Вайнштейн Ю.В., Демин С.Л., Кирко И.Н., Кучеров М.М., Сомова М.В. Основы информационной безопасности

Подождите немного. Документ загружается.

управления станет достоянием истории, на смену руководителям, погружен-

ным в текучку и сверхсекретность, придет менеджмент, инструментом кото-

рого станут технологии и системы ГМУ с рациональным разграничением

доступа к информации, на основе баланса интересов личности, общества и

государства в информационной сфере. Обобщение и систематизация научно-

методических материалов для подготовки новой генерации государственных

и муниципальных служащих, ориентированных на эффективное использова-

ние информационных ресурсов с ограниченным доступом, является задачей

настоящего учебного пособия. При этом особое значение приобретает кон-

фиденциальная информация, наиболее широко используемая сейчас, особен-

но в сфере муниципального управления.

Актуальность рассматриваемой темы обусловлена тем, что создание и

развитие информационных технологий и систем является ключевой пробле-

мой обеспечения устойчивого развития регионов и территорий местного са-

моуправления. Именно наличие необходимой и достаточной информации,

качество ее обработки и защиты во многом обусловливают эффективность

принятия и реализации управленческих решений в органах государственной и

муниципальной власти.

Настоящее пособие предназначено для студентов направления подго-

товки 090100 – «Информационная безопасность», а также аспирантов и мо-

лодых специалистов, интересующихся вопросами защиты информации.

ГЛАВА 1. ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ В СИСТЕМЕ

НАЦИОНАЛЬНОЙ БЕЗОПАСНОСТИ РОССИЙСКОЙ ФЕДЕРАЦИИ

1.1. Понятие информационной безопасности

Безопасность становится ключевым приоритетом, вследствие того, что

информатика и связь стали ключевыми факторами экономического и соци-

ального развития. В настоящее время информационные системы и информа-

ционно-телекоммуникационные сети поддерживают сервисы и переносят

данные в таких количествах, которые трудно было себе представить еще не-

сколько лет назад. Их готовность также необходима для работы других ин-

фраструктур, таких как коммунальные или электрические сети. Поскольку

существует повсеместный спрос на возможности, предоставляемые сетями

связи, со стороны предприятий, граждан, органов ГМУ, безопасность этих

систем становится необходимым условием их дальнейшего развития. В Док-

трине информационной безопасности Российской Федерации от 9 сентября

2000 года говорится: «Национальная безопасность РФ существенным обра-

зом зависит от обеспечения информационной безопасности, и в ходе техни-

ческого прогресса эта зависимость будет возрастать». Здесь следует опреде-

лить, что подразумевается под безопасностью. Компьютерная система может

быть, например, системой с совместным доступом, веб-сервером, банковской

системой или системой платного телевидения. Для каждого случая определе-

ние безопасности означает спецификацию политики безопасности, т.е. мно-

жества желаемых целей. Например, электронная система голосования должна

быть установлена таким образом, чтобы голосовать могли только зарегистри-

рованные избиратели, доступ к веб-серверу должен осуществляться только за

плату, только авторизованные пользователи должны подключаться к банков-

ской системе и т.д.

После того, как определены цели безопасности, необходимо установить

механизмы безопасности, т.е. средства, обеспечивающие достижение постав-

ленных целей. Например, процесс проверки зарегистрированных избирателей

должен гарантировать только их голосование. Протокол оплаты должен

обеспечивать регулярные платежи клиентов за доступ к веб-серверу. Пароли

должны давать доступ в сеть только авторизованным пользователям. Как

только запущены механизмы безопасности, они должны регулярно прове-

ряться, для того, чтобы выявить возможные уязвимые места, т.е. слабости,

которые оставляют систему открытой для нападения.

Большинство систем не являются защищенными. Враждебные стороны,

которые используют слабости системы для причинения вреда, рассматрива-

ются как угрозы. Объект безопасности – это то, что защищается от угроз. Он

во многом определяет содержание понятия «безопасность», обусловливая

возможные угрозы и характеристики состояния защищенности от угроз.

Безопасность объекта проявляется через безопасность его наиболее важных

свойств или свойств структурных составляющих. Если слабость выявлена, то

разрабатываются средства защиты или контрмеры по ее устранению. Если

объектом безопасности является человек, то его безопасность заключается в

защищенности от угроз ему, как живому организму, и угроз ему, как носите-

лю определенных психических и духовных качеств, т.е. личности. Если объ-

ектом безопасности является общество, т.е. общность людей на определен-

ной территории, характеризующаяся экономическим и духовным единством и

целостностью организации жизни [1, с.4], то его безопасность будет заклю-

чаться в защищенности от угроз его членов, а также исторически развиваю-

щейся системы отношений между людьми, проявляющейся в системе его со-

циальных институтов, включая государство как важный социальный институт

легитимной власти. Как уже отмечалось, безопасность объекта характеризу-

ется безопасностью его свойств. К числу таких свойств общества относится

наличие различных сфер общественной жизни. Соответственно, в содержа-

нии национальной безопасности различают государственную, экономиче-

скую, общественную, оборонную, информационную, экологическую и иную

безопасность

. Государственная безопасность имеет своим объектом состоя-

ние органов ГМУ, экономическая безопасность – экономику общества [2, с.

64], общественная безопасность – социальные институты [2, с. 61], экологи-

ческая безопасность – окружающую среду и человека [2, с. 64] и т.д.

Безопасность проявляется как противодействие на заданном уровне по-

пыткам нанести вред функционированию и свойствам объекта, либо его

структурных составляющих. Одной из важных структурных составляющих

Закон Российской Федерации «О безопасности», ст. 13.

многих объектов безопасности является информация или деятельность,

предметом которой является информация. Таким образом, информационная

безопасность государства заключается в способности государственных ин-

формационных систем или информационно-телекоммуникационных сетей к

противодействию на заданном доверительном уровне случайным происше-

ствиям или злонамеренным действиям нарушителей.

1.2. Задача устойчивого развития в информационной сфере

Обеспечение эффективного государственного и муниципального

управления (ГМУ) всегда имело первостепенное значение. В этой связи раз-

рабатывались разные концепции, методы и технологии управления, основой

которых неизменно являлась информация, значение которой все более воз-

растало, и успехи научно-технического прогресса в информатике и связи от-

крыли перспективу формирования информационного общества. Будучи об-

щегосударственной, информация включает в себя широкий спектр межотрас-

левых, отраслевых, региональных, муниципальных и даже международных

составляющих.

Государственное (муниципальное) управление – процесс выполнения

комплекса операций, ориентированных на достижение государственных (му-

ниципальных) целей, которые описываются на языке, отображающем желае-

мые состояния государства, отраслей, регионов и муниципальных образова-

ний. Функции органов ГМУ представляют собой совокупность логически

взаимоувязанных действий – операций, которые нацелены на достижение как

стратегических целей, так и обеспечивающих решение тактических задач.

Операции должны быть упорядочены по времени, последовательности их

выполнения и составу участников (органов власти, других юридических и

физических лиц).

Государственное и муниципальное управление в Российской Федера-

ции, прежде всего, имеет практический организационно-правовой смысл, вы-

ражающийся в форме осуществления исполнительной, законодательной и

судебной власти на федеральном (государственном) уровне и на региональ-

ном, местном (муниципальном) уровне управления. Часто при характеристи-

ке информационных отношений эти два уровня управления обозначают для

удобства как органы власти или управления, или же просто управление.

Принципиальных требований здесь не существует, т.к. информационные от-

ношения объединяют государственное и муниципальное управление в единое

целое. При отборе, поступлении, классификации, синтезе, хранении, обра-

ботке, использовании информации в сфере ГМУ получается замкнутый круг,

связывающий одновременно все уровни управления.

Основополагающей целью ГМУ является оптимальная организация и

структурирование жизни общества, что предполагает следующее:

− упорядочение общественной жизни и удовлетворение общественных ин-

тересов, достижение экономического благосостояния, построение и поддер-

жание определенной системы экономических отношений;

− вовлечение в управление всех политических сил в стране, поддержание

процессов в обществе и государстве, способствующих совершенствованию

государственных и общественных структур, развитию человека;

− обеспечение прав и свобод граждан, законности в обществе, общественно-

го порядка и безопасности, в т. ч. информационной;

− формирование правовой системы, способствующей реализации организа-

ционно-правового смысла управления и решения его задач.

Системы информационного обеспечения органов ГМУ можно разде-

лить на следующие виды:

– государственные информационные системы – федеральные информацион-

ные системы и региональные информационные системы, созданные на осно-

вании соответственно федеральных законов, законов субъектов Российской

Федерации, на основании правовых актов государственных органов;

– муниципальные информационные системы, созданные на основании реше-

ния органа местного самоуправления;

– иные информационные системы (например, негосударственные системы,

используемые в интересах предоставления информационных услуг органам

ГМУ).

Системы информационного обеспечения на федеральном уровне соз-

даются по решению федеральных органов государственной власти и управ-

ления. Муниципальные системы – соответственно муниципальными органа-

ми власти.

Если рассмотреть региональные органы власти и органы местного са-

моуправления, то кризисные явления в территориях проистекают из-за отсут-

ствия необходимой информационной инфраструктуры в сфере ГМУ. Отсут-

ствие достоверной и актуальной информации, в необходимом объеме и свое-

временно представленной руководителю ГМУ, лишает его возможности точ-

ной стратегической оценки ситуации и выработки адекватного прогноза раз-

вития событий. Зачастую он вынужден, полагаясь на интуицию и опыт, реа-

лизовывать некоторые тактические шаги, рискуя превратить их цепь в страте-

гическую ошибку. Гася появляющиеся то в одной, то в другой сфере очаги

напряженности, он и не в силах оперировать информационно-

аналитическими категориями, абстрагироваться от текучки и наметить стра-

тегические пути выхода из кризиса. Пожалуй, это одна из самых серьезных

угроз и ее следует отнести к информационным угрозам устойчивого разви-

тия.

Только формирование информационной инфраструктуры территорий

ГМУ, создание эффективных информационных ресурсов и соответствующих

аналитических служб (подразделений) позволит преодолеть эту угрозу. Все

вышеизложенное позволяет рассматривать проблему как совокупность четы-

рех задач:

1. Создание информационных ресурсов субъекта, необходимых и достаточ-

ных для принятия решений и действий, не наносящих ущерб безопасности

субъекта и способствующих его устойчивому развитию.

2. Качественное проектирование системы для обеспечения эффективных

информационных процессов.

3. Эффективное руководство и контроль за обработкой и передачей инфор-

мации.

4. Защита информационных ресурсов субъекта от несанкционированного

использования, разрушения и иного информационного воздействия, пред-

ставляющего угрозу устойчивому развитию субъекта.

С учетом того, что эти задачи во многом взаимосвязаны, можно назвать

эту постановку – задачей устойчивого развития в информационной сфере.

Представляется, что именно в такой совокупности возможно комплексное

разрешение проблем устойчивого развития в сфере ГМУ, муниципальных

образований и прочих субъектов хозяйствования.

1.3. Виды защищаемой информации в сфере государственного

и муниципального управления

Известно, что айсберг находится в устойчивом состоянии, пока его

подводная часть по своему объему превышает его составляющую, находя-

щуюся над поверхностью воды. Определенную аналогию можно провести и

для информационных ресурсов, «кристаллизованных» в субъекте ГМУ, кото-

рый дрейфует в «океане информации». Общедоступная (открытая) информа-

ция субъекта (надводная часть), как правило, менее емкая, чем его информа-

ция ограниченного доступа (подводная часть). Даже в условиях, так называе-

мого, открытого общества это соотношение имеет место для всякого субъек-

та, сохраняющего устойчивость. Под воздействием многочисленных угроз,

обусловленным конкуренцией и стихией рынка, субъект должен создавать

ресурс конфиденциальной информации (ноу-хау и др.), необходимой для вы-

живания в данной ему степени свободы. Фактически соотношение (баланс)

емкостей открытого и закрытого информационного ресурса есть непременное

условие его устойчивого развития. Причем в понятие «емкость» в данном

случае вкладывается интегральная оценка: объем, помноженный на ценность

информации.

Характерной чертой устойчивого развития субъекта является постепен-

ный перевод части конфиденциальной информации в ранг общедоступной

(кристаллизация новых объемов понижает ватерлинию айсберга). В этом слу-

чае наличествует информационный прогресс, который, тем не менее, не от-

меняет условие баланса надводной и подводной частей для устойчивости

айсберга (субъекта).

Опыт показывает, что в общей системе ГМУ (как в развитии экономики

и управлении, так и в подготовке и ведении общественно-политических ком-

паний) наиболее важным элементом с годами становилось достижение пре-

восходства в информационной сфере. Этим обстоятельством и определяется

существование институтов тайн, создающих возможность для ГМУ прово-

дить независимую информационную политику, защищать свои интересы,

осуществлять управление обществом, регионом, муниципальным образова-

нием.

Система секретной и конфиденциальной информации – наиболее силь-

ное звено регулирования общественных отношений в информационной сфе-

ре. Вследствие возможного существенного ущерба от ее разглашения ин-

формация ограниченного доступа занимает особое место в системе управле-

ния. Институт тайн – важнейший элемент системы государственного и муни-

ципального управления.

Основу нормативно-правового обеспечения защиты информации огра-

ниченного доступа РФ составляют Конституция РФ, Законы «О безопасно-

сти», «О государственной тайне», «Об информации, информационных тех-

нологиях и защите информации», «Положение о лицензировании деятельно-

сти по международному информационному обмену» и другие.

Муниципальное управление также как и государственное безусловно

имеет дело с информацией ограниченного доступа. В этой сфере управления

преобладает информация конфиденциального характера, но это не исключа-

ет возможности присутствия и сведений, составляющих государственную

тайну.

В условиях сегодняшней России (расширяющееся международное со-

трудничество, либерализация экономики, развитие интеграционных процес-

сов и конверсии, создание свободных экономических зон, увеличение коли-

чества объектов иностранных инспекций, свободное перемещение ино-

странцев по большей части территории страны, широкое внедрение компью-

терной техники импортного производства во все сферы деятельности госу-

дарства, увеличение объема научно-технических материалов, публикуемых в

открытой печати) значительно возросла опасность утечки сведений, состав-

ляющих информацию ограниченного доступа. Вследствие этого важнейши-

ми задачами органов ГМУ являются: обеспечение необходимого баланса

между потребностью в свободном обмене информацией и допустимыми ог-

раничениями на ее распространение, а также развитие и защита государст-

венного и муниципального информационного ресурса.

В действующем законодательстве РФ встречается упоминание о раз-

личных видах тайн (государственная, служебная, коммерческая, банковская,

личная, семейная тайна, тайна следствия, связи, почтовых отправлений и

другие). Приведем наиболее важные определения в данной области и дадим

необходимую классификацию.

Защищаемой информацией называется информация, подлежащая за-

щите в соответствии с требованиями правовых документов или требования-

ми, устанавливаемыми обладателем информации. Обладателем информации

может быть – гражданин (физическое лицо), юридическое лицо, Российская

Федерация, субъект Российской Федерации, муниципальное образование. К

защищаемой информации относится информация с ограниченным доступом,

а также открытая информация, представляющая ценность.

Информацией с ограниченным доступом называется информация, дос-

туп к которой ограничен в соответствии с Федеральным Законом с целью

защиты прав и законных интересов субъектов права на тайну. Она состоит из

государственной тайны и конфиденциальной информации. Конфиденциаль-

ная информация, в свою очередь, включает множество видов тайны, которое

сводится к шести основным видам: персональные данные, тайна следствия и

судопроизводства, служебная тайна, профессиональная тайна, коммер-

ческая тайна, тайна изобретения, полезной модели или промышленного об-

разца. Особую важность с точки зрения безопасности государства имеет

защита информации, составляющей государственную и служебную тайну.

Государственная тайна – защищаемые государством сведения в об-

ласти его военной внешнеполитической, экономической, разведывательной,

контрразведывательной и оперативно-розыскной деятельности, распростра-

нение которых может нанести ущерб безопасности РФ.

Конфиденциальная информация – информация, не составляющая госу-

дарственную тайну, доступ к которой ограничивается в соответствии с зако-

нодательством РФ.

Персональные данные – сведения о фактах, событиях и обстоятельствах

жизни гражданина, позволяющие идентифицировать его личность, за исклю-

чением сведений, подлежащих распространению в средствах массовой ин-

формации в установленных федеральными законами случаях.

Тайна следствия и судопроизводства – защищаемая по закону конфи-

денциальная информация, ставшая известной в органах следствия и судопро-

изводства только на законных основаниях в ходе следствия и судопроизвод-

ства, а также служебная информация о деятельности органов следствия и су-

допроизводства, доступ к которой ограничен федеральным законом или в си-

лу служебной необходимости.

Служебная тайна – защищаемая по закону конфиденциальная инфор-

мация, ставшая известной в государственных органах и органах местного са-

моуправления только на законных основаниях и в силу исполнения их пред-

ставителями служебных обязанностей, а также служебная информация о дея-

тельности государственных органов, доступ к которой ограничен федераль-

ным законом или в силу служебной необходимости.

Профессиональная тайна – сведения, связанные с профессиональной

деятельностью, доступ к которым ограничен в соответствии с Конституцией

РФ и федеральными законами (врачебная, нотариальная, адвокатская тайна,

тайна переписки, телефонных переговоров, почтовых отправлений, теле-

графных или иных сообщений, банковская и так далее).

Коммерческая тайна – научно-техническая, технологическая, коммер-

ческая, организационная или иная используемая в экономической деятельно-

сти информация, имеющая действительную потенциальную коммерческую

ценность в силу ее неизвестности третьим лицам, к которой нет свободного

доступа на законном основании и по отношению к которой принимаются

адекватные ее ценности меры охраны.

Тайна изобретения, полезной модели или промышленного образца –

сведения о сущности изобретения, полезной модели или промышленного об-

разца до официальной публикации информации о них.

В ряде случаев нет четкой границы между классификационными груп-

пами информации ограниченного доступа. Так, например, сведения, состав-

ляющие коммерческую тайну фирмы, при передаче их в органы государст-

венной власти становятся в тоже время служебной тайной этих органов. Пер-

сональные данные при передаче их в органы государственной власти также

становятся в тоже время служебной тайной этих органов. Информация, со-

ставляющая личную тайну, в медицинских учреждениях становится врачеб-

ной тайной

Можно выделить первичные и вторичные виды тайн. К первичным ви-

дам тайн относятся личная, коммерческая, государственная тайны. Все ос-

тальные виды тайн вторичные, возникающие при передаче первичных тайн

другим обладателям или пользователям.

Согласно законодательству обязательными признаками информации с

ограниченным доступом должны быть: