Проблема несанкционированного доступа к информации и ее правовые аспекты

 

Глава 2. Основные требования и методы защиты информации

2.1. Основные нормативно-правовые  документы РФ по защите информации

В настоящее время деятельность в области защиты информации при работе с вычислительными сетями общего пользования, в том числе Интернет, осуществляется на основании ряда Федеральных законов, Указов и распоряжений Президента Российской Федерации и Постановлений Правительства Российской Федерации.

В 1990 году в СССР было принято решение о прокладке Транссоветской волоконно-оптической линии (далее – ТСЛ). Основной целью строительства ТСЛ было создание замкнутого глобального цифрового кольца Всемирной сети связи с охватом трех континентов – Европы, Азии и Америки.

В 1996 Федеральным законом от 4 июля 1996 года № 85-ФЗ «Об участии в международном информационном обмене» были введены ограничения на вывоз из Российской Федерации документированной информации, отнесенной к:

• государственной тайне или иной конфиденциальной информации;
• общероссийскому национальному достоянию;
• архивному фонду;
• иным категориям документированной информации, вывоз которой может быть ограничен законодательством Российской Федерации.

Возможность вывоза с территории Российской Федерации такой документированной информации определяется Правительством Российской Федерации в каждом отдельном случае. Данные ограничения распространяются и на перемещение с территории Российской Федерации документированной информации при предоставлении доступа пользователям, находящимся за пределами территории Российской Федерации, к информационным системам, сетям, находящимся на территории Российской Федерации.

Данным Федеральным законом определены органы государственной исполнительной власти, которые имеют право давать разрешение на включение в состав средств международного информационного обмена государственных информационных систем, сетей, для которых установлены особые правила доступа к информационным ресурсам: Гостехкомиссия России и ФАПСИ (ст. 10.2 данного федерального закона). А статьей 17.2 данного федерального закона определена необходимость сертификации средств международного информационного обмена, которые обрабатывают документированную информацию с ограниченным доступом, а также средств их защиты1.

Специальными требованиями и рекомендациями по защите конфиденциальной информации также установлен запрет на подключение к сети Интернет систем, обрабатывающих государственные информационные ресурсы, доступ к которым ограничен. Для негосударственных информационных ресурсов основными рекомендуемыми методами обеспечения безопасности информации при взаимодействии рабочих станций с сетью Интернет являются:

• межсетевое экранирование с целью управления доступом, фильтрации сетевых пакетов и трансляции сетевых адресов для скрытия структуры ЛВС;
• мониторинг вторжений в ЛВС, нарушающих или создающих предпосылки к нарушению установленных в организации требований по защите информации;
• шифрование информации при ее передаче через Интернет, а также использование электронно-цифровой подписи для контроля целостности и подтверждения подлинности отправителя и (или) получателя информации;
• использование средств антивирусной защиты2.

«Субъектам международного информационного обмена в Российской Федерации не осуществлять включение информационных систем, сетей связи и автономных персональных компьютеров, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну, и служебная информация ограниченного распространения, а также для которых установлены особые правила доступа к информационным ресурсам, в состав средств международного информационного обмена, в том числе в международную ассоциацию сетей Интернет (далее – сеть Интернет). 

Владельцам открытых и общедоступных государственных информационных ресурсов осуществлять их включение в состав объектов международного информационного обмена только при использовании сертифицированных средств защиты информации, обеспечивающих ее целостность и доступность, в том числе криптографических для подтверждения достоверности информации.

Владельцам и пользователям указанных ресурсов осуществлять размещение технических средств, подключаемых к открытым информационным системам, сетям и сетям связи, используемых при международном информационном обмене, включая сеть Интернет, вне помещений, предназначенных для ведения закрытых переговоров, в ходе которых обсуждаются вопросы, содержащие сведения, составляющие государственную тайну.

Службе специальной связи и информации при Федеральной службе охраны Российской Федерации обеспечивать поддержание и развитие сегмента сети Интернет для федеральных органов государственной власти и органов государственной власти субъектов Российской Федерации.»3

2.2. Методы защиты информации

Основные методы защиты ВС от утечек информации по электромагнитному каналу:

• Основным источником высокочастотного электромагнитного  излучения является дисплей. Изображение с его экрана можно принимать на расстоянии сотен метров. Полностью нейтрализовать утечку можно лишь с использованием генераторов шума. Другим способом защиты является использование плазменных или жидкокристаллических дисплеев.
• Матричный принтер является источником мощного низкочастотного электромагнитного излучения, которое быстро затухает с ростом расстояния. Тем не менее, это излучение также опасно. Борьба с ним крайне затруднена, так как оно имеет сильную магнитную составляющую, которая плохо зашумляется и экранируется. Поэтому рекомендуется либо зашумление мощным шумовым сигналом, либо использование струйного или лазерного принтеров, или термопечати.
• Электромагнитное излучение от внешних проводников и кабелей ПЭВМ невелика, но необходимо следить, чтобы они не пересекались с проводами, выходящими за пределы помещения.
• Монтаж заземлении от периферийного оборудования необходимо вести в пределах контролируемой зоны. Нельзя допускать, чтобы заземление пересекалось с другими проводниками.
• Все соединения ВС с «внешним миром» необходимо проводить через электрическую развязку.

Основными сервисами безопасности являются:

• идентификация и аутентификация;
• управление доступом;
• протоколирование и аудит;
• криптография;
• экранирование.

Средства управления доступом позволяют специфицировать и контролировать действия, которые субъекты – пользователи и процессы могут выполнять над объектами – информацией и другими компьютерными ресурсами. Речь идет о логическом управлении доступом, который реализуется программными средствами. Логическое управление доступом – это основной механизм многопользовательских систем, призванный обеспечить конфиденциальность и целостность объектов и, до некоторой степени, их доступность путем запрещения обслуживания неавторизованных пользователей.

Контроль прав доступа производится разными компонентами программной среды – ядром операционной системы, дополнительными средствами безопасности, системой управления базами данных, посредническим программным и т.д.

Удобной надстройкой над средствами логического управления доступом является ограничивающий интерфейс, когда пользователя лишают самой возможности попытаться совершить несанкционированные действия, включив в число видимых ему объектов только те, к которым он имеет доступ.

Сетевой экран – это средство разграничения доступа клиентов из одного множества, к серверам из другого множества. Сетевой экран выполняет свои функции, контролируя все информационные потоки между двумя множествами систем.

В простейшем случае экран состоит из двух механизмов, один из которых ограничивает перемещение данных, а второй, наоборот, ему способствует. В более общем случае экран или полупроницаемую оболочку удобно представлять себе как последовательность фильтров. Каждый из них может задержать данные, а может и сразу «перебросить» их «на другую сторону». Кроме того, допускаются передача порции данных на следующий фильтр для продолжения анализа или обработка данных от имени адресата и возврат результата отправителю.

Заключение

В общем случае, комплекс программно-технических средств и организационных (процедурных) решений по защите информации от НСД реализуется в рамках системы защиты информации от НСД, условно состоящей из следующих четырех подсистем:

• управления доступом;
• регистрации и учета;
• криптографической;
• обеспечения целостности.

Основная причина несанкционированного доступа к информации компьютерной сети – недостаточная идентификация и аутентификация ее удаленных компонент.

Прежде всего, следует разработать политику информационной безопасности, а уже с ее использованием приступать к разработке, либо к выбору из представленных на рынке программно-технических средств защиты информации. Однако здесь существует противоречие, состоящее в следующем: с одной стороны, политика информационной безопасности выставляет требования к системе защиты, с другой стороны, может она быть реализована только на основе тех возможностей (механизмов защиты), которые реализуются системой защиты. То есть именно система защиты является центральным звеном, определяющим возможности защиты информации.

Основные законодательные акты, Регулирующие вопросы технической защиты информации:

Специальные законодательные акты:

• Закон РФ «О государственной тайне».
• Закон РФ «Об информации, информатизации и защите информации».

Общие законодательные акты:

• Конституция Российской Федерации.
• Гражданский кодекс Российской Федерации.
• Уголовный кодекс Российской Федерации.
• Закон РФ «О банках и банковской деятельности».
• Федеральный закон «Об участии в международном информационном обмене».
• Закон РФ «Об органах Федеральной службы безопасности в Российской Федерации».
• Закон РФ «О федеральных органах правительственной связи и информации».
• Кодекс РФ об административных правонарушениях.

Обобщая все сказанное, отметим, что система правовой защиты информации является ключевым звеном политики информационной безопасности, которая в своей основе базируется именно на механизмах программно-технической защиты информации.

Поэтому выбор системы защиты, равно как и разработка политики информационной безопасности, в общем случае является взаимосвязанной процедурой.

 

Список литературы

1. Карпинский О. Защита виртуальной ip-сети // Connect. – 2002: №1. – С. 34-35.
2. Левин  В. Защита  информации  в  информационно-вычислительных системах и сетях. – Программирование, 2004.
3. Лукоянов В. Защита электронной почты // Connect». – 2002: № 12. – С. 28-31.
4. Порядок применения системы защиты Secret Net 2000. – Информзащита, 2005.
5. Хисамов Ф.Г. Теоретические и организационные-технические основы обеспечения информационной безопасности в системе специальной связи вооруженных сил России. – Москва: Академия МВД РФ, 2007.
6. Хофман Л. Современные методы защиты информации. – Москва, 2005.
7. Щеглов А.Ю. Защита компьютерной информации от несанкционированного доступа. – Санкт-Петербург: Наука и Техника, 2006.

1 Федеральный закон от 4 июля 1996 года № 85-ФЗ «Об участии в международном информационном обмене».

2 «Специальные требования и рекомендации по защите конфиденциальной информации» (СТР-К), введенные в действие приказом Гостехкомиссии России от 30 августа 2002 года № 282.

 

3 «О мерах по обеспечению информационной безопасности Российской Федерации в сфере международного информационного обмена» (Указ президента Российской Федерации от 12 мая 2004 г. № 611)