Обеспечение информационной безопасности - сложная общественно-социальная, правовая, экономическая, научная проблема. Лишь комплексное решение ее целей и задач одновременно в нескольких плоскостях сможет оказать свое регулирующее воздействие на обеспечение информационной безопасности страны. Работы, проводимые в этой области, должны иметь не только практическую направленность, но и научное обоснование.

Основные цели обеспечения информационной безопасности определяются на базе устойчивых приоритетов национальной и экономической безопасности, отвечающих долговременным интересам общественного развития, к которым относятся:

Сохранение и укрепление российской государственности и политической стабильности в обществе;

Сохранение и развитие демократических институтов общества, обеспечение прав и свобод граждан, укрепление законности и правопорядка;

Обеспечение достойного места и роли страны в мировом сообществе;

Обеспечение территориальной целостности страны;

Обеспечение прогрессивного социально-экономического развития;

Сохранение национальных культурных ценностей и традиций.

В соответствии с указанными приоритетами основными задачами обеспечения информационной безопасности являются:

Выявление оценка и прогнозирование источников угроз информационной безопасности;

Разработка государственной политики обеспечения информационной безопасности, комплекса мероприятий и механизмов ее реализации;

Разработка нормативно-правовой базы обеспечения информационной безопасности, координация деятельности органов государственной власти и предприятий по обеспечению информационной безопасности;

Развитие системы обеспечения информационной безопасности, совершенствование ее организации, форм, методов и средств предотвращения, парирования и нейтрализации угроз информационной безопасности и ликвидации последствий ее нарушения;

Обеспечение активного участия страны в процессах создания использования глобальных информационных сетей и систем.

Важнейшими принципами обеспечения информационной безопасности являются:

1) законность мероприятий по выявлению и предотвращению правонарушений в информационной сфере;

2) непрерывность реализации и совершенствования средств и методов контроля и защиты информационной системы;

3) экономическая целесообразность, т е. сопоставимость возможного ущерба и затрат на обеспечение безопасности информации

4) комплексность использования всего арсенала имеющихся средств защиты во всех подразделениях фирмы и на всех этапах информационного процесса.

Реализация процесса защиты информации включает несколько этапов:

Определение объекта защиты: права на защиту информационного ресурса, стоимостная оценка информационного ресурса и его основных элементов, длительность жизненного цикла информационного ресурса, траектория информационного процесса по функциональным подразделениям фирмы;

Выявление источников угроз (конкурентов, преступников, сотрудников и др.), целей угроз (ознакомление, модификация, уничтожение и др.), возможных каналов реализации угроз (разглашение, утечка и др.);

Определение необходимых мер защиты;

Оценка их эффективности и экономической целесообразности;

Реализация принятых мер с учетом выбранных критериев;

Доведение принятых мер до персонала, контроль за их эффективностью и устранение (предотвращение) последствий угроз.

Реализация описанных этапов, по сути, является процессом управления информационной безопасностью объекта и обеспечивается системой управления, включающей в себя, кроме самого управляемого (защищаемого) объекта, средства контроля за его состоянием, механизм сравнения текущего состояния с требуемым, а также механизм управляющих воздействий для локализации и предотвращения ущерба вследствие угроз. Критерием управления в данном случае целесообразно считать достижение минимума информационного ущерба, а целью управления - обеспечение требуемого состояния объекта в смысле его информационной защищенности.

Методы обеспечения информационной безопасности разделяются на правовые, организационно-технические и экономические.

К правовым методам обеспечения информационной безопасности относится разработка нормативно-правовых актов, регламентирующих отношения в информационной сфере, и нормативных методических документов по вопросам обеспечения информационной безопасности. Наиболее важными направлениями этой деятельности являются:

Внесение изменений и дополнений в законодательство, регулирующее отношения в области обеспечения информационной безопасности, в целях создания и совершенствования системы обеспечения информационной безопасности, устранения внутренних противоречии в федеральном законодательстве, противоречий, связанных с международными соглашениями, а также в целях конкретизации правовых норм, устанавливающих ответственность за правонарушения в области обеспечения информационной безопасности;

Законодательное разграничение полномочий в области обеспечения определения целей, задач и механизмов участия в этой деятельности общественных объединений, организаций и граждан;

Разработка и принятие нормативных правовых актов, устанавливающих ответственность юридических и физических лиц за несанкционированный доступ к информации, ее противоправное копирование, искажение и противозаконное использование, преднамеренное распространение недостоверной информации, противоправное раскрытие конфиденциальной информации, использование в преступных и корыстных целях служебной информации или информации, содержащей коммерческую тайну;

Уточнение статуса иностранных информационных агентств, средств массовой информации и журналистов, а также инвесторов при привлечении иностранных инвестиций для развития отечественной информационной инфраструктуры;

Законодательное закрепление приоритета развития национальных сетей связи и отечественного производства космических спутников связи;

Определение статуса организаций, предоставляющих услуги глобальных информационно-коммуникационных сетей и правовое регулирование деятельности этих организаций;

Создание правовой базы для формирования региональных структур обеспечения информационной безопасности.

Организационно-техническими методами обеспечения информационной безопасности являются:

Создание и совершенствование системы обеспечения информационной безопасности государства;

Усиление правоприменительной деятельности органов власти, включая предупреждение и пресечение правонарушений в информационной сфере, а также выявление, изобличение и привлечение к ответственности лиц, совершивших преступления и другие правонарушения в этой сфере;

Разработка, использование и совершенствование средств защиты информации и методов контроля эффективности этих средств, развитие защищенных телекоммуникационных систем, повышение надежности специального программного обеспечения;

Создание систем и средств предотвращения несанкционированного доступа к обрабатываемой информации и специальных воздействий, вызывающих разрушение, уничтожение, искажение информации, а также изменение штатных режимов функционирования систем и средств информатизации и связи;

Выявление технических устройств и программ, представляющих опасность для нормального функционирования информационно-коммуникационных систем, предотвращение перехвата информации по техническим каналам, применение криптографических средств защиты информации при ее хранении, обработке и передаче по каналам связи, контроль за выполнением специальных требований по защите информации;

Сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандартизация способов и средств защиты информации;

Совершенствование системы сертификации телекоммуникационного оборудования и программного обеспечения автоматизированных систем обработки информации по требованиям информационной безопасности;

Контроль за действиями персонала в защищенных информационных системах, подготовка кадров в области обеспечения информационной безопасности государства;

Формирование системы мониторинга показателей и характеристик информационной безопасности в наиболее важных сферах жизни и деятельности общества и государства.

Экономические методы обеспечения информационной безопасности включают:

Разработку программ обеспечения информационной безопасности государства и определение порядка их финансирования;

Совершенствование системы финансирования работ, связанных с реализацией правовых и организационно-технических методов защиты информации, создание системы страхования информационных рисков физических и юридических лиц.

Наряду с широким использованием стандартных методов и средств для сферы экономики приоритетными направлениями обеспечения информационной безопасности являются:

Разработка и принятие правовых положений, устанавливающих ответственность юридических и физических лиц за несанкционированный доступ и хищение информации, преднамеренное распространение недостоверной информации, разглашение коммерческой тайны, утечку конфиденциальной информации;

Построение системы государственной статистической отчетности, обеспечивающей достоверность, полноту, сопоставимость и защищенность информации путем введения строгой юридической ответственности первичных источников информации, организации действенного контроля за их деятельностью и деятельностью служб обработки и анализа статистической информации, ограничения ее коммерциализации, использования специальных организационных и программно-технических средств защиты информации;

Создание и совершенствование специальных средств защиты финансовой и коммерческой информации;

Разработка комплекса организационно-технических мероприятий по совершенствованию технологии информационной деятельности и защиты информации в хозяйственных, финансовых, промышленных и других экономических структурах с учетом специфических для сферы экономики требований информационной безопасности;

Совершенствование системы профессионального отбора и подготовки персонала, систем отбора, обработки, анализа и распространения экономической информации.

Государственная политика обеспечения информационной безопасности формирует направления деятельности органов государственной власти и управления в области обеспечения информационной безопасности, включая гарантии прав всех субъектов на информацию, закрепление обязанностей и ответственности государства и его органов за информационную безопасность страны, и базируется на соблюдении баланса интересов личности, общества и государства в информационной сфере.

Государственная политика обеспечения информационной безопасности исходит из следующих основных положений:

Ограничение доступа к информации есть исключение из общего принципа открытости информации, и осуществляется только на основе законодательства;

Ответственность за сохранность информации, ее засекречивание и рассекречивание персонифицируется;

Доступ к какой-либо информации, а также вводимые ограничения доступа осуществляются с учетом определяемых законом прав собственности на эту информацию;

Формирование государством нормативно-правовой базы, регламентирующей права, обязанности и ответственность всех субъектов, действующих в информационной сфере;

Юридические и физические лица, собирающие, накапливающие и обрабатывающие персональные данные и конфиденциальную информацию, несут ответственность перед законом за их сохранность и использование;

Обеспечение государством законными средствами защиты общества от ложной, искаженной и недостоверной информации, поступающей через средства массовой информации;

Осуществление государственного контроля за созданием и использованием средств защиты информации посредством их обязательной сертификации и лицензирования деятельности в области защиты информации;

Проведение протекционистской политики государства, поддерживающей деятельность отечественных производителей средств информатизации и защиты информации и осуществляющей меры по защите внутреннего рынка от проникновения на него некачественных средств информации и информационных продуктов;

Государственная поддержка в деле предоставления гражданам доступа к мировым информационным ресурсам, глобальным информационным сетям,

Формирование государством федеральной программы информационной безопасности, объединяющей усилия государственных организаций и коммерческих структур в создании единой системы информационной безопасности страны;

Государство прилагает усилия для противодействия информационной экспансии других стран, поддерживает интернационализацию глобальных информационных сетей и систем.

На основе изложенных принципов и положений определяются общие направления формирования и реализации политики информационной безопасности в политической, экономической и других сферах деятельности государства.

Государственная политика в качестве механизма согласования интересов субъектов информационных отношений и нахождения компромиссных решений предусматривает формирование и организацию эффективной работы различных советов, комитетов и комиссий с широким представительством специалистов и всех заинтересованных структур. Механизмы реализации государственной политики должны быть гибкими и своевременно отражать изменения, происходящие в экономической и политической жизни страны.

Правовое обеспечение информационной безопасности государства является приоритетным направлением формирования механизмов реализации политики обеспечения информационной безопасности и включает в себя:

1) нормотворческую деятельность по созданию законодательства, регулирующего отношения в обществе, связанные с обеспечением информационной безопасности;

2) исполнительную и правоприменительную деятельность по исполнению законодательства в области информации, информатизации и защиты информации органами государственной власти и управления, организациями, гражданами.

Нормотворческая деятельность в области обеспечения информационной безопасности предусматривает:

Оценку состояния действующего законодательства и разработку программы его совершенствования;

Создание организационно-правовых механизмов обеспечения информационной безопасности;

Формирование правового статуса всех субъектов в системе информационной безопасности, пользователей информационных и телекоммуникационных систем и определение их ответственности за обеспечение информационной безопасности;

Разработку организационно-правового механизма сбора и анализа статистических данных о воздействии угроз информационной безопасности и их последствиях с учетом всех видов информации;

Разработку законодательных и других нормативных актов, регулирующих порядок ликвидации последствий воздействия угроз, восстановления нарушенного права и ресурсов, реализации компенсационных мер.

Исполнительная и правоприменительная деятельность предусматривает разработку процедур применения законодательства и нормативных актов к субъектам, совершившим преступления и проступки при работе с конфиденциальной информацией и нарушившим регламент информационных взаимодействий. Вся деятельность по правовому обеспечению информационной безопасности строится на основе трех фундаментальных положений права: соблюдения законности, обеспечения баланса интересов отдельных субъектов и государства, неотвратимости наказания.

Соблюдение законности предполагает наличие законов и иных нормативных установлений, их применение и исполнение субъектами права в области информационной безопасности.

12.3. СОСТОЯНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В РОССИИ

Оценка состояния информационной безопасности государства предполагает оценку существующих угроз. В п. 2 «Доктрины информационной безопасности РФ» 1 выделяются следующие угрозы информационной безопасности Российской Федерации:

Угрозы конституционным правам и свободам человека и гражданина в области духовной жизни и информационной деятельности, индивидуальному, групповому и общественному сознанию, духовному возрождению России;

Угрозы информационному обеспечению государственной политики Российской Федерации;

Угрозы развитию отечественной индустрии информации, включая индустрию средств информатизации, телекоммуникации и связи, обеспечению потребностей внутреннего рынка в ее продукции и выходу этой продукции на мировой рынок, а также обеспечению накопления, сохранности и эффективного использования отечественных информационных ресурсов;

__________________________________________________________________

Угрозы безопасности информационных и телекоммуникационных систем, как уже развернутых, так и создаваемых на территории России.

К внешним источникам угроз информационной безопасности России относятся:

1) деятельность иностранных политических, экономических, военных, разведывательных и информационных структур, направленная против Российской Федерации в информационной сфере;

2) стремление ряда стран к доминированию и ущемлению интересов России в мировом информационном пространстве, вытеснению ее с внешнего и внутреннего информационного рынков;

3) обострение международной конкуренции за обладание информационными технологиями и ресурсами;

4) деятельность международных террористических организаций;

5) увеличение технологического отрыва ведущих держав мира наращивание их возможностей по противодействию созданию конкурентоспособных российских информационных технологий;

6) деятельность космических, воздушных, морских и наземных технических и иных средств (видов) разведки иностранных государств;

7) разработка рядом государств концепций информационных войн, предусматривающих создание средств опасного воздействия на информационные сферы других стран мира, нарушение нормального функционирования информационных и телекоммуникационных систем, сохранности информационных ресурсов, получение несанкционированного доступа к ним.

К внутренним источникам угроз информационной безопасности России относятся:

1) критическое состояние отечественных отраслей промышленности;

2) неблагоприятная криминогенная обстановка, сопровождающаяся тенденциями сращивания государственных и криминальных структур в информационной сфере, получения криминальными структурами доступа к конфиденциальной информации, усиления влияния организованной преступности на жизнь общества, снижение степени защищенности законных интересов граждан, общества и государства в информационной сфере;

3) недостаточная координация деятельности федеральных органов государственной власти, органов государственной власти субъектов РФ по формированию и реализации единой государственной политики в области обеспечения информационной безопасности РФ;

4) недостаточная разработанность нормативной правовой базы, регулирующей отношения в информационной сфере, а также недостаточная правоприменительная практика;

5) неразвитость институтов гражданского общества и недостаточный контроль за развитием информационного рынка России;

6) недостаточная экономическая мощь государства;

7) снижение эффективности системы образования и воспитания, недостаточное количество квалифицированных кадров в области обеспечения информационной безопасности;

8) отставание России от ведущих стран мира по уровню информатизации федеральных органов государственной власти, кредит-но-финансовой сферы, промышленности, сельского хозяйства, образования, здравоохранения, сферы услуг и быта граждан.

За последние годы в России реализован комплекс мер по совершенствованию обеспечения ее информационной безопасности. Осуществлены мероприятия по обеспечению информационной безопасности в федеральных органах государственной власти, органах государственной власти субъектов РФ, на предприятиях, в учреждениях и организациях независимо от формы собственности. Развернуты работы по созданию защищенной информационно-телекоммуникационной системы специального назначения в интересах органов государственной власти.

Успешному решению вопросов обеспечения информационной безопасности РФ способствуют государственная система защиты информации, система защиты государственной тайны и системы сертификации средств защиты информации.

Структуру государственной системы защиты информации составляют:

Органы государственной власти и управления РФ и субъектов РФ, решающие задачи обеспечения информационной безопасности в пределах своей компетенции;

Государственные и межведомственные комиссии и советы, специализирующиеся на проблемах информационной безопасности;

Государственная техническая комиссия при Президенте РФ;

Федеральная служба безопасности РФ;

Министерство внутренних дел РФ;

Министерство обороны РФ;

Федеральное агентство правительственной связи и информации при Президенте РФ;

Служба внешней разведки РФ;

Структурные и межотраслевые подразделения по защите информации органов государственной власти;

Головные и ведущие научно-исследовательские, научно-технические, проектные и конструкторские организации по защите информации;

Учебные заведения, осуществляющие подготовку и переподготовку кадров для работы в системе обеспечения информационной безопасности.

Государственная техническая комиссия при Президенте РФ, являясь органом государственного управления, осуществляет проведение единой технической политики и координацию работ в области защиты информации, возглавляет государственную систему защиты информации от технических разведок, несет ответственность за обеспечение защиты информации от ее утечки по техническим каналам на территории России, осуществляет контроль эффективности принимаемых мер защиты.

Особое место в системе информационной безопасности занимают государственные и общественные организации, осуществляющие контроль за деятельностью государственных и негосударственных средств массовой информации.

К настоящему времени сформирована законодательная и нормативно-правовая база в сфере информационной безопасности России, которая включает в себя:

1. Законы Российской Федерации:

Конституция РФ;

«О банках и банковской деятельности»;

«О безопасности»;

«О внешней разведке»;

«О государственной тайне»;

«О связи»;

«О сертификации продукции и услуг»;

«О средствах массовой информации»;

«О стандартизации»;

«Об информации, информационных технологиях и о защите информации»;

«Об органах Федеральной службы безопасности в Российской Федерации»;

«Об обязательном экземпляре документов»;

«Об участии в международном информационном обмене»;

«О6 электронно-цифровой подписи» и др.

2. Нормативно-правовые акты Президента Российской Федерации:

«Доктрина информационной безопасности РФ»;

«О стратегии национальной безопасности Российской Федерации до 2020 г»;

«О некоторых вопросах межведомственной комиссии по защите государственной тайны»;

«О перечне сведений, отнесенных к государственной тайне»;

«Об основах государственной политики в сфере информатизации»;

«Об утверждении перечня сведений конфиденциального характера» и др.

З. Нормативные правовые акты Правительства Российской Федерации:

«О сертификации средств защиты информации»;

«О лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны»;

«Об утверждении правил отнесения сведений, составляющих государственную тайну, к различным степеням секретности»;

«О лицензировании отдельных видов деятельности» и др.

4. Руководящие документы Гостехкомиссии России:

«Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации»;

«Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации»;

«Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации»;

«Защита информации. Специальные защитные знаки. Классификация и общие требования»;

«Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия не-декларированных возможностей».

5. Гражданский кодекс РФ (часть четвертая).

6. УК РФ.

Международное сотрудничество в области обеспечения информационной безопасности - неотъемлемая составляющая экономического, политического, военного, культурного и других видов взаимодействия стран, входящих в мировое сообщество. Такое сотрудничество должно способствовать повышению информационной безопасности всех членов мирового сообщества, включая Россию. Особенность международного сотрудничества РФ в области обеспечения информационной безопасности заключается в том, что оно осуществляется в условиях обострения международной конкуренции за обладание технологическими и информационными ресурсами, за доминирование на рынках сбыта, усиления технологического отрыва ведущих держав мира и наращивания их возможностей для создания «информационного оружия». Это может привести к новому этапу развертывания гонки вооружений в информационной сфере.

Международное сотрудничество в области информационной безопасности опирается на следующую нормативно-правовую базу:

Соглашение с Республикой Казахстан от 13 января 1995 г, с Москва (Постановление Правительства РФ от 15 мая 1994 г Nч 679);

Соглашение с Украиной от 14 июня 1996 г, г Киев (Постановление Правительства РФ от 7 июня 1996 г Ns 655);

Соглашение с Республикой Беларусь (Проект);

Выдача сертификатов и лицензий при международном информационном обмене (Федеральный закон от 4 июля 1996 г Х 85-ФЗ).

Основными направлениями международного сотрудничества, отвечающими интересам РФ, являются:

Предотвращение несанкционированного доступа к конфиденциальной информации в международных банковских сетях и в каналах информационного обеспечения мировой торговли, к конфиденциальной информации в международных экономических и политических союзах, блоках и организациях, к информации в международных правоохранительных организациях, ведущих борьбу с международной организованной преступностью и международным терроризмом;

Запрещение разработки, распространения и применения «информационного оружия»;

Обеспечение безопасности международного информационного обмена, в том числе сохранности информации при ее передаче по национальным телекоммуникационным сетям и каналам связи;

Координация деятельности правоохранительных органов государств - участников международного сотрудничества по предотвращению компьютерных преступлений;

Участие в проведении международных конференций и выставок по проблеме безопасности информации.

Особое внимание в ходе сотрудничества должно быть уделено проблемам взаимодействия со странами СНГ с учетом перспектив создания единого информационного пространства на территории бывшего СССР, в пределах которого используются практически единые телекоммуникационные системы и линии связи.

Вместе с тем анализ состояния информационной безопасности России показывает, что ее уровень не в полной мере соответствует потребностям общества и государства. Современные условия политического и социально-экономического развития страны вызывают обострение противоречий между потребностями общества в расширении свободного обмена информацией и необходимостью сохранения отдельных регламентированных ограничений на ее распространение.

Закрепленные в Конституции РФ права граждан на неприкосновенность частной жизни, личную и семейную тайну, тайну переписки не имеют достаточного правового, организационного и технического обеспечения. Неудовлетворительно организована защита собираемых федеральными органами государственной власти персональных данных.

Отсутствует четкость в проведении государственной политики в области формирования российского информационного пространства, развития системы массовой информации, организации международного информационного обмена и интеграции информационного пространства России в мировое информационное пространство, что создает условия для вытеснения российских информационных агентств, средств массовой информации с внутреннего информационного рынка и деформации структуры международного информационного обмена.

Недостаточна государственная поддержка деятельности российских информационных агентств по продвижению их продукции на международный информационный рынок.

Ухудшается ситуация с обеспечением сохранности сведений, составляющих государственную тайну.

Серьезный урон нанесен кадровому потенциалу научных и производственных коллективов, действующих в области создания средств информатизации, телекоммуникации и связи, в результате массового ухода из этих коллективов наиболее квалифицированных специалистов.

Отставание отечественных информационных технологий вынуждает органы государственной власти РФ при создании информационных систем идти по пути закупок импортной техники и привлечения иностранных фирм, из-за чего повышается вероятность несанкционированного доступа к обрабатываемой информации и возрастает зависимость России от иностранных производителей компьютерной и телекоммуникационной техники, а также программного обеспечения.

В связи с интенсивным внедрением зарубежных информационных технологий в сферы деятельности личности, общества и государства, а также с широким применением открытых информационно-теле-коммуникационных систем, интеграцией отечественных и международных информационных систем возросли угрозы применения «информационного оружия» против информационной инфраструктуры России. Работы по адекватному комплексному противодействию этим угрозам ведутся при недостаточной координации и слабом бюджетном финансировании.

Контрольные вопросы

1. Каково место информационной безопасности в системе экономической безопасности государства? Покажите на примерах значение информационной безопасности в обеспечении экономической безопасности государства?

2. Чем обусловлено повышение значимости информационной безопасности в современный период?

3. Охарактеризуйте основные категории информационной безопасности: информация, информатизация, документ, информационный процесс, информационная система, информационные ресурсы, персональные данные, конфиденциальная информация.

4. В чем заключаются интересы личности, общества и государства в информационной сфере?

5. Какие существуют виды угроз информационной безопасности?

6. Назовите способы воздействия угроз на объекты информационной безопасности.

7. Объясните понятие «информационная война».

8. Перечислите внешние источники угроз информационной безопасности России.

9. Перечислите внутренние источники угроз информационной безопасности России.

10. Какие нормативные акты обеспечивают информационную безопасность на территории РФ?

11. Какие международные нормативные акты в сфере защиты информации вы знаете?

12. В чем заключается суть государственной политики обеспечения информационной безопасности?

13. Перечислите методы обеспечения информационной безопасности.

14. Охарактеризуйте структуру государственной системы защиты информации

15. Дайте оценку состояния информационной безопасности России.

Информация играет особую роль в процессе развития цивилизации. Владение информационными ресурсами и рациональное их использование создают условия оптимального управления обществом. И напротив, искажение информации, блокирование ее получения, использование недостоверных данных ведут к ошибочным решениям.

Одним из главных факторов, обеспечивающих эффективность в управлении различными сферами общественной жизни, является правильное использование информации различного характера. Темпы прогресса сегодняшнего, а тем более завтрашнего дня в значительной мере зависят от состояния дел в области информационно-вычислительного обслуживания важнейших сфер деятельности – науки, техники, производства и управления.

Особенно актуальна проблема использования экономической информации в сфере управления материальным производством, где рост информационного потока находится в квадратичной зависимости от промышленного потенциала страны. В свою очередь, быстрое развитие процессов автоматизации, использование компьютеров во всех сферах современной жизни, помимо несомненных преимуществ, повлекли появление ряда специфичных проблем. Одна из них – необходимость обеспечения эффективной защиты информации. Исходя из этого создание правовых норм, закрепляющих права и обязанности граждан, коллективов и государства на информацию, а также защита этой информации становятся важнейшим аспектом информационной политики государства. Защита информации, особенно в экономической сфере, – очень специфический и важный вид деятельности. Достаточно сказать, что в мире средняя величина ущерба от одной банковской кражи с применением электронных средств оценивается в 9 тыс. долл. Ежегодные потери от компьютерных преступлений в США и Западной Европе достигают 140 млрд. долл. По мнению американских специалистов, снятие систем защиты информации с компьютерных сетей приведет к разорению 20 % средних компаний в течение нескольких часов, 40 % средних и 16 % крупных компаний потерпят крах через несколько дней, 33 % банков лопнут за 2–5 часов, 50 % банков – через 2–3 дня.

Представляют интерес сведения о проблемах защиты данных, приведших к материальным потерям в компаниях США:

сбои в работе сети (24 %);

ошибки программного обеспечения (14 %);

компьютерные вирусы (12 %);

неисправности в компьютерах (11 %);

хищение данных (7 %);

саботаж (5 %);

несанкционированное внедрение в сеть (4 %);

прочие (23 %).

Бурное развитие и распространение компьютерных систем и информационных сетей, обслуживающих банки и биржи, сопровождается ростом правонарушений, связанных с кражами и неправомочным доступом к данным, хранящимся в памяти компьютеров и передаваемым по линиям связи.

Компьютерные преступления происходят сегодня во всех странах мира и распространены во многих областях человеческой деятельности. Они характеризуются высокой скрытностью, сложностью сбора улик по установленным фактам их совершения и сложностью доказательства в суде подобных дел. Правонарушения в сфере компьютерной информации могут совершаться в форме:

махинаций путем компьютерного манипулирования системой обработки данных в целях получения финансовой выгоды;

компьютерного шпионажа и кражи программного обеспечения;

компьютерных диверсий;

кражи услуг (времени), неправомерного использования систем обработки данных;

неправомерного доступа к системам обработки данных и «взламывания» их;

традиционных преступлений в сфере бизнеса (экономики), совершаемых с помощью систем обработки данных.

Совершают компьютерные преступления, как правило, высококвалифицированные системные и банковские программисты, специалисты в области телекоммуникационных систем. Нешуточную угрозу информационным ресурсам представляют хакеры и крэкеры, проникающие в компьютерные системы и сети путем взлома программного обеспечения защиты. Крэкеры, кроме того, могут стереть или изменить данные в информационном банке в соответствии со своими интересами. За последние десятилетия в странах бывшего СССР появилась мощная генерация высокоподготовленных потенциальных хакеров, работавших в организациях и ведомствах, занимавшихся информационным пиратством на государственном уровне для использования полученной с Запада информации в военных и экономических интересах.

Что же крадут хакеры? Потенциальным объектом может служить любая информация, заложенная в ЭВМ, проходящая по вычислительным сетям или находящаяся на носителях ЭВМ и способная принести прибыль хакеру или его работодателю. К данной информации относятся практически все сведения, составляющие коммерческую тайну фирм, начиная от разработок и ноу-хау и заканчивая платежными ведомостями, по которым легко «вычислить» оборот фирмы, количество сотрудников и т. д.

Особо ценной является информация по банковским сделкам и кредитам, проводимая по электронной почте, а также сделки на бирже. Большой интерес представляют для хакеров программные продукты, оценивающиеся на современном рынке в тысячи, а то и в миллионы долларов.

Крэкеры – «компьютерные террористы» – занимаются порчей программ или информации с помощью вирусов – специальных программ, обеспечивающих уничтожение информации или сбои в работе системы. Создание «вирусных» программ – дело весьма прибыльное, так как некоторые фирмы-производители используют вирусы для защиты своих программных продуктов от несанкционированного копирования.

Для многих фирм получение информации с помощью внедрения к конкурентам хакера-программиста – дело наиболее простое и прибыльное. Внедрять соперникам спецтехнику, постоянно контролировать их офис на излучение с помощью специальной аппаратуры – дело дорогостоящее и опасное. К тому же фирма-конкурент при обнаружении технических средств может в ответ затеять игру, давая ложную информацию. Поэтому свой хакер-программист в «стане врага» – наиболее надежный способ борьбы с конкурентами.

Таким образом, всевозрастающая опасность компьютерной преступности, прежде всего в финансово-кредитной сфере, определяет важность обеспечения безопасности автоматизированных информационных систем.

Информационная безопасность организации (учреждения)

Под безопасностью автоматизированной информационной системы организации (учреждения) понимается ее защищенность от случайного или преднамеренного вмешательства в нормальный процесс функционирования, а также от попыток хищения, модификации или разрушения ее компонентов. Безопасность системы достигается обеспечением конфиденциальности обрабатываемой ею информации, а также целостности и доступности компонентов и ресурсов системы.

Конфиденциальность компьютерной информации – это свойство информации быть известной только допущенным и прошедшим проверку (авторизацию) субъектам системы (пользователям, программам, процессам и т. д.).

Целостность компонента (ресурса) системы – свойство компонента (ресурса) быть неизменным (в семантическом смысле) при функционировании системы.

Доступность компонента (ресурса) системы – свойство компонента (ресурса) быть доступным для использования авторизованными субъектами системы в любое время.

Безопасность системы обеспечивается комплексом технологических и административных мер, применяемых в отношении аппаратных средств, программ, данных и служб с целью обеспечения доступности, целостности и конфиденциальности связанных с компьютерами ресурсов; сюда же относятся и процедуры проверки выполнения системой определенных функций в строгом соответствии с их запланированным порядком работы.

Систему обеспечения безопасности системы можно разбить на следующие подсистемы:

компьютерную безопасность;

безопасность данных;

безопасное программное обеспечение;

безопасность коммуникаций.

Компьютерная безопасность обеспечивается комплексом технологических и административных мер, применяемых в отношении аппаратных средств компьютера с целью обеспечения доступности, целостности и конфиденциальности связанных с ним ресурсов.

Безопасность данных достигается защитой данных от неавторизованных, случайных, умышленных или возникших по халатности модификаций, разрушений или разглашения.

Безопасное программное обеспечение представляет собой общецелевые и прикладные программы и средства, осуществляющие безопасную обработку данных в системе и безопасно использующие ресурсы системы.

Безопасность коммуникаций обеспечивается посредством аутентификации телекоммуникаций за счет принятия мер по предотвращению предоставления неавторизованным лицам критичной информации, которая может быть выдана системой в ответ на телекоммуникационный запрос.

К объектам информационной безопасности на предприятии (фирме) относят:

информационные ресурсы, содержащие сведения, отнесенные к коммерческой тайне, и конфиденциальную информацию, представленную в виде документированных информационных массивов и баз данных;

средства и системы информатизации – средства вычислительной и организационной техники, сети и системы, общесистемное и прикладное программное обеспечение, автоматизированные системы управления предприятиями (офисами), системы связи и передачи данных, технические средства сбора, регистрации, передачи, обработки и отображения информации, а также их информативные физические поля.

В современном мире информационные ресурсы стали одним из мощных рычагов экономического развития предприятий (фирм), играющих важную роль в предпринимательской деятельности. Более того, отсутствие в сфере отечественного бизнеса эффективных компьютерных и современных информационных технологий, являющихся основой функционирования «быстрых» экономик, существенно тормозит переход на новые формы хозяйствования.

В информационных и автоматизированных системах управления предприятием (фирмой) на первый план выступает обеспечение эффективного решения задач маркетингового управления, т. е. задач учета и анализа контрактов и контактов предприятия (фирмы), поиска бизнес-партнеров, организации рекламных кампаний продвижения товаров, оказания посреднических услуг, разработки стратегии проникновения на рынки и т. п.

Не обладая поддержкой различных политических, коммерческих и официальных силовых структур, качественно провести какую-либо серьезную операцию обычно удается, только скрыв свою истинную деятельность («нелегалы дела») и свое истинное лицо («нелегалы личности»).

Это относится как к самодеятельному индивиду, так и к неофициальной группировке, специально созданной для решения каких-то щекотливых, не пользующихся всеобщим одобрением задач.

Такая же проблема возникает и тогда, когда по какой-либо причине персоне надо скрываться от различных служб коммерческого, государственного, криминального, политического рода.

Типичным нелегалом можно стать и намеренно, и вынужденно. В любом, однако, случае необходимо знать хотя бы минимум стандартных тактик безопасности, чтобы удачно проскочить этот период, не потеряв по явной глупости физической или психической свободы, а порой самой жизни.

Элементы системы безопасности

Уровень используемых мер страховки сильно зависит как от степени желаемой конспирации человека (или группы), так и от ситуации, среды и, разумеется, от возможностей самих страхующихся.

Отдельные приемы личной безопасности должны стать естественной привычкой и выполняться вне зависимости от потребностей сиюминутной ситуации.

Представленное здесь не исчерпывает возможных средств обыденной страховки, критерием для применения которых всегда являются высокое мнение о противнике и, конечно, здравый смысл самих страхующихся.

Типичны следующие виды безопасности:

Внешняя (в ходе общения с посторонними);

Внутренняя (при контактировании в своей среде и группе);

Локальная (в различных ситуациях и действиях).

Рассмотрим все это немного подробнее.

Внешняя безопасность

Различные неприятности могут возникнуть при общении с обычными людьми и госструктурами, но многое здесь можно предвидеть и избежать, используя банальный принцип трех «не»: не раздражать, не связываться, не выделяться.

Необходимо:

Не привлекать к себе излишнего внимания (тактика «растворения в среде»):

– не выделяться внешним видом (обыденная стрижка, приличная одежда, отсутствие чего-либо «крикливого»; если, однако, ваше окружение экстравагантно, то – будьте как они…);

– не ввязываться в ссоры и скандалы (это, во-первых, привлекает к вам ненужное внимание, а во-вторых, может быть просто провокацией, нацеленной на задержание или «наказание»);

– аккуратно вносить все коммунальные платежи и прочие госпошлины; всегда оплачивать проезд в транспорте;

– стараться точно следовать рисунку избранной социальной роли и не иметь претензий по работе (и не выделяться там на общем коллективном фоне…);

– не распалять навязчивого любопытства соседей необычностью образа жизни или визитами разных людей;

– не проявлять избыточной осведомленности в чем-либо, если, конечно, этого не требует ваша роль (не забывайте древних: «У бдительного должен быть закон о трех нет: „не знаю“, „не слыхал“, „не понимаю“»).

Не порождать какой-либо неприязни в соседях, сослуживцах и знакомых, а вызывать у них симпатию:

– не быть «белой вороной» (людей всегда располагает к себе тот, кто раскрывается с понятной им стороны…);

– выработать манеру поведения, не вызывающую у окружающих возможной настороженности (излишним любопытством, «умом» или навязчивостью…) либо неприязни (бестактностью, занудством, гордыней, грубостью…);

– быть ровным и любезным со всеми окружающими и, по возможности, оказывать им мелкие (но не лакейские!) услуги;

– не делать ничего, что может вызвать недовольство и любопытство соседей (хлопанье дверью ночью, избыток посетителей, возвращение домой на такси, визиты женщин, поздние вызовы по телефону в общей квартире…).

Тщательно контролировать все свои связи и контакты (помнить, что «опаснее всего тот враг, о коем не подозреваешь»):

– хранить тайны от своих ближних (жены, друзей, родственников, любовницы…);

– с привычной настороженностью («зачем и почему?») всегда воспринимать попытки сблизиться с вами (случайное знакомство, чьи-то рекомендации…);

– внимательно относиться ко всем работникам ремонтных служб, рекламы и сервиса, просматривать их документы и вежливо, но обоснованно сверять идентичность по телефону, а затем – у «сослуживцев»;

– быть осторожным со всеми, кто предлагает как бы «бескорыстные» услуги (дает деньги взаймы, активно в чем-то помогает, предоставляет по дешевке что-либо нужное…).

Выяснить собственные уязвимости и знать, как можно здесь подстраховаться:

– проанализировать всю свою жизнь и выделить те сомнительные моменты, которые могут использоваться для шантажа или дискредитации;

– реально оценить возможные последствия от оглашения таких фактов всем тем, кому они могут быть сообщены;

– прикинуть, кто и по какой причине способен знать компромат и как возможно нейтрализовать подобную осведомленность;

– определить объекты своей уязвимости (женщина, дети, моральные устои…), поскольку через них на вас могут осуществлять давление;

– выявить свои слабости (хобби, вино, секс, деньги, черты характера…) и помнить, что их всегда могут использовать против вас.

– Не ввязываться в сомнительные аферы, не связанные с общим делом. В рискованные авантюры, имеющие отношение к делу, встревать только при разрешении свыше.

Внутренняя безопасность

Контакты в собственной среде нельзя рассматривать как гарантированно безопасные. Помните, что «наибольший вред обычно получается от двух условий: от разглашения тайны и доверия вероломным».

Сохранение тайны личности:

– взамен подлинных имен всегда используются псевдонимы (обычно именные, но также цифровые, буквенные или «прозвищные»); на каждом направлении «игроки» проходят под отдельным псевдонимом, хотя возможна работа и под несколькими вариантами, а также действие под общим псевдонимом нескольких разных лиц;

– члены команды, по возможности, знают друг друга только под псевдонимами; о подлинных фамилиях, домашних адресах и телефонах должны быть осведомлены лишь доверенные лица;

– при нависающей возможности провала и расшифровки все применявшиеся псевдонимы, как правило, меняются;

– не следует давать кому бы то ни было каких-либо интимных и прочих сведений о собственной персоне;

– пытаться создавать (используя намеки или слухи) вымышленную, но внешне правдоподобную «легенду» о себе;

– никто в группе не должен проявлять избыточного интереса к занятиям, привычкам и интимной жизни своих товарищей;

– никто не должен сообщать другим никаких данных о партнерах, если того не требует насущная необходимость;

– в отдельных случаях имеет смысл визуально изменять облик (прическа, борода, грим, парики, татуировки, цвет кожи, очки с простыми или дымчатыми стеклами и разными оправами, вставки, меняющие голос и походку…);

– необходимо обрести привычку не оставлять после себя каких-либо материальных следов, свидетельствующих о том, что вы здесь были (окурков, брошенных бумажек, следов от обуви, контрастных запахов, заметных изменений в обстановке…).

Сохранение тайны дела:

– активные рабочие контакты поддерживаются со строго ограниченным набором лиц (система троек или пятерок в зависимости от решаемых задач…), при этом сотоварищи не должны знать, чем конкретно занимаются партнеры;

– каждый специализируется лишь в двух-трех областях, после того как деятельностью в одной из них ему стало слишком опасно заниматься – возможна передышка, а также переход на другое направление;

– необходимо строго различать оперативную и информационную работы: пусть каждый занимается лишь своим делом;

– лучше всего маскируют подготовку к конкретной акции мероприятия по воплощению другой;

– рассказывать о своей деятельности другим можно только в том случае, если это необходимо им для дела; помнить, что тайна хранится максимум пятью людьми;

– передавать полученную информацию надо лишь тем, кому она заведомо необходима (выказывание избыточной осведомленности в чем-либо способно выявить источник информации, а это может привести к его нейтрализации);

– быть осмотрительным при задействовании средств связи, дающих явные возможности для перехвата информации (почтовые послания, радио – и телефонные переговоры…);

– ни в коем разе не писать открытым текстом в письмах реальных адресов, имен и установок, не упоминать их в разговорах, ведущихся на улице или по телефону;

– использовать коды и псевдонимы даже при внутригрупповом общении, время от времени меняя их;

– группа должна иметь 2–3 отдельных шифра, известных разным людям;

– больше рассчитывать на память, чем на запись; в последнем случае надо употреблять свой личный код и шифр;

– стараться не иметь компрометирующих бумаг, написанных собственным почерком или же отпечатанных на собственной оргтехнике;

– в общении с «засвеченными» персонами воздерживаться от прямых контактов, используя, если понадобится, побочных лиц или другие средства связи;

– всегда учитывать и помнить, что есть возможность утечки информации или предательства, и быть готовым к соответствующим контрдействиям.

Локальная безопасность

Лучшей гарантией успеха является обычно подстраховка, и потому любые действия желательно осуществлять с учетом всех возможных неприятностей со стороны противника или случайно подвернувшихся свидетелей.

Общие правила прямого общения.

стараться не вести информативные беседы открытым текстом на людной улице или в общественном транспорте;

не следует упоминать в открытом разговоре подлинных фамилий, имен, общеизвестных прозвищ и адресов, а также не употреблять «встрево-живающую» терминологию;

использовать для обозначения отдельных действий кодовые наименования;

самые тайные аспекты разговора (подлинные адреса, пароли, даты) пишутся на бумаге, которая затем уничтожается;

необходимо ориентироваться в технических возможностях систем подслушивания и знать элементарные меры противодействия им (см. раздел о получении информации…);

если один из собеседников во время разговора замечает что-то настораживающее, партнер предупреждается особым словом («атас»…) или же жестом (палец к губам…), и вся беседа переводится в нейтральное русло;

если вы знаете, что вас подслушивают, информативные переговоры лучше не вести или использовать их для дезинформации;

когда вас предположительно «слушают», а пообщаться все же надо, то пользуются условным языком, где безобидные предложения имеют совершенно другой смысл; используются также фразы, которые не следует учитывать (о них обычно сообщается каким-либо обговоренным жестом, к примеру, скрещиванием пальцев…), а зачастую и стандартные приемы (покашливание, вкладыши во рту…), затрудняющие опознание говорящего;

когда необходимо обеспечить полную тайну общения в людном месте, используют методы условной (невербальной) связи, такие, как язык жестикуляции, телодвижений и жестов пальцами, а также коды, опирающиеся на атрибутику одежды (разные положения головного убора, галстучного зажима, носового платка…) или на манипулирование подручными предметами (часами, сигаретами, ключами…).

Использование телефона

А. ОБЕСПЕЧЕНИЕ ЛИЧНОЙ БЕЗОПАСНОСТИ:

– стараться обговаривать время чужих и собственных звонков и ограничивать частоту контактов;

– не злоупотреблять беседами по собственному телефону (учитывая, что его могут прослушивать) и не давать другим без явной необходимости свой номер (зная, что по нему несложно выйти на ваш адрес);

– учитывать, что слушать могут как весь телефонный разговор (при подключении на линии…), так и лишь то, о чем говорите вы (заложенный «жучок» или сосед за дверью…);

– полезно встроить в аппарат простейшую «контрольку» (фиксирующую падение напряжения…) на подключение к линии чужой аппаратуры;

– использовать АОН (автоматический определитель номера), а лучше бы «анти-анти-АОН», чтобы не афишировать свой номер при вызовах других;

– не полагаться на надежность любых радиотелефонов;

– междугородние и прочие фиксируемые контакты лучше осуществлять с чужого «номера» по сотовому «двойнику» или радиоудлинителю (см. раздел о шантаже…), а также через непосредственное подключение к любой паре контактов в распределительном щите;

– для большей тайны переговоров можно задействовать шифраторы (хотя бы простенькие импровизированные инверсоры и скремблеры), хотя применение их способно резко стимулировать внимание других;

– не следует особо доверять защите посредством «зашумления» или «подъема напряжения в линии»;

– если вы не хотите «расшифровываться» собеседнику, то можно попытаться изменить свой голос (посредством механических и электронных штучек, либо простым покашливанием, вытягиванием и разведением губ, пережиманием носа…) и стилистический рисунок разговора (использованием жаргона…);

– не забывать, что иной раз прослушиваются и телефоны-автоматы, расположение которых легко вычисляется, как и всех прочих телефонов;

– если чужой звонок вам нужен, но нет желания давать свои координаты, используется промежуточный – с автоответчиком или живым «диспетчером», который может либо знать, либо не знать (односторонний вариант…) ваш частный номер – телефон;

– в отдельных случаях возможно бессловесное использование телефона, когда один, а чаще несколько «пустых» звонков в некоем ритме являют некоторый код;

– конкретным сигналом иной раз может служить просто факт звонка определенного лица при самом пустяковом разговоре, а также кодовое упоминание условных имен при «ошибке номером».

Б. ОБЕСПЕЧЕНИЕ СЛОВЕСНОЙ БЕЗОПАСНОСТИ:

– не проводить деловые разговоры открытым текстом;

– не называть подлинных дат, фамилий, адресов;

– использовать кодовые наименования отдельных действий;

– пользоваться условным языком, в котором безобидные фразы имеют совершенно другой смысл;

– звонить только по необходимости, хотя возможен также вариант частых разговоров «не по делу» с одним и тем же человеком (тактика «растворения информации»).

В. БЕСЕДА ПРИ ПОСТОРОННИХ:

– весь диалог ведет партнер, а вы лишь говорите «да» или «нет», чтобы рядом стоящие ничего не поняли и не узнали;

– о том, что рядом посторонние, сообщается открытым текстом или словесным кодом; беседу после этого должен вести партнер, которому не подобает задавать каких-либо вопросов, требующих развернутых ответов;

– когда имеется прямой контроль не очень дружественного лица, партнер предупреждается об этом обговоренной фразой-кодом (лучше в приветствии…), после чего весь разговор ведется в пустопорожнем либо в дезинформационном стиле;

– если один из собеседников считает, что телефон его прослушивают, он сразу же старается предупредить об этом звонящих ему посредством хорошо известной всем им фразы («зубы болят»…), и разговор затем сворачивается в нейтральное русло.

Г. ПОЛЬЗОВАНИЕ ОБЩИМ ТЕЛЕФОНОМ (В КВАРТИРЕ, НА РАБОТЕ…):

– как можно меньше использовать подобный телефон (в особенности – «на прием»), если это не связано с разыгрываемой ролью (диспетчер, агент по рекламе…);

– звонить на данный телефон должен один и тот же человек;

– стараться не звонить излишне поздно и слишком рано;

– при попытке посторонних идентифицировать голос звонящего («Кто спрашивает?»…), ответить вежливо-нейтрально («сослуживец»…) и, если вызываемого нет, тотчас прекратить дальнейшую беседу;

– в сущности, несложно сделать и отдельный телефон, используя, к примеру, кодовый разветвитель, так что при этом специфический набор общего номера надежно обеспечит вызов только лишь вашего аппарата, нисколько не затрагивая соседний.

Организация встреч

Уровень требуемых в конкретных случаях мер безопасности зависит от желаемой степени конспиративности контакта, от степени легальности его участников и возможного контроля его чужаками.

А. ВЫБОР МЕСТА ВСТРЕЧИ:

– присматривая подходящие места для контактирования, обычно опираются на принципы естественности, обоснованности и случайности;

– частые встречи проще всего осуществлять на месте фановой тусовки (вписываясь в ее рисунок…), в зале спортивной секции, в рабочем помещении…;

– особенно серьезные собрания можно реализовать в охотничьих угодьях, специально снятых дачах, в банях, курортных санаториях, на всяческих спортивных базах, на пляжах заграницы;

– парные встречи назначаются в метро и скверах, в туалетах и в автомобилях, на малооживленных улицах, в зоопарках, музеях и на выставках; пересечения в подобных местах маловероятны, а потому они менее опасны;

– следует воздерживаться от конспиративных встреч в известном ресторане, модном кафе и на вокзале, учитывая, что такие точки обычно контролируются;

– возможно проведение «случайных» встреч в частных квартирах третьих лиц по обоснованному поводу (похороны, юбилей, «обмывка» некоего события…);

– не следует осуществлять каких-то встреч (кроме обыденно привычных) в стереотипных коммунальных квартирах;

– предельно ограниченно использовать для контактирования собственные квартиры;

– в некоторых случаях имеет смысл снять специальную конспиративную квартиру, по возможности в том доме, где есть дублирующий выход;

– осматривая место встречи, убедитесь, можно ли туда незаметно проникнуть и каким образом оттуда можно безопасно ускользнуть; помните старую истину: «Не зная, как уйти, – не пробуй входить!»

Б. ИНФОРМИРОВАНИЕ О ВСТРЕЧЕ:

– места возможной встречи обычно обговаривают заранее, и всем им придается кодовое – буквенное, цифровое или же «ложное» – наименование, причем несколько вариантов каждому;

– о намечаемом контакте другим сообщается по телефону, пейджеру, письмом, а также через связника;

– сговариваясь о встрече по линиям «открытой» связи, используют кодовое наименование места, шифрованную дату (к примеру, день перед указанным) и сдвинутое время (на постоянное либо скользящее число);

– до наступления намеченного срока необходимо выдать подтверждение контакта либо открытым текстом, либо сигнальной связью;

– в случае, если при встрече допустимо ожидание (на остановке городского транспорта, в очереди на автозаправке…), желательно указать конкретный промежуток времени, после которого ждать уже не надо.

В. ПРОВЕДЕНИЕ ВСТРЕЧИ:

– на многолюдные собрания следует прибывать не скопом, а рассредоточившись и не оставляя в одном месте все личные автомобили;

– стараться избегать присутствия на сборах каких-либо посторонних и лишних лиц;

– понимая, что о многолюдных тайных встречах, скорее всего, будут знать и те, кому не надо, не следует брать с собой явно компрометирующих вещей (оружия, поддельных документов…) и помнить, что их могут иной раз подсунуть;

– очень желателен контроль места общения специальными людьми до, во время и после встречи, с тем, чтобы при необходимости они могли предупредить о возникающей опасности, используя какие-либо обговоренные (учитывая свой захват) сигналы;

– при всяческом контакте надо прикидывать, каким же образом вас могут подглядеть или подслушать, упрямо задавая себе краткие вопросы: «Где? Как? Кто?»;

– особо тайные беседы надо осуществлять в локальных изолированных точках, проверенных и подстрахованных на все возможности подслушивания, подглядывания и подрыва;

– желательно иметь хотя бы простенькие индикаторы, сообщающие об излучении радиомикрофонов или же о наличии у собеседника записывающего диктофона;

– полезно применение даже «топорных» искровых глушителей, а также генераторов стирания магнитной записи;

– классические нелегальные парные встречи всегда рассчитываются до минуты и проводятся как «случайные»;

– чтобы в точно назначенное время прийти на точку встречи, необходимо заранее провести хронометраж движения и дать некоторый запас времени на всяческие неожиданности (перекрытие маршрутной трассы, привязывание постороннего, транспортная авария…);

– если встреча запланирована на улице, то не мешает прогуляться там за час до встречи, внимательно приглядываясь к каждому прохожему и всем паркующимся автомобилям; если вас что-то настораживает, то контакт необходимо отложить, сообщив об этом своему партнеру приемами закамуфлированной сигнальной связи;

– при встречах с незнакомыми персонами последних узнают по описанию их внешнего вида, конкретной позе или жесту, упоминанию о вещах, удерживаемых в руках, а лучше всего – по фотографии, с дальнейшим подтверждением идентичности словесным (и другим) паролем;

– располагаться в стационаре необходимо так, чтобы все время контролировать явные места возникновения угрозы (скажем, в кафе – лицом ко входу, следя при этом, что происходит за окном и размещаясь недалеко от открытого служебного хода…);

– помнить и выполнять все ранее указанные правила словесного общения.

Г. ОРГАНИЗАЦИЯ ПРОВЕДЕНИЯ ЗАКРЫТЫХ СОВЕЩАНИЙ (ПЕРЕГОВОРОВ).

Организация проведения любого мероприятия, в том числе совещаний и переговоров, связана с его подготовкой. Не существует единых безошибочных правил в этом направлении. Однако рекомендуется следующий вариант схемы такой подготовки: планирование, сбор материала и его обработка, анализ собранного материала и его редактирование.

На начальном этапе планирования определяется тема или вопросы, которые желательно обсудить, и возможные участники делового разговора. Кроме того, выбирается наиболее удачный момент, и только потом договариваются о месте, времени встречи и организации охраны предприятия (как правило, такие разговоры ведутся тет-а-тет, конфиденциально, без участия посторонних лиц).

Когда совещание уже назначено, составляется план его проведения. Сначала следует определить стоящие перед предпринимателем цели, а затем разрабатывать стратегию их достижения и тактику ведения беседы.

Такой план – это четкая программа действий по подготовке и проведению конкретной беседы. Планирование позволяет смягчить, нейтрализовать влияние неожиданно появившихся новых фактов или непредвиденных обстоятельств на ход беседы.

В план включаются ответственные за выполнение каждого пункта плана и следующие мероприятия по организации безопасности совещания (переговоров):

1. Встреча вместе с клиентом гостей, прибывающих на встречу.

2. Согласование действий основной охраны и телохранителей приглашенных лиц.

3. Охрана одежды, вещей гостей и их машин на прилегающей территории.

4. Предупреждение инцидентов между гостями на встрече.

5. Контроль состояния напитков, закусок и других угощений (для этих целей используют тренированных собак).

6. Выявление подозрительных лиц, находящихся на мероприятии или в смежных помещениях.

7. Зачистка помещений (зала переговоров и смежных комнат) перед проведением переговоров на предмет извлечения подслушивающих и взрывных устройств.

8. Установление постов по фиксации и наблюдению за лицами:

а) приходящими на деловой прием или встречу со свертками, с портфелями и т. д.;

б) приносящими на мероприятие аудио – или видеоаппаратуру;

в) которые приходят на деловой прием или на встречу на непродолжительное время или неожиданно уходят с мероприятия.

9. Недопущение прослушивания разговоров организаторов мероприятия и гостей в помещениях и по телефону.

10. Разработка запасных вариантов проведения переговоров (на частной квартире, в гостинице, в автомобиле, на катере, в бане (сауне) и т. п.

Данный перечень мероприятий не является исчерпывающим. Он может быть существенно расширен и конкретизирован в зависимости от условий объекта охраны, характера мероприятия и других условий, оговоренных с клиентом.

К числу общих задач, которые решаются при проведении совещания (переговоров) или других массовых мероприятий, относятся:

1) помещения для переговоров выбираются таким образом, чтобы они находились на первом или последнем этажах и размещались между теми помещениями, которые контролируются службой охраны;

2) ознакомление с объектом охраны, установление состояния криминогенной обстановки вокруг него;

3) установление взаимодействия с милицией в период проведения мероприятий;

4) установление пропускного режима с целью предупреждения проноса на охраняемый объект оружия, взрывчатых, горючих и ядовитых веществ, наркотиков, тяжелых предметов и камней;

5) предупреждение прохода на охраняемую территорию или в охраняемое помещение лиц с собаками;

6) контроль и поддержание порядка на прилегающей территории и в смежных помещениях;

7) распределение ролей среди охранников группы усиления (поддержки);

8) определение экипировки охранников, в т. ч. их вооружения и связи;

9) установление открытых и «зашифрованных» постов контроля и наблюдения;

10) подготовка транспорта на случай экстремальных обстоятельств и эвакуации участников мероприятия;

11) проверка устойчивости связи на территории объекта с целью выявления так называемых «мертвых зон»;

12) проверка возможности применения газового оружия и баллончиков со слезоточивым газом с целью выявления направления движения воздуха, сквозняков и завихрений, чтобы сами охранники не пострадали в результате использования специальных средств;

13) проверка слаженности охранников путем отработки различных вводных задач.

В ходе рабочего этапа охраны сотрудники службы безопасности (охранного предприятия) должны точно выполнять свои обязанности, оговоренные на стадии подготовки.

При этом особое внимание обращается на следующие вопросы:

1) прибытие опоздавших участников мероприятия, которые рассчитывают на слабый пропускной режим после начала совещания (переговоров);

2) обязательный осмотр содержимого портфелей и объемных сумок или использование ручных металлодетекторов, детекторов паров взрывчатых веществ, применяемых для обнаружения мин, гранат, толовых шашек и других взрывчатых веществ;

3) особому досмотру, хотя бы визуальному, должны подвергаться автомашины, въезжающие и выезжающие с охраняемой территории. Это особо важно в целях предупреждения проникновения посторонних на охраняемый объект и исключения минирования автотранспорта участников совещания (переговоров);

4) контроль салонов и багажников выезжающих автомашин может предупредить похищение лиц, прибывших на мероприятие, с целью вымогательства у организаторов совещания (переговоров);

5) охрана верхней одежды и личных вещей участников мероприятия с целью исключения ее хищения и установления радиозакладок;

6) несмотря на желание руководителей мероприятия иметь красивый вид из окна, необходимо учитывать, что местность должна быть удобной для контроля службой безопасности (охранного предприятия);

7) под окнами помещений переговоров не должны парковаться автомобили, в которых может находиться аппаратура съема информации с радиозакладок;

8) создание зон безопасности помещения, предназначенного для переговоров, и оборудование его специальной техникой, экранами, генераторами шумов и т. д.;

9) при ведении переговоров с целью сохранения коммерческой тайны вся «секретная» информация представляется в письменном виде, и ее обсуждение идет на эзоповом языке.

На заключительном этапе проведения мероприятия требуется сохранение бдительности сотрудниками службы безопасности (охранного предприятия), несмотря на внешне кажущуюся незначительность происходящих событий на объекте, которые могут быть весьма обманчивы.

Проверка объекта после завершения мероприятия может быть связана с не меньшим риском для жизни, чем работа на предыдущих этапах. В этот период проводится окончательная зачистка объекта по той же методике, что и в ходе подготовительных мероприятий. При этом обязательно производится поиск лиц, которые могут спрятаться на объекте, или пострадавших от преступников, которым требуется медицинская помощь. Пристальное внимание обращается на забытые предметы и вещи.

Подвергаются контрольному досмотру сувениры и подарки, врученные руководителю организации (фирмы), другим участникам мероприятия.

Все, обнаруженное охраной на объекте, не принадлежащее сотрудникам организации (фирмы), подлежит передаче клиенту или администрации охраняемого помещения вместе с одним экземпляром описи. Второй экземпляр описи с подписью лица, принявшего вещи на хранение, находится в службе безопасности (охранном предприятии).

Квартира, машина, улица, ресторан не могут быть надежными «защитниками» коммерческих тайн. Поэтому стоит прислушаться к советам профессионалов.

При проведении деловых встреч необходимо обязательно закрывать окна и двери. Желательно, чтобы комнатой для переговоров служило изолированное помещение, например холл.

Конкуренты, если захотят, могут без труда прослушать разговоры, расположившись в соседних помещениях, например в квартире этажом выше или ниже. Времена, когда разведчики всех стран, и народов сверлили дырки в потолках и стенах, давно прошли – особо чувствительные микрофоны позволяют получать необходимую информацию почти беспрепятственно.

Для переговоров необходимо выбирать помещения с изолированными стенами, познакомиться с соседями, проживающими этажом выше и ниже; выяснить, не сдают ли они свою квартиру (комнату) посторонним людям. Стоит превратить соседей в союзников, но при этом учесть, что они могут вести двойную игру или незаметно превратиться из доброжелателей в шантажистов.

Активность конкурентов зависит, прежде всего, от серьезности их намерений. При необходимости подслушивающие устройства («жучки») могут быть установлены непосредственно в квартире предпринимателя – и тут уж не помогут ни железные двери, ни импортные замки, ни вышколенная охрана.

Деловой человек должен попросить своих родственников приглашать домой только хорошо знакомых людей, по возможности контролировать их поведение. Во время приема гостей должны быть закрыты двери домашнего офиса на ключ, а чтобы не соблазнять детей, видеомагнитофон и компьютер должны быть в доступном для них месте. Компьютер, естественно, должен быть без рабочих программ и конфиденциальной информации.

В случае подозрения, что ваш автомобиль «оборудован», перед переговорами в нем необходимо провести операцию «чистый автомобиль».

Накануне деловой встречи один из сотрудников фирмы или друг предпринимателя, которому он полностью доверяет, должен оставить автомобиль в условленном месте. Через несколько минут после этого деловой человек пересаживается из своей машины в оставленную и, нигде не останавливаясь, едет на переговоры. При этом следует не забыть взять доверенность на право управления чужим автомобилем!

Во время переговоров автомобиль обязательно должен быть в движении, а его окна плотно закрыты. На остановках (например, у светофора) конфиденциальные вопросы лучше не обсуждать.

Проанализируем, где еще деловой человек может провести важную деловую встречу?

На улице. Для прослушивания бесед могут быть использованы два типа микрофонов – остронаправленные и встроенные. Первые позволяют снимать информацию на расстоянии до километра в пределах прямой видимости. Встроенные микрофоны действуют так же, как и радиозакладки.

Для эффективной борьбы с остронаправленными микрофонами все время необходимо перемещаться, резко меняя направление движения, используя при этом общественный транспорт, организуя контрнаблюдение – с помощью службы безопасности или нанятых агентов частных детективных фирм.

В ресторане. Статичное положение позволяет контролировать разговоры в общих ресторанных залах. Поэтому для проведения подобных деловых встреч необходим надежный метрдотель. В удобное для предпринимателя время и неожиданно для конкурентов резервируется столик или отдельный кабинет, который, в свою очередь, должен находиться под надежным контролем службы безопасности фирмы. Попытки заглушить разговор звуками ресторанного оркестра, как, кстати, и шумом воды, малоэффективны.

В гостиничном номере. Бронирование гостиничного номера для переговоров необходимо проводить скрытно. После начала деловой встречи сотрудники службы безопасности должны держать под контролем не только соседей, но и всех людей, проживающих этажом выше и ниже.

Все вышеизложенные методы и контрмеры эффективны при условии хорошей организации дезинформации окружающих о времени и характере планируемых совещаний (переговоров). Когда круг сотрудников, посвященных в полный перечень запланированных мероприятий максимально узок и каждый из участвующих в них знает ровно столько, сколько это необходимо по кругу его обязанностей, тогда можно рассчитывать на успех в любом деле.

Защита информационных объектов

Виды угроз информационным объектам

Общая классификация угроз автоматизированной информационной системе объекта выглядит следующим образом:

Угрозы конфиденциальности данных и программ. Реализуются при несанкционированном доступе к данным (например, к сведениям о состоянии счетов клиентов банка), программам или каналам связи.

Информация, обрабатываемая на компьютерах или передаваемая по локальным сетям передачи данных, может быть снята через технические каналы утечки. При этом используется аппаратура, осуществляющая анализ электромагнитных излучений, возникающих при работе компьютера.

Такой съем информации представляет собой сложную техническую задачу и требует привлечения квалифицированных специалистов. С помощью приемного устройства, выполненного на базе стандартного телевизора, можно перехватывать информацию, выводимую на экраны дисплеев компьютеров с расстояния в тысячу и более метров. Определенные сведения о работе компьютерной системы извлекаются даже в том случае, когда ведется наблюдение за процессом обмена сообщениями без доступа к их содержанию.

Угрозы целостности данных, программ, аппаратуры. Целостность данных и программ нарушается при несанкционированном уничтожении, добавлении лишних элементов и модификации записей о состоянии счетов, изменении порядка расположения данных, формировании фальсифицированных платежных документов в ответ на законные запросы, при активной ретрансляции сообщений с их задержкой.

Несанкционированная модификация информации о безопасности системы может привести к несанкционированным действиям (неверной маршрутизации или утрате передаваемых данных) или искажению смысла передаваемых сообщений. Целостность аппаратуры нарушается при ее повреждении, похищении или незаконном изменении алгоритмов работы.

Угрозы доступности данных. Возникают в том случае, когда объект (пользователь или процесс) не получает доступа к законно выделенным ему службам или ресурсам. Эта угроза реализуется захватом всех ресурсов, блокированием линий связи несанкционированным объектом в результате передачи по ним своей информации или исключением необходимой системной информации.

Эта угроза может привести к ненадежности или плохому качеству обслуживания в системе и, следовательно, потенциально будет влиять на достоверность и своевременность доставки платежных документов.

– Угрозы отказа от выполнения трансакций. Возникают в том случае, когда легальный пользователь передает или принимает платежные документы, а потом отрицает это, чтобы снять с себя ответственность.

Оценка уязвимости автоматизированной информационной системы и построение модели воздействий предполагают изучение всех вариантов реализации перечисленных выше угроз и выявление последствий, к которым они приводят.

Угрозы могут быть обусловлены:

– естественными факторами (стихийные бедствия – пожар, наводнение, ураган, молния и другие причины);

– человеческими факторами, которые в свою очередь подразделяются на:

пассивные угрозы (угрозы, вызванные деятельностью, носящей случайный, неумышленный характер). Это угрозы, связанные с ошибками процесса подготовки, обработки и передачи информации (научно-техническая, коммерческая, валютно-финансовая документация); с нецеленаправленной «утечкой умов», знаний, информации (например, в связи с миграцией населения, выездом в другие страны для воссоединения с семьей и т. п.);

активные угрозы (угрозы, обусловленные умышленными, преднамеренными действиями людей). Это угрозы, связанные с передачей, искажением и уничтожением научных открытий, изобретений, секретов производства, новых технологий по корыстным и другим антиобщественным мотивам (документация, чертежи, описания открытий и изобретений и другие материалы); просмотром и передачей различной документации, просмотром «мусора»; подслушиванием и передачей служебных и других научно-технических и коммерческих разговоров; с целенаправленной «утечкой умов», знаний, информации (например, в связи с получением другого гражданства по корыстным мотивам);

– человеко-машинными и машинными факторами, подразделяющимися на:

пассивные угрозы. Это угрозы, связанные с ошибками процесса проектирования, разработки и изготовления систем и их компонентов (здания, сооружения, помещения, компьютеры, средства связи, операционные системы, прикладные программы и др.); с ошибками в работе аппаратуры из-за некачественного ее изготовления; с ошибками процесса подготовки и обработки информации (ошибки программистов и пользователей из-за недостаточной квалификации и некачественного обслуживания, ошибки операторов при подготовке, вводе и выводе данных, корректировке и обработке информации);

активные угрозы. Это угрозы, связанные с несанкционированным доступом к ресурсам автоматизированной информационной системы (внесение технических изменений в средства вычислительной техники и средства связи, подключение к средствам вычислительной техники и каналам связи, хищение различных видов носителей информации: дискет, описаний, распечаток и других материалов, просмотр вводимых данных, распечаток, просмотр «мусора»); угрозы, реализуемые бесконтактным способом (сбор электромагнитных излучений, перехват сигналов, наводимых в цепях (токопроводящие коммуникации), визуально-оптические способы добычи информации, подслушивание служебных и научно-технических разговоров и т. п.).

Основными типовыми путями утечки информации и несанкционированного доступа к автоматизированным информационным системам, в том числе через каналы телекоммуникации, являются следующие:

перехват электронных излучений;

применение подслушивающих устройств (закладок);

дистанционное фотографирование;

перехват акустических излучений и восстановление текста принтера;

хищение носителей информации и производственных отходов;

считывание данных в массивах других пользователей;

чтение остаточной информации в памяти системы после выполнения санкционированных запросов;

копирование носителей информации с преодолением мер зашиты;

маскировка под зарегистрированного пользователя;

мистификация (маскировка под запросы системы);

незаконное подключение к аппаратуре и линиям связи;

злоумышленный вывод из строя механизмов защиты;

использование «программных ловушек».

Возможными каналами преднамеренного несанкционированного доступа к информации при отсутствии защиты в автоматизированной информационной системе могут быть:

штатные каналы доступа к информации (терминалы пользователей, средства отображения и документирования информации, носители информации, средства загрузки программного обеспечения, внешние каналы связи) при их незаконном использовании;

технологические пульты и органы управления;

внутренний монтаж аппаратуры;

линии связи между аппаратными средствами;

побочное электромагнитное излучение, несущее информацию;

побочные наводки на цепях электропитания, заземления аппаратуры, вспомогательных и посторонних коммуникациях, размещенных вблизи компьютерной системы.

Способы воздействия угроз на объекты информационной безопасности подразделяются на информационные, программно-математические, физические, радиоэлектронные и организационно-правовые.

К информационным способам относятся:

нарушение адресности и своевременности информационного обмена, противозаконный сбор и использование информации;

несанкционированный доступ к информационным ресурсам;

манипулирование информацией (дезинформация, сокрытие или искажение информации);

незаконное копирование данных в информационных системах;

нарушение технологии обработки информации.

Программно-математические способы включают:

внедрение компьютерных вирусов;

установку программных и аппаратных закладных устройств;

уничтожение или модификацию данных в автоматизированных информационных системах.

Физические способы включают:

уничтожение или разрушение средств обработки информации и связи;

уничтожение, разрушение или хищение машинных или других оригинальных носителей информации;

хищение программных или аппаратных ключей и средств криптографической защиты информации;

воздействие на персонал;

поставку «зараженных» компонентов автоматизированных информационных систем.

Радиоэлектронными способами являются:

перехват информации в технических каналах ее возможной утечки;

внедрение электронных устройств перехвата информации в технические средства и помещения;

перехват, дешифровка и навязывание ложной информации в сетях передачи данных и линиях связи;

воздействие на парольно-ключевые системы;

радиоэлектронное подавление линий связи и систем управления.

Организационно-правовые способы включают:

невыполнение требований законодательства и задержки в принятии необходимых нормативно-правовых положений в информационной сфере;

неправомерное ограничение доступа к документам, содержащим важную для граждан и организаций информацию.

Угрозы безопасности программного обеспечения. Обеспечение безопасности автоматизированных информационных систем зависит от безопасности используемого в них программного обеспечения и, в частности, следующих видов программ:

обычных программ пользователей;

специальных программ, рассчитанных на нарушение безопасности системы;

разнообразных системных утилит и коммерческих прикладных программ, которые отличаются высоким профессиональным уровнем разработки и тем не менее могут содержать отдельные недоработки, позволяющие захватчикам атаковать системы.

Программы могут порождать проблемы двух типов: во-первых, могут перехватывать и модифицировать данные в результате действий пользователя, который к этим данным не имеет доступа, и, во-вторых, используя упущения в защите компьютерных систем, могут или обеспечивать доступ к системе пользователям, не имеющим на это права, или блокировать доступ к системе законных пользователей.

Чем выше уровень подготовки программиста, тем более неявными (даже для него) становятся допускаемые им ошибки и тем более тщательно и надежно он способен скрыть умышленные механизмы, разработанные для нарушения безопасности системы.

Целью атаки могут быть и сами программы по следующим причинам:

В современном мире программы могут быть товаром, приносящим немалую прибыль, особенно тому, кто первым начнет тиражировать программу в коммерческих целях и оформит авторские права на нее.

Программы могут становиться также объектом атаки, имеющей целью модифицировать эти программы некоторым образом, что позволило бы в будущем провести атаку на другие объекты системы. Особенно часто объектом атак такого рода становятся программы, реализующие функции защиты системы.

Рассмотрим несколько типов программ и приемы, которые наиболее часто используются для атак программ и данных. Эти приемы обозначаются единым термином – «программные ловушки». К ним относятся «программные люки», «троянские кони», «логические бомбы», атаки «салями», скрытые каналы, отказы в обслуживании и компьютерные вирусы.

Люки в программах. Использование люков для проникновения в программу – один из простых и часто используемых способов нарушения безопасности автоматизированных информационных систем.

Люком называется не описанная в документации на программный продукт возможность работы с этим программным продуктом. Сущность использования люков состоит в том, что при выполнении пользователем некоторых не описанных в документации действий он получает доступ к возможностям и данным, которые в обычных условиях для него закрыты (в частности, выход в привилегированный режим).

Люки чаще всего являются результатом забывчивости разработчиков. В качестве люка может быть использован временный механизм прямого доступа к частям продукта, созданный для облегчения процесса отладки и не удаленный по ее окончании. Люки могут образовываться также в результате часто практикуемой технологии разработки программных продуктов «сверху вниз»: в их роли будут выступать оставленные по каким-либо причинам в готовом продукте «заглушки» – группы команд, имитирующие или просто обозначающие место подсоединения будущих подпрограмм.

Наконец, еще одним распространенным источником люков является так называемый «неопределенный ввод» – ввод «бессмысленной» информации, абракадабры в ответ на запросы системы. Реакция недостаточно хорошо написанной программы на неопределенный ввод может быть, в лучшем случае, непредсказуемой (когда при повторном вводе той же неверной команды программа реагирует каждый раз по-разному); гораздо хуже, если программа в результате одинакового «неопределенного» ввода выполняет некоторые повторяющиеся действия, – это дает возможность потенциальному захватчику планировать свои действия по нарушению безопасности.

Неопределенный ввод – частная реализация прерывания. То есть в общем случае захватчик может умышленно пойти на создание в системе некоторой нестандартной ситуации, которая бы позволила ему выполнить необходимые действия. Например, он может искусственно вызвать аварийное завершение программы, работающей в привилегированном режиме, с тем, чтобы перехватить управление, оставшись в этом привилегированном режиме.

Борьба с возможностью прерывания, в конечном счете, выливается в необходимость предусмотреть при разработке программ комплекса механизмов, образующих так называемую «защиту от дурака». Смысл этой защиты состоит в том, чтобы гарантированно отсекать всякую вероятность обработки неопределенного ввода и разного рода нестандартных ситуаций (в частности, ошибок) и тем самым не допускать нарушения безопасности компьютерной системы даже в случае некорректной работы с программой.

Таким образом, люк (или люки) может присутствовать в программе ввиду того, что программист:

забыл удалить его;

умышленно оставил его в программе для обеспечения тестирования или выполнения оставшейся части отладки;

умышленно оставил его в программе в интересах облегчения окончательной сборки конечного программного продукта;

умышленно оставил его в программе с тем, чтобы иметь скрытое средство доступа к программе уже после того, как она вошла в состав конечного продукта.

Люк – первый шаг к атаке системы, возможность проникнуть в компьютерную систему в обход механизмов защиты.

«Троянские кони».

Существуют программы, реализующие, помимо функций, описанных в документации, и некоторые другие функции, в документации не описанные. Такие программы называются «троянскими конями».

Вероятность обнаружения «троянского коня» тем выше, чем очевиднее результаты его действий (например, удаление файлов или изменение их защиты). Более сложные «троянские кони» могут маскировать следы своей деятельности (например, возвращать защиту файлов в исходное состояние).

«Логические бомбы».

«Логической бомбой» обычно называют программу или даже участок кода в программе, реализующий некоторую функцию при выполнении определенного условия. Этим условием может быть, например, наступление определенной даты или обнаружение файла с определенным именем.

«Взрываясь», «логическая бомба» реализует функцию, неожиданную и, как правило, нежелательную для пользователя (например, удаляет некоторые данные или разрушает некоторые системные структуры). «Логическая бомба» является одним из излюбленных способов мести программистов компаниям, которые их уволили или чем-либо обидели.

Атака «салями».

Атака «салями» превратилась в настоящий бич банковских компьютерных систем. В банковских системах ежедневно производятся тысячи операций, связанных с безналичными расчетами, переводами сумм, отчислениями и т. д.

При обработке счетов используются целые единицы (рубли, центы), а при исчислении процентов нередко получаются дробные суммы. Обычно величины, превышающие половину рубля (цента), округляются до целого рубля (цента), а величины менее половины рубля (цента) просто отбрасываются. При атаке «салями» эти несущественные величины не удаляются, а постепенно накапливаются на некоем специальном счете.

Как свидетельствует практика, сумма, составленная буквально из ничего, за пару лет эксплуатации «хитрой» программы в среднем по размеру банке может исчисляться тысячами долларов. Атаки «салями» достаточно трудно распознаются, если злоумышленник не начинает накапливать на одном счете большие суммы.

Скрытые каналы.

Под скрытыми каналами подразумеваются программы, передающие информацию лицам, которые в обычных условиях эту информацию получать не должны.

В тех системах, где ведется обработка критичной информации, программист не должен иметь доступа к обрабатываемым программой данным после начала эксплуатации этой программы.

Из факта обладания некоторой служебной информацией можно извлечь немалую выгоду, хотя бы элементарно продав эту информацию (например, список клиентов) конкурирующей фирме. Достаточно квалифицированный программист всегда может найти способ скрытой передачи информации; при этом программа, предназначенная для создания самых безобидных отчетов, может быть немного сложнее, чем того требует задача.

Для скрытой передачи информации можно с успехом использовать различные элементы формата «безобидных» отчетов, например разную длину строк, пропуски между строками, наличие или отсутствие служебных заголовков, управляемый вывод незначащих цифр в выводимых величинах, количество пробелов или других символов в определенных местах отчета и т. д.

Если захватчик имеет возможность доступа к компьютеру во время работы интересующей его программы, скрытым каналом может стать пересылка критичной информации в специально созданный в оперативной памяти компьютера массив данных.

Скрытые каналы наиболее применимы в ситуациях, когда захватчика интересует даже не содержание информации, а, допустим, факт ее наличия (например, наличие в банке расчетного счета с определенным номером).

Отказ в обслуживании.

Большинство методов нарушения безопасности направлено на то, чтобы получить доступ к данным, не допускаемый системой в нормальных условиях. Однако не менее интересным для захватчиков является доступ к управлению самой компьютерной системой или изменение ее качественных характеристик, например, получить некоторый ресурс (процессор, устройство ввода-вывода) в монопольное использование или спровоцировать ситуацию клинча для нескольких процессов.

Это может потребоваться для того, чтобы явно использовать компьютерную систему в своих целях (хотя бы для бесплатного решения своих задач) либо просто заблокировать систему, сделав ее недоступной другим пользователям. Такой вид нарушения безопасности системы называется «отказом в обслуживании» или «отказом от пользы». «Отказ в обслуживании» чрезвычайно опасен для систем реального времени – систем, управляющих некоторыми технологическими процессами, осуществляющих различного рода синхронизацию и т. д.

Компьютерные вирусы.

Компьютерные вирусы являются квинтэссенцией всевозможных методов нарушения безопасности. Одним из самых частых и излюбленных способов распространения вирусов является метод «троянского коня». От «логической бомбы» вирусы отличаются только возможностью размножаться и обеспечивать свой запуск, так что многие вирусы можно считать особой формой «логических бомб».

Для атаки системы вирусы активно используют разного рода «люки». Вирусы могут реализовывать самые разнообразные пакости, в том числе и атаку «салями». Кроме того, успех атаки одного вида часто способствует снижению «иммунитета» системы, создает благоприятную среду для успеха атак других видов. Захватчики это знают и активно используют данное обстоятельство.

Разумеется, в чистом виде описанные выше приемы встречаются достаточно редко. Гораздо чаще в ходе атаки используются отдельные элементы разных приемов.

Угрозы информации в компьютерных сетях. Сети компьютеров имеют много преимуществ перед совокупностью отдельно работающих компьютеров, в их числе можно отметить: разделение ресурсов системы, повышение надежности функционирования системы, распределение загрузки среди узлов сети и расширяемость за счет добавления новых узлов.

Вместе с тем при использовании компьютерных сетей возникают серьезные проблемы обеспечения информационной безопасности. Можно отметить следующие из них.

Разделение совместно используемых ресурсов.

В силу совместного использования большого количества ресурсов различными пользователями сети, возможно, находящимися на большом расстоянии друг от друга, сильно повышается риск несанкционированного доступа, так как в сети его можно осуществить проще и незаметнее.

Расширение зоны контроля.

Администратор или оператор отдельной системы или подсети должен контролировать деятельность пользователей, находящихся вне пределов его досягаемости.

Комбинация различных программно-аппаратных средств.

Соединение нескольких систем в сеть увеличивает уязвимость всей системы в целом, поскольку каждая информационная система настроена на выполнение своих специфических требований безопасности, которые могут оказаться несовместимыми с требованиями на других системах.

Неизвестный параметр.

Легкая расширяемость сетей ведет к тому, что определить границы сети подчас бывает сложно, так как один и тот же узел может быть доступен для пользователей различных сетей. Более того, для многих из них не всегда можно точно определить, сколько пользователей имеют доступ к определенному узлу сети и кто они.

Множество точек атаки.

В сетях один и тот же набор данных или сообщение может передаваться через несколько промежуточных узлов, каждый из которых является потенциальным источником угрозы. Кроме того, ко многим современным сетям можно получить доступ с помощью коммутируемых линий связи и модема, что во много раз увеличивает количество возможных точек атаки.

Сложность управления и контроля доступа к системе.

Многие атаки на сеть могут осуществляться без получения физического доступа к определенному узлу – с помощью сети из удаленных точек.

В этом случае идентификация нарушителя может оказаться очень сложной. Кроме того, время атаки может оказаться слишком малым для принятия адекватных мер.

С одной стороны, сеть – это единая система с едиными правилами обработки информации, а с другой – совокупность обособленных систем, каждая из которых имеет свои собственные правила обработки информации. Поэтому, с учетом двойственности характера сети, атака на сеть может осуществляться с двух уровней: верхнего и нижнего (возможна и их комбинация).

При верхнем уровне атаки на сеть злоумышленник использует свойства сети для проникновения на другой узел и выполнения определенных несанкционированных действий. При нижнем уровне атаки на сеть злоумышленник использует свойства сетевых протоколов для нарушения конфиденциальности или целостности отдельных сообщений или потока в целом.

Нарушение потока сообщений может привести к утечке информации и даже потере контроля над сетью.

Различают пассивные и активные угрозы нижнего уровня, специфические для сетей.

Пассивные угрозы

(нарушение конфиденциальности данных, циркулирующих в сети) – это просмотр и/или запись данных, передаваемых по линиям связи. К ним относятся:

просмотр сообщения;

анализ графика – злоумышленник может просматривать заголовки пакетов, циркулирующих в сети, и на основе содержащейся в них служебной информации делать заключения об отправителях и получателях пакета и условиях передачи (время отправления, класс сообщения, категория безопасности, длина сообщения, объем трафика и т. д.).

Активные угрозы

(нарушение целостности или доступности ресурсов и компонентов сети) – несанкционированное использование устройств, имеющих доступ к сети для изменения отдельных сообщений или потока сообщений. К ним относятся:

отказ служб передачи сообщений – злоумышленник может уничтожать или задерживать отдельные сообщения или весь поток сообщений;

«маскарад» – злоумышленник может присвоить своему узлу или ретранслятору чужой идентификатор и получать или отправлять сообщения от чужого имени;

внедрение сетевых вирусов – передача по сети тела вируса с его последующей активизацией пользователем удаленного или локального узла;

модификация потока сообщений – злоумышленник может выборочно уничтожать, модифицировать, задерживать, переупорядочивать и дублировать сообщения, а также вставлять поддельные сообщения.

Угрозы коммерческой информации.

Вусловиях информатизации особую опасность представляют также такие способы несанкционированного доступа к конфиденциальной информации, как копирование, подделка, уничтожение.

Копирование.

При несанкционированном доступе к конфиденциальной информации копируют: документы, содержащие интересующую злоумышленника информацию; технические носители; информацию, обрабатываемую в автоматизированных информационных системах. Используются следующие способы копирования: светокопирование, фотокопирование, термокопирование, ксерокопирование и электронное копирование.

Подделка.

В условиях конкуренции подделка, модификация и имитация приобретают большие масштабы. Злоумышленники подделывают доверительные документы, позволяющие получить определенную информацию, письма, счета, бухгалтерскую и финансовую документацию; подделывают ключи, пропуска, пароли, шифры и т. п. В автоматизированных информационных системах к подделке относят, в частности, такие злонамеренные действия, как фальсификация (абонент-получатель подделывает полученное сообщение, выдавая его за действительное в своих интересах), маскировка (абонент-отправитель маскируется под другого абонента с целью получения им охраняемых сведений).

Уничтожение.

Особую опасность представляет уничтожение информации в автоматизированных базах данных и базах знаний. Уничтожается информация на магнитных носителях с помощью компактных магнитов и программным путем («логические бомбы»). Значительное место в преступлениях против автоматизированных информационных систем занимают саботаж, взрывы, разрушения, вывод из строя соединительных кабелей, систем кондиционирования.

Методы и средства обеспечения информационной безопасности организации (фирмы)

Методами обеспечения защиты информации являются следующие: препятствие, управление доступом, маскировка, регламентация, принуждение и побуждение.

Препятствие – метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т. п.).

Управление доступом – метод защиты информации регулированием использования всех ресурсов автоматизированной информационной системы организации (фирмы). Управление доступом включает следующие функции защиты:

идентификацию пользователей, персонала и ресурсов информационной системы (присвоение каждому объекту персонального идентификатора);

аутентификацию (установление подлинности) объекта или субъекта по предъявленному им идентификатору;

проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту);

разрешение и создание условий работы в пределах установленного регламента;

регистрацию (протоколирование) обращений к защищаемым ресурсам;

реагирование (сигнализация, отключение, задержка работ, отказ в запросе) при попытках несанкционированных действий.

Маскировка – метод защиты информации в автоматизированной информационной системе путем ее криптографического закрытия.

Регламентация – метод защиты информации, создающий такие условия автоматизированной обработки, хранения и передачи информации, при которых возможность несанкционированного доступа к ней сводилась бы к минимуму.

Принуждение – такой метод защиты информации, при котором пользователи и персонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.

Побуждение – такой метод защиты информации, который побуждает пользователей и персонал системы не нарушать установленные правила за счет соблюдения сложившихся моральных и этических норм.

Указанные выше методы обеспечения информационной безопасности организации (фирмы) реализуются на практике применением различных механизмов защиты, для создания которых используются следующие основные средства: физические, аппаратные, программные, аппаратно-программные, криптографические, организационные, законодательные и морально-этические.

Физические средства защиты предназначены для внешней охраны территории объектов, защиты компонентов автоматизированной информационной системы предприятия и реализуются в виде автономных устройств и систем.

Наряду с традиционными механическими системами при доминирующем участии человека разрабатываются и внедряются универсальные автоматизированные электронные системы физической защиты, предназначенные для охраны территорий, охраны помещений, организации пропускного режима, организации наблюдения; системы пожарной сигнализации; системы предотвращения хищения носителей.

Элементную базу таких систем составляют различные датчики, сигналы от которых обрабатываются микропроцессорами, электронные интеллектуальные ключи, устройства определения биометрических характеристик человека и т. д.

Для организации охраны оборудования, входящего в состав автоматизированной информационной системы предприятия, и перемещаемых носителей информации (дискеты, магнитные ленты, распечатки) используются:

различные замки (механические, с кодовым набором, с управлением от микропроцессора, радиоуправляемые), которые устанавливают на входные двери, ставни, сейфы, шкафы, устройства и блоки системы;

микровыключатели, фиксирующие открывание или закрывание дверей и окон;

инерционные датчики, для подключения которых можно использовать осветительную сеть, телефонные провода и проводку телевизионных антенн;

специальные наклейки из фольги, которые наклеиваются на все документы, приборы, узлы и блоки системы для предотвращения их выноса из помещения. При любой попытке вынести за пределы помещения предмет с наклейкой специальная установка (аналог детектора металлических объектов), размещенная около выхода, подает сигнал тревоги;

специальные сейфы и металлические шкафы для установки в них отдельных элементов автоматизированной информационной системы (файл-сервер, принтер и т. п.) и перемещаемых носителей информации.

Для нейтрализации утечки информации по электромагнитным каналам используют экранирующие и поглощающие материалы и изделия. При этом:

экранирование рабочих помещений, где установлены компоненты автоматизированной информационной системы, осуществляется путем покрытия стен, пола и потолка металлизированными обоями, токопроводящей эмалью и штукатуркой, проволочными сетками или фольгой, установкой загородок из токопроводящего кирпича, многослойных стальных, алюминиевых или из специальной пластмассы листов;

для защиты окон применяют металлизированные шторы и стекла с токопроводящим слоем;

все отверстия закрывают металлической сеткой, соединяемой с шиной заземления или настенной экранировкой;

на вентиляционных каналах монтируют предельные магнитные ловушки, препятствующие распространению радиоволн.

Для защиты от наводок на электрические цепи узлов и блоков автоматизированной информационной системы используют:

экранированный кабель для внутристоечного, внутриблочного, межблочного и наружного монтажа;

экранированные эластичные соединители (разъемы), сетевые фильтры подавления электромагнитных излучений;

провода, наконечники, дроссели, конденсаторы и другие помехоподавляющие радио – и электроизделия;

на водопроводных, отопительных, газовых и других металлических трубах помещают разделительные диэлектрические вставки, которые осуществляют разрыв электромагнитной цепи.

Для контроля электропитания используются электронные отслеживатели – устройства, которые устанавливаются в местах ввода сети переменного напряжения. Если шнур питания перерезан, оборван или перегорел, кодированное послание включает сигнал тревоги или активирует телевизионную камеру для последующей записи событий.

Для обнаружения внедренных «жучков» наиболее эффективным считается рентгеновское обследование. Однако реализация этого метода связана с большими организационными и техническими трудностями.

Применение специальных генераторов шумов для защиты от хищения информации с компьютеров путем съема ее излучений с экранов дисплеев оказывает неблагоприятное воздействие на организм человека, что приводит к быстрому облысению, снижению аппетита, головным болям, тошноте. Именно поэтому они достаточно редко применяются на практике.

Аппаратные средства защиты – это различные электронные, электромеханические и другие устройства, непосредственно встроенные в блоки автоматизированной информационной системы или оформленные в виде самостоятельных устройств и сопрягающиеся с этими блоками.

Они предназначены для внутренней защиты структурных элементов средств и систем вычислительной техники: терминалов, процессоров, периферийного оборудования, линий связи и т. д.

Основные функции аппаратных средств защиты:

запрещение несанкционированного внутреннего доступа к отдельным файлам или базам данных информационной системы, возможного в результате случайных или умышленных действий обслуживающего персонала;

защита активных и пассивных (архивных) файлов и баз данных, связанная с необслуживанием или отключением автоматизированной информационной системы;

защита целостности программного обеспечения.

Эти задачи реализуются аппаратными средствами защиты информации с использованием метода управления доступом (идентификация, аутентификация и проверка полномочий субъектов системы, регистрация и реагирование).

Для работы с особо ценной информацией организации (фирмы) производители компьютеров могут изготавливать индивидуальные диски с уникальными физическими характеристиками, не позволяющими считывать информацию. При этом стоимость компьютера может возрасти в несколько раз.

Программные средства защиты предназначены для выполнения логических и интеллектуальных функций защиты и включаются либо в состав программного обеспечения автоматизированной информационной системы, либо в состав средств, комплексов и систем аппаратуры контроля.

Программные средства защиты информации являются наиболее распространенным видом защиты, обладая следующими положительными свойствами: универсальностью, гибкостью, простотой реализации, возможностью изменения и развития. Данное обстоятельство делает их одновременно и самыми уязвимыми элементами защиты информационной системы предприятия.

В настоящее время создано большое количество операционных систем, систем управления базами данных, сетевых пакетов и пакетов прикладных программ, включающих разнообразные средства защиты информации.

С помощью программных средств защиты решаются следующие задачи информационной безопасности:

контроль загрузки и входа в систему с помощью персональных идентификаторов (имя, код, пароль и т. п.);

разграничение и контроль доступа субъектов к ресурсам и компонентам системы, внешним ресурсам;

изоляция программ процесса, выполняемого в интересах конкретного субъекта, от других субъектов (обеспечение работы каждого пользователя в индивидуальной среде);

управление потоками конфиденциальной информации с целью предотвращения записи на носители данных несоответствующего уровня (грифа) секретности;

защита информации от компьютерных вирусов;

стирание остаточной конфиденциальной информации в разблокированных после выполнения запросов полях оперативной памяти компьютера;

стирание остаточной конфиденциальной информации на магнитных дисках, выдача протоколов о результатах стирания;

обеспечение целостности информации путем введения избыточности данных;

автоматический контроль над работой пользователей системы на базе результатов протоколирования и подготовка отчетов по данным записей в системном регистрационном журнале.

В настоящее время ряд операционных систем изначально содержит встроенные средства блокировки «повторного использования». Для других типов операционных систем существует достаточно много коммерческих программ, не говоря уже о специальных пакетах безопасности, реализующих аналогичные функции.

Применение избыточных данных направлено на предотвращение появления в данных случайных ошибок и выявление неавторизованных модификаций. Это может быть применение контрольных сумм, контроль данных на чет-нечет, помехоустойчивое кодирование и т. д.

Часто практикуется хранение в некотором защищенном месте системы сигнатур важных объектов системы. Например, для файла в качестве сигнатуры может быть использовано сочетание байта защиты файла с его именем, длиной и датой последней модификации. При каждом обращении к файлу или в случае возникновения подозрений текущие характеристики файла сравниваются с эталоном.

Свойство ревизуемости системы контроля доступа означает возможность реконструкции событий или процедур. Средства обеспечения ревизуемости должны выяснить, что же фактически случилось. Здесь речь идет о документировании исполняемых процедур, ведении журналов регистрации, а также о применении четких и недвусмысленных методов идентификации и проверки.

Следует отметить, что задачу контроля доступа при одновременном обеспечении целостности ресурсов надежно решает только шифрование информации.

Конфиденциальная информация представляет огромный интерес для конкурирующих фирм. Именно она становится причиной посягательств со стороны злоумышленников.

Многие проблемы связаны с недооценкой важности угрозы, в результате чего для предприятия это может обернуться крахом и банкротством. Даже единичный случай халатности рабочего персонала может принести компании многомиллионные убытки и потерю доверия клиентов.

Угрозам подвергаются данные о составе, статусе и деятельности компании. Источниками таких угроз являются её конкуренты, коррупционеры и преступники. Особую ценность для них представляет ознакомление с охраняемой информацией, а также ее модификация в целях причинения финансового ущерба.

К такому исходу может привести утечка информации даже на 20%. Иногда потеря секретов компании может произойти случайно, по неопытности персонала или из-за отсутствия систем защиты.

Для информации, являющейся собственностью предприятия, могут существовать угрозы следующих видов.

Угрозы конфиденциальности информации и программ. Могут иметь место после нелегального доступа к данным, каналам связи или программам. Содержащие или отправленные данные с компьютера могут быть перехвачены по каналам утечки.

Для этого используется специальное оборудование, производящее анализ электромагнитных излучений, получаемых во время работы на компьютере.

Опасность повреждения. Незаконные действия хакеров могут повлечь за собой искажение маршрутизации или потерю передаваемой информации.

Угроза доступности. Такие ситуации не позволяют законному пользователю использовать службы и ресурсы. Это происходит после их захвата, получения по ним данных или блокировки линий злоумышленниками. Подобный инцидент может искажать достоверность и своевременность передаваемой информации.

Существует три важных условия, которые позволят российскому гражданину : идеальный бизнес-план, продуманная учётная и кадровая политика и наличие свободных денежных средств.

Подготовка документов для открытия ООО требует определённого времени. На открытие расчётного счёта в банке уходит примерно 1-2 дня. О том какие документы понадобятся для открытия ООО читайте здесь.

Риск отказа от исполнения транзакций. Отказ пользователя от передаваемой им же информации с тем, чтобы избежать ответственности.

Внутренние угрозы. Такие угрозы несут для предприятия большую опасность. Они исходят от неопытных руководителей, некомпетентного или неквалифицированного персонала.

Иногда сотрудники предприятия могут провоцировать специально внутреннюю утечку информации, показывая этим своё недовольство зарплатой, работой или коллегами. Они запросто могут преподнести всю ценную информацию предприятия его конкурентам, попытаться уничтожить её, или умышленно внести в компьютеры вирус.

Обеспечение информационной безопасности предприятия

Важнейшие процессы бухгалтерского учёта и автоматизируются соответствующим классом систем, защищенность которых достигается целым комплексом технических и организационных мер.

В их составе антивирусная система, защита межсетевого экранирования и электромагнитного излучения. Системы защищают информацию на электронных носителях, передаваемые по каналам связи данные, разграничивают доступ к разноплановым документам, создают запасные копии и восстанавливают конфиденциальную информацию после повреждений.

Полноценное обеспечение информационной безопасности на предприятии должно быть и находиться под полным контролем круглогодично, в реальном времени в круглосуточном режиме. При этом система учитывает весь жизненный цикл информации, начиная с момента появления и до полного её уничтожения или потери значимости для предприятия.

Для сохранности и для предотвращения потери данных в индустрии информационной безопасности разрабатываются системы защиты. Их работа основана на сложных программных комплексах с широким набором опций, предотвращающих любые утраты данных.

Спецификой программ является то, что для правильного их функционирования требуется разборчивая и отлаженная модель внутреннего оборота данных и документов. Анализ безопасности всех шагов при использовании информации основывается на работе с базами данных.

Обеспечение информационной безопасности может осуществляться с помощью онлайновых средств, а также продуктов и решений, предлагаемых на всевозможных Интернет-ресурсах.

Разработчикам некоторых таких сервисов удалось грамотно составить систему информационной безопасности, защищающую от внешних и внутренних угроз, обеспечивая при этом идеальный баланс цены и функциональности. Предлагаемые гибкие модульные комплексы совмещают работу аппаратных и программных средств.

Виды

Логика функционирования систем информационной безопасности предполагает следующие действия.

Прогнозирование и быстрое распознавание угроз безопасности данных, мотивов и условий, способствовавших нанесению ущерба предприятию и обусловивших сбои в его работе и развитии.

Создание таких рабочих условий, при которых уровень опасности и вероятность нанесения ущерба предприятию сведены к минимуму.

Возмещение ущерба и минимизация влияния выявленных попыток нанесения ущерба.

Средства защиты информации могут быть:

• техническими;
• программными;
• криптографическими;
• организационными;
• законодательными.

Организация информационной безопасности на предприятии

Все предприниматели всегда стремятся обеспечить информации доступность и конфиденциальность. Для разработки подходящей защиты информации учитывается природа возможных угроз, а также формы и способы их возникновения.

Организация информационной безопасности на предприятии производится таким образом, чтобы хакер мог столкнуться с множеством уровней защиты. В результате злоумышленнику не удаётся проникать в защищённую часть.

К наиболее эффективному способу защиты информации относится криптостойкий алгоритм шифрования при передаче данных. Система зашифровывает саму информацию, а не только доступ к ней, что актуально и для .

Структура доступа к информации должна быть многоуровневой, в связи с чем к ней разрешается допускать лишь избранных сотрудников. Право полного доступа ко всему объему информации должны иметь только достойные доверия лица.

Перечень сведений, касающихся информации конфиденциального характера, утверждается руководителем предприятия. Любые нарушения в этой области должны караться определенными санкциями.

Модели защиты предусматриваются соответствующими ГОСТами и нормируются целым рядом комплексным мер. В настоящее время разработаны специальные утилиты, круглосуточно отслеживающие состояние сети и любые предупреждения систем информационной безопасности.

Следует иметь ввиду, что недорогие беспроводные сети не могут обеспечить необходимого уровня защиты.

Во избежание случайных потерь данных по неопытности сотрудников, администраторы должны проводить обучающие тренинги. Это позволяет предприятию контролировать готовность сотрудников к работе и дает руководителям уверенность в том, что все работники способны соблюдать меры информационной безопасности.

Атмосфера рыночной экономики и высокий уровень конкуренции заставляют руководителей компаний всегда быть начеку и быстро реагировать на любые трудности. В течение последних 20 лет информационные технологии смогли войти во все сферы развития, управления и ведения бизнеса.

Из реального мира бизнес уже давно превратился в виртуальный, достаточно вспомнить как стали популярны , у которого имеются свои законы. В настоящее время виртуальные угрозы информационной безопасности предприятия могут насести ему огромный реальный вред. Недооценивая проблему, руководители рискуют своим бизнесом, репутацией и авторитетом.

Большинство предприятий регулярно терпят убытки из-за утечки данных. Защита информации предприятия должна занимать приоритетное место в ходе становления бизнеса и его ведения. Обеспечение информационной безопасности – залог успеха, прибыли и достижения целей предприятия.

Н аучно-технический прогресс превратил информацию в продукт, который можно купить, продать, обменять. Нередко стоимость данных в несколько раз превышает цену всей технической системы, которая хранит и обрабатывает информацию.

Качество коммерческой информации обеспечивает необходимый экономический эффект для компании, поэтому важно охранять критически важные данные от неправомерных действий. Это позволит компании успешно конкурировать на рынке.

Определение информационной безопасности

Информационная безопасность (ИБ) - это состояние информационной системы, при котором она наименее восприимчива к вмешательству и нанесению ущерба со стороны третьих лиц. Безопасность данных также подразумевает управление рисками, которые связаны с разглашением информации или влиянием на аппаратные и программные модули защиты.

Безопасность информации, которая обрабатывается в организации, - это комплекс действий, направленных на решение проблемы защиты информационной среды в рамках компании. При этом информация не должна быть ограничена в использовании и динамичном развитии для уполномоченных лиц.

Требования к системе защиты ИБ

Защита информационных ресурсов должна быть:

1. Постоянной. Злоумышленник в любой момент может попытаться обойти модули защиты данных, которые его интересуют.

2. Целевой. Информация должна защищаться в рамках определенной цели, которую ставит организация или собственник данных.

3. Плановой. Все методы защиты должны соответствовать государственным стандартам, законам и подзаконным актам, которые регулируют вопросы защиты конфиденциальных данных.

4. Активной. Мероприятия для поддержки работы и совершенствования системы защиты должны проводиться регулярно.

5. Комплексной. Использование только отдельных модулей защиты или технических средств недопустимо. Необходимо применять все виды защиты в полной мере, иначе разработанная система будет лишена смысла и экономического основания.

6. Универсальной. Средства защиты должны быть выбраны в соответствии с существующими в компании каналами утечки.

7. Надежной. Все приемы защиты должны надежно перекрывать возможные пути к охраняемой информации со стороны злоумышленника, независимо от формы представления данных.

Перечисленным требованиям должна соответствовать и DLP-система. И лучше всего оценивать ее возможности на практике, а не в теории. Испытать «СёрчИнформ КИБ» можно бесплатно в течение 30 дней.

Модель системы безопасности

Информация считается защищенной, если соблюдаются три главных свойства.

Первое - целостность - предполагает обеспечение достоверности и корректного отображения охраняемых данных, независимо от того, какие системы безопасности и приемы защиты используются в компании. Обработка данных не должна нарушаться, а пользователи системы, которые работают с защищаемыми файлами, не должны сталкиваться с несанкционированной модификацией или уничтожением ресурсов, сбоями в работе ПО.

Второе - конфиденциальность - означает, что доступ к просмотру и редактированию данных предоставляется исключительно авторизованным пользователям системы защиты.

Третье - доступность - подразумевает, что все авторизованные пользователи должны иметь доступ к конфиденциальной информации.

Достаточно нарушить одно из свойств защищенной информации, чтобы использование системы стало бессмысленным.

Этапы создания и обеспечения системы защиты информации

На практике создание системы защиты информации осуществляется в три этапа.

На первом этапе разрабатывается базовая модель системы, которая будет функционировать в компании. Для этого необходимо проанализировать все виды данных, которые циркулируют в фирме и которые нужно защитить от посягательств со стороны третьих лиц. Планом работы на начальном этапе являются четыре вопроса:

1. Какиеисточники информации следует защитить?
2. Какова цельполучения доступа к защищаемой информации?

Целью может быть ознакомление, изменение, модификация или уничтожение данных. Каждое действие является противоправным, если его выполняет злоумышленник. Ознакомление не приводит к разрушению структуры данных, а модификация и уничтожение приводят к частичной или полной потере информации.

1. Что являетсяисточником конфиденциальной информации?

Источники в данном случае это люди и информационные ресурсы: документы, флеш-носители, публикации, продукция, компьютерные системы, средства обеспечения трудовой деятельности.

1. Способы получения доступа, и как защититься от несанкционированных попыток воздействия на систему?

Различают следующие способы получения доступа:

• Несанкционированный доступ - незаконное использование данных;
• Утечка - неконтролируемое распространение информации за пределы корпоративной сети. Утечка возникает из-за недочетов, слабых сторон технического канала системы безопасности;
• Разглашение - следствие воздействия человеческого фактора. Санкционированные пользователи могут разглашать информацию, чтобы передать конкурентам, или по неосторожности.

Второй этап включает разработку системы защиты. Это означает реализовать все выбранные способы, средства и направления защиты данных.

Система строится сразу по нескольким направлениям защиты, на нескольких уровнях, которые взаимодействуют друг с другом для обеспечения надежного контроля информации.

Правовой уровень обеспечивает соответствие государственным стандартам в сфере защиты информации и включает авторское право, указы, патенты и должностные инструкции. Грамотно выстроенная система защиты не нарушает права пользователей и нормы обработки данных.

Организационный уровень позволяет создать регламент работы пользователей с конфиденциальной информацией, подобрать кадры, организовать работу с документацией и физическими носителями данных.

Регламент работы пользователей с конфиденциальной информацией называют правилами разграничения доступа. Правила устанавливаются руководством компании совместно со службой безопасности и поставщиком, который внедряет систему безопасности. Цель - создать условия доступа к информационным ресурсам для каждого пользователя, к примеру, право на чтение, редактирование, передачу конфиденциального документа. Правила разграничения доступа разрабатываются на организационном уровне и внедряются на этапе работ с технической составляющей системы.

Технический уровень условно разделяют на физический, аппаратный, программный и математический подуровни.

• физический - создание преград вокруг защищаемого объекта: охранные системы, зашумление, укрепление архитектурных конструкций;
• аппаратный - установка технических средств: специальные компьютеры, системы контроля сотрудников, защиты серверов и корпоративных сетей;
• программный - установка программной оболочки системы защиты, внедрение правила разграничения доступа и тестирование работы;
• математический - внедрение криптографических и стенографических методов защиты данных для безопасной передачи по корпоративной или глобальной сети.

Третий, завершающий этап - это поддержка работоспособности системы, регулярный контроль и управление рисками. Важно, чтобы модуль защиты отличался гибкостью и позволял администратору безопасности быстро совершенствовать систему при обнаружении новых потенциальных угроз.

Виды конфиденциальных данных

Конфиденциальные данные - это информация, доступ к которой ограничен в соответствии с законами государства и нормами, которые компании устанавливаются самостоятельно.

• Личные конфиденциальные данные: персональные данные граждан, право на личную жизнь, переписку, сокрытие личности. Исключением является только информация, которая распространяется в СМИ.
• Служебные конфиденциальные данные: информация, доступ к которой может ограничить только государство (органы государственной власти).
• Судебные конфиденциальные данные: тайна следствия и судопроизводства.
• Коммерческие конфиденциальные данные: все виды информации, которая связана с коммерцией (прибылью) и доступ к которой ограничивается законом или предприятием (секретные разработки, технологии производства и т.д.).
• Профессиональные конфиденциальные данные: данные, связанные с деятельностью граждан, например, врачебная, нотариальная или адвокатская тайна, разглашение которой преследуется по закону.

Угрозы конфиденциальности информационных ресурсов

Угроза - это возможные или действительные попытки завладеть защищаемыми информационными ресурсами.

Источниками угрозы сохранности конфиденциальных данных являются компании-конкуренты, злоумышленники, органы управления. Цель любой угрозы заключается в том, чтобы повлиять на целостность, полноту и доступность данных.

Угрозы бывают внутренними или внешними. Внешние угрозы представляют собой попытки получить доступ к данным извне и сопровождаются взломом серверов, сетей, аккаунтов работников и считыванием информации из технических каналов утечки (акустическое считывание с помощью жучков, камер, наводки на аппаратные средства, получение виброакустической информации из окон и архитектурных конструкций).

Внутренние угрозы подразумевают неправомерные действия персонала, рабочего отдела или управления фирмы. В результате пользователь системы, который работает с конфиденциальной информацией, может выдать информацию посторонним. На практике такая угроза встречается чаще остальных. Работник может годами «сливать» конкурентам секретные данные. Это легко реализуется, ведь действия авторизованного пользователя администратор безопасности не квалифицирует как угрозу.

Поскольку внутренние ИБ-угрозы связаны с человеческим фактором, отслеживать их и управлять ими сложнее. Предупреждать инциденты можно с помощью деления сотрудников на группы риска. С этой задачей справится - автоматизированный модуль для составления психологических профилей.

Попытка несанкционированного доступа может происходить несколькими путями:

• через сотрудников , которые могут передавать конфиденциальные данные посторонним, забирать физические носители или получать доступ к охраняемой информации через печатные документы;
• с помощью программного обеспечения злоумышленники осуществляют атаки, которые направлены на кражу пар «логин-пароль», перехват криптографических ключей для расшифровки данных, несанкционированного копирования информации.
• с помощью аппаратных компонентов автоматизированной системы, например, внедрение прослушивающих устройств или применение аппаратных технологий считывания информации на расстоянии (вне контролируемой зоны).

Аппаратная и программная ИБ

Все современные операционные системы оснащены встроенными модулями защиты данных на программном уровне. MAC OS, Windows, Linux, iOS отлично справляются с задачей шифрования данных на диске и в процессе передачи на другие устройства. Однако для создания эффективной работы с конфиденциальной информацией важно использовать дополнительные модули защиты.

Пользовательские ОС не защищают данные в момент передачи по сети, а системы защиты позволяют контролировать информационные потоки, которые циркулируют по корпоративной сети, и хранение данных на северах.

Аппаратно-программный модуль защиты принято разделять на группы, каждая из которых выполняет функцию защиты чувствительной информации:

• Уровень идентификации - это комплексная система распознавания пользователей, которая может использовать стандартную или многоуровневую аутентификацию, биометрию (распознавание лица, сканирование отпечатка пальца, запись голоса и прочие приемы).
• Уровень шифрования обеспечивает обмен ключами между отправителем и получателем и шифрует/дешифрует все данные системы.

Правовая защита информации

Правовую основу информационной безопасности обеспечивает государство. Защита информации регулируется международными конвенциями, Конституцией, федеральными законами и подзаконными актами.

Государство также определят меру ответственности за нарушение положений законодательства в сфере ИБ. Например, глава 28 «Преступления в сфере компьютерной информации» в Уголовном кодексе Российской Федерации, включает три статьи:

• Статья 272 «Неправомерный доступ к компьютерной информации»;
• Статья 273 «Создание, использование и распространение вредоносных компьютерных программ»;
• Статья 274 «Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей».

Определению информации как сведений разного рода, представленных в любой форме и являющихся объектами различных процессов, соответствует следующая трактовка понятия «защита информации» в законе «Об информации, информационных технологиях и о защите информации».

Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

• 1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
• 2) соблюдение конфиденциальности информации ограниченного доступа,
• 3) реализацию права на доступ к информации.

В соответствии с руководящими документами ФСТЭК России безопасность информации - это состояние защищенности информации, обрабатываемой средствами вычислительной техники или автоматизированной системы, от внутренних и внешних угроз.

В соответствии с ГОСТ Р 50922-96 защита информации - деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию .

Здесь отражено парирование двух видов угроз - несанкционированного получения (утечки) защищаемой информации и воздействия на защищаемую информацию.

Таким образом, под защитой информации понимается совокупность мероприятий и действий, направленных на обеспечение ее безопасности в процессе сбора, передачи, обработки и хранения.

В узком смысле приведенное определение понятия «защита информации» прежде всего тождественно понятию «обеспечение безопасности информации» (рис. 1.5). Отметим, что безопасность информации - это состояние ее защищенности от дестабилизирующего воздействия внешней среды (человека и природы) и внутренних угроз системы или сети, в которой она находится или может находиться, т.е. конфиденциальность, целостность и доступность информации.

Еще раз подчеркнем, что конфиденциальность информации - это статус (требование), определенный ее их обладателем и определяющий требуемую степень ее защиты. По существу конфиденциальность информации - это требование к информации быть известной только допущенным и прошедшим проверку (авторизованным)

Рис. 1.5.

субъектам системы (пользователям, процессам, программам). Для остальных субъектов системы эта информация должна быть неизвестной.

Целостность информации - это способность информации (требование к информации) сохранять неизменным семантическое содержание (по отношению к исходным данным), т.е. ее устойчивость к случайному или преднамеренному искажению или разрушению.

Доступность информации - это способность (требование) объекта - информационной системы (сети) - обеспечивать своевременный беспрепятственный доступ авторизованных субъектов (пользователей, абонентов) к интересующей их информации или осуществлять своевременный информационный обмен между ними.

Субъект - это активный компонент системы, который может стать причиной образования потока информации от объекта к субъекту или изменения состояния системы. Объект - пассивный компонент системы, обрабатывающий, хранящий, принимающий или передающий информацию. Доступ к объекту означает доступ к содержащейся в нем информации.

Подчеркнем, что доступ к информации - возможность получения и использования информации, т.е. возможность ее приема, ознакомления с информацией, обработки, в частности, копирования, модификации или уничтожения информации.

Различают санкционированный и несанкционированный доступ к информации. Санкционированный доступ к информации - это доступ к информации, не нарушающий установленные правила разграничения доступа. Правила разграничения доступа служат для регламентации прав доступа субъектов доступа к объектам доступа.

Несанкционированный доступ к информации характеризуется нарушением установленных правил разграничения доступа.

Пользователь, программа или процесс, осуществляющие несанкционированный доступ к информации, являются нарушителями правил разграничения доступа (одного из элементов политики безопасности). Несанкционированный доступ является наиболее распространенным видом компьютерных и сетевых нарушений.

Отметим, что в приведенной здесь трактовке понятия «защита информации» (как обеспечение безопасности информации - конфиденциальности, целостности и доступности информации) соответствует понятие «информационная безопасность». В соответствии с ГОСТ Р ИСО/МЭК 17799-2005 информационная безопасность - механизм защиты, обеспечивающий конфиденциальность (доступ к информации только авторизованных пользователей), целостность (достоверность и полноту информации и методов ее обработки) и доступность (доступ к информации и связанным с ней активам авторизованных пользователей по мере необходимости). В стандарте ОАО «РЖД» (СТО РЖД 1.18.002-2009) «Управление информационной безопасностью. Общие положения» информационная безопасность также определяется как состояние защищенности информации, при котором обеспечиваются такие ее характеристики, как конфиденциальность, целостность и доступность .

Осуществление деятельности по обеспечению информационной безопасности Российской Федерации возложено на государство, которое в соответствии с законодательством является основным субъектом обеспечения безопасности. Отметим, что государство - это организация политической власти, охватывающая определенную территорию и выступающая одновременно как средство обеспечения интересов всего общества и как особый механизм управления и подавления.

В Доктрине информационной безопасности Российской Федерации (2000 г.) под информационной безопасностью РФ понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

Выделяются четыре основные составляющие национальных интересов Российской Федерации в информационной сфере:

• 1) соблюдение конституционных прав и свобод человека и гражданина в области получения информации и пользования ею, обеспечение духовного обновления России, сохранение и укрепление нравственных ценностей общества, традиций патриотизма и гуманизма, культурного и научного потенциала страны;
• 2) информационное обеспечение государственной политики РФ, связанное, в том числе, с обеспечением доступа граждан к открытым государственным информационным ресурсам;
• 3) развитие современных информационных технологий, отечественной индустрии информации, обеспечение потребностей внутреннего рынка ее продукцией и выход этой продукции на мировой рынок; обеспечение накопления, сохранности и эффективного использования отечественных информационных ресурсов;
• 4) защита национальных информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и телекоммуникационных систем.

Таким образом, целью обеспечения информационной безопасности Российской Федерации является, прежде всего, защита жизненно важных сбалансированных интересов субъектов информационных отношений в информационной сфере - граждан, сообществ людей, предприятий, организаций, корпораций, государства.

При всем многообразии видов организаций, направлений и масштабов их деятельности, численности участников их существенными активами являются информация, поддерживающие ее процессы, информационные системы и сетевая инфраструктура, т.е. информационные активы. Конфиденциальность, целостность и доступность информации могут существенно способствовать обеспечению конкурентоспособности, ликвидности, доходности, соответствия законодательству и деловой репутации организации.

Содержание их информационной безопасности заключается в защищенности целенаправленной деятельности, связанной с информацией и информационной инфраструктурой, предоставляемых информационных услуг, других информационных активов организации. К ним относятся информационные системы и ресурсы, объекты интеллектуальной собственности, имущественные права на эти объекты, личные неимущественные права членов организации, права на сохранение установленного режима доступа к сведениям, составляющим охраняемую законом тайну, например, коммерческую тайну и персональные данные. Эти составляющие организации как объекта информационной безопасности и защищаются от внешних и внутренних угроз.

Под информационной безопасностью организации, корпорации, предприятия будем понимать состояние защищенности информационных активов (ресурсов) - информации и информационной инфраструктуры, других информационных активов, при котором обеспечивается приемлемый риск нанесения ущерба в условиях проявления внешних и внутренних, случайных и преднамеренных угроз.

Главной целью обеспечения информационной безопасности организаций является минимизация или достижение приемлемого риска или экономического ущерба при нарушении безопасности информации - компрометации ее конфиденциальности, нарушении целостности и доступности.

При разработке требований к безопасности организации в целом и безопасности ее «информационного измерения» - информационной безопасности, анализе и оценивании защищенности, управлении информационной безопасностью организации, как правило, используется методология приемлемого (или неприемлемого) риска деятельности организации (рис. 1.6). Величина риска определяется ожидаемой опасностью наступления неблагоприятных

Рис. 1.6.

безопасности последствий, обусловленных проявлением угроз деятельности организации (вероятностью реализации угрозы и ценностью ресурса).

К основным задачам обеспечения информационной безопасности организации, корпорации, предприятия относятся:

• - выявление наиболее важных, а также слабых и уязвимых в информационном отношении объектов;
• - оценивание и прогнозирование источников угроз информационной безопасности и способов их реализации;
• - разработка политики обеспечения информационной безопасности корпорации, комплекса мероприятий и механизмов ее реализации;
• - разработка нормативной базы обеспечения информационной безопасности корпорации, координация деятельности органов управления по обеспечению информационной безопасности;
• - разработка мероприятий по обеспечению информационной безопасности при угрозе или возникновении чрезвычайных ситуаций;
• - развитие иерархической системы обеспечения информационной безопасности, совершенствование ее организации, форм, методов и средств предотвращения, парирования и нейтрализации угроз информационной безопасности;
• - обеспечение безопасной интеграции корпоративной системы или сети в глобальные информационные сети и системы.

Широкое толкование понятия «защита информации» предусматривает совокупность мероприятий по обеспечению безопасности информации, представленной в любой материальной форме, безопасности функционирования информационных систем и телекоммуникационных сетей и использования информационных технологий. И в этом смысле оно совпадает с формирующимся представлением о понятии «обеспечение информационной безопасности» информационных или телекоммуникационных систем (в настоящее время не определенном законодательными актами).

Приведенная современная трактовка защиты информации (в широком смысле - как обеспечение безопасности информации и информационной инфраструктуры - информационных систем и технологий) не имеет достаточно четкой границы с процессом обеспечения информационной безопасности .

В то же время содержание процессов обеспечения информационной безопасности и защиты информации (и соответственно понятий информационной безопасности и безопасности информации) различается уровнем иерархии и сложности организации защищаемых объектов, и характером угроз. Обеспечение информационной безопасности объектов предполагает «защиту информации» и «защиту от информации», обеспечение защищенности (безопасности) информации и информационной инфраструктуры от проявления угроз. Оба понятия предполагают использование комплекса мер и средств защиты - правовых, организационных и технологических (технических) с акцентом на той или иной их группе.

Примем следующую трактовку понятий «информационная безопасность» и «обеспечение информационной безопасности».

Сначала отметим, что понятие безопасность определяется как «состояние, при котором не угрожает опасность, есть защита от опасности», и в общем случае как невозможность нанесения вреда кому-нибудь или чему-нибудь вследствие проявления угроз, т.е. их защищенность (состояние защищенности) от угроз. Понятие обеспечение будем рассматривать двояко - как деятельность и средства деятельности - и включать в него также субъектов обеспечения.

В соответствии с работой в структуре понятия «информационная безопасность» будем выделять объект информационной безопасности, угрозы этому объекту и обеспечение его информационной безопасности от проявления угроз (рис. 1.7).

В контексте глобальной проблемы безопасного развития в качестве основных объектов информационной безопасности рассматриваются человек, общество (сообщества людей, организации, включая корпорации, предприятия и т.п.) и государство.

В наиболее общем виде для этих объектов информационная безопасность может быть определена как невозможность нанесения вреда свойствам объекта безопасности или свойствам его структурных составляющих, обусловливаемым информацией и информационной инфраструктурой, т.е. как безопасность (состояние защищенности) их «информационного измерения».

На основе вышеизложенного можно определить содержание информационной безопасности человека, общества и государства как безопасности их «информационного измерения».

Информационная безопасность человека состоит в невозможности нанесения вреда ему как личности, социальная деятельность которой во многом базируется на осмыслении получаемой инфор-

Рис. 1.7.

мации, информационных взаимодействиях с другими индивидами и которая часто использует информацию в качестве предмета деятельности.

Информационная безопасность общества заключается в невозможности нанесения вреда его духовной сфере, культурным ценностям, социальным регуляторам поведения людей, информационной инфраструктуре и передаваемым с ее помощью сообщениям.

Информационная безопасность государства заключается в невозможности нанесения вреда его деятельности по выполнению функций управления делами общества, связанных с использованием информации и информационной инфраструктуры общества. Иногда, принимая важность компоненты информационной безопасности, связанной с воздействиями на психику и сознание человека и общественное сознание, в ней выделяют информационно-психологическую безопасность.

Обеспечение информационной безопасности характеризуется деятельностью по недопущению вреда свойствам объекта безопасности, обусловливаемым информацией и информационной инфраструктурой, а также средствами и субъектами этой деятельности.

Таким образом, обеспечение информационной безопасности рассматривается прежде всего как решение глобальной проблемы безопасного развития мировой цивилизации, государств, сообществ людей, отдельного человека, существования природы. При этом понятие «информационная безопасность» характеризует состояние защищенности человека, общества, государства, природы в условиях возможного действия двух видов обобщенных угроз: компрометации (разглашения) принадлежащих им тайн, а также негативного (случайного или преднамеренного) воздействия информации на их информационные подсистемы (сознание и психику отдельного человека, массовое сознание, информационную сферу (среду), общества и государства, информационно-чувствительные элементы природных объектов).

Под информационной безопасностью человека, общества, государства будем понимать состояние защищенности их «информационного измерения» (жизненно важных интересов человека, общества, государства в информационной сфере; информационных активов организации, корпорации, предприятия; собственно информации и информационной инфраструктуры) от проявления внешних и внутренних, случайных и преднамеренных угроз.

Конкретные формулировки будут приведены в следующем пункте.

В последние годы понятие «информационная безопасность» распространилось (но не закреплено законодательно) и на такие объекты информационной безопасности как собственно информационные и автоматизированные системы, корпоративные и телекоммуникационные сети. Примем для них следующую трактовку понятия «информационная безопасность» .

Информационная безопасность корпоративной информационной системы или сети представляет собой состояние защищенности находящейся или циркулирующей в ней информации и ее информационной инфраструктуры, которое обеспечивает устойчивое функционирование системы или сети в условиях действия дестабилизирующих факторов (угроз).