Арутюнов В.В. Основы информационной безопасности

Подождите немного. Документ загружается.

установленном порядке за судебной защитой своих прав, в том числе с ис-

ками о возмещении убытков, компенсации морального вреда, защите чести,

достоинства и де ловой репутации. Требование о возмещении убытков не

может быть удовлетворено в случае предъявления его лицом, не принимав-

шим мер по соблюдению конфиденциальности информации или нарушив-

шим установленные законодательством Российской Фе дерации требова-

ния о защите информации, если принятие этих мер и соблюдение таких

требований являлись обязанностями дан ного лица.

В случае, если распространение определенной информации огра-

ничивается или запрещается федеральными законами, гражданско-

правовую ответственность за распространение такой информации не несет

лицо, оказывающее услуги:

1) либо по передаче информации, предоставленной другим ли цом, при

условии ее передачи без изменений и исправлений;

2) либо по хранению информации и обеспечению доступа к ней при

условии, что зто лицо не могло знать о незаконности распрост ранения ин-

формации.

В ФЗ России «О государственной тайне» основное внимание уде ляется

полномочиям органов государственной власти и должностных лиц в обла-

сти отнесения сведений к государственной тайне и их защиты; приводится

перечень сведений, которые могут быть отнесе ны к государственной тай-

не; указываются принципы засекречивания сведений, установления степе-

ни секретности сведений и грифы сек ретности носителей этих сведений,

а также сведения, не подлежа щие засекречиванию; описывается порядок

отнесения сведений к государственной тайне и порядок рассекречивания

сведений.

В ФЗ России «О коммерческой тайне» отмечается, что он регу лирует

отношения, связанные с отнесением информации к коммер ческой тайне,

передачей такой информации, охраной ее конфиденци альности в целях

обеспечения баланса интересов обладателей информации, составляющей

коммерческую тайну, и других участни ков регулируемых отношений, в том

числе государства, на рынке товаров, работ, услуг и предупреждения недо-

бросовестной конкурен ции, а также определяет сведения, которые не мо-

гут составлять коммерческую тайну.

Сведения, относимые к категории «коммерческая тайна», можно разде-

лить на две группы:

– научнотехническая и технологическая информация, связан ная непо-

средственно с деятельностью учреждения, то есть конст рукторская и тех-

нологическая документация, сведения об исполь зуемых материалах, опи-

сание методов и способов производства разрабатываемых изделий, спец-

ифический или уникальный про граммный продукт, перспективные планы

развития или модерниза ции производства;

– деловая информация о деятельности учреждения, то есть финансовая

документация, перспективные планы развития, анали тические материалы

об исследованиях конкурентов и эффективно сти работы на рынке товаров

и услуг, различные сведения о парт нерах и т. п.

Чтобы отнесение к категории коммерческой тайны приобрело за-

конную силу, оно должно быть оформлено в виде специального перечня,

утвержденного руководителем учреждения. Только в этом случае можно

говорить о придании конфиденциальной информации определенных вещ-

ных прав.

ФЗ России «О правовой охране программ для электронных вы-

числительных машин и баз данных» регулирует отношения, связан ные с

созданием, правовой охраной и использованием программ для ЭВМ и баз

данных. В соответствии с законом, программы для ЭВМ и баз данных отно-

сятся к объектам авторского права.

Глава 3. Административный уровень обеспечения ИБ

3.1. Концепция безопасности предприятия

Под безопасностью предприятия (учреждения, организации) мож но по-

нимать состояние защищенности интересов его владельцев (акционеров),

руководства, персонала, клиентов (если предприятие является коммер-

ческим), а также материальных ценностей и инфор мационных ресурсов

от внутренних и внешних угроз. При этом под состоянием защищенности

можно понимать умение и способность предприятия надежно противосто-

ять любым попыткам криминаль ных структур или недобросовестных кон-

курентов нанести ущерб его законным интересам.

Обеспечение безопасности предприятия является неотъемлемой со-

ставной частью его деятельности.

Комплекс организационных мер по защите информации на пред-

приятии, как правило, связывается с деятельностью его службы за щиты

информации (СЗИ) или иной специально выделенной группы. В большин-

стве случаев СЗИ является самостоятельной организаци онной единицей,

подчиняющейся непосредственно руководителю предприятия. Мировой и

российский опыт показывает, что только соб ственная СЗИ является надеж-

ной защитой по обеспечению экономи ческой безопасности предприятия и

противодействию промышленно му шпионажу.

К настоящему времени накоплен значительный теоретический и прак-

тический материал, позволяющий более обоснованно (с точки зрения опти-

мальности и стоимости) создавать службы безопасности.

Однако, прежде чем разрабатывать окончательную структуру СЗИ и

определять функции ее структурных подразделений, целесообраз но сфор-

мировать концепцию безопасности предприятия.

В качестве разработчиков концепции могут выступать лица, отве-

чающие в руководстве предприятия за это направление. Также могут при-

влекаться соответствующие специалисты и эксперты из организа ций, име-

ющие опыт разработки подобных документов.

При разработке концепции необходимо определить, кто и что будет

являться объектами безопасности. Например, применительно к пред-

приятиям, на территории которых часты клиенты (посетители), к их числу

можно отнести:

1) посетителей (клиентов);

2) персонал (руководство, ответственные исполнители, сотрудники);

3) финансовые средства, материальные активы;

4) информационные ресурсы (информация, составляющая ком мер-

ческую тайну, интеллектуальную собственность, и другая ин формация,

имеющая конфиденциальный характер, представленная в виде документов

и их массивов независимо от формы и вида их представления).

Субъектами правоотношений при рассмотрении вопросов безо пасности

предприятий являются:

1) государство как собственник ресурсов, создаваемых, приобре таемых

и накапливаемых за счет средств государственного бюдже та, а также ин-

формационных ресурсов, отнесенных к категории госу дарственной тайны;

2) ЦБ РФ, осуществляющий денежно-кредитную политику страны;

3) коммерческий банк как юридическое лицо, являющееся соб ст-

венником финансовых, а также информационных ресурсов, состав ляющих

служебную, коммерческую и банковскую тайну;

4) все иные юридические и физические лица, в том числе парт неры и

клиенты по финансовым и другим отношениям, задействован ные в процес-

се функционирования предприятия как внутри страны, так и во внешнефи-

нансовых связях;

5) СЗИ коммерческих банков, других предприятий и частные охранно-

детективные структуры, с которыми осуществляется взаимо действие;

6) органы исполнительной власти, уполномоченные заниматься вопро-

сами лицензирования и сертификации в области безопасности.

Зарубежный и отечественный опыт обеспечения безопасности сви-

детельствует, что для борьбы со всей совокупностью потенциально воз-

можных угроз необходима стройная и целенаправленная органи зация

процесса противодействия. Причем в организации этого про цесса должны

участвовать не только люди, ответственные за это направление, а также

профессиональные специалисты, руководство предприятия, ведущие со-

трудники предприятия.

Концепция безопасности предприятия выражает систему взгля-

дов на проблему безопасности на различных этапах и уровнях пред-

принимательской деятельности, а также основные принципы, направ ления

и этапы реализации мер безопасности.

При построении концепции безопасности руководитель предприя тия и

начальник службы защиты информации должны очень тщатель но анализи-

ровать полный набор угроз, глубокое знание и своевре менное выявление

которых позволит службе защиты информации пре вентивно их блокиро-

вать. Накопленный в мире опыт в области защи ты информации показывает

следующее:

– анализ угроз и разработка концепции безопасности не должны быть

одноразовыми актами. Это непрерывный процесс, заключаю щийся в обо-

сновании и реализации наиболее рациональных форм, методов, способов и

путей создания, совершенствования и развития системы защиты информа-

ции, непрерывном управлении ею, контро ле, выявлении ее слабых мест и

ликвидации недостатков;

– защита информации может быть обеспечена лишь при комп лексном

использовании всего арсенала сил и средств во всех струк турных элементах

системы, то есть использования службы защиты информации;

– никакая служба защиты информации не может обеспечить тре буемый

уровень защиты без надлежащей подготовки персонала пред приятия и

пользователей и соблюдения ими всех установленных пра вил, направлен-

ных на обеспечение защиты информации.

Концепция безопасности предприятия представляет собой систе му

научно обоснованных взглядов на определение основных направ лений,

условий и порядка практического решения задач защиты пред приятия и

его законных интересов от противоправных действий и недобросовестной

конкуренции.

Разработка концепции безопасности преследует три основные цели.

1. Выработка общей точки зрения по вопросу обеспечения безо пасности

предприятия между руководством предприятия, его сотруд никами и фир-

мами, привлекаемыми для организации безопасности производства работ

по техническому оснащению объекта и др.

2. Создание основы для организации режимов, обеспечивающих безо-

пасность и принятие управляющих решений по финансированию соответ-

ствующих программ и мероприятий защиты.

3. Улучшение имиджа предприятия и роста прибыли за счет обес печения

высокого качества предоставляемых услуг и гарантий безо пасности иму-

щественных прав и интересов клиентов.

В ходе разработки концепции безопасности обычно выделяют 3 основ-

ных этапа:

На первом этапе осуществляется подготовка исходных дан ных. С этой

целью необходимо собрать следующие документы и материалы:

1) подробные планы территории и поэтажные планы помещений объ-

екта защиты с указанием их функционального назначения и строи тельных

особенностей;

2) схемы коммуникаций (энергоснабжение, телефонная связь, теп-

лоснабжения, внутренние компьютерные сети и прочее) с указанием спо-

соба их прокладки;

3) чертежи, рисунки или фотографии мест, представляющих опас ность

с точки зрения несанкционированного проникновения на объект (туннели

тепловых и водоводных коммуникаций, тонкие стены, грани чащие с чужой

территорией, переходы с крыши на крышу, подваль ные помещения, холо-

дильные установки, бойлерные, электрощито вые и др.);

4) перечень особенностей эксплуатации зданий и сооружений объекта,

влияющих на режим безопасности (права арендодателей по мещений, необ-

ходимость посещения различными инспекциями и т. п.);

5) схема режима освещенности территории в ночное время;

6) схема организации движения транспорта по территории объек та и

территории, прилегающей к нему;

7) нормативный документ, определяющий режим работы сотруд ников

и правила посещения объекта клиентами.

На втором этапе специальной экспертной группой, формирую щей кон-

цепцию безопасности, совместно с руководством предприятия принимают-

ся основополагающие решения по вопросам безопасности.

1. Формулируются возможные угрозы, представляющие опасность ин-

тересам предприятия на данном этапе его работы и развития.

2. Решается вопрос о том, чьими силами будет осуществляться охрана

объекта (собственными силами, силами правоохранительных органов или

охранным агентством).

3. Определяются допустимые пределы режимных ограничений, кото-

рые не нанесут ущерба технологии основной деятельности пред приятия.

4. Оцениваются допустимые пределы возможного финансирова ния

программ, связанных с обеспечением безопасности.

5. Определяются приоритеты и ориентировочные желательные сро ки

реализации этих программ.

На третьем этапе производится разработка основных докумен тов

концепции.

1. Составление таблиц помещений здания и участков территории с ука-

занием зон режимности: рекомендуется градация степени режимности из 6

категорий (периметр территории, периметр здания, представительские по-

мещения, специальные служебные помещения сотрудников, особо важные

помещения — руководства, для перего воров, объекты защиты — серверы,

КС, работающие с защищаемой информацией и др.).

2. Составление схемы (плана) охраны объекта с указанием мар шрутов

движения сотрудников и клиентов, расположения постов ох раны, распре-

деления функций между постами охраны и технически ми средствами уси-

ления безопасности.

3. Разработка рекомендаций по организации контрольно-пропуск ного

режима с иерархией доступа различных категорий клиентов и сотрудников

в помещения с разной степенью режимности.

4. Оценка необходимости защиты и принципов защиты комму никаций.

5. Определение необходимости усиления защищенности объекта тех-

ническими средствами (укрепление стройконструкций, системы ох ранной

сигнализации, телефонное наблюдение, устройство контроля и регистра-

ции и т. д.) и составление структурной схемы технического оснащения.

6. Оценка необходимости разработки системы предотвращения утечки

информации с объекта.

7. Определение принципа локализации возможного ущерба от проис-

шествий и чрезвычайных ситуаций.

8. Выработка рекомендаций по порядку взаимодействия с право-

охранными организациями в угрожающих ситуациях и при расследо вании

происшествий.

9. Составление ориентировочной сметы расходов на выполнение

необходимых проектных, монтажных и других работ с указанием ори-

ентировочной стоимости потребного оборудования и расходов на эк-

сплуатацию или просто определение максимально допустимых пре делов

расхода средств на эти цели.

10. Определение организаций, которые могут быть привлечены для

осуществления мероприятий по организации защиты объекта.

В зависимости от характера работы предприятия и его структур ной

организации в концепцию могут включаться и другие разделы. Среди них

можно отметить следующие:

1) система мер противодействия попыткам преступных элементов и ор-

ганизованных групп осуществлять угрозы в отношении персона ла, клиен-

тов, имущественных, материальных и интеллектуальных цен ностей (защи-

та от налетов, проникновения со взломом и прочих уг роз криминального

характера);

2) информационное и правовое обеспечение интересов предприя тия

(деловая разведка, помощь в возврате кредитов, ускоренная подготовка и

проведение арбитражных процессов и т. п.);

3) проверочные мероприятия в отношении клиентов, персонала и кан-

дидатов на работу и расследование происшествий.

Концепция оформляется в виде пакета документов, подписанных раз-

работчиком, руководителем службы безопасности (при необходи мости и

представителями других служб), и утверждается руководи телем предпри-

ятия.

После утверждения концепции безопасности предприятия разра-

батывается политика безопасности в целом для организации, а также для

отдельных функциональных подсистем.

В первую очередь такую политику безопасности следует разра ботать

для информационной инфраструктуры, функционирующей на предприя-

тии,— его АС.

При этом основной целью системы защиты информации является пред-

упреждение, предотвращение угроз и ликвидация их послед ствий. Целями

системы защиты информации являются:

– защита прав предприятия и сотрудников;

– сохранение и эффективное использование финансовых, матери аль-

ных, людских и информационных ресурсов;

– повышение имиджа и роста прибыли за счет обеспечения ка чества

услуг и безопасности клиентов.

Безопасность деятельности предприятия осуществляется на 2-х уров-

нях:

– всеми сотрудниками предприятия посредством выполнения ре жима

защиты информации;

– службой защиты информации предприятия путем проведения защит-

ных мероприятий.

3.2. Политика информационной безопасности предприятия

В целом задача построения системы защиты информации, спо собной

противостоять основным группам угроз, является достаточно сложной, ре-

шается для каждого конкретного случая и не всегда считается разрешимой.

При этом отдельным вопросом остается оп тимальность и адекватность соз-

данной системы защиты информации поставленным целям.

Одновременно система защиты должна, по возможности, удов летворять

следующим принципам:

1) система защиты носит вспомогательный характер по сравне нию с

основным направлением деятельности АС;

2) система защиты не должна ограничивать обмен информацией для

выполнения основных функций АС;

3) система защиты должна надежно защищать всю имеющуюся в АС

ценную информацию от всех возможных угроз.

При принятии решений по созданию политики безопасности АС (после

разработки концепции ИБ) руководство организации сталкива ется с про-

блемой выбора вариантов решений по организации защиты информации

на основе учета принципов деятельности организации, соотношения важ-

ности целей и наличия ресурсов. Эти решения вклю чают определение того,

как будут защищаться технические и инфор мационные ресурсы, а также

как должны вести себя служащие в тех или иных ситуациях.

Таким образом, реальная система защиты должна быть компро миссом

между эффективностью основного функционирования АС и защитой ин-

формации в ней, а также между материальными затрата ми на защиту и

стоимостью самих защищаемых технологических и информационных ре-

сурсов. Для реализации такого компромисса и вводят понятие политики

безопасности.

Политика безопасности — это набор норм, правил и практических при-

емов, которые регулируют управление, защиту и распределение ценной ин-

формации в данной АС (организации, подразделении и т. п.).

На практике политика безопасности трактуется как совокупность до-

кументированных административных решений, направленных на обеспе-

чение безопасности информационных ресурсов АС.

В данном контексте любая система защиты является реализаци ей по-

литики безопасности. Говорят, что система является гарантиро ванно защи-

щенной, если ее система защиты при заданных условиях реализует все пра-

вила политики безопасности. При этом следует учитывать, что реализация

опасностей для ценной информации в АС может быть следствием не только

неадекватной системы защиты, но и неправильно формулированной поли-

тики безопасности.

Для конкретной АС политика безопасности зависит от технологии об-

работки информации, используемых программных и технических средств,

структуры организации и т. д.

Создание политики должно учитывать следующие направления защи-

ты:

– защита объектов информационной системы;

– защита процессов, процедур и программ обработки информации;

– защита каналов связи;

– подавление побочных электромагнитных излучений и наводок;

– управление системой защиты.

Очевидно, что каждое из указанных направлений должно быть детали-

зировано в зависимости от особенностей структуры АС.

Кроме этого, политика информационной безопасности (ПИБ) дол жна

описывать следующие этапы создания СЗИ:

– определение информационных и технических ресурсов, подле жащих

защите;

– выявление полного множества потенциально возможных угроз и ка-

налов утечки информации;

– проведение оценки уязвимости и рисков информации при имею щемся

множестве угроз и каналов утечки;

– определение требований к системе защиты;

– осуществление выбора средств защиты информации и их ха-

рактеристик;

– внедрение и организация использования выбранных мер, спо собов и

средств защиты;

– осуществление контроля целостности и управление системой защи-

ты.

При разработке и проведении в жизнь ПИБ целесообразно руко-

водствоваться следующими принципами:

1) невозможность миновать защитные средства (означает, что все ин-

формационные потоки в защищаемую сеть и из нее должны про ходить че-

рез средства защиты информации (СЗИ), не должно быть «тайных» модем-

ных входов или тестовых линий, идущих в обход);

2) усиление самого слабого звена (надежность любых СЗИ опре деляется

самым слабым звеном, часто таким звеном оказывается не компьютер или

программа, а человек, и тогда проблема обеспечения информационной без-

опасности приобретает не технический характер);

3) недопустимость перехода в открытое состояние (означает, что при

любых обстоятельствах (в том числе нештатных) СЗИ либо пол ностью вы-

полняют свои функции, либо должны полностью блокиро вать доступ);

4) минимизация привилегий (предписывает выделять пользовате лям

и администраторам только те права доступа, которые необходи мы им для

выполнения служебных обязанностей);

5) разделение обязанностей (предполагает такое распределение ролей

и ответственности, при котором один человек не может нару шить критиче-

ски важный для организации процесс, это особенно важно для предотвра-

щения злонамеренных или неквалифицированных дей ствий системного

администратора);

6) многоуровневая защита (предписывает не полагаться на один защит-

ный рубеж, каким бы надежным он ни казался; за средствами физической

защиты должны следовать программно-технические средства, за иденти-

фикацией и аутентификацией — управление доступом, и как последний ру-

беж — протоколирование и аудит; эшело нированная оборона способна, по

крайней мере, задержать зло умышленника, а наличие такого рубежа, как

протоколирование и аудит, существенно затрудняет незаметное выполне-

ние злоумыш ленных действий);

7) разнообразие защитных средств (рекомендуется организовы вать

различные по своему характеру оборонительные рубежи, чтобы от потен-

циального злоумышленника требовалось овладение разнооб разными и, по

возможности, несовместимыми между собой навыка ми преодоления СЗИ);

8) простота и управляемость информационной системы (опреде ляет

возможность реального или неформального доказательства кор ректности

реализации механизмов защиты, только в простой и уп равляемой системе

можно проверить согласованность конфигурации разных компонентов и

осуществить централизованное администри рование);

9) обеспечение всеобщей поддержки мер безопасности (носит нетехни-

ческий характер, рекомендуется с самого начала предусмот реть комплекс

мер, направленный на обеспечение лояльности персо нала мерам защиты,

на постоянное обучение — теоретическое и, главное, практическое).

Результатом выработки политики безопасности является высоко-

уровневый документ, в котором излагаются цели, задачи, принципы и

способы достижения информационной безопасности. Данный до кумент

составляет методологическую основу практических мер (про цедур) по реа-

лизации ИБ и содержит следующие группы сведений:

– основные положения ИБ;

– область применения;

– цели и задачи обеспечения ИБ;

– распределение ролей и ответственности;

– общие обязанности.

Основные положения определяют важность обеспечения ИБ, об щие

проблемы безопасности, направления их решения, роль сотруд ников,

нормативно-правовые основы.

Областью применения политики безопасности являются основные ак-

тивы и подсистемы ИС, подлежащие защите. Типовые активы со ставляют

персонал, информационное и программно-аппаратное обес печение ИС, в

отдельных случаях — информационная инфраструктура.

Цели и задачи обеспечения ИБ вытекают из функционального назначе-

ния АС. Например, в некоторых АС на первое место ставится соблюдение