 |
Глава 1. Теоретические основы информационной безопасности
|
|
|
|
Введение
Актуальность темы исследования обусловлена тем, что в настоящее время кризисные процессы, происходящие в экономике России, сделали более контрастными давно существовавшие проблемы, позволили по-новому оценить приоритеты и пути решения этих проблем. Всего год назад многие организации бизнес-сообщества стремились к повышению капитализации и доходности. В современных условиях многие из них борются за само право на дальнейшее существование. Значительно в большей степени, чем прежде, они чувствительны к финансовым потерям.
В вопросе о продолжительности стагнации российской экономики мнения экспертов расходятся, но в том, что она имеет место, согласны все. Например, глава Сберегательного банка Российской Федерации, экс-министр экономического развития и торговли Герман Греф считает, что Россия должна готовиться как минимум к трехлетней стагнации экономики.
Сегодня от компании требуется больше мобильности в принятии решений, больше скорости, больше гибкости. Выполнение этих условий, эффективный менеджмент в целом невозможны без внедрения современных средств вычислительной техники.
Вопросы информационной безопасности находятся под постоянным контролем и регулированием, как со стороны государства, так и со стороны структур управления предприятий. Нормативно-методологической базой для решения вопросов безопасности в информационных системах являются в первую очередь требования российского законодательства, определяющие обязательность защиты информации ограниченного доступа, в том числе и персональных данных граждан, всеми субъектами информационных отношений на всей территории Российской Федерации. Эти требования определяются в законах, детализируются и уточняются в руководящих документах Федеральной службы по техническому и экспортному контролю Российской Федерации, ФСБ России и других государственных учреждений, имеющих отношение к обеспечению безопасности информации и безопасному использованию информационных технологий. Они определяют мероприятия и виды технических и программных средств базового уровня безопасности, обязательного для безоговорочного выполнения всеми субъектами информационных отношений, которые используют информационные системы, обрабатывающие соответствующие виды информации ограниченного доступа.
|
|
|
Ответственность за несоблюдение указанных требований несет, прежде всего, руководитель распределенной структуры. Она определена в таких российских законодательных актах, как Конституция Российской Федерации, Гражданский кодекс Российской Федерации, Уголовный кодекс Российской Федерации, Федеральные законы "О безопасности", "О государственной тайне", "Об информации, информатизации и защите информации", "О коммерческой тайне", "О связи", "Об участии в международном информационном обмене", "О техническом регулировании", "Об электронной цифровой подписи", "Об информации, информационных технологиях и о защите информации", указы Президента Российской Федерации, постановления Правительства Российской Федерации, Доктрина информационной безопасности Российской Федерации, международные договоры и соглашения, заключенные или признанные Российской Федерацией, а также в других нормативных правовых актах.
Целью настоящей работы является исследование информационной безопасности и развития новейших мультимедиа.
Названной целью обусловлены следующие главные задачи работы:
1. Определить понятие информационной безопасности.
|
|
|
2. Исследовать источники угроз информационным ресурсам.
. Выявить проблемы информационной безопасности в современных условиях.
. Рассмотреть особенности развития средств мультимедиа.
Объектом исследования являются общественные отношения в сфере информационной безопасности и развития мультимедиа.
Предметом исследования являются нормативно-правовые акты РФ, учебные пособия и монографии, раскрывающие понятие информационной безопасности и развитие средств мультимедиа в современной России.
В качестве информационной базы при работе над курсовой работой автору служили публикации в периодической печати и в сети Интернет. В работе были использованы работы таких ученых как Р.Р. Галямов, Г.В. Емельянов, Р. Идов, Е.С. Калина, В.Н. Лопатин, В.Д. Могилевский, А.А. Стрельцов.
Работа состоит из введения, двух глав, объединяющих четыре параграфа и заключения.
Глава 1. Теоретические основы информационной безопасности
Понятие информационной безопасности
безопасность мультимедиа программный
В последнее время в научной литературе возросло количество исследований, посвященных проблемам безопасности. К настоящему моменту уже можно говорить о появлении теории безопасности - науки о предвидении режимов функционирования системы, угрожающих ее существованию, и мерах по их предотвращению.
Исходя из анализа употребления понятия "безопасность" в действующем российском законодательстве, международно-правовых актах и научной литературе, можно говорить о выделении таких видов безопасности, как государственная безопасность, международная безопасность, экономическая безопасность, общественная безопасность, оборонная безопасность, информационная безопасность, экологическая безопасность, национальная безопасность, военная безопасность, энергетическая безопасность, безопасность труда, безопасность дорожного движения, ядерная и радиационная безопасность. Также говорится о безопасности малого города и региональной безопасности.
Развитие бизнеса, удержание и расширение доли на рынке, в том числе в сфере массовых коммуникаций, все в большей степени связываются с использованием новых информационных технологий. Все больший объем информации создается, обращается, обрабатывается и накапливается исключительно в электронном виде. Это относится практически ко всей информации и деятельности журналистского сообщества.
|
|
|
Это обусловлено тем, что использовать, обрабатывать и сохранять информацию в электронном виде не только удобнее, надежнее, но и выгоднее. Хотя иногда и приходится слышать, что "без компьютеров было лучше", но это воспринимается уже только как шутка.
"Электронное правительство" - не дань моде, а насущная необходимость, условие успешного развития всех сторон социально-экономической жизни в нашей стране. Остаться в стороне от происходящих в сфере мировой информатизации процессов нам уже просто не удастся. Но с другой стороны, перевод информационных потоков в электронный вид требует и новых подходов к защите информации.
Несанкционированное копирование и хищение значительных объемов представляющих интерес данных в электронном виде в отсутствие специальных защитных систем осуществить тоже намного проще. Таким образом, эффективность внедряемых вычислительных информационных систем, целесообразность затрат на их создание во многом зависят от уровня безопасности, который они обеспечивают.
Рассматривая рыночную стоимость предприятий, современные ученые пришли к выводу о том, что важнейшими ее составляющими являются: бренд, человеческий капитал и применяемые технологии.
В этом контексте, оценивая роль и место подразделений информационной безопасности в организационной структуре, можно отметить, что данные подразделения своим трудом придают особое свойство предлагаемому организацией на рынке продукту - безопасность. Они непосредственно участвуют в формировании бренда, способствуют повышению квалификации персонала.
В Доктрине информационной безопасности РФ информационная безопасность Российской Федерации определяется как состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.
|
|
|
В научной литературе в составе «информационной сферы общества» выделяют:
- субъекты информационной сферы;
- общественные отношения в информационной сфере;
- информационную инфраструктуру общества;
- информацию.
В соответствии с Законом о безопасности и содержанием Концепции национальной безопасности РФ под информационной безопасностью будем понимать состояние защищенности жизненно важных интересов личности, общества и государства в информационной сфере.
Итак, создавая в организации информационные системы, в которых обрабатывается и хранится информация, мы входим, не всегда при этом шагая "в ногу" и не всегда достаточно хорошо подготовленными, но все-таки входим в виртуальную реальность современного бизнеса. Делаем это не для забавы, а с целью решения конкретных жизненно важных задач. Успех во многом зависит от степени готовности к тем реалиям, которые ожидают нас в новом пространстве.
Источники угроз информационным ресурсам
Прежде всего, необходимо ясно осознать, что в информационном пространстве уже сформировались основные группы участников, сложились свои специфические законы и обычаи. Кроме этого, желательно по возможности четко определить, что же организация должна оберегать, применяя современные информационные технологии в процессах коммуникации.
Говоря о защищаемых ресурсах, прежде всего, следует отметить персонал - и наиболее ценный, и уязвимый ресурс одновременно.
Угрозы в отношении коммуникационных ресурсов, информационной безопасности и источники, откуда они исходят, детально описаны в фундаментальных работах. Им посвящены целые разделы соответствующих периодических электронных изданий. Такую информацию размещают на своих сайтах и разработчики защитного программного обеспечения. Публикуются сравнительные гистограммы, характеризующие частоту проявления различных угроз и наносимый в случае их реализации ущерб.
Вместе с этим представляется целесообразным рассмотреть некоторые особенности основных источников угроз информационным ресурсам. Среди мотивов, побуждающих специалистов идти на преступления, совершенные с помощью компьютера, в порядке приоритетности можно выделить следующие:
экономические выгоды (как в плане получения денег, так и в плане нанесения ущерба конкурентам);
PR-мотивы (создание выгодного имиджа себе и (или) очернение конкурента);
месть (например, уволившему работодателю);
самовыражение (попытки доказать свое превосходство);
стремление к познанию (попытки экспериментально установить последствия разрушительных действий);
|
|
|
вандализм;
развлечение.
Хотя, по мнению экспертов, ущерб от внешних злоумышленников намного ниже, чем от инсайдеров, начнем все-таки с них.
По оценкам ведущих иностранных и российских аналитиков (в частности, аналитиков известной корпорации International Data Corporation - IDC), в 2012-2013 гг. произошли качественные изменения в составе внешних злоумышленников. В эти годы заметно уменьшилось число разрозненных вандалов-романтиков, основной целью которых было доказать свое индивидуальное техническое и интеллектуальное превосходство. На их место пришли хорошо организованные, самообучающиеся группы мотивированных специалистов, преследующих экономические или политические цели.
Различия в природе типов внешних злоумышленников определяют и специфику их действий. Так, раньше хакер, преодолев защитные средства, нуждался в признании своих "заслуг" - он намеренно оставлял специфический след, хвастался. Теперь его задача - незаметно проникнуть в охраняемый ресурс, реализовать свои намерения и также незаметно его покинуть.
Одним из подтверждений этого вывода является относительное сокращение разносимых электронной почтой эпидемий неизбирательных вирусных инфекций. В этих условиях фиксация и документирование самого факта взлома требуют специальных средств и значительно больших, чем ранее, усилий.
Другой распространенной формой враждебного воздействия извне на информационные ресурсы стали массированные атаки с использованием многочисленных специально созданных виртуальных площадок на сайтах ничего не подозревающих респектабельных владельцев (так называемые ботнеты).
Примерно один из десяти веб-сайтов, проиндексированных крупнейшей поисковой системой Google, содержит вредоносный троянский код, способный заразить компьютер посетителя.
Объединяясь, киберпреступники фактически сформировали доходный бизнес производства и продажи вредоносных программ, средств взлома защитных систем. Сами вредоносные программы совершили в эти годы переход от любительских к сложным профессиональным решениям.
В сети Интернет есть сайты, которые предлагают помощь в создании новых вирусов, при этом гарантируют их высокие "боевые", то есть разрушительные, качества. Одна из тенденций последнего времени - активизация разработок с целью разрушения средств защиты, устройств информационной безопасности.
Крайне опасны внутренние источники угроз. Возвращаясь к ранее высказанной мысли о превалирующей ценности персонала, следует подчеркнуть необходимость уделять серьезное внимание, во-первых, повышению уровня "грамотности" в области информационной безопасности и, во-вторых, лояльности по отношению к организации ее работников.
Первое поможет избежать весьма частных непреднамеренных и немотивированных действий, несущих серьезную угрозу работоспособности системы, целостности информационных ресурсов.
Второе будет способствовать удержанию работников в организации, предотвратит "расползание" чувствительной информации, удержит работников от вредоносных действий в информационной системе. Именно легальный пользователь-инсайдер точно знает, где находится наиболее ценная информация и для кого она может представить интерес на рынке.
Проведенный в рамках совместного исследования Института компьютерной безопасности и ФБР США опрос среди крупных компаний показал, что атака изнутри крупной компании приносит убытки в среднем на 2,7 млн. долл., а средняя атака извне - на 57 тыс. долл. Но особенно актуальной данная проблема стала в 2008 г. в период обострения мирового экономического кризиса.
Рассматривая вопросы борьбы с нежелательными действиями легальных пользователей, весьма важно предварительно провести анализ и описать наиболее важные участки с точки зрения возможности нанесения урона, точки входа, конкретные должности и пр. Конечно, они могут отличаться в различных структурах, однако имеются и общие моменты. Например, один из них заключается в том, что ключевыми объектами системы информационной безопасности являются системный администратор, работники подразделений информатизации и информационной безопасности в целом.
Как утверждают исследователи компании Cyber-Ark, специализирующиеся на информационной безопасности и защите от утечек данных, 56% респондентов из числа офисных служащих признали, что боятся потерять работу в период кризиса. Но если вдруг до них дойдут слухи, что они все-таки попали под сокращение, 46% опрошенных намерены уйти не с пустыми руками. Они будут узнавать, что есть полезного в корпоративной сети, и, если сами ничего там не обнаружат, готовы предложить взятку знакомому специалисту подразделения информатизации, чтобы тот нашел для них что-нибудь ценное. Более половины респондентов уже приготовились к увольнению - скопировали ценную корпоративную информацию - базы данных, планы развития и т.д., и будут использовать ее как козырь при поисках новой работы.
При угрозе сокращения опрошенные служащие, по их словам, готовы пренебречь этическими нормами - 71% точно будут использовать на новом месте работы конфиденциальные данные прежнего работодателя. Самое ценное, по их мнению, - это клиентские базы, контактная информация, планы и предложения, информация о продуктах, пароли и коды доступа.
Флэш-носители признаны исследователями в качестве самого дешевого, незаметного и поэтому наиболее часто используемого инструмента для кражи больших объемов данных. В качестве других "орудий преступления" применяют фотокамеры, электронную почту, CD, персональные веб-хранилища, смартфоны, DVD, Skype, iPod и, как это ни странно звучит в цифровую эпоху, собственную память. Так, 7% британцев признались, что просто запоминают важную информацию.
Интересные данные о ситуации в России приведены в ежегодном исследовании российского разработчика решений по обеспечению сохранности конфиденциальных данных компании Perimetrix "Инсайдерские угрозы в России": процесс внедрения специализированных систем защиты буксует и в сочетании с безнаказанностью инсайдеров стимулирует использование ими технических средств для хищения данных.
В подавляющем большинстве случаев внутренние нарушители не несут сколько-нибудь существенной ответственности. Наиболее распространенное наказание для халатных сотрудников - формальные выговоры (45%), а для злонамеренных инсайдеров - увольнение (51%) без симметричного судебного преследования или материальных взысканий.
Не меньшую озабоченность вызывает и степень латентности внутренних нарушений: 42% респондентов затруднились определить количество утечек конфиденциальных данных. Это можно объяснить как нежеланием "выносить сор из избы", так и недостаточной информированностью специалистов о положении дел в корпоративных сетях. В тройку "призеров" по степени опасности среди каналов утечки респонденты вынесли мобильные носители (70%), электронную почту (52%) и Интернет (33%). Больше всего инсайдеров привлекают персональные данные (68%), финансовые отчеты и детали конкретных сделок (40%).
Число компьютерных преступлений растет быстрыми темпами, увеличиваются масштабы компьютерных злоупотреблений. Новое исследование компании ScanSafe, занимающейся предоставлением онлайн-услуг в области безопасности, выявило 300%-ный рост объемов вредоносных программ в течение 2008 г. Характерно, что пики выбросов этих программ в мировую сеть пришлись на октябрь и ноябрь.
По оценкам специалистов США, ущерб от компьютерных преступлений увеличивается на 35% в год и составляет в настоящее время около 3,5 млрд. долл. Сумма ущерба от среднего компьютерного преступления составляет 560 тыс. долл., а при традиционном ограблении банка - всего лишь 19 тыс. долл.
Проведенное в США исследование Identity Theft Resource Center (ITRC) выявило увеличение в 2008 г. числа инцидентов, в результате которых были утрачены данные. На электронные взломы приходится 82,3%, на физические взломы и кражу бумаг - всего 17%. Только по официальным (далеко не полным) данным в 2008 г. 656 инцидентов были связаны с кражей информации. Это на 47% больше, чем в 2007 г. Основная часть утерянных данных не была защищена. Только в 2,4% из всех инцидентов данные были защищены криптографическими или иными серьезными способами, защищены паролем они были лишь в 8,5% случаев.
Завершая тему источников угроз, необходимо отметить, что наибольшую опасность несут в себе организованные группы злоумышленников, которые включают внешних и внутренних нарушителей, действующих согласованно.
В завершение хотелось бы подчеркнуть, что усилия и затраты по совершенствованию безопасности собственных информационных ресурсов обеспечивают рост знаний, навыков и общей культуры, развитие компетенций в данной сфере и, таким образом, повышают общий уровень безопасности. По этой причине значение этих усилий выходит за рамки интересов отдельной организации.
Независимо от масштабов организации ее успехи могут и должны рассматриваться как важный вклад в общую борьбу со злоумышленниками в IT-сфере. Положительные результаты в данном направлении должны находить одобрение и поощрение со стороны коллег, партнеров, профессиональных ассоциаций и, наконец, государства.
|
|
|
