Методы защиты ИС от несанкционированного доступа на логическом, физическом и юридическом уровнях. Российское законодательство в области защиты информации.

ОТВЕТ:

Методы защиты информации от преднамеренного доступа: 1. Ограничение доступа; 2. Разграничение доступа; 3. Разделение доступа (привилегий); 4. Криптографическое преобразование информации; 5. Контроль и учет доступа; 6. Законодательные меры. В состав средств системы защиты информации от несанкционированного доступа можно включить: 1) системы охранной сигнализации на территории, в помещениях объекта защиты. Сюда входят наружные системы охраны, традиционные системы охраны, ультразвуковые системы, системы прерывания луча, телевизионные, радиолокационные системы и т.д.; 2) системы контроля вскрытия аппаратуры; 3) системы опознания и разграничения доступа к информации; 4) защита информации и ПО от преднамеренного и несанкционированного доступа при вводе, выводе и транспортировке; 5) организационные мероприятия по защите информации. Ограничение доступа заключается в создании некоторой физической замкнутой преграды вокруг объекта защиты с охранной сигнализацией, размещаемой по периметру охраняемой зоны. В целях контроля доступа к выбранному монтажу, линиям связи, щитам электропитания необходимо установить датчики, срабатывающие при вскрытии аппаратуры и подающие сигнал на центральное устройство контроля. В каналах связи необходимо устанавливать гасители электромагнитного излучения в виде экранирования или создания помех, чтобы нельзя было уловить информацию, передаваемую по кабелям связи. Ограничение доступа заключается в следующем: 1) выделение специальной территории для размещения объекта; 2) сооружение по периметру зоны специального ограждения с охранной сигнализацией; 3) создание контрольно-пропускного режима на территории зданий и помещений. Задача средств ограничения доступа - исключить случайный и преднамеренный доступ посторонних лиц на защищаемую территорию. Разграничение доступа в вычислительной системе заключается в разделении информации на потоки и организации к ней доступа в соответствии с функциональными обязанностями и полномочиями. Задача - сократить количество лиц, допускаемых к информации, т.е. защитить информацию от нарушителей среди допущенного к ней персонала. Основная задача системы опознания и разграничения доступа к информации – перекрытие несанкционированного и контроль санкционированного доступа к информации, подлежащей защите. Основной принцип построения таких систем состоит в том, что допускаются и выполняются только такие обращения к информации, в которых содержатся соответствующие признаки разрешенных полномочий. С этой целью осуществляется идентификация (присвоение имени) и аутентификация (проверка подлинности), деление информации и функций ее обработки, установка и ввод полномочий. При этом деление производиться: 1. По степени важности; 2. По степени секретности; 3. По видам документов; 4. По видам данных; 5. По имени пользователя; 6. По функциям обработки информации; 7. По времени дня. Прежде всего, нужно разграничить доступ к специальным средствам. Техническое обслуживание должно производится специальным персоналом без доступа к информации. Перезагрузка и настройка должны производиться специально выделенным специалистом. Функции безопасности информации должны обеспечиваться владельцем этой информации. Организация доступа пользователей должна обеспечить разграничение доступа. Разграничение доступа пользователей могут осуществляться по следующим параметрам: 1) по виду; 2) характеру; 3) назначению и степени важности. По способам обработки: читать, писать, изменять, удалять. Также разграничение доступа может осуществляться по условному номеру терминала. Причины, определяющие важность проблемы защиты информации: 1) Высокие темпы роста парка ПЭВМ; 2) Широкое применение ПЭВМ в различных сферах деятельности; 3) Высокая степень концентрации информации в ПЭВМ; 4) Совершенствование способов доступа пользователей к ресурсам ПЭВМ; 5) Усложнение вычислительного процесса ПЭВМ. Объектами посягательств могут быть сами технические средства (компьютерная периферия), как материальные объекты, так и ПО, БД, для которых технические средства являются окружением. Цели защиты информации: 1. Предотвращение утечки, хищений, утраты, искажения, подделки информации; 2. Предотвращение угроз безопасности жизни, общества, государства; 3. Защита конституционных прав граждан на сохранение личных тайн; 4. Сохранение государственных тайн; 5. Обеспечение прав субъектов в информационных процессах. При рассмотрении проблем защиты ИС, прежде всего, возникает вопрос о классификации сбоев и нарушении прав доступа, которые могут привести к уничтожению или нежелательной модификации данных. Среди таких потенциальных угроз можно выделить: 1) Сбои оборудования: а) сбои кабельных систем; б) перебои электропитания; в) сбои дисковых систем; г) сбои работы серверов, сетевых карт и т.д. 2) Потери информации из-за некорректной работы ПО: а) потеря или изменение данных из-за ошибок ПО; б) потери при заражении системы компьютера вирусом. 3) Потери, связанные с несанкционированным доступом: а) несанкционированное копирование, уничтожение или подделка информации; б) ознакомление с конфиденциальной информацией посторонних лиц. 4) Потери информации, связанные с неправильным хранением архивных данных; 5) Ошибки обслуживающего персонала и пользователей. В зависимости от возможных видов нарушений работы ИС многочисленные виды защиты информации можно объединить в три основных класса: 1. Физический уровень защиты; 2. Логический уровень; 3. Юридический уровень. К физическим методам защиты можно отнести следующие: 1) ограничение доступа; 2) методы функционального контроля, обеспечивающие обнаружение и диагностику отказов и сбоев аппаратуры; 3) средства защиты кабельной системы, систем электропитания; 4) методы защиты от побочного излучения и наводок информации. На логическом уровне обычно используют программные средства защиты: 1. Антивирусные программы; 2. Системы разграничения полномочий; 3. Системы идентификации и аутентификации пользователей, устройств, документов, методы криптографического закрытия информации. Важным понятием в обеспечении информационной безопасности современной ИС является система безопасности, которая может иметь следующую структуру: 1) подсистема защиты локальных рабочих мест; 2) подсистема защиты локальных вычислительных сетей; 3) подсистема защиты межсетевого взаимодействия; 4) подсистема аудита и мониторинга; 5) подсистема технологической защиты. Если ПК только объект посягательства, то определение права нарушения может быть произведено по существующим нормам права. Если хищение информации связано с потерей материальных и финансовых ценностей, то этот факт можно квалифицировать как преступление. Так же, если с данным фактом связывается нарушение интересов национальной безопасности, авторского права, то уголовная ответственность прямо предусматривается в рамках закона УК. Компьютерные преступления - это предусмотренные уголовным законам общественно опасные действия, в которых машинная информация является объектом преступного посягательства. Компьютерные преступления можно подразделить на 2-е категории: 1. Преступления, связанные с вмешательством в работу компьютера; 2. Преступления, использующие компьютеры как технические средства. Виды преступлений: 1) Несанкционированный доступ к информации; 2) Ввод в ПО «логических бомб», которые срабатывают при выполнении определенных условий; 3) Разработка и распространение компьютерных вирусов; 4) Небрежность в разработке, изготовлении и эксплуатации программных и вычислительных комплексов, приводящих к тяжким последствиям; 5) Подделка компьютерной информации. В российском уголовном кодексе имеется глава 28 «Преступления в сфере компьютерной информации», в ней 3 статьи: 272 – «Неправильный доступ к компьютерной информации», 273 – «Создание, использование и распространение вредоносных программ», 274 – «Нарушение правил эксплуатации ЭВМ или их сети». Все процессы, связанные со сбором, хранением и доступом информации, нашли отражение в федеральном законе «Об информации, информатизации и защите информации». Закон распределен на 5 глав: 1) Он отражает общие понятия и включает статьи о сфере действия закона, терминологию, и государственную политику в сфере информатизации, основными направлениями которой являются: а) обеспечение условий для развития и защиты всех форм собственности на информационные ресурсы; б) обеспечение национальной безопасности в сфере информатизации; в) поддержка проектов и программ информатизации. 2) В ней говорится о том, что информационные ресурсы являются собственностью государства и его граждан и защищаются законом так же, как и другие ресурсы. Информационные ресурсы рассматриваются, как элементы состава имущества и объект права собственности. Кроме того, рассматриваются вопросы о порядке документирования информации, категории информации по уровню доступа, порядок правовой защиты информации. 3. Глава о пользовании информационными ресурсами включает в себя гарантии предоставления информации, доступ граждан и организаций к информации о них. 4. Это законодательство о правах собственности, правах авторства, сертификации, лицензировании при создании ИС, информационных технологии и средств их обработки. 5. Посвящена вопросам защиты информации. Цели защиты, что и как защищать, права и обязанности субъектов в области защиты информации, защита права на доступ к информации.