44 Вопрос. Что такое электронная подпись? Ее назначение и использование.

Электро́нная по́дпись (ЭП) — реквизит электронного документа, позволяющий установить отсутствие искажения информации в электронном документе с момента формирования ЭП и проверить принадлежность подписи владельцу сертификата ключа ЭП. Значение реквизита получается в результате криптографического преобразования информации с использованием закрытого ключа ЭП. В постановлении Совета Министров Республики Беларусь даётся такое определение понятия "электронная цифровая подпись":[1]электронная цифровая подпись – последовательность символов, являющаяся реквизитом электронного документа и предназначенная для подтверждения целостности и подлинности электронного документа. Средство электронной цифровой подписи – программное, программно-аппаратное или техническое средство, реализующее одну или несколько следующих функций: выработку электронной цифровой подписи, проверку электронной цифровой подписи, создание личного ключа подписи или открытого ключа. Назначение и применение ЭЦП Цифровая подпись предназначена для аутентификации лица, подписавшего электронный документ[2]. Кроме этого, использование цифровой подписи позволяет осуществить: Контроль целостности передаваемого документа: при любом случайном или преднамеренном изменении документа подпись станет недействительной, потому что вычислена она на основании исходного состояния документа и соответствует лишь ему. Защиту от изменений (подделки) документа: гарантия выявления подделки при контроле целостности делает подделывание нецелесообразным в большинстве случаев. Невозможность отказа от авторства. Так как создать корректную подпись можно, лишь зная закрытый ключ, а он должен быть известен только владельцу, то владелец не может отказаться от своей подписи под документом. Доказательное подтверждение авторства документа: Так как создать корректную подпись можно, лишь зная закрытый ключ, а он должен быть известен только владельцу, то владелец пары ключей может доказать своё авторство подписи под документом. В зависимости от деталей определения документа могут быть подписаны такие поля, как «автор», «внесённые изменения», «метка времени» и т. д. Все эти свойства ЭЦП позволяют использовать её для следующих целей[3]: Декларирование товаров и услуг (таможенные декларации) Регистрация сделок по объектам недвижимости Использование в банковских системах Электронная торговля и госзаказы Контроль исполнения государственного бюджета В системах обращения к органам власти Для обязательной отчетности перед государственными учреждениями Организация юридически значимого электронного документооборота

45 Вопрос. Понятие и цели защиты информации.

Понятия и определения

Угроза информационной безопасности системы - это потенциально возможное происшествие, которое может быть преднамеренным или непреднамеренным и может оказать нежелательное воздействие на саму систему, а также на информацию, хранящуюся в ней.

Уязвимость системы - это некая ее неудачная характеристика, которая делает возможным возникновение угрозы.

Атака на систему - это действие, предпринимаемое злоумышленником, которое заключается в поиске и использовании той или иной уязвимости. Таким образом, атака - это реализация угрозы.

Принято разделять атаки на так называемые локальные атаки, т.е. атаки, осуществляемые в пределах локальной компьютерной сети и атаки, осуществляемые из - за пределов локальной сети (так называемые сетевые или удаленные атаки). Последние характерны тем, что злоумышленник может находиться на удалении от атакуемого объекта, и нападению может подвергаться не конкретный компьютер, а информация, передающаяся по сетевым соединениям. С развитием локальных и глобальных сетей именно удаленные атаки становятся лидирующими как по количеству попыток, так и по успешности их применения.

Существует классификация программистов, осуществляющих разнообразные атаки. В настоящее время принято разделять всех профессионалов, связанных с информационной безопасностью, на хакеров (hackers) и кракеров (crackers). И те и другие во многом занимаются решением одних и тех же задач - поиском уязвимостей в вычислительных системах и осуществлением атак на данные системы ("взломом" ).

Самое главное и принципиальное различие между хакерами и кракерами состоит в целях, которые они преследуют. Основная задача хакера в том, чтобы, исследуя вычислительную систему:

·         обнаружить слабые места (уязвимости) в ее системе безопасности;

·         информировать пользователей и разработчиков системы об этом;

·         сформулировать необходимые требования и условия повышения уровня защищенности системы.

С другой стороны, основная задача кракера состоит в непосредственном осуществлении взлома системы с целью получения несанкционированного доступа к чужой информации — иначе говоря, для ее кражи, подмены или для объявления факта взлома. Таким образом, первые - исследователи компьютерной безопасности, вторые - просто взломщики, воры или вандалы.

В средствах же массовой информации, как правило, происходит подмена понятий: всех злоумышленников принято именовать одним термином - хакер.

Кракеры, однако, не являются однородной массой, их, в зависимости от цели с которой осуществляется взлом можно разделить на три следующих класса: вандалы, "шутники" и взломщики.

«Вандалы» - самая известная и самая малочисленная часть кракеров. Их основная цель - взломать систему для ее разрушения. К ним можно отнести любителей команд типа форматирования жесткого диска и специалистов в написании компьютерных вирусов.

"Шутники" - наиболее безобидная часть кракеров (конечно, в зависимости от того, насколько злые они предпочитают шутки), основная цель которых - известность, достигаемая путем взлома компьютерных систем и внесением туда различных эффектов, которые выражают их неудовлетворенное чувство юмора. "Шутники" обычно не наносят существенный ущерб и на сегодняшний день - это наиболее распространенный класс кракеров. К "шутникам" также можно отнести создателей вирусов с различными визуально-звуковыми эффектами (музыка, дрожание или переворачивание экрана, рисование всевозможных картинок и т.п.). Все это, в принципе, либо невинные шалости начинающих, либо - рекламные акции профессионалов.

«Взломщики» - профессиональные кракеры, пользующиеся наибольшим почетом и уважением в кракерской среде, основная задача которых - взлом компьютерной системы с серьезными целями, например, с целью кражи или подмены хранящейся там информации. В общем случае, для того, чтобы осуществить взлом системы, необходимо пройти три основные стадии: исследование системы с выявлением изъянов в ней, разработка программной реализации атаки и непосредственное ее осуществление. Естественно, настоящим профессионалом можно считать того кракера, который для достижения своей цели проходит все три стадии. В нашей стране, в настоящее время сложилась парадоксальная ситуация: большая часть программного обеспечения является пиратским, то есть украденным с помощью тех же взломщиков, поэтому упрекать кракеров - взломщиков могут только те, кто легально приобрел все используемое программное обеспечение.

Помимо осуществления удаленных атак многочисленная категория кракеров занимается более обыденными вещами, а именно: снятием защиты с коммерческих версий программных продуктов, изготовлением регистрационных ключей для условно-бесплатных программ и т.п.

Говоря о хакерах и кракерах необходимо отметить также следующее. Во многом благодаря опять же средствам массовой информации сформировался определенный миф о всемогуществе хакеров и повсеместной беззащитности компьютерных систем. Отчасти этот миф является реальностью, в том смысле, что современные вычислительные системы и сети общего назначения имеют серьезные проблемы с безопасностью. Но, подчеркнем, именно вычислительные системы общего назначения. Там же, где требуется обработка критической информации и обеспечение высшего уровня защиты и секретности (например, в военной области, в атомной энергетике и т. п.), используются специализированные защищенные ВС, которые в основном изолированы от сетей общего назначения (от сети Internet, например). Поэтому необходимо развеять первый миф, который очень популярен в средствах массовой информации: кракер не может проникнуть извне в вычислительную систему стратегического назначения (например, в ВС атомной станции или пункта управления стратегическими вооружениями). Однако, речь идет о невозможности получения несанкционированного удаленного доступа именно "извне" . В том случае, если кракер из состава персонала защищенной ВС вознамерится нанести ущерб данной системе, то у него есть немало шансов реализовать задуманное.

В качестве примера можно привести случай на одной из отечественных АЭС, когда местный системный программист внедрил в вычислительную систему программную закладку ("троянского коня" ), которая чуть не привела к аварии станции. Однако, как утверждает статистика, нарушения безопасности ВС собственным персоналом составляют около 90 процентов от общего числа нарушений.

Таким образом, для критических вычислительных систем практически невозможно реализовать успешную удаленную атаку на них. Заметки в газетах, например, о том, что «кракеры проникли в компьютер известной организации» означают лишь то, что эта организация имеет свой сервер, находящийся в открытой сети и доступный всем, и кракеры в этом случае проникали именно в него, а не в секретные или закрытые сети.

Раз уж мы заговорили о мифах, которые встречаются в средствах массовой информации, приведем еще один пример.

Другим мифом является миф о всеобщей беззащитности банковских вычислительных систем. В отличие от ВС стратегического назначения, банки для обеспечения удобства и быстродействия работы с клиентами предоставляют им возможность удаленного доступа из сетей общего пользования к своим банковским вычислительным системам. Однако:

·         для связи в этом случае используются защищенные криптографические протоколы и всевозможные системы сетевой защиты;

·         предоставление клиенту возможности удаленного доступа отнюдь не означает, что клиент может получить доступ непосредственно к внутренней банковской сети.

Поэтому банковские ВС являются наиболее защищенными после ВС стратегического назначения и примеры взлома банковских систем свидетельствуют скорее о нарушении политики информационной безопасности, т.е. о несоблюдении основных правил защиты.

Цели защиты информации

Цели информационной безопасности состоят в эффективном обеспечении:

1)   конфиденциальности информации (доступность информации тому и только тому, кому она предназначена).

Конфиденциальность информации может достигаться различными способами, например:

·         административно-техническими методами ограничения доступа к информации;

·         использованием специальных каналов связи;

·         фельдъегерской почты;

·         путем кодирования информации.

2)   целостности и достоверности информации (имитостойкость), т.е. обнаружение «любых модификаций, вставок, удалений или повторной передачи данных».

Для режимных государственных организаций на первом месте стоит конфиденциальность, то для банковских и коммерческих структур, как более открытых организаций, важнее всего целостность (актуальность) и доступность данных и услуг по их обработке. Поэтому, угрозе раскрытия подвержены в большей степени государственные структуры, а угрозе целостности - деловые или коммерческие.

3) аутентификация объекта, т.е. "подтверждение того, что объект, участвующий во взаимодействии, является тем, за кого себя выдает".

4)      управление доступом к ресурсам т.е. «в защита от неавторизованного использования ресурса».

При этом:

·         всякий субъект доступа должен действовать в рамках предписанных ему полномочий;

·         должен осуществляться контроль за исполнением правил разграничения доступа;

·         система защиты должна противодействовать попыткам нарушения правил разграничения доступа;

5)                  авторизация. Авторизация есть аутентификация плюс предоставление индивидуальных прав доступа аутентифицированному объекту.

6)      полная подконтрольность и подотчетность (регистрация) всей совокупности событий и действий операторов.

46 вопрос. Правовая защита информации.

ЗАДАЧИ И ФУНКЦИИ ПРАВОВОЙ ЗАЩИТЫ ИНФОРМАЦИИ Понятие и виды информации с ограниченным доступом. Основные термины в области правовом защиты информации. Понятие конфиденциальности, целостности и доступности информации. Правовые принципы защиты информации. Информация как объект права. Применение права собственности к информации. Отрасли права, обеспечивающие правовое регулирование в сфере защиты информации и охраны интеллектуальной собственности. Закон РФ «Об информации, информатизации и защите информации». Общие положения. Основы правового режима информационных ресурсов (фондов). Порядок обязательного представления документированной информации для формирования государственных информационных ресурсов (фондов). Поря пользования информационными ресурсами (фондами). Особенности разработки, производства и сертификации информационных систем, технологий и средств их обеспечения и лицензирования деятельности по формированию и использованию информационных ресурсов (фондов). Защита информации и прав субъектов в области информационных процессов и информатизации. Правовые основы деятельности подразделений защиты информации. Основные системы ограничений на доступ к информации в российском праве. Меры гражданско-правовой, уголовной, административной и дисциплинарной ответственности. За разглашение конфиденциальной информации и нарушение правил ее защиты.

3. ИНСТИТУТ ПРАВОВОЙ ЗАЩИТЫ ГОСУДАРСТВЕННОЙ ТАЙНЫ Правовые основы защиты государственной тайны. Законодательные и иные нормативно-правовые акты РФ, регулирующие защиту государственной тайны. Закон РФ «О государственной тайне». Закон РФ «О безопасности». Государственная безопасность, общие положения законодательства. Сведения, относимые к государственной тайне и полномочия органов государственной власти и должностных лиц в области отнесения сведении к государственной тайне и их защиты. Принципы и порядок отнесения сведений к государственной тайне и их засекречивания. Грифы секретности носителей этих сведений. Порядок распоряжения сведениями, составляющими государственную тайну. Обеспечение защиты государственной гапны, органы защиты. Допуск должностных лиц и граждан к государственной тайне. Организация доступа должностного лица или гражданина к сведениям, составляющим государственную тайну. Допуск предприятий, учреждений и организаций к проведению работ, связанных с использованием сведений, составляющих государе л пенимо тайну. Порядок сертификации средств защиты информации. Контроль и надзор sa обеспечением защиты Государственной тайны. Уголовно- правовая защита информации, составляющей государственную тайну.

4. ИНСТИТУТ ПРАВОВОЙ ЗАЩИТЫ СЛУЖЕБНОЙ ТАЙНЫ Правовые основы защиты служебной тайны. Нормативно-правовые акты и положения Гражданского кодекса РФ, регулирующие правовую защиту служебной тайны. Защита в режиме служебной тайны сведений, доступ к которым ограничивается в соответствии с законодательством при обращении и хранении таких сведений (информации) в органах государственной власти и органах местного самоуправления. Защита определенных категорий значимых сведений субъектов гражданско-правовых отношений в соответствии с «Положением о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти». Практика совершенствования института сведений ограниченного распространения как основа для формирования и совершенствования института служебной тайны.

5. ИНСТИТУТ ПРАВОВОЙ ЗАЩИТЫ КОММЕРЧЕСКОЙ ТАЙНЫ Правовые основы защиты коммерческой тайны. История развития российского законодательств о правовой защите коммерческой тайны. Гражданский кодекс РФ и иные источники права (законы РФ, постановления правительства, судебная практика) о порядке правовой защиты коммерческой тайны. Перечни информации, которая не может быть отнесена к коммерческой тайне. Установление режима коммерческой тайны. Охрана коммерческой тайны в трудовых отношениях. Практические аспекты использования законодательства о коммерческой тайне. Особенности правовой охраны секретов производства (ноу-хау) в режиме коммерческой тайны. Гражданско-правовая и уголовно-правовая и административная ответственность за нарушение законодательства о коммерческой тайне.

6. ИНСТИТУТ ПРАВОВОЙ ЗАЩИТЫ БАНКОВСКОЙ ТАЙНЫ Правовые основы защиты банковской тайны. Источники права о банковской тайне. Объекты и субъекты права на банковскую тайну. Права владельца банковской тайны и обязанности пользователей ею. Способы защиты владельцем банковской тайны своих прав.

7. ИНСТИТУТ ПРАВОВОЙ ЗАЩИТЫ ПРОФЕССИОНАЛЬНОЙ ТАЙНЫ Понятие профессиональной тайны. Источники права о профессиональной тайне. Объекты и ситъекты права на профессиональную тайну. Критерии охраноспособности права па профессиональную тайну. Права доверителя в отношении сведений, ставших на иконном основании известными держателю профессиональной тайны. Защита донеригелем своих прав.

8. ИНСТИТУТ ПРАВОВОЙ ЗАЩИТЫ ИНФОРМАЦИИ ПЕРСОНАЛЬНОГО ХАРАКТЕРА (ПЕРСОНАЛЬНЫЕ ДАННЫЕ) Правовые основы защиты персональных данных в Конституции РФ. Основные положения Европейской конвенции о защите личности в связи с автоматической обработкой персональных данных. Закон РФ «Об информации, информатизации и защите информации» о порядке правовой защиты персональных данных. Использование статей Гражданского кодекса РФ и Уголовного кодекса РФ для защиты персональных данных физических лиц. Возможность использования ряда положений Законов РФ «О средствах массовой информации», «О частной детективной и охранной деятельности» для организации правовой защиты персональных данных. Основные положения законопроекта «Об информации персонального характера».

9. ИНСТИТУТ ПРАВОВОЙ ЗАЩИТЫ АВТОРСКИХ (СМЕЖНЫХ) ПРАВ История развития законодательства об авторском праве в России. Общие положения Закона РФ «Об авторском праве и смежных правах». Объекты и субъекты авторского права и смежных прав. Личные неимущественные права и исключительные имущественные права авторов произведений литературы, науки и искусства. Возможность свободного использования произведений. Авторский договор. Порядок передачи автором своих имущественных прав по авторскому договору, условия и особенности договора. Охрана прав артистов-исполнителей, производителей фонограмм, организаций эфирного и кабельного вещания. Возможность свободного использования объектов смежных прав. Правовая защита авторских и смежных прав. Участие России в межд\ народных соглашениях по защите авторских и смежных прав.

10. ИНСТИТУТ ПРАВОВОЙ ЗАЩИТЫ ИЗОБРЕТЕНИЙ, ПОЛЕЗНЫХ МОДЕЛЕЙ, ПРОМЫШЛЕННЫХ ОБРАЗЦОВ (ИНСТИТУТА ПАТЕНТНОГО ПРАВА) История развития патентного права в России. Основные особенности патентного закона РФ. Краткая характеристика объектов патентного права. Оформление патентных прав. Патент как форма охраны объектов патентов права. Содержание патентных прав. Представление прав на использование объектов патентного права. Лицензионный договор. Защита прав авторов и патентообладателей. Участие России в международных соглашениях по защите прав авторов и патентообладателей.

11. ИНСТИТУТ ПРАВОВОЙ ОХРАНЫ СРЕДСТВ ИНДИВИДУАЛИЗАЦИИ УЧАСТНИКОВ ГРАЖДАНСКОГО ОБОРОТА И ПРОИЗВОДИМОЙ ИМИ ПРОДУКЦИИ (ФИРМЕННЫХ НАИМЕНОВАНИЙ И ТОВАРНЫХ ЗНАКОВ) Правовая охрана фирменных наименований и товарных знаков. История товарных знаков, их основные функции. Виды товарных знаков. Порядок прекращения правовой охраны товарного знака. Нарушение прав на товарный знак. Порядок рассмотрения споров, связанных с использованием товарного знака. Порядок передачи товарного знака. Договор об уступке товарного знака п лицензионный договор о праве использования. Действие в России международных правовых актов по охране товарных знаков.

12. ИНСТИТУТ ПРАВОВОЙ ОХРАНЫ ПРОГРАММ ДЛЯ ЭВМ И БАЗЫ ДАННЫХ История возникновения правовой охраны программ для ЭВМ и баз данных. Порядок регистрации программ для ЭВМ и баз данных. Защита прав их авторов. Порядок передачи прав на использование программ для ЭВМ и баз данных. Защита прав в судебном порядке. Авторский (лицензионный) договор, его содержание, существенные условия и порядок оформления. Природа контрафакции программного обеспечения. Судебная практика рассмотрения дел о контрафакции программного обеспечения.

13. ПРАВОВОЕ ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ Понятие национальной безопасности РФ. Роль и место системы обеспечения информационной безопасности в системе национальной безопасности РФ. Нормативно-правовые акты в области информационной безопасности. Правовое обеспечение информационной безопасности в чрезвычайных ситуациях. Национальные интересы РФ в информационной сфере и угрозы их безопасности. Цели и методы правового обеспечения информационной безопасности РФ. Состояние обеспечения информационной безопасности РФ в области использования информационной инфраструктуры и информационных ресурсов, информационно-телекоммуникационных систем и сетей связи. Основные направления совершенствования правового обеспечения информационной безопасности РФ. Понятие информационной войны. Информационная среда как сфера правового регулирования. Нормы законодательства РФ, регулирующие правовые отношения в сфере информационного обмена и обработки информации и позволяющие контролировать состояние безопасности информационных систем РФ, подключаемых к сети Интернет. Компьютерная информация как объект уголовно-правовой защиты. Классификация информационных преступлений в сфере компьютерной информации. Организационно-правовые меры их предупреждения и защиты от них. Особенности раскрытия и расследования компьютерных преступлений.