Информационная безопасность

Термин «информационная безопасность» в научной литературе обычно используется в двух значениях:

· Информационная безопасность - состояние определённого объекта: информации, данных, ресурсов автоматизированной системы, автоматизированной системы, информационной системы предприятия, общества, государства.

· Информационная безопасность - деятельность, направленная на обеспечение защищенного состояния.

В то время как информационная безопасность - это состояние защищённости информационной среды, защита информации представляет собой деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию, то есть процесс, направленный на достижение этого состояния.

В качестве стандартной модели безопасности часто приводят модель из трёх категорий:

1. Конфиденциальность - состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право.

2. Целостность - избежание несанкционированной модификации информации.

3. Доступность - избежание временного или постоянного сокрытия информации от пользователей, получивших права доступа.

Выделяют и другие не всегда обязательные категории модели безопасности:

· Неотказуемость или апеллируемость - невозможность отказа от авторства;

· подотчётность - обеспечение идентификации субъекта доступа и регистрации его действий;

· достоверность - свойство соответствия предусмотренному поведению или результату;

· аутентичность или подлинность - свойство, гарантирующее, что субъект или ресурс идентичны заявленным.

Методыобеспечения информационной безопасности разделяются на правовые, организационные, организационно-технические, технические, экономические.

К правовым методам обеспечения информационной безопасности относится разработка нормативных правовых актов и нормативных ведомственных документов по вопросам обеспечения информационной безопасности.

Наиболее важными направлениями являются:

· внесение изменений и дополнений в целях устранения неточностей и разногласий между законодательными актами Российской Федерации;

· разработка законодательных актов по вопросам защите конфиденциальной информации

· разработка ведомственных методических материалов по организации и проведению работ по защите конфиденциальной информации.

Организационные, организационно-технические методы обеспечения информационной безопасности включают:

· создание и совершенствование системы обеспечения информационной безопасности;

· усиление правоприменительной деятельности органов исполнительной власти, а также предупреждение и привлечение правонарушений в информационной сфере, а также выявление, и привлечение к ответственности лиц, совершивших преступления и другие правонарушения в этой сфере;

· разработка, использование и совершенствование средств защиты информации и методов контроля эффективности этих средств;

· создание систем несанкционированного доступа к обрабатываемой информации и уничтожение, искажения информации;

· выявление технических и программных средств, представляющих опасность для информации, информационных ресурсов, информационных систем;

· сертификация средств защиты, лицензирование деятельности в области защиты информации;

· контроль за действиями персонала, обеспечивающего обработку и защиту информации;

· формирование системы мониторинга показателей и характеристик информационной безопасности.

Технические методы обеспечение безопасности информации:

· установка технических и аппаратно-программных, программных средств защиты от несанкционированного доступа к обрабатываемой информации, специальных воздействий, вызывающие разрушения, уничтожения, искажении информации, а также изменения штатных режимов функционирования систем и средств информатизации и связи.

· выявление технических и программных средств, представляющих опасность для средств обработки и передачи информации;

· проведение специальных измерений, технических средств обработки на предмет защищённости от утечки информации по техническим каналам;

· технический контроль за эффективным функционированием средств защиты информации.

Экономические методы обеспечения информационной безопасности Российской Федерации включают:

· разработку программ обеспечения информационной безопасности РФ и определение порядка их финансирования;

· совершенствование системы финансирования работ;

· страхование информационных рисков физических и юридических лиц.

Минимальные (базовые) требования безопасности

Минимальные (базовые) требования безопасности формулируются в общем виде, без учета категории, присвоенной ИС. Они задают базовый уровень информационной безопасности, им должны удовлетворять все информационные системы. Результаты категорирования важны при выборе регуляторов безопасности, обеспечивающих выполнение требований, сформулированных на основе анализа рисков (Рис. 1).

Рисунок 1 Уровни информационной безопасности

Минимальные требования безопасности (Рис.2) охватывают административный, процедурный и программно-технический уровни ИБ и формулируются следующим образом.

Рисунок 2 Базовые требования безопасности к информации и ИС.

Повышенный уровень – специальные средства защиты, обязательные для сайтов, содержащих конфиденциальную информацию пользователей, для интернет-магазинов, для тех, кто работает с критичной информацией. Дополнительно к высокому уровню:

· включение одноразовых паролей;

· контроль целостности скрипта контроля.