ВР.pdf. Выпускная квалификационная работа специалиста
 Скачать 1.05 Mb.
|
|
2. Инструменты управления и способы обеспечения информационной безопасности 2.1 Состояние информационной безопасности в Российской Федерации Задачи в области информационной безопасности в России - это лишь часть глобальных задач и проблем. Общий коэффициент угроз в мире показывает, что Россия находится на втором месте по количеству кибертеррористических и хакерских атак. При этом 41% всех хакерских атак в мире происходит в США, в России - не более 10%. Текущая ситуация позволяет использовать относительно комфортный режим и направлять силы для повышения уровня защиты от предполагаемых угроз. В России все аспекты борьбы с угрозами информационной безопасности на национальном уровне оцениваются на уровне Доктрины информационной безопасности, которая служит основой для принятия нормативных актов. Ключевые вопросы Доктрины включают потребность России в независимом информационном присутствии в международном сообществе и выбор каналов для предоставления надежных данных и отчетов, которые уменьшают ущерб, наносимый дезинформирующими атаками. Что касается качества управления государством или компанией, то уровень информационной безопасности определяется способностью субъекта15: 1) обеспечить функционирование информационных ресурсов и потоков, достаточных для нормальной жизни и развития; 2) полностью защищать коммерческую или государственную тайну от незаконного вмешательства; 3) противостоять техническим и психологическим угрозам, защищать систему и пользователей от негативных воздействий с помощью информационных технологий; 4) поддерживать эффективность работы, «саморазвитие» и верные системные ответы на растущие вызовы; 5) использовать методы и средства защиты информационного суверенитета государства или корпоративных ценностей, не нарушающие целостность прав и свобод других государств и граждан. В настоящее время за информационную безопасность в России отвечают различные государственные учреждения, в том числе Федеральная служба по техническому и экспортному контролю (ФСТЭК), Федеральная служба по надзору в 15 Лопатин Ю. Н. Информационная безопасность в России. Проблемы, поиски решений // Информационная безопасность в России. 2018. №2. С. 51-52. 28 сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) и специализированные управления министерств, непосредственно министерства, а также межведомственная комиссия при Совете Безопасности. Однако участники процесса кибератак считают, что на данном этапе необходимо объединить функции и передать их отдельному регулятору на уровне федеральных служб с независимыми ресурсами и значительными полномочиями. Российская система все еще находится в стадии развития и не отвечает всем требованиям, необходимым для обеспечения полной информационной безопасности. Причин несколько: 1. Независимость. Независимость или степень локализации систем, необходимых для функционирования государства, обеспечивается посредством собственного программного обеспечения - операционных систем, систем защиты информации (лучшими операционными системами России признаны Alt Linux, Astra Linux и Ось); собственных каналов связи для поддержания «автономности» важнейших ресурсов от глобальной сети Интернет, а также квалифицированных кадров (по подсчетам Минкомсвязи в 2020 году произошел рост количества квалифицированных специалистов в области информационной безопасности и составил 350 тысяч человек). Важным аспектом обеспечения независимости является создание хорошо отлаженной системы межведомственного взаимодействия и независимой структуры управления рисками, основанной на нормативно-правовой базе, которая обеспечивает полномочия и возможности бесперебойной работы. Существенной проблемой является отсутствие собственного оборудования, что ставит российскую систему защиты информации в зависимость от зарубежных поставщиков. 2. Слабая защищенность финансовой системы. С марта по ноябрь 2020 года Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (FinCERT) зафиксировал не менее 20 масштабных кибератак на платежные системы. Злоумышленники пытались украсть у российских банков 2,87 миллиарда рублей. Совместно с отделами информационной безопасности банков и правоохранительными органами удалось предотвратить хищение более 1,5 млрд рублей. 3. Несовершенство информационной безопасности в социальной сфере. Главной целью является реализация высокого уровня обеспечения безопасности информации в таких сферах жизни как образование и социальная. Основополагающая проблема здесь содержится в том, что Российская Федерация не обладает достаточным уровнем среди международных сообществ и не может контролировать мировые социальные сети. В первом случае проблема заключается в том, что принцип давления на крупнейшие 29 источники с просьбами предоставить личные данные пользователей не всегда работает. В последнем случае необходима координация между различными ведомствами, так как эта проблема не может быть решена силами М ВД и Роскомнадзора в одиночку. За последние 2 года Роскомнадзор заблокировал 17 ООО доменных имен и пользователей, но они снова появляются - под другими именами, но с тем же кругом подписчиков. 4. Проблемы и угрозы на международном уровне. Информационные угрозы в России и в мире имеют прежде всего экономическое «происхождение». Кибертерроризм, направленный на подрыв политической стабильности, встречается реже и его очевидные масштабы объясняются широким освещением в СМИ. Кроме того, громкие взломы часто носят «рекламный» характер и служат своеобразной презентацией услуг той или иной хакерской группы, которая планирует применить свои способности и возможности на коммерческом «конвейере». Публичные действия также выполняют разведывательные функции. Таким образом, хакеры определяют степень защиты мировых информационных ресурсов и готовятся к новым, более серьезным и масштабным операциям. По данным Центра стратегических и международных исследований США, ежегодный ущерб от кражи компьютерной информации во всем мире превышает 440 миллиардов долларов. Эксперты по информационной безопасности отметили основные тенденции рынка информационной безопасности в России и спрогнозировали развитие киберугроз и средств защиты информации на 2021 год. Были затронуты темы удаленной работы и рисков утечки данных, машинного обучения и искусственного интеллекта, а также безопасности как услуги. Ожидается рост киберпреступности и атак, в том числе атак на критически важные инфраструктуры. В таких условиях особенно важно использовать продукты и решения безопасности, отвечающие требованиям, реализовать автоматизацию информационной безопасности и усилить аутентификацию удаленных пользователей. Главная проблема заключается в том, что из-за разрозненной и разнообразной инфраструктуры формируется более широкий фронт атаки. Это происходит из-за вынужденного режима удаленной работы, возникшего в 2020 году непосредственно в результате пандемии. Сюда входит, в частности, большая проблема защиты «домашних офисов» - рабочих мест людей, работающих удаленно. Также, из этой проблемы вытекает и проблема утечки данных. Системы безопасности России не были готовы к резкой смене работы большей части корпораций на удаленную, вследствие чего в 2020 году был выявлен большой всплеск утечек различных данных. В последние годы были предприняты определенные практические меры по усилению информационной безопасности в Российской Федерации. Началось формирование нормативно-правового обеспечения информационной безопасности - 30 приняты законы «О безопасности» и «О государственной тайне», начата работа по созданию механизмов их реализации и завершена подготовка законопроектов, регулирующих деятельность в информационной сфере. В дополнение к имеющимся, 12 апреля 2021 был издан указ Президента «Об утверждении Основ государственной политики Российской Федерации в области международной информационной безопасности», который направлен на: 1) продвижение на мировой арене российских подходов к формированию системы обеспечения информационной безопасности и российских инициатив; 2) содействие созданию международно-правовых механизмов предотвращения (урегулирования) межгосударственных конфликтов в глобальном информационном пространстве; 3) организацию межведомственного взаимодействия при реализации государственной политики в области международной информационной безопасности16. В соответствии с рисунком 3 можно увидеть, что по состоянию на конец 2020 года количество уникальных киберинцидентов увеличилось на 51% по сравнению с 2019 годом. Семь из десяти атак носили конкретный целенаправленный характер. По мнению киберпреступников, наиболее интересными отраслями являются государственные и медицинские учреждения и промышленные предприятия. В связи с пандемией СОУШ-19 частота взлома при атаках на организации выросла. По итогам 2020 года доля данного метода составляет 24% (на 10 процентных пунктов больше, чем в 2019 году). Медицинские учреждения занимают первое место по количеству атак с использованием шифров и третье место по количеству атак в год. Из-за действий хакеров медицинские системы оказались недоступными, а больницам даже пришлось отказывать пациентам в оказании неотложной помощи. Количество атак на промышленных предприятиях увеличилось на 91% по сравнению с 2019 годом, а доля взлома увеличилась в 2,6 раза по сравнению с предыдущим годом. Сообщалось о нападениях на критически важные объекты инфраструктуры, приводящих к отключению электроэнергии, а также о попытках взлома систем водоснабжения. 16 Об утверждении Основ государственной политики Российской Федерации в области \ reжд\ народной информационной безопасности : утв. указом Президента РФ от 12 апреля 2021 №213 // КонсультантПлюс : справ. Правовая система. - Версия проф. - М., 2021. - Режим доступа : локальная сеть Науч. б-ки Том. гос. ун-та. 31 250 200 150 100 SO О Рисунок 3 - Количество инцидентов кибератак в сравнении 2019 и 2020 годов17 Таким образом, российская система обеспечения информационной безопасности все еще находится на стадии развития и не отвечает всем требованиям, необходимым для обеспечения полной информационной безопасности. В этом, несомненно, есть и вина пандемии, из-за которой весной 2020 года большей части компаний пришлось экстренно перевести сотрудников на удаленный режим работы, из-за чего выяснилось, что российские системы безопасности не были готовы к такому скорому переходу к информатизированным системам. 2.2 Отечественный опыт обеспечения и управления информационной безопасностью Государственные учреждения, оборонная промышленность, коммерческие корпорации, финансовые учреждения, медицинские учреждения и малые предприятия регулярно собирают большие объемы конфиденциальных данных о персонале, клиентах, конкурентах, продуктах и финансовом обороте. Защита информации предоставляется в любом государстве и проходит множество этапов в своем развитии, в зависимости от потребностей государства, возможностей, методов и средств ее получения (особенно разведки), правового режима государства и его реальных усилий по обеспечению информационной защиты. 17 Актуальные киберугрозы: итоги 2020 года. [Электронный ресурс] // Positive Technologies - М., 2021. - URL: https://www.ptsecurity.coin/ru-ru/researcli/analytics/cybersecurity-tlireatscape-2020/ (Дата обращения 12.05.2021). 32 242 нн е фев март апр май июнь июль авг сен о кт ноя дек • 2019 • 2020 Важным этапом в становлении и совершенствовании такой системы в нашей стране стал период 1970-1980 годов. С начала 70-х гг. широкое использование технических средств для исследований началось в разведывательной деятельности мировых лидеров. 1980-е годы, отмеченные бурным научно-техническим прогрессом, особенно в военной области, дали новый импульс расширению возможностей внешней разведки: до 70% информации было добыто техническими средствами. Борьба с технической разведкой стала одной из составляющих общей системы мер по защите государственной и служебной тайны18. Государственная техническая комиссия СССР была создана постановлением правительства от 18 декабря 1973 года для организации и координации работ в этой области. В то же время начала формироваться система научного обеспечения комплексных действий против иностранных служб технической разведки. Высшие государственные органы Российской Федерации предприняли ряд важных шагов. В частности, Указом Президента РФ от января 1992 г. на базе Государственной технической комиссии СССР создан государственный орган высшего статуса - Государственная техническая комиссия под руководством Президента Российской Федерации (Гостехкомиссия России)19. В настоящее время происходят серьезные изменения в методологии защиты информации. Происходит переход от дорогостоящего сокрытия намеренно завышенных данных к гарантированной защите критических «узлов». Заложены правовые основы для этой деятельности. Принят Закон Российской Федерации «О государственной тайне» и Федеральный закон «Об информации, информатизации и защите информации». Указанные нормативно-правовые акты были созданы с целью считывания интересов личности, общества и государства. Одним из инструментов регулирования обеспечения информационной безопасности как на государственном уровне, так и на уровне предприятий и граждан является нормотворческая деятельность. Законодательная база в сфере обеспечения безопасности информационных данных выделена в отдельную подотрасль базы законодательства информационной сфере. В настоящее время существует программа, направленная на усовершенствование 18 Косовец А. А. Информационная безопасность в системе обеспечения экономической и национальной безопасности России // Вестник Академии экономической безопасности М ВД России. Право. - 2 0 1 1 . - №2. - С. 20-22. 19 Бабаш А. В. Информационная безопасность. История защиты информации в России [Текст] : [учебное пособие] / А. В. Бабаш, Е. К. Баранова, Д. А. Ларин. - Москва : КДУ, 2013. - 735 с. 33 существующей модели информационной безопасности. Ее положения были одобрены в 1998 году на парламентских слушаниях в Государственной Думе Российской Федерации и на заседании Комитета Государственной Думы по безопасности, благодаря которым было принято не менее 20 новых законодательных акта. Межведомственная комиссия Совета Безопасности Российской Федерации по информационной безопасности в свою очередь обозначила, что уровень современной информационной безопасности не подходит под критерии международного уровня, тем самым утвердила следующие направления 20 развития законодательства 1. Внесение изменений в действующее законодательство в целях уничтожения разногласий со стандартами Конституции Российской Федерации и интернациональных соглашений, к коим присоединилась Россия, коллизий меж законодательными актами федерального значения и актами, учреждающими органы работа по обеспечению информационной защищенности Российской Федерации (в ст. 5 Закона «О международных договорах» 1995 г. говорится о том, что если международным договором Российской Федерации установлены иные правила, чем предусмотренные законом, то применяются правила международного договора, однако уже с 1 июля 2020 года в новом тексте поправок к Конституции говорится о том, что решения межгосударственных органов, принятые на основании положений международных договоров Российской Федерации в их истолковании, противоречащем Конституции Российской Федерации, не подлежат исполнению в Российской Федерации)21. 2. Разработка Государственной программы становления общественных компьютерных сетей, охватывая определение правового статуса интернет-провайдеров и правовое регулирование их работы, передача информации в сети Интернет о работе органов государственной власти и районного самоуправления, защита российского языка в Интернете. 3. Создание нормативно-правовой базы для становления системы страхования информационных рисков, направленной на гарантированное страховое покрытие пользователей, оставивших информационные предложения и лиц, предоставляющих эти предложения, объяснение правового статуса зарубежного инвестора в сфере вложений и связи в целях обеспечения государственной защищенности Российской Федерации. 20 Вопросы Совета Безопасности Российской Федерации : утв. указом Президента РФ от 06.05.2011 N 590 (ред. от 07.03.2020 // КонсультантПлюс : справ. Правовая система. - Версия проф. - М., 2021. - Режим доступа : локальная сеть Науч. б-ки Том. гос. ун-та. 21 Конституция Российской Федерации: принята всенародным голосованием 12.12.1993 с изменениями, одобренными в ходе общероссийского голосования 01.07.2020 от 14 марта 2020 г. N 1-ФКЗ) / Собрание законодательства Российской Федерации. - 2020. - Ст. 79. 34 4. Законодательное разграничение уровней правового регулирования проблем информационной безопасности (федеральный уровень, уровень субъектов Федерации, уровень местного самоуправления). 5. Законодательное закрепление приоритета развития национальных сетей связи и отечественного производства спутников для космической связи. 6. Правовое регулирование развития негосударственной составляющей в формировании информационного общества и обеспечении информационной безопасности России. 7. Создание правовой основы функционирования системы региональных центров защиты информации в Российской Федерации. В последние годы очевидные сдвиги в данной сфере возможно отследить под воздействием процессов информатизации. Правовой почвой считается Федеральный закон «Об информации, информатизации и обороне информации», который четко регулирует вопросы правового режима источников информации. На основании положений обозначенного Федерального закона сотворена нормативно-правовая основа информатизации физических лиц Российской Федерации. Преодоление отставания от передовых стран требует организации и стимулирования производства. В этом блоке проблем особого внимания заслуживают следующие вопросы: 1) программирование и создание продуктов по мировым стандартам, особенно для открытых информационных бизнес-систем; 2) регулирование отношений в сфере информационной деятельности, информационных услуг, организация и обеспечение ответственности различных посреднических структур в информационно-коммуникационных системах; 3) формирование рынка информационных продуктов. Говоря об обеспечении и регулировании информационной безопасности организаций необходимо учитывать специфику конкретных бизнес-процессов. На практике обеспечение информационной безопасности компаний осуществляется следующими способами (рисунок 4): 35 Рисунок 4 - Основные способы для реализации информационной безопасности22 1. Моральные средства защиты. Под ними понимают стандарты поведения и правила работы с информационными активами, которые возникли в результате распространения и внедрения электронных технологий в различных секторах государства и общества в целом. Фактически, это необязательные требования, в отличие от законодательных. Однако их нарушение приведет к потере репутации человека и организации. Моральные и этические средства защиты информации должны в первую очередь включать честность и порядочность сотрудников. В каждой организации есть свой набор правил и положений, направленных на создание здорового морального климата в коллективе. Механизм безопасности - это внутренний документ компании, учитывающий специфику бизнес-процессов и структуры информации, а также структуру ГГ-системы. 2. Организационные средства. Регулируют работу системы обработки информации, сотрудников организации и процесс взаимодействия их с системой, чтобы устранить или предотвратить угрозу информационной атаки или снизить потери в случае их возникновения. Основная цель - установить внутреннюю политику конфиденциальности засекреченных данных, включая использование и контроль необходимых ресурсов. Реализация политики конфиденциальности включает в себя выполнение контрольных и технических задач, а также набор сотрудников внутренней безопасности. Возможны изменения в структуре IT-системы, поэтому системные администраторы и программисты должны участвовать в реализации политики конфиденциальности. Все сотрудники компании должны быть обучены правилам работы с конфиденциальной информацией. 3. Правовые средства. Они основаны на законах, решениях и нормативных актах, действующих в Российской Федерации, которые устанавливают правила обработки |