50380 (Комплексная защита информации), страница 2

Таким образом, информация обладает рядом в достаточной мере уникальных свойств, выделяющих ее среди других объектов права. Этим также обусловлена и сложность в обеспечении эффективного правового регулирования тех отношений, в которых она фигурирует.

Исходя из сказанного выше, правовую информацию можно определить как массив нормативных правовых актов и тесно связанных с ними справочных, нормативно-технических и научных материалов, охватывающих все сферы правовой деятельности.

Кроме того, правовую информацию в зависимости от того, от кого она исходит и на что направлена, можно разделить на три большие группы: официальная правовая информация, информация индивидуально-правового характера и неофициальная правовая информация.

Официальная правовая информация - это информация, исходящая от полномочных государственных органов, имеющая юридическое значение и направленная на регулирование общественных отношений. К официальной правовой информации относятся сведения и данные о праве или о законодательстве в широком смысле слова, то есть обо всех действующих и уже прекративших действие нормативных актах.

Официальная правовая информация, в свою очередь, подразделяется на нормативную правовую информацию и иную официальную правовую информацию.

Нормативная правовая информация составляет ядро всей правовой информации и представляет собой совокупность нормативных правовых актов.

Информация индивидуально-правового характера, имеющая юридическое значение, - это информация, исходящая от различных субъектов права, не имеющих властных полномочий, и направленная на создание (изменение, прекращение) конкретных правоотношений.

Правовую информацию индивидуально-правового характера, имеющую юридическое значение, можно подразделить на:

договоры (сделки); жалобы, заявления, порождающие юридические последствия.

Общие черты этих актов: носят индивидуально-правовой характер, направлены на создание (изменение, прекращение) конкретных правоотношений.

Конкретный договор поставки заключается между двумя конкретными организациями, влечет определенные юридические последствия - устанавливает права и обязанности сторон договора, прекращается после исполнения условий договора. Иск, предъявленный конкретным гражданином к конкретной организации по определенному поводу, также порождает определенные юридические последствия.

Нормативный правовой акт - это письменный официальный документ, принятый (изданный) в определенной форме правотворческим органом в пределах его компетенции и направленный на установление, изменение и отмену правовых норм.

1.3 Организационная защита информации

Более чем 25-летний опыт теоретических исследований и практических мероприятий по решению проблемы показывает, что возможности злоупотреблений с информацией, находящейся в ИС, развивались и совершенствовались, по крайней мере, не менее интенсивно , чем средства их предупреждения и пресечения. Проблема приняла ярко выраженный характер игровой ситуации, и притом в антагонистической ее постановке. Из теории игр известно, что решение игровых задач заключается не просто в определении некоторого решения, а в формировании стратегии поведения игроков. Применительно к проблеме защиты информации это означает, что ее решение не может быть сведено просто к созданию механизмов защиты - требуется организация регулярной защиты в широкой интерпритации этого понятия. В данном обзоре и делается попытка системного анализа взглядов зарубежных специалистов на вопросы организации и защиты информации.

1. Процесс создания механизмов защиты. Уже в первом из опубликованных в нашей печати обзоров со ссылкой на ряд зарубежных публикаций отмечалось, что зарубежные специалисты представляют себе процесс создания механизмов защиты информации как реализацию целой программы различных мероприятий. Перечень и содержание этих мероприятий выглядели следующим образом:

-Установление необходимой степени защиты информации.

-Назначение лица, ответственного за выполнение мероприятий по защите информации.

-Определение возможных причин (каналов) утечки информации.

-Выделение необходимых средств на защиту информации.

-Выделение лиц (подразделений), которым поручается разработка механизмов защиты.

-Установление мер контроля и ответственности за соблюдение всех правил защиты информации.

Нетрудно видеть, что приведенные программы есть не что иное как простая интерпретация общепринятой программы проектирования различных компонентов сложных систем. Такой подход полностью вытекает из господствовавших в то время взглядов на решение проблем защиты информации как на разовое мероприятие, осуществляемое на этапе создания или модернизации ИС. Однако по мере того, как становилось все более ясным, что проблема защиты не может быть эффективно решена чисто формальными средствами и в порядке реализации разового мероприятия, стали существенно меняться и подходы к организации механизмов защиты. Для повышения эффективности функционирования механизмов защиты был предложен целый ряд мер организационного характера, направленных как на обеспечение физической целостности информации, так и на предотвращение несанкционированного получения и доступа к ней. Постепенно, по мере того как росло число зарегистрированных преступлений, связанных с информацией в ИС, увеличилось число и разнообразие мероприятий, которые рекомендовались для повышения эффективности защиты. Анализ большого числа зарубежных публикаций позволяет создать следующую классификацию основных организационных мероприятий по защите информации на этапах создания и функционирования ИС.

2. Законодательный аспекты защиты информации. Для организации надежной защиты информации в ИС большое значение имеет наличие в стране законов, регламентирующих правила автоматизированной обработки информации, включая и правила ее защиты, а также устанавливающие меру ответственности за нарушение этих правил. В США, например, этот вопрос интенсивно исследуется вот уже более 20 лет /21/. Исследования законодательных аспектов защиты информации можно разделить на три фазы, различающиеся по их целевой направленности. Основным содержанием первой фазы 1966-1970 гг. были дискуссии о возможности и целесообразности создания больших автоматизированных банков данных. В частности, интенсивно обсуждался вопрос о необходимости создания национального банка данных для использования его в статистике. Эта фаза получила название фазы раннего предупреждения. Последовавшая за тем вторая фаза, которую назвали фазой изучения 1971-1973 гг., характерна тем, что были созданы правительственные и неправительственные комиссии, которые изучали возможности разработки законодательных мер для предотвращения нарушений безопасности информации. Работы, проводимые после 1973 г., получили название фазы регулирования. Наиболее характерной чертой этой фазы явился перевод результатов исследований в законодательную форму. В США действует целая система законов по обеспечению безопасности информации в ИС. Кроме того, считается, что для законодательного обеспечения защиты информации в ИС могут использоваться обычные положения об охране авторских прав, о выдаче лицензий, о выдаче разрешений на снятие копий или сдачу в аренду и т.п. Такие материалы по существующим в США законам, сопровождаются соответствующим законодательным примечанием, например: "Исключительная частная собственность фирмы Styrofoam Security Systems". Она не может быть раскрыта и с нее нельзя снимать копии без письменного разрешения. Важное значение придается также морально-этическим нормам, в том числе и с точки зрения обеспечения безопасности информации. Многие организации разрабатывают и вывешивают на видных местах в тех зонах, где проводится обработка информации, специальные этические кодексы. Например, такой кодекс, разработанный американской Ассоциацией производителей ЭВМ АПЭВМ, названный Кодексом профессионального поведения членов АПЭВМ включен самостоятельным разделом в устав организации. В кодексе используются глаголы "должны" /императивный/ и "следует" высказывающий пожелание. Правила и этические соображения не являются обязательными, однако каждое дисциплинарное правило обязательно для каждого члена АПЭВМ. В случае несоблюдения дисциплинарных правил на члена общества налагается взыскание: предупреждение, временное или полное исключение из Ассоциации.

Глава 2. Методы защиты информации

Для защиты информации используют следующие основные методы: ранжирование, дезинформация, скрытие, морально-нравственные меры, учет, кодирование и шифрование, дробление.

1.Ранжирование защищаемой информации осуществляется путем деления ее по степени секретности, разграничения доступа к ней в соответствии с имеющимся у пользователя допуском, предоставления отдельным пользователям индивидуальных прав на пользование секретными документами и выполнение секретных работ. Разграничение доступа к информации может осуществляться по тематическому признаку или по признаку секретности информации. Этот метод является частным случаем метода скрытия, так как информация скрывается от тех пользователей, которые не имеют к ней допуска.

2.Дезинформация заключается в распространении заведомо ложных сведений относительно истинного назначения каких-либо объектов или содержания защищаемых сведений. Она обычно проводится путем распространения ложной информации по различным каналам, имитацией или искажением признаков и свойств отдельных элементов объектов защиты, осуществлением ложных действий, по своим признакам похожих на интересующие соперника действия и др.

Частным случаем дезинформации является легендирование – снабжение противника искаженными сведениями о характере и предназначении защищаемой информации или объекта, когда их наличие полностью не скрывается, а маскируются действительное предназначение и характер действий. На практике, учитывая очень высокую степень развития современных средств ведения разведки, является чрезвычайно сложным полное скрытие информации об объектах. Так, современные средства фоторазведки позволяют делать из космоса снимков с разрешающей способностью в несколько десятков сантиметров. Дробление (расчленение) информации на части осуществляется для того, чтобы знание какой-то одной ее части не позволило восстановить всю картину. Этот метод широко применяется при производстве средств вооружения, но может использоваться и для защиты технологических секретов, составляющих коммерческую тайну.

3.Скрытие защищаемой информации является одним из наиболее широко применяемых методов. Его сущность заключается в проведении следующих мероприятий:

-засекречивание информации, установление на носителях соответствующего ей грифа секретности и разграничение в связи с этим доступа к ней пользователей в соответствии с имеющимся у них допуском;

- устранение или ослабление технических демаскирующих признаков объектов защиты и технических каналов утечки информации.

4.Морально-нравственные методы защиты информации предполагают воспитательную работу с сотрудником, допущенным к секретным работам и документам, направленную на формирование у него определенных моральных принципов, взглядов и убеждений, таких как патриотизм, понимание важности защиты информации для него лично, его работы, организации, ведомства и государства в целом. При этом воспитательная работа может дополняться методами профилактики и контроля, иными способа ми привития положительных качеств у сотрудников.

5.Учет один из важнейших методов защиты информации, позволяющий контролировать наличие и местонахождение носителей защищаемой информации, а также данные о лицах, которые ими пользовались. Основными принципами учета являются:

-обязательность регистрации всех носителей защищаемой информации;

-однократность регистрации конкретного носителя такой информации;

-указание в учетах адреса, куда отправлен или где находится в настоящее время данный носитель засекреченной информации;

-единоличная ответственность за сохранность каждого носителя защищаемой информации.

6.Криптографическое закрытие информации заключается в преобразовании ее составных частей (слов, букв, слогов, цифр) с помощью специальных алгоритмов либо аппаратных решений и кодов ключей, т.е. в приведении к неявному виду. Для ознакомления с шифрованной информацией применяется обратный процесс – декодирование (дешифрование).

Под кодированием понимается такой вид криптографического закрытия, когда некоторые элементы защищаемых данных заменяются заранее выбранными кодами (цифровыми, буквенными, буквенно-цифровыми сочетаниями и т.п.). Кодирование информации может производиться с использованием технических средств или вручную. Этот метод имеет две разновидности: