Барабанова М.И., Кияев В.И. Информационные технологии: открытые системы, сети, безопасность в системах и сетях

Подождите немного. Документ загружается.

162

Для коммерческих компаний используются достаточно простые кате-

гории и виды информации (табл. 5.1 и 5.2). Однако в любом случае статус

определенного вида информации должен быть закреплен в соответствую-

щем нормативном документе по безопасности и известен всем участникам

управленческой, организационной и производственной деятельности.

Для обеспечения безопасности при работе с охраняемой информацией

следует, во-первых, выстроить политику работы с конфиденциальной и

служебной информацией, разработать, издать соответствующие политики,

руководства и процедуры и, во-вторых, обеспечить необходимые про-

граммно-аппаратные ресурсы.

Первый шаг – это введение коммерческой тайны в соответствии с Фе-

деральным законом № 98-ФЗ о коммерческой тайне. Положение о коммер-

ческой тайне разрабатывается департаментом (отделом) информационной

безопасности предприятия и вводится приказом генерального директора.

Таблица 5.1

Раздел классификации Категория информации

Общедоступная (Public) Открытая информация, при работе с которой нет

никаких ограничений

Для служебного пользования

(Restricted Access)

Информация ограниченного доступа

Конфиденциальная

(Confidential)

Конфиденциальная информация, при работе с ко-

торой вводятся строгие ограничения в зависимо-

сти от уровней допуска пользователя

Персональная (Private) Персональная информация (зарплатная ведо-

мость, адресные и паспортные данные сотрудни-

ков, медицинские карточки, ИНН, СПС и пр.)

Таблица 5.2

Вид информации Содержание Расположение Гриф

Регистрационная,

уставная, юриди-

ческая, норматив-

ная

Регистрационные и

уставные документы,

нормативы

Локально, базы дан-

ных системы под-

держки деятельно-

сти руководителей и

база юридической

подсистемы

Для служебно-

го пользования,

конфиденци-

альная

Плановая, науч-

но-

исследователь-

ская и общая про-

изводственная

Планы производст-

ва, описание техно-

логий, внутренние

разработки, стандар-

ты, спецификации,

интеллектуальная

собственность

Локально, производ-

ственные базы дан-

ных, файловые сер-

веры

Для служебно-

го пользования,

конфиденци-

альная

163

Продолжение табл. 5.2

Вид информации Содержание Расположение Гриф

Инфраструктур-

ная

Карты и журналы

ИТ-

инфраструктуры,

ИТ-системы, систе-

мы доступа

Локально, файловый

сервер

Для служебно-

го пользования,

конфиденци-

альная

Финансовая и

управленческий

учёт

Любая бухгалтер-

ская информация,

финансовые планы,

отчеты, балансы,

платежные докумен-

ты

Локально, база фи-

нансовой подсисте-

мы либо другая сре-

да работы финансо-

вого отдела

Для служебно-

го пользования,

конфиденци-

альная

Кадровая Личные карточки

персонала

Локально, файловый

сервер

Для служебно-

го пользования,

конфиденци-

альная

Текущая рабочая Файлы и документы

для внутреннего

обмена данными

Общедоступно, об-

щий сервер

Общедоступ-

ная, для слу-

жебного поль-

зования

Внутрикорпора-

тив-ная

Приказы, распоря-

жения, расписания,

отчеты собраний

проектных групп,

документы системы

качества (планы, ре-

зультаты проверок,

корректирующие

мероприятия)

Общедоступно, об-

щий сервер

Общедоступ-

ная, для слу-

жебного поль-

зования

Развлекательная Фотографии, видео-

ролики, фильмы,

аудиокниги

Общедоступно, об-

щий либо выделен-

ный сервер

Общедоступ-

ная

Примерная процедура документирования состоит из разработки и ис-

пользования следующих документов:

• положение о коммерческой тайне;

• приказ генерального директора о введении коммерческой тайны в

компании;

• приказ генерального директора о назначении ответственных за со-

блюдение коммерческой тайны;

• перечень сведений, составляющих коммерческую тайну;

• учет носителей коммерческой тайны (журналы, грифы);

• приказ генерального директора об ответственности за разглашение

или несанкционированную передачу коммерческой тайны.

164

В продолжение необходимо создать набор политик по реализации

внутренней информационной безопасности:

• политика информационной безопасности;

• политика предоставления прав доступа к внутренним и удаленным

ресурсам;

• политика использования Internet/Intranet;

• политика использования электронной почты;

• порядок инвентаризации информационных ресурсов;

• соглашение о неразглашении данных и информации, составляю-

щих коммерческую тайну и имеющих грифы «конфиденциально» и

«для служебного пользования».

Программно-аппаратные средства для работы с охраняемой информа-

цией либо встраиваются в соответствующие модули корпоративной ин-

формационной системы (КИС), либо используются локально в системах,

оговоренных в политике ИБ. Средства противодействия угрозам ИБ и

утечкам данных и информации являются, по сути, программно-

аппаратным «слоем» между существующей ИТ-инфраструктурой пред-

приятия и корпоративными приложениями, где обрабатываются конфи-

денциальные данные и с которыми работают сотрудники.

Защитный комплекс состоит не только из технических устройств и

ПО, но и из совокупности организационных мер по реализации политики

внутренней безопасности – целостное решение связывает воедино инфра-

структуру, информацию и персонал.

В таком комплексе сочетаются все важные свойства, характерные для

больших вычислительных и сетевых структур:

• многопоточность (по нескольким процессам на одном процессоре,

по нескольким процессорам на одном сервере, распределение

сложных задач обеспечения контроля и безопасности по разным

серверам, использование вычислительных кластеров);

• физическое разделение on-line и off-line функций;

• повсеместная кластеризация и масштабирование, возможность вы-

страивать распределенные защитные схемы, располагая монито-

ринг в филиалах, а единое хранилище в главном офисе;

• возможность мониторинга всех каналов с помощью одной базы

контентной фильтрации и единого журнала учёта доступа пользо-

вателей.

Такие целостные программные продукты осуществляют контроль и

управление рисками внутренней безопасности и минимизируют утечки

конфиденциальной информации за счет соответствующих технологиче-

ских составляющих, глубоко интегрированных в информационную струк-

туру предприятия. К ним относятся программно-аппаратные устройства,

осуществляющие:

165

• отслеживание перемещения конфиденциальной информации по

информационной системе (Data-in-Shell);

• управление контролем утечки данных через сетевой трафик по

протоколам TCP/IP, SMTP, HTTP(s), IM (ICQ, AOL, MSN), FTP,

SQL, собственных протоколов посредством контентной фильтра-

ции на уровне:

– шлюза, через который идет трафик из внутренней сети во

внешнюю сеть (Data-in-Motion);

– сервера, обрабатывающего определенный тип трафика (Data-at-

Rest);

– рабочей станции (Data-in-Use);

– внутренних каналов почты Microsoft Exchange, Lotus Notes и

др.;

• управление контролем утечки охраняемой информации с рабочих

станций, периферийных и мобильных устройств посредством кон-

троля действий авторизованных пользователей с конфиденциаль-

ными данными: с файлами, внешними устройствами, сетью (ло-

кальной, беспроводной), буфером обмена, приложениями, уст-

ройств печати (локальные, сетевые);

• установление проактивной защиты и персональных сетевых экра-

нов;

• теневое копирование информационных объектов в единую базу

контентной фильтрации для всех каналов по единым правилам для

всех каналов.

Грамотно организовать защиту охраняемых данных и информации

непросто и недёшево. Для этого нужно произвести классификацию дан-

ных, тщательную инвентаризацию информационных ресурсов, выбрать

адекватное программно-аппаратное решение, разработать и внедрить со-

вокупность регламентирующих документы внутренней безопасности.

Главную роль в этой непростой работе по минимизации рисков утечки

данных играют компетентность и воля высшего руководства предприятия,

актуальные политики и эффективные программные средства, а также ре-

жим коммерческой тайны при работе с охраняемой информацией.

5.4. Правовое обеспечение информационной безопасности

При обеспечении информационной безопасности успех может быть эф-

фективным только при применении комплексного подхода. Выше было от-

мечено, что для защиты интересов субъектов информационных отношений

необходимо сочетать меры следующих уровней:

166

• законодательного;

• административного (приказы, распоряжения, политики и другие

организационные действия руководства организаций, связанных с

защищаемыми информационными ресурсами);

• процедурного (меры безопасности, ориентированные на персонал);

• программно-технического;

• физического (комплексная защита помещений, оборудования и

персонала).

Законодательный уровень является важнейшим для обеспечения ин-

формационной безопасности. Будем различать на этом уровне две группы

мер:

• меры, направленные на создание и поддержание в обществе нега-

тивного (в том числе с применением наказаний) отношения к на-

рушениям и нарушителям информационной безопасности («мера-

ми ограничительной направленности»);

• направляющие и координирующие меры, способствующие повы-

шению образованности общества в области информационной безо-

пасности, помогающие в разработке и распространении средств

обеспечения информационной безопасности (меры созидательной

направленности).

На практике обе группы мер важны в равной степени, но необходимо

подчеркнуть аспект осознанного соблюдения норм и правил ИБ. Это важ-

но для всех субъектов информационных отношений, поскольку рассчиты-

вать только на защиту силами системных администраторов и сотрудников

службы безопасности предприятия было бы неправильно. Необходимо это

и тем, в чьи обязанности входит наказывать нарушителей, поскольку

обеспечить доказательность при расследовании и судебном разбиратель-

стве компьютерных преступлений без специальной подготовки невозмож-

но [5-3, 5-6].

5.4.1. Краткий обзор зарубежного законодательства

в области информационной безопасности

Одним из важнейших законов в этом направлении является американ-

ский Закон об информационной безопасности (Computer Security Act of

1987, Public Law 100-235, January 8, 1988). Цель Закона – реализация ми-

нимальных, но достаточных действий по обеспечению безопасности ин-

формации в федеральных компьютерных системах, без ограничений спек-

тра возможных действий

Источник: [5-3].

167

В начале Закона называется конкретный исполнитель – Националь-

ный институт стандартов и технологий (НИСТ, National Institute of Stan-

dardization – NIST), отвечающий за выпуск стандартов и руководств, на-

правленных на защиту от уничтожения и несанкционированного доступа к

информации, а также от краж и подлогов, выполняемых с помощью ком-

пьютеров. Документы, выпускаемые институтом, являются руководства-

ми «симметричного действия», служащими как регламентации действий

специалистов, так и для повышения информированности общества.

Согласно Закону, все операторы федеральных информационных сис-

тем и баз данных, содержащих конфиденциальную информацию, должны

сформировать планы обеспечения ИБ. Обязательным является и периоди-

ческое обучение всего персонала таких ИС. Институт, в свою очередь,

обязан проводить исследования природы и масштаба уязвимых мест, вы-

рабатывать экономически оправданные меры защиты. Результаты иссле-

дований применяются как в государственных системах, так и в частном

секторе.

Закон обязывает НИСТ координировать свою деятельность с другими

министерствами и ведомствами, включая Министерство обороны, Мини-

стерство энергетики, Агентство национальной безопасности (АНБ) и т.д.,

чтобы избежать дублирования и несовместимости. Помимо регламента-

ции дополнительных функций НИСТ, Закон предписывает создать при

Министерстве торговли США комиссию по информационной безопасно-

сти, которая должна:

• выявлять перспективные управленческие, техническо-технологи-

ческие, программные и физические меры, способствующие повы-

шению ИБ;

• выдавать рекомендации Национальному институту стандартов и

технологий, доводить их до сведения всех заинтересованных ве-

домств.

С практической точки зрения важен раздел № 6 Закона, обязывающий

все правительственные ведомства сформировать план обеспечения инфор-

мационной безопасности, направленный на то, чтобы компенсировать

риски и предотвратить возможный ущерб от утери, неправильного ис-

пользования, несанкционированного доступа или модификации информа-

ции в федеральных системах. Копии планов направляются в НИСТ и в

Агентство национальной безопасности (АНБ, National Safety Agency –

NSA).

В 1997 году появился законопроект «О совершенствовании информа-

ционной безопасности» (Computer Security Enhancement Act of 1997, H.R.

1903), направленный на усиление роли НИСТ и упрощение операций с

криптографическими средствами.

168

В законопроекте констатируется, что частные компании-разработчики

готовы предоставить криптографические средства для обеспечения кон-

фиденциальности, целостности и аутентичности данных и что разработка

и использование шифровальных технологий должны происходить на ос-

новании требований рынка, а не распоряжений правительства. Кроме того,

здесь отмечается, что за пределами США имеются сопоставимые и обще-

доступные криптографические технологии, и это следует учитывать при

выработке экспортных ограничений, чтобы не снижать конкурентоспо-

собность американских производителей аппаратного и программного

обеспечения.

Очень важен раздел 3, в котором закрепляется обязанность НИСТ

готовить стандарты, руководства, средства и методы для инфраструкту-

ры открытых ключей (см. ниже аналогичный Закон РФ об ЭЦП) по за-

просам частного сектора. Эти нормативные документы позволяют

сформировать негосударственную инфраструктуру, пригодную для

взаимодействия с федеральными ИС. В разделе № 4 особое внимание

обращается на необходимость анализа средств и методов оценки уязви-

мых мест других продуктов частного сектора в области ИБ. Законом по-

ощряется разработка требований и правил безопасности, нейтральных

по отношению к конкретным техническим решениям, использование в

федеральных ИС коммерческих продуктов, участие в реализации шиф-

ровальных технологий, позволяющее в конечном итоге сформировать

инфраструктуру, которую можно рассматривать как резервную для фе-

деральных ИС.

Важно, что в соответствии с разделами № 10 и далее предусматрива-

ется выделение финансирования, называются точные сроки реализации

программ партнёрства и проведения исследований инфраструктуры с от-

крытыми ключами, национальной инфраструктуры цифровых подписей.

В частности, предусматривается, что для удостоверяющих центров долж-

ны быть разработаны типовые правила и процедуры, порядок лицензиро-

вания, стандарты аудита. В 2001 году был одобрен Палатой представите-

лей и передан в Сенат новый вариант рассмотренного законопроекта –

Computer Security Enhancement Act of 2001 (H.R. 1259 RFS).

За четыре года (1997-2001 годы) на законодательном и других уров-

нях информационной безопасности США были сделаны следующие важ-

ные разработки:

• смягчены экспортные ограничения на криптографические средства

(январь 2000 г.);

• сформирована инфраструктура с открытыми ключами;

• разработано большое число стандартов (например, новый стандарт

электронной цифровой подписи – FIPS 186-2, январь 2000 г.).

169

Программа безопасности, предусматривающая экономически оправдан-

ные защитные меры, синхронизированные с жизненным циклом информа-

ционных технологий и систем, неоднократно входит в законодательные ак-

ты США. Например, согласно пункту 3534 («Обязанности федеральных ве-

домств») подглавы II («Информационная безопасность») главы 35 («Коор-

динация федеральной информационной политики») рубрики 44 («Общест-

венные издания и документы»), такая «Программа» должна включать:

• периодическую оценку рисков с рассмотрением внутренних и

внешних угроз целостности, конфиденциальности и доступности

систем, а также данных, ассоциированных с критически важными

операциями и ресурсами;

• правила и процедуры, позволяющие, опираясь на проведенный

анализ рисков, экономически оправданным образом уменьшить

риски до приемлемого уровня;

• обучение персонала с целью информирования о существующих

рисках и об обязанностях, выполнение которых необходимо для их

(рисков) нейтрализации;

• периодический аудит и (пере)оценку эффективности правил и про-

цедур;

• порядок и действия при внесении существенных изменений в сис-

тему;

• процедуры выявления нарушений информационной безопасности и

реагирования на них; эти процедуры должны помочь уменьшить

риски, избежать крупных потерь; организовать взаимодействие с

правоохранительными органами.

В законодательстве Германии можно выделить «Закон о защите дан-

ных» (Federal Data Protection Act of December 20, 1990 (BGBl.I 1990

S.2954), amended by law of September 14, 1994 (BGBl. I S. 2325)), который

целиком посвящен защите персональных данных.

Законом устанавливается приоритет интересов национальной безопас-

ности над сохранением тайны частной жизни. В остальном права личности

защищены весьма тщательно. Например, если сотрудник фирмы обрабаты-

вает персональные данные в интересах частных компаний, он дает подпис-

ку о неразглашении, которая действует и после перехода на другую работу.

Государственные учреждения, хранящие и обрабатывающие персональные

данные, несут ответственность за нарушение тайны частной жизни «субъ-

екта данных», как говорится в Законе. В материальном выражении ответст-

венность ограничена верхним пределом в 250 тысяч немецких марок.

Из законодательства Великобритании можно выделить семейство так

называемых «добровольных стандартов» BS 7799, помогающих организа-

циям на практике сформировать программы безопасности. Ниже положе-

ния этого стандарта будут рассмотрены подробнее.

170

5.4.2. Российское законодательство

в области информационной безопасности

Основным законом Российской Федерации является Конституция,

принятая 12 декабря 1993 года. В соответствии со статьей 24 Конститу-

ции, органы государственной власти и органы местного самоуправления,

их должностные лица обязаны обеспечить каждому возможность озна-

комления с документами и материалами, непосредственно затрагивающи-

ми его права и свободы, если иное не предусмотрено законом.

Статья 23 Конституции гарантирует право на личную и семейную

тайну, на тайну переписки, телефонных переговоров, почтовых, телеграф-

ных и иных сообщений, статья 29 – право свободно искать, получать,

передавать, производить и распространять информацию любым законным

способом. Современная интерпретация этих положений включает обеспе-

чение конфиденциальности данных, в том числе в процессе их передачи

по компьютерным сетям, а также доступ к средствам защиты информации.

Статья 41 гарантирует право на знание фактов и обстоятельств, соз-

дающих угрозу для жизни и здоровья людей, статья 42 – право на знание

достоверной информации о состоянии окружающей среды.

Отметим, что право на информацию может реализовываться средствами

бумажных технологий, но в современных условиях наиболее практичным

и удобным для граждан является создание соответствующими законода-

тельными, исполнительными и судебными органами информационных

серверов и поддержание доступности, актуальности и целостности, пред-

ставленных на них сведений, то есть обеспечение их (серверов) информа-

ционной безопасности.

В сентябре 2001 г. президент Российской Федерации В.В.Путин ут-

вердил «Доктрину информационной безопасности». Какую роль она сыг-

рает в развитии отечественных информационных технологий и средств

защиты информации?

Информационные технологии – бурно и динамично развивающаяся

отрасль мирового хозяйства. Объем рынка информационной продукции

составляет более 2-х триллионов долларов США, что сопоставимо с биз-

несом в сферах топлива и энергетики, автомобилестроения. Серьезную

опасность для России представляют стремления ряда стран к доминиро-

ванию в мировом информационном пространстве, вытеснению России с

внутреннего и внешнего рынка информационных услуг, разработка ря-

дом государств концепций «информационных войн». Такие концепции

предусматривают создание средств воздействия на информационные

сферы других стран мира, нарушение нормального функционирования

информационных и телекоммуникационных систем, а также сохранности

171

информационных ресурсов, получение несанкционированного доступа к

ним.

«Доктрина информационной безопасности» закладывает основы ин-

формационной политики государства. С учетом существующих угроз для

защиты национальных интересов России государство планирует активно

развивать отечественную индустрию средств информации, коммуникации

и связи с последующим выходом продукции на мировой рынок, обеспечи-

вать гарантии безопасности для национальных информационных и теле-

коммуникационных систем и защиту государственных секретов с помо-

щью соответствующих технических средств. Одновременно предусматри-

вается повышать эффективность информационного обеспечения деятель-

ности государства.

Принятие этого документа ставит в повестку дня и вопрос о необхо-

димости совершенствования российского законодательства. К примеру,

речь идет о принятии законов, касающихся пресечения компьютерной

преступности.

Перечислим некоторые основополагающие законы и нормативные ак-

ты Российской Федерации в области информационной безопасности:

1. Закон РФ « О государственной тайне» от 21.7.93 г. № 5485-1.

2. Закон РФ «О коммерческой тайне» (версия 28.12.94 г.).

3. Закон РФ «Об информации, информатизации и защите информа-

ции» от 25.1.95 г.

4. Закон РФ «О персональных данных» (версия 20.02.95 г.).

5. Закон РФ «О федеральных органах правительственной связи и ин-

формации» от 19.2.93 г. № 4524-1.

6. Положение о государственной системе защиты информации в Рос-

сийской Федерации от ИТР и от утечки по техническим каналам (Поста-

новление Правительства РФ от 15.9.93 г. № 912-51).

7. Положение о Государственной технической комиссии при Прези-

денте Российской Федерации (Гостехкомиссии России). Распоряжение

Президента Российской Федерации от 28.12.92 г. № 829-рпс.

В Гражданском кодексе Российской Федерации (редакция от 15 мая

2001 года) фигурируют такие понятия, как банковская, коммерческая и

служебная тайна. Согласно статье 139, «информация составляет служеб-

ную или коммерческую тайну в случае, когда информация имеет действи-

тельную или потенциальную коммерческую ценность в силу неизвестнос-

ти ее третьим лицам, к ней нет свободного доступа на законном основании

и обладатель информации принимает меры к охране ее конфиденциально-

сти». Это подразумевает, как минимум, компетентность в вопросах ИБ и

наличие доступных (и законных) средств обеспечения конфиденциально-

сти.