Понятие защиты информации Для более глубокого понимания проблемы определим еще дв
понятия: безопасность информации и защита информации.
Понятие «безопасность информации» распадается на две составляющие:
- безопасность содержательной части (смысла) информации - отсутствие в ней побуждения человека к негативным действиям, умышленно заложенных механизмов негативного воздействия на человеческую психику или негативного воздействия на иной блок информации (например, информация, содержащаяся в программе для ЭВМ, именуемой компьютерным вирусом);
- защищенность информации от внешних воздействий (попыток неправомерного копирования, распространения, модификации (изменения смысла) либо уничтожения.
Таким образом, защита информации входит составной частью в понятие «безопасность информации».
Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
- обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
- соблюдение конфиденциальности информации ограниченного доступа;
- реализацию права на доступ к информации.
Следует отметить, что в целом проблема информационной безопасности включает, наряду с задачами обеспечения защищенности информации и информационных систем, еще два аспекта: защиту от воздействия вредоносной информации, обеспечение принятия обоснованных решений с максимальным использованием доступной информации.
Обеспечение информационной безопасности призвано решать следующие основные задачи:
- выявление, оценка и предотвращение угроз информационным системам и информационным ресурсам;
- защита прав юридических и физических лиц на интеллектуальную собственность, а также сбор, накопление и использование информации;
- защита государственной, служебной, коммерческой, личной и других видов тайны.
Угрозы информационным системам и информационным ресурсам можно условно разделить на четыре основные группы:
а) программные - внедрение «вирусов», аппаратных и программных закладок; уничтожение и модификация данных в информационных системах;
б) технические, в т.ч.
радиоэлектронные, - перехват информации в линиях связи; радиоэлектронное подавление сигнала в линиях связи и системах управления;в) физические - уничтожение средств обработки и носителей информации; хищение носителей, а также аппаратных или программных парольных ключей;
г) информационные - нарушение регламентов информационного обмена; незаконные сбор и использование информации; несанкционированный доступ к информационным ресурсам; незаконное копирование данных в информационных системах; дезинформация, сокрытие или искажение информации; хищение информации из баз данных.
Противостоять этим угрозам можно на основе создания и внедрения эффективных систем защиты информации. Причем решение задачи создания таких систем должно быть реализовано на основе системного подхода по следующим причинам.
Во-первых, для эффективной защиты информационных ресурсов требуется реализация целого ряда разнородных мер, которые можно разделить на три группы: юридические, организационно
экономические и технологические. Все они базируются на следующих принципах:
- нормативно-правовая база информационных отношений в обществе четко регламентирует механизмы обеспечения прав граждан свободно искать, получать, производить и распространять информацию любым законным способом;
- интересы обладателей информации охраняются законом;
- засекречивание (закрытие) информации является исключением из общего правила на доступ к информации;
- ответственность за сохранность информации, ее засекречивание и рассекречивание персонифицируются;
- специальной заботой государства является развитие сферы информационных услуг, оказываемых населению и специалистам на основе современных компьютерных сетей, системы общедоступных баз и банков данных, содержащих справочную информацию социально-экономического, культурного и бытового назначения, право доступа к которым гарантируется и регламентируется законодательством.
Во-вторых, разработкой мер защиты применительно к каждой из четырех групп должны заниматься специалисты из соответствующих областей знаний.
Естественно, что каждый из указанных специалистов по-своему решает задачу обеспечения информационной безопасности и применяет свои способы и методы для достижения заданных целей. При этом каждый из них в своем конкретном случае находит свои наиболее эффективные решения. Однако на практике совокупность таких частных решений не дает в сумме положительного результата - система безопасности в целом работает неэффективно.Применение в этих условиях системного подхода позволяет определить взаимные связи между соответствующими определениями, принципами, способами и механизмами защиты. Причем понятие системности в данном случае заключается не просто в создании соответствующих механизмов защиты, а представляет собой регулярный процесс, осуществляемый на всех этапах жизненного цикла информационной системы.
С точки зрения общей теории систем можно выделить три класса задач:
- задача анализа - определение характеристик системы при заданной ее структуре;
- задача синтеза - получение структуры системы, оптимальной по какому-либо критерию (или их совокупности);
- задача управления - поиск оптимальных управляющих воздействий на элементы системы в процессе ее функционирования.
Применение системного подхода на этапе создания системы защиты информации (СЗИ) подразумевает решение соответствующей задачи синтеза. Такой подход (например, применительно к техническим системам) позволяет получить оптимальное по определенному критерию (или их совокупности) решение: структуру, алгоритмы функционирования.
При оценке качества функционирования синтезированной СЗИ целесообразно производить оценку ее эффективности. В настоящее время в отечественной и зарубежной практике в основном используются два способа оценки:
- определение соответствия техническому заданию на создание системы защиты реализованных функций и задач защиты, эксплуатационных характеристик и требований;
- анализ функциональной надежности системы защиты.
Первый способ является наиболее простым и выполняется на этапе приемо-сдаточных испытаний.
Суть второго заключается в следующем.
Для обоснования выбора средств защиты в целях эффективного обеспечения защиты вводится классификация их свойств. Каждому классу соответствует определенная совокупность обязательных функций. В России классификация систем защиты определяется руководящим документом Г остехко- миссии «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации». В соответствии с этим документом устанавливается семь классов защищенности средств вычислительной техники от несанкционированного доступа к информации. Самый низкий класс - седьмой, самый высокий - первый.Классы подразделяются на четыре группы, отличающиеся качественным уровнем защиты:
- первая группа содержит только один седьмой класс;
- вторая группа характеризуется дискреционной защитой и содержит шестой и пятый классы;
- третья группа характеризуется мандатной защитой и содержит четвертый, третий и второй классы;
- четвертая группа характеризуется верифицированной защитой и содержит только первый класс.
Указанные способы используют, по своей сути, системотехнические методики оценки.
Наряду с упомянутыми способами существует ряд методик и моделей, с помощью которых производится анализ эффективности систем защиты информации. Для оценки в моделях используются показатели, характеризующие уязвимость информации, обрабатываемой в информационной системе (ИС), либо некоторые величины, входящие в выражения показателей качества информации.
Таким образом, построение высокоэффективных систем защиты информации возможно на основе системного подхода путем решения соответствующей задачи синтеза. Задача синтеза сводится к оптимальному обоснованию качественных и количественных требований к СЗИ.
В последнее время формируется устойчивое мнение, что информация, существующая в форме знаний, должна быть общедоступна, потребность в ее получении у подавляющего большинства индивидов столь же велика, как и потребность в жизни или свободе.
И если право жить как первичное, фундаментальное ничем ограничить нельзя, ограничение права на свободу жестко регламентируется законом, то не менее жестко необходимо определять условия, при которых может быть ограничено право человека в доступе к необходимой ему информации.В Российской Федерации в период 90-х гг. был предпринят ряд существенных мер, направленных на обеспечение свободы массовой информации, которые нашли отражение в Законе о средствах массовой информации (СМИ), Федеральном законе от 13 января 1995 г. № 7-ФЗ «О порядке освещения деятельности органов государственной власти в государственных средствах массовой информации».
То субъективное право, на котором мы заостряем внимание, касается права человека свободно искать и получать информацию. И лишь к отдельным категориям информации, точно определенным нормативными правовыми актами, доступ может быть временно ограничен. Основанием в таком ограничении является защита охраняемых законом интересов личности, общества и государства.
На протяжении значительной части прошлого века деятельность средств массовой информации в России осуществлялась в условиях действия цензуры, которая практически обеспечивала информационную безопасность этой деятельности.
Действующая в настоящее время редакция Закона о СМИ в ряде случаев оставляет возможность прямых нарушений принципов обеспечения информационной безопасности. В частности, отдельные положения главы «Ответственность за нарушение законодательства о средствах массовой информации», касающиеся освобождения от указанной ответственности, создают предпосылки для многократного тиражирования дезинформации практически любого содержания.
Таким образом, на современном этапе деятельности СМИ в России возникла настоятельная потребность в организации и правовом обеспечении так называемой технологической цензуры. Известно, что в ряде стран определенный опыт использования технологической цензуры накоплен в рамках деятельности ведомств, обеспечивающих функционирование средств связи, по отношению к Интернету.
Наряду с проблемой совершенствования законодательства, направленного на повышение ответственности редакций за достоверность публикуемых материалов, одним из направлений решения указанной задачи является разработка механизмов осуществления технологической цензуры.
Технически эта задача может быть решена, например, созданием редакционной экспертной системы, которая будет анализировать всю подготовленную для распространения через СМИ информацию (в том числе и Интернет-издания).
Естественно, что информационное общество не может признано таковым, если не будет сформировано единого и максимально широкого информационного пространства. Реальной моделью и реальным оператором этого пути является все та же сеть Интернет. Сеть ликвидировала государственные границы в информационной сфере. В Сети циркулирует огромное количество разнообразной информации, при этом реально обеспечивается свобода ее поиска. Интернет и ему подобные системы - это новая степень свободы для человека, степень информационной свободы. Там каждый может найти то, что ему нужно.
Эта свобода поиска и общения одновременно вдохновляет и настораживает. Вдохновляет потому, что человек может свободно самовыражаться, формируя и выставляя на всеобщее обозрение информацию о себе самом, причем не только текстовую, но и графическую, и видео. Настораживает потому, что свобода обмена информацией в Сети в ряде случаев реализуется как вседозволенность (передача порнографии, инструкций по изготовлению взрывчатых веществ и т.п.). Помимо этого, Сеть, вследствие ее абсолютной открытости, является прекрасным транспортером, переносчиком всякого рода вредоносных программ, разрушающих информационные ресурсы и нарушающих нормальное функционирование технологического оборудования.
Осознание значимости информации для жизни человечества на новом качественном уровне в целом и построение коммуникаций, основанных на компьютерных технологиях в частности, сделали актуальным формирование новой стратегии силового противоборства между государствами - стратегии информационных войн.