Проблема несанкционированного доступа к информации и ее правовые аспекты

Министерство образования и науки Российской федерации

ГОУ ВПО «Тюменский государственный университет»

 

 

 

 

 

 

 

 

 

Проблема несанкционированного доступа

к информации и ее правовые аспекты

 

 

 

 

 

 

 

 

 

 

 

 

 

Выполнил:

 

 

 

Научный руководитель:

 

 

 

 

Тюмень, 2011

 

Содержание

Введение		3
Глава 1.	Проблема защиты информации от несанкционированного доступа	5
1.1.	Пути несанкционированного доступа	5
1.2.	Классификация способов и средств защиты информации	8
Глава 2.	Основные требования и методы защиты информации	11
2.1.	Основные нормативно-правовые документы РФ по защите информации	11
2.2.	Методы защиты информации	14
Заключение		16
Список литературы		18

 

 

Введение

Масштабы применения и приложения информационных технологий стали таковы, что наряду с проблемами производительности, надежности и устойчивости функционирования информационных систем, остро встает проблема защиты циркулирующей в системах информации от несанкционированного доступа. Статистика фактов несанкционированного доступа к информации показывает, что большинство современных информационных систем достаточно уязвимо с точки зрения безопасности.

Сейчас, когда современные информационные технологии интенсивно внедряются во все сферы человеческой деятельности, когда повсюду используются компьютеры и электронные средства связи, а электронная информация определяет действия все большего числа людей и технических систем, вопросы безопасности не могут оставаться чем-то второстепенным. Это и определяет актуальность нашей темы. Нарушение безопасности обработки и передачи информации приводит к ущербу, степень и масштабы которого определяются целевым назначением этой информации и могут быть соизмеримы с глобальными трагическими последствиями. Это в свою очередь привело к тому, что помимо задач передачи, хранения и обработки информации возникла не менее, а в ряде случаев и более важная задача защиты информации.

Статистика показывает, что большая часть пользователей не владеет элементарными навыками и знаниями о компьютерной безопасности, особенно ее правовыми аспектами. Вследствие этого, очень часто происходит потеря информации в результате заражения компьютера вредоносными программами, из-за использования нелицензионного программного обеспечения, ошибок самих пользователей и т.д.

Проблема исследования заключается в противоречии между необходимостью защиты информации от несанкционированного доступа и возможностью использования знаний о компьютерной безопасности, особенно ее правовых аспектов.

Цель работы: рассмотреть различные способы защиты информации от несанкционированного доступа.

В соответствии с поставленной целью были выдвинуты следующие задачи:

1. Изучить литературу по проблеме исследования.
2. Рассмотреть стандартные способы и средства защиты информации.
3. Исследовать правовые аспекты несанкционированного доступа к информации.

Для решения поставленных задач применялись следующие методы исследования: анализ и изучение литературы, программно-технических средств и правовых аспектов защиты информации от несанкционированного доступа.

Объектом исследования является процесс защиты информации от несанкционированного доступа.

Предметом исследования являются способы и средства защиты информации от несанкционированного доступа и их правовые аспекты.

 

Глава 1. Проблема защиты информации от несанкционированного доступа

1.1. Пути несанкционированного доступа к информации

Под безопасностью информации понимается «состояние защищенности информации, обрабатываемой средствами вычислительной техники или автоматизированной системы, от внутренних или внешних угроз».

Целостность понимается как «способность средств вычислительной техники или автоматизированной системы обеспечивать неизменность вида и качества информации в условиях случайного искажения или угрозы разрушения». Согласно руководящему документу Гостехкомиссии России «Защита от несанкционированного доступа к информации. Термины и определения» угрозы безопасности и целостности состоят в потенциально возможных воздействиях на вычислительную систему (ВС), которые прямо или косвенно могут нанести ущерб безопасности и целостности информации, обрабатываемой системой.

Ущерб целостности информации состоит в ее изменении, приводящем к нарушению ее вида или качества.

Ущерб безопасности подразумевает нарушение состояния защищенности содержащейся в ВС информации путем осуществления несанкционированного доступа (НСД) к объектам ВС.

НСД определяется как «доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых ВС». НСД заключается в получении пользователем или программой доступа к объекту, разрешение на который  в соответствии с принятой в системе политикой безопасности отсутствует.

Реализация угрозы называется атакой. Человек, стремящийся реализовать угрозу, называется нарушителем, злоумышленником, или проще – хакером.

Хакерами называют тех, кто получает или пытается получить незаконный доступ к данным через компьютерные сети (сейчас обычно через Интернет). Во многих странах принято законодательство, ставящее действия хакеров вне закона, и некоторые из них уже привлечены к ответственности.

Существует множество классификаций видов угроз по принципам и воздействию их на систему, по используемым средствам, по целям атаки и т.д. Рассмотрим общую классификацию угроз безопасности ВС по средствам воздействия на ВС. С этой точки зрения все угрозы могут быть отнесены к одному из следующих классов:

1. Вмешательство человека в работу ВС. К этому классу относятся организационные средства нарушения безопасности ВС (кража носителей информации, НСД к устройствам хранения и обработки информации, порча оборудования и т.д.) и осуществление нарушителем НСД к программным компонентам ВС (все способы несанкционированного проникновения в ВС, а также способы получения пользователем-нарушителем незаконных прав доступа к компонентам ВС). Меры, противостоящие таким угрозам, носят организационный характер (охрана, режим доступа к устройствам ВС), а также включают в себя совершенствование систем разграничения доступа и системы обнаружения попыток атак (например, попыток подбора паролей).
2. Аппаратно-техническое вмешательство в работу ВС. Имеется ввиду нарушение безопасности и целостности информации в ВС с помощью технических средств, например, получение информации по электромагнитному излучению устройств ВС, электромагнитные воздействия на каналы передачи информации и другие методы. Защита от таких угроз, кроме организационных мер, предусматривает соответствующие аппаратные (экранирование излучений  аппаратуры, защита каналов передачи информации от прослушивания) и программные меры (шифрация сообщений в каналах связи).
3. Разрушающее воздействие на программные компоненты ВС с помощью программных средств. Такие средства называются вредоносные программы. К вредоносному программному обеспечению (ВПО) относятся сетевые черви, классические файловые вирусы, троянские программы, хакерские утилиты и прочие программы, наносящие заведомый вред компьютеру, на котором они запускаются на выполнение, или другим компьютерам в сети.

В настоящее время существуют следующие пути несанкционированного получения информации (каналы утечки информации):

• перехват электромагнитных излучений;
• хищение носителей информации и производственных отходов;
• считывание данных в массивах других пользователей;
• копирование носителей информации;
• несанкционированное использование терминалов;
• маскировка под зарегистрированного пользователя с помощью хищения паролей и других реквизитов разграничения доступа;
• получение защищаемых данных с помощью серии разрешенных запросов;
• использование недостатков языков программирования и операционных систем;
• преднамеренное включение в библиотеки программ специальных блоков типа «троянских программ»;
• незаконное подключение к аппаратуре или линиям связи 
  вычислительной системы;
• злоумышленный вывод из строя механизмов защиты.

 

 

 

 

 

 

 

 

1.1. Классификация способов  и средств защиты информации

Для решения проблемы защиты информации основными средствами, используемыми для создания механизмов защиты, принято считать:

1. Технические средства реализуются в виде электрических, электромеханических, электронных устройств. Всю совокупность технических средств принято делить на:

• аппаратные – устройства, встраиваемые непосредственно в аппаратуру, или устройства, которые сопрягаются с аппаратурой СОД по стандартному интерфейсу (схемы контроля информации по четности, схемы защиты полей памяти по ключу, специальные регистры);
• физические – реализуются в виде автономных устройств и систем (электронно-механическое оборудование охранной сигнализации и наблюдения, замки на дверях, решетки на окнах).

2. Программные средства – программы, специально предназначенные для выполнения функций, связанных с защитой информации.

В ходе развития концепции защиты информации специалисты пришли к выводу, что использование какого-либо одного из выше указанных способов защиты, не обеспечивает надежного сохранения информации. Необходим комплексный подход к использованию и развитию всех средств и способов защиты информации (рис. 1).

 

Рис. 1. Способы и средства защиты информации

В результате были созданы следующие способы защиты информации:

1. Препятствие – физически преграждает злоумышленнику путь к защищаемой информации (на территорию и в помещения с аппаратурой, носителями информации).
2. Управление доступом – способ защиты информации регулированием использования всех ресурсов системы (технических, программных средств, элементов данных).
3. Кодирование информации – способ защиты информации в СОД путем ее криптографического закрытия. При передаче информации по линиям связи большой протяженности криптографическое закрытие является единственным способом надежной ее защиты.
4. Регламентация – заключается в разработке и реализации в процессе функционирования СОД комплексов мероприятий, создающих такие условия автоматизированной обработки и хранения в СОД защищаемой информации, при которых возможности несанкционированного доступа к ней сводились бы к минимуму.
5. Принуждение – пользователи и персонал СОД вынуждены соблюдать правила обработки и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.

Рассмотренные способы защиты информации реализуются применением различных средств защиты, причем различают технические, программные, организационные, законодательные и морально-этические средства.

Организационными средствами защиты называются организационно-правовые мероприятия, осуществляемые в процессе создания и эксплуатации СОД для обеспечения защиты информации. Организационные мероприятия охватывают все структурные элементы СОД на всех этапах: строительство помещений, проектирование системы, монтаж и наладка оборудования, испытания и проверки, эксплуатация.

К законодательным средствам защиты относятся законодательные акты страны, которыми регламентируются правила использования и обработки информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.

К морально-этическим средствам защиты относятся всевозможные нормы, которые сложились традиционно или складываются по мере распространения вычислительных средств в данной стране или обществе. Эти нормы большей частью не являются обязательными, как законодательные меры, однако несоблюдение их ведет обычно к потере авторитета, престижа человека или группы лиц.

Все рассмотренные средства защиты делятся на:

1. Формальные – выполняющие защитные функции строго по заранее предусмотренной процедуре и без непосредственного участия человека.
2. Неформальные – такие средства, которые либо определяются целенаправленной деятельностью людей, либо регламентируют эту деятельность.