Основные методы защиты информации

 

 

Содержание

 

           Введение………………………………………………………………………3

  1. Понятия о персональных данных……………………………………………5
    1. Принципы и условия обработки персональных данных………………..6
    2. Категории персональных данных………………………………………...8
    3. Права субъекта персональных данных…………………………………11
  2. Основные методы защиты информации…………………………………...16
    1. Обеспечение достоверности и сохранности информации в автоматизированных системах………………………………………….16
    2. Обеспечение конфиденциальности информации……………………...21
  3. Контроль защиты информации……………………………………………..29
  4. Ответственность за нарушение правил работы с персональными данными……………………………………………………………………...32

Заключение…………………………………………………………………..35

Список  использованных источников………………………………………36

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Введение

 

В настоящее время проблема защиты персональных данных является одной из наиболее актуальных для нашей страны. Это связано с тем, что 26 января 2007 года вступил в силу Федеральный закон "О персональных данных". В этом законе сформулированы требования по защите персональных данных. Важно отметить, что требования данного закона являются обязательными и для коммерческих, и для государственных организаций. При этом, согласно статье 25, информационные системы должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2012 года.

Кроме того, стоит отметить, что Федеральный закон "О персональных данных" не является единственным нормативно-правовым актом, регламентирующим положение о персональных данных. Существует ряд документов, к которым относятся: Постановление правительства РФ от 17 ноября 2007 года №781 "Об утверждении положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных" и нормативные и методические документы ФСТЭК и ФСБ России. Согласно этим документам, обеспечение безопасности персональных данных является неотъемлемой и обязательной частью работ по созданию и поддержке информационных систем.

В повседневной жизни человека сохранность информации о его жизни зависит от него самого. Но совсем другая ситуация, когда  мы обязаны предоставить данные о  себе в соответствии с законом  третьему лицу, а конкретно –  работодателю. Работник в данной ситуации передает конфиденциальную  информацию о себе на ответственное хранение. Далее за сохранность данных отвечает уже работодатель. Он обязан оберегать  сведения о работнике от посягательств  третьих лиц и нести ответственность  за распространение указанных данных.

Усложнение  методов и средств организации  машинной обработки, повсеместное использование  глобальной сети Интернет приводит к  тому, что информация становится более уязвимой. Этому способствуют такие факторы, как постоянно возрастающие объемы обрабатываемых данных, накопление и хранение данных в ограниченных местах, постоянное расширение круга пользователей, имеющих доступ к ресурсам, программам и данным, недостаточный уровень защиты аппаратных и программных средств компьютеров и коммуникационных систем и т.п.

Учитывая  эти факты, защита информации в процессе ее сбора, хранения, обработки и передачи приобретает исключительно важное значение.

Целью данной работы является рассмотрение направлений и методов защиты персональных данных граждан.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

  1. Понятия о персональных данных

 

Согласно  статье 3 Федерального закона, определение  персональных данных звучит следующим  образом:

Персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

В настоящее время практически в каждой организации в информационных системах хранятся и обрабатываются различные данные о сотрудниках, клиентах, партнерах и т.п., такие как, например, фамилия, имя, отчество, дата и место рождения, адрес, семейное, имущественное и социальное положение, сведения об образовании, профессии, информация о доходах и другие персональные данные.1

Кроме того, рядовые граждане зачастую сами не заботятся о сохранении своих  персональных данных. В наш век  широкого использования интернета  и различных коммуникационных сетей, для получения определенной информации необходимо предоставление своих данных. Мы регистрируемся на различных сайтах, оставляем свои данные в магазинах, совершая покупки. Например, при получении  кредита, мы вынуждены предоставить не только базовые данные об имени, фамилии и месте работы, но и  также данные членов семьи и других лиц. Также наши данные записываются в больницах, школах, ВУЗах. Это только небольшой перечень мест, где эти  данные необходимы.2

Возникает вопрос: какое же количество людей  имеет доступ к персональным данным других лиц? Это могут быть не только сотрудники учреждений, в которых хранятся данные. Нашими данными может завладеть практически любой человек и в дальнейшем использовать их с неблаговидной целью. Таких примеров масса. Необходимость закона, регламентирующего защиту данных, очевидна. Персональные данные каждого лица должны быть защищены.

 

    1. Принципы и условия обработки персональных данных

 

Принципы  обработки персональных данных изложены в ст. 5 гл. 2 Федерального закона "О персональных данных". Эти принципы таковы:

  1. должна соблюдаться законность и добросовестность целей и способов обработки персональных данных;
  2. должно быть соответствие целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных, а также полномочиям оператора;
  3. необходимо соответствие объема и характера обрабатываемых персональных данных, способов обработки персональных данных целям обработки персональных данных;
  4. должна соблюдаться достоверность персональных данных, их достаточность для целей обработки, недопустимость обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных;
  5. недопустимо объединение созданных для несовместимых между собой целей баз данных информационных систем персональных данных.3

Персональные  данные должны храниться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют  цели их обработки, и они подлежат уничтожению по достижении целей  обработки или в случае утраты необходимости в их достижении.

Условия обработки персональных данных содержаться  в ст. 6 гл. 2 Федерального закона "О персональных данных". Этими условиями являются:

  1. осуществление обработки персональных данных оператором только с согласия субъектов персональных данных;
  2. осуществление в тех случаях, если оператор на основании договора поручает обработку персональных данных другому лицу, существенным условием договора является обязанность обеспечения указанным лицом конфиденциальности персональных данных и безопасности персональных данных при их обработке;
  3. осуществление обработки специальных категорий персональных данных, а также биометрических персональных данных в особом порядке.

Существует  также ряд исключений, в котором  согласие субъекта персональных данных на их обработку не требуется. Это  происходит, когда:

  1. обработка персональных данных осуществляется на основании федерального закона, устанавливающего ее цель, условия получения персональных данных и круг субъектов, персональные данные которых подлежат обработке, а также определяющего полномочия оператора;
  2. обработка персональных данных осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
  3. обработка персональных данных осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
  4. обработка персональных данных необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, если получение согласия субъекта персональных данных невозможно;
  5. обработка персональных данных необходима для доставки почтовых отправлений организациями почтовой связи, для осуществления операторами электросвязи расчетов с пользователями услуг связи за оказанные услуги связи, а также для рассмотрения претензий пользователей услугами связи;
  6. обработка персональных данных осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
  7. осуществляется обработка персональных данных, подлежащих опубликованию в соответствии с федеральными законами, в том числе персональных данных лиц, замещающих государственные должности, должности государственной гражданской службы, персональных данных кандидатов на выборные государственные или муниципальные должности.4

 

    1. Категории персональных данных

 

В Федеральном  законе "О персональных данных" статьей 9 вводится понятие "особые категории персональных данных". Для них традиционно существуют особые условия и ограничения сбора, обработки и передачи. Отдельного одобрения заслуживает жесткое, но полностью отвечающее задаче защиты персональных данных условие (п.4 ст.9 о прекращении обработки особых категорий персональных данных и об уничтожении этих данных), если субъект данных не дал согласия на их хранение в информационной системе оператора.

Остановимся поподробнее на специальных категориях персональных данных. Обработка специальных категорий персональных данных, которая касается расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, не допускается, но существует ряд исключений, если, субъект персональных данных дал согласие в письменной форме на обработку своих персональных данных; если персональные данные субъекта являются общедоступными; персональные данные относятся к состоянию здоровья субъекта персональных данных и их обработка необходима для защиты его жизни, здоровья или иных жизненно важных интересов либо жизни, здоровья или иных жизненно важных интересов других лиц, и получение согласия субъекта персональных данных невозможно; если обработка персональных данных осуществляется в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну; обработка персональных данных членов общественного объединения или религиозной организации осуществляется соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных; если обработка персональных данных необходима в связи с осуществлением правосудия и; если обработка персональных данных осуществляется в соответствии с законодательством Российской Федерации о безопасности, об оперативно-розыскной деятельности, а также в соответствии с уголовно-исполнительным законодательством Российской Федерации.5

Обработка персональных данных о судимости  может осуществляться государственными органами или муниципальными органами в пределах полномочий, предоставленных  им в соответствии с законодательством  Российской Федерации, а также иными лицами в случаях и в порядке, которые определяются в соответствии с федеральными законами.

Обработка специальных категорий персональных данных должна быть незамедлительно  прекращена, если устранены причины, вследствие которых осуществлялась обработка.

Теперь  остановимся на другой категории  данных – биометрических персональных данных. Федеральным законом "О персональных данных" представлено следующее определение:

Биометрические персональные данные - сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность

Обработка таких данных может осуществляться без согласия субъекта персональных данных в связи с осуществлением правосудия, а также в случаях, предусмотренных законодательством Российской Федерации о безопасности, законодательством Российской Федерации об оперативно-розыскной деятельности, законодательством Российской Федерации о государственной службе, уголовно-исполнительным законодательством Российской Федерации, законодательством Российской Федерации о порядке выезда из Российской Федерации и въезда в Российскую Федерацию.6

Использование биометрических технологий в последние годы стало очень популярным. Увеличившийся в последнее время интерес к данной тематике в мире принято связывать с угрозами активизировавшегося международного терроризма. Многие государства вводят в обращение паспорта с биометрическими данными. Биометрические технологии основаны на биометрии, измерении уникальных характеристик отдельно взятого человека. Это могут быть как уникальные признаки, полученные им с рождения, например: ДНК, отпечатки пальцев, радужная оболочка глаза; так и характеристики, приобретённые со временем или же способные меняться с возрастом или внешним воздействием. Например: почерк, голос или походка.

 

 

    1. Права субъекта персональных данных

 

Субъектом персональных данных может являться только физическое лицо. Одним из важнейших  прав субъекта является право субъекта персональных данных на доступ к своим персональным данным.

Субъект персональных данных имеет право  на получение сведений об операторе, о месте его нахождения, о наличии  у оператора персональных данных, относящихся к соответствующему субъекту персональных данных, а также  на ознакомление с такими персональными  данными. Субъект персональных данных вправе требовать от оператора уточнения  своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно  полученными или не являются необходимыми для заявленной цели обработки, а  также принимать предусмотренные  законом меры по защите своих прав.7

Сведения  о наличии персональных данных должны быть предоставлены субъекту персональных данных оператором в доступной форме, и в них не должны содержаться  персональные данные, относящиеся к  другим субъектам персональных данных.

Доступ  к своим персональным данным предоставляется  субъекту персональных данных или его  законному представителю оператором при обращении либо при получении  запроса субъекта персональных данных или его законного представителя. Запрос должен содержать номер основного  документа, удостоверяющего личность субъекта персональных данных или его  законного представителя, сведения о дате выдачи указанного документа  и выдавшем его органе и собственноручную подпись субъекта персональных данных или его законного представителя. Запрос может быть направлен в  электронной форме и подписан электронной цифровой подписью в  соответствии с законодательством  Российской Федерации.

Субъект персональных данных имеет право  на получение при обращении или  при получении запроса информации, касающейся обработки его персональных данных, в том числе содержащей:

  1. подтверждение факта обработки персональных данных оператором, а также цель такой обработки;
  2. способы обработки персональных данных, применяемые оператором;
  3. сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ;
  4. перечень обрабатываемых персональных данных и источник их получения;
  5. сроки обработки персональных данных, в том числе сроки их хранения;
  6. сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.

В некоторых  случаях, право субъекта на доступ к  своим персональным данным ограничивается. Оно ограничивается в случае, если обработка персональных данных осуществляется органами, осуществившими задержание субъекта персональных данных по подозрению в совершении преступления, либо предъявившими  субъекту персональных данных обвинение  по уголовному делу, либо применившими к субъекту персональных данных меру пресечения до предъявления обвинения, за исключением предусмотренных  уголовно-процессуальным законодательством  Российской Федерации случаев, если допускается ознакомление подозреваемого или обвиняемого с такими персональными  данными. Также, право субъекта на доступ ограничивается, если обработка персональных данных, в том числе персональных данных, полученных в результате оперативно-розыскной, контрразведывательной и разведывательной деятельности, осуществляется в целях обороны страны, безопасности государства и охраны правопорядка и если предоставление персональных данных нарушает конституционные права и свободы других лиц.

Особо отметим  права субъектов персональных данных при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации.

Обработка персональных данных в целях продвижения  товаров, работ, услуг на рынке путем  осуществления прямых контактов  с потенциальным потребителем с  помощью средств связи, а также  в целях политической агитации допускается  только при условии предварительного согласия субъекта персональных данных. Указанная обработка персональных данных признается осуществляемой без  предварительного согласия субъекта персональных данных, если оператор не докажет, что  такое согласие было получено. Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных.

Следующим рассмотрим право субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных.

Запрещается принятие на основании исключительно  автоматизированной обработки персональных данных решений, порождающих юридические  последствия в отношении субъекта персональных данных или иным образом  затрагивающих его права и  законные интересы. Решение, порождающее  юридические последствия в отношении  субъекта персональных данных или иным образом затрагивающее его права  и законные интересы, может быть принято на основании исключительно  автоматизированной обработки его  персональных данных только при наличии  согласия в письменной форме субъекта персональных данных или в случаях, предусмотренных федеральными законами, устанавливающими также меры по обеспечению  соблюдения прав и законных интересов  субъекта персональных данных.

Оператор  обязан разъяснить субъекту персональных данных порядок принятия решения  на основании исключительно автоматизированной обработки его персональных данных и возможные юридические последствия  такого решения, предоставить возможность  заявить возражение против такого решения, а также разъяснить порядок защиты субъектом персональных данных своих прав и законных интересов.

Оператор  обязан рассмотреть возражение в  течение семи рабочих дней со дня  его получения и уведомить  субъекта персональных данных о результатах  рассмотрения такого возражения.8

Существует  также право на обжалование действий или бездействия оператора. Руководствуясь этим правом, если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. И, если субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.9

Также закон  регламентирует и обязанности оператора, которые неразделимо связаны  с правами субъекта персональных данных. При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе  информацию. Если обязанность предоставления персональных данных установлена федеральным  законом, оператор обязан разъяснить субъекту персональных данных юридические последствия  отказа предоставить свои персональные данные. Если персональные данные были получены не от субъекта персональных данных, за исключением случаев, если персональные данные были предоставлены  оператору на основании федерального закона или если персональные данные являются общедоступными, оператор до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию:

  1. наименование (фамилия, имя, отчество) и адрес оператора или его представителя;
  2. цель обработки персональных данных и ее правовое основание;
  3. предполагаемые пользователи персональных данных;
  4. установленные настоящим Федеральным законом права субъекта персональных данных.

 

  1. Основные методы защиты информации
    1. Обеспечение достоверности и сохранности информации в автоматизированных системах

 

Проблема  обеспечения (повышения) достоверности  информации при ее обработке в  автоматизированных системах заключается  главным образом в контроле правильности информационных массивов, обнаружении  ошибок и их исправлении на различных  этапах обработки информации. Исследование проблемы обеспечения достоверности  информации в автоматизированных системах осуществляется на трех уровнях:

  1. Синтаксическом (связан с контролем и защитой элементарных составляющих информационных массивов – знаков или символов);
  2. Семантическом (связан с обеспечением достоверности смыслового значения информационных массивов, их логичности, непротиворечивости и согласованности);
  3. Прагматическом (связан с изучением вопросов ценности информации при принятии управленческих решений, ее доступности и своевременности, влияния ошибок на качество и эффективность функционирования автоматизированных систем).10

Ошибки, возникающие в процессе обработки  информации, связаны с помехами, сбоями и отказами технических и  программных средств, ошибками пользователей  и обслуживающего персонала, недостаточной  точностью или ошибками в исходных, промежуточных и выходных  данных, неадекватностью реализованных  математических моделей реальным процессам.

Для достижения требуемой или максимальной достоверности  обработки информации в автоматизированных системах используются специальные  методы, основанные на введении в структуры  обработки информационных массивов информационной, временной или структурной  избыточности.

Информационная  избыточность характеризуется введением  дополнительных разрядов в используемые информационные массивы и дополнительных операций в процедуры переработки  информационных массивов, имеющих математическую или логическую связь с алгоритмом переработки, обеспечивающих выявление  и исправление ошибок определенного  типа.

Временная избыточность связана с возможностью неоднократного повторения определенного  контролируемого этапа обработки  информации.

Структурная избыточность характеризуется введением  в состав автоматизированных систем дополнительных элементов.

По виду реализации известные методы обеспечения  достоверности обрабатываемой информации в автоматизированных системах можно  разделить на две основные группы: организационные (системные и административные) и аппаратно-программные (программные  и аппаратные) (рис. 1).

Надежность  автоматизированных систем – свойство автоматизированных систем выполнять  функции, сохраняя во времени значения установленных эксплуатационных показателей  в заданных пределах, соответствующих данным режимам и условиям использования, технического обслуживания, ремонта, хранения и транспортирования.

Надежность  комплекса аппаратных средств определяется в основном случайными сбоями и отказами, а надежность комплекса программных  средств – наличием систематических  ошибок, допущенных при его разработке.

Для обеспечения  достоверности в автоматизированных системах используются общие типовые  методы обеспечения надежности аппаратуры, целью которых служит поддержание  характеристик аппаратных средств  автоматизированных систем в заданных пределах. Надежность технических (аппаратных) средств достигается на этапах разработки, производства и эксплуатации.11 

Для программных  средств рассматривают два этапа  – этап разработки и этап эксплуатации. Этап разработки программных средств  является определяющим при создании надежных компьютерных систем.

На этапе  эксплуатации программные средства дорабатываются, в них устраняются  замеченные ошибки, поддерживается целостность  программных средств и актуальность данных, используемых этими средствами.

Аппаратно-программные  методы повышения достоверности  перерабатываемой в автоматизированных системах информации представляют собой  совокупность методов контроля и  выявления ошибок в исходных и  получаемых информационных массивах, их локализации и исправления.12

При эксплуатации автоматизированных систем существует возможность разрушения информационных массивов, которое приводит к появлению  ошибок в результатах, невозможности  решения некоторых функциональных задач или к полному отказу автоматизированных систем. Основными  причинами нарушения целостности  и готовности информационных массивов в процессе их непосредственного  использования или хранения на носителях  являются ошибки и преднамеренные действия операторов и обслуживающего персонала, деструктивные действия компьютерных вирусов, агрессивность внешней  среды (температура, влажность и  др.), износ носителей информации, приводящие к разрушению информационных массивов или их носителей.13

Проблема  обеспечения целостности и готовности информации при эксплуатации автоматизированных систем заключается в разграничении  доступа к информационным массивам и программно-техническим ресурсам, контроле правильности информационных массивов, обнаружении ошибок, резервировании и восстановлении информационных массивов во внутримашинной информационной базе по зарезервированным информационным массивам.14

Методы  повышения сохранности информации в автоматизированных системах в  зависимости от вида их реализации можно разделить на организационные  и аппаратно-программные.

I. Организационные методы повышения сохранности состоят в создании и использовании рациональной технологии эксплуатации информационных массивов, предусматривающей профилактические меры по снижению доли искажений информационных массивов до определенного допустимого уровня и по обеспечению своевременного предоставления необходимых аутентичных информационных массивов для автоматизированного решения задач автоматизированных систем. Основными из них являются:

1) учет  и хранение информационных массивов  в базах данных автоматизированных  систем;

2) контроль  за качеством работы операторов  и обслуживающего персонала;

3) контроль  износа и старения технических  средств, функционирования автоматических  систем, а также правильности  их эксплуатации;

4) профотбор,  обучение и стимулирование персонала  автоматизированных систем;

Основные методы защиты информации 📙 Курсовая → 🆔 160129

Основные методы защиты информации 📙 Курсовая → 🆔 160129

Основные методы защиты информации