9. Информационная безопасность и право

Информационная безопасность – это защищенность информационных ресурсов и систем от внешних и внутренних посягательств и угроз для граждан, организаций и государственных органов.

Для граждан информационная безопасность выражается в защищенности

• их персональных компьютеров,

• их личной информации в информационных системах и сетях ЭВМ,

• результатов их интеллектуальной деятельности.

Для организаций – защищенность

• от внешних посягательств служебной информации,

• корпоративных информационных систем и сети ЭВМ,

• принадлежащей им интеллектуальной собственности.

Для государства – защита

• от внешних и внутренних угроз национальных информационных ресурсов и государственных информационных систем,

• телекоммуникационной инфраструктуры, организаций и служб.

Для надежности хранения информация копируется на компакт-диски, либо жесткие диски сетевых серверов. Особо ценная информация копируется в двух экземплярах на разных носителях.

Для пакетов программ лучшим средством хранения и восстановления копий на персональных компьютерах служат компакт-диски, а в сети ЭВМ – архивные копии на общедоступных серверах.

Для ограничения доступа во всех операционных системах и сетевых информационных системах применяется регистрация пользователей с проверкой паролей доступа к тем или иным ресурсам ЭВМ.

Правовая охрана информации

Правовая охрана программ для ЭВМ и баз данных введена в Российской Федерации Законом РФ «О правовой охране программ для электронных вычислительных машин и баз данных».

Предоставляемая настоящим законом правовая охрана распространяется на все виды программ для ЭВМ. Правовая охрана не распространяется на идеи и принципы, лежащие в основе программы для ЭВМ, в том числе на идеи и принципы организации интерфейса и алгоритма.

Авторское право

Информация на ЭВМ, а также программы и базы данных для ЭВМ согласно российским законам и международному праву является предметом авторского права и объектами интеллектуальной собственности.

На электронные книги, сайты, базы данных и программы для ЭВМ распространяются те же авторские права, что и на обычные литературные, научные и художественные произведения.

Для признания и осуществления авторского права на программы для ЭВМ не требуется ее регистрация в какой-либо организации. Авторское право на программы для ЭВМ возникает автоматически при их создании.

Автором считается лицо, творческим трудом которого создано произведение. Авторские права фиксируются знаком  (copyright – право копий) с указанием фамилии (псевдонима) и года создания.

Сайты в Интернет являются объектами авторского права. Т.к. всякий гипертекст – это программа для клиентских ЭВМ, а сами сайты – это базы данных, представляющие совокупность гипертекстов на сетевых серверах.

Автору программы принадлежит исключительное право осуществлять воспроизведение и распространение программы любыми способами, а также модификацию программы.

Организация или пользователь, правомерно владеющий экземпляром программы (купивший лицензию на ее использование), вправе без получения дополнительного разрешения разработчика осуществлять любые действия, связанные с функционированием программы, в том числе ее запись и хранение в памяти ЭВМ. Запись и хранение в памяти ЭВМ допускаются в отношении одной ЭВМ или одного пользователя в сети, если другое не предусмотрено договором с разработчиком.

В отношении организаций или пользователей, которые нарушают авторские права, разработчик может потребовать возмещения причиненных убытков и выплаты нарушителем компенсации в определяемой по усмотрению суда сумме от 5000-кратного до 50 000-кратного размера минимальной месячной оплаты труда.

Электронная подпись

В 2002 году был принят Закон РФ «Об электронно-цифровой подписи», который стал законодательной основой электронного документооборота в России. По этому закону электронная цифровая подпись в электронном документе признается юридически равнозначной подписи в документе на бумажном носителе.

При регистрации электронно-цифровой подписи в специализированных центрах корреспондент получает два ключа: секретный и открытый. Секретный ключ хранится на дискете или смарт-карте и должен быть известен только самому корреспонденту. Открытый ключ должен быть у всех потенциальных получателей документов и обычно рассылается по электронной почте.

Процесс электронного подписания документа состоит в обработке с помощью секретного ключа текста сообщения. Далее зашифрованное сообщение посылается по электронной почте абоненту. Для проверки подлинности сообщения и электронной подписи абонент использует открытый ключ.

Защита информации

Методы обеспечения информационной безопасности

1. Авторизация.

Этот метод позволяет создавать группы пользователей, наделять эти группы разными уровнями доступа к сетевым и информационным ресурсам и контролировать доступ пользователя к этим ресурсам.

2. Иденификация и аутентификация.

Идентификация позволяет определить субъект (терминал пользователя, процесс) по уникальному номеру, сетевому имени и другим признакам.

Аутентификация – проверка подлинности субъекта, например по паролю, PIN-коду, криптографическому ключу и т.д.

Методы аутентификации:

1. Биометрия.

Используется аутентификация по геометрии руки, радужной оболочки сетчатки глаза, клавиатурный почерк, отпечатки глаза и т.п.

2. SMART-карты (интеллектуальные карты).

3. е-Token (электронный ключ).

Аналог SMART-карты, выполненный в виде брелка, подключающегося через USB-порт.

4. Определение координат пользователя.

• GPS- глобальная система позиционирования,

• система GSM. (100-300м).

5. Криптография.

6. Протоколирование и аудит.

7. Экранирование.

Разделение информационных потоков между различными информационными системами.

8. Физическая защита.

Физические устройства защиты:

• Физические устройства доступности к сетевым узлам и линиям связи.

• Противопожарные меры

• Защита поддержки инфраструктуры (электропитание, кондиционирование)

• Защита мобильных и радио систем.

• Защита от перехвата данных.

9. Поддержка текущей работоспособности.

• Резервное копирование.

• Управление носителями.

• Регламентированные работы.

Во всех развитых странах мира умышленный взлом компьютеров и распространение компьютерных вирусов приравнено к международным преступлениям, что влечет принудительную экстрадицию правонарушителей.

Ведущие страны Европы, Америки и Азии в 2001 году приняли Конвенцию о киберпреступности – трансграничной компьютерной преступности, которую на сегодняшний день ратифицировало более 40 государств мира.

Согласно Конвенции о киберпреступности страны-участники обязуются выявлять компьютерных правонарушителей по запросам международных организаций и передавать их стране, которой причинен ущерб.

Уголовно наказуемы в соответствии с Конвенцией:

• преступления против данных в ЭВМ,

• преступное использование ЭВМ,

• неправомерное содержание информации.

Преступления с данными в ЭВМ:

1) противозаконный доступ,

2) противозаконный перехват,

3) вмешательство в функционирование ЭВМ,

4) противозаконное использование компьютерных данных.

Преступное использование ЭВМ – подлог с использованием ЭВМ и мошенничество с использованием ЭВМ с намерениями неправомерного получения выгоды для себя или иного лица.

Неправомерное содержание:

• преступления, связанные с детской порнографией,

• правонарушения, связанные с нарушениями авторского права и смежных прав.

Детская порнография согласно Конвенции о киберпреступлениях является уголовным преступлением в США, Германии, Франции, Великобритании и во всех развитых странах Европы, Азии и Америки.

В Российской Федерации незаконное распространение порнографии наказывается по Уголовному Кодексу лишением свободы до 2 лет, а распространение детской порнографии – лишение свободы до 8 лет.

Особая осторожность необходима при установке на компьютерах новых пакетов программ или загрузке программ через Интернет. В любом случае при записи новых программ необходимо проверить отсутствие вирусов.

Серьезными правонарушениями являются

1) нарушение правил эксплуатации ЭВМ, повлекшее существенный вред;

2) распространение вредоносных программ;

3) неправомерный доступ к информации, охраняемой законом.

Защита доступа к компьютеру

Для предотвращения несанкционированного доступа к данным, хранящимся на компьютере, используются пароли. Компьютер разрешает доступ к своим ресурсам только тем пользователям, которые зарегистрированы и ввели правильный пароль. Каждому конкретному пользователю может быть разрешен доступ только к определенным информационным ресурсам. При этом может производиться регистрация всех попыток несанкционированного доступа.

В настоящее время для защиты от несанкционированного доступа к информации все более часто используются биометрические системы авторизации и идентификации пользователей. Используемые в этих системах характеристики являются неотъемлемыми качествами личности человека и поэтому не могут быть утерянными и подделанными. К биометрическим системам защиты информации относятся системы распознавания речи, системы идентификации по отпечаткам пальцев, а также системы идентификации по радужной оболочке глаза.

Защита программ от нелегального копирования и использования

Компьютерные пираты, нелегально тиражируя программное обеспечение, обесценивают труд программистов, делают разработку программ экономически невыгодным бизнесом. Кроме того, компьютерные пираты нередко предлагают пользователям недоработанные программы, программы с ошибками или их демоверсии.

Для того чтобы программное обеспечение компьютера могло функционировать, оно должно быть установлено (инсталлировано). Программное обеспечение распространяется фирмами-производителями в форме дистрибутивов на CD-ROM. Каждый дистрибутив имеет свой серийный номер, что препятствует незаконному копированию и установке программ.

Для предотвращения нелегального копирования программ и данных, хранящихся на CD-ROM, может использоваться специальная защита. На CD-ROM может быть размещен закодированный программный ключ, который теряется при копировании и без которого программа не может быть установлена.

Защита от нелегального использования программ может быть реализована с помощью аппаратного ключа, который присоединяется обычно к параллельному порту компьютера. Защищаемая программа обращается к параллельному порту и запрашивает секретный код; если аппаратный ключ к компьютеру не присоединен, то защищаемая программа определяет ситуацию нарушения защиты и прекращает свое выполнение.

Защита данных на дисках

Каждый диск, папка и файл локального компьютера, а также компьютера, подключенного к локальной сети, может быть защищен от несанкционированного доступа. Для них могут быть установлены определенные права доступа (полный, только чтение, по паролю), причем права могут быть различными для различных пользователей.

Для обеспечения большей надежности хранения данных на жестких дисках используются RAID-массивы (Redantant Arrays of Independent Disks – избыточный массив независимых дисков). Несколько жестких дисков подключаются к специальному RAID-контроллеру, который рассматривает их как единый логический носитель информации. При записи информации она дублируется и сохраняется на нескольких дисках одновременно, поэтому при выходе из строя одного из дисков данные не теряются.

Защита информации в Интернете

Если компьютер подключен к Интернету, то любой пользователь, также подключенный к Интернету, может получить доступ к информационным ресурсам этого компьютера. Если сервер имеет соединение с Интернетом и одновременно служит сервером локальной сети (Интранет-сервером), то возможно несанкционированное проникновение из Интернета в локальную сеть.

Механизмы проникновения из Интернета на локальный компьютер и в локальную сеть могут быть разными:

• загружаемые в браузер Web-страницы могут содержать активные элементы ActiveX или Java-апплеты, способные выполнять деструктивные действия на локальном компьютере;

• некоторые Web-серверы размещают на локальном компьютере текстовые файлы cookie, используя которые можно получить конфиденциальную информацию о пользователе локального компьютера;

• с помощью специальных утилит можно получить доступ к дискам и файлам локального компьютера и др.

Для того чтобы этого не происходило, устанавливается программный или аппаратный барьер между Интернетом и Интранетом с помощью брандмауэра (firewall - межсетевой экран). Брандмауэр отслеживает передачу данных между сетями, осуществляет контроль текущих соединений, выявляет подозрительные действия и тем самым предотвращает несанкционированный доступ из Интернета в локальную сеть.