Экзамен в Магистратуру. Содержание. Место информационной безопасности в системе национальной безопасности
 Скачать 0.79 Mb.
|
|
В рамках рассматриваемых видов деятельности были выпущены отдельные постановления Правительства Российской Федерации, разъясняющие порядок лицензирования. Среди них: · Постановление Правительства Российской Федерации от 26.01.2006 № 45 «Об организации лицензирования отдельных видов деятельности»; Постановление Правительства Российской Федерации от 15.08.2006 № 504 «О лицензировании деятельности по технической защите конфиденциальной информации»; · Постановление Правительства Российской Федерации от 31.08.2006 № 532 «О лицензировании деятельности по разработке и (или) производству средств защиты конфиденциальной информации»; · Постановление Правительства Российской Федерации от 23.09.2002 № 691 «Об утверждении положений о лицензировании отдельных видов деятельности, связанных с шифровальными (криптографическими) средствами». В соответствии с этими документами лицензиаты обязаны ежегодно представлять в орган по лицензированию или аттестационный центр сведения о количестве выполненных работ по конкретным видам указанной в лицензии деятельности. Лицензиаты несут ответственность за полноту и качество выполняемых работ, обеспечение сохранности государственной тайны, доверенной им в ходе практической деятельности. Для нормального функционирования систем электронного документооборота (ЭДО) необходимо разработать процедуры разрешения возможных конфликтов. Стороной таких конфликтов, кроме участников ЭДО и фирмы-провайдера, может быть и фирма-разработчик программного обеспечения. Предполагается, что договор с фирмой-разработчиком учитывает наличие эталонного образца программного обеспечения, который может храниться только у фирмы - провайдера или у всех участников ЭДО. Для этого требуется выполнение двух основных условий: - должно быть документально подтверждено, что каждому участнику системы ЭДО (включая фирму - провайдер) установлено программное, соответствующее эталонному образцу; - хранение эталонных образцов организуется таким образом, чтобы исключить возможность изменения эталонного образца программного обеспечения без ведома сторон. Такой режим может быть обеспечен системой из нескольких открытых ключей. Сегодня, когда современные информационные технологии интенсивно внедряются во все сферы жизни и деятельности общества, национальная, и как ее часть экономическая безопасность государства начинает напрямую зависеть от обеспечения информационной безопасности. Именно поэтому с целью создания гарантий по обеспечению необходимой стойкости средств защиты информации государство берет на себя ответственность за лицензирование деятельности организаций, занимающихся защитой информации, и сертификацию соответствующих технических средств. Сегодняшний уровень защиты от внешних информационных угроз в глобальных открытых сетях не может быть сочтен удовлетворительным: до сих пор в России отсутствует всеобъемлющая и технически выверенная стратегия в этой области. С целью изменения ситуации должен быть безотлагательно разработан и осуществлен комплекс мер в области законодательства и стандартизации средств, обеспечивающих информационную безопасность России. К первоочередным задачам в этом направлении относятся: · принятие специального закона, аналогичного "Computer Security Act" в США, возлагающего на конкретные госструктуры ответственность за методологическую поддержку работ в области информационной безопасности; · выработку унифицированных подходов к обеспечению безопасности для организаций различного профиля, размера и форм собственности; · обеспечение появления на рынке достаточного числа разнообразных сертифицированных средств для решения задач информационной безопасности. Одной из проблем в области защиты информации в России является отсутствие официальных документов с подробными рекомендациями по построению безопасных информационных систем, аналогичных разработанному, например, Американским институтом стандартных технологий (США) и британскому стандарту. Хотя в Великобритании не существует нормативных актов, требующих выполнения государственных стандартов, около 60% британских фирм и организаций добровольно используют разработанный стандарт, а остальные намерены внедрять его рекомендации в ближайшее время. Лицензирование и сертификация в области систем обеспечения безопасности информации могут снизить остроту этой проблемы. Необходимо создание пользователю гарантий того, что используемые им средства защиты информации способны обеспечивать необходимый уровень защиты. Именно лицензирование может способствовать тому, что проблемой защиты информации будут заниматься только высококвалифицированные специалисты в этой области, а создаваемые ими продукты будут находиться на соответствующем уровне и смогут пройти сертификацию. Без проведения сертификации невозможно оценить, содержит ли то или иное средство потенциально вредные недокументированные возможности, наличие которых особенно характерно для большинства зарубежных продуктов, способные в определенный момент привести к сбоям в работе системы и даже к необратимым для нее последствиям. Характерным примером таких недокументированных возможностей является заложенная фирмой Ericsson при разработке телефонных станций, на базе которых МПС РФ строит свою телефонную сеть, возможность блокировать их работу при получении вызова определенного телефонного номера, который фирма отказывается назвать. И этот пример не является единственным. Процесс сертификации программного продукта занимает примерно столько же времени, сколько и его разработка, и практически невозможен без исходных текстов программ с комментариями. В то же время многие зарубежные фирмы не желают представлять исходные тексты своих программных продуктов в российские сертификационные центры. Например, несмотря на принципиальное согласие фирмы Microsoft на сертификацию в России ОC Windows NT, в которой уже выявлено более 50 ошибок, связанных с обеспечением безопасности, этот вопрос уже в течение многих месяцев не может сдвинуться с мертвой точки из-за отсутствия ее исходных текстов. Трудности с сертификацией приводят к тому, что раньше других среди продуктов одного класса сертификат быстрее получают самые простые, в силу чего они кажутся пользователю более надежными. Длительные же сроки сертификации приводят к тому, что фирма-разработчик успевает вывести на рынок новую версию своего продукта, и процесс становится бесконечным. Сертификацию технических средств защиты информации затруднительно проводить без соответствующих стандартов, создание которых в России не в последнюю очередь сдерживается из-за отсутствия финансовых средств. Эта проблема решается, если появляются несколько фирм, заинтересованных в сбыте, и несколько организаций, заинтересованных в использовании соответствующих технических средств. Например, плодом совместных усилий подобных организаций, фирм и ФСТЭК( ранее Гостехкомиссия (ГТК)) стала разработка Руководящего технического материала ГТК РФ "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации". Он позволил классифицировать средства, которые способны в какой-то степени обеспечить защиту корпоративных сетей от внешних вторжений. Документ предполагает существование нескольких классов межсетевых экранов: от простейших, позволяющих только осуществлять контроль потоков информации, до самых сложных, выполняющих полное перекодирование входящей информации, полностью защищающее корпоративную сеть от воздействий извне. Уже сегодня сертификацию на соответствие техническим условиям, разработанным в соответствии с Руководящим техническим материалом, что допускается действующим законодательством, прошли такие межсетевые экраны, как Sun Screen, SKIPbridge и Pandora. Однако и при их сертификации без борьбы не обошлось. С учетом требований информационной безопасности и мировой практики деятельности в сфере защиты информации представляется целесообразным присоединение России к сложившимся системам международной стандартизации и сертификации информационных технологий, что на практике означает: · приведение национальных и отраслевых стандартов в соответствие с международными; · участие представителей России в международных системах сертификации (в том числе в сертификационных испытаниях); · возможность признания в России международных сертификатов. Кроме того, в соответствии с действующим законодательством, любая организация, занимающаяся сбором и обработкой персональных данных (например, операций с пластиковыми карточками), должна иметь лицензию на право заниматься подобной деятельностью и использовать для этого сертифицированные средства. ФСТЭК России (бывшая Гостехкомиссия) разработана необходимая нормативная база в области защиты информации от несанкционированного доступа. Рассмотрим структуру основных руководящих документов. 1. «Защита от несанкционированного доступа к информации. Термины и определения» – устанавливает единый терминологический стандарт в области защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации, являющийся обязательным для применения во всех видах документации. 2. «Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации»– описывает основные принципы, на которых базируется проблема защиты информации от несанкционированного доступа и ее отношение к общей проблеме безопасности информации. В концепции отражены следующие вопросы: определение несанкционированного доступа, основные принципы защиты, модель нарушителя в автоматизированных системах, основные способы несанкционированного доступа, основные направления обеспечения защиты, основные характеристики технических средств защиты, классификация автоматизированных систем, организация работ по защите. Указанная концепция предназначена для заказчиков, разработчиков и пользователей средств вычислительной техники и автоматизированных систем, основное назначение которых: обработка, хранение и передача защищаемой информации. 3. «Средства защиты информации. Защита информации в контрольно-кассовых машинах и автоматизированных кассовых системах. Классификация контрольно-кассовых машин, автоматизированных кассовых систем и требования по защите информации» – устанавливает классификацию контрольно-кассовых машин, автоматизированных кассовых систем, информационных технологий и требования по защите информации, связанной с налогообложением. В соответствии с этим документом устанавливается 2 класса контрольно-кассовых машин, автоматизированных кассовых систем и информационной техники. К первому классу относятся системы, обрабатывающие информацию о денежных оборотах на сумму до 350 минимальных размеров оплаты труда в сутки, а ко второму – на сумму свыше 350 минимальных размеров оплаты труда. 4. «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» – регламентирует требования защищенности средств вычислительной техники от несанкционированного доступа, применяемые к общесистемным программным средствам и операционным системам. Здесь выделяются семь классов защищенности, которые подразделяются на четыре группы. Каждый класс содержит перечень необходимых для реализации механизмов защиты информации от несанкционированного доступа. 5. «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации» – классифицирует автоматизированные системы в зависимости от наличия в них информации различного уровня конфиденциальности, уровней полномочий субъектов доступа, режимов обработки данных по девяти классам и оговаривает совокупность требований к каждому из них. В зависимости от особенностей обработки информации в автоматизированных системах классы делятся на три группы. 6. «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» – декларирует требования к различным классам межсетевых экранов. Всего выделяется пять классов защищенности межсетевых экранов. Классификация производится в зависимости от класса защищенности автоматизированных систем, для защиты которой используется межсетевой экран. На основе руководящих документов и нормативной базы ФСТЭК России производится разработка, сертификация и использование средств защиты информации от несанкционированного доступа, а также лицензирование предприятий на право деятельности в области защиты информации на территории Российской Федерации.
Система защиты информации (СЗИ) – это совокупность средств, методов, мероприятий, и персонала, предусматриваемых в составе той или иной информационной системы для решения задач ее защиты. Введением понятия СЗИ постулируется, что все ресурсы, выделяемые для защиты информации, должны объединяться в единую, целостную, функционально самостоятельную систему Наиболее характерной особенностью современных систем защиты информации является их комплексность. Комплексность, понимается как решение в рамках единой концепции двух или более разноплановых задач (целевая комплексность), или использования для решения одной и той же задачи разноплановых инструментальных средств (инструментальная комплексность), или и то и другое (всеобщая комплексность). Необходимость комплексной защиты информации вызвано современными тенденциями развития информационных систем и технологий, к числу которых относятся следующие: · массовое насыщение предприятий (учреждений, организаций) средствами вычислительной техники и прежде всего, персональными ЭВМ и их периферийным оборудованием; · все более интенсивное сращивание традиционных и автоматизированных технологий обработки информации с неуклонным ростом доли безбумажных процедур; · непосредственный доступ к ресурсам информационных систем массы пользователей, не являющихся профессионалами, а потому не владеющими в должной мере всеми необходимыми знаниями и навыками правильного и рационального их использования; · сопряжение средств вычислительной техники в локальные и глобальные сети; · все более настойчивое превращение информационных массивов в интеллектуальную собственность и в товар. В современных реалиях повышенную значимость приобретают такие проблемы, как обеспечение физической целостности информации, обеспечение логической целостности (предупреждение разрушения или искажения в автоматизированных банках логических структур данных, задаваемых пользователями), предупреждение несанкционированной модификации информации, предупреждение несанкционированного копирования информации, являющейся чьей-либо собственностью, соблюдение авторских прав в безбумажных технологиях хранения и обработки информации. Совершенно очевидно, что независимая защита информации по каждой из перечисленных целей будет весьма накладной, а во многих случаях - просто невозможной. Отсюда и вытекает объективная необходимость перехода к целевой комплексной защите. Рассмотрим далее вопрос об инструментальной комплексности. В рамках прежнего представления о защите информации практически независимо развивались два вида защиты: организационная (службы режима, первые отделы и др.) и техническая (службы противодействия инженерно-технической разведке). Относительно самостоятельно развиваются криптографические средства защиты. Ясно, что необходима интеграция всех видов в единый комплексный арсенал защиты, реализуемый в виде комплексной системы защиты информации (КСЗИ). Но сказанным выше проблема комплексности защиты далеко не исчерпывается. В самом деле, при непосредственном доступе массы пользователей к ресурсам вычислительной техники все большая часть этих пользователей попадает в прямую зависимость от получаемой из систем информации. Тогда принципиальное значение приобретают такие характеристики, как своевременность выдачи информации, полнота выдачи, актуальность выдаваемой информации, ее релевантность, толерантность выдачи и др. В свою очередь, перечисленные характеристики зависят от своевременности актуализации находящейся в системе информации, глубины, полноты и адекватности ее обработки и некоторых других показателей. Перечисленные показатели и характеристики образуют свойство информации, обобщенно называемое ее качеством. Вообще говоря, проблема качества информации была весьма актуальной и при традиционных технологиях ее обработки, но, во-первых, масштабы обработки и объемы обрабатываемой информации были неизмеримо меньше, а во-вторых, в силу полной наглядности представления информации и процедур ее обработки она решалась почти естественным образом. В условиях же автоматизированной обработки резко возрастают объемы обрабатываемой информации и масштабы обработки, а само решение соответствующих задач должно осуществляться на принципиально иной основе. В силу этого обеспечение качества информации в ИС переросло в самостоятельную и достаточно сложную научно-техническую проблему. Поскольку КСЗИ является функциональной подсистемой ИС, то ресурсы, необходимые для её создания и поддержания её функционирования, содержат элементы следующего содержания: 1) техническое обеспечение - совокупность технических средств, необходимых для технической поддержки решения всех тех задач защиты информации, решение которых может потребоваться в процессе функционирования КСЗИ. В техническое обеспечение КСЗИ, естественно, должны быть включены все технические средства защиты, которые могут оказаться необходимыми в конкретной КСЗИ. Кроме того, к ним относятся те технические средства, которые необходимы для решения задач управления механизмами защиты информации; 2) математическое обеспечение - совокупность математических методов, моделей и алгоритмов, необходимых для оценок уровня защищенности информации и решения других задач защиты; З) программное обеспечение - совокупность программ, реализующих программные средства защиты, а также программ, необходимых для решения задач управления механизмами защиты. К ним должны быть отнесены также сервисные и вспомогательные программы КСЗИ; 4) информационное обеспечение - совокупность систем классификации и кодирования данных о защите информации, массивы данных КСЗИ, а также входные и выходные документы КСЗИ; 5) кадровое обеспечение составляют те лица (или группы лиц, коллективы, подразделения), которые имеют непосредственное отношение к защите информации в процессе функционирования ИС. К ним должны быть отнесены: 1) пользователи ИС, имеющие доступ к ее ресурсам и участвующие в обработке информации; 2) администрация ИС, обеспечивающая общую организацию функционирования системы обработки, в том числе и КСЗИ; 3) диспетчеры и операторы ИС, осуществляющие прием информации, подготовку ее к обработке, управление средствами ИС в процессе обработки, контроль и распределение результатов обработки, а также некоторые другие процедуры, связанные с циркуляцией информационных потоков; 4) администраторы банков данных, отвечающие за организацию, ведение и использование баз данных ИС; 5) обслуживающий персонал, обеспечивающий работу технических средств ИС, в том числе и средств КСЗИ; 6) системные программисты, осуществляющие управление программным обеспечением ИС; 7) служба защиты информации, специально создаваемая для организации и обеспечения защиты информации. Эта служба играет ведущую роль в защите информации. Она несет полную ответственность за защиту информации и имеет особые полномочия. Если служба защиты в виде самостоятельного подразделения не создается, то ее функции должны быть возложены на администрацию баз данных или ЛВС с соответствующим изменением ее организационно-правового статуса. 6) организационно-правовое обеспечение, как компонент КСЗИ, представляет собою организованные совокупности организационно-технических мероприятий и организационно-правовых актов. Организационно-технические мероприятия, с одной стороны, участвуют в непосредственном решении задач защиты (чисто организационными средствами или совместно с другими средствами защиты), а с другой - объединяют все средства в единые комплексы защиты информации. Организационно-правовые акты являются правовой основой, регламентирующей и регулирующей функционирование всех элементов КСЗИ. В целом же организационно-правовое обеспечение служит для объединения всех компонентов в единую систему защиты. 7) поддерживающая инфраструктура – по составу совпадает с подобным видом обеспечения для ИС в целом и представляет собой системы электропитания, кондиционирования, тепло- и водоснабжения, системы связи и т.п. Далее рассмотрим каждый из компонентов КСЗИ в отдельности. При этом обратим внимание на то, что в специализированных источниках вышеперечисленные компоненты несколько видоизменяют свои названия в устойчивые словосочетания: · организационная защита информации, · правовая защита информации, · программно-аппаратная защита информации, · криптографическая защита информации и · инженерно-техническая защита информации. |