3. Методы и средства защиты информации

Защита информации — деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.

Системный подход к информационной безопасности позволяет выделить следующие составляющие:

• законодательная, нормативно-правовая и научная база,

• структура и задачи органов и подразделений, обеспечивающих безопасность,

• организационно-технические и режимные меры и методы (политика информационной безопасности),

• программно-технические способы и средства обеспечения информационной безопасности.

3.1. Нормативная база защиты информации

В российском законодательстве имеется целый ряд нормативных актов, нацеленных на обеспечение информационной безопасности.

Глава 28 УК РФ «Преступления в сфере компьютерной информации» предусматривает уголовную ответственность за неправомерный доступ к информации, создание и распространение вредоносных программ, нарушения правил эксплуатации информационно-телекоммуникационных сетей.

Ряд законов обеспечивает охрану различного вида тайн, к ним относятся:

Конституция Российской Федерации,

Федеральный закон «О государственной тайне» № 5485-1от 21 июля 1993 года,

Федеральный закон «О коммерческой тайне» № 98-ФЗ от 9 июля 2004 года,

Федеральный закон «О персональных данных» № 152-ФЗ от 27 июля 2006 года.

Начиная с 2001 года в России был принят ряд нормативных актов, регламентирующих методы и средства защиты информации:

ГОСТ Р 50922-2006 от 27.12.2006 «Защита информации. Основные термины и определения»,

Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»,

Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»,

Приказ ФАПСИ от 13.06.2001 № 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну»,

Приказ ФСБ от 09.02.2005 № 66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации».

3.2. Организационные меры защиты информации

В первую очередь, должно быть исключено бесконтрольное проникновение и пребывание в помещениях, в которых размещаются технические средства информационной системы, посторонних лиц. В случае необходимости присутствия таких лиц в указанных помещениях должен быть обеспечен контроль за их действиями.

Особо охраняемые объекты рекомендуется взять под круглосуточное видеонаблюдение.

Должны быть разработаны должностные инструкции пользователей информационной системы.

Для защиты серьезных информационных ресурсов назначается администратор безопасности, который отвечает за правильную настройку компьютеров пользователей, учет и выдачу аппаратных средств защиты информации — магнитных или электронных ключей, за своевременную смену паролей, проводит инструктаж пользователей и контроль за соблюдением ими правил информационной безопасности.

Для хранения ключевых носителей в помещениях должны устанавливаться надежные металлические хранилища (сейфы), оборудованные надежными запирающими устройствами.

Действия, связанные с эксплуатацией аппаратных средств защиты информации, должны фиксироваться в «Журнале пользователя сети», который ведет лицо, ответственное за обеспечение информационной безопасности.

Администраторам безопасности рекомендуется произвести специальные настройки на компьютерах пользователей информационной системы:

• ведение журналов аудита в операционной системе,

• отключение в CMOS возможность загрузки операционной системы с дискеты, DVD, флеш-карты, по сети,

• исключение возможности удаленного управления, администрирования и модификации ОС и системного реестра,

• исключение использования режима автоматического входа пользователей в операционную систему при ее загрузке,

• организация полного удаления временных файлов и файлов подкачки.