Барабанова М.И., Кияев В.И. Информационные технологии: открытые системы, сети, безопасность в системах и сетях

Подождите немного. Документ загружается.

172

В Уголовном кодексе Российской Федерации (редакция от 14 марта

2002 года) глава 28 «Преступления в сфере компьютерной информации»

содержит три соответствующие статьи:

• статья 272 «Неправомерный доступ к компьютерной информации»;

• статья 273 «Создание, использование и распространение вредонос-

ных программ для ЭВМ»;

• статья 274 «Нарушение правил эксплуатации ЭВМ, системы ЭВМ

или их сети».

Первая из указанных статей подразумевает посягательства на конфи-

денциальность, вторая определяет действия с вредоносным ПО, третья – с

нарушениями доступности и целостности, повлекшими за собой уничто-

жение, блокирование или модификацию охраняемой законом информа-

ции. В свете бурного развития локальных, региональных, национальных и

всемирной сетей включение в сферу действия УК РФ вопросов доступно-

сти информационных сервисов является очень своевременным.

Статья 138 УК РФ, защищая конфиденциальность персональных дан-

ных, предусматривает наказание за нарушение тайны переписки, теле-

фонных переговоров, почтовых, телеграфных или иных сообщений. Ана-

логичную роль для банковской и коммерческой тайны играет статья 183

УК РФ.

Интересы государства в плане обеспечения конфиденциальности ин-

формации нашли наиболее полное выражение в Законе «О государствен-

ной тайне» (с изменениями и дополнениями от 6 октября 1997 года).

В нем государственная тайна определена как защищаемые государством

сведения в области его военной, внешнеполитической, экономической,

разведывательной, контрразведывательной и оперативно-розыскной дея-

тельности, распространение которых может нанести ущерб безопасности

Российской Федерации. Там же дается определение средств защиты ин-

формации. Согласно данному Закону, это технические, криптографиче-

ские, программные и другие средства, предназначенные для защиты све-

дений, составляющих государственную тайну; средства, в которых они

реализованы, а также средства контроля эффективности защиты инфор-

мации.

5.4.3. Закон «Об информации, информатизации

и защите информации»

Основополагающим среди российских законов, посвященных вопро-

сам информационной безопасности, следует считать Закон «Об информа-

ции, информатизации и защите информации» от 20 февраля 1995 года но-

мер 24-ФЗ (принят Государственной думой РФ 25 января 1995 года).

173

В нем даются основные определения и намечаются направления развития

законодательства в данной области.

Приведём примеры некоторых определений:

• информация – сведения о лицах, предметах, фактах, событиях, яв-

лениях и процессах независимо от формы их представления;

• документированная информация (документ) – зафиксированная на

материальном носителе информация с реквизитами, позволяющи-

ми ее идентифицировать;

• информационные процессы – процессы сбора, обработки, накопле-

ния, хранения, поиска и распространения информации;

• информационная система – организационно упорядоченная сово-

купность документов (массивов документов) и информационных

технологий, в том числе с использованием средств вычислительной

техники и связи, реализующих информационные процессы;

• информационные ресурсы – отдельные документы и отдельные

массивы документов, документы и массивы документов в инфор-

мационных системах (библиотеках, архивах, фондах, банках дан-

ных, других информационных системах);

• информация о гражданах (персональные данные) – сведения о фак-

тах, событиях и обстоятельствах жизни гражданина, позволяющие

идентифицировать его личность;

• конфиденциальная информация – документированная информация,

доступ к которой ограничивается в соответствии с законодательст-

вом Российской Федерации;

• пользователь (потребитель) информации – субъект, обращающий-

ся к информационной системе или посреднику за получением не-

обходимой ему информации и пользующийся ею.

Закон выделяет следующие цели защиты информации:

• предотвращение утечки, хищения, утраты, искажения, подделки

информации;

• предотвращение угроз безопасности личности, общества, государ-

ства;

• предотвращение несанкционированных действий по уничтожению,

модификации, искажению, копированию, блокированию информа-

ции;

• предотвращение других форм незаконного вмешательства в ин-

формационные ресурсы и информационные системы, обеспечение

правового режима документированной информации как объекта

собственности;

• защита конституционных прав граждан на сохранение личной тай-

ны и конфиденциальности персональных данных, имеющихся в

информационных системах;

174

• сохранение государственной тайны, конфиденциальности докумен-

тированной информации в соответствии с законодательством;

• обеспечение прав субъектов в информационных процессах и при

разработке, производстве и применении информационных систем,

технологий и средств их обеспечения.

Согласно Закону: «Защите подлежит любая документированная ин-

формация, неправомерное обращение с которой может нанести ущерб ее

собственнику, владельцу, пользователю и иному лицу». Далее: «Режим

защиты информации устанавливается:

• в отношении сведений, отнесенных к государственной тайне, –

уполномоченными органами на основании Закона Российской Фе-

дерации «О государственной тайне»;

• в отношении конфиденциальной документированной информа-

ции – собственником информационных ресурсов или уполномо-

ченным лицом на основании настоящего Федерального закона;

• в отношении персональных данных – Федеральным законом».

Обратим внимание, что защиту государственной тайны и персональ-

ных данных берет на себя государство; за другую конфиденциальную ин-

формацию отвечают ее собственники.

В качестве основного инструмента защиты информации Закон пред-

лагает мощные универсальные средства – лицензирование и сертифика-

цию (статья 19):

1. Информационные системы, базы и банки данных, предназначенные

для информационного обслуживания граждан и организаций, под-

лежат сертификации в порядке, установленном Законом Россий-

ской Федерации «О сертификации продукции и услуг».

2. Информационные системы органов государственной власти Рос-

сийской Федерации и органов государственной власти субъектов

Российской Федерации, других государственных органов, органи-

заций, которые обрабатывают документированную информацию с

ограниченным доступом, а также средства защиты этих систем

подлежат обязательной сертификации. Порядок сертификации оп-

ределяется законодательством Российской Федерации.

3. Организации, выполняющие работы в области проектирования,

производства средств защиты информации и обработки персональ-

ных данных, получают лицензии на этот вид деятельности. Поря-

док лицензирования определяется законодательством Российской

Федерации.

4. Интересы потребителя информации при использовании импортной

продукции в информационных системах защищаются таможенны-

ми органами Российской Федерации на основе международной

системы сертификации.

175

Еще несколько пунктов Закона (статья 22, пункты 2-5):

1. Владелец документов, массива документов, информационных сис-

тем обеспечивает уровень защиты информации в соответствии с

законодательством Российской Федерации.

2. Риск, связанный с использованием не сертифицированных инфор-

мационных систем и средств их обеспечения, лежит на собствен-

нике (владельце) этих систем и средств. Риск, связанный с исполь-

зованием информации, полученной из не сертифицированной сис-

темы, лежит на потребителе информации.

3. Собственник документов, массива документов, информационных

систем может обращаться в организации, осуществляющие серти-

фикацию средств защиты информационных систем и информаци-

онных ресурсов, для проведения анализа достаточности мер защи-

ты ресурсов собственника и систем и получения консультаций.

4. Владелец документов, массива документов, информационных сис-

тем обязан оповещать собственника информационных ресурсов и

(или) информационных систем обо всех фактах нарушения режима

защиты информации.

Статья 23 «Защита прав субъектов в сфере информационных процес-

сов и информатизации» (пункты 2-4):

1. Защита прав субъектов в указанной сфере осуществляется судом,

арбитражным судом, третейским судом с учетом специфики право-

нарушений и нанесенного ущерба. Очень важными являются пунк-

ты статьи 5, касающиеся юридической силы электронного доку-

мента и электронной цифровой подписи:

2. Юридическая сила документа, хранимого, обрабатываемого и пе-

редаваемого с помощью автоматизированных информационных и

телекоммуникационных систем, может подтверждаться электрон-

ной цифровой подписью. Юридическая сила электронной цифро-

вой подписи признается при наличии в автоматизированной ин-

формационной системе программно-технических средств, обеспе-

чивающих идентификацию подписи, и соблюдении установленного

режима их использования.

3. Право удостоверять идентичность электронной цифровой подписи

осуществляется на основании лицензии. Порядок выдачи лицензий

определяется законодательством Российской Федерации.

Таковы важнейшие, на наш взгляд, положения Закона «Об информа-

ции, информатизации и защите информации», касающиеся охраняемой

информации и информационной безопасности.

176

5.4.5. Другие законы и нормативные акты

Следующим законом, имеющим важное значение в сфере информа-

ционной безопасности, является Закон РФ «О лицензировании отдельных

видов деятельности» от 8 августа 2001 года № 128-ФЗ (Принят Государст-

венной думой 13 июля 2001 года).

Статья 17 Закона устанавливает перечень видов деятельности, на

осуществление которых требуются лицензии:

• распространение шифровальных (криптографических) средств;

• техническое обслуживание шифровальных (криптографических)

средств;

• предоставление услуг в области шифрования информации;

• разработка и производство шифровальных (криптографических)

средств, защищенных с использованием шифровальных (криптогра-

фических) средств информационных систем, телекоммуникацион-

ных систем;

• выдача сертификатов ключей электронных цифровых подписей, ре-

гистрация владельцев электронных цифровых подписей, оказание

услуг, связанных с использованием электронных цифровых подпи-

сей и подтверждением подлинности электронных цифровых подпи-

сей;

• выявление электронных устройств, предназначенных для негласного

получения информации, в помещениях и технических средствах (за

исключением случая, если указанная деятельность осуществляется

для обеспечения собственных нужд юридического лица или индиви-

дуального предпринимателя);

• разработка и (или) производство средств защиты конфиденциальной

информации;

• техническая защита конфиденциальной информации;

• разработка, производство, реализация и приобретение в целях про-

дажи специальных технических средств, предназначенных для не-

гласного получения информации, индивидуальными предпринима-

телями и юридическими лицами, осуществляющими предпринима-

тельскую деятельность.

Основными лицензирующими органами в области защиты информа-

ции являются Федеральное агентство правительственной связи и инфор-

мации (ФАПСИ) и Государственная техническая комиссия при Президен-

те РФ (Гостехкомиссия РФ). ФАПСИ ведает всем, что связано с крипто-

графией, Гостехкомиссия лицензирует деятельность по защите конфиден-

циальной информации. Эти же организации возглавляют работы по сер-

тификации средств соответствующей направленности. Кроме того, ввоз и

177

вывоз средств криптографической защиты информации (шифровальной

техники) и нормативно-технической документации к ней могут осуществ-

ляться исключительно на основании лицензии Министерства внешних

экономических связей Российской Федерации, выдаваемой на основании

решения ФАПСИ. Все эти вопросы регламентированы соответствующими

указами Президента и постановлениями Правительства РФ, которые мы

здесь перечислять не будем.

В эпоху глобальных коммуникаций важную роль играет Закон РФ

«Об участии в международном информационном обмене» от 4 июля 1996

года, № 85-ФЗ (принят Государственной думой 5 июня 1996 года). В нем,

как и в Законе «Об информации...», основным защитным средством явля-

ются лицензии и сертификаты.

Согласно пункту 2 статьи 9: «Защита конфиденциальной информации

государством распространяется только на ту деятельность по международ-

ному информационному обмену, которую осуществляют физические и юри-

дические лица, обладающие лицензией на работу с конфиденциальной ин-

формацией и использующие сертифицированные средства международного

информационного обмена. Выдача сертификатов и лицензий возлагается на

Комитет при Президенте Российской Федерации по политике информатиза-

ции, Государственную техническую комиссию при Президенте Российской

Федерации, Федеральное агентство правительственной связи и информации

при Президенте Российской Федерации. Порядок выдачи сертификатов и

лицензий устанавливается Правительством Российской Федерации».

Еще одна цитата из того же Закона – статья 17 «Сертификация ин-

формационных продуктов, информационных услуг, средств международ-

ного информационного обмена»:

1. «При ввозе информационных продуктов, информационных услуг в

Российскую Федерацию импортер представляет сертификат, гаран-

тирующий соответствие данных продуктов и услуг требованиям до-

говора. В случае невозможности сертификации ввозимых на терри-

торию Российской Федерации информационных продуктов, инфор-

мационных услуг ответственность за использование данных продук-

тов и услуг лежит на импортере.

2. Средства международного информационного обмена, которые обра-

батывают документированную информацию с ограниченным досту-

пом, а также средства защиты этих средств подлежат обязательной

сертификации.

3. Сертификация сетей связи производится в порядке, определяемом

Федеральным законом «О связи».

10 января 2002 года Президентом РФ был подписан чрезвычайно

важный Закон «Об электронной цифровой подписи», № 1-ФЗ (принят Го-

178

сударственной думой 13 декабря 2001 года), развивающий и конкретизи-

рующий приведенные выше положения Закона «Об информации...». Его

роль поясняется в статье 1.

1. Целью настоящего Федерального закона является обеспечение пра-

вовых условий использования электронной цифровой подписи в

электронных документах, при соблюдении которых электронная

цифровая подпись в электронном документе признается равнознач-

ной собственноручной подписи в документе на бумажном носителе.

2. Действие настоящего Федерального закона распространяется на

отношения, возникающие при совершении гражданско-правовых

сделок и в других предусмотренных законодательством Россий-

ской Федерации случаях. Действие настоящего Федерального за-

кона не распространяется на отношения, возникающие при исполь-

зовании иных аналогов собственноручной подписи.

Закон вводит следующие основные понятия:

• электронный документ;

• электронная цифровая подпись;

• владелец сертификата ключа подписи;

• средства электронной цифровой подписи;

• сертификат средств электронной цифровой подписи;

• закрытый ключ электронной цифровой подписи;

• сертификат ключа подписи;

• пользователь сертификата ключа подписи;

• информационная система общего пользования;

• корпоративная информационная система.

Согласно Закону, электронная цифровая подпись в электронном до-

кументе равнозначна собственноручной подписи в документе на бумаж-

ном носителе при одновременном соблюдении следующих условий:

• сертификат ключа подписи, относящийся к этой электронной циф-

ровой подписи, не утратил силу (действует) на момент проверки или

на момент подписания электронного документа при наличии доказа-

тельств, определяющих момент подписания;

• подтверждена подлинность электронной цифровой подписи в элек-

тронном документе;

• электронная цифровая подпись используется в соответствии со све-

дениями, указанными в сертификате ключа подписи.

Закон определяет сведения, которые должен содержать сертификат

ключа подписи:

• уникальный регистрационный номер сертификата ключа подписи,

даты начала и окончания срока действия сертификата ключа подпи-

си, находящегося в реестре удостоверяющего центра;

179

• фамилия, имя и отчество владельца сертификата ключа подписи или

псевдоним владельца. В случае использования псевдонима запись об

этом вносится удостоверяющим центром в сертификат ключа под-

писи;

• открытый ключ электронной цифровой подписи;

• наименование средств электронной цифровой подписи, с которыми

используется данный открытый ключ электронной цифровой подписи;

• наименование и местонахождение удостоверяющего центра, выдав-

шего сертификат ключа подписи;

• сведения об отношениях, при осуществлении которых элетронный

документ с электронной цифровой подписью будет иметь юридиче-

ское значение.

В заключение раздела отметим, что в области информационной безо-

пасности законы реально работают через нормативные документы, подго-

товленные соответствующими ведомствами. В этой связи очень важны

руководящие документы Гостехкомиссии РФ, определяющие требования

к классам защищенности средств вычислительной техники и автоматизи-

рованных систем. Особенно выделим утвержденный в июле 1997 года «Ру-

ководящий документ по межсетевым экранам», вводящий в официальную

сферу использования один из самых современных классов защитных

средств.

В современном мире глобальных сетей нормативно-правовая база

должна быть согласована с международной практикой. Особое внимание

следует обратить на то, что желательно привести российские стандарты и

сертификационные нормативы в соответствие с международным уровнем

информационных технологий вообще и информационной безопасности в

частности. Есть целый ряд оснований для того, чтобы это сделать. Одно из

них – необходимость защищенного взаимодействия с зарубежными орга-

низациями и зарубежными филиалами российских компаний, второе (бо-

лее существенное) – доминирование на современном этапе развития аппа-

ратно-программных продуктов зарубежного производства.

На законодательном уровне должен быть решен вопрос об отношении

к таким изделиям. Здесь необходимо выделить два аспекта: независимость

в области информационных технологий и информационную безопасность.

Использование зарубежных продуктов в некоторых критически важных

системах (в первую очередь, оборонных), в принципе, может представлять

угрозу национальной безопасности (в том числе информационной), по-

скольку нельзя исключить вероятности встраивания «закладных» элемен-

тов. В то же время в подавляющем большинстве случаев потенциальные

угрозы информационной безопасности носят исключительно внутренний

характер. В таких условиях незаконность использования зарубежных раз-

180

работок (ввиду сложностей с их сертификацией) при отсутствии отечест-

венных аналогов затрудняет (или вообще делает невозможной) защиту

информации без серьезных на то оснований.

Проблема сертификации аппаратно-программных продуктов зару-

бежного производства действительно сложна, однако, как показывает

опыт европейских стран, решить ее можно. Сложившаяся в Европе систе-

ма сертификации по требованиям информационной безопасности позво-

лила оценить операционные системы, системы управления базами данных

и другие разработки американских компаний. Вхождение России в эту

систему и участие российских специалистов в сертификационных испы-

таниях в состоянии снять имеющееся противоречие между независимо-

стью в области информационных технологий и информационной безопас-

ностью без какого-либо ущерба для национальной безопасности.

5.5. Основные аспекты построения системы

информационной безопасности

5.5.1. Ответственность в информационной сфере.

Управленческие и организационные меры

по обеспечению информационной безопасности

Вопросы ответственности в информационной сфере являются чрезвы-

чайно важными в реализации бизнес-целей предприятия. Поскольку эти

вопросы в такой постановке являются частью стратегии развития компа-

нии, то они, вне всякого сомнения, относятся к компетенции высшего ру-

ководства. Рассматривая вопросы ответственности, следует разделить их

реализацию в двух ключевых областях – во внешней среде предприятия и в

среде внутренней. Точно так же можно ввести два вида вопросов – ответст-

венность за нарушения ИБ и ответственность за реализацию вопросов ИБ в

различных областях информационной деятельности предприятия.

Регулирование ответственности нарушений информационной безо-

пасности во внешней среде с целью нанести вред владельцу информации, а

также вопросы взаимоотношений между различными субъектами – обла-

дателями информации – регулируются федеральными законами РФ, ре-

гиональными, муниципальными и пр. нормативными актами. Ответствен-

ность за причинение вреда и ответственность за реализацию мероприятий

по разработке, внедрению и использованию систем ИБ во внутренней сре-

де устанавливается, как правило, на базе действующего законодательства

РФ и страны, с которыми осуществляется бизнес, и внутренних корпоратив-

ных («локальных правоустанавливающих») документов. Первый вид ответ-

ственности рассмотрен выше в п. 5.4.

181

Ответственность второго вида (формирование и реализация вопросов

ИБ в различных областях информационной деятельности предприятия)

устанавливается обычно на уровне высшего руководства предприятия и

включает в себя следующий круг вопросов.

• формирование единой концепции и программы работ в области

информационной безопасности (ИБ);

• разработка многоуровневой политики ИБ и системы структурной и

персональной ответственности за её реализацию;

• обеспечение выполнения положений политики и программы реали-

зации ИБ;

• планирование и выделение необходимых ресурсов для системной

реализации ИБ;

• формирование структурных подразделений и служб ИБ;

• контроль и аудит текущего состояния системы ИБ.

Программа информационной безопасности

Управленческие аспекты разработки и реализации информационной

безопасности предполагают наличие совокупности организационных мер

в виде развернутой программы, которую целесообразно структурировать

по уровням, обычно в соответствии со структурой организации. В боль-

шинстве случаев достаточно двух уровней – верхнего (организационно-

управленческого), который охватывает всю организацию и корпоратив-

ную ИС, и нижнего (или сервисного), который относится к отдельным

подсистемам ИС и сервисам. Программу верхнего уровня формирует и

возглавляет лицо, отвечающее за информационную безопасность органи-

зации. Это, как правило, входят в обязанности руководителя ИТ-

подразделения (Chief Information Officer – CIO). Программа должна со-

держать следующие главные цели:

• стратегическое планирование в области развития информационной

безопасности;

• разработку и исполнение политики в области ИБ;

• оценка рисков и управление рисками;

• координация деятельности в области информационной безопасно-

сти: выбор эффективных средств защиты, их приобретение или

разработка, внедрение, эксплуатация, пополнение и распределение

ресурсов, обучение персонала;

• контроль деятельности в области ИБ.

В рамках программы верхнего уровня принимаются стратегические

решения по безопасности, оцениваются технологические новинки. Ин-

формационные технологии развиваются очень быстро, и необходимо

иметь четкую политику отслеживания и внедрения новых программных и

технических средств защиты.