Информационная безопасность и защита информации

«САНКТ-ПЕТЕРБУРГСКИЙ ГОСУДАРСТВЕННЫЙ  ПОЛИТЕХНИЧЕСКИЙ УНИВЕРСИТЕТ»

 

 

Факультет: МВШУ

кафедра: ЭКОНОМИКИ

ПРЕПОДАВАТЕЛЬ

				О.А.Смирнова
должность, уч. степень, звание		подпись, дата		инициалы, фамилия

 

«Информационная безопасность и защита информации»

по дисциплине: СТРАХОВАНИЕ

РАБОТУ ВЫПОЛНИЛА

СТУДЕНТКА ГР.	в2154/42				А.С.Карасёва
			подпись, дата		инициалы, фамилия

 

Санкт-Петербург 2012

 

 

Содержание:

Глава 1. ВВЕДЕНИЕ………………………………………………….…..3 Глава 2. ВИДЫ УГРОЗ ЗАЩИТЫ ИНФОРМАЦИИ………………..…4 Глава 3. ПРИНЦИПЫ ЗАЩИТЫ ИНФОРМАЦИИ……………………5
3.1 Правовые принципы защиты информации……………………...….5
3.2 Организационные принципы защиты информации…………..……8
3.3 Принципы защиты информации  от технических средств разведки……………………………………………………………..……11
Глава 4. СИСТЕМНЫЙ ПОДХОД КАК МЕТОДОЛОГИЯ ПОСТРОЕНИЯ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ……….…..13 4.1 Структура системы защиты информации…………….…….……..15
Глава 5. МЕТОДЫ ЗАЩИТЫ ИНФОРМАЦИИ……………………...18 Глава 6. СИСТЕМА ЗАЩИТЫ ИНФОРМАЦИИ В ЗАРУБЕЖНЫХ СТРАНАХ………………………………………………………….…….24 6.1 Организация защиты  в США………………………………….……24 6.2 Организация защиты  в Великобритании……………………..……25 6.3 Организация защиты  в Германии…………………………….….…26 6.4 Организация защиты  во Франции…………………………….……27 6.5 Международное сотрудничество  в области защиты         информации……………………………………………………………...28 Глава 7. СПИСОК ЛИТЕРАТУРЫ……………………………………..30

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Глава 1. «ВВЕДЕНИЕ»

 

Появление новых информационных технологий и развитие мощных компьютерных систем хранения и обработки информации повысили уровни защиты информации и  вызвали необходимость в том, чтобы эффективность защиты информации росла вместе со сложностью архитектуры  хранения данных.В настоящее время стало очевидным, что деятельность по защите информации и обеспечению информационной безопасности является одной из важнейших задач обеспечения суверенитета и обороноспособности Российской Федерации. Серьезную обеспокоенность представляет собой стремление ряда мировых стран к доминированию в мировом информационном пространстве, к вытеснению России с внешнего и внутреннего информационного рынка, которое сочетается с разработкой концепции информационных войн, предусматривающей создание средств опасного воздействия на её информационные сферы, нарушение нормального функционирования информационных и телекоммуникационных систем.

Для построения системы информационной безопасности нашей страны, способной  адекватно противодействовать угрозам, определенным в Доктрине информационной безопасности Российской Федерации, необходимо иметь четкое представление о  современных концепциях информационных войн развитых зарубежных стран, характерных  особенностях, эффективности применения и видах информационного оружия, а также о том, каким образом  зарубежом решаются задачи обеспечения  информационной безопасности

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Глава 2. «ВИДЫ УГРОЗ ЗАЩИТЫ ИНФОРМАЦИИ»

 

Виды информационной безопасности, а точнее виды угроз защиты информации на предприятии подразделяются на пассивную и активную.

 

Пассивный риск информационной безопасности направлен на внеправовое использование информационных ресурсов и не нацелен на нарушение функционирования информационной системы. К пассивному риску информационной безопасности можно отнести, например, доступ к БД или прослушивание каналов передачи данных.

 

Активный риск информационной безопасности нацелен на нарушение функционирования действующей информационной системы путем целенаправленной атаки на ее компоненты.

К активным видам угрозы компьютерной безопасности относится, например, физический вывод из строя  компьютера или нарушение его  работоспособности на уровне программного обеспечения.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Глава 3. «ПРИНЦИПЫ ЗАЩИТЫ ИНФОРМАЦИИ»

3.1 «Правовые принципы защиты информации»

Основными правовыми принципами защиты информации являются следующие.

Принцип законности, в рамках долженствующего существования правового государства деятельность любых государственных, кооперативных, частных органов и организаций, всех должностных лиц и граждан должна осуществляться в рамках действующих законов.

Принцип законности в области защиты информации выражается, прежде всего, в том, что необходимо нормативно-правовое регулирование этой важной области  общественных отношений в государстве. Законодательно должны быть обозначены права различных субъектов в  области защиты информации, на засекречивание информации и установление правил ее защиты; определено, что является государственной, коммерческой, иной охраняемой законом  тайной; установлена уголовная, административная, материальная, моральная ответственность  за незаконное покушение на защищаемую информацию и разглашение или  передачу такой информации кому-либо, вследствие чего наступили или могли  наступить вредные последствия  для собственника (владельца) информации.

С другой стороны, должностные лица и другие работники предприятий  и учреждений, которым по службе или работе доверяются секреты, в  соответствии с действующими законами и подзаконными актами, должны наделяться правами, позволяющими им успешно осуществлять защиту доверенной им конфиденциальной или секретной информации, и на них должны налагаться обязанности  по соблюдению соответствующего установленного режима, выполнение которого обеспечивает сохранность информации.

• Международные конвенции об охране информационной собственности, промышленной собственности и авторском праве защиты информации в интернете;
• Конституция РФ (ст. 23 определяет право граждан на тайну переписки, телефонных, телеграфных и иных сообщений);
• Гражданский кодекс РФ (в ст. 139 устанавливается право на возмещение убытков от утечки с помощью незаконных методов информации, относящейся к служебной и коммерческой тайне);
• Уголовный кодекс РФ (ст. 272 устанавливает ответственность за неправомерный доступ к компьютерной информации, ст. 273 — за создание, использование и распространение вредоносных программ для ЭВМ, ст. 274 — за нарушение правил эксплуатации ЭВМ, систем и сетей);
• Федеральный закон «Об информации, информатизации и защите информации» от 20.02.95 № 24-ФЗ (ст. 10 устанавливает разнесение информационных ресурсов по категориям доступа: открытая информация, государственная тайна, конфиденциальная информация, ст. 21 определяет порядок защиты информации);
• Федеральный закон «О государственной тайне» от 21.07.93 № 5485-1 (ст. 5 устанавливает перечень сведений, составляющих государственную тайну; ст. 8 — степени секретности сведений и грифы секретности их носителей: «особой важности», «совершенно секретно» и «секретно»; ст. 20 — органы по защите государственной тайны, межведомственную комиссию по защите государственной тайны для координации деятельности этих органов; ст. 28 — порядок сертификации средств защиты информации, относящейся к государственной тайне);

Федеральные законы «О лицензировании отдельных видов деятельности» от 08.08.2001 № 128-ФЗ

• «Об электронной цифровой подписи» от 10.01.02 № 1-ФЗ, «Об авторском праве и смежных правах» от 09.07.93 № 5351-1, «О

защиты информации, компьютерную безопасность и правовую защиту информации

Принцип приоритета международного права над внутригосударственным. Россия как преемница взятых бывшим Советским Союзом на себя обязательств признает также принцип приоритета международного права над внутренним. В частности, наша страна взяла на Венской встрече обязательство привести свое внутреннее законодательство в соответствие с положениями международных конвенций и соглашений, участником которых она является. Отсюда вытекает, что объектом засекречивания не могут быть сведения, которые наше государство обнародует или сообщает согласно конвенциям и соглашениям, так как оно становится членом мирового экономического сообщества, вступило в МВФ(Международный Валютный Фонд) и другие международные экономические организации. Одним из условий членства в этих организациях является предоставление информации о реальном положении дел в национальной экономике.

Это не исключает того, что РФ как  суверенное государство может и  должно засекречивать и защищать информацию, относящуюся к тем  областям его деятельности, которые  обеспечивают его национальную безопасность. Каждое государство имеет право  само решать, что оно будет засекречивать, а что открывать. Однако взаимность и равенство на национальные секреты  между государствами или коалициями государств будет способствовать развитию взаимного доверия.

Принцип одинаковой секретности будет способствовать укреплению мер доверия в международных отношениях, помогать устранению асимметрии режимных ограничений, сложившихся в различных странах. Излишнее стремление по сокрытию информации от другой стороны всегда вызывает подозрение, так как такие действия обычно связывают с недобрыми намерениями одной стороны по отношению к другой.

Принцип собственности  и экономической целесообразности.

Радикальные перемены, происходящие в российском обществе, не могли  не затронуть лежащие в основе экономической реформы отношений  по поводу собственности. Был принят ряд законов, регламентирующих сферу имущественных отношений, отношений собственности, в том числе относящихся к регулированию прав на интеллектуальную собственность, на владение и распоряжение информацией, на защиту информации.

Это дало собственникам информации, объектов интеллектуальной собственности  право принимать меры к их защите с помощью различных правовых механизмов, в том числе с помощью  патентов, норм авторского права, коммерческой тайны. Лишь собственник (владелец) информации имеет право определять, какую  информацию следует засекретить  и до какой степени и защищать как государственную или коммерческую тайну, или же запатентовать и  защищать с помощью патента и  оплачивать деятельность по защите любой  охраняемой информации.

Секретность должна оцениваться как  потребительское свойство и ее стоимость  должна включаться в цену производимого  продукта, за счет которой владельцем и будут осуществляться мероприятия, обеспечивающие режим секретности. Секретность должна быть экономической  категорией, и ее соблюдение в условиях рыночной экономики — дело владельцев,секретной промышленной или банковской тайны, которые сами должны оценивать степень и время действия секретности с учетом полученной или упущенной выгоды. В области защиты государственной тайны действуют и другие (политические, военные и т.д.) факторы при решении проблем защиты информации.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

3.2 «Организационные принципы защиты информации»

Организационные принципы претерпели за последние годы значительно меньше изменений по сравнению с правовыми. Это объясняется тем, что они  отражают общие по своей сути правила, подходы к защите секретов. Они  используются и «работают» при любой  общественно-политической и экономической  системе и при защите любого вида охраняемой информации: государственной  или коммерческой тайны.

Научный подход к организации защиты информации. В век научно-технического прогресса, когда информационные потоки возрастают неимоверно, информация, являясь  интеллектуальной ценностью, одновременно становится ресурсом и продуктом. В  информационных потоках, обслуживающих  различные государственные и  общественные потребности, имеются, естественно, и  потоки информации, которые должны сохраняться в тайне.

По данным американской статистики, в 1989 году в США было подготовлено более 6, 7 млн. секретных документов. В бывшем Советском Союзе создавалось  около 60 млрд. документов ежегодно. Учитывая в то время нашу «склонность» к  секретности, надо полагать, что из этих 60 млрд. ежегодно рождаемых документов, секретные тоже исчислялись миллиардами. Сохранение в тайне этих монбланов  информации, конечно же, не мыслится без использования современных  научных подходов к ее обращению, обработке на различных этапах рождения конфиденциальных документов. Не случайно за последние годы принят ряд законов, указов Президента РФ и постановлений  Правительства РФ по регламентации  информационных потоков в верхних  эшелонах власти и по защите определенной части информации.

Функционирующая в нашей стране общегосударственная система защиты информации создана с учетом имеющихся  объемов защищаемой информации и  используемых для ее обработки средств, традиций и опыта в области  защиты государственных секретов, накопленных  в предыдущие десятилетия. Создание такой системы потребовало научного осмысления таких проблем, как разграничение  компетенции в области защиты государственной тайны по всей иерархической  лестнице многочисленных органов и  организаций и защиты коммерческой тайны; научное и законодательное  определение понятий «государственная»  и «коммерческая тайна» и т.д. Научные и практические работники  уделяют много внимания разработке научных критериев определения  степени секретности информации и т.д.

Комплексный и системный подход к организации защиты информации предполагает, с одной стороны, выявление  и анализ возможных каналов утечки защищаемой информации с учетом объемов  такой информации и носителей, на которых она накапливается, и  ее важности. С другой стороны, изучаются  и анализируются возможности  конкурента по собиранию и добыванию защищаемой информации не вообще, а в каждом конкретном случае в отношении определенного предприятия, учреждения, отрасли или проблемы.

Системный подход позволяет создать  органически взаимосвязанную совокупность сил, средств и специальных методов  по оптимальному ограничению сферы  обращения засекреченной информации, предупреждению ее утечки.

При создании системы защиты информации и осуществлении мероприятий  по защите секретов от разглашения  или новейших TCP важно предусматривать  разносторонние комплексные защитные меры, направленные на предупреждение утечки информации из сферы ее обращения.

Максимальное ограничение числа  лиц, допускаемых к защищаемой информации. Является организационным принципом, применяемым повсеместно в деятельности по защите информации как у нас  в стране при организации защиты государственных или коммерческих секретов, так и зарубежными странами и иностранными фирмами.

Основной смысл этого принципа сводится к тому, что сохранность  засекреченной информации находится  в зависимости от количества лиц, допущенных к обращению с нею. Чем уже этот круг, тем выше вероятность  сохранения в тайне данной информации. Организационно этот принцип решается следующим образом: к секретным  работам допускаются лица, имеющие, во-первых, на то соответствующее разрешение в виде допуска, и во-вторых, из числа  лиц имеющих допуск — получившие разрешение на работу с конкретной информацией в виде доступа, который  получают только те, кто непосредственно  связан по работе с этой информацией.

Своеобразным проявлением этого  принципа возможно также дробление  технологической цепочки производства какого-либо изделия, продукта на отдельные  операции, знание одной из которых  не дает возможность восстановить всю  технологию. Каждая из операций засекречивается  самостоятельно и переход специалиста  с одной операции на другую или  вообще бывает невозможен, или требует  специального допуска и, следовательно, рассмотрения вопроса — с какой  целью это делается, если происходит по инициативе работника.

Персональная ответственность  за сохранность доверенных секретов. Этот принцип хорошо «работает», если каждый сотрудник, допущенный к защищаемой информации, понимает и осознает, что  сохранение в тайне этой информации и в его собственных интересах. Если же работник видит, что сохранение какой-то информации в тайне нужно  лишь предприятию или государству, а ему лично ничего не дает, то он к этому будет и относиться формально. Над ним будет тяготеть лишь груз боязни ответственности.

Важным фактором, повышающим ответственность  сотрудников за сохранение доверенных им секретов, является обучение правилам защиты засекреченной информации и  правилам обращения с конфиденциальными  документами.

Единство в решении производственных, коммерческих, финансовых и режимных вопросов. В этом принципе заложено одно из проявлений комплексного подхода  к организации защиты информации, имеющего, однако, относительно самостоятельное  значение. Знание и учет этого принципа заключается в том, что лица, принимающие  решения о засекречивании информации, болеющие больше, конечно, за решение  производственных, финансовых, маркетинговых  и иных подобных задач, не должны забывать и упускать из вида необходимость  одновременного решения и режимных вопросов, там, где это необходимо.

Непрерывность защиты информации. Данный принцип заключается в том, что  защита секретной или конфиденциальной информации должна начинаться с момента  ее появления (получения, создания, генерирования) «а всех этапах ее обработки, передачи, использования и хранения, вплоть до этапа ее уничтожения или рассекречивания.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

3.3 « Принципы защиты информации  от технических средств разведки»

В организации деятельности по защите информации от TCP и в СВТ руководствуются, прежде всего, теми же организационными и правовыми принципами, о которых  говорилось выше. Это объясняется  тем, что эти принципы имеют достаточно общий и универсальный характер. Эти принципы «работают» независимо от того, где, когда и кем осуществляется защита информации.

Однако имеются и специфические  принципы, обусловленные особенностями  предмета защиты, то есть носителей, на которых отображена защищаемая информация, используемых при этом силах, средствах  и методах, а также учитываются  средства и методы добывания защищаемой информации соперником с помощью TCP.

Принципы защиты информации, используемые при организации противодействия TCP:

— активность защиты информации —  выражается в целенаправленном навязывании  технической разведке ложного представления  об объекте его разведывательных устремлений, в соответствии с замыслом защиты;

— убедительность защиты информации — состоит в оправданности  замысла защиты условиям обстановки в соответствии с характером защищаемого  объекта или свойствам окружающей среды, в применении технических  решений защиты, соответствующих  климатическим, сезонным и другим условиям;

— непрерывность защиты информации предполагает организацию защиты объекта  на всех стадиях его жизненного цикла: предпроектном, проектном, в период разработки, изготовления (строительства), испытания, эксплуатации и утилизации;

— разнообразие защиты информации —  предусматривает исключение шаблона, повторяемости в выборе объекта  прикрытия и путей реализации смысла защиты, в том числе с  применением типовых решений.

Принципы защиты информации, используемые в СВТ. Основными принципами защиты информации, имеющими специфический  характер и используемыми в организации  защиты информации в СВТ, являются, по нашему мнению, следующие: введение избыточности элементов системы, резервирование элементов системы, защитные преобразования данных, контроль состояния элементов  системы, их работоспособности и  правильности функционирования.

Под введением избыточности элементов  системы понимается включение дополнительных компонентов сверх того минимума, который необходим для выполнения им всего множества своих функций. Избыточные элементы функционируют  одновременно с основными, что позволяет  создавать системы, устойчивые относительно внешних и внутренних дестабилизирующих  факторов и воздействий. Различают  избыточность организационную, аппаратную, программно-алгоритмическую, информационную, и др.

Защитные преобразования данных, контроль состояния элементов системы, их работоспособности и правильности функционирования будут рассмотрены  нами ниже.

Резервируются обычно не все элементы системы защиты информации, а особо  важных компьютерных подсистем, чтобы  в случае возникновения каких-то чрезвычайных обстоятельств, их можно  было использовать для решения стоящих  перед системой задач.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Глава 4. «СИСТЕМНЫЙ ПОДХОД КАК МЕТОДОЛОГИЯ ПОСТРОЕНИЯ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ»

Понятия «системный подход» и «система». Для того чтобы лучше понять необходимость  применения системного подхода к  организации деятельности по защите информации, следует представить, что  общая теория защиты секретов является составной и неразрывной частью теории обеспечения национальной безопасности государства, укрепления его обороноспособности и экономической мощи. Защита информации охватывает и вовлекает в свою орбиту различные структуры государственного аппарата, органы и предприятия независимо от форм их собственности, организации  и фирмы и т.д. Все эти структуры  государства связаны друг с другом, причем не какими-то случайными связями, а устойчивыми, влияющими друг на друга и зависящими друг от друга. Разобраться во всем многообразии этих связей можно только тогда, когда  мы применим для рассмотрения проблем  защиты информации системный подход.

Под системным подходом понимается методологическое направление в  науке, основная задача которого состоит  в разработке методов исследования и конструирования сложноорганизованных объектов — систем разного типа и классов. Системный подход используется в целях познания, исследовательской  и конструкторской деятельности, описания и объяснения природы анализируемых  или искусственно создаваемых объектов. Под системой же обычно понимают совокупность элементов, находящихся в отношениях и связях между собой и образующих определенную целостность, единство.

Системный подход к исследованию проблем  защиты информации позволит сделать  переход к упрощению всех сложных  связей системы защиты информации со всеми другими системами, с внешней  средой, выявить и понять сущность деятельности по защите информации. Прежде всего следует осознать, что защита информации имеет самостоятельное  значение лишь относительно. Она призвана обеспечить нормальное и эффективное  функционирование вышестоящей системы, в которую она «встроена» и  которой она создана: например, обеспечивать деятельность отрасли, предприятия, фирмы  и т.д. Цель режимной деятельности на любом предприятии состоит в  том, чтобы обеспечить научно-производственную, управленческую и другую деятельность секретной и другой защищаемой информацией. Поэтому система защиты информации является системой режимного информационного  обслуживания другой системы, являющейся по отношению к ней вышестоящей.

Информационный характер системы  защиты информации. Для большинства  таких систем характерно наличие  в них процессов передачи информации и управления. Информационные процессы обеспечивают целостное и целенаправленное функционирование системы. Системы  защиты информации относятся к целенаправленно  функционирующим системам, так как их создание обусловлено именно тем обстоятельством, что они должны быть пригодны для решения определенного класса задач, достигать определенных целей. Это, как правило, частично закрытые системы, так как с окружающей средой («не своей») обмен информацией они проводят весьма ограниченно и осмотрительно.

Для систем защиты информации характерны как бы два информационных контура: один информационный поток связан с  процессами управления системой защиты информации, другой информационный поток  — собственно защищаемая информация, которая является предметом труда, перемещается по каналам системы  защиты информации для «питания»  информацией той системы, в которую  она «встроена» и которой она  оказывает информационные услуги режимного  характера при осуществлении  этой системой научно-производственной, управленческой и иной деятельности.

Требования к системе защиты информации. Любая система защиты информации имеет свои особенности  и в то же время должна отвечать общим требованиям. Наиболее общими требованиями к системе защиты информации являются следующие.

Во-первых, система защиты информации должна быть представлена как нечто  целое. Целостность системы будет  выражаться в наличии: единой цели ее функционирования, информационных связей между элементами системы, иерархичность  построения подсистемы управления системой защиты информации.

Во-вторых, система защиты информации должна обеспечивать безопасность информации, средств информации и защиту интересов  участников информационных отношений.

В-третьих, система защиты информации в целом, методы и средства защиты должны быть по возможности «прозрачными»  для законного пользователя, не создавать  ему больших дополнительных неудобств, связанных с процедурами доступа  к информации, и в то же время  быть непреодолимыми для несанкционированного доступа злоумышленника к защищаемой информации.

В-четвертых, система защиты информации должна обеспечивать информационные связи  внутри системы между ее элементами, обеспечивающие их согласованное функционирование, и связи с внешней средой, перед  которой система проявляет свою целостность и выступает как единое целое.

 

 

 

 

 

 

4.1 «Структура системы защиты информации»

С одной стороны, система защиты информации включает в себя совокупность элементов ее образующих и их свойства. Внутренние связи системы и их свойства составляют архитектуру системы, ее структуру и внутреннюю организацию; с другой стороны, элементы системы  имеют внешние связи, которые  целенаправленно воздействуют на внешнюю  среду и решают поставленные перед  системой задачи. Это есть функциональная часть системы. Вполне естественно, что эти две части, две стороны  — функциональная и структурная  — не отделены друг от друга, это  как бы две стороны одних и  тех же элементов, составляющих систему  защиты информации.

Структурная часть системы защиты информации составляет ее внутреннюю организацию, которая позволяет  системе функционировать нормально, создает условия для обеспечения  безопасности засекреченной информации, ее обращения только по каналам, контролируемым данной системой.

Структурная часть системы защиты информации включает в себя:

1. Систему законов и других  нормативных актов, устанавливающих:

— порядок и правила защиты информации, а также ответственность за покушение  на защищаемую информацию или на установленный  порядок ее защиты;

— защиту прав граждан, связанных  по службе со сведениями, отнесенными  к охраняемой тайне;