 |
Доктрина информационной безопасности РФ
|
|
|
|
По мере продвижения к информационному обществу все более острой становится проблема защиты права личности, общества и государства на конфиденциальность (т.е. секретность) определенных видов информации. Уже сегодня в странах, в которых в массовом порядке используются компьютерные сети, предпринимаются огромные усилия по охране информации. Каждый человек, доверяющий информацию о себе государственному органу или фирме, вправе рассчитывать на то, что эта информация не будет разглашена или использована ему во вред.
В России в 2000 г. принята Доктрина информационной безопасности Российской Федерации. Рассмотрим основные ее положения.
К объектам информационной безопасности РФ относятся:
· все виды информационных ресурсов;
· права граждан, юридических лиц и государства на получение, распространение и использование информации, защиту информации и интеллектуальной собственности;
· система формирования, распространения и использования информационных ресурсов, включающая в себя информационные системы различного класса и назначения, библиотеки, архивы, базы и банки данных, информационные технологии и т.д.;
· информационная инфраструктура, включающая центры обработки и анализа информации, каналы информационного обмена и телекоммуникации, механизмы обеспечения функционирования телекоммуникационных систем и сетей;
· система формирования общественного сознания (мировоззрение, моральные ценности, нравственные оценки, социально допустимые стереотипы поведения и взаимоотношения между людьми), базирующаяся на средствах массовой информации и пропаганды.
Национальные интересы РФ включают в себя:
а) соблюдение конституционных прав и свобод человека и гражданина в области получения информации и ее использования, обеспечение духовного становления России, сохранение и укрепление ценностей общества;
|
|
|
б) информационное обеспечение государственной политики РФ, связанное с доведением до российской и международной общественности достоверной информации о государственной политике РФ;
в) развитие современных информационных технологий отечественной индустрии информации;
г) защита информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и телекоммуникационных систем.
В доктрине формулируются методы обеспечения информационной безопасности страны, включая правовые, организационно-технические и экономические, а также особенности обеспечения информационной безопасности РФ в различных сферах общественной жизни: экономической, политической, в сфере обороны, науки и техники и др.
Одной из важнейших проблем в обсуждаемой сфере доктрина объявляет проблему информационного неравенства, которое вносит раскол в общество и отчуждение между составляющими его группами населения; поэтому данная проблема имеет прямое отношение к национальной безопасности. Особенно важно преодоление проявлений информационного неравенства в образовании, поскольку:
· появилась тенденция разделения образовательных учреждений на элитные и массовые с соответствующей разницей в ресурсном обеспечении;
· велико различие уровней доходов семей учащихся;
· значителен разрыв в размерах финансового обеспечения образовательных учреждений в различных регионах страны.
Преодоление информационного неравенства является задачей первостепенной государственной важности.
Информационная безопасность. Основные понятия
Информационная безопасность — процесс соблюдения (сохранения) трех аспектов (атрибутов безопасности): доступности, целостности и конфиденциальности информации.
|
|
|
1. Доступность информации. Информация в безопасном состоянии должна быть доступна для пользователя, то есть должна быть сохранена возможность проведения всех операций по ее обработке. Для этого необходимо работающее оборудование, не поврежденные носители и, конечно, наличие необходимых программ, причем — правильно настроенных.
2. Целостность информации — это соответствие логической структуры информации определенным правилам, логически корректное ее состояние. Процедуры обработки и изменения информации должны преобразовывать одно целостное состояние в другое.
3. Конфиденциальность. Выполнение тех или иных операций с информацией должно происходить в соответствии с некоторыми правилами, составляющими существенную часть политики безопасности. Нарушение конфиденциальности — возможность выполнения операций (например, чтения или записи) теми, кто этого не должен делать.
Нужно отметить, что это именно аспекты, то есть стороны одного и того же процесса. Все они тесно связаны между собой, нарушение одного из них вполне может стать нарушением и другого.
Возможность нарушения или нежелательного изменения одного из аспектов называется угрозой (по возможным целям “нарушением доступности”, “нарушением целостности” или “утечкой”). Фактически угроза — некоторое потенциально возможное нарушение безопасности.
Из наиболее часто возникающих угроз можно отметить:
1. Угрозу отказа аппаратуры.
2. Угрозу утечки (несанкционированного доступа).
3. Угрозу некорректной работы программных средств.
Реализация угрозы (фактическое нарушение безопасности) становится возможной благодаря существованию уязвимостей. Уязвимость — некоторая неудачная характеристика системы (программная ошибка, несовершенство аппаратной технологии, неверная настройка), благодаря которой становится возможным нарушение того или иного аспекта безопасности.
Нужно заметить, что такое определение фактически означает практическое отсутствие полностью безопасных систем, поскольку безошибочно написанных программ, универсальных безупречных технологий и способов абсолютно верной настройки сложных программно-аппаратных комплексов не существует.
|
|
|
Также следует учесть, что обеспечение аспектов безопасности требует нахождения компромисса. Полное соблюдение политики конфиденциальности сильно ограничивает доступность данных, если все внимание отдается целостности — замедляется обработка, а полная доступность данных практически всегда означает нарушение политики безопасности.
При обеспечении информационной безопасности стараются создать ситуацию, когда нарушение безопасности становится событием маловероятным и приносящим минимальный ущерб: вероятность сбоев аппаратного и программного обеспечения должна быть малой, работы по восстановлению — механическими, быстрыми и дешевыми, а нанесение ущерба — нерентабельным (можно больше потратить ресурсов, чем получить выгоды).
Для описания ситуаций, так или иначе связанных с нанесением ущерба, используют еще несколько терминов:
Атакой называется действие (или последовательность действий), которое приводит к реализации угрозы.
Не во всех случаях аспекты безопасности информации оказываются нарушенными в результате каких-либо направленных действий. Достаточно часто это происходит из-за отказов оборудования или ошибок в программах.
Описанная последовательность всех событий, связанных с тем или иным нарушением безопасности информации, включая приведшие к нарушению обстоятельства и последующие за реализацией действия, называется инцидентом.
Несмотря на немалое количество теоретических сведений и технических средств, которые применяются для обеспечения информационной безопасности, можно выделить несколько общих принципов, необходимость соблюдения которых мало зависит от технических средств:
1. Применение превентивных мер. По техническим причинам реализация подавляющего большинства угроз при обработке информации с помощью компьютера происходит значительно быстрее, чем пользователь может распознать атаку и предпринять какие-то меры. По этой причине защита должна быть продумана и реализована ДО того, как проблема возникнет.
|
|
|
2. Уменьшение поверхности атаки. Чем меньше объектов, которые вообще могут быть подвержены тем или иным угрозам, тем меньше вероятность нарушения аспектов безопасности. Из этого принципа напрямую вытекает необходимость минимизации количества программ и их взаимодействия с внешними источниками информации.
3. Защита всех этапов обработки информации. Степень уязвимости системы определяется по наиболее уязвимому узлу.Вне зависимости от общего количества принятых мер, они будут бесполезны, если в их числе останутся слабозащищенные звенья.
4. Эшелонирование защиты. Все защитные комплексы создаются по принципу эшелонов — т.е. этапов, слоев обработки. Это позволяет отчасти компенсировать недостатки, снизить общую вероятность поражения системы или минимизировать ущерб успешной реализации угрозы. Тем не менее каждый “эшелон” при построении считается единственным (то есть все предшествующие уже считаются преодоленными) и делается максимально закрытым (см. 1-й и 2-й принципы).
5. Разграничение доступа. Доступ к исполнению тех или иных операций должен соответствовать задачам, стоящим перед конкретным пользователем. Чем меньше таких операций доступно пользователю, тем меньше ущерб, который может быть нанесен (не обязательно это сам пользователь, возможно — одна из работающих программ).
6. Желание быть защищенным. Самый уязвимый компонент защиты — плохо обученный пользователь. Никакие ухищрения не помогут, если пользователь не соблюдает мер предосторожности и не понимает, какие угрозы возникают во время его работы.
Весь комплекс мер и правил, который должен свести к минимуму вероятность нарушения информационной безопасности, включающий аппаратные и программные средства, правила их настройки и тестирования, правила работы, инструктивное и законодательное обеспечение, называется политикой информационной безопасности.
С распространением и развитием сетевых технологий проблема соблюдения информационной безопасности стала особенно острой и затрагивающей практически всех пользователей. Сейчас компьютер, на котором не приняты меры по защите, не может обеспечить пользователю нормальную работу.
|
|
|
