Игнатьев В.А. Информационная безопасность современного коммерческого предприятия

Подождите немного. Документ загружается.

тический методы анализа и т.д. При анализе содержания ска-

нируются тексты писем на предмет наличия там определенных

слов и словосочетаний, при лингвистическом анализе проверяется

само тело письма, его структура, а не содержание. Известные

методы борьбы со спамом фокусируются на отдельных аспектах,

таких как блокирование сообщений, ис ходящих из определенного

адреса или содержащих определенные слова в строке subject.

Однако спамеры нашли множество обходных путей и сегодня

борцы со спамом рассматривают возможность применения

методов статистическрго анализа. Крупные архивы почтового

«мусора» можно использовать для поиска свойств и особенностей

спама, а затем применять эти данные для анализа входящей

почты. Такие методы фильтрации помогут справиться с ошибочной

отбраковкой, которая приводит к тому, что спамом по ошибке

признаются нормальные письма.

Однако при применении спам-фильтров возникает два воп-

роса. Первый: а не нарушаются ли права получателей спама при

использовании спам-фильтров, так как при их применении

происходят действия, которые также явно нарушают кон-

ституционные права граждан на личную и семейную тайну, тайну

переписки, телефонных переговоров, почтовых телеграфных и

иных сообщений? Второй: а не нарушат ли их применение

провайдерами и пользователями, как корпоративными, так и

частными, прав спамеров как отправителей почтовых сообщений,

установленных п. 2 ст. 23 Конститу ции РФ: «Каждый имеет право

на тайну переписки, телефонных переговоров, почтовых,

телеграфных и иных сообщений. Ограничение этого права

допускается только на основании судебного решения.», п. 1. ст. 24

Конституции РФ: «Сбор, хранение, использование и

распространение информации о частной жизни лица без его

согласия не допускаются», п. 4, с т. 29 Конституции РФ: «Каждый

имеет право свободно ис кать, получать, передавать, производить и

распространять информацию любым законным способом».

При ответе на первый вопрос следует разделить две ситуации:

- провайдер фильтрует на спам почту своих пользователей

при получении;

- организация ставит сетевые фильтры для проверки на спам

почты своих сотрудников.

При фильтрации почты пользователей провайдером следует

обратиться к договору между провайдером и пользовате лем: если

в этом договоре пользователь давал свое согласие на защиту от

спама таким образом, значит, провайдер не нару шает его

конституционных прав, если же такого пункта нет, зн ачит, действия

провайдера подпадают под с т. 138 УК РФ как прямое нарушение

положений ст. 32 Закона «О связи».

В ситуации, когда организация ставит сетевые фильтры и

просматривает почту своих сотрудников, между ней и работником

должно существовать соглашение, посредством которого

работника уведомляют и получают его согласие на филь трацию

почты. Более того, корпоративные адреса электрон ной почты

принадлежат организации, и работник должен четко представлять,

что личную переписку следует вести по лич ному адресу

электронной почты. Если же пользователь сам устанавливает

фильтры, то, очевидно, что он сам принимает решение о

фильтрации почты.

При ответе на второй вопрос следует учесть, что злоупот-

реблять правом на «поиск, получение, передачу, производ ство и

распространение информации», равно как и правом на тайну

переписки, телефонных переговоров, почтовых, теле графных и

иных сообщений нельзя. Конституция РФ, Граж данский и

Уголовный Кодексы, Федеральный закон «О перечне сведений,

составляющих государственную тайну» и другие законодательные

акты вводят ограничения на его реализацию. Согласно

российскому законодательству, ограничения начинают

действовать, когда информация касается личной жизни граждан,

безопасности государства, сведений, состав ляющих коммерческую

тайну и т.д. Вводя некоторые ограничения на «поиск, получение,

передачу, производство и распространение информации»,

государство соблюдает баланс интересов различных членов

общества, что и является одной из важнейших задач правового

государства.

Однако возникает вопрос, а не нарушается ли провайдера ми,

чьими пользователями являются спамеры, их (спамеров) право на

тайну переписки, телефонных переговоров, почтовых телеграфных

и иных сообщений, что подпадает под действие уголовного

законодательства (ст. 138, УК РФ), а также право на

неприкосновенность частной жизни (ст. 137 УК РФ)?

Составы преступлений из ст. 137 УК РФ образуются толь ко в

том случае, если лицо, которому принадлежит информа ция, не

давало согласие на ознакомление с ней других лиц (в данном

случае - провайдера). Если при заключении договора с

провайдером, лицо приняло на себя обязательство не осу-

ществлять действий, перечисленных в Общих нормах пользо вания

сетью, и дало согласие на фильтрацию своих сообщений на

предмет того, не являются ли они спамом, представляется, что

здесь нет оснований для привлечения провайдера к

ответственности. Поэтому провайдерам настоятельно реко-

мендуется включать в свои договоры с пользователями соот-

ветствующие пункты. А вот легитимность публикации про-

вайдерами адресов спамеров, являвшихся их пользователями,

если это опять-таки не было предусмотрено в договоре между

провайдером и пользователем и последний не выразил своего

согласия с этим, находится под большим вопросом.

Что касается того, не являются ли спам-фильтры специ-

альными техническими средствами несанкционированного сбора

информации, то сегодня действующим законодатель ством к таким

средствам относятся приборы, а насчет про граммных средств,

наше законодательство умалчивает, следовательно, по мнению

специалистов, пока их применение легитимно.

Проблема спама не надумана, как считают некоторые наши

законодатели: она ставится все острее, как, впрочем, и боль-

шинство проблем, связанных с правовым регулированием Сети.

Основная причина всех нарушений в этой области - практически

полное отсутствие законодательного регулирования как

российского сегмента сети в частности, так и всей Internet. Следует

либо не бояться применять к новым правоотношениям уже

действующие нормы права, либо создавать новые, и чем скорее

это произойдет, тем быстрее разрешатся наиболее насущные

проблемы Internet-пространства, в том числе и проблема борьбы со

спамом.

Заключение

Ознакомившись с содержанием книги, читатель должен

понимать, что информация в современном мире является одним из

основных объектов устремлений как государственных спецслужб,

правоохранительных и контролирующих органов, так и конкурентов

и злоумышленников. Утечка корпоратив ной информации ведет к

наиболее значительным убыткам, а часто и к потере бизнеса.

Необходимо помнить, что шпионаж, в том числе и ком-

мерческий одно из древнейших ремесел человечества и за

историю своего развития он обогатился изощреннейшими

методиками, технологиями, наработками, правилами и пре вратился

в очень сложную и объемную науку, ибо он развивался

поступательно, накопительно, независимо от существовавших

общественно-экономических формаций. В последние годы в связи

с техническим прогрессом особое развитие полу чило хищение

информации с использованием научно-технических средств, в том

числе электронно-вычислительной тех ники.

Противостоять этому могут только высококвалифициро ванные

специалисты в области защиты информации, и толь ко те, которые

постоянно совершенствуются и повышают свой уровень. Надо

иметь в виду, что угрозы безопасности информации постоянно

меняются, модифицируются, поэтому необходимо постоянно

менять средства защиты. То, что предприятие находится в

безопасности сегодня, не значит, что оно будет находиться в

безопасности завтра. В постоянной борьбе зло добро всегда

впереди зло. В постоянной борьбе вирус-антивирус всегда впереди

на пол-шага вирус. И задача специалистов по информационной

безопасности сделать так, чтобы эти пол-шага были как можно

короче.

Приложение 1 Глоссарий

Access (доступ) - специальный тип взаимодействия между

субъектом и объектом, в результате которого создается поток

информации от одного к другому,

Access control (управление доступом, контроль доступа) -

процесс защиты данных и программ от их использования

объектами, не имеющими на это права.

В сетях для контроля доступа используются:

- фильтрующие маршрутизаторы, реализующие алгоритмы

анализа пакетов в части адресов отправления и назначения;

- фильтры пакетов, запрещающие установление соедине ний,

пересекающих границы защищаемой сети;

- шлюзы прикладных программ, проверяющие права доступа к

программам.

Access control mechanism (механизм контроля доступа) -

оборудование или программное обеспечение, процедуры системы,

процедуры администратора и их различные комбинации кото рые

обнаруживают, предотвращают несанкционированный доступ и

разрешают законный в автоматизированных системах.

Access level (уровень доступа) - иерархическая часть метки

уровня безопасности, используемая для идентификации

критичности данных или прозрачности субъектов. Уровень доступа

вместе с неиерархическими категориями составляет уровень

безопасности.

Access type (тип доступа) - сущность права доступа к опре-

деленному устройству, программе, файлу и т.д. (обычно read, write,

execute, append, modify, delete).

Accountability (подотчетность) - свойство системы, позво-

ляющее фикс ировать деятельность субъектов системы (от. subject)

и ассоциировать их с индивидуальными идентифика торами для

установления ответственности за определенные действия.

Active threat (активная угроза безопасности) - угроза на-

меренного несанкционированного изменения состояния авто-

матизированной системы.

Archive (архивное копирование) - процесс переноса копий

файлов на архивный носитель. Данные на этих носителях никогда

не стираются, а сами носители хранятся бессрочно. Периодическое

проведение архивирования позволит позже осуществлять доступ к

различным версиям файлов, сохраненным ранее в архиве.

Процедура восстановления данных из архива называется

разархивированием, или извлечением (retrieve).

Asset (ресурс) - в широком смысле это все, что представ ляет

ценность с точки зрения организации и является объек том защиты.

В узком смысле ресурс — часть информационной системы. В

прикладных методах анализа рисков обычно рассматриваться

следующие классы ресурсов:

- оборудование (физические ресурсы);

- информационные ресурсы (базы данных, файлы, все виды

документации);

- программное обеспечение (системное, прикладное, утилиты,

другие вспомогательные программы);

- сервис и поддерживающая инфраструктура (обслужива ние

СВТ, энергоснабжение, обеспечение климатических пара метров и

т.п.).

Assurance (гарантии) - мера доверия архитектуре и сред-

ствам обеспечения безопасности системы относительно коррек-

тности и аккуратности проведения политики безопасности.

Attack (атака) - попытка злоумышленника вызвать отклонения

от нормального протекания информационного процес са. Успех

атаки зависит от уязвимости и эффективности сис темы защиты.

Auditing (аудит) - в сетевых технологиях - стандартный

процесс защиты сети, отслеживающий операции пользователей.

Аудит:

- создает списки пользователей, обращавшихся к сетевым

ресурсам;

- фиксирует модификации паролей и параметров регистрации;

- выявляет несанкционированные действия.

Audit trail (системный журнал) - хронологически упорядо-

ченная совокупность записей результатов деятельности субъек тов

системы, достаточная для восстановления, просмотра и анализа

последовательности действий, окружающих или при» водящих к

выполнению операций, процедур или совершению событий при

транзакции с целью инспекции конечного результата.

Authenticate (аутентификация, проверка подлинности) -

проверка идентификации пользователя, устройства или дру гого

компонента в системе, обычно для принятия решения о

разрешении доступа к ресурсам системы.

Проверка целостности хранящихся или передающихся данных

для обнаружения их несанкционированной модифи кации.

Authorization (авторизация) - предоставление доступа

пользователю, программе или процессу.

Automated information system (AIS) - (автоматизированная

информационная система, АИС) совокупность программных и

аппаратных средств, предназначенных для создания, передачи,

обработки, распространения, хранения и/или уп равления данными

и информацией и производства вычислений.

Automated information system security (безопасность авто-

матизированной информационной системы) - совокупность мер

управления и контроля, защищающая APIS от отказа в об-

служивании и несанкционированного (умышленного или слу-

чайного) раскрытия, модификации или разрушения АЖС и данных.

Availability of data (доступность данных) - такое состояние

данных, когда они находятся в виде, необходимом пользо вателю; в

месте, необходимом пользователю, и в то время, когда они ему

необходимы.

Baseline Security (базовый уровень безопасности) -

уровень, соответствующий критериям ССТА Baseline Security

Survey. Обязательный минимальный уровень защищенности для

информационных систем государственных учреждений Великоб-

ритании.

Bella-LaPadula model (модель Белла-Лападула) - формаль-

ная автоматная модель политики безопасности, описыв ающая

множество правил управления доступом. В этой модели

компоненты системы делятся на объекты и субъекты. Вво дится

понятие безопасного состояния и доказывается, что если каждый

переход сохраняет безопасное состояние (то есть переводит

систему из безопасного состояния в безопасное), то согласно

принципу индукции система является безопасной. Состояние

системы считается безопасным, если в соответствии с политикой

безопасности субъектам разрешены только опре деленные типы

доступа к объектам (в том числе отсу тствие доступа). Для

определения, разрешен субъекту доступ к объек ту или нет, его

уровень прозрачности сравнивается с меткой объекта (уровнем

безопасности объекта) и для запрашиваемого типа доступа

принимается решение - разрешить доступ или нет.

Boot-sector virus (загрузочный вирус) - компьютерный вирус,

записывающийся в первый сектор гибкого или жесткого диска и

выполняющийся при загрузке компьютера.

Buffer (буфер) - область памяти для временного хранения

промежуточных данных. Бу фер реализуется программно или

аппаратно и используется для согласования скоростей обра ботки

при обмене информацией между быстро- и медленно-

действующими устройствами.

Clearance (уровень прозрачности) - максимальный уровень

безопасности, доступ к которому разрешен данному субъекту

правилами модели Белла-Лападула. Текущий уровень субъекта

(уровень, на котором он в данный момент выполняет операции) мо-

жет варьироваться от минимального до уровня прозрачности.

Computer virus (компьютерный вирус) - фрагмент испол-

няемого кода, который копирует себя в другую программу (главную

программу), модифицируя ее при этом. Дублируя себя, вирус

заражает другие программы. Вирус выполняется только при

запуске главной программы и вызывает ее непредсказуемое

поведение, приводящее к уничтожению и искажению данных и

программ.

Confidentiality (конфиденциальность) - содержание критич-

ной информации в секрете, доступ к ней ограничен узким крутом

пользователей (отдельных лиц или организаций).

Contingency plan (backup plan, recovery plan) (план обеспе-

чения непрерывной работы и восстановления функциониро-

вания, план ОНРВ) - план реагирования на опасные ситуа ции,

резервного копирования и последующих восстановитель ных

процедур, являющийся частью программы защиты и

обеспечивающий доступность основных ресурсов системы и

непрерывность обработки в кризисных ситуациях.

Cookie («пирожок») - текстовая строка с данными о поль-

зователе, возвращаемая веб-сервером при регистрации пользо-

вателя. При следующем посещении этот веб-узел автоматически

получает доступ к сведениям о пользователе. К числу этих

сведений относятся, например, имя пользователя, ад рес, номер

телефона, предпочтения при просмотре. Существу ет несколько

типов строк cookie, и обозреватель Internet Explorer 6.0 позволяет

разрешить использование любых файлов cookie, только некоторых

типов или вообще запретить их использование.

Covert channel (скрытый канал) - путь передачи информа-

ции, позволяющий двум взаимодействующим процессам об-

мениваться информацией таким способом, который наруша ет

системную политику безопасности.

Covert storage channel (скрытьш канал с памятью) -скрытый

канал, обеспечивающий прямую или косвенную запись в

пространство памяти одним процессом и чтение этой информации

другим процессом. Скрытый канал с памятью обычно связан с

использованием ресурсов ограниченного объема (например,

секторов на диске), которые разделяются двумя субъектами с

различными уровнями безопасности.

Covert timing channel (скрытый временной канал) - скрытый

канал, в котором один процесс передает информацию д ругому

посредством модуляции доступа к системным ресур сам (например,

времени занятости центрального процессора) таким образом, что

эта модуляция может распознаваться и детектироваться другим

процессом»

Cryptography (криптография) - принципы, средства и методы

преобразования информации к непонятному виду, а так же

восстановления информации к виду, пригодному для вос приятия.

Data archiving (архивирование данных) - сжатие и разме-

щение файлов данных для их длительного хранения во внеш ней

памяти.

Data holding (хранение данных) - процесс обеспечения це-

лостности, доступности и защищенности данных. Различают три

режима хранения данных:

1) хранение в оперативном режиме, основанное на исполь-

зовании постоянно доступных запоминающих устройств;

2) хранение в почти оперативном режиме, основанное на

использовании устройств, которые могут стать доступными

автоматически;

3) хранение в автономном режиме, основанное на исполь-

зовании устройств, носители данных в которые вставляются

вручную.

Data Integrity (целостность данных) - свойство, при вы-

полнении которого данные сохраняют заранее определенный вид и

качество.

Data management (управление данными) - процесс, свя-

занный с накоплением, организацией, запоминанием, обнов лением,

хранением данных и поиском информации.

Data security (безопасность данных) - защита данных от

несанкционированной (случайной или намеренной) модифи кации,

разрушения или раскрытия.

Data striping (распределение данных) - метод хранения

данных, при котором блоки файла размещаются на несколь ких

физических носителях в виде логически непрерывных областей.

При выполнении операций чтения-записи обращение происходит

одновременно к нескольким физическим носителям, что

значительно повышает пропускную способность системы.

Denial of service (отказ в обслуживании) - любое действие

или последовательность действий, которая приводит любую часть

системы к выходу из строя, при котором та перестают выполнять

свои функции. Причиной может быть несанкцио нированный доступ,

задержка в обслуживании и т.д.

Disk duplexing (зеркальное отображение дисков) - техно-

логия, при которой весь или часть жесткого диска дублируется на

другом жестком диске, подключенном к отдельному дисковому

контроллеру. Изменения на исходном диске сразу отражаются на

зеркальном диске. При сбое одного из дисков второй вступает в

работу автоматически.

Disk duplicating см. Disk duplexing.

Disk mirroring см. Disk duplexing.

Disk striping (чередование дисков) - технология хранения

данных, при которой данные делятся на блоки размером 64 Кб и

равномерно, в фиксированном соотношении и порядке

распределяются по дискам массива. Чередование дисков не

предусматривает избыточность данных и не обеспечивает от-

казоустойчивость системы хранения.

Discretionary access control (DAC) (избирательное управ-

ление доступом) - метод управления доступом субъектов сис темы

к. объектам, основанный на идентификации и опозна вании

пользователя, процесса и/или группы, к которой он принадлежит.

Управление является избирательным в том смысле, что субъект с

определенными правами может осущ ествлять передачу прав

любому объекту независимо от установленных ограничений (доступ

может быть осуществлен и не напрямую).

Domain (область) - уникальный контекст (например, пара-

метры контроля доступа) исполнения программы, множество

объектов, к которым субъект может иметь доступ. Имеет

иерархическую структуру.

Dongle (электронное устройство за щиты) - электронное

устройство в составе компьютера, предназначенное для за щиты

программ и данных от несанкционированного доступа. Электронное

устройство защиты выполняет функции замка, ответчика и т.п.

End-to-end encryption (оконечное, абонентское шифрова -

ние) - защита информации, передаваемой средствами теле-

коммуникаций криптографическими методами, непосредствен но

между отправителем и получателем.

Evaluated Products List EPL (Список апробированной про-

дукции) - список оборудования, аппаратуры и программного

обеспечения, которое было оценено и признано соответствую щим

определенному классу, согласно стандарту Trusted Computer.