Защита информации

Введение

 

 

СИСТЕМА ЗАЩИТЫ ИНФОРМАЦИИ В РОССИИ

это организованная совокупность специальных  законодательных и иных нормативных  актов, органов, служб, методов, мероприятий  и средств, обеспечивающих безопасность информации от внутренних и внешних  угроз.

 

Принципы защиты информации

1. комплексность

а) обеспечение безопасности обслуживающего персонала, материальных и финансовых ресурсов от всех возможных угроз всеми доступными законными средствами, методами и мероприятиями;

б) обеспечение безопасности информационных ресурсов в течение всего их жизненного цикла, во всех технологических процессах и операциях их создания, обработки, использования и уничтожения;

в) способность системы защиты информации к развитию и совершенствованию в соответствии с изменяющимися внешними и внутренними условиями.

2. Своевременность

–упреждающий характер мер защиты информации. Предполагает постановку задач по комплексной защите информации на стадии проектирования (создания) системы  ее защиты на основе анализа известных  и прогнозирования возможных угроз безопасности информации, которые могут появиться в будущем после запуска системы защиты в эксплуатацию (реализацию).

3. Непрерывность

–постоянное поддержание работоспособности  и развитие системы защиты информации.

4. активность

–настойчивость в достижении целей и задач защиты информации. Предполагает постоянный маневр силами и средствами защиты информации, а также принятие нестандартных мер защиты.

5. Законность

–разработка системы защиты информации на основе действующего законодательства, а также иных нормативных актов, регламентирующих безопасность информации. В ходе последующей реализации системы защиты информации –применение всех законных методов и средств обнаружения и пресечения правонарушений в области безопасности информации.

6. Обоснованность

Заключается в том, что все методы и средства защиты информации должны быть научно обоснованными и современными, соответствовать последним достижениям науки и техники. В своей совокупности они должны отвечать всем установленным требованиям и нормам по защите информации.

7. Экономическая целесообразность

затраты на разработку и реализацию (обеспечение заданных параметров) системы защиты информации не должны превышать размеры потенциального ущерба, который может наступить  в результате нарушения безопасности защищаемой информации.

8. Специализация.

Предполагает привлечение к  разработке и внедрению методов  и средств защиты информации специализированных субъектов, имеющих государственную  лицензию на определенный вид деятельности в сфере оказания услуг по защите информации. Применяемые ими средства защиты информации должны быть сертифицированы по требованиям безопасности информации.

9. Взаимодействие и координация деятельности.

Предусматривает организацию четкого  взаимодействия между всеми субъектами защиты информации, действующими в рамках единой системы защиты информации, а также координацию их усилий и осуществляемых работ в этой сфере для достижения общих целей. Заключается в интеграции и последовательности деятельности по защите конкретных информационных ресурсов.

10. Совершенствование.

Предусматривает совершенствование  и разработку новых законодательных, организационных и технических  мер защиты информации под воздействием объективных и субъективных факторов.

11. Централизация управления

Предполагает наличие единого  координационного центра (субъекта), занимающегося общими вопросами управления системой защиты информации, а также единых требований по обеспечению безопасности информации

4.2. Система защиты информации

Для защиты информации создается система  защиты информации, состоящая из совокупности органов и (или) исполнителей, используемой ими техники защиты, организованная и функционирующая по правилам, установленным правовыми, распорядительными и нормативными документами в области защиты информации [18-23].

Государственную систему  защиты информации образуют:

·       Федеральная служба по техническому и экспортному контролю (ФСТЭК России) и ее центральный аппарат;

·       ФСБ, МО, СВР, МВД, их структурные подразделения по защите информации;

·       структурные и межотраслевые подразделения по защите информации органов государственной власти;

·       специальные центры ФСТЭК России;

·       организации по защите информации органов государственной власти;

·       головные и ведущие научно-исследовательские, научно-технические, проектные и конструкторские учреждения;

·        предприятия оборонных отраслей промышленности, их подразделения по защите информации;

·        предприятия, специализирующиеся на проведении работ в области защиты информации;

·       вузы, институты по подготовке и переподготовке специалистов в области защиты информации.

ФСТЭК России является федеральным  органом исполнительной власти, осуществляющим реализацию государственной политики, организацию межведомственной координации  и взаимодействия, специальные и контрольные функции в области государственной безопасности по вопросам:

·        обеспечения безопасности информации в ключевых системах информационной инфраструктуры;

·        противодействия иностранным техническим разведкам;

·        обеспечения защиты информации, содержащей государственную тайну, некриптографическими способами;

·        предотвращения  утечки информации по техническим каналам, несанкционированного доступа к ней;

·        предотвращения специальных воздействий на информацию (ее носители) с целью ее добывания, уничтожения, искажения и блокирования доступа к ней.

Руководство деятельностью ФСТЭК  России осуществляет президент РФ.

Непосредственное руководство  работами по защите информации осуществляют руководители органов государственной  власти и их заместители.

В органе государственной власти могут  создаваться технические комиссии, межотраслевые советы.

Головные и ведущие НИО органов  государственной власти разрабатывают  научные основы и концепции, проекты  нормативно-технических и методических документов по защите информации. На них возлагается разработка и корректировка моделей иностранных технических разведок.

Предприятия, занимающиеся деятельностью  в области защиты информации, должны получить лицензию на этот вид деятельности. Лицензии выдаются ФСТЭК России, ФСБ, СВР в соответствии с их компетенцией и по представлению органа государственной власти.

Организация работ по защите информации возлагается на руководителей организаций. Для методического руководства  и контроля за обеспечением защиты информации может быть создано подразделение по защите информации или назначен ответственный (штатный или внештатный) за безопасность информации.

Разработка системы ЗИ производится подразделением по технической защите информации или ответственным за это направление во взаимодействии с разработчиками и ответственными за эксплуатацию объектов ТСОИ. Для проведения работ по созданию системы ЗИ могут привлекаться на договорной основе специализированные предприятия, имеющие соответствующие лицензии.

Работы по созданию системы ЗИ проводятся в три этапа (см. рис. 4.3).

На I этапе разрабатывается техническое  задание на создание СЗИ:

·        вводится запрет на обработку секретной (служебной) информации на всех объектах ТСОИ до принятия необходимых мер защиты;

·        назначаются ответственные за организацию и проведение работ по созданию системы защиты информации;

·        определяются подразделения или отдельные специалисты, непосредственно участвующие в проведении указанных работ, сроки введения в эксплуатацию системы ЗИ;

·        проводится анализ возможных технических каналов утечки секретной информации;

·        разрабатывается перечень защищаемых объектов ТСОИ;

·        проводится категорирование ОТСС, а также ВП;

·        определяется класс защищенности автоматизированных систем, участвующих в обработке секретных (служебных) данных;

·        определяется КЗ;

·        оцениваются возможности средств ИТР и других источников угроз;

·        обосновывается необходимость привлечения специализированных предприятий для создания системы защиты информации;

·        разрабатывается техническое задание (ТЗ) на создание СЗИ.

Разработка технических проектов на установку и монтаж ТСОИ производится проектными организациями, имеющими лицензию ФСТЭК.

На II этапе:

·        разрабатывается перечень организационных и технических мероприятий по защите объектов ТСОИ в соответствии с требованиями ТЗ;

·        определяется состав серийно выпускаемых в защищенном исполнении ТСОИ, сертифицированных средств защиты информации, а также состав технических средств, подвергаемых специальным исследованиям и проверке; разрабатываются технические паспорта на объекты ТСОИ и инструкции по обеспечению безопасности информации на этапе эксплуатации технических средств.

На III этапе осуществляются:

·        проведение специальных исследований и специальной проверки импортных ОТСС, а также импортных ВТСС, установленных в выделенных помещениях;

·        размещение и монтаж технических средств, входящих в состав объектов ТСОИ;

·        разработка и реализация разрешительной системы доступа к средствам вычислительной техники и автоматизированным системам, участвующим в обработке секретной (служебной) информации;

·        приемосдаточные испытания системы защиты информации по результатам ее опытной эксплуатации;

·        аттестация объектов ТСОИ по требованиям защиты информации.

Вводится разрешение на обработку  секретной информации на объектах ТСОИ, на которые получены аттестаты.  

 

 

Основные организационно-технических  мероприятия по защите информации

Основными организационно-техническими мероприятиями, которые проводятся государственной системой защиты информации, следует считать:

·        государственное лицензирование деятельности предприятий в области защиты информации;

·        аттестация объектов информации по требованиям безопасности информации, предназначенная для оценки подготовленности систем и средств информатизации и связи к обработке информации, содержащей государственную, служебную или коммерческую тайну;

·        сертификация систем защиты информации;

·        категорирование предприятий, выделенных помещений и объектов вычислительной техники по степени важности обрабатываемой информации.

Последовательность  и содержание организации комплексной  защиты информации представлена на рис. 4.4.

К организационно-техническим мероприятиям, проводимым государственной системой защиты информации, также относятся:

·        введение территориальных, частотных, энергетических, пространственных и временных ограничений в режимах эксплуатации технических средств, подлежащих защите;

·        создание и применение информационных и автоматизированных систем управления в защищенном исполнении;

·        разработка и внедрение технических решений и элементов защиты информации при создании вооружения и военной техники и при проектировании, строительстве и эксплуатации объектов информатизации, систем и средств автоматизации и связи.  

 

Рис. 4.4. Примерная схема контроля защиты информации

 

Классификация вредоносных программ

По вредоносной нагрузке

• Помехи в работе заражённого компьютера: начиная от открытия-закрытия поддона CD-ROM и заканчивая уничтожением данных и поломкой аппаратного обеспечения. Поломками известен, в частности, Win32.CIH.
• Блокировка антивирусных сайтов, антивирусного ПО и административных функций ОС с целью усложнить лечение.
• Саботирование промышленных процессов, управляемых компьютером (этим известен червь Stuxnet).
• Инсталляция другого вредоносного ПО.
• Загрузка из сети (downloader).
• Распаковка другой вредоносной программы, уже содержащейся внутри файла (dropper).
• Кража, мошенничество, вымогательство и шпионаж за пользователем. Для кражи может применяться сканирование жёсткого диска, регистрация нажатий клавиш (Keylogger) и перенаправление пользователя на поддельные сайты, в точности повторяющие исходные ресурсы.
• Похищение данных, представляющих ценность или тайну.
• Кража аккаунтов различных служб (электронной почты, мессенджеров, игровых серверов…). Аккаунты применяются для рассылки спама. Также через электронную почту зачастую можно заполучить пароли от других аккаунтов, а виртуальное имущество в MMOG — продать.
• Кража аккаунтов платёжных систем.
• Блокировка компьютера, шифрование файлов пользователя с целью шантажа и вымогательства денежных средств (см. Ransomware). В большинстве случаев после оплаты компьютер или не разблокируется, или вскоре блокируется второй раз.
• Использование телефонного модема для совершения дорогостоящих звонков, что влечёт за собой значительные суммы в телефонных счетах.
• Платное ПО, имитирующее, например, антивирус, но ничего полезного не делающее (fraudware или scareware; см. тж лжеантивирус).
• Прочая незаконная деятельность:
• Получение несанкционированного (и/или дарового) доступа к ресурсам самого компьютера или третьим ресурсам, доступным через него, в том числе прямое управление компьютером (так называемый backdoor).
• Организация на компьютере открытых релеев и общедоступных прокси-серверов.
• Заражённый компьютер (в составе ботнета) может быть использован для проведения DDoS-атак.
• Сбор адресов электронной почты и распространение спама, в том числе в составе ботнета.
• Накрутка электронных голосований, щелчков по рекламным баннерам.
• Генерация монет платёжной системы Bitcoin.
• Файлы, не являющиеся истинно вредоносными, но в большинстве случаев нежелательные:
• Шуточное ПО, делающее какие-либо беспокоящие пользователя вещи.
• Adware — программное обеспечение, показывающее рекламу.
• Spyware — программное обеспечение, посылающее через интернет не санкционированную пользователем информацию.
• «Отравленные» документы, дестабилизирующие ПО, открывающее их (например, архив размером меньше мегабайта может содержать гигабайты данных и надолго «завесить» архиватор).
• Программы удалённого администрирования могут применяться как для того, чтобы дистанционно решать проблемы с компьютером, так и для неблаговидных целей.
• Руткит нужен, чтобы скрывать другое вредоносное ПО от посторонних глаз.
• Иногда вредоносное ПО для собственного «жизнеобеспечения» устанавливает дополнительные утилиты: IRC-клиенты^[4], программные маршрутизаторы^[5], открытые библиотеки перехвата клавиатуры…^[6] Такое ПО вредоносным не является, но из-за того, что за ним часто стоит истинно вредоносная программа, детектируется антивирусами. Бывает даже, что вредоносным является только скрипт из одной строчки, а остальные программы вполне легитимны.^[7]