Общие проблемы информационной безопасности
Национальные интересы России в информационной сфере заключаются в соблюдении конституционных прав и свобод граждан в области получения информации и пользования ею, в развитии современных телекоммуникационных технологий, в защите государственных информационных ресурсов от несанкционированного доступа [Концепция, 2000].
Для достижения этого требуется:
ü обеспечение конституционных прав и свобод человека и гражданина на личную и семейную тайну, тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, защиты своей чести и своего доброго имени;
ü развитие современных информационных технологий, отечественной индустрии информации;
ü защита информационных ресурсов от несанкционированного доступа.
В этих целях необходимо:
ü повысить безопасность информационных систем федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации, финансово-кредитной и банковской сфер, сферы хозяйственной деятельности, а также систем и средств информатизации вооружения и военной техники, систем управления войсками и оружием, экологически опасными и экономически важными производствами;
ü интенсифицировать развитие отечественного производства аппаратных средств защиты информации;
ü обеспечить защиту сведений, составляющих государственную тайну.
По своей общей направленности угрозы информационной безопасности Российской Федерации подразделяются на следующие виды:
¨ угрозы развитию отечественной индустрии информации, обеспечению потребностей внутреннего рынка в ее продукции и выходу этой продукции на мировой рынок, а также обеспечению сохранности отечественных информационных ресурсов;
¨ угрозы безопасности информационных систем, как уже развернутых, так и создаваемых на территории России.
Угрозами развитию отечественной индустрии информации могут являться закупка органами государственной власти импортных средств информатизации при наличии отечественных аналогов, не уступающих по своим характеристикам зарубежным образцам.
К внутренним источникам относится недостаточное финансирование мероприятий по обеспечению информационной безопасности Российской Федерации.
Организационно-техническими методами обеспечения информационной безопасности Российской Федерации являются:
§ разработка, использование и совершенствование средств защиты информации;
§ создание систем и средств предотвращения несанкционированного доступа к обрабатываемой информации и специальных воздействий, вызывающих разрушение, уничтожение, искажение информации, а также изменение штатных режимов функционирования систем и средств информатизации и связи;
§ сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны.
Информационная безопасность Российской Федерации является одной из составляющих безопасности Российской Федерации в сферах жизнедеятельности общества и государства.
В сфере экономики.
Обеспечение информационной безопасности Российской Федерации в сфере экономики играет ключевую роль в обеспечении безопасности Российской Федерации.
Воздействию в сфере экономики наиболее подвержены системы бухгалтерского учета предприятий, учреждений и организаций независимо от формы собственности, а также системы хранения финансовой, биржевой, налоговой, таможенной информации предприятий, учреждений и организаций независимо от формы собственности.
Бесконтрольная деятельность структур по созданию и защите систем хранения статистической, финансовой, биржевой, налоговой, таможенной информации создает реальную угрозу безопасности России в экономической сфере. Аналогичные угрозы возникают при бесконтрольном привлечении иностранных фирм к созданию подобных систем, поскольку при этом складываются благоприятные условия для несанкционированного доступа к конфиденциальной экономической информации и для контроля за процессами ее передачи и обработки со стороны иностранных спецслужб.
Критическое состояние предприятий, разрабатывающих и производящих средства защиты информации, приводит к широкому использованию соответствующих импортных средств, что создает угрозу возникновения технологической зависимости России от иностранных государств.
Существенный экономический ущерб хозяйствующим субъектам может быть нанесен вследствие разглашения информации, содержащей коммерческую тайну. В системах сбора, обработки, хранения и передачи финансовой, биржевой, налоговой, таможенной информации наиболее опасны противоправное копирование информации. Это касается и федеральных органов исполнительной власти, занятых формированием и распространением информации о внешнеэкономической деятельности Российской Федерации.
Основными мерами по обеспечению информационной безопасности Российской Федерации в сфере экономики является разработка национальных сертифицированных средств защиты информации и внедрение их в системы и средства сбора, обработки, хранения и передачи статистической, финансовой, биржевой, налоговой, таможенной информации.
В сфере внутренней политики.
Наиболее важными объектами в сфере внутренней политики являются конституционные права и свободы человека и гражданина. При этом наибольшую опасность представляет нарушение конституционных прав и свобод граждан, реализуемых в информационной сфере.
В сфере внешней политики.
К наиболее важным объектам в сфере внешней политики относятся:
ü информационные ресурсы федеральных органов исполнительной власти, реализующих внешнюю политику Российской Федерации, российских представительств и организаций за рубежом, представительств Российской Федерации при международных организациях;
ü информационные ресурсы представительств федеральных органов исполнительной власти, реализующих внешнюю политику Российской Федерации, на территориях субъектов Российской Федерации;
ü информационные ресурсы российских предприятий, учреждений и организаций, подведомственных федеральным органам исполнительной власти, реализующим внешнюю политику Российской Федерации;
ü блокирование деятельности российских средств массовой информации по разъяснению зарубежной аудитории целей и основных направлений государственной политики Российской Федерации, ее мнения по социально значимым событиям российской и международной жизни.
Из внешних угроз наибольшую опасность представляют попытки несанкционированного доступа к информации федеральных органов исполнительной власти, реализующих внешнюю политику Российской Федерации, российских представительств и организаций за рубежом, представительств Российской Федерации при международных организациях.
В области науки и техники.
Наиболее важными объектами в области науки и техники являются открытия, незапатентованные технологии, промышленные образцы, полезные модели и экспериментальное оборудование.
К числу основных внутренних угроз следует также отнести сложности реализации мероприятий по защите информации, особенно на акционированных предприятиях, в научно-технических учреждениях и организациях.
В сфере духовной жизни.
К числу основных объектов в сфере духовной жизни относится неприкосновенность частной жизни, личная и семейная тайна, а также объекты интеллектуальной собственности.
В общегосударственных информационных и телекоммуникационных системах.
Основными направлениями обеспечения информационной безопасности в общегосударственных информационных и телекоммуникационных системах являются:
ü исключение несанкционированного доступа к обрабатываемой или хранящейся в технических средствах информации;
ü обеспечение информационной безопасности при подключении общегосударственных информационных и телекоммуникационных систем к внешним информационным сетям, включая международные;
ü обеспечение безопасности конфиденциальной информации при взаимодействии информационных и телекоммуникационных систем различных классов защищенности.
Основными организационно-техническими мероприятиями по защите информации является создание и применение информационных и автоматизированных систем управления в защищенном исполнении.
В сфере обороны.
К объектам обеспечения информационной безопасности в сфере обороны относятся:
¨ информационная инфраструктура центральных органов военного управления и органов военного управления видов Вооруженных Сил Российской Федерации и родов войск, объединений, соединений, воинских частей и организаций, входящих в Вооруженные Силы Российской Федерации, научно-исследовательских учреждений Министерства обороны Российской Федерации;
¨ информационные ресурсы предприятий оборонного комплекса и научно-исследовательских учреждений, выполняющих государственные оборонные заказы либо занимающихся оборонной проблематикой;
¨ программно-технические средства автоматизированных и автоматических систем управления войсками и оружием, вооружения и военной техники, оснащенных средствами информатизации;
¨ информационные ресурсы, системы связи и информационная инфраструктура других войск, воинских формирований и органов.
Внутренними угрозами информационной безопасности в сфере обороны является нарушение установленного регламента хранения информации, находящейся в штабах и учреждениях Министерства обороны Российской Федерации, на предприятиях оборонного комплекса.
Главными специфическими направлениями совершенствования системы обеспечения информационной безопасности Российской Федерации в сфере обороны являются постоянное совершенствование средств защиты информации от несанкционированного доступа и развитие защищенных систем связи и управления войсками и оружием.
В правоохранительной и судебной сферах.
К наиболее важным объектам информационной безопасности в правоохранительной и судебной сферах относятся:
§ информационные ресурсы федеральных органов исполнительной власти, реализующих правоохранительные функции, судебных органов, их информационно-вычислительных центров, научно-исследовательских учреждений и учебных заведений, содержащие специальные сведения и оперативные данные служебного характера;
§ информационно-вычислительные центры, их информационное, техническое, программное и нормативное обеспечение;
§ информационная инфраструктура (информационно-вычислительные сети, пункты управления, узлы и линии связи).
Внутренней угрозой, представляющей наибольшую опасность для указанных объектов, является нарушение установленного регламента сбора, обработки, хранения и передачи информации, содержащейся в картотеках и автоматизированных банках данных и использующейся для расследования преступлений.
Наряду с широко используемыми общими методами и средствами защиты информации применяются также специфические методы и средства обеспечения информационной безопасности в правоохранительной и судебной сферах.
Главной из них является создание защищенной многоуровневой системы интегрированных банков данных оперативно-розыскного, справочного, криминалистического и статистического характера на базе специализированных информационно-телекоммуникационных систем.
В условиях чрезвычайных ситуаций.
К специфическим для данных условий направлениям обеспечения информационной безопасности относится разработка специальных мер по защите информационных систем, обеспечивающих управление экологически опасными и экономически важными производствами.
Основным направлением международного сотрудничества Российской Федерации в области обеспечения информационной безопасности является предотвращение несанкционированного доступа к конфиденциальной информации в международных банковских телекоммуникационных сетях и системах информационного обеспечения мировой торговли, к информации международных правоохранительных организаций, ведущих борьбу с транснациональной организованной преступностью, международным терроризмом, распространением наркотиков и психотропных веществ, незаконной торговлей оружием и расщепляющимися материалами, а также торговлей людьми.
В Концепции национальной безопасности особое значение для обеспечения национальной безопасности Российской Федерации придается использованию возможностей разведки и контрразведки в целях своевременного обнаружения угроз и определения их источников.
Информационные войны
В Концепции национальной безопасности отмечено стремление ряда стран к доминированию в мировом информационном пространстве, а также сделан вывод о том, что серьезную опасность представляет разработка рядом государств концепции информационных войн, предусматривающих создание средств опасного воздействия на информационные сферы других стран мира, нарушение нормального функционирования информационных и телекоммуникационных систем, а также сохранности информационных ресурсов, получение несанкционированного доступа к ним.
Термин «информационная война» появился в середине 80-х годов прошлого века в связи с новыми задачами Вооруженных сил США после окончания «холодной войны» и начал активно употребляться после проведения операции «Буря в пустыне» в 1991 году, когда новые информационные технологии впервые были использованы как средства ведения войны.
В военных кругах США под информационной войной понимаются действия, предпринимаемые для достижения информационного превосходства в поддержке национальной военной стратегии посредством воздействия на информацию и информационные системы противника, при одновременном обеспечении безопасности и защиты собственной информации и информационных систем.
К особенностям информационной войны можно отнести следующие [Партыка Т.Л., Попов И.И., 2002]:
§ информационная война охватывает в качестве самостоятельных объектов все виды информации и информационных систем, отделяя информацию от среды использования;
§ объекты могут выступать и как оружие, и как объект защиты;
§ информационная война расширяет территорию и пространство ведения войн, ведется как при объявлении войны, так и в кризисных ситуациях в различных сферах жизнедеятельности;
§ информационная война ведется как специализированными военными, так и гражданскими структурами.
По оценкам российских спецслужб концепция «информационной войны» предусматривает [Партыка Т.Л., Попов И.И., 2002]:
§ подавление (в военное время) элементов инфраструктуры государственного и военного управления (поражение центров командования и управления);
§ электромагнитное воздействие на элементы информационных и телекоммуникационных систем (радиоэлектронная борьба);
§ получение разведывательной информации путем перехвата и дешифрования информационных потоков, передаваемых по каналам связи, а также по побочным излучениям и за счет специально внедренных в помещения и технические средства электронных устройств перехвата информации (радиоэлектронная разведка);
§ осуществление несанкционированного доступа к информационным ресурсам (путем использования программно-аппаратных средств прорыва систем защиты информационных и телекоммуникационных систем противника) с последующим их искажением,
§ уничтожением или хищением либо нарушением нормального функционирования этих систем («хакерная война»);
§ формирование и массовое распространение по информационным каналам противника или глобальным сетям дезинформации или тенденциозной информации для воздействия на оценки, намерения и ориентацию населения и лиц, принимающих решения (психологическая война);
§ получение интересующей информации путем перехвата и обработки открытой информации, передаваемой по незащищенным каналам связи, циркулирующей в информационных системах, а также публикуемой в средствах массовой информации.
Исследуя информационные войны, американские аналитики вводят понятие информационного превосходства - возможность сбора, обработки и распространения непрерывного потока информации при воспрещении использования (получения) информации противником.
Информационное превосходство достигается в небоевой обстановке или в обстановке, в которой еще нет четко обозначившихся противников, в то время, когда свои войска получают информацию, необходимую им для выполнения оперативных задач. Аналитики рассматривают информационное превосходство как новый уровень боеготовности, необходимость в котором возникла за последнее время.
Сегодня информационные операции играют существенную роль в достижении военного превосходства. Американцы в своей концепции ставят вопрос об усилении работы по объединению информационных операций как самостоятельного вида боевых действий с другими операциями вооруженных сил (от физического устранения до психологической операции против систем защиты компьютерных сетей). В этом контексте отдельно рассматривается проблема оценки военного ущерба, нанесенного противнику информационными операциями. Более того, рассматривая информационные операции как перспективный самостоятельный вид боевых действий (за счет которого в Пентагоне и рассчитывают в будущем добиваться решающих результатов), командование ВС США предполагает введение в виды вооруженных сил соответствующих формирований, укомплектованных специалистами, получившими специальную подготовку и оснащенными современным информационным оружием.
Информационное оружие — это средства уничтожения, искажения или хищения информационных массивов, добывания из них необходимой информации после преодоления систем защиты, ограничения или воспрещения доступа к ним законных пользователей, дезорганизации работы технических средств, вывода из строя телекоммуникационных сетей, компьютерных систем, всех средств высокотехнологического обеспечения жизни общества и функционирования государства.
Информационное оружие от обычных средств поражения отличает [Партыка Т.Л., Попов И.И., 2002]:
§ скрытность — возможность достигать цели без видимой подготовки и объявления войны;
§ масштабность — возможность наносить невосполнимый ущерб, не признавая национальных, границ и суверенитета, без ограничения пространства во всех сферах жизнедеятельности человека;
§ универсальность — возможность многовариантного использования как военных, так и гражданских структур страны нападения против военных и гражданских объектов страны поражения.
По оценкам Службы внешней разведки Российской Федерации, сфера применения информационного оружия включает как военную, так и экономическую, банковскую, социальную и иные области потенциального противника в целях [Партыка Т.Л., Попов И.И., 2002]:
§ дезорганизации деятельности управленческих структур, транспортных потоков и средств коммуникации;
§ блокирования деятельности отдельных предприятий и банков, а также базовых отраслей промышленности путем нарушения многозвенных технологических связей и системы взаиморасчетов, посредством осуществления валютно-финансовых махинаций и т.п.;
§ инициирования крупных техногенных катастроф на территории противника в результате нарушения штатного управления технологическими процессами и объектами, имеющими дело с большими количествами опасных веществ и высокими концентрациями энергии;
§ массового распространения и внедрения в сознание людей определенных представлений, привычек и поведенческих стереотипов;
§ вызова недовольства или паники среди населения, а также провоцирования деструктивных действий различных социальных групп.
При этом в качестве основных объектов применения информационного оружия как в мирное, так и в военное время выступают [Партыка Т.Л., Попов И.И., 2002]:
§ компьютерные и коммуникационные системы, используемые государственными организациями при выполнении своих управленческих функций;
§ военная информационная инфраструктура, решающая задачи управления войсками и боевыми средствами, сбора и обработки информации в интересах вооруженных сил;
§ информационные и управленческие структуры банков, транспортных и промышленных предприятий;
§ средства массовой информации, в первую очередь электронные (радио, телевидение и др.).
Возможность применения информационного оружия в условиях открытости и роста международного информационного обмена определяет необходимость и особенности защиты человека, общества, государства и информационных систем от его воздействия.
Особую опасность информационное оружие представляет для информационных компьютерных систем органов государственной власти, управления войсками и оружием, финансами и банками, экономикой страны, а также для людей при информационно-психологическом (психофизическом) воздействии на них с целью изменения и управления их индивидуальным и коллективным поведением.
При этом по своей результативности информационное оружие сопоставимо с оружием массового поражения.
Особенностью информационного оружия является то, что оно поражает мозг человека, разрушает способы и формы идентификации личности по отношению к фиксированным общностям, трансформирует матрицу памяти индивида, создавая личность с заранее заданными параметрами (типом сознания, искусственными потребностями, формами самоопределения и т.д.), удовлетворяющими требования агрессора, выводит из строя системы управления государства-противника и его вооруженных сил. Доказано, что наибольшие потери вооруженные силы несут от воздействия поражающих элементов информационного оружия, действующих на системы управления и психику человека.
Организация защиты от информационного оружия предполагает выполнение ряда условий [Партыка Т.Л., Попов И.И., 2002].
Во-первых, наличие разработанной базовой концепции «информационного оружия», позволяющей определить те психофизиологические и социокультурные средства и механизмы, которые необходимы для защиты российского социума, государства и личности на основе рассмотрения общества как организованной, автономной и самоуправляемой системы с вписанным в нее менталитетом и набором социокультурных традиций.
Во-вторых, создание классификации основных способов и форм поражения и разрушения органов управления государства и сознания индивида в информационной войне с учетом особенностей цивилизационно-культурного контекста. Эта классификация позволит на основе особенностей российской цивилизации выработать психологические, культурные и концептуальные установки, образующие систему защитных фильтров от дезорганизации противником общественного и индивидуального сознания путем размывания «смыслов» российской культуры, подмены значений в системе принятых ценностей, стирания различий между добром и злом, истиной и заблуждением, прекрасным и безобразным и пр.
В-третьих, определение механизмов воздействия так называемых «программных закладок» (речи в речи, изображения в изображении) с использованием компьютеров и других аудиовизуальных средств на нейрофизиологический субстрат психического мира человека, нейролингвистического программирования, действующего на левое и правое полушария человеческого мозга, и разработка мероприятий, направленных на защиту индивида от поражающего воздействия этих «программных закладок» на матрицу памяти и психику индивида.
В-четвертых, теоретическое моделирование спектра вариантов и методов применения «информационного оружия» и разработка прогноза его развития в связи с обычным военным оружием и выработка соответствующих средств зашиты.
Одним из средств защиты национальной безопасности России является подготовка к возможному нанесению ответного или превентивного массированного удара по мировому кибернетическому пространству, воплощенному в Интернет и объединяющему десятки миллионов пользователей во всем мире, и, прежде всего, в потенциальных странах-агрессорах.
Защита информации
Защита информации – комплекс мероприятий, направленных на обеспечение важнейших аспектов информационной безопасности (целостности, доступности и, если нужно, конфиденциальности информации и ресурсов, используемых для ввода, хранения, обработки и передачи данных) [Аскеров Т.М., 2001].
Основные направления защиты информации – охрана государственной, коммерческой, профессиональной, служебной, банковской тайн, персональных данных и интеллектуальной собственности [Лопатин В.Н., 2000].
Государственная тайна– защищаемые государством сведении в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации.
Коммерческая тайна– защищаемые секреты производства, получения прибыли от пользования имуществом, продажи товаров или оказания услуг физических (независимо от гражданства) и юридических лиц (коммерческие и некоммерческие организации), занимающихся коммерческой деятельностью и зарегистрированных в этом качестве в установленном законом порядке.
Служебная тайна– защищаемая по закону конфиденциальная информация, ставшая известной в государственных органах и органах местного самоуправления только на законных основаниях и в силу исполнения их представителями служебных обязанностей, а также служебная информация о деятельности государственных органов, доступ к которой ограничен федеральным законом или в силу служебной необходимости.
Банковская тайна – защищаемые банками и иными кредитными организациями сведения о банковских операциях по счетам и сделкам в интересах клиентов, счетах и вкладах своих клиентов и корреспондентов, а также сведения о клиентах и корреспондентах, разглашение которых может нарушить право последних на неприкосновенность частной жизни.
Профессиональная тайна– защищаемая по закону информация, доверенная или ставшая известной лицу (держателю) исключительно в силу исполнения им своих профессиональных обязанностей, не связанных с государственной или муниципальной службой, распространение которой может нанести ущерб правам и законным интересам другого лица (доверителя), доверившего эти сведения, и не являющаяся государственной или коммерческой тайной. Выделяют следующие объекты профессиональной тайны: врачебная тайна, тайна связи, нотариальная тайна, адвокатская тайна, тайна усыновления, тайна страхования, тайна исповеди.
К персональным данным, требующих защиты, могут быть отнесены сведения, использование которых без согласия субъекта персональных данных может нанести вред его чести, достоинству, деловой репутации, доброму имени, иным нематериальным благам и имущественным интересам: биографические и опознавательные данные, личные характеристики, сведения о семейном, имущественном, финансовом положении, состоянии здоровья.
К числу основных защищаемых объектов интеллектуальной собственностиотнесены: произведения науки, литературы и искусства; результаты исполнительской деятельности артистов, режиссеров, дирижеров; сложные результаты творчества; звукозаписи и записи изображения; передача радио- и телевизионных сигналов; изобретения; полезные модели; промышленные образцы; профессиональные секреты; селекционные достижения; фирменные наименования и коммерческие обозначения правообладателя; товарные знаки и знаки обслуживания; наименования мест происхождения товаров; другие результаты интеллектуальной деятельности и средства индивидуализации, на которые в соответствии с законом могут признаваться или закрепляться исключительные права.
В целях охраны и защиты прав и свобод в информационной сфере Конституция РФ устанавливает гарантии, обязанности, механизмы защиты и ответственности.
Наряду с нормами Конституции РФ источниками права о доступе к информации являются:
ü законы (Основы законодательства о культуре, Основы законодательства РФ об Архивном фонде и архивах; Федеральные законы «Об информации, информатизации и защите информации», «О порядке опубликования и вступления в силу Федеральных конституционных законов, федеральных законов, актов палат Федерального собрания», «О библиотечном деле», «Об участии в международном информационном обмене» и др.);
ü подзаконные нормативные акты (указы Президента РФ, постановления Правительства РФ);
ü международные правовые акты, международные договоры и соглашения;
ü судебная практика.
Важной сферой безопасности информации является защита прав собственности на нее. Федеральным законом «Об информации, информатизации и защите информации» определено, что информационные ресурсы, т.е. отдельные документы или массивы документов, в том числе и в информационных системах, являясь объектами отношений физических, юридических лиц и государства, подлежат обязательному учету и защите как материальное имущество собственника.
Вся информация с точки зрения права делится на [Партыка Т.Л., Попов И.И., 2002]:
§ информацию без ограничения права доступа. К такого рода информации, например, относится информация общего пользования, информация о состоянии окружающей среды, ее загрязнении, информация в области работ по хранению, перевозке, уничтожению химического оружия и др. Информация, содержащая сведения об обстоятельствах и фактах, представляющих угрозу жизни, здоровью граждан, не подлежит засекречиванию, не может быть отнесена к тайне;
§ информацию с ограниченным доступом– государственная тайна, коммерческая тайна, банковская тайна, профессиональная тайна и персональные данные как институт охраны права неприкосновенности частной жизни;
§ информацию, распространение которой наносит вред интересам общества, законным интересам и правам граждан. К ней относится порнография; информация, разжигающая национальную, расовую и другую рознь; пропаганда и призывы к войне; ложная реклама, реклама со скрытыми вставками и т.п.;
§ объекты интеллектуальной собственности – то, что не может быть отнесено к информации с ограниченным доступом, но охраняется особым порядком через институты интеллектуальной собственности – авторское право, патентное право, средства индивидуализации и т.п. Исключение составляют профессиональные секреты, которые охраняются в режиме коммерческой тайны;
§ иную общедоступную информацию, среди которой выделяют более 20 видов открытой общедоступной информации.
К ограничениям и запретам следует отнести следующие перечни [Партыка Т.Л., Попов И.И., 2002].
1. Перечень оснований для ограничения информационных прав:
§ защита основ конституционного строя;
§ защита нравственности, здоровья, прав, законных интересов других лиц;
§ обеспечение обороны страны и безопасности государства;
§ обеспечение общественного спокойствия в целях предотвращения беспорядков и борьбы с преступностью;
§ предотвращение разглашения конфиденциальной информации;
§ обеспечение авторитета и беспристрастности правосудия;
§ условия чрезвычайного положения, установленные по закону (на определенный период).
2. Перечень случаев прямого ограничения информационных прав:
§ использование прав в целях насильственного изменения конституционного строя;
§ пропаганда социальной ненависти, социального, расового, национального, религиозного, языкового превосходства, насилия и войны;
§ нарушение на неприкосновенность частной жизни (на личную, семейную тайну), неприкосновенность жилища, права на уважение чести, достоинства и репутации, тайны переписки, телефонных переговоров, телеграфных и иных сообщений;
§ нарушение права на государственную, служебную, профессиональную, коммерческую и банковскую тайну;
§ право на отказ от свидетельствования против себя самого, своего супруга и близких родственников.
3. Перечень видов информации с ограниченным доступом:
§ государственная тайна;
§ служебная тайна;
§ коммерческая тайна;
§ банковская тайна;
§ профессиональная тайна;
§ персональные данные.
4. Перечень сведений, доступ к которым не может быть ограничен.
Для реализации права на информацию в Конституции РФ заложены основания, по которым доступ к отдельным видам информации не подлежит какому-либо ограничению, например в статье 42 закреплено право на достоверную информацию о состоянии окружающей среды, которое не может быть ограничено. В случае возникновения угрозы жизни и здоровью людей должностные лица обязаны информировать население о ней под страхом привлечения к ответственности (часть 3 статьи 41).
В ряде законов, устанавливающих ограничения доступа к информации, также вводится перечень сведений, доступ к которым не может быть ограничен. Так, в статье 7 Закона РФ «О государственной тайне» перечислены сведения, не подлежащие засекречиванию. В пункте 3 статьи 10 Федерального закона «Об информации, информатизации и защите информации» приведен перечень документов, доступ к которым запрещено ограничивать.
За непредоставление информации гражданам, палатам Федерального Собрания РФ и Счетной палате РФ (статьи 140 и 287), а также за сокрытие информации об обстоятельствах, создающих опасность для жизни или здоровья людей (статья 237), в Уголовном кодексе РФ предусмотрена ответственность.
Ответственность в действующем законодательстве оговорена в случае неправомерного засекречивания, нарушения требований по составу предоставляемых сведений, неопубликования сведений, нарушения права граждан на бесплатное получение информации, сокрытие (непредоставление) сведений об обстоятельствах, создающих опасность для жизни или здоровья людей, несвоевременное предоставление сведений, сокрытие информации, сообщение ложных (недостоверных) сведений, ограничение права на предоставление информации, искажение сведений, нарушение свободного международного информационного обмена.
Защита права на доступ к информации может осуществляться либо в административном порядке – через подачу жалобы лицом, чьи права нарушены, на должностное лицо (орган) в вышестоящую инстанцию, специальный орган – Судебную палату по информационным спорам при Президенте РФ, либо в судебном порядке через подачу иска (жалобы) для рассмотрения в гражданском, административном или уголовном судопроизводстве.
Проблемы защиты информации постоянно усугубляются процессами проникновения во все сферы общества технических средств обработки и передачи данных и, прежде всего, вычислительных систем.
Концентрация информации в вычислительных системах заставляет все более усиливать контроль в области защиты информации. Работы в этом направлении ведутся специалистами по информационной безопасности в вычислительных системах, которые отвечают за разработку, реализацию и эксплуатацию вычислительных систем и обеспечивают целостность, пригодность и конфиденциальность циркулирующей в вычислительных системах информации.
Сложность защиты информации в вычислительных системах определяется тем, что данные могут быть похищены и одновременно оставаться на месте; ценность данных заключается в обладании ими, а не в уничтожении или изменении. Кроме того, защита информации в вычислительных системах осложняется спецификой самих вычислительных систем, особенностями сбора, обработки и передачи данных с их использованием.
Рассмотрим проблемы защиты информации в автоматизированных системах обработки данных, персональных компьютерах (ПЭВМ), а также проблемы защиты информации в сетях ЭВМ.
Под защитой информации в автоматизированных системах обработки данных (АСОД) понимается регулярное использование в них средств и методов, принятие мер и осуществление мероприятий с целью системного обеспечения требуемой надежности информации, хранимой и обрабатываемой с использованием средств АСОД [Аскеров Т.М., 2001].
Основными видами информации, подлежащими защите в АСОД, могут быть [Партыка Т.Л., Попов И.И., 2002]:
§ исходные данные, т.е. данные, поступившие в АСОД на хранение и обработку от пользователей, абонентов и взаимодействующих систем;
§ производные данные, т.е. данные, полученные в АСОД в процессе обработки исходных и производных данных;
§ нормативно-справочные, служебные и вспомогательные данные, включая данные системы защиты;
§ программы, используемые для обработки данных, организации и обеспечения функционирования АСОД, включая и программы защиты информации;
§ алгоритмы, на основе которых разрабатывались программы (если они находятся на объектах, входящих в состав АСОД);
§ методы и модели, на основе которых разрабатывались алгоритмы (если они находятся на объектах, входящих в состав АСОД);
§ постановки задач, на основе которых разрабатывались методы, модели, алгоритмы и программы (если они находятся на объектах, входящих в состав АСОД);
§ техническая, технологическая и другая документация, находящаяся на объектах АСОД.
Общая классификационная структура задач по защите информации в АСОД включает в себя следующие группы [Партыка Т.Л., Попов И.И., 2002]:
I. Механизмы защиты:
1) введение избыточности элементов системы;
2) резервирование элементов системы;
3) регулирование доступа к элементам системы;
4) регулирование использования элементов системы;
5) маскировка информации;
6) контроль элементов системы;
7) регистрация сведений о фактах, событиях и ситуациях, которые возникают в процессе функционирования АСОД;
8) своевременное уничтожение информации, которая больше не нужна для функционирования АСОД;
9) сигнализация о состоянии управляемых объектов и процессов;
10)реагирование на проявление дестабилизирующих факторов с целью предотвращения или снижения степени их воздействия на информацию.
II. Управления механизмами защиты:
1) планирование защиты – процесс выработки рациональной (оптимальной) программы предстоящей деятельности. В общем случае различают долгосрочное (перспективное), среднесрочное и текущее планирование;
2) оперативно-диспетчерское управление защитой информации – организованное реагирование на непредвиденные ситуации, которые возникают в процессе функционирования управляемых объектов или процессов;
3) календарно-плановое руководство защитой – регулярный сбор информации о ходе выполнения планов защиты и изменении условий защиты, анализе этой информации и выработке решений о корректировке планов защиты;
4) обеспечение повседневной деятельности всех подразделений и отдельных должностных лиц, имеющих непосредственное отношение к защите информации – планирование, организация, оценка текущей деятельности, сбор, накопление и обработка информации, относящейся к защите, принятие текущих решений и др.
К основным методам защиты информации относятся:
Ø повышение достоверности информации;
Ø криптографическое преобразование информации;
Ø контроль и учет доступа к внутреннему монтажу аппаратуры, линиям связи и технологическим органам управления;
Ø ограничение доступа;
Ø разграничение и контроль доступа к информации;
Ø разделение доступа (привилегий);
Ø идентификация и аутентификация пользователей, технических средств, носителей информации и документов.
Основная цель защиты информации в ПЭВМ заключается в обеспечение ее физической целостности и предупреждении несанкционированного доступа к ней.
В самом общем виде данная цель достигается путем ограничения доступа посторонних лиц в помещения, где находятся ПЭВМ, а также хранением сменных запоминающих устройств и самих ПЭВМ с важной информацией в нерабочее время в опечатанном сейфе.
Наряду с этим для предупреждения несанкционированного доступа к информации используются следующие методы:
§ опознавание (аутентификация) пользователей и используемых компонентов обработки информации;
§ разграничение доступа к элементам защищаемой информации;
§ регистрация всех обращений к защищаемой информации;
§ криптографическое закрытие защищаемой информации, хранимой на носителях (архивация данных);
§ криптографическое закрытие защищаемой информации в процессе ее непосредственной обработки.
Для опознавания пользователей к настоящему времени разработаны и нашли практическое применение следующие способы.
1. Распознавание по простому паролю. Каждому зарегистрированному пользователю выдается персональный пароль, который он вводит при каждом обращении к ПЭВМ.
2. Опознавание в диалоговом режиме. При обращении пользователя программа защиты предлагает ему назвать некоторые данные из имеющейся записи (пароль, дата рождения, имена и даты рождения родных и близких и т.п.), которые сравниваются с данными, хранящимися в файле. При этом для повышения надежности опознавания каждый раз запрашиваемые у пользователя данные могут быть разными.
3. Опознавание по индивидуальным особенностям и физиологическим характеристикам. Реализация данного способа предполагает наличие специальной аппаратуры для съема и ввода соответствующих параметров и программ их обработки и сравнения с эталоном.
4. Опознавание по радиокодовым устройствам. Каждому зарегистрированному пользователю выдается устройство, способное генерировать сигналы, имеющие индивидуальные характеристики. Параметры сигналов заносятся в запоминающие устройства механизмов защиты.
5. Опознавание по специальным идентификационным карточкам. Изготавливаются специальные карточки, на которые наносятся данные, персонифицирующие пользователя: персональный идентификационный номер, специальный шифр или код и т.п. Эти данные на карточку заносятся в зашифрованном виде, причем ключ шифрования может быть дополнительным идентифицирующим параметром, поскольку может быть известен только пользователю, вводиться им каждый раз при обращении к системе и уничтожаться сразу же после использования.
Каждый из перечисленных способов опознавания пользователей имеет свои достоинства и недостатки, связанные с простотой, надежностью, стоимостью и др.
Разграничение доступа к элементам защищаемой информации заключается в том, чтобы каждому зарегистрированному пользователю предоставить возможности беспрепятственного доступа к информации в пределах его полномочий и исключить возможности превышения своих полномочий. Само разграничение может осуществляться несколькими способами.
1. По уровням секретности. Каждому зарегистрированному пользователю предоставляется вполне определенный уровень допуска (например, «секретно», «совершенно секретно», «особой важности» и т.п.). Тогда пользователю разрешается доступ к массиву (базе) своего уровня и массивам (базам) низших уровней и запрещается доступ к массивам (базам) более высоких уровней.
2. Разграничение доступа по специальным спискам. Для каждого элемента защищаемых данных (файла, базы, программы) составляется список всех пользователей, которым предоставлено право доступа к соответствующему элементу, или, наоборот, для каждого зарегистрированного пользователя составляется список тех элементов защищаемых данных, к которым ему предоставлено право доступа.
3. Разграничение доступа по матрицам полномочий. Данный способ предполагает формирование двумерной матрицы, по строкам которой содержатся идентификаторы зарегистрированных пользователей, а по столбцам – идентификаторы защищаемых элементов данных. Элементы матрицы содержат информацию об уровне полномочий соответствующего пользователя относительно соответствующего элемента.
4. Разграничение доступа по мандатам. Данный способ заключается в том, что каждому защищаемому элементу присваивается персональная уникальная метка, после чего доступ к этому элементу будет разрешен только тому пользователю, который в своем запросе предъявит метку элемента (мандат), которую ему может выдать администратор защиты или владелец элемента.
Регистрация всех обращений к защищаемой информацииосуществляется с помощью устройств, которые контролируют использование защищаемой информации, выявляют попытки несанкционированного доступа к ней, накапливают статистические данные о функционировании системы защиты.
Криптографическое закрытие защищаемой информации, хранимой на носителях (архивация данных) заключается в использовании методов сжатия данных, которые при сохранении содержания информации уменьшают объем памяти, необходимой для ее хранения.
Криптографическое закрытие защищаемой информации в процессе ее непосредственной обработкиосуществляется с помощью устройств программно-аппаратных комплексов, обеспечивающих шифрование и дешифрование файлов, групп файлов и разделов дисков, разграничение и контроль доступа к компьютеру, защиту информации, передаваемой по открытым каналам связи и сетям межмашинного обмена, электронную подпись документов, шифрование жестких и гибких дисков.
Защита информации в сетях ЭВМ обеспечивается решением следующих задач [Партыка Т.Л., Попов И.И., 2002]:
1) взаимное опознавание (аутентификация) вступающих в связь абонентов сети;
2) обеспечение конфиденциальности циркулирующих в сети данных;
3) обеспечение юридической ответственности абонентов за передаваемые и принимаемые данные.
Взаимная аутентификация абонентов, вступающих в связь обеспечивается использованием паролей, шифрованием. Например, для осуществления секретной связи участники сетевых переговоров получают согласованные пары ключей для шифрования и дешифрования передаваемых данных.
Конфиденциальность циркулирующих в сети данных обеспечивается путем удостоверения их целостности, заполнения трафика, управления маршрутизацией.
Целостность единственного блока данных достигается добавлением к нему при передаче проверочной величины (например, контрольной суммы), которая является секретной функцией самих данных. При приеме генерируется (формируется) такая же величина и сравнивается с принятой. Целостность последовательности блоков данных обеспечивается путем их последовательной нумерации, криптографического упорядочивания или отметками времени.
Заполнение трафика используется для защиты от попыток анализа трафика путем шифрования всего трафика, когда нельзя отличить информацию от заполнения.
Управление маршрутизацией предполагает использование только безопасные с точки зрения защиты информации фрагменты сети, участки переприема, коммуникации, звенья. Может быть запрещена передача некоторых данных по определенным маршрутам, или оконечная система, обнаружив воздействие на ее информацию, может потребовать предоставить ей маршрут доставки данных, обеспечивающий их конфиденциальность и целостность.
Юридической ответственность абонентов за передаваемые и принимаемые данные обеспечивается с помощью цифровой (электронной) подписи, реализуемой криптографическими методами, состоящими из двух процессов: 1) формирование подписи блока данных при передаче; 2) проверка подписи в принятом блоке данных. Первый процесс заключается в формировании подписи по определенному алгоритму с использованием секретного ключа, второй – в обратном преобразовании.
Применяемые в настоящее время системы зашиты информации в сетях ЭВМ обеспечивают:
§ предохранение от лиц, не допущенных к работе с системами обработки информации;
§ регламентацию (разграничение) доступа законных пользователей и программ к информационным, программным и аппаратным ресурсам систем в строгом соответствии с принятыми в организациях политиками безопасности;
§ предохранение от внедрения вредоносных программ (закладок), инструментальных и технологических средств проникновения;
§ целостность среды исполнения программ;
§ регистрацию, сбор, хранение и выдачу сведений обо всех событиях, происходящих в сети и имеющих отношение к ее безопасности;
§ централизованное управление средствами защиты (администрирования).
Следует заметить, что обеспечение защиты информации в современных вычислительных системах и сетях требует комплексного подхода. Оно невозможно без применения широкого набора защитных методов и средств, объединенных в единую систему защиты.
Вопросы и задания
1. Что понимается под информационной безопасностью?
2. Чем обусловлена необходимость укрепления информационной безопасности Российской Федерации?
3. Перечислите основные составляющие информационной безопасности.
4. В чем заключаются национальные интересы России в информационной сфере? Что требуется для их достижения?
5. На какие виды подразделяются угрозы информационной безопасности Российской Федерации?
6. Что относится к организационно-техническим методам обеспечения информационной безопасности Российской Федерации?
7. Что относится к объектам обеспечения информационной безопасности в сфере экономики (внутренней и внешней политики, в области науки и техники, в сфере духовной жизни, в общегосударственных, информационных и телекоммуникационных системах, в сфере обороны, в правоохранительных и судебных сферах)? Какие угрозы представляют наибольшую опасность для этих объектов?
8. Какие меры разрабатываются и применяются по обеспечению информационной безопасности Российской Федерации в различных сферах жизнедеятельности общества и государства?
9. Какие разрабатываются меры по обеспечению информационной безопасности в чрезвычайных ситуациях?
10. Перечислите основные задачи в сфере обеспечения информационной безопасности государства.
11. Какие функции должны осуществляться государственной системой по обеспечению информационной безопасности?
12. Какие мероприятия относятся к первоочередным мероприятиям по реализации государственной политики обеспечения информационной безопасности Российской Федерации?
13. Перечислите основные направления международного сотрудничества Российской Федерации в области обеспечения информационной безопасности.
14. Что понимается под информационной войной? Когда появился этот термин?
15. Перечислите особенности информационной войны.
16. Что предусматривает концепция «информационной войны» по оценкам российских спецслужб?
17. Что значит информационное превосходство? Чем оно достигается?
18. Что понимается под информационным оружием и чем оно отличается от обычных средств поражения?
19. В каких сферах, и с какой целью применяется информационное оружие?
20. Назовите основные объекты применения информационного оружия?
21. Как информационное оружие способно воздействовать на человека?
22. Перечислите необходимые условия организации защиты от информационного оружия.
23. Что значит защита информации?
24. Перечислите основные направления защиты информации. Что они означают?
25. Назовите источники права о доступе к информации.
26. Как с точки зрения права делится информация?
27. Перечислите ограничения и запреты на информацию?
28. Как может быть осуществлена защита права на доступ к информации?
29. Что понимается под защитой информации в автоматизированных системах обработки данных?
30. Назовите основные виды информации, подлежащие защите в АСОД.
31. Какие группы включает в себя общая классификационная структура задач по защите информации в АСОД?
32. Назовите основные методы защиты информации в АСОД.
33. Что относится к особенностям ПЭВМ с точки зрения защиты информации?
34. В чем заключается основная цель защиты информации в ПЭВМ?
35. Какие методы предупреждения несанкционированного доступа к информации используются в настоящее время?
36. Какие способы опознавания пользователей разработаны и нашли практическое применение в настоящее время?
37. В чем заключается разграничение доступа к элементам защищаемой информации? Какими способами оно осуществляется?
38. Как осуществляется криптографическое закрытие защищаемой информации?
39. Решением каких основных задач обеспечивается защита информации в сетях ЭВМ?
ГЛАВА 6
ВОЕННАЯ БЕЗОПАСНОСТЬ
Национальные интересы России в военной сфере заключаются в защите ее независимости, суверенитета, государственной и территориальной целостности, в предотвращении военной агрессии против России и ее союзников, в обеспечении условий для мирного, демократического развития государства [Концепция, 2000].
Обеспечение военной безопасности Российской Федерации является важнейшим направлением деятельности государства. Главной целью в данной области является обеспечение возможности адекватного реагирования на угрозы, которые могут возникнуть в XXI веке, при рациональных затратах на национальную оборону [Концепция, 2000].
В предотвращении войн и вооруженных конфликтов Российская Федерация отдает предпочтение политическим, дипломатическим, экономическим и другим невоенным средствам. Однако национальные интересы Российской Федерации требуют наличия достаточной для ее обороны военной мощи. Вооруженные силы Российской Федерации играют главную роль в обеспечении военной безопасности Российской Федерации [Концепция, 2000].
Важнейшей задачей Российской Федерации является [Концепция, 2000] осуществление сдерживания в интересах предотвращения агрессии любого масштаба, в том числе с применением ядерного оружия, против России и ее союзников.
Российская Федерация должна обладать ядерными силами, способными гарантированно обеспечить нанесение заданного ущерба любому государству-агрессору или коалиции государств в любых условиях обстановки [Концепция, 2000]
Вооруженные силы Российской Федерации боевым составом мирного времени должны быть способны обеспечить надежную защиту страны от воздушного нападения и решение совместно с другими войсками, воинскими формированиями и органами задач по отражению агрессии в локальной войне (вооруженном конфликте), а также стратегическое развертывание для решения задач в крупномасштабной войне. Вооруженные силы Российской Федерации должны обеспечивать осуществление Российской Федерацией миротворческой деятельности [Концепция, 2000].
Одним из важнейших стратегических направлений в области обеспечения военной безопасности Российской Федерации является эффективное взаимодействие и сотрудничество с государствами - участниками Содружества Независимых Государств [Концепция, 2000].
Вооруженные Силы Российской Федерации образованы Указом Президента Российской Федерации от 7 мая 1992 г. Они представляют собой государственную военную организацию, составляющую оборону страны.
Согласно Закону Российской Федерации «Об обороне» Вооруженные Силы предназначены для отражения агрессии и нанесения агрессору поражения, а также для выполнения задач в соответствии с международными обязательствами Российской Федерации.
Вооруженные Силы могут быть привлечены и к решению задач, не связанных с их основным предназначением, но затрагивающих национальные интересы России. Такими задачами могут быть:
¨ участие вместе с внутренними войсками и правоохранительными органами в борьбе против организованной преступности, в защите прав и свобод граждан России;
¨ обеспечение коллективной безопасности стран Содружества Независимых Государств;
¨ выполнение миротворческих миссий, как в ближнем, так и в дальнем зарубежье и др.
Эти и другие сложные задачи российские войска решают в определенной организационной структуре.