Понятие защиты информации

Для более глубокого понимания проблемы определим еще два понятия: безопасность информации и защита информации.

Понятие «безопасность информации» распадается на две составляющие:

- безопасность содержательной части (смысла) информации - отсутствие в ней побуждения человека к негативным действиям, умышленно заложенных механизмов негативного воздействия на че­ловеческую психику или негативного воздействия на иной блок ин­формации (например, информация, содержащаяся в программе для ЭВМ, именуемой компьютерным вирусом);

- защищенность информации от внешних воздействий (попыток неправомерного копирования, распространения, модификации (изме­нения смысла) либо уничтожения.

Таким образом, защита информации входит составной частью в понятие «безопасность информации».

Защита информации представляет собой принятие право­вых, организационных и технических мер, направленных на:

- обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предос­тавления, распространения, а также от иных неправомерных действий в отношении такой информации;

- соблюдение конфиденциальности информации ограниченного доступа;

- реализацию права на доступ к информации.

Следует отметить, что в целом проблема информационной безопасности включает, наряду с задачами обеспечения защищенности информации и информационных систем, еще два аспекта: защиту от воздействия вредоносной информации, обеспечение принятия обосно­ванных решений с максимальным использованием доступной инфор­мации.

Обеспечение информационной безопасности призвано ре­шать следующие основные задачи:

- выявление, оценка и предотвращение угроз информационным системам и информационным ресурсам;

- защита прав юридических и физических лиц на интеллекту­альную собственность, а также сбор, накопление и использование ин­формации;

- защита государственной, служебной, коммерческой, личной и других видов тайны.

Угрозы информационным системам и информационным ре­сурсам можно условно разделить на четыре основные группы:

а) программные - внедрение «вирусов», аппаратных и про­граммных закладок; уничтожение и модификация данных в информа­ционных системах;

б) технические, в т.ч. радиоэлектронные, - перехват информа­ции в линиях связи; радиоэлектронное подавление сигнала в линиях связи и системах управления;

в) физические - уничтожение средств обработки и носителей информации; хищение носителей, а также аппаратных или программ­ных парольных ключей;

г) информационные - нарушение регламентов информационного обмена; незаконные сбор и использование информации; несанкциони­рованный доступ к информационным ресурсам; незаконное копирова­ние данных в информационных системах; дезинформация, сокрытие или искажение информации; хищение информации из баз данных.

Противостоять этим угрозам можно на основе создания и вне­дрения эффективных систем защиты информации. Причем решение задачи создания таких систем должно быть реализовано на основе сис­темного подхода по следующим причинам.

Во-первых, для эффективной защиты информационных ресур­сов требуется реализация целого ряда разнородных мер, которые мож­но разделить на три группы: юридические, организационно­

экономические и технологические. Все они базируются на следующих принципах:

- нормативно-правовая база информационных отношений в об­ществе четко регламентирует механизмы обеспечения прав граждан свободно искать, получать, производить и распространять информа­цию любым законным способом;

- интересы обладателей информации охраняются законом;

- засекречивание (закрытие) информации является исключением из общего правила на доступ к информации;

- ответственность за сохранность информации, ее засекречива­ние и рассекречивание персонифицируются;

- специальной заботой государства является развитие сферы информационных услуг, оказываемых населению и специалистам на основе современных компьютерных сетей, системы общедоступных баз и банков данных, содержащих справочную информацию социаль­но-экономического, культурного и бытового назначения, право досту­па к которым гарантируется и регламентируется законодательством.

Во-вторых, разработкой мер защиты применительно к каждой из четырех групп должны заниматься специалисты из соответствую­щих областей знаний. Естественно, что каждый из указанных специа­листов по-своему решает задачу обеспечения информационной безо­пасности и применяет свои способы и методы для достижения задан­ных целей. При этом каждый из них в своем конкретном случае нахо­дит свои наиболее эффективные решения. Однако на практике сово­купность таких частных решений не дает в сумме положительного ре­зультата - система безопасности в целом работает неэффективно.

Применение в этих условиях системного подхода позволяет оп­ределить взаимные связи между соответствующими определениями, принципами, способами и механизмами защиты. Причем понятие сис­темности в данном случае заключается не просто в создании соответ­ствующих механизмов защиты, а представляет собой регулярный про­цесс, осуществляемый на всех этапах жизненного цикла информаци­онной системы.

С точки зрения общей теории систем можно выделить три класса задач:

- задача анализа - определение характеристик системы при за­данной ее структуре;

- задача синтеза - получение структуры системы, оптимальной по какому-либо критерию (или их совокупности);

- задача управления - поиск оптимальных управляющих воздей­ствий на элементы системы в процессе ее функционирования.

Применение системного подхода на этапе создания системы за­щиты информации (СЗИ) подразумевает решение соответствующей задачи синтеза. Такой подход (например, применительно к техниче­ским системам) позволяет получить оптимальное по определенному критерию (или их совокупности) решение: структуру, алгоритмы функционирования.

При оценке качества функционирования синтезированной СЗИ целесообразно производить оценку ее эффективности. В настоящее время в отечественной и зарубежной практике в основном использу­ются два способа оценки:

- определение соответствия техническому заданию на создание системы защиты реализованных функций и задач защиты, эксплуата­ционных характеристик и требований;

- анализ функциональной надежности системы защиты.

Первый способ является наиболее простым и выполняется на этапе приемо-сдаточных испытаний.

Суть второго заключается в следующем. Для обоснования вы­бора средств защиты в целях эффективного обеспечения защиты вво­дится классификация их свойств. Каждому классу соответствует опре­деленная совокупность обязательных функций. В России классифика­ция систем защиты определяется руководящим документом Гостехко­миссии «Средства вычислительной техники. Защита от несанкциони­рованного доступа к информации. Показатели защищенности от не­санкционированного доступа к информации». В соответствии с этим документом устанавливается семь классов защищенности средств вы­числительной техники от несанкционированного доступа к информа­ции. Самый низкий класс - седьмой, самый высокий - первый.

Классы подразделяются на четыре группы, отличающиеся качественным уровнем защиты:

- первая группа содержит только один седьмой класс;

- вторая группа характеризуется дискреционной защитой и со­держит шестой и пятый классы;

- третья группа характеризуется мандатной защитой и содержит четвертый, третий и второй классы;

- четвертая группа характеризуется верифицированной защитой и содержит только первый класс.

Указанные способы используют, по своей сути, системотехни­ческие методики оценки.

Наряду с упомянутыми способами существует ряд методик и моделей, с помощью которых производится анализ эффективности систем защиты информации. Для оценки в моделях используются по­казатели, характеризующие уязвимость информации, обрабатываемой в информационной системе (ИС), либо некоторые величины, входящие в выражения показателей качества информации.

Таким образом, построение высокоэффективных систем защиты информации возможно на основе системного подхода путем решения соответствующей задачи синтеза. Задача синтеза сводится к оптималь­ному обоснованию качественных и количественных требований к СЗИ.

В последнее время формируется устойчивое мнение, что ин­формация, существующая в форме знаний, должна быть общедоступ­на, потребность в ее получении у подавляющего большинства индиви­дов столь же велика, как и потребность в жизни или свободе.

В Российской Федерации в период 90-х гг. был предпринят ряд существенных мер, направленных на обеспечение свободы массовой информации, которые нашли отражение в Законе о средствах массовой информации (СМИ), Федеральном законе от 13 января 1995 г. № 7-ФЗ «О порядке освещения деятельности органов государственной власти в государственных средствах массовой информации».

То субъективное право, на котором мы заостряем внимание, ка­сается права человека свободно искать и получать информацию. И лишь к отдельным категориям информации, точно определенным нор­мативными правовыми актами, доступ может быть временно ограни­чен. Основанием в таком ограничении является защита охраняемых законом интересов личности, общества и государства.

На протяжении значительной части прошлого века деятельность средств массовой информации в России осуществлялась в условиях действия цензуры, которая практически обеспечивала информацион­ную безопасность этой деятельности.

Действующая в настоящее время редакция Закона о СМИ в ряде случаев оставляет возможность прямых нарушений принципов обес­печения информационной безопасности. В частности, отдельные по­ложения главы «Ответственность за нарушение законодательства о средствах массовой информации», касающиеся освобождения от ука­занной ответственности, создают предпосылки для многократного ти­ражирования дезинформации практически любого содержания.

Таким образом, на современном этапе деятельности СМИ в Рос­сии возникла настоятельная потребность в организации и правовом обеспечении так называемой технологической цензуры. Известно, что в ряде стран определенный опыт использования технологической цен­зуры накоплен в рамках деятельности ведомств, обеспечивающих функционирование средств связи, по отношению к Интернету.

Наряду с проблемой совершенствования законодательства, на­правленного на повышение ответственности редакций за достовер­ность публикуемых материалов, одним из направлений решения ука­занной задачи является разработка механизмов осуществления техно­логической цензуры.

Технически эта задача может быть решена, например, создани­ем редакционной экспертной системы, которая будет анализировать всю подготовленную для распространения через СМИ информацию (в том числе и Интернет-издания).

Естественно, что информационное общество не может признано таковым, если не будет сформировано единого и максимально широ­кого информационного пространства. Реальной моделью и реальным оператором этого пути является все та же сеть Интернет. Сеть ликви­дировала государственные границы в информационной сфере. В Сети циркулирует огромное количество разнообразной информации, при этом реально обеспечивается свобода ее поиска. Интернет и ему по­добные системы - это новая степень свободы для человека, степень информационной свободы. Там каждый может найти то, что ему нуж­но.

Эта свобода поиска и общения одновременно вдохновляет и на­стораживает. Вдохновляет потому, что человек может свободно само­выражаться, формируя и выставляя на всеобщее обозрение информа­цию о себе самом, причем не только текстовую, но и графическую, и видео. Настораживает потому, что свобода обмена информацией в Се­ти в ряде случаев реализуется как вседозволенность (передача порно­графии, инструкций по изготовлению взрывчатых веществ и т.п.). По­мимо этого, Сеть, вследствие ее абсолютной открытости, является прекрасным транспортером, переносчиком всякого рода вредоносных программ, разрушающих информационные ресурсы и нарушающих нормальное функционирование технологического оборудования.

Осознание значимости информации для жизни человечества на новом качественном уровне в целом и построение коммуникаций, ос­нованных на компьютерных технологиях в частности, сделали акту­альным формирование новой стратегии силового противоборства ме­жду государствами - стратегии информационных войн.

8.3.3.