5.2. Выводы по экспериментально-расчетной части
К концу 2008 года по данным экспертов, в России количество Интернет- пользователей превысит 40 млн. человек. По оценкам специалистов, ориентирующихся в своих прогнозах на опыт ведущих зарубежных стран, атаки в ки- берпространстве в России будут представлять угрозу национальной безопасности, когда это число возрастет примерно в 5 раз, хотя и в нынешней ситуации возникает опасность серьезного экономического ущерба.
И в первую очередь, учитывая глобальную тенденцию криминализации Интернета, данные атаки будут направлены на те сферы информационной инфраструктуры, которые могут принести коммерческую выгоду злоумышленникам. В этой связи наиболее целесообразным в настоящее время является анализ, и применение превентивных мер защиты, учитывающих текущую ситуацию и прогнозирование поля угроз.По результатам исследования нами предлагаются следующие рекомендации, предназначенные для того, чтобы повысить эффективность СЗИ сайтов органов власти.
Необходимо внедрять применение защищенных технологий для обеспечения безопасности информационного обмена между сайтом и компьютером пользователя. Использование наиболее распространенного решения в области защиты сетевого трафика — протокола SSL/TLS — позволит защититься в первую очередь от угроз пассивного прослушивания трафика из локальной сети клиента.
Всестороннее тестирование безопасности сайта профессиональной консалтинговой компанией, специализирующейся на предоставлении услуг в области аудита информационной безопасности, также повысит надежность СЗИ.
По результатам исследования использование двухфакторной аутентификации - лучшая современная практика, так как включает использование специального программно/аппаратного ключа - USB-токена, элемента touch-memory или ключевой дискеты. Таким образом, аутентификация клиента проходит по двум признакам (факторам) - паролю, который известен только пользователю и вводится им с клавиатуры, и ключу, хранимому в дополнительном устройстве.
Наличие пакета нормативных правовых, нормативно-методических документов Российской Федерации и ФСТЭК России в области защиты информации в органе власти, частично «перекрывает» вопросы создания правовой защиты информации, а разработка и внедрение пакета нормативно-методических документов, определяющих порядок проведения работ по защите информации в органе власти - полностью.
Основным документом, определяющим политику проведения обозначенных мероприятий, должен быть «Руководство по защите информации в органе власти...».Идентификация информации, циркулирующей в органе власти по следующим критериям: является ли информация ограниченного доступа или является открытой общедоступной информацией, позволит разработать «Перечень открытой общедоступной информации...» и «Перечень информации ограниченного доступа», на основании которых можно выбирать методы и средства защиты информации, путём категорирования объектов информатизации по уровням защищённости и группам ценности информации.
Методы и средства защиты целесообразно проводить в соответствии с требованиями Руководящего документа Гостехкомиссии России. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации.
При защите информации на объектах информатизации рекомендуется использовать программные и технические средства защиты информации, сертифицированные в системе сертификации средств защиты информации по требованиям безопасности информации № РОСС 1Ш.0001.01БИ00. Для органов власти данная рекомендация является обязательной.
Для обеспечения доступности информации целесообразно применять источники бесперебойного питания, источники автономного питания, центры резервной (дублирующей) обработки, резервного оборудования (холодный резерв), систему аудита, кластеризацию ЭВМ.
В отношении угроз от внешнего нарушителя целесообразно применять организационно-технические мероприятия по обслуживанию линий связи, систему криптографической защиты, коды аутентификации, имитозащиту данных, электронную цифровую подпись, протокол двусторонней криптографической аутентификации, систему НСД, FireWall между элементами на сетевом уровне, систему разовых паролей для доступа к ресурсам (на прикладном уровне), уникальный криптографический сеанс (на сеансовом уровне).
В целях предотвращения опубликования на сайте органа власти информации ограниченного доступа, необходимо в обязательном порядке предварительно направлять её на экспертизу в Экспертную комиссию или Постоянно действующую техническую комиссию органа власти (ПДТК).
И не стоит забывать, что комплексное применение в соответствии с принципами целесообразности и разумности на объектах защиты методов правовой, организационной и технической защиты информации, позволит сэкономить финансовые средства органа власти.