Игнатьев В.А. Информационная безопасность современного коммерческого предприятия

Подождите немного. Документ загружается.

Администраторам сетей, системным администраторам по -

вышение квалификации рекомендуется [65] начинать с ин-

тенсивных тренинговых курсов по безопасности компьютерных

сетей, на которых организуется не только большое коли чество

практических работ обучаемых на с тендах, моделирующих

реальные сети предприятий, но и в систематизирован ном виде по

специальной методике подаются знания, наиболее важные для

определенных категорий.

На следующем этапе обучения целесообразно пройти обу-

чение на практических курсах по безопасной настройке опе-

рационных систем и приложений, технологии и выбору раз личных

решений - межсетевых экранов, систем обнаружения атак и др. И

лишь затем обучаться работе с конкретными средствами защиты

информации. Именно такая схема обучения обеспечит наиболее

эффективную схему подготовки и повышения квалификации

специалистов по безопасности информационных технологий.

Специалисты в области информационной безопасности ис-

пытывают потребность в знаниях о новых технологиях и ре шениях,

в приобретении навыков применения новых средств защиты.

Связано это, прежде вс его, с практически ежеднев ным появлением

новых уязвимостей и угроз безопасности компьютерных сетей, и,

соответственно, методов, продуктов и решений в области защиты

информации.

В то же время, как показывают исследования, средняя

продолжительность рабочего дня специалиста по защите ин-

формации значительно превышает нормативную, а список реально

выполняемых им работ существенно шире перечня

функциональных обязанностей. При планировании работы

сотрудника, ответственного за информационную безопасность,

необходимо выделять специальное время для его самообразо-

вания, а также предусматривать в бюджете средства для еже-

годного повышения его квалификации в специализированных

учебных центрах.

Где лучше повышать квалификацию специалистам по защите

информации? Идеальный вариант - специализированные учебные

центры для «IT-безопасников», в которых сформированы

коллективы опытных специалистов в области за щиты информации,

разработчиков учебных курсов, владею щих методиками

интенсивного обучения, а также имеется соответствующая

материальная база. Обучаться же работе с определенными

средствами защиты информации лучше в авторизованных учебных

центрах, а также в центрах, созданных производителями этих

средств.

Подготовка специалистов служб компьютерной безопасно сти,

обучение их способам построения комплексных систем защиты

информации, применения аппаратно-программных средств

защиты, становится приоритетным условием поддер жания

нормального функционирования как коммерческих, так и

государственных структур. Однако на текущий момент компании

продолжают констатировать дефицит высококласс ных

специалистов - «безопасников», причем не только в -российском,

но и в общемировом масштабе.

Очевидно, что эффективность работы сотрудников, обес-

печивающих безопасность информационных систем, напря мую

зависит от уровня их подготовки и наличия соответству ющего

опыта работы. Государственные и коммерческие струк туры активно

занимаются подготовкой и переподготовкой сотрудников,

занимающихся этой сферой деятельности.

Большинство специалистов [66] придерживается убежде ния,

что специалисты - «безопасники» должны проходить тренинги не

реже 2 раз в год, с тем чтобы поддерживать профессиональное

соответствие в условиях быстро развивающих ся информационных

технологий и - как следствие, усложняющихся методов

киберпреступности.

Хорошо подготовленный специалист в области информа-

ционной безопасности позволяет своей организации не толь ко

экономить значительные средства, благодаря рациональ ному

выбору средств защиты и полному использованию зало женных в

них возможностей, но и, в конечном счете, окупить инвестиции в

информационную безопасность за счет предотвращения

возможного ущерба бизнесу.

16.3 Обязанности специалиста по ИБ

Первое, с чего начинает, устроившись на работу, опытный

специалист по ИБ, выясняет круг своих обязанностей и четко

определяет их в трудовом договоре. Специалист по ИБ ни в коем

случае не должен выполнять функции системного администратора.

Хотя бы потому, что в кризисных ситуациях возникнет конфликт

расстановки приоритетов решения проблем. На пример, атака на

сеть предприятия привела к выходу из строя почтового сервера. За

какое дело хвататься быстрее: «поднимать» сервер или

предотвращать вторжение? Когда этим занимаются два разных

человека, такой дилеммы не возникает.

После трудоустройства специалисту по ИБ необходимо сразу

же решить целый ряд вопросов [13].

1) выявить источники потенциальных угроз. Это могут быть не

только классические уязвимости локальных вычислительных сетей

(ЛВС), но и беззащитные телефонные кабели, беспроводные

клавиатуры, мониторы, развернутые к окну, болтливые, халатные

или просто глупые работники. Принципиально важно понять, от

кого, от чего и на каком уровне вы собираетесь защитить свою

сеть. У каждого типа организации тут своя специфика.

2) согласовать с руководителем объем финансирования,

оценить убытки от возможного несанкционированного досту па к

информации или ее нежелательной модификации. Исходя из этого,

надо затем обозначить контролируемые объекты и ресурсы сети.

Защитить каждый узел порой бывает невозможно, да и не

требуется» Однако вы должны осознавать, что общая степень

защищенности равна степени защиты самого слабого участка

системы (сети).

3) установить рабочие группы пользователей и набор ми-

нимально необходимых прав для каждой из них. Идеальный

вариант: изначально на программно-аппаратном уровне зап-

рещается вообще все. Затем, по мере необходимости, отдельные

действия разрешаются. Тогда вы будете уверены, что никакие

неиспользуемые порты не открыты, никакие лиш ние службы, и

программы не работают.

4) определить действия сотрудников во время возникнове ния

нештатных ситуаций. Самый простой принцип «руки прочь от

клавиатуры»: лучшая помощь это когда не мешают.

Один в поле не воин. Даже целый отдел по информационной

безопасности может не справиться со своими задачами, если ему

не будут помогать (или, как минимум, не мешать) остальные

работники предприятия. Поэтому разработка административно-

правовых мер политики безопасности является третьей главной

задачей специалиста по ИБ, которую он осуществляет совместно с

руководителем, системным администратором и СЮ. Это основа

всей защиты.

Политика безопасности должна быть четко прописана в

руководящих документах, соответствовать современному уров ню,

быть обязательной для исполнения и предусматривать серьезные

взыскания за нарушения установленных правил. «Человеческий

фактор» всегда один из самых весомых и трудно контролируемых.

Вот почему крайне важно объяснить каждому сотруднику, что и

почему он не должен делать.

Выбор, установка и настройка программно-аппаратного

комплекса специальных средств защиты и поддержание его на

необходимом уровне тоже являются одной из главных задач

специалиста по информационной безопасности. Стоит напомнить,

что безопасность — зто процесс. Система защиты без постоянной

модернизации устаревает с момента установ ки и сама становится

источником угрозы. Иллюзия защиты даже хуже ее полного

отсутствия.

По данным независимых аналитических агентств, большин ство

отечественных компаний увеличили бюджеты на ИБ в пос ледние

годы. Это показывает, насколько возросло внимание к управлению

информационными рисками за последние несколько лет. Отчасти

это объясняется повышенным интересом к воп росам ИБ в связи со

значительно возросшими требованиями со стороны

государственных регулирующих органов и деловых партнеров.

Обстоятельства доказывают необходимость и своев ременность

роста затрат на ИБ, так как инциденты, связанные с нарушением

ИБ, становятся более частыми и более обременительными в

финансовом отношении. В кадровом аспекте это будет обозначать

даже не поиск готовых специалистов CISO (в связи с их

дефицитом). Вопрос заключается в затратах (временных,

денежных, организационных) на подготовку и «тюнинг»

профессионалов, способных отвечать за сохранность такого важ-

нейшего ресурса компании, как информация.

Глава 17 Правовые вопросы организации защиты

информации

Правовой элемент системы организации защиты информации

на предприятии основывается на нормах информаци онного права и

предполагает юридическое закрепление взаи моотношений фирмы

и государства по поводу правомерности использования системы

защиты информации, фирмы и персонала по поводу обязанности

персонала соблюдать установ ленные меры защитного характера,

ответственности персонала за нарушение порядка защиты

информации. Этот элемент включает [120]:

- наличие в организационных документах фирмы, прави лах

внутреннего трудового распорядка, трудовых контрак тах, в

должностных инструкциях положений и обязательств по защите

конфиденциальной информации;

- формулирование и доведение до сведения всех сотрудни ков

положения о правовой ответственности за разглашение

конфиденциальной информации, несанкционированное унич-

тожение или фальсификацию документов;

- разъяснение лицам, принимаемым на работу, положения о

добровольности принимаемых ими на себя ограничений, свя занных

с выполнением обязанностей по защите информации.

В числе основных подсистем защиты информации в пра вовом

плане можно считать [113]:

- установление на объекте режима конфиденциальности;

- разграничение доступа к информации;

- правовое обеспечение процесса защиты информации;

- четкое выделение конфиденциальной информации как

основного объекта защиты.

17.1 Стратегия развития законодательства в сфере

обеспечения ИБ

Доктрина информационной безопасности Российской Фе-

дерации, утвержденная Президентом Российской Федерации 9

сентября 2000 г. N Пр-1895, и конкретизирующие Основные

направления нормативного правового обеспечения ин-

формационной безопасности Российской Федерации, одобрен ные

на заседании Межведомственной комиссии Совета Безо пасности

Российской Федерации по информационной безопасности

(Решение № 5.4 от 27 ноября 2001 г.), создают концептуальную

основу для комплексного и взаимосвязанного раз вития

законодательства в сфере обеспечения информацион ной

безопасности.

Всемирная встреча на высшем уровне по вопросам инфор-

мационного общества, состоявшаяся 10-12 декабря 2003г. в

Женеве, определила приоритеты развития законодательства в

данной сфере.

План действий, принятый на Всемирной встрече, предус-

матривает, что к 2005 году все страны должны разработать

всеобъемлющие, перспективные и устойчивые национальные

электронные стратегии. Ведущая роль в этом процессе долж на

принадлежать органам государственного управления. Ча стный

сектор и гражданское общество, в диалоге с органами

государственного управления, должны сыграть важную кон-

сультативную роль в формировании национальн ых электронных

стратегий.

Укрепление доверия и безопасности при использовании

информационных и коммуникационных технологий (ИКТ) названо в

документах Всемирной встречи одним из ключе вых принципов

построения открытого информационного общества. При этом

информационная безопасность и безопас ность сетей (которые

рассматриваются как два самостоятель ных направления), вместе с

защитой неприкосновенности частной жизни и прав потребителей

составляют основу для доверия со стороны пользователей ИКТ.

Реализация указанного принципа предусматривает, в том

числе [15]:

а) укрепление доверия пользователей, повышение надеж ности

и защиты целостности данных и сетей связи; анализа

существующих и потенциальных угроз в области ИКТ и др.;

б) сотрудничество органов государственного управления с

частным сектором в целях предупреждения и обнаружения актов

киберпреступности и ненадлежащего использования ИКТ и

реагирования на эти проявления;

в)просвещение пользователей относительно неприкосно-

венности частной жизни при работе в онлайновом режиме и

способов ее защиты;

г) принятие необходимых мер на национальном и между-

народном уровнях для защиты от спама. Спам рассматрива ется как

самостоятельная и серьезная проблема для пользо вателей сетей и

в целом для Интернета;

д) проведение на национальном уровне оценки внутренне го

законодательства с целью ликвидации препятствий для

эффективного использования документов и осуществления сделок

в электронной форме, в том числе использования электронных

методов аутентификации;

е)обмен позитивным опытом в области информационной

безопасности и безопасности сетей и поощрение его использо-

вания всеми заинтересованными сторонами;

ж) назначение координаторов для реагирования в режиме

реального времени на происшествия в сфере безопасности и

объединение этих координаторов в открытую сеть для обме на

информацией и технологиями реагирования на происше ствия.

В литературе справедливо обращается внимание на пра вовые

аспекты защиты информации [9], которые могут воз никнуть при

недостаточно продуманном или злонамеренном использовании

электронно-вычислительной техники. К ним относятся:

1. Правовые вопросы защиты массивов информации от

искажений и установления юридической ответственности по

обеспечению сохранности информации.

2. Юридические и технические вопросы защиты хранящейся

информации от несанкционированного доступа к ней,

исключающие возможность неправомерного исполь зования ее.

3. Установление юридически закрепленных норм и мето дов

защиты авторских прав и приоритетов разработчиков программного

продукта.

4. Разработка мероприятий по приданию юридической силы

документам, выдаваемым машинами, и формирование

юридических норм, определяющих лиц, ответственных за

доброкачественность других документов.

5. Правовая защита интересов экспертов, передающих свои

знания в фонды банков данных.

6. Установление правовых норм и юридической ответствен-

ности за использование электронно-вычислительных средств в

личных интересах, противоречащих интересам других лич ностей и

общества и могущих нанести им вред.

В документах Всемирной встречи указывается на необ-

ходимость формирования, развития и внедрения глобаль ной

культуры кибербезопасности в сотрудничестве со все ми

заинтересованными сторонами и компетентными меж дународными

организациями. Это означает деятельность, направленную на

предотвращение возможности использования ИКТ в целях, которые

несовместимы с задачами обеспечения международной

стабильности и безопасности и способны оказать отрицательное

воздействие на целостность государственных инфраструктур,

нанося ущерб их безопасности, включая предотвращение

использования информационных ресурсов и технологий в

преступных и террорис тических целях.

Одним из элементов благоприятной среды для формирования

и существования информационного общества названо

верховенство права [15].

Таким образом, документы, принятые на Всемирной встре че,

вместе с Доктриной информационной безопасности Российской

Федерации определяют стратегию деятельности общества и

государства в деле обеспечения информационной безопасности,

включая перспективные задачи правового обеспечения этих

процессов. Упомянутые выше Основные направ ления

нормативного правового обеспечения информационной

безопасности Российской Федерации конкретизируют эти за дачи в

среднесрочной перспективе.

Из числа первоочередных мер по совершенствованию нор-

мативного правового обеспечения информационной безопас ности,

намеченных Основными направлениями нормативно го правового

обеспечения информационной безопасности Российской

Федерации, в течение последующего периода времени (2002-2003

гг.) приняты кодифицированные нормативные правовые акты,

отдельные положения которых составляют нормативную базу

информационной безопасности, в том чис ле: Гражданский

процессуальный кодекс Российской Федера ции, Арбитражный

процессуальный кодекс Российской Федерации, Трудовой кодекс

Российской Федерации, Кодекс Рос сийской Федерации об

административных правонарушениях, Уголовно-процессуальный

кодекс Российской Федерации, Гражданский кодекс Российской

Федерации (ч. 3).

Анализ практики правового регулирования в сфере обес-

печения информационной безопасности позволяет констати ровать,

что формирование правовой базы осуществляется не достаточно

интенсивно, бессистемно, без должного анализа практики

правоприменения и учета рекомендаций международных

организаций, членом которых является Россия.

Противоречивость и неразвитость правового регулирова ния

общественных отношений в информационной сфере при водят к

серьезным негативным последствиям:

- не обеспечивается эффективная реализация и защита

конституционных прав личности на неприкосновенность час тной

жизни, личную и семейную тайну, защиту чести и дос тоинства (на

это указывают масштабы неконтролируемого распространения баз,

содержащих персональные данные, рас пространение таких данных

в Интернете и т.п.);

- не созданы благоприятные условия для свободного и опе-

ративного доступа к информации органов государственной власти

и органов местного самоуправления, непосредственно зат-

рагивающей права и свободы личности, хотя начало положено

формированием сайтов органов исполнительной власти;

- не обеспечена защита прав участников электронной ком-

мерции, они работают на свой страх и риск, особенно велик этот

риск у покупателей;

- отсутствуют правовые механизмы противодействия ма-

нипулированию информацией, что проявляется, с одной сто роны, в

невозможности легко проверить достоверность предоставляемой

информации, а с другой стороны, в распространении средств и

методов манипулирования информацией, особенно в рамках

избирательных кампаний;

- увеличились масштабы нарушения прав интеллектуаль ной

собственности, что связано с развитием Интернета, слож ностью

контроля за использованием в Сети объектов интел лектуальной

собственности, распространением электронных библиотек,

деятельность которых не регулируется;

- отсутствует защита интересов государства и общества в

сфере использования государственных информационных ре сурсов,

не определены принципы отнесения информационных ресурсов к

государственным и к национальному достоянию, не обеспечен

беспрепятс твенный доступ к государственным ресурсам и порядок

их создания, развития, поддержания.

Информационное общество не может быть построено по

указанию свыше, это процесс, который требует деятельного

участия бизнеса и гражданского общества. Наблюдаются по-

зитивные изменения в позиции бизнеса по отношению к раз витию

законодательства, это проявилось в процессе обсужде ния проектов

федеральных законов «Об электронной цифро вой подписи», «О

связи», «О коммерческой тайне». Для того чтобы этот диалог не

прерывался, необходимо в разумных пределах сделать публичным

процесс подготовки законопроектов в сфере информационной

безопасности.

17.2 Законодательные основы защиты прав работника и

работодателя в процессе обеспечения ИБ предприятия

Несомненно, что сохранность сведений, являющихся

коммерческой тайной и конфиденциальной информацией,

составляет важную часть безопасности предприятия. В слу чаях

разглашения такой информации подчас под угрозой находится

экономическая стабильность и работоспособность организации.

Несомненно, что коммерческую тайну следует охранять. Ни

для кого не секрет, что большая часть «утечки» информа ции

происходит в результате разглашения конфиденциаль ных

сведений собственными сотрудниками предприятия (75 -80%), и

только остальные 20% составляет несанкционированный доступ

[63].

Следует заметить, что в базу сведений, составляющих кон-

фиденциальную информацию предприятия, согласно Трудо вому

кодексу РФ, включены и персональные данные работников,

относительно которых работодатель обязан предостав лять им

гарантии конфиденциальности и проводить мероприятия по

обеспечению их сохранности. За утечку информации,

составляющей персональные данные, работодатель несет

ответственность в соответствии с административным и уголовным

законами.

Бесспорно, что в высоком уровне информационной безо -

пасности заинтересован не только работодатель, но и работ ники.

Следовательно, главной целью при создании системы

информационной безопасности будет, в первую очередь, обес -

печение разумного баланса интересов работников и работода-

телей.

На сегодняшний день существуют различные технические

средства, в том числе программные, программно -аппаратные и

аппаратные, позволяющие контролировать информационные

потоки предприятия. Их большое количество, но остано вимся на

специальных технических средствах, предназначен ных для

негласного получения информации.

Многие предприятия, использующие IP-телефонию, оснащают

каналы связи специальным программным обеспечением и

аппаратными средствами, позволяющими вести запись и

прослушивание телефонных переговоров сотрудников. Со гласно

ФЗ «О лицензировании отдельных видов деятельности»,

деятельность по производству и ввозу специальных тех нических

средств подлежит обязательному лицензированию» Поэтому, если

организация разработала и установила подобные технические

средства, ей стоит подумать об ответственности по ч. 3 ст. 138 УК

РФ, согласно которой незаконные производство, сбыт или

приобретение в целях сбыта специальных технических средств,

предназначенных для негласного получения информации,

наказываются штрафом в размере от двухсот до пятисот

минимальных размеров оплаты труда, или в размере заработной

платы, или иного дохода осужденного за период от двух до пяти

месяцев, либо ограничением свободы на срок до трех лет, либо

лишением свободы на срок до трех лет, с лишением права

занимать определенные должности или заниматься определенной