Защита информации

Предупреждение и пресечение правонарушений в области информационной безопасности

Информационная эра привела к драматическим изменениям в способе выполнения своих обязанностей для большого числа профессий. Теперь нетехнический специалист среднего уровня может выполнять работу, которую раньше делал высококвалифицированный программист. Служащий имеет в своем распоряжении столько точной и оперативной информации, сколько никогда не имел.

Но использование компьютеров и автоматизированных технологий приводит к появлению ряда проблем для руководства организацией. Компьютеры, часто объединенные в сети, могут предоставлять доступ к колоссальному количеству самых разнообразных данных. Поэтому люди беспокоятся о безопасности информации и наличии рисков, связанных с автоматизацией и предоставлением гораздо большего доступа к конфиденциальным, персональным или другим данным. Все увеличивается число компьютерных преступлений, что может привести в конечном счете к подрыву экономики. И поэтому должно быть ясно, что информация – это ресурс, который надо защищать.

Понятие информационной безопасности

Защита информации – это комплекс мероприятий, направленных на обеспечение информационной безопасности.

Под информационной безопасностью будем понимать защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести неприемлемый ущерб субъектам информационных отношений, в том числе владельцам и пользователям информации и поддерживающей инфраструктуры.

Таким образом, правильный с методологической точки зрения подход к проблемам информационной безопасности начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем. Угрозы информационной безопасности – это оборотная сторона использования информационных технологий.

Из этого положения можно вывести два важных следствия:

Трактовка проблем, связанных с информационной безопасностью, для разных категорий субъектов может существенно различаться.

Информационная безопасность не сводится исключительно к защите от несанкционированного доступа к информации, это принципиально более широкое понятие.

Согласно определению информационной безопасности, она зависит не только от компьютеров, но и от поддерживающей инфраструктуры, к которой можно отнести системы электро-, водо- и теплоснабжения, кондиционеры, средства коммуникаций и, конечно, обслуживающий персонал.

Обратим внимание, что в определении ИБ перед существительным «ущерб» стоит прилагательное «неприемлемый». Очевидно, застраховаться от всех видов ущерба невозможно, тем более невозможно сделать это экономически целесообразным способом, когда стоимость защитных средств и мероприятий не превышает размер ожидаемого ущерба.

Спектр интересов субъектов, связанных с использованием информационных систем, можно разделить на следующие категории: обеспечение доступности, целостности и конфиденциальности информационных ресурсов и поддерживающей инфраструктуры.

Доступность – это возможность за приемлемое время получить требуемую информационную услугу.

Целостность – актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения.

Конфиденциальность – это защита от несанкционированного доступа к информации.

Подводя итог вышесказанному, можно утверждать, что обеспечение информационной безопасности является неотъемлемой задачей руководства компании (субъектов информационных отношений), независимо от стадии развития, так как защищённость жизненно необходимой информации от угроз, внутренних или внешних, есть ни что иное, как фундамент для более эффективного протекания бизнес-процессов, а так же развития той или иной отрасли.

Преступления в области информационной безопасности

Вчера контроль за технологией работы был заботой технических администраторов. Сегодня контроль за информацией стал обязанностью каждого нетехнического конечного пользователя. Когда компьютеры впервые появились, они были доступны только небольшому числу людей, которые умели их использовать. Сегодня все изменилось. Число служащих в организации, имеющих доступ к компьютерному оборудованию и информационной технологии, постоянно растет. Доступ к информации больше не ограничивается только узким кругом лиц из верхнего руководства организации. Этот процесс привел к тому, что произошла «демократизация преступления». Чем больше людей получало доступ к информационной технологии и компьютерному оборудованию, тем больше возникало возможностей для совершения компьютерных преступлений.

Типичный компьютерный преступник – это служащий, которому разрешен доступ к системе, нетехническим пользователем которой он является.

Анализ зарубежных и отечественных отчетов о выявленных компьютерных преступлениях позволяет описать основные технологии их совершения. В большей части случаев это мошенничества и злоупотребления информацией – ею манипулировали, ее создавали, ее использовали.

Существует так же ряд признаков, который свидетельствует о наличии уязвимых мест в информационной безопасности. В то время как признаки могут помочь выявить преступление или злоупотребление, меры защиты могут помочь предотвратить его.

Угрозы информационной безопасности

Угроза безопасности информации – совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации и/или несанкционированными и/или непреднамеренными воздействиями на нее.

По способам воздействия на объекты информационной безопасности угрозы подлежат следующей классификации: информационные, программные, физические, радиоэлектронные и организационно-правовые.

Меры защиты

Меры защиты – это меры, вводимые руководством, для обеспечения безопасности информации – административные руководящие документы (приказы, положения, инструкции), аппаратные устройства или дополнительные программы – основной целью которых является предотвратить преступления и злоупотребления, не позволив им произойти. Меры защиты могут также выполнять функцию ограничения, уменьшая размер ущерба от преступления.

  1. Меры защиты информационной безопасности

К мерам информационной защиты относиться разработка определённого количества необходимых процедур: идентификация пользователей, аутентификация пользователей, а так же другие меры защиты (разработка процедур авторизации, администрирование паролей). Так же необходима защита целостности информации, защита программного обеспечения. Меры защиты должны быть адекватными, для чего может быть привлечена специальная организация, занимающаяся тестированием информационной безопасности.

  1. Меры физической безопасности

Физическая безопасность означает лишь содержание компьютера и информации в нем, в безопасности от физических опасностей. Физическая безопасность связана с внедрением мер защиты, которые защищают от стихийных бедствий (пожаров, наводнений, и землетрясений), а также всяких случайных инцидентов. Меры физической защиты должны отвечать требованиям современной действительности и сочетать эффективность с невысокой ценой.

  1. Законы, регулирующие информационную безопасность

До последнего времени проблема обеспечения безопасности компьютерной информации в нашей стране не только не выдвигалась на передний край, но фактически полностью игнорировалась. Считалось, что путем тотальной секретности, различными ограничениями в сфере передачи и распространения информации, можно решить проблему обеспечения информационной безопасности.

Существуют, так называемые, правовые меры обеспечения информационной безопасности. К ним относится регламентация законом и нормативными актами действий с информацией и оборудованием, и наступление ответственности за нарушение правильности таких действий.

Использование технологий, которые входят в понятие информационная система – залог успешной деятельности любой организации и ее управленческого звена.

Информационные процессы и деятельность, связанная с ними, должны регламентироваться стандартизтрованными нормами. Для упрощения обмена информацией, защиты коммерческой тайны и авторских прав, статистического анализа, планирования и эффективного управления по всем иерархическим уровням глобальной информационной системы страны необходимо законодательное регулирование информационной деятельности организаций.

Что касается защиты информации, то хотя рассмотренные нами средства не всегда надежны, т.к. на сегодняшний день быстрыми темпами развивается не только техника (в нашем случае компьютерная), постоянно совершенствуется не только сама информация, но и методы, позволяющие эту информацию добывать, этими средствами не следует пренебрегать. Наш век часто называют информационной эпохой, и он несет с собой огромные возможности, связанные с экономическим ростом, технологическими новшествами.

На данный момент обладание электронными данными, которые становятся наибольшей ценностью информационной эры, возлагает на своих владельцев права и обязанности по контролю их использования. Файлы и сообщения, хранимые на дисках и пересылаемые по каналам связи, имеют иногда большую ценность, чем сами компьютеры, диски. Поэтому перспективы информационного века могут быть реализованы только в том случае, если отдельные лица, предприятия и другие подразделения, владеющие информацией, которая все чаще имеет конфиденциальный характер или является особо важной, смогут соответствующим образом защитить свою собственность от всевозможных угроз, выбрать такой уровень защиты, который будет соответствовать их требованиям безопасности, основанным на анализе степени угрозы и ценности хранимой собственности.

А.Н. Калёнов