Проблема информационной безопасности возникла достаточно давно и имеет глубокие исторические корни. До сравнительно недавнего времени методы защиты информации были в исключительной компетенции спецслужб, обеспечивающих безопасность страны. Однако новые технологии измерения, передачи, обработки и хранения информации значительно расширили сферы деятельности людей, нуждающихся в защите информации, привели к развитию и распространению новых методов несанкционированного доступа к информации и, как следствие, к интенсивному развитию нового научного направления – «информационная безопасность ». Все это связано, прежде всего, с появлением систем обработки данных на базе компьютеров, а также с бурным развитием систем передачи данных.
Можно выделить некоторые причины, которые и привели к необходимости как разработки новых методов защиты информации, так и к дальнейшему развитию традиционных.
Первые системы коллективного пользования ЭВМ, а затем объединение их в глобальные и локальные сети, технологии открытых систем уже на первом этапе выявили потребность в защите информации от случайных ошибок операторов, сбоев в аппаратуре, электропитании и т.п.
Стремительный рост емкости внешних запоминающих устройств и высокая эффективность их использования в системах автоматизированного управления привели к созданию банков (баз) данных колоссальной емкости и высокой стоимости, одновременно создавая проблемы их защиты, как от разнообразных случайностей, так и от несанкционированного доступа.
Современные информационные системы составляют техническую основу органов управления государственной власти, промышленных предприятий и научно-исследовательских организаций, учреждений кредитно-финансовой сферы, банков и т.п.
Сегодня, когда компьютер прочно вошел в наш быт, мы все чаще вынуждены доверять ему свои секреты (финансовые, промышленные, медицинские и др.), и в связи с этим вопросы защиты информации приобретают всеобъемлющий характер.
Кроме чисто технических задач разработки средств защиты информации имеются нормативно-технические, организационно-правовые, юридические и другие аспекты. Основные задачи, рассматриваемые специалистами по информационной безопасности (а также публикации на эту тему), связаны с обеспечением безопасности использования глобальных и локальных сетей, с проблемами глобальной вычислительной сети Интернет, «хакерами», «вирусами» и т.п.
Резюмируя сказанное, можно выделить технические, организационные и правовые меры обеспечения информационной безопасности и предотвращения компьютерных преступлений.
К техническим мерам относятся:
защита от несанкционированного доступа;
резервирование особо важных компонентов подсистем;
организация вычислительных сетей с перераспределением ресурсов при временном нарушении работоспособности какой-либо части сети;
создание устройств обнаружения и тушения пожаров;
создание устройств обнаружения утечек воды;
техническая защита от хищений, саботажа, диверсий, взрывов;
дублирование электропитания;
надежные запирающие устройства;
устройства сигнализации о различных опасностях.
К организационным мерам относятся:
надежная охрана;
подбор надежного персонала;
правильная организация работы персонала;
предусмотренный план восстановления работы информационного центра вследствие одной из указанных выше причин;
организация обслуживания и контроля работы компьютерного центра лицами, не заинтересованными в сокрытии преступлений;
создание средств защиты информации от любых лиц, включая и руководящий персонал;
предусмотренные меры административной ответственности за нарушение правил работы;
правильный выбор местонахождения информационного центра с дорогостоящим техническим и программным обеспечением.
К правовым мерам относятся:
разработка уголовных норм ответственности за компьютерные преступления;
усовершенствование уголовного и гражданского законодательства;
усовершенствование судопроизводства по компьютерным преступлениям;
общественный контроль за разработчиками компьютерных систем;
принятие ряда международных соглашений, касающихся информационной безопасности.
Это очень крупная научно-техническая проблема и, естественно, мы не можем осветить ее в полной мере и коснемся только основных понятий, определений и средств защиты, доступных пользователю, причем начнем с наиболее близкой проблемы рядового пользователя – с сохранения информации, не связанного с несанкционированным доступом.
Правовые проблемы обеспечения информационной безопасности
Проблема обеспечения информационной безопасности является на сегодня одной из самых острых не только у нас в стране, но и в развитых странах мира. Опыт эксплуатации информационных систем и ресурсов в различных сферах жизнедеятельности показывает, что существуют различные и весьма реальные угрозы потери информации, приводящие к материальным и иным ущербам. При этом обеспечить на 100% безопасность информации практически невозможно.
Интерес к проблемам информационной безопасности определяется все возрастающей ролью информации в различных сферах жизни общества (например, экономической, политической сферах).
Проблема обеспечения информационной безопасности является одной из актуальных проблем, которая стоит перед мировым сообществом. Значительными событиями в сфере обеспечения информационной безопасности и борьбы с компьютерными преступлениями стали Международные конференции представителей государственных и коммерческих структур стран «восьмерки» по вопросам безопасности и доверия в киберпространстве, которые состоялись в 2000 году в Париже и в Берлине. На этих конференциях рассматривались такие важные вопросы: защита электронной торговли, критической инфраструктуры и повышение доверия в киберпространстве путем оценки угроз и предотвращения преступлений; улучшение способности обнаружения и идентификации преступников, использующих информационные технологии; совершенствование партнерских отношений между государственными структурами, частным сектором, пользователями в целях обеспечения безопасности и доверия в киберпространстве; а также подписание главами «восьмерки» 22 июля 2000 года Окинавской Хартии глобального информационного общества, в которой ведущие страны в очередной раз подчеркнули важность принятия всех необходимых мер, направленных на создание безопасного и свободного от преступности мирового киберпространства. Отмечена необходимость поиска эффективных политических решений таких актуальных проблем, как, например, несанкционированного доступа и компьютерных вирусов.
В соответствии с указанным документом, информационная и коммуникационная технология является одной из наиболее влиятельных и могущественных сил, которые обозначают контуры ХХІ столетия. Ее революционное влияние касается быта, образования, работы, а также способов взаимосвязи советов и гражданского общества. Как ускоритель экономического роста, данная технология обладает большим потенциалом различных социальных преобразований.
В связи с этим, в некоторых европейских государствах появилось законодательное закрепление понятия «информационная безопасность». Так в законодательстве Российской Федерации есть конкретное определение данного понятия, а именно: «под информационной безопасностью Российской Федерации понимается состояние защищенности её национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства» .
На законодательном же уровне Украины понятие «информационной безопасности» отсутствует.
Так что же такое «информационная безопасность»? Рассмотрим содержание понятия «безопасность» как таковое.
На протяжении всей истории мировой цивилизации безопасность является одной из главнейших целей и неотъемлемым слагаемым деятельности людей, социальных групп, обществ, государств и мирового сообщества. Забота о безопасности имманентно присуща каждой частице социальной структуры общества от конкретного индивида до предельно широкого объединения людей.
Термин «безопасность» означает отсутствие опасности, сохранность, надежность или положение, при котором не угрожает опасность кому-, чему-нибудь . Вопросы охраны безопасности рассматриваются и на законодательном уровне, а именно: Законы Украины «Об объектах повышенной опасности», «Об использовании ядерной энергии радиационную безопасность», «О дорожном движении», «О пожарной безопасности».
Итак, можно сделать вывод, что безопасность – это состояние защищенности жизненно важных интересов личности, общества и государства от внутренних и внешних угроз.
Информация является основным объектом информационного общества и ее роль на сегодняшний день очень велика. Термин «информация» произошел от латинского слова «informatio», что означает пояснение, сообщение. Информация состоит из сообщений. Сообщение является формой представления информации.
Согласно статьи 1 закона Украины «Об информации», под информацией следует понимать документированные или публично оглашенные сведения о событиях или явлениях, которые происходят в обществе, государстве или окружающей природной среде .
Важной особенностью информации является возможность ее практически неограниченного тиражирования, распространения и преобразования форм ее фиксации .
Отсюда следует, что информационная безопасность – это состояние защищенности личности, общества, государства в информационной сфере от внутренних (источниками являются: неблагоприятная криминогенная обстановка, сопровождающаяся тенденциями сращивания государственных и криминальных структур; получения криминальными структурами доступа к конфиденциальной информации; усиления влияния организованной преступности на жизнь общества; снижения степени защищенности законных интересов граждан, общества и государства; недостаточное финансирование мероприятий по обеспечению информационной безопасности; недостаточная экономическая мощь государства; критическое состояние отечественных отраслей промышленности) и внешних (деятельность иностранных разведывательных и информационных структур, направленная против интересов государства; обострение международной конкуренции за обладание информационными технологиями и ресурсами) угроз. Отметим, что информационная сфера – это сфера деятельности, которая связана с созданием, распространением, переработкой и потреблением информации .
Источники информационных опасностей подразделяются на естественные (природного происхождения) и искусственные (созданные человеком в процессе его жизнедеятельности).
Наиболее очевидными источниками информационной безопасности являются:
1) отсутствие единой государственной политики в области обеспечения информационной безопасности;
2) несовершенство нормативной правовой базы, регулирующие отношения в области обеспечения информационной безопасности, а также недостаточная правоприменительная практика;
3) недостаточный контроль за развитием информационного рынка со стороны государственных структур и общества;
4) низкий уровень информатизации государственных и коммерческих структур;
5) низкий уровень защищенности интересов физических и юридических лиц в информационной сфере;
6) сращивание государственных и коммерческих структур в области кредитно-финансовой сферы с криминальными структурами;
7) получение доступа криминальными структурами к конфиденциальной информации;
8) усиление влияния организованной преступности на жизнь общества;
9) контрабандный ввоз и незаконная продажа компьютерной техники и средств радиосвязи, получение неконтролируемой прибыли.
В качестве объектов, подлежащих защите от информационных угроз и опасностей, выделяют сознание, психику отдельного человека, социальных сообществ (коллектив, социальные группы, нации, народности, гражданское общество, государство); информационно-технические системы различного назначения и информационные потоки, связывающие все элементы в единую социальную или техническую систему .
Угрозами же безопасности информационных средств и систем могут являться:
- противоправный сбор и использование информации;
- разработка и распространение программ, нарушающих нормальное функционирование информационных систем, в том числе систем защиты информации;
- утечка информации по техническим каналам (визуально-оптические, акустические, электрические, радиотехнические, материально-вещественные );
- внедрение электронных устройств для перехвата информации в технические средства обработки, хранения и передачи информации по каналам связи, а также в служебные помещения органов государственной власти, предприятий, учреждений и организаций, независимо от формы собственности;
- уничтожение, повреждение, разрушение или хищение машинных и других носителей информации;
- перехват информации в сетях передачи данных и на линиях связи;
- несанкционированный доступ к информации, находящейся в банках и базах данных (может быть целенаправленный и случайный);
- нарушение законных ограничений на распространение информации.
Центральным моментом применения информационных компьютерных технологий в Украине является наличие адекватного информационного законодательства. Под информационным законодательством следует понимать комплекс законов и нормативных актов, которые регламентируют правоотношения в области собирания, обработки, сохранения и использования информации . Однако, на сегодняшний день действующие законы Украины (например, законы Украины «Об информации», «О государственной тайне», «Об информационных агентствах», «О государственном реестре физических лиц плательщиков налогов и других обязательных платежей») и другие нормативные акты, которые непосредственно или косвенно связаны с этими вопросами, не охватывают весь комплекс проблем и не образуют целостной системы. Поэтому, реализация эффективных мер правового обеспечения информационной безопасности жизненно необходима для развития Украины, ведь информационное общество можно создать только в правовом государстве.
Одной из составных частей информационной безопасности является защита информации в компьютерных системах и сетях. На законодательном уровне Украины охрана информации в компьютерных системах и сетях не рассматривалась. И только в связи с принятием нового Уголовного кодекса Украины в 2001 году, компьютерная безопасность поставлена под охрану уголовного закона (раздел ХVІ УК «Преступления в сфере использования электронно-вычислительных машин (компьютеров), систем и компьютерных сетей»). Однако само по себе законодательное закрепление данных моментов еще не способствует их пресечению. Как заметила по этому поводу А.А. Матвеева: «Уголовно-правовые нормы являются лишь законодательной базой, необходимым (в условиях правового государства), но не единственным условием. Основное значение состоит в их правильном и своевременном применении. В качестве главного принципа уголовной ответственности нужно признать ее неотвратимость. При этом, прежде чем рассматривать организационные и технические сложности, следует в первую очередь оценить, насколько совершенно (а, следовательно, действенно), существующее уголовное законодательство.
В итоге представляется необходимым дальнейшее усовершенствование правовой базы, особое место в системе которой занимает уголовное право, и практики ее применения. При этом в первую очередь необходимо достижение единства норм различных отраслей права, максимальное уменьшение их несбалансированности .
Обеспечение информационной безопасности не сводится лишь к принятию правовых мер, а включает в себя широкий спектр организационного, технического и иного характера (создание и совершенствование системы обеспечения информационной безопасности; разработка, использование и совершенствование средств защиты информации и методов контроля эффективности этих средств, развитие защищенных телекоммуникационных систем, повышение надежности специального программного обеспечения; сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандартизация способов и средств защиты). Поэтому, выполнение всего комплекса мероприятий возможно при наличии развитой законодательной базы и обеспечения их финансирования.
Литература:
1. Доктрина информационной безопасности Российской Федерации // Андреев Б.В., Пак П.Н., Хорст В.П. Расследование преступлений в сфере компьютерной информации. – М: Издательство «Юрлитинформ», 2001. – С.89.
2. Даль В. Толковый словарь живого великорусского языка. Т.1. – М., 1978. – С.67.
3. Ожегов С.И. Словарь русского языка. – М., 1986. – С.38.
4. Закон України “Про інформацію» від 02.10.1992 року // Відомості Верховної Ради – 1992. - N 48. - Ст. 650.
5. Гражданское право. Учебник. Под ред. Сергеева А.П., Толстого Ю.К. – М.: Проспект, 1997. – С.214-215.
6. Орлов П.І. Інформація та інформатизація: Нормативно-правове забезпечення: Науково-практичний посібник. – Харків: Видавництво Університету внутрішніх справ, 2000. – С.9.
7. Российская криминологическая энциклопедия. Под общей редакцией А.И. Долговой. – М.: Издательство НОРМА (Издательская группа НОРМА – ИНФРА-М), 2000. – С.67.
8. Методы и средства защиты информации: Методические указания. – К: КМУГА, 1997. – С.17.
9. Кисельов М. Про створення єдиної інформаційної системи органів юстиції України // Право України. – 1997. - №3. – С.53.
10. Матвеева А.А. Информационная безопасность и проблемы совершенствования уголовного законодательства // Уголовное право в ХХІ веке: Материалы Международной научной конференции на юридическом факультете МГУ им. М.В. Ломоносова 31 мая – 1 июня 2001 г. – М.: «ЛексЭст», 2002. – С.181-186.
Информационная безопасность является одной из проблем, с которой столкнулось современное общество в процессе массового использования автоматизированных средств ее обработки.
Проблема информационной безопасности обусловлена возрастающей ролью информации в общественной жизни. Современное общество все более приобретает черты информационного общества.
С понятием "информационная безопасность" в различных контекстах связаны различные определения. Так, в Законе РФ "Об участии в международном информационном обмене" информационная безопасность определяется как состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, государства. Подобное же определение дается и в Доктрине информационной безопасности Российской Федерации, где указывается, что информационная безопасность характеризует состояние защищенности национальных интересов в информационной сфере, определяемых совокупностью сбалансированных интересов личности, общества и государства.
Оба эти определения рассматривают информационная безопасность в национальных масштабах и поэтому имеют очень широкое понятие.
Наряду с этим характерно, что применительно к различным сферам деятельности так или иначе связанным с информацией понятие "информационная безопасность" принимает более конкретные очертания. Так, например, в "Концепции информационной безопасности сетей связи общего пользования Российской Федерации" даны два определения этого понятия.
· Информационная безопасность – это свойство сетей связи общего пользования противостоять возможности реализации нарушителем угрозы информационной безопасности.
· Информационная безопасность – свойство сетей связи общего пользования сохранять неизменными характеристики информационной безопасности в условиях возможных воздействий нарушителя.
Необходимо иметь в виду, что при рассмотрении проблемы информационной безопасности нарушитель необязательно является злоумышленником. Нарушителем информационной безопасности может быть сотрудник, нарушивший режим информационной безопасности или внешняя среда, например, высокая температура, может привести к сбоям в работе технических средств хранения информации и т. д.
1.2 Определение понятия "информационная безопасность"
Сформулируем следующее определение "информационной безопасности".
Информационная безопасность – это защищенность информации и поддерживающей ее инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести ущерб владельцам или пользователям информации.
Рассматривая информацию как товар можно сказать, что нанесение ущерба информации в целом приводит к материальным затратам. Например, раскрытие технологии изготовления оригинального продукта приведет к появлению аналогичного продукта, но от другого производителя, и, как следствие, владелец технологии, а может быть и автор, потеряют часть рынка и т. д.
С другой стороны, рассматривая информацию как субъект управления (технология производства, расписание движения транспорта и т. д.), можно утверждать, что изменение ее может привести к катастрофическим последствиям в объекте управления – производстве, транспорте и др.
Именно поэтому при определении понятия "информационная безопасность" на первое место ставится защита информации от различных воздействий.
Поэтому под защитой информации понимается комплекс мероприятий, направленных на обеспечение информационной безопасности.
Согласно ГОСТу 350922-96 защита информации - это деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.
Защиту информации (ЗИ) можно проще определить как: меры для ограничения доступа к информации для каких-либо лиц (категорий лиц), а также для удостоверения подлинности и неизменности информации .
Решение проблемы информационной безопасности, как правило, начинается с выявления субъектов информационных отношений и интересов этих субъектов, связанных с использованием информационных систем. Это обусловлено тем, что для разных категорий субъектов характер решаемых задач может существенно различаться. Например, задачи решаемые администратором локальной сети по обеспечению информационной безопасности, в значительной степени отличаются от задач, решаемых пользователем на домашнем компьютере, не связанном сетью.
Исходя из этого, отметим следующие важные выводы:
· задачи по обеспечению информационной безопасности для разных категорий субъектов могут существенно различаться;
· информационная безопасность не сводится исключительно к защите от несанкционированного доступа к информации – это принципиально более широкое понятие.
При анализе проблематики, связанной с информационной безопасностью, необходимо учитывать специфику данного аспекта безопасности, состоящую в том, что информационная безопасность есть составная часть информационных технологий – области, развивающейся беспрецедентно высокими темпами. В области информационной безопасности важны не столько отдельные решения (законы, учебные курсы, программно-технические изделия), находящиеся на современном уровне, сколько механизмы генерации новых решений, позволяющие, как минимум, адекватно реагировать на угрозы информационной безопасности или предвидеть новые угрозы и уметь им противостоять.
В рамках изучаемого курса основное внимание будет уделяться изучению вопросов, связанных с обеспечением режима информационной безопасности применительно к вычислительным системам, в которых информация хранится, обрабатывается и передается с помощью компьютеров.
Согласно определению, компьютерная безопасность зависит не только от компьютеров, но и от поддерживающей инфраструктуры, к которой можно отнести системы электроснабжения, жизнеобеспечения, вентиляции, средства коммуникаций, а также обслуживающий персонал.
1.3. Понятие «Защита информации»
Защита информации является одним из важнейших факторов государственной деятельности и предпринимательства, связана с предотвращением несанкционированного доступа посторонних лиц либо программ к защищаемой информации и программам.
Защита информации - совокупность методов и средств, направленных на обеспечение важнейших аспектов информационной безопасности (целостности, конфиденциальности, достоверности и доступности информации и ресурсов, используемых для ввода, хранения, обработки и передачи данных).
Несанкционированным доступом к информации ПК будем называть незапланированное ознакомление, обработку, копирование, применение различных вирусов, в том числе разрушающих программные продукты, а также модификацию или уничтожение информации в нарушение установленных правил разграничения доступа.
Основные цели защиты информации:
1. Обеспечение физической целостности . Физическая целостность зависит от целостности самого ПК, целостности дисков и дискет, целостности информации на дисках и дискетах, в полях оперативной памяти.
Угрозы целостности информации в ПК, как и в любой другой автоматизированной системе, могут быть случайными и преднамеренными. Основными разновидностями случайных угроз являются отказы, сбои, ошибки, стихийные бедствия.
С учетом современного состояния технических и программных средств ПК, а также способов и средств их использования к наиболее реальным угрозам целостности информации случайного характера следует отнести ошибки пользователей.
Гораздо большую опасность целостности информации в ПК представляют преднамеренные угрозы, создаваемые людьми в злоумышленных целях.
2. Предупреждение несанкционированного получения информации, находящейся в ПК. Данная цель защиты приобретает особую актуальность в тех случаях, когда хранимая или обрабатываемая информация содержит тайну того или иного характера (государственную, коммерческую и т.д.)
3. Предупреждение несанкционированной модификации информации. Опасной разновидностью несанкционированной модификации информации в ПК является действие вредоносных программ (компьютерных вирусов), которые могут разрушать или уничтожать программы или массивы данных.
4. Предупреждение несанкционированного копирования информации. Защита от копирования заключается в предупреждении возможностей несанкционированного снятия копии с информации, находящейся в ОЗУ ЭВМ или на гибком или жестком магнитном носителе, в целях злоумышленного ее использования.
Выводы по теме
· Проблема информационной безопасности обусловлена возрастающей ролью информации в общественной жизни. Современное общество все более приобретает черты информационного общества. Информационная безопасность является одной из проблем, с которой столкнулось современное общество в процессе массового использования автоматизированных средств ее обработки.
· Информационная безопасность – это защищенность информации и поддерживающей ее инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести ущерб владельцам или пользователям информации.
· Информационная безопасность не сводится исключительно к защите от несанкционированного доступа к информации – это принципиально более широкое понятие.
· Задачи по обеспечению информационной безопасности для разных категорий субъектов могут существенно различаться.
· Под защитой информации понимается комплекс мероприятий, направленных на обеспечение информационной безопасности.
· Защита информации (ГОСТ 350922-96) – это деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.
Нынешнее состояние информационной безопасности России - это состояние нового, только оформляющегося с учетом веления времени государственно-общественного института. Многое на пути его становления уже сделано, но еще больше здесь проблем, требующих самого оперативного решения. За последние годы в РФ реализован ряд мер по совершенствованию информационной безопасности. Назовем самые важные из них.
Во-первых, начато формирование базы правового обеспечения информационной безопасности. Принят ряд законов, регламентирующих общественные отношения в этой сфере, развернута работа по созданию механизмов их реализации. Этапным результатом и нормативно-правовой основой дальнейшего решения проблем в этой сфере стало утверждение Президентом РФ в сентябре 2000 г. Доктрины информационной безопасности Российской Федерации (далее - Доктрина). Она представляет собой совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности России. В Доктрине рассматриваются:
- · объекты, угрозы и источники угроз информационной безопасности;
- · возможные последствия угроз информационной безопасности;
- · методы и средства предотвращения и нейтрализации угроз информационной безопасности;
- · особенности обеспечения информационной безопасности в различных сферах жизнедеятельности общества и государства;
- · основные положения государственной политики по обеспечению информационной безопасности в РФ.
На основе Доктрины осуществляются:
ь формирование государственной политики в области обеспечения информационной безопасности;
ь подготовка предложений по совершенствованию правового, методического, научно-технического и организационного обеспечения информационной безопасности;
ь разработка целевых программ обеспечения информационной безопасности.
Во-вторых, к настоящему времени проведены первоочередные мероприятия по обеспечению информационной безопасности в федеральных органах государственной власти, органах власти субъектов РФ, на предприятиях, в учреждениях и организациях независимо от форм собственности. Развернута работа по созданию защищенной информационно-телекоммуникационной системы специального назначения в интересах органов государственной власти.
В-третьих, обеспечению информационной безопасности способствуют созданные:
ь государственная система защиты информации;
ь система лицензирования деятельности в области защиты государственной тайны;
ь система сертификации средств защиты информации.
Вместе с тем анализ состояния информационной безопасности показывает, что ее уровень не в полной мере соответствует требованиям времени. Все еще существует ряд проблем, серьезно препятствующих полноценному обеспечению информационной безопасности человека, общества и государства.
Доктрина называет следующие основные проблемы данной сферы.
- 1. Современные условия политического и социально-экономического развития страны все еще сохраняют острые противоречия между потребностями общества в расширении свободного обмена информацией и необходимостью действия отдельных регламентированных ограничений на ее распространение.
- 2. Противоречивость и неразвитость правового регулирования общественных отношений в информационной сфере существенно затрудняет поддержание необходимого баланса интересов личности, общества и государства в этой области. Несовершенное нормативное правовое регулирование не позволяет завершить формирование на территории РФ конкурентоспособных российских информационных агентств и средств массовой информации.
- 3. Необеспеченность прав граждан на доступ к информации, манипулирование информацией вызывают негативную реакцию населения, что в ряде случаев ведет к дестабилизации социально-политической обстановки в обществе.
- 4. Закрепленные в Конституции РФ права граждан на неприкосновенность частной жизни, личную и семейную тайну, тайну переписки практически не имеют достаточного правового, организационного и технического обеспечения. Неудовлетворительно организована защита собираемых федеральными органами государственной власти, органами власти субъектов РФ, органами местного самоуправления данных о физических лицах (персональных данных).
- 5. Нет четкости при проведении государственной политики в области формирования российского информационного пространства, а также организации международного информационного обмена и интеграции информационного пространства России в мировое информационное пространство, что создает условия для вытеснения российских информационных агентств, средств массовой информации с внутреннего информационного рынка, ведет к деформации структуры международного обмена.
- 6. Недостаточна государственная поддержка деятельности российских информационных агентств по продвижению их продукции на зарубежный информационный рынок.
- 7. Не улучшается ситуация с обеспечением сохранности сведений, составляющих государственную тайну.
- 8. Серьезный урон нанесен кадровому потенциалу научных и производственных коллективов, действующих в области создания средств информатизации, телекоммуникации и связи, в результате массового ухода из этих коллективов наиболее квалифицированных специалистов.
- 9. Отставание отечественных информационных технологий вынуждает федеральные органы государственной власти, органы власти субъектов РФ и органы местного самоуправления при создании информационных систем идти по пути закупок импортной техники и привлечения иностранных фирм. Из-за этого повышается вероятность несанкционированного доступа к обрабатываемой информации и возрастает зависимость России от иностранных производителей компьютерной и телекоммуникационной техники, а также программного обеспечения.
- 10. В связи с интенсивным внедрением зарубежных информационных технологий в сферы деятельности личности, общества и государства, а также с широким применением открытых информационно-телекоммуникационных систем, интеграцией отечественных и международных информационных систем возросли угрозы применения информационного оружия против соответствующей инфраструктуры России. Работы по адекватному противодействию этим угрозам ведутся в условиях недостаточной координации и слабого бюджетного финансирования. Не уделяется необходимое внимание развитию средств космической разведки и радиоэлектронной борьбы.
Обеспечение информационной безопасности требует решения целого комплекса задач. Доктрина перечисляет наиболее важные из них:
ь разработка основных направлений государственной политики в области обеспечения информационной безопасности, а также мероприятий и механизмов, связанных с реализацией этой политики;
ь развитие и совершенствование системы обеспечения информационной безопасности, реализующей единую государственную политику в этой области, включая совершенствование форм, методов и средств выявления, оценки и прогнозирования угроз информационной безопасности, а также системы противодействия этим угрозам;
ь разработка федеральных целевых программ обеспечения информационной безопасности;
ь разработка критериев и методов оценки эффективности систем и средств обеспечения информационной безопасности, а также их сертификации;
ь совершенствование нормативно-правовой базы обеспечения информационной безопасности;
ь установление ответственности должностных лиц федеральных органов власти и местного самоуправления, юридических лиц и граждан за соблюдение требований информационной безопасности;
ь координация деятельности органов государственной власти, предприятий, учреждений и организаций независимо от форм собственности в области обеспечения информационной безопасности;
ь развитие научно-практических основ обеспечения информационной безопасности с учетом современной геополитической ситуации, условий политического и социально-экономического развития России и реальности угроз применения информационного оружия;
ь создание механизмов формирования и реализации государственной информационной политики России;
ь повышение эффективности участия государства в формировании информационной политики государственных телерадиовещательных организаций, других государственных средств массовой информации;
ь обеспечение технологической независимости Российской Федерации в важнейших областях информатизации, телекоммуникации и связи, определяющих ее безопасность, в первую очередь в области создания специализированной вычислительной техники для образцов вооружения и военной техники;
ь разработка современных методов и средств защиты информации, обеспечения безопасности информационных технологий, прежде всего в системах управления войсками и оружием, экологически опасными и экономически важными производствами;
ь развитие и совершенствование систем защиты информации и государственной тайны;
ь создание защищенной технологической основы управления государством в мирное время, в чрезвычайных ситуациях и в военное время;
ь расширение взаимодействия с международными и зарубежными органами и организациями для обеспечения безопасности информации, передаваемой с помощью международных телекоммуникационных систем и систем связи;
ь обеспечение условий для активного развития российской информационной инфраструктуры, участия России в процессах создания и использования глобальных информационных сетей и систем;
ь создание системы подготовки кадров в области информационной безопасности и информационных технологий.
Важнейшая задача в деле обеспечения информационной безопасности России - осуществление комплексного учета интересов личности, общества и государства в данной сфере. Доктрина эти интересы определяет следующим образом:
- 1) интересы личности в информационной сфере заключаются в реализации конституционных прав человека и гражданина на доступ к информации, на использование информации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального развития, а также в защите информации, обеспечивающей личную безопасность;
- 2) интересы общества в информационной сфере заключаются в обеспечении интересов общества в этой сфере, упрочении демократии, создании правового социального государства, достижении и поддержании общественного согласия, в духовном обновлении России;
- 3) интересы государства в информационной сфере заключаются в создании условий для гармоничного развития российской информационной инфраструктуры, реализации конституционных прав и свобод человека (гражданина) в области получения информации. Одновременно требуется использование этой сферы только в целях обеспечения незыблемости конституционного строя, суверенитета и территориальной целостности России, политической, экономической и социальной стабильности, в безусловном обеспечении законности и правопорядка, развитии равноправного и взаимовыгодного международного сотрудничества.
Соблюдение принципа баланса интересов граждан, общества и государства в информационной сфере предполагает законодательное закрепление приоритета этих интересов в различных областях жизнедеятельности общества, а также использование различных форм общественного контроля над деятельностью федеральных органов государственной власти и органов государственной власти субъектов РФ. Реализация гарантий конституционных прав и свобод человека и гражданина, касающихся деятельности в информационной сфере, является важнейшей задачей государства в области информационной безопасности.
Общие методы решения ключевых задач в деле обеспечения информационной безопасности Доктрина объединяет в три группы:
- 1) правовые;
- 2) организационно-технические;
- 3) экономические.
К правовым методам относится разработка нормативных правовых актов, регламентирующих отношения в информационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности РФ.
Организационно-техническими методами обеспечения информационной безопасности являются:
- · создание и совершенствование систем обеспечения информационной безопасности;
- · усиление правоприменительной деятельности органов власти, включая предупреждение и пресечение правонарушений в информационной сфере;
- · совершенствование средств защиты информации и методов контроля эффективности этих средств, развитие защищенных телекоммуникационных систем, повышение надежности программного обеспечения;
- · создание систем и средств предотвращения несанкционированного доступа к информации и воздействий, вызывающих разрушение, уничтожение, искажение информации, изменение штатных режимов функционирования систем и средств информатизации и связи;
- · выявление технических устройств и программ, представляющих опасность для функционирования информационно-телекоммуникационных систем, предотвращение перехвата информации по техническим каналам, применение криптографических средств защиты информации, контроль за выполнением специальных требований по защите информации;
- · сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандартизация способов и средств защиты информации;
- · совершенствование системы сертификации телекоммуникационного оборудования и программного обеспечения автоматизированных систем обработки информации по требованиям информационной безопасности;
- · контроль за действиями персонала в информационных системах, подготовка кадров в области обеспечения информационной безопасности;
- · формирование системы мониторинга показателей и характеристик информационной безопасности в наиболее важных сферах жизни и деятельности общества и государства.
Экономические методы обеспечения информационной безопасности включают в себя:
- · разработку программ обеспечения информационной безопасности и определение порядка их финансирования;
- · совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов защиты информации, создание системы страхования информационных рисков физических и юридических лиц.
- · Согласно Доктрине, государство в процессе реализации своих функций по обеспечению информационной безопасности:
- · проводит объективный и всесторонний анализ и прогнозирование угроз информационной безопасности, разрабатывает меры по ее обеспечению;
- · организует работу органов власти по реализации комплекса мер, направленных на предотвращение, отражение и нейтрализацию угроз информационной безопасности;
- · поддерживает деятельность общественных объединений, направленную на объективное информирование населения о социально значимых явлениях общественной жизни, защиту общества от искаженной и недостоверной информации;
- · осуществляет контроль за разработкой, созданием, развитием, использованием, экспортом и импортом средств защиты информации посредством их сертификации и лицензирования деятельности в области защиты информации;
- · проводит необходимую протекционистскую политику в отношении производителей средств информатизации и защиты информации на территории РФ и принимает меры по защите внутреннего рынка от проникновения на него некачественных средств информатизации и информационных продуктов;
- · способствует предоставлению физическим и юридическим лицам доступа к мировым информационным ресурсам, глобальным информационным сетям;
- · формулирует и реализует государственную информационную политику России;
- · организует разработку федеральной программы обеспечения информационной безопасности, объединяющей усилия государственных и негосударственных организаций в данной области;
- · способствует интернационализации глобальных информационных сетей и систем, а также вхождению России в мировое информационное сообщество на условиях равноправного партнерства.
При решении основных задач и выполнении первоочередных мероприятий государственной политики по обеспечению информационной безопасности в настоящее время доминирует стремление решать главным образом нормативно-правовые и технические проблемы. Чаще всего речь идет о «разработке и внедрении правовых норм», «повышении правовой культуры и компьютерной грамотности граждан», «создании безопасных информационных технологий», «обеспечении технологической независимости» и т. п.
Соответствующим образом планируется и развитие системы подготовки кадров, используемых в области обеспечения информационной безопасности, то есть преобладает подготовка кадров в области средств связи, обработки информации, технических средств ее защиты. В меньшей степени осуществляется подготовка специалистов в области информационно-аналитической деятельности, социальной информации, информационной безопасности личности. К сожалению, многие государственные институты считают наиболее важной техническую сторону проблемы, упуская из виду социально-психологические ее аспекты.
Основным законом Российской Федерации является Конституция, принятая 12 декабря 1993 года. В соответствии со статьей 24 Конституции, органы государственной власти и органы местного самоуправления, их должностные лица обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом.
Статья 23 Конституции гарантирует право на личную и семейную тайну, на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, статья 29 - право свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Современная интерпретация этих положений включает обеспечение конфиденциальности данных, в том числе в процессе их передачи по компьютерным сетям, а также доступ к средствам защиты информации.
Статья 41 гарантирует право на знание фактов и обстоятельств, создающих угрозу для жизни и здоровья людей, статья 42 - право на знание достоверной информации о состоянии окружающей среды.
Отметим, что право на информацию может реализовываться средствами бумажных технологий, но в современных условиях наиболее практичным и удобным для граждан является создание соответствующими законодательными, исполнительными и судебными органами информационных серверов и поддержание доступности, актуальности и целостности, представленных на них сведений, то есть обеспечение их (серверов) информационной безопасности.
В сентябре 2000 года Президент Российской Федерации В.В.Путин утвердил "Доктрину информационной безопасности". Какую роль она сыграет в развитии отечественных информационных технологий и средств защиты информации?
Информационные технологии - бурно и динамично развивающаяся отрасль мирового хозяйства. Объем рынка информационной продукции составляет более 2-х триллионов долларов США, что сопоставимо с бизнесом в сферах топлива и энергетики, автомобилестроения. Серьезную опасность для России представляют стремление ряда стран к доминированию в мировом информационном пространстве, вытеснению России с внутреннего и внешнего рынка информационных услуг, разработка рядом государств концепций "информационных войн". Такие концепции предусматривают создание средств воздействия на информационные сферы других стран мира, нарушение нормального функционирования информационных и телекоммуникационных систем, а также сохранности информационных ресурсов, получение несанкционированного доступа к ним.
"Доктрина информационной безопасности" закладывает основы информационной политики государства. С учетом существующих угроз для защиты национальных интересов России государство планирует активно развивать отечественную индустрию средств информации, коммуникации и связи с последующим выходом продукции на мировой рынок, обеспечивать гарантии безопасности для национальных информационных и телекоммуникационных систем и защиту государственных секретов с помощью соответствующих технических средств. Одновременно предусматривается повышать эффективность информационного обеспечения деятельности государства.
Принятие этого документа ставит в повестку дня и вопрос о необходимости совершенствования российского законодательства. К примеру, речь идет о принятии законов, касающихся пресечения компьютерной преступности.
Перечислим некоторые основополагающие законы и нормативные акты Российской Федерации в области информационной безопасности в их первой редакции:
1. Закон РФ "О государственной тайне" от 21.7.93 г. № 5485-1.
2. Закон РФ "О коммерческой тайне" (версия 28.12.94 г.).
3. Закон РФ "Об информации, информатизации и защите информации" от 25.1.95 г.
4. Закон РФ "О персональных данных" (версия 20.02.95 г.).
5. Закон РФ "О федеральных органах правительственной связи и информации" от 19.2.93 г. № 4524-1.
6. Положение о государственной системе защиты информации в Российской Федерации от ИТР и от утечки по техническим каналам. (Постановление Правительства РФ от 15.9.93 г. № 912-51).
7. Положение о Государственной технической комиссии при Президенте Российской Федерации (Гостехкомиссии России). Распоряжение Президента Российской Федерации от 28.12.92 г. № 829-рпс.
В настоящее время практически все эти законы и положения уточнены и дополнены соответствующими главами, параграфами и поправками, отражающими реалия текущей ситуации.
В Гражданском кодексе Российской Федерации (редакция от 15 мая 2001 года) фигурируют такие понятия, как банковская, коммерческая и служебная тайна. Согласно статье 139, "информация составляет служебную или коммерческую тайну в случае, когда информация имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к ней нет свободного доступа на законном основании, и обладатель информации принимает меры к охране ее конфиденциальности". Это подразумевает, как минимум, компетентность в вопросах ИБ и наличие доступных (и законных) средств обеспечения конфиденциальности.
В Уголовном кодекс Российской Федерации (редакция от 14 марта 2002 года) глава 28 "Преступления в сфере компьютерной информации" содержит три соответствующие статьи:
- статья 272 "Неправомерный доступ к компьютерной информации";
- статья 273 "Создание, использование и распространение вредоносных программ для ЭВМ";
- статья 274 "Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети".
Первая из указанных статей подразумевает посягательства на конфиденциальность, вторая определяет действия с вредоносным ПО, третья - с нарушениями доступности и целостности, повлекшими за собой уничтожение, блокирование или модификацию охраняемой законом информации. В свете бурного развития локальных, региональных, национальных и всемирной сетей включение в сферу действия УК РФ вопросов доступности информационных сервисов является очень своевременным.
Статья 138 УК РФ, защищая конфиденциальность персональных данных, предусматривает наказание за нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений. Аналогичную роль для банковской и коммерческой тайны играет статья 183 УК РФ.
Интересы государства в плане обеспечения конфиденциальности информации нашли наиболее полное выражение в Законе "О государственной тайне" (с изменениями и дополнениями от 6 октября 1997 года). В нем государственная тайна определена как защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации. Там же дается определение средств защиты информации. Согласно данному Закону, это технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну; средства, в которых они реализованы, а также средства контроля эффективности защиты информации.
он "Об информации, информатизации и защите информации"
Основополагающим среди российских законов, посвященных вопросам информационной безопасности, следует считать закон "Об информации, информатизации и защите информации" от 20 февраля 1995 года (принят Государственной Думой РФ 25 января 1995 года; актуальная версия закона от 21.07.2014). В нём даются основные определения и намечаются направления развития законодательства в данной области.
Приведём примеры некоторых определений:
- информация - сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления;
- документированная информация (документ) - зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать;
- информационные процессы - процессы сбора, обработки, накопления, хранения, поиска и распространения информации;
- информационная система - организационно упорядоченная совокупность документов (массивов документов) и информационных технологий, в том числе с использованием средств вычислительной техники и связи, реализующих информационные процессы;
- информационные ресурсы - отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных, других информационных системах);
- информация о гражданах (персональные данные) - сведения о фактах, событиях и обстоятельствах жизни гражданина, позволяющие идентифицировать его личность;
- конфиденциальная информация - документированная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации;
- пользователь (потребитель) информации - субъект, обращающийся к информационной системе или посреднику за получением необходимой ему информации и пользующийся ею.
Закон выделяет следующие цели защиты информации:
- предотвращение утечки, хищения, утраты, искажения, подделки информации;
- предотвращение угроз безопасности личности, общества, государства;
- предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации;
- предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы, обеспечение правового режима документированной информации как объекта собственности;
- защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах;
- сохранение государственной тайны, конфиденциальности документированной информации в соответствии с законодательством;
- обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологий и средств их обеспечения.
Согласно закону "Защите подлежит любая документированная информация, неправомерное обращение с которой может нанести ущерб ее собственнику, владельцу, пользователю и иному лицу". Далее, "Режим защиты информации устанавливается:
- в отношении сведений, отнесенных к государственной тайне, - уполномоченными органами на основании Закона Российской Федерации "О государственной тайне";
- в отношении конфиденциальной документированной информации - собственником информационных ресурсов или уполномоченным лицом на основании настоящего Федерального закона;
- в отношении персональных данных - Федеральным законом".
Обратим внимание, что защиту государственной тайны и персональных данных берет на себя государство; за другую конфиденциальную информацию отвечают ее собственники.
В качестве основного инструмента защиты информации закон предлагает мощные универсальные средства - лицензирование и сертификацию (статья 19):
- Информационные системы, базы и банки данных, предназначенные для информационного обслуживания граждан и организаций, подлежат сертификации в порядке, установленном Законом Российской Федерации "О сертификации продукции и услуг".
- Информационные системы органов государственной власти Российской Федерации и органов государственной власти субъектов Российской Федерации, других государственных органов, организаций, которые обрабатывают документированную информацию с ограниченным доступом, а также средства защиты этих систем подлежат обязательной сертификации. Порядок сертификации определяется законодательством Российской Федерации.
- Организации, выполняющие работы в области проектирования, производства средств защиты информации и обработки персональных данных, получают лицензии на этот вид деятельности. Порядок лицензирования определяется законодательством Российской Федерации.
- Интересы потребителя информации при использовании импортной продукции в информационных системах защищаются таможенными органами Российской Федерации на основе международной системы сертификации.
Еще несколько пунктов закона (статья 22, пункты 2-5):
- Владелец документов, массива документов, информационных систем обеспечивает уровень защиты информации в соответствии с законодательством Российской Федерации.
- Риск, связанный с использованием не сертифицированных информационных систем и средств их обеспечения, лежит на собственнике (владельце) этих систем и средств. Риск, связанный с использованием информации, полученной из не сертифицированной системы, лежит на потребителе информации.
- Собственник документов, массива документов, информационных систем может обращаться в организации, осуществляющие сертификацию средств защиты информационных систем и информационных ресурсов, для проведения анализа достаточности мер защиты ресурсов собственника и систем и получения консультаций.
- Владелец документов, массива документов, информационных систем обязан оповещать собственника информационных ресурсов и (или) информационных систем обо всех фактах нарушения режима защиты информации.
Статья 23 "Защита прав субъектов в сфере информационных процессов и информатизации" (пункты 2-4):
- Защита прав субъектов в указанной сфере осуществляется судом, арбитражным судом, третейским судом с учетом специфики правонарушений и нанесенного ущерба. Очень важными являются пункты статьи 5, касающиеся юридической силы электронного документа и электронной цифровой подписи.
- Юридическая сила документа, хранимого, обрабатываемого и передаваемого с помощью автоматизированных информационных и телекоммуникационных систем, может подтверждаться электронной цифровой подписью. Юридическая сила электронной цифровой подписи признается при наличии в автоматизированной информационной системе программно-технических средств, обеспечивающих идентификацию подписи, и соблюдении установленного режима их использования.
- Право удостоверять идентичность электронной цифровой подписи осуществляется на основании лицензии. Порядок выдачи лицензий определяется законодательством Российской Федерации.
Таковы важнейшие, на наш взгляд, положения Закона "Об информации, информатизации и защите информации", касающиеся охраняемой информации и информационной безопасности.