Вайнштейн Ю.В., Демин С.Л., Кирко И.Н. и др. Основы информационной безопасности

Подождите немного. Документ загружается.

судопроизводства, а также служебная информация о деятельности органов

следствия и судопроизводства, доступ к которой ограничен федеральным

законом или в силу служебной необходимости.

Служебная тайна – защищаемая по закону конфиденциальная

информация, ставшая известной в государственных органах и органах

местного самоуправления только на законных основаниях и в силу

исполнения их представителями служебных обязанностей, а также

служебная информация о деятельности государственных органов, доступ к

которой ограничен федеральным законом или в силу служебной

необходимости.

Профессиональная тайна – сведения, связанные с профессиональной

деятельностью, доступ к которым ограничен в соответствии с Конституцией

РФ и федеральными законами (врачебная, нотариальная, адвокатская тайна,

тайна переписки, телефонных переговоров, почтовых отправлений,

телеграфных или иных сообщений, банковская и так далее).

Коммерческая тайна – научно-техническая, технологическая,

коммерческая, организационная или иная используемая в экономической

деятельности информация, имеющая действительную потенциальную

коммерческую ценность в силу ее неизвестности третьим лицам, к которой

нет свободного доступа на законном основании и по отношению к которой

принимаются адекватные ее ценности меры охраны.

Тайна изобретения, полезной модели или промышленного образца –

сведения о сущности изобретения, полезной модели или промышленного

образца до официальной публикации информации о них.

В ряде случаев нет четкой границы между классификационными

группами информации ограниченного доступа. Так, например, сведения,

составляющие коммерческую тайну фирмы, при передаче их в органы

государственной власти становятся в тоже время служебной тайной этих

органов. Персональные данные при передаче их в органы государственной

власти также становятся в тоже время служебной тайной этих органов.

Информация, составляющая личную тайну, в медицинских учреждениях

становится врачебной тайной

Можно выделить первичные и вторичные виды тайн. К первичным

видам тайн относятся личная, коммерческая, государственная тайны. Все

остальные виды тайн вторичные, возникающие при передаче первичных тайн

другим обладателям или пользователям.

Согласно законодательству обязательными признаками информации с

ограниченным доступом должны быть:

1. Информация имеет действительную или потенциальную ценность для ее

обладателя в силу неизвестности ее третьим лицам. Такими лицами могут

быть государство, юридические или и физические лица.

2. К информации нет свободного доступа на законном основании.

Возможность сохранения ее неизвестной для третьих лиц установлена

законом.

3. Обладатель информации принимает меры по ее защите.

При этом к государственной тайне относятся сведения,

удовлетворяющие следующим признакам:

1. Сведения в строго установленных сферах деятельности государства

(военной, внешнеполитической, экономической, разведывательной,

контрразведывательной и оперативно-розыскной деятельности) и ни в каких

других;

2. Сведения, не известные широкому, точнее – неопределенному

неконтролируемому кругу лиц, и, представляющие ценность именно в силу

такой неизвестности;

3. Сведения, распространение которых может нанести ущерб безопасности

РФ. Следует подчеркнуть, что распространение этих сведений наносит ущерб

не отдельных физических или юридических лиц, а государства в целом. При

этом величина ущерба такова, что влияет на безопасность государства;

4. Сведения, относительно которых предпринимаются специальные меры

защиты, направленные на предотвращение их неконтролируемого

распространения.

Федеральный Закон РФ «Об информации, информационных

технологиях и защите информации» (ст. 9) указывает, что режим защиты

информации устанавливается:

- в отношении сведений, отнесенных к государственной тайне –

уполномоченными органами на основании Закона РФ «О государственной

тайне»;

- в отношении конфиденциальной информации – обладателем

информационных ресурсов или уполномоченным им лицом на основании

Федерального Закона и (или) по решению суда;

- в отношении персональных данных – Федеральным Законом.

Организации, оперирующие информацией с ограниченным доступом

от имени государства, создают специальные службы, обеспечивающие

защиту данной информации.

1.4. Национальные интересы в информационной сфере и обеспечение их

безопасности

Национальные интересы представляют собой признанную

государством сбалансированную совокупность социальных интересов

индивида как личности, интересов общества и государства, включая их

интересы в сохранении национальной идентичности, реализация которой,

обеспеченная правом, служит гарантией существования, безопасности и

устойчивого развития нации в конкретных исторических условиях.

Информационная сфера представляет собой совокупность информации и

информационной инфраструктуры.

Национальные интересы в информационной сфере определяются

прежде всего той ролью, которую играет информация, информационная

инфраструктура в обеспечении устойчивого развития нации в конкретных

исторических условиях, а также в сохранении национальной идентичности.

Эти интересы образуются сбалансированной совокупностью социальных

интересов индивида как личности, интересов общества и государства,

реализуемых в информационной сфере.

Социальные интересы личности в демократическом обществе

направлены прежде всего на свободу распространения своих убеждений,

интеллектуального творчества, сохранение в неприкосновенности своего

внутреннего мира, свободу самовыражения и самосовершенствования,

свободу общения с другими людьми, защиту своей свободы от ее

ограничения другими людьми, общественными организациями и

государством. Интересы общества направлены на использование

информационной сферы для обеспечения устойчивого развития общества.

Интересы ГМУ – на повышение эффективности использования

информационной сферы для выполнения функций управления делами

общества. Эти интересы обеспечиваются поддержанием определенного

правового статуса личности, институциональных образований общества и

органов ГМУ.

Под угрозами национальным интересам понимается совокупность

условий и факторов, препятствующих реализации национальных интересов

страны, создающих опасность национальным ценностям и национальному

образу жизни [6, с.17].

Информационная безопасность представляет собой состояние

защищенности национальных интересов в информационной сфере от угроз

внутреннего и внешнего характера, а обеспечение информационной

безопасности есть совокупность деятельности по недопущению вреда

реализации национальных интересов в информационной сфере и средств ее

осуществления.

Контрольные вопросы

1. Сформулируйте различие между политикой безопасности и механизмами

безопасности. Каким образом, по вашему мнению, это различие может

отразиться на времени их использования в первоначальном виде?

2. В чем причины того, что большинство вычислительных систем имеет

слабости, которые оставляют систему открытой для нападения?

3. Дайте определение понятию «общество». Какие сферы общественной

жизни нуждаются в контроле и защите согласно Закону РФ «О

безопасности»?

4. Рассмотрим шифр с секретным ключом, представляющий собой матрицу

33  33, заголовки столбцов и строк которой содержат символы АБВ…Я.

Открытый текст шифруется по два символа. Первый символ указывает

столбец, а второй – строку. В ячейке матрицы на пересечении столбца и

строки содержатся два символа зашифрованного текста. Какие правила

должны выполняться для этой матрицы? Сколько возможно ключей у такого

шифра?

5. Дайте определение понятию «государственное и муниципальное

управление (ГМУ)». Какие особенности позволяют выделить два уровня

управления – федеральный и региональный? Что их объединяет с

информационной точки зрения?

6. В чем состоит угроза устойчивого развития в сфере ГМУ? Решение каких

задач позволяет ее преодолеть?

7. Какие шаги, по вашему мнению, необходимо предпринять, чтобы

обеспечить создание информационных ресурсов субъекта управления?

8. Перечислите виды систем информационного обеспечения органов ГМУ.

9. Каким требованиям должна отвечать система, обеспечивающая

эффективные информационные процессы?

10. Раскройте содержание понятия «эффективное руководство и контроль за

обработкой и передачей информации».

11. Почему нельзя достичь целей защиты информационных ресурсов

субъекта от несанкционированного использования, разрушения и иного

информационного воздействия, представляющего угрозу устойчивому

развитию субъекта, без решения предшествующих задач?

12. Перечислите компоненты, образующие информационную сферу.

13. Дайте определение защищаемой информации. Почему нельзя защитить

всю информацию?

14. Общеизвестно, что информация размещается на носителях (твердых

копиях, дисках, компьютерах и т.п.). Почему нельзя ограничить задачу

защиты информации только защитой носителей информации?

15. Перечислите виды информации с ограниченным доступом (ИОД).

16. Перечислите обязательные признаки информации с ограниченным

доступом.

17. По какому признаку разделяется ИОД на первичные и вторичные виды

тайн?

18. Какими признаками обладает информация, относящаяся к

государственной тайне?

19. Отсутствие эха при вводе пароля безопаснее, чем вывод эха в виде

звездочек вместо каждого символа, так как последний вариант позволяет

определить длину пароля любому, кто окажется рядом с экраном.

Предположим, что пароль состоит только из латинских букв в верхнем и

нижнем регистре и цифр, а длина его – от 5 до 8 знаков, то насколько

безопаснее вообще ничего не отображать?

20. Определите понятие «нация».

21. Что образует национальные интересы, и что является гарантией их

достижения?

22. В чем состоят интересы государства в информационной сфере?

23. Что определяет безопасность национальных интересов в информационной

сфере?

24. Рассмотрим следующий способ шифрования файла. Для алгоритма

шифрования используются два n-байтовых массива, A и B. Первые n байтов

считываются из файла в массив A. Затем A[0] копируется в B[i], A[1]

копируется в B[j], A[2] копируется в B[k] и т.д. После того как все n байтов

скопированы в массив B, этот массив записывается в выходной файл, после

чего в массив A считываются следующие n байтов. Эта процедура

повторяется до тех пор, пока не будет зашифрован весь файл. В данной схеме

шифрования символы не заменяются одни другими, а меняются местами.

Сколько ключей следует перебрать, чтобы путем полного перебора взломать

данный шифр? Укажите преимущество данной схемы перед

моноалфавитным перестановочным шифром.

ГЛАВА 2. ОСНОВЫ ПОЛЬЗОВАНИЯ КОНФИДЕНЦИАЛЬНОЙ

ИНФОРМАЦИЕЙ

2.1. Перечень сведений конфиденциального характера

Конфиденциальная информация достаточно широкое понятие,

поскольку к этой категории (за исключением сведений, относящихся к

государственной тайне) относятся все виды информации ограниченного

доступа, защищаемой законом.

При се использовании должностные лица органов ГМУ и организаций

всех форм собственности должны действовать в интересах своих структур,

принимая все необходимые меры по охране конфиденциальности

информации, отнесенной к таковой на законном основании и доступной им в

силу служебного положения.

Процедура и условия пользования конфиденциальной информацией в

ходе хозяйственного взаимодействия определяются соглашением

контрагентов. При этом, если сторона в силу исполнения своего

обязательства по договору получила от другой стороны конфиденциальную

информацию, в том числе и не защищаемую законом, она не вправе

сообщать ее третьим лицам без согласия другой стороны.

Конфиденциальная информация, предоставленная органами ГМУ,

предприятиями, учреждениями, организациями и гражданами в соответствии

с действующим порядком, должна использоваться исключительно по

целевому назначению. Такая информация, утечка которой способна нанести

ущерб правам и законным интересам, не должна разглашаться и

использоваться в личных интересах, а также передаваться третьим лицам, за

исключением случаев, предусмотренных законодательными актами РФ.

Также ревизионные и контролирующие органы обязаны принимать

меры к охране конфиденциальной информации, ставшей им известной при

проведении проверок.

В соответствии с Указом Президента РФ от 6 марта 1997 г. № 188 «Об

утверждении перечня сведений конфиденциального характера» к этим

сведениям относятся:

 сведения о фактах, событиях и обстоятельствах частной жизни

гражданина, позволяющие идентифицировать его личность (персональные

данные), за исключением сведений, подлежащих распространению в

средствах массовой информации в установленных федеральными законами

случаях;

 сведения, составляющие тайну следствия и судопроизводства;

 служебные сведения, доступ к которым ограничен органами

государственной власти в соответствии с Гражданским кодексом РФ и

федеральными законами (служебная тайна):

 сведения, связанные с коммерческой деятельностью, доступ к которым

ограничен в соответствии с Конституцией РФ и федеральными законами

(врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных

переговоров, почтовых отправлений, телеграфных или иных сообщений и так

далее);

 сведения, связанные с коммерческой деятельностью, доступ к которым

ограничен в соответствии с Гражданским кодексом РФ и федеральными

законами (коммерческая тайна);

 сведения о сущности изобретения, полезной модели или промышленного

образца до официальной публикации информации о них.

Расширительному толкованию этот перечень не подлежит. Поэтому

произвольное отнесение кем-либо к разряду конфиденциальной другой, не

предусмотренной перечнем, информации не влечет за собой правовых

последствий. Более того, Федеральным законом от 27 июля 2006 года № 149-

ФЗ «Об информации, информационных технологиях и защите информации»

не может быть ограничен доступ:

– к нормативным правовым актам, затрагивающим права, свободы и

обязанности человека и гражданина, а также устанавливающим правовое

положение организаций и полномочия государственных органов, органов

местного самоуправления;

– к информации о состоянии окружающей среды;

– к информации о деятельности государственных органов и органов

местного самоуправления, а также об использовании бюджетных средств (за

исключением сведений, составляющих государственную или служебную

тайну); к информации, накапливаемой в открытых фондах библиотек, музеев

и архивов, а также в государственных, муниципальных и иных

информационных системах, созданных или предназначенных для

обеспечения граждан (физических лиц) и организаций такой информацией;

– к иной информации, недопустимость ограничения доступа к которой

установлена федеральными законами.

Отнесение информации к конфиденциальной осуществляется в

порядке, установленном законодательством РФ.

Лицензирование деятельности по технической защите

конфиденциальной информации осуществляет Федеральная служба по

техническому и экспортному контролю Российской Федерации (ФСТЭК).

Под технической защитой конфиденциальной информации

понимается комплекс мероприятий и (или) услуг по защите ее от

несанкционированного доступа, в том числе и по техническим каналам, а

также от специальных воздействий на нее в целях уничтожения, искажения

или блокирования доступа к ней.

В соответствии с Положением «О лицензировании деятельности по

технической защите конфиденциальной информации» от 15. 08. 2006 г. №

504 лицензионными требованиями и условиями при осуществлении

деятельности по технической защите конфиденциальной информации

являются:

- наличие в штате соискателя лицензии (лицензиата) специалистов,

имеющих высшее профессиональное образование в области технической

защиты информации либо высшее или среднее профессиональное

(техническое) образование и прошедших переподготовку или повышение

квалификации по вопросам технической защиты информации;

- наличие у соискателя лицензии (лицензиата) помещений для

осуществления лицензируемой деятельности, соответствующих техническим

нормам и требованиям по технической защите информации, установленным

нормативными правовыми актами Российской Федерации, и принадлежащих

ему на праве собственности или на ином законном основании;

- наличие на любом законном основании производственного,

испытательного и контрольно-измерительного оборудования, прошедшего в

соответствии с законодательством Российской Федерации метрологическую

поверку (калибровку), маркирование и сертификацию;

- использование автоматизированных систем, обрабатывающих

конфиденциальную информацию, а также средств защиты такой

информации, прошедших процедуру оценки соответствия (аттестованных и

(или) сертифицированных по требованиям безопасности информации) в

соответствии с законодательством Российской Федерации;

- использование предназначенных для осуществления лицензируемой

деятельности программ для электронно-вычислительных машин и баз

данных на основании договора с их правообладателем;

- наличие нормативных правовых актов, нормативно-методических и

методических документов по вопросам технической защиты информации в

соответствии с перечнем, установленным Федеральной службой по

техническому и экспортному контролю.

2.2. Правовые основы предоставления сведений

конфиденциального характера

Органам ГМУ, учреждениям, предприятиям и организациям в процессе

своей деятельности приходится иметь дело с запросами сторонних

организаций о предоставлении какой-либо информации, в том числе

относящейся к категории конфиденциальной. Конфиденциальная

информация может запрашиваться с различной целью для: анализа и

создания собственных информационных массивов, контрольно-ревизионных

проверок, приобщения к материалам административных и уголовных дел и

так далее.

Исполнения таких запросов должно происходить в соответствии с

требованиями действующего законодательства, в частности Федерального

Закона от 27 июля 2006 года № 149-ФЗ «Об информации, информационных

технологиях и защите информации», нормативных актов Президента,

Правительства, министерств и ведомств.

В этом случае правомерно запрашивающие и получающие

информацию органы ГМУ получают правомочия обладателя информации в

пределах их полномочий, установленных соответствующими нормативными

правовыми актами.

Исполнению не подлежат запросы, поручения и просьбы о

предоставлении информации, не предусмотренные действующим

законодательством, совместными соглашениями и приказами или не

получившие подтверждения Госналогслужбы России. Действующее

законодательство предусматривает ответственность за нарушение режима и

правил предоставления информации