часть открытой (общедоступной) информации, определяемая ее обладателем. Защита открытой информации направлена не на ограничение доступа к информации, а на сохранность информации в рамках установленных правил ее обработки и использования. Она защищается от утраты.

Защита открытой информации существовала всегда и производилась путем:

-регистрации ее носителей;

-учета их движения и местонахождения;

-создания безопасных условий хранения.

Информация ограниченного доступа – конфиденциальная информация, в том числе составляющая государственную тайну (защищается от утечки и утраты).

Согласно п.2 ст.5 Федерального закона «Об информации, информационных технологиях

и о защите информации» «информация в зависимости от категории доступа к ней подразделяется на общедоступную, а также на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа)».

Ограничение доступа к информации регулируется ст. 9 закона. Она гласит, что соблюдение конфиденциальности информации, доступ к которой ограничен федеральными законами, является обязательным.

В п.1 ст.16 закона указывается, что защита информации направлена на «соблюдение конфиденциальности информации ограниченного доступа». П.3 ст.16 гласит о том, что могут устанавливаться и «требования о защите общедоступной информации».

Информационным процессам присущи определенные закономерности. Наиболее общими являются:

-постоянный рост количества информации;

-ее кругооборот;

-рассеяние;

-старение информации.

Таким образом, понятие защищаемой информации – более широкое, чем понятие информации ограниченного доступа и понятия тайны. В него, кроме названных категорий информации, защищаемых от утечки и утраты, включается открытая информация, защищаемая от утраты.

При решении вопроса об отнесении конкретной информации к защищаемой нужно руководствоваться определенными критериями, т.е. признаками, при наличии которых информация может быть отнесена к защищаемой.Общей основой для отнесения информации к защищаемой является ценность информации, поскольку именно ценность информации диктует необходимость ее защиты. Поэтому критерии отнесения информации к защищаемой являются по существу критериями определения ее ценности.

Критерии отнесения открытой информации к защищаемой:

-необходимость информации для правового обеспечения деятельности предприятия (документированная информация, регламентирующая статус предприятия, права, обязанности и ответственность его работников);

-необходимость информации для производственной деятельности (информация, относящаяся к научно-исследовательской, проектной, конструкторской, технологической, торговой и другим сферам производственной деятельности);

-необходимость информации для управленческой деятельности (информация, требующаяся для принятия управленческих решений, для организации производственной деятельности и обеспечения ее функционирования);

-необходимость информации для финансовой деятельности;

-необходимость информации для обеспечения функционирования социальной сферы;

-необходимость информации как доказательного источника на случаи возникновения конфликтных ситуаций;

-важность информации как исторического источника, раскрывающего направления и особенности деятельности предприятия.

Эти критерии обусловливают необходимость защиты открытой информации от утраты.

Названные выше критерии отнесения открытой информации к защищаемой вызывают потребность в защите от утраты и конфиденциальной информации. Однако основной, определяющий критерий отнесения информации к конфиденциальной и защиты ее от утечки – возможность получения преимуществ от использования информации за счет неизвестности ее третьим лицам.

Этот критерий имеет две составляющие:

-Неизвестность информации третьим лицам.

-Получение преимуществ от использования информации (получение выгоды, предотвращение политического, экономического или морального ущерба).

-Эти две составляющие взаимосвязаны и взаимообусловлены с одной стороны, неизвестность информации третьим лицам сама по себе ничего не значит, если не обеспечивает преимуществ тому, кто ее защищает, с другой стороны, преимущества можно получить только за счет такой неизвестности.

При отсутствии названных выше критериев нет оснований для перевода информации в категорию защищаемой. Но наличие этих критериев не означает, что информация во всех случаях без исключения должна быть отнесена к защищаемой. Критерии – лишь объективные показатели возможности отнесения информации к защищаемой. Для реализации этой возможности в действительности необходимы следующие условия:

1. Если информация не является общедоступной на законном основании, т.е. не содержит сведений, которые запрещено относить к конфиденциальным.

2. Если имеются технические возможности для защиты носителей информации. Речь идет об объектах, которые практически невозможно скрыть от технических средств обнаружения и фиксации, особенно спутниковых.

3. Если затраты на защиту информации не превысят количественных и качественных показателей преимуществ, получаемых при ее защите.

Таким образом, правовой и методологической основой для разработки перечней защищаемой информации являются:

-критерии отнесения информации к защищаемой;

-условия отнесения информации к защищаемой;

-понятие соответствующего вида тайны (их характеристики и показатели);

-специфика предприятия (для коммерческой тайны) ( то, что для одних является коммерческой тайной, для других – рекламная информация).