27 мая 2013
Угрозы безопасности информации, цели и задачи защиты информации
Часть 10
Хорев Анатолий Анатольевич,
профессор, доктор технических наук
Национальный исследовательский университет «МИЭТ»
Заведующий кафедрой «Информационная безопасность»
E-mail: horev@miee.ru
В статье предпринята попытка систематизировать ряд категорий, терминов и определений в области информационной безопасности и защиты информации, приведена классификация угроз безопасности информации и задач по защите информации.
4. Цели и задачи защиты информации
(начало)
В соответствие с [1], защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
- обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
- соблюдение конфиденциальности информации ограниченного доступа,
- реализацию права на доступ к информации.
Причем, под конфиденциальностью информации в законе понимается обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя.
На мой взгляд, данное отределение является не совсем корректным и не в полной мере отражает содержание понятия «защита информации», используемое в профессиональной деятельности, в частности:
«защита информации - принятие ... мер, направленных: на обеспечение защиты информации ...». Очевидно, что защита информации - это принятие ... мер, направленных не на обеспечение защиты информации от ..., а на обеспечение безопасности информации от ...»;
если под конфиденциальностью информации ограниченного доступа понимать обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя, то нарушение конфиденциальности информации возможно путем ее неправомерного предоставления или распространения, что уже учтено в п.1 определения;
в определении не учтены важнейшие направления защиты информации, связанные с защитой информации от ее перехвата техническими средствами (защитой информации от утечки по техническим каналам), защитой информации от разглашения, защитой носителей информации от хищения, защитой информации не только от неправомерного, но и непреднамеренного воздействия и т.д.
С учетом вышесказанного целесообразно ввести следующе определение защиты информации: защита информации - принятие правовых, организационных и технических мер, направленных на обеспечение целостности, доступности и конфиденциальности информации.
Причем под конфиденциальностью информации будем понимать такое состояние информации, при котором доступ к ней осуществляют только субъекты, имеющие на него право.
Из данного определения вытекает основная цель защиты информации - обеспечение целостности, доступности и конфиденциальности информации.
Нарушение целостности, доступности и конфиденциальности информации возможно вследствие реализации угроз, классификация и описание которых приведены в ч. 3 - 9 настоящей статьи.
С учетом рассмотренных ранее особенностей угроз безопасности информации можно сформулировать следующие основные задачи защиты информации в организациях (предприятиях, учреждениях):
- Предотвращение разглашения сведений ограниченного доступа (обеспечение режима конфиденциальности (секретности) информации).
- Предотвращение перехвата информации в процессе ее обработки техническими средствами (защита объектов информатизации от утечки информации по техническим каналам).
- Предотвращение перехвата акустической (речевой) информации из выделенных (защитщаемых) помещений (защита выделенных помещений от утечки речевой информации по техническим каналам).
- Предотвращение негласного визуального наблюдения и съемки (документирования) объектов информатизации, выделенных помещений, средств отображения информации и т.д.
- Предотвращение перехвата информации, передаваемой по каналам связи (защита информации, передаваемой по каналам связи).
- Предотвращение несанкционированного доступа нарушителей к информации, обрабатываемой средствами вычислительной техники (СВТ) и/или автоматизированными системами (АС), в результате которого возможно неправомерное ознакомление с информацией или ее копирование, или ее уничтожение, блокирование или модификация (защита информации от несанкционированного доступа).
- Предотвращение несанкционированного снятия копий с носителей информации (защита носителей информации от несанкционированного копирования).
- Предотвращение специальных программных воздействий на информацию или программное обеспечение технических средств обработки информации (ТСОИ), вызывающих или уничтожение, блокирование, модификацию, копирование компьютерной информации, или нейтрализацию средств защиты информации, или нарушение функционирования ТСОИ (защита информации от вредоносных программ и компьютерных вирусов).
- Предотвращение программно-технических воздействий на информацию, программное обеспечение ТСОИ или непосредственно ТСОИ, вызывающих или уничтожение, блокирование, модификацию, копирование компьютерной информации, или нейтрализацию средств защиты информации, или нарушение функционирования ТСОИ (защита информации от программно-технических воздействий).
- Предотвращение перехвата информации, обрабатываемой техническими средствами, электронными устройствами перехвата информации (закладочными устройствами), скрытно внедренными в технические средства обработки информации (выявление электронных устройств перехвата, внедренных в технические средства).
- Предотвращение перехвата акустической (речевой) информации электронными устройствами перехвата информации (закладочными устройствами), скрытно внедренными в выделенные (защищаемые) помещения (выявление электронных устройств перехвата, внедренных в выделенные помещения).
- Предотвращение преднамеренного силового электромагнитного воздействия на носители информации и ТСОИ, вызывающего разрушение носителей информации и ТСОИ или сбои в их работе (защита ТСОИ и носителей информации от силового электромагнитного воздействия).
- Предотвращение несанкционированного доступа на объекты информатизации и в выделенные (защищаемые) помещения (физическая защита объектов информатизации и выделенных помещений).
- Предотвращение хищения и утраты носителей информации (физическая защита носителей информации).
- Оценка соответствия уровня защиты информации требованиям нормативно-правовых актов и нормативно-методических докуметов ФСТЭК и ФСБ России по защите информации.
С практической точки зрения ряд задач, близких по содержанию, целесообразно объеденить в группы (направления защиты информации):
защита информации от разглашения - защита информации, направленная на предотвращение неконтролируемого распространения (предоставления) защищаемой информации;
защита информации от утечки по техническим каналам - защита информации, направленная на предотвращение перехвата информации, обрабатываемой техническими средствами или обсуждаемой в выделенном помещении, техническими средствами разведки (ТСР) или специальными техническими средствами, предназначенными для негласного получения информации (СТС);
защита информации от несанкционированного доступа - защита информации, направленная на предотвращение доступа к информации, осуществляемого с нарушением установленных прав и (или) правил доступа к информации с применением штатных средств, предоставляемых СВТ или АС, или средств, аналогичных им по своим функциональному предназначению и техническим характеристикам;
защита информации от несанкционированных и непреднамереных воздействий - защита информации, направленная на предотвращение несанкционированных и непреднамеренных воздействий на защищаемую информацию, приводящих к: модифицированию (искажению, подмены), уничтожению, копированию информации, блокированию доступа к информации, нейтрализации средств защиты информации,сбою функционирования технических или программых средств, повреждению или выводу из строя носителя информации и т.д.
защита информации, передаваемой по каналам связи - защита информации, направленная на предотвращение перехвата информации, передаваемой по каналам связи;
физическая защита объектов информацизации (выделенных помещений) и носителей информации - защита объектов информатизации (выделенных помещений и т.д.), направленная на предотвращение проникновения на них посторонних лиц, а также носителей информации от их хищения и утраты;
контроль защищенности информации - комплекс мероприятий, направленных на оценку соответствие уровня защиты информации требованиям нормативно-правовых актов и нормативно-методических докуметов по защите информации. Можно выделить два основных вида контроля защищенности информации: аттестация объектов информатизации (выделенных помещений) по требованиям безопасности информации и аудит безопасности информации (аудит информационной безопасности).
Для защиты информации используются технические, программые и программо-технические средства (далее - средства защиты информации). Подтверждение соответствия средств защиты информации требованиям технических регламентов, положений стандартов и техническим условиям проводится в процессе их сертификации. Поэтому, сертификацию средств защиты информации на соответствие требованиям по безопасности информации также можно отнести к отдельному направлению защиты информации.
Список используемой литературы
- Об информации, информационных технологиях и о защите информации: федер. закон от 27 июля 2006 г. № 149-ФЗ: [принят Гос. Думой 8 июля 2006 г.: одобрен Советом Федерации 14 июля 2006 г.]. [Электронный ресурс]. – Режим доступа: http://www.rg.ru/2006/07/29/informacia-dok.html.
Продолжение следует
