Построение защищенных информационных систем

 

 

 

 

В настоящее  время уделяется большое внимание вопросам построения защищенных информационных систем, что связано с растущей необходимостью применения современных информационных технологий в тех областях, для которых основным требованием к автоматизированным системам обработки информации является обеспечение безопасности. Широко распространенные операционные системы (ОС) типа Linux или Windows не могут удовлетворить этому критерию. В то же время эти ОС обладают огромным количеством приложений для обработки информации и имеют привычный для пользователя интерфейс.

Для удовлетворения высоких требований к безопасности создаются специальные защищенные ОС (ЗОС), нацеленные в основном на обеспечение  безопасности и сохранение целостности  защищаемых информационных ресурсов.

 

Построение сложных  защищенных информационных систем связано  с решением следующих двух ключевых взаимосвязанных проблем:

 

-распределение  задач администрирования средствами  защиты информации между субъектами  управления системой;

 

-использование  встроенных механизмов защиты  на всех уровнях иерархии системы. 

 

Первая проблема обусловлена иерархическими принципами построения сложной системы - как  правило, можно выделить уровень  платформы (операционная система), общесистемный  уровень (СУБД и другие системные  средства), уровень приложений. Каждый уровень требует своего администрирования.

 

В сложной системе в общем  случае выделяются следующие задачи администрирования:

 

-системное администрирование (настройка ОС,-конфигурация и маршрутизация сетевого трафика и т.п.);

 

-администрирование  СУБД и других общесистемных  средств; 

 

-администрирование  прикладных приложений.

 

Основные принципы построения защиты:

 

1.Необходимо  построить вокруг предмета защиты  постоянно действующий замкнутый  контур защиты.

 

2.Свойства  преграды составляющие защиту должны, по возможности, соответствовать ожидаемой квалификации и осведомленности нарушителя.

 

3.Для входа  в систему законного пользователя  необходима переменная секретная  информация, известная только ему.

 

4.Итоговая  прочность защитного контура  определяется его слабейшим звеном.

 

5.При наличии  нескольких законных пользователей  полезно обеспечить разграничение  их доступа к информации в  соответствии с полномочиями  и выполняемыми функциями, реализуя таким образом принцип наименьшей осведомленности каждого пользователя с целью сокращения ущерба в случае, если имеет место безответственность одного из них.

 

По сравнению с  традиционными технологиями построения защищенных информационных систем, основанными  либо на разработке специальных ЗОС, либо на интеграции средств защиты в распространенные ОС, применение технологии ЗГОС имеет следующие  преимущества:

 

1. Полный контроль доступа распространенных приложений к информационным ресурсам со стороны доверенных средств защиты из состава базовой ЗОС.

 

2. Невозможность обхода или отключения защиты с помощью распространенных приложений, поскольку они находятся под контролем базовой ЗОС и не имеют доступа к аппаратуре.

 

3. Множество доступных приложений базовой ЗОС расширяется за счет приложений встраиваемой ОС, что позволяет использовать ЗГОС практически везде, где применяется встраиваемая ОС.

 

4. Накладные расходы на выполнение распространенных приложений в среде ЗГОС не велики — фактически единственным дополнительно исполняемым кодом, по сравнению с обычной встраиваемой ОС, является код средств защиты базовой ЗОС.

 

Методы и средства построения  информационной системы:

 

Системный подход к построению системы зашиты, означающий оптимальное сочетание взаимосвязанных  организационных, программных, аппаратных, физических и других свойств, подтвержденных практикой создания отечественных и зарубежных систем защиты и применяемых на всех этапах технологического цикла обработки информации.

Принцип непрерывного развития системы. Этот принцип, являющийся одним из основополагающих для компьютерных информационных систем, еще более  актуален для СИБ.

 

Разделение  и минимизация полномочий по доступу  к обрабатываемой информации и процедурам обработки, т.е. предоставление как пользователям, так и самим работникам ИС минимума строго определенных полномочий, достаточных для выполнения ими своих служебных обязанностей.

 

Полнота контроля и регистрации попыток несанкционированного доступа, т.е. необходимость точного  установления идентичности каждого  пользователя и протоколирования его  действий для проведения возможного расследования, а также невозможность  совершения любой операции обработки  информации в ИТ без ее предварительной регистрации.

 

Обеспечение надежности системы защиты, т. е. невозможность  снижения уровня надежности при возникновении  в системе сбоев, отказов, преднамеренных действий взломщика или непреднамеренных ошибок пользователей и обслуживающего персонала.

 

Обеспечение контроля за функционированием системы защити, т.е. создание средств и методов контроля работоспособности механизмов защиты.

 

Обеспечение всевозможных средств борьбы с вредоносными программами.

 

Обеспечение экономической целесообразности использования  системы защиты, что выражается в  превышении возможного ущерба ИС и  ИТ от реализации угроз над стоимостью разработки и эксплуатации СИБ.

 

Нормативные документы в области  информационной безопасности 

 

 

В Российской Федерации  к нормативно-правовым актам в  области информационной безопасности относятся:

 

• Акты федерального законодательства:
• Международные договоры РФ;
• Конституция РФ;
• Законы федерального уровня (включая федеральные конституционные законы, кодексы);
• Указы Президента РФ;
• Постановления правительства РФ;
• Нормативные правовые акты федеральных министерств и ведомств;
• Нормативные правовые акты субъектов РФ, органов местного самоуправления и т. д.

 

• Подробнее списки и содержание указанных нормативных документов в области информационной безопасности обсуждаются в разделе Информационное право.

 

• К нормативно-методическим документам можно отнести
• Методические документы государственных органов России:
• Доктрина информационной безопасности РФ;
• Руководящие документы ФСТЭК (Гостехкомиссии России);
• Приказы ФСБ;
• Стандарты информационной безопасности, из которых выделяют:
• Международные стандарты;
• Государственные (национальные) стандарты РФ;
• Рекомендации по стандартизации;
• Методические указания.

 

 

 

Для описания технологии защиты информации конкретной информационной системы обычно строится так называемая Политика информационной безопасности или Политика безопасности рассматриваемой информационной системы.

 

Политика  безопасности  — совокупность документированных правил, процедур, практических приемов или руководящих принципов в области безопасности информации, которыми руководствуется организация в своей деятельности.

 

Политика  безопасности информационно-телекоммуникационных технологий— правила, директивы, сложившаяся практика, которые определяют, как в пределах организации и её информационно-телекоммуникационных технологий управлять, защищать и распределять активы, в том числе критичную информацию.

 

Для построения Политики информационной безопасности рекомендуется  отдельно рассматривать следующие  направления защиты информационной системы:

 

• Защита объектов информационной системы;

 

• Защита процессов, процедур и программ обработки информации;

 

• Защита каналов связи (акустические, инфракрасные, проводные, радиоканалы и др.);

 

• Подавление побочных электромагнитных излучений;

 

• Управление системой защиты.

 

При этом по каждому  из перечисленных выше направлений  Политика информационной безопасности должна описывать следующие этапы  создания средств защиты информации:

 

• Определение информационных и технических ресурсов, подлежащих защите;
• Выявление полного множества потенциально возможных угроз и каналов утечки информации;

Проведение  оценки уязвимости и рисков информации при имеющемся множестве угроз  и каналов утечки;

• Определение требований к системе защиты;
• Осуществление выбора средств защиты информации и их характеристик;

Внедрение и  организация использования выбранных  мер, способов и средств защиты;

• Осуществление контроля целостности и управление системой защиты.

 

 

Политика  информационной безопасности оформляется  в виде документированных требований на информационную систему. Документы  обычно разделяют по уровням описания (детализации) процесса защиты.

 

Документы верхнего уровня Политики информационной безопасности отражают позицию организации к  деятельности в области защиты информации, её стремление соответствовать государственным, международным требованиям и  стандартам в этой области. Подобные документы могут называться «Концепция ИБ», «Регламент управления ИБ», «Политика  ИБ», «Технический стандарт ИБ» и  т. п. Область распространения документов верхнего уровня обычно не ограничивается, однако данные документы могут выпускаться  и в двух редакциях — для  внешнего и внутреннего использования.

 

К среднему уровню относят документы, касающиеся отдельных аспектов информационной безопасности. Это требования на создание и эксплуатацию средств защиты информации, организацию информационных и бизнес-процессов  организации по конкретному направлению  защиты информации. Например: Безопасности данных, Безопасности коммуникаций, Использования  средств криптографической защиты, Контентная фильтрация и т. п. Подобные документы обычно издаются в виде внутренних технических и организационных политик (стандартов) организации. Все документы среднего уровня политики информационной безопасности конфиденциальны.

 

В политику информационной безопасности нижнего  уровня входят регламенты работ, руководства  по администрированию, инструкции по эксплуатации отдельных сервисов информационной безопасности.

 

 

 

 

 

 

ФЕДЕРАЛЬНЫЙ ЗАКОН

ОБ ИНФОРМАЦИИ, ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЯХ

И О ЗАЩИТЕ ИНФОРМАЦИИ

 

 

Статья 13. Информационные системы

 

 

1. Информационные системы  включают в себя:

 

1) государственные  информационные системы - федеральные  информационные системы и региональные  информационные системы, созданные  на основании соответственно  федеральных законов, законов  субъектов Российской Федерации,  на основании правовых актов  государственных органов;

 

2) муниципальные  информационные системы, созданные  на основании решения органа  местного самоуправления;

 

3) иные информационные  системы.

 

2. Если иное  не установлено федеральными  законами, оператором информационной  системы является собственник  используемых для обработки содержащейся в базах данных информации технических средств, который правомерно пользуется такими базами данных, или лицо, с которым этот собственник заключил договор об эксплуатации информационной системы.

 

3. Права обладателя  информации, содержащейся в базах  данных информационной системы,  подлежат охране независимо от  авторских и иных прав на  такие базы данных.

 

4. Установленные  настоящим Федеральным законом  требования к государственным  информационным системам распространяются  на муниципальные информационные  системы, если иное не предусмотрено  законодательством Российской Федерации  о местном самоуправлении.

 

5. Особенности  эксплуатации государственных информационных  систем и муниципальных информационных  систем могут устанавливаться  в соответствии с техническими  регламентами, нормативными правовыми  актами государственных органов,  нормативными правовыми актами  органов местного самоуправления, принимающих решения о создании  таких информационных систем.

 

6. Порядок  создания и эксплуатации информационных  систем, не являющихся государственными  информационными системами или  муниципальными информационными  системами, определяется операторами  таких информационных систем  в соответствии с требованиями, установленными настоящим Федеральным  законом или другими федеральными  законами.

 

 

 

Статья 16. Защита информации

 

 

1. Защита информации  представляет собой принятие  правовых, организационных и технических  мер, направленных на:

 

1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

 

2) соблюдение конфиденциальности информации ограниченного доступа;

 

3) реализацию права на доступ к информации.

 

2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.

 

3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.

 

4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:

 

1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;

 

2) своевременное обнаружение фактов несанкционированного доступа к информации;

3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;

 

4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;

5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;

 

6) постоянный контроль за обеспечением уровня защищенности информации.

 

5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.

 

6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.

 

 

Статья 17. Ответственность  за правонарушения в сфере информации, информационных технологий и защиты информации

 

 

1. Нарушение  требований настоящего Федерального  закона влечет за собой дисциплинарную, гражданско-правовую, административную  или уголовную ответственность  в соответствии с законодательством  Российской Федерации.

 

2. Лица, права  и законные интересы которых  были нарушены в связи с  разглашением информации ограниченного  доступа или иным неправомерным  использованием такой информации, вправе обратиться в установленном  порядке за судебной защитой  своих прав, в том числе с  исками о возмещении убытков,  компенсации морального вреда,  защите чести, достоинства и  деловой репутации. Требование  о возмещении убытков не может  быть удовлетворено в случае  предъявления его лицом, не  принимавшим мер по соблюдению  конфиденциальности информации  или нарушившим установленные  законодательством Российской Федерации  требования о защите информации, если принятие этих мер и  соблюдение таких требований  являлись обязанностями данного  лица.

 

3. В случае, если распространение определенной информации ограничивается или запрещается федеральными законами, гражданско-правовую ответственность за распространение такой информации не несет лицо, оказывающее услуги:

1) либо по  передаче информации, предоставленной  другим лицом, при условии ее  передачи без изменений и исправлений;

 

2) либо по  хранению информации и обеспечению  доступа к ней при условии,  что это лицо не могло знать  о незаконности распространения  информации.

 

Кодекс РФ об административных правонарушения[Глава 13]

 

Статья 13.12. Нарушение  правил защиты информации.

1. Нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (за исключением информации, составляющей государственную тайну), -

 

влечет наложение  административного штрафа на граждан  в размере от трехсот до пятисот  рублей; на должностных лиц - от пятисот  до одной тысячи рублей; на юридических  лиц - от пяти тысяч до десяти тысяч  рублей.

 

2. Использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации (за исключением средств защиты информации, составляющей государственную тайну), -влечет наложение административного штрафа на граждан в размере от пятисот до одной тысячи рублей с конфискацией несертифицированных средств защиты информации или без таковой; на должностных лиц - от одной тысячи до двух тысяч рублей; на юридических лиц - от десяти тысяч до двадцати тысяч рублей с конфискацией несертифицированных средств защиты информации или без таковой.

 

3. Нарушение условий, предусмотренных лицензией на проведение работ, связанных с использованием и защитой информации, составляющей государственную тайну, созданием средств, предназначенных для защиты информации, составляющей государственную тайну, осуществлением мероприятий и (или) оказанием услуг по защите информации, составляющей государственную тайну, -

 

влечет наложение  административного штрафа на должностных  лиц в размере от двух тысяч  до трех тысяч рублей; на юридических  лиц - от пятнадцати тысяч до двадцати тысяч рублей.

 

4. Использование несертифицированных средств, предназначенных для защиты информации, составляющей государственную тайну, -влечет наложение административного штрафа на должностных лиц в размере от трех тысяч до четырех тысяч рублей; на юридических лиц - от двадцати тысяч до тридцати тысяч рублей с конфискацией несертифицированных средств, предназначенных для защиты информации, составляющей государственную тайну, или без таковой.

 

5. Грубое нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (за исключением информации, составляющей государственную тайну), -влечет наложение административного штрафа на лиц, осуществляющих предпринимательскую деятельность без образования юридического лица, в размере от одной тысячи до одной тысячи пятисот рублей или административное приостановление деятельности на срок до девяноста суток; на должностных лиц - от одной тысячи до одной тысячи пятисот рублей; на юридических лиц - от десяти тысяч до пятнадцати тысяч рублей или административное приостановление деятельности на срок до девяноста суток.

 

Примечание. Понятие грубого нарушения устанавливается Правительством Российской Федерации в отношении конкретного лицензируемого вида деятельности.