Разработка предложений ПО совершенствованию системы инженерно-технической защиты информации для районной администрации

 

 

1.3 Нормативно-правовая  база инженерно-технической защиты информации

 

 

 

Основным законом Российской Федерации является Конституция, принятая 12 декабря 1993 года. Конституция РФ регламентируется следующими статьями в области защиты информацииp[17, c. 23]:

Статья 23

Конституции гарантирует право на личную и семейную тайну, на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений

Статья 29

Право свободно искать, получать, передавать, производить и распространять информацию любым законным способом.

Статье 139

Информация составляет служебную или коммерческую тайну в случае, когда информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к ней нет свободного доступа на законном основании, и обладатель информации принимает меры к охране ее конфиденциальности [17, с. 30].

 

Современный в плане информационной безопасности является Уголовный кодекс Российской Федерации [17, c. 34].

Глава 28 - "Преступления в сфере компьютерной информации" - содержит три статьи:

• статья 272. Неправомерный доступ к компьютерной информации. (имеет дело с посягательствами на конфиденциальность)
• статья 273. Создание, использование и распространение вредоносных программ для ЭВМ. (имеет дело с вредоносным ПО)
• статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети. (имеет дело с нарушениями доступности и целостности, повлекшими за собой уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ)

Основополагающим среди российских законов, посвященных вопросам информационной безопасности, следует считать закон "Об информации, информатизации и защите информации" от 27 июля 2006 года номер 149-ФЗ (ред. от 05.04.2013)  (принят Государственной Думой 8 июля 2006 года, одобрен советом федерации 14 июля 2006 года) [17, с. 65].

Закон выделяет следующие цели защиты информации:

• предотвращение утечки, хищения, утраты, искажения, подделки информации;
• предотвращение угроз безопасности личности, общества, государства;
• предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации;
• предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы, обеспечение правового режима документированной информации как объекта собственности;
• защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах;
• сохранение государственной тайны, конфиденциальности документированной информации в соответствии с законодательством;
• обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологий и средств их обеспечения.

Федеральный закон РФ от 27 июля 2006 года № 152-ФЗ «О персональных данных» — федеральный, регулирующий деятельность по обработке (использованию) персональных данных.[17, c. 56]

В Главе 3 настоящего Федерального закона прописаны права субъекта персональных данных и регламентируется статьями 14-17

Таким образом, исходя из выше перечисленного можно сделать вывод, что инженерно-техническая защита информации представляет собой мощный комплекс мер и средств защиты информации от ее утечки, разглашения, несанкционированного доступа и т.д. В данной главе была описана нормативно-правовая база ИТЗИ и все основные статьи регламентирующие ЗИ. Сделана схема организационной структуры районной администрации, а также описана информация которая циркулирует в кабинете Главы администрации.

 

Глава 2. Моделирование угроз безопасности информации

 

 

2.1 Грифы секретности. Источники защищаемой информации

 

 

 

Гриф секретности — реквизиты, свидетельствующие о степени секретности сведений, содержащихся в их носителе, проставляемый на самом носителе и/или в сопроводительной документации на него.

Степень секретности сведений, составляющих государственную тайну, должна соответствовать степени тяжести ущерба, который может быть нанесён безопасности государства вследствие распространения указанных сведений.[5, с. 32]

В Российской Федерации в соответствии с постановлением Правительства Российской Федерации от 4 сентября 1995 г. № 870. «Об утверждении правил отнесения сведений, составляющих государственную тайну, к различным степеням секретности» сведения, отнесённые к государственной тайне, по степени секретности подразделяются на сведения:

- особой важности: к сведениям особой важности следует относить сведения в области военной, внешнеполитической, экономической, научно-технической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб интересам Российской Федерации в одной или нескольких из перечисленных областей.

- совершенно секретные: к совершенно секретным сведениям следует относить сведения в области военной, внешнеполитической, экономической, научно-технической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб интересам министерства (ведомства) или отрасли экономики Российской Федерации в одной или нескольких из перечисленных областей.

- секретные: к секретным сведениям следует относить все иные сведения из числа сведений, составляющих государственную тайну. Ущербом безопасности Российской Федерации в этом случае считается ущерб, нанесённый интересам предприятия, учреждения или организации в военной, внешнеполитической, экономической, научно-технической, разведывательной, контрразведывательной или оперативно-розыскной области деятельности.

Не допускается использование грифов секретности для засекречивания сведений, не отнесённых к государственной тайне [5, с. 37].

При организации режима защиты информации, районная администрация руководствуется законом «О государственной тайне», согласно которому и назначает грифы секретности конфиденциальной информации которые представлены в таблице.

Таблица1.

Грифы секретности защищаемой информации

Гриф секретности		Описание грифа секретности
Сокращение	Полное название
ДСП	Для служебного пользования	Имеет наименьшую секретность, назначается в основном внутренним документам.
К	Конфиденциально	Назначается всем документам, содержащим сведения, полученные от физических или юридических лиц района
СК	Строго конфиденциально	Имеет наивысшую секретность, назначается документам, содержащим данные по количеству единиц техники, данные по мобилизационным спискам от военкомата

 

Источниками информации являются субъекты и объекты, от которой информация может поступить к несанкционированному пользователю.

Основными источниками информации являются:

- персонал администрации;

- документы;

- измерительные приборы и датчики;

- интеллектуальные средства обработки информации;

- материалы и техническое оборудование.

 

 

Персонал администрации, как источники информации, являются самыми информативными, хотя их информативность существенно зависит от социального положения и занимаемой должности. Документы - зафиксированная на материальном носителе информация с реквизитами, позволяющая однозначно его идентифицировать. Поэтому документы относятся к наиболее достоверным информационным источникам [6, с. 15]. Большинство технических средств сбора, обработки, передачи, хранения информации нельзя отнести к источникам информации, так как они представляют собой лишь инструмент для преобразования входной информации. Критерием отнесения технического средства к источникам информации может служить ответ на вопрос потребителя информации об ее источнике. Исключением являются датчики различных измерительных систем. Измерительные приборы являются наиболее качественным средством получения информации об исследуемом объекте с точно определенной погрешностью. Интеллектуальные средства обработки информации в настоящее время к источникам информации относят весьма условно [6, с. 7]. Так, даже самый мощный компьютер выполняет при обработке информации лишь программу, разработанную человеком. В полной мере интеллектуальные средства обработки можно будет отнести к источникам информации с созданием совершенных систем искусственного интеллекта.

Содержать конфиденциальную информацию могут также исходные материалы и техническое оборудование. Так, по номенклатуре материала и технического оборудования можно судить о том, чем занимается районная администрация и какая информация циркулирует в ней [7, с. 23].

Таким образом, источником конфиденциальной информации могут быть как физические лица, так и различные объекты. В редких случаях информация от источника непосредственно передается получателю. Как правило, для добывания информации между источником и получателем информации существует посредник – носитель информации, который позволяет организовать разведку или получать злоумышленнику информацию дистанционно, в более безопасных условиях. Носителями информации являются материальные объекты, обеспечивающие запись, хранение и передачу информации в пространстве и времени.

 

 

2.2 Модель нарушителя

 

 

 

При разделении нарушителей безопасности по классам можно исходить из его принадлежности определенным категориям лиц, мотивов действий и преследуемых целей, характера методов достижения поставленных целей, квалификации, технической оснащенности и знаний об атакуемой информационной.[10, с. 12]

Прежде всего, разделим нарушителей на внутренних и внешних. По данным многих источников и статистических исследований, отношение внутренних инцидентов к внешним оценивается примерно в 75%. Рассмотрим в данном случае классическую пропорцию 80 к 20, так как факты многочисленных нарушений часто скрываются организациями или для поддержания имиджа приписываются внешним источникам.

 Потенциально к внутренним  нарушителям относятся сотрудники  самой организации или сотрудники  организаций из сферы ИТ, предоставляющие  телекоммуникационные и иные  информационные услуги. Среди внутренних нарушителей в первую очередь можно выделить[10, с. 28]:

- непосредственных пользователей и операторов информационной системы, в том числе руководителей различных уровней;

- администраторов вычислительных сетей и информационной безопасности;

- прикладных и системных программистов; 

- сотрудников службы безопасности; 

- технический персонал по обслуживанию зданий и вычислительной техники, от уборщицы до ремонтной бригады; 

- вспомогательный персонал и временных работников.

Среди причин, побуждающих сотрудников к неправомерным действиям, можно указать следующие:

- безответственность;

- ошибки пользователей и администраторов;

- демонстрация своего превосходства (самоутверждение); 

- «борьба с системой»;

- корыстные интересы пользователей системы;

- недостатки используемых информационных технологий.

Для предотвращения нарушений необходимо проводить специальную подготовку персонала, поддерживать здоровый рабочий климат в коллективе, проводить тщательный отбор нанимаемых сотрудников, своевременно обнаруживать злоумышленников. Группу внешних нарушителей могут составлять [10, с. 69]:

 

- клиенты;

- приглашенные посетители;

- представители конкурирующих организаций;

- сотрудники органов ведомственного надзора и управления;

- нарушители пропускного режима;

- наблюдатели за пределами охраняемой территории.

По рекомендации экспертов в области информационной безопасности, особое внимание следует обращать на вновь принимаемых сотрудников в следующих профессиях: администраторы, программисты, специалисты в области компьютерной техники и защиты информации. Известны случаи внедрения сотрудников, работающих на конкурентов. В данном случае возможный ущерб и тяжесть последствий многократно увеличиваются. Руководство, должно четко себе представлять, от каких видов нарушений необходимо защититься в первую очередь[10, с. 74].

Типы нарушителей могут сильно отличаться, варьироваться по составу, возможностям и преследуемым целям. От одиночного нарушителя, действующего удаленно и скрытно, до хорошо вооруженной и оснащенной силовой группы, действующей молниеносно и напролом. Нельзя не учитывать возможности сговора между нарушителями, относящимися к различным типам, а также подкупа и реализации других методов воздействия. Далее классификацию можно проводить по следующим параметрам. Используемые методы и средства:

- сбор информации и данных;

- пассивные средства перехвата;

- использование средств, входящих в информационную систему или систему ее защиты, и их недостатков;

- активное отслеживание модификаций существующих средств обработки информации, подключение новых средств, использование специализированных утилит, внедрение программных закладок и «черных ходов» в систему, подключение к каналам передачи данных.

Уровень знаний нарушителя об организации информационной структуры:

- типовые знания о методах построения вычислительных систем, сетевых протоколов, использование стандартного набора программ;

- высокий уровень знаний сетевых технологий, опыт работы со специализированными программными продуктами и утилитами;