Глава 6 ИБ 02-06 для размещения. Информационная безопасность в условиях глобальной информатизации всех сфер жизнедеятельности личности, общества и государства
 Скачать 0.71 Mb.
|
|
ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ - СОСТОЯНИЕ ЗАЩИЩЕННОСТИ ИНФОРМАЦИОННОЙ СФЕРЫ , обеспечивающее ее формирование, использование и развитие в интересах личности, общества, государства Среди множества указанных негативных факторов можно укрупнено выделить две группы факторов. Факторы, приводящие к утечке информации, в том числе по техниче- ским каналам: • рaзглашение информации (сведений); • несанкционированный доступ к информации; • перехват информации (утечка информации по техническим кана- лам); • хищение носителя информации. Утечка информации по техническим каналам обусловлена физическими процессами, возникающими при различных функциональных условиях ра- боты радиоэлектронных средств, расположенных в производственных поме- щениях. Факторы, связанные с неправомерным воздействием на информацию со стороны лиц, имеющих право доступа к защищаемой информаци: • преднамеренное воздействие ( несанкционированное копирование и несанкционированное изменение защищаемой информации); • непреднамеренное воздействие (о шибки обслуживающего персо- нала). Утечка информации Paзглашение информации (сведений) Несанкционированный доступ к информации (НСД) Перехват информации (утечка информации по техническим каналам) Хищение носителя информации Неправомерное воздействие на информацию Преднамеренное воздействие Непреднамеренное воздействие 1.4.3. Виды и способы защиты информации Понятия «информационная безопасность» «защита информации» тесно связаны друг с другом. Под защитой информации понимается деятельность, направленная на обеспечение необходимого уровня защищенности информа- ционных ресурсов, основанная на осуществлении эффективного противодей- ствия информационным ииным угрозам информации, информационным объ- ектам и информационным системам. В более узком смысле под защитой информации понимается деятельность по предотвращению утечки защищаемой информации, несанкционированных воздействий на защищаемую информацию и информационные ресурсы Большинство современных информационных ресурсов, а также информа- ционных систем практически не могут рассматриваться в отрыве от ком- плекса факторов, связанных с обеспечением информационной безопасности: • наличием реальных угроз информационным ресурсам, • наличием уязвимостей в системах защиты информации, • применением различных средств и мер защиты информации. Таким образом, с точки зрения функционирования информационных ре- сурсов под информационной безопасностью следует понимать совокупность средств, методов и процедур, обеспечивающих защиту информационных ак- тивов и, следовательно, гарантирующих сохранение эффективности и практи- ческой полезности как технической инфраструктуры информационных си- стем, так и сведений, которые в таких системах хранятся и обрабатываются. Защита информации предполагает предотвращение утечки защищаемой ин- формации, преднамеренных и непреднамеренных воздействий на защищае- мую информацию, а также обеспечение ее конфиденциальности, целостности и доступности. Непосредственным источником рисков и негативных воздействий явля- ются угрозы, под которыми понимаются потенциальные или реально возмож- ные действия по отношению к информационным ресурсам, нарушающие ин- формационную безопасность. Выделяется множество типов угроз и множе- ство критериев для классификации угроз информационной безопасности. Од- ним из основных таких критериев является расположение источника угроз к ЗАЩИТА ИНФОРМАЦИИ - ДЕЯТЕЛЬНОСТЬ ПО ПРЕДОТВРАЩЕНИЮ утечки защищаемой информации, несанкционированных воздействий на защищаемую информацию и информационные ресурсы объектам информатизации и информационным ресурсам, в отношении кото- рых осуществляется негативное воздействие. В соответствии с этим крите- рием угрозы могут быть разделены: • на обусловленные внутренними факторами (персоналом предпри- ятия, работой собственных информационных систем); • обусловленные внешними факторами (злоумышленниками, не имеющими непосредственного отношения к компании – владельцу информа- ционных активов, природными факторами и т. п.). Другим важным критерием угроз является наличие намерений осуще- ствить нарушение правил информационной безопасности. В соответствии с ним выделяют: • целенаправленные воздействия (могут быть осуществлены как собственным персоналом, так и внешними противниками); • случайные воздействия (ошибки пользователей и администрато- ров, сбои и случайные нарушения в работе оборудования, непредвиденные воздействия природных факторов). Также можно выделить следующие классификации угроз: • по объектам (персонал, материальные и финансовые средства, ин- формация); • по величине ущерба (предельный, значительный, незначитель- ный); • по вероятности возникновения (весьма вероятные, вероятные, ма- ловероятные); • по типу ущерба (моральный, материальный) • и некоторые другие. На практике основными наиболее распространенными способами нару- шения информационной безопасности являются: • получение несанкционированного доступа (в том числе и путем превышения прав при санкционированной работе с информационными систе- мами) к определенным сведениям или массивам данных, распространение ко- торых ограничено, с целью их изучения, копирования, распространения, неза- конного использования и т.п.; • несанкционированное использование информационных ресурсов (ресурсов вычислительных и телекоммуникационных систем) с целью получе- ния выгоды или нанесения ущерба (как тем системам, которые незаконно ис- пользуются, так и третьим лицам); • несанкционированная злонамеренная модификация (изменение) данных; • кража денежных средств в электронных платежных системах и си- стемах "клиент-банк", а также кража бездокументарных ценных бумаг и иные формы незаконного присвоения имущественных прав; • вывод из строя (полный или частичный) программных и аппарат- ных средств обработки, передачи и хранения информации; • осуществление атак типа «отказ в обслуживании» – DoS (в частно- сти, в отношении серверов в сети Интернет); • распространение вирусов и других вредоносных программ, осу- ществляющих различные негативные воздействия. Современная практика использования информационных систем харак- теризуется большим количеством и постоянным ростом числа нарушений ин- формационной безопасности. Одним из важных факторов этого является по- стоянно растущая доступность современных информационных технологий для преступников, а также постоянно растущая привлекательность информа- ционных систем как потенциальных объектов нападения. Защита информации — реализуемый на основе системного подхода функционально достаточный и экономически целесообразный процесс. В официальных нормативных документах, в частности в « Националь- ном стандарте Российской Федерации ГОСТ Р 50922-2006 Защита информа- ции. Основные термины и определения» приводится классификация направ- лений, по которым реализуется процесс защиты информации, определяющая следующие виды защиты информации: • правовая защита информации; • техническая защита информации; • криптографическая защита информации; • физическая защита информации. Рассмотрим каждое направление проведения мероприятий по защите информации. Правовая защита информации — защита информации правовыми мето- дами, включающая в себя разработку законодательных и нормативных право- вых документов (актов), регулирующих отношения субъектов по защите Правовая защита информации Криптографическая защита информации Техническая защита информаци Физичекая защита информации информации, применение этих документов (актов), а также надзор и контроль за их исполнением. Криптографическая защита информации — защита семантической со- ставляющей информации с помощью криптографического или стеганографи- ческого преобразования. Существует два основных направления обеспечения секретности информации: • криптографическое преобразование (шифрование); • стеганографическое преобразование (скрытие). Цель криптографии состоит в блокировании несанкционированного до- ступа к информации путём шифрования содержания секретных сообщений. Криптографическое преобразование информации (шифрование) – вза- имно-однозначное преобразование, зависящее от ключа (секретного пара- метра преобразования). В результате шифрования блок представленной в цифровой кодировке открытой информации преобразуется в соответствую- щий ему блок шифрованной информации. Однако, следует учитывать, что при использовании криптографических методов довольно легко обнаруживать шифрованные сообщения, а также оче- виден факт их секретности. Цель стеганографии – сокрытие самого факта существования секретного сообщения. При обработке блока открытой информации стеганографическими методами происходит внедрение передаваемой информации в другие инфор- мационные объекты таким образом, чтобы постороннее лицо не догадывалось о существовании скрытого секретного сообщения. Оба способа могут быть объединены и использованы для повышения эф- фективности защиты информации. Современная компьютерная стеганография оперирует двумя основными типами файлов: сообщение – файл, который предназначен для скрытия, и контейнер – файл, который может быть исполь- зован для скрытия в нем сообщения. Секретный элемент, который определяет порядок занесения сообщения в контейнер, называется ключом. Защита информации правовыми методами, включающая в себя разработку законодательных и нормативных правовых документов, регулирующих отношения субъектов по защите информации, применение этих документов, а также надзор и контроль за их исполнением. ПРАВОВАЯ ЗАЩИТА ИНФОРМАЦИИ Техническая защита информации — защита информации, заключающа- яся в обеспечении некриптографическими методами безопасности информа- ции (данных), подлежащей (подлежащих) защите в соответствии с действую- щим законодательством, с применением технических, программных и про- граммно-технических средств. Техническая защита информации при применении информационных технологий осуществляется в процессах сбора, обработки, передачи, хране- ния, распространения информации с целью обеспечения ее безопасности на объектах информатизации. Техническая защита информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, направ- лена на предотвращение ее утечки по техническим каналам, несанкциониро- ванного доступа к ней, специальных воздействий на информацию и носители информации в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории Российской Федерации. Защита семантической составляющей информации с помощью криптографического или стеганографического преобразования. КРИПТОГРАФИЧЕСКАЯ ЗАЩИТА ИНФОРМАЦИИ Защита информации, заключающаяся в обеспечении некриптографическими методами безопасности информации, подлежащей защите в соответствии с действующим законодательством, с применением технических, программных и программно-технических средств. Техническая защита информации Физическая защита информации — защита информации путем приме- нения организационных мероприятий и совокупности средств, создающих препятствия для проникновения или доступа неуполномоченных физических лиц к объекту защиты. Физические средства защиты реализуются в виде автономных устройств и систем. Например, замки на дверях, где размещена аппаратура, решетки на окнах, электронно-механическое оборудование охранной сигнализации. К мерам физической защиты информации также относится защита от различного рода воздействий: • от огня; • от воды и пожаротушащей жидкости; • от коррозийных газов; • от электромагнитного излучения; • от вандализма; • от воровства и кражи; • от взрыва; • от падающих обломков; • от пыли; • от несанкционированного доступа в помещение. Методы физической защиты информации должны обеспечивать: • задержку злоумышленника или иного источника угрозы на время, большего времени нейтрализации угрозы; • обнаружение злоумышленника или источника иной угрозы; • нейтрализацию угроз воздействия на источник информации. Реализация мероприятий по обеспечению информационной безопасности требует комплексного, системного подхода при учете широкого спектра угроз в информационной сфере. Эффективность таких мероприятий обеспе- чивается при комплексном использовании всего арсенала имеющихся средств защиты на всех этапах обработки информации. Наибольший эффект достигается тогда, когда все используемые средства, методы и меры объеди- няются в единый целостный механизм – комплексную систему защиты ин- формации. Защита информации путем применения организационных мероприятий и совокупности средств, создающих препятствия для проникновения или доступа неуполномоченных физических лиц к объекту защиты Физическая защита информации Защита информации представляет собой непрерывный процесс, заключа- ющийся в выборе, обосновании и реализации наиболее рациональных мето- дов, способов и путей совершенствования системы защиты информации, не- прерывном контроле ее состояния, выявлении ее уязвимостей и прогнозиро- вании возможных угроз. Выводы 1. Развитие «цифровых» технологий порождает новые риски и проблемы, связанные с обострением внешних и внутренних угроз в информационной сфере для личности, общества и государства. 2. Возникло информационное противоборство между государственными, общественными, коммерческими структурами социальными и политиче- скими группам и его крайние формы - информационные войны и информаци- онный терроризм. 3. Государственная система защиты информации, формируемая в целях защиты безопасности государства от внешних и внутренних угроз в инфор- мационной сфере. является составной частью системы обеспечения нацио- нальной безопасности Российской Федерации. 4. Информационная безопасность - состояние защищенности личности, общества и государства от внутренних и внешних информационных угроз, при котором обеспечиваются реализация конституционных прав и свобод че- ловека и гражданина, достойные качество и уровень жизни граждан, сувере- нитет, территориальная целостность и устойчивое социально-экономическое развитие, оборона и безопасность государства. 5. Защита информации - деятельность, направленная на обеспечение не- обходимого уровня защищенности информационных ресурсов, основанная на осуществлении эффективного противодействия информационным и иным совокупность методов и средств, объединенных единым целевым назначением и обеспечивающих необходимую эффективность защиты информации Комплексная система защиты информации угрозам информации, информационным объектам и информационным систе- мам. Список литературы: 1. Указ Президента РФ от 09.05.2017 N 203 "О Стратегии развития инфор- мационного общества в Российской Федерации на 2017 - 2030 годы" 2. Указ Президента РФ от 5 декабря 2016 г. № 646 “Об утверждении Док- трины информационной безопасности Российской Федерации” 3. Федеральный закон "Об информации, информационных технологиях и о защите информации" от 27.07.2006 N 149-ФЗ 4. Федеральный закон "О безопасности критической информационной ин- фраструктуры Российской Федерации" от 26.07.2017 N 187-ФЗ 5. ГОСТ Р 50922-2006 Защита информации. Основные термины и опреде- ления Вопросы для самостоятельной работы 1. Охарактеризуйте основные компоненты информационного обще- ства. 2. Раскройте в содержательном плане понятие «информационная сфера». 3. Раскройте в содержательном плане понятие «цифровая эконо- мика». 4. Охарактеризуйте основные проблемы и риски процесса цифрови- зации всех сторон жизнедеятельности. 5. Проведите анализ угрозы «цифровому суверенитету». 6. Проведите анализ угрозы «цифрового рабства». 7. Проведите анализ угрозы «цифрового разрыва». 8. Раскройте в содержательном плане понятие «информационное противоборство». 9. Раскройте в содержательном плане понятие « информационная война». 10. Раскройте в содержательном плане понятие « информационный терроризм». 11. Раскройте в содержательном плане понятие «информационное оружие». 12. Проведите анализ «информационно – технических» угроз. 13. Проведите анализ «информационно-психологических» угроз. 14. Проведите анализ информационной безопасности как составляю- щей национальной безопасности. 15. Основные элементы государственной системы защиты информа- ции. 16. Дайте характеристику основным национальными интересами Рос- сийской Федерации в информационной сфере. 17. Определите стратегические цели и основные направления обеспе- чения информационной безопасности Российской Федерации. 18. Раскройте в содержательном плане понятие «информационная безопасность». 19. Дайте характеристику основным последствиям негативных воз- действий на информационные ресурсы. 20. Раскройте в содержательном плане понятие «защита информа- ции». 21. Дайте характеристику правовой защите информации. 22. Дайте характеристику технической защите информации. 23. Дайте характеристику криптографической защите информации. 24. Дайте характеристику физической защите информации. 25. Основные элементы комплексной системы защиты информации. Глоссарий к разделу 6. Атака на информационную систему – это совокупность преднамерен- ных действий злоумышленника, направленных на нарушение одного из трех свойств информации – доступности, целостности или конфиденциальности. Государственная система защиты информации – совокупность орга- нов и исполнителей, используемой ими техники защиты информации, а также объектов защиты, организованная и функционирующая по правилам, установ- ленным соответствующими правовыми, организационно-распорядительными и нормативными документами в области защиты информации. |