Информационная безопасность и защита конфиденциальной информации

Непосредственно к модификации информации примыкает и такой вид угроз, как создание ложных сообщений. Это означает, что злоумышленник преднамеренно посылает субъекту заведомо ложную информацию, получение и использование которой данным субъектом выгодно злоумышленнику. При этом такая информация снабжается всеми атрибутами и реквизитами, которые не позволяют получателю заподозрить, что эта информация ложная.

Блокирование доступа к информации или ресурсам системы может иметь негативные последствия в, случае, когда некоторая информация обладает реальной ценностью только на протяжении короткого отрезка времени. В этом случае блокирование нарушает требование своевременности получения информации. Также блокирование доступа к информации может привести к тому, что субъект не будет обладать всей полнотой сведений, необходимых для принятия решения. Одним из способов блокирования информации может быть отказ в обслуживании, когда система вследствие сбоев в работе или действий злоумышленника не отвечает на запросы санкционированного пользователя.

Несанкционированное или ошибочное использование ресурсов системы, с одной стороны, может служить промежуточным звеном для уничтожения, модификации или распространения информации. С другой стороны, оно имеет самостоятельное значение, так как, даже не касаясь пользовательской или системной информации, может нанести ущерб самой системе (например, вывести ее из строя).

Отказ от получения или отправки информации заключается в отрицании пользователем факта посылки или приема какого-либо сообщения. Например, при осуществлении банковской деятельности подобные действия позволяют одной из сторон расторгать так называемым "техническим" путем заключенные финансовые соглашения, т. е. формально не отказываясь от них. Это может нанести второй стороне значительный ущерб.

Перечисленные виды угроз могут реализовываться различными способами, которые зависят от источника и вида угрозы. Существует большое количество подобных способов (особенно в сфере безопасности компьютерных сетей), они постоянно совершенствуются и обновляются.

 

 

 

 

 

 

 

 

 

 

 

 

 

2.2 Организация систем  защиты конфиденциальной информации

Защитить конфиденциальную информацию организационными мерами, программными и техническими средствами в полной мере в современных условиях невозможно.

Организационная защита - это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз. Организационная защита обеспечивает:

- организацию  охраны, режима, работу с кадрами, с документами;

- использование  технических средств безопасности  и информационно-аналитическую деятельность  по выявлению внутренних и  внешних угроз предпринимательской  деятельности.

К основным организационным мероприятиям можно отнести:

- организацию  режима и охраны. Их цель - исключение  возможности тайного проникновения  на территорию и в помещения  посторонних лиц;

- организацию  работы с сотрудниками, которая  предусматривает подбор и расстановку  персонала, включая ознакомление  с сотрудниками, их изучение, обучение  правилам работы с конфиденциальной  информацией, ознакомление с мерами  ответственности за нарушение  правил защиты информации и  др.;

- организацию  работы с документами и документированной  информацией, включая организацию  разработки и использования документов  и носителей конфиденциальной  информации, их учет, исполнение, возврат, хранение и уничтожение;

- организацию  использования технических средств  сбора, обработки, накопления и хранения  конфиденциальной информации;

- организацию  работы по анализу внутренних  и внешних угроз конфиденциальной  информации и выработке мер  по обеспечению ее защиты;

- организацию  работы по проведению систематического  контроля за работой персонала  с конфиденциальной информацией, порядком учета, хранения и уничтожения  документов и технических носителей.

В каждом конкретном случае организационные мероприятия носят специфическую для данной организации форму и содержание, направленные на обеспечение безопасности информации в конкретных условиях.

Нормативные правовые положения по защите конфиденциальной информации в государственных и негосударственных структурах определены в Законе РФ "Об информации, информатизации и защите информации".

Создавая систему информационной безопасности, необходимо четко понимать, что без правового обеспечения защиты информации любые последующие претензии со стороны организации к недобросовестному сотруднику, клиенту, конкуренту и должностному лицу окажутся беспочвенными. Если перечень сведений конфиденциального характера не доведен своевременно до каждого сотрудника (при условии, что он допущен по должностным обязанностям) в письменном виде, то сотрудника, укравшего важную информацию, невозможно будет привлечь к ответственности.

Таким образом, состав защищаемой информации в каждой организации должен быть четко определен и задокументирован.

Правовые нормы обеспечения безопасности и защиты информации на конкретном предприятии (фирме, организации) отражаются в совокупности учредительных, организационных и функциональных документов.

Требования обеспечения безопасности и защиты информации отражаются в Уставе (учредительном договоре) в виде следующих положений:

- предприятие  имеет право определять состав, объем и порядок защиты сведений  конфиденциального характера, требовать  от своих сотрудников обеспечения  их сохранности и защиты от  внутренних и внешних угроз;

- предприятие  обязано обеспечить сохранность  конфиденциальной информации.

Опираясь на государственные правовые акты и учитывая ведомственные интересы на уровне конкретного предприятия (фирмы, организации), разрабатываются собственные нормативно-правовые документы, ориентированные на обеспечение информационной безопасности. К таким документам относятся:

- Положение  о сохранении конфиденциальной  информации;

- Перечень  сведений, составляющих конфиденциальную  информацию;

- Инструкция  о порядке допуска сотрудников  к сведениям, составляющим конфиденциальную  информацию;

- Положение  о специальном делопроизводстве  и документообороте;

- Перечень  сведений, разрешенных к опубликованию  в открытой печати;

- Положение  о работе с иностранными фирмами  и их представителями;

- Обязательство  сотрудника о сохранении конфиденциальной  информации;

- Памятка  сотруднику о сохранении коммерческой  тайны.

Обязательства конкретного сотрудника, рабочего или служащего в части защиты информации обязательно должны быть оговорены в трудовом договоре (контракте). Трудовой договор – это правовая основа к тому, чтобы пресечь неверные или противоправные действия работника. Также с каждым работником, допущенным к конфиденциальной информации, следует заключить договор о полной материальной ответственности.

Эта мера носит скорее психологический характер. Дело в том, что даже полную материальную ответственность сотрудника ТК РФ ограничивает размером прямого ущерба, нанесенного работодателю (ст. 238 ТК РФ). Поэтому в лучшем случае со злоумышленника удастся взыскать лишь стоимость бумаги или дискеты, на которых содержались секретные сведения.

Под общими признаками (концепциями) защиты любого вида охраняемой информации понимают следующее;

- защиту  информации организует и проводит  собственник, владелец / уполномоченное  на это лицо;

- защитой  информации собственник охраняет  свои права на владение и  распространение информации, стремится  оградить ее от незаконного  завладения и использования в  ущерб его интересам;

- защита  информации осуществляется путем  проведения комплекса мер по  ограничению доступа к защищаемой  информации и созданию условий, исключающих или существенно  затрудняющий несанкционированный  доступ к засекреченной информации.

Следовательно, защита информации - есть комплекс мероприятий, проводимых собственником информации по ограждению своих прав на владение и распоряжение прав на информацию, создание условий, ограничивающих и исключающих или существенно затрудняющих несанкционированный доступ к засекреченной информации и ее носителям.

В отношении конфиденциальной информации целями защиты являются:

- предотвращение  утечки, хищения, утраты, искажения  информации;

- предотвращение  угроз безопасности личности, общества, государства;

- предотвращение  несанкционированных действий по  уничтожению и копированию;

- защита  конституционных прав граждан  на сохранение личной тайны  и конфиденциальности персональных  данных, имеющихся в информационных  системах;

- сохранение  конфиденциальности документированной  информации.

Режим защиты в отношении конфиденциальной документированной информации устанавливается собственником информации или уполномоченным лицом на основании этого закона.

Владелец документов, массива документов, информационной системы обеспечивает уровень защиты информации в соответствии с законодательством.

В качестве собственников конфиденциальной информации могут выступать:

- государство (государственные органы и предприятия, учреждения, организации);

- юридические  лица (организации, учреждения предприятия  с негосударственной формой собственности);

- физические  лица (граждане).

Организации, обрабатывающие конфиденциальную информацию, которая является собственностью государства, создают специальные службы, обеспечивающие защиту информации.

Деятельность негосударственных организаций и частных лиц, связанная с обработкой и предоставлением пользователям персональных данных, подлежит обязательному лицензированию.

Органы государственной власти и организации, ответственные за формирование и использование информационных ресурсов, подлежащих защите, а также органы и организации, разрабатывающие и применяющие информационные системы и информационные технологии для формирования и использования информационных ресурсов с ограниченным доступом, руководствуются в своей деятельности законодательством Российской Федерации.

Контроль за соблюдением требований к защите информации и эксплуатацией специальных программно-технических средств защиты, а также обеспечение организационных мер защиты информационных систем, обрабатывающих информацию с ограниченным доступом в негосударственных структурах, осуществляются органами государственной власти.

Контроль осуществляется в порядке, определяемом Правительством Российской Федерации.

Собственник информационных ресурсов или уполномоченные им лица имеют право осуществлять контроль за выполнением требований по защите информации и запрещать или приостанавливать обработку информации в случае невыполнения этих требований.

Собственник или владелец документированной информации вправе обращаться в органы государственной власти для оценки правильности выполнения норм и требований по защите его информации в информационных системах. Соответствующие органы определяет Правительство Российской Федерации. Эти органы соблюдают условия конфиденциальности самой информации и результатов проверки.

Определим права и обязанности собственников и владельцев конфиденциальной информации в области ее защиты.

Собственник документов, массива документов, информационных систем или уполномоченные им лица в соответствии с Федеральным законом устанавливают порядок предоставления пользователю информации с указанием места, времени, ответственных должностных лиц, а также необходимых процедур и обеспечивают условия доступа пользователей к информации.

Владелец документов, массива документов, информационных систем обеспечивает уровень защиты информации в соответствии с законодательством Российской Федерации.

Риск, связанный с использованием несертифицированных информационных систем и средств их обеспечения, лежит на собственнике (владельце) этих систем и средств.

Риск, связанный с использованием информации, полученной из несертифицированной системы, лежит на потребителе информации.

Собственник документов, массива документов, информационных систем может обращаться в организации, осуществляющие сертификацию средств защиты информационных систем и информационных ресурсов, для проведения анализа достаточности мер защиты его ресурсов и систем и получения консультаций.

Владелец документов, массива документов, информационных систем обязан оповещать собственника информационных ресурсов и (или) информационных систем о всех фактах нарушения режима защиты информации.

Для защиты могут использоваться только сертифицированные средства защиты.

Таким образом, законодательство РФ устанавливает, что государственные органы, предприятия, учреждения, организации обязаны иметь службы по защите конфиденциальной информации.

Для негосударственных структур это положение реализуется необходимостью защиты коммерческой тайны в соответствии с ГК РФ.

Допуск должностных лиц и граждан к конфиденциальной информации осуществляет руководитель организации, учреждения, предприятия.

Правовой основой для допуска является:

- обязательство  должностного лица (работника) о  неразглашении сведений конфиденциального  характера, закрепленное в трудовом  договоре (контракте) согласно ТК  РФ;