Характеристика організаційних і технічних заходів інженерно технічного захисту інформації в державних

Необхідний рівень безпеки інформаційних ресурсів визначається в процесі різних аналітичних досліджень, які зумовлюють структуру і необхідну ефективність системи захисту цих ресурсів з урахуванням фінансових можливостей фірми.
Політика (концепція, програма) інформаційної безпеки фірми практично реалізується комплексом напрямків і методів захисту інформації, що забезпечує її безпеку. Захист інформації являє собою жорстко регламентований і динамічний технологічний процес, що попереджає порушення доступності, цілісності, достовірності та конфіденційності цінних інформаційних ресурсів і в кінцевому рахунку забезпечує достатньо надійну безпеку інформації в процесі управлінської та виробничої діяльності фірми. Якщо програма інформаційної безпеки відображає передбачувану ідеальну захищеність інформації, то захист інформації - це реальна динамічна модель вирішення завдань, поставлених в програмі.
Передбачається, що захист інформації здійснюється, насамперед, від несанкціонованого доступу до неї сторонньої особи, який в результаті цього доступу має можливість викрасти інформацію, знищити носій, фальсифікувати відомості, зробити підміну документів або вчинити інші зловмисні дії.
Отже, інформаційна безпека, безпека інформації та захист інформації пов'язані єдиною метою, розв'язуваними завданнями і послідовною реалізацією їх в умовах необхідності забезпечення економічної безпеки підприємства.
2.2. Інформаційні ресурси, продукти і послуги
Відповідно до Федерального закону «Про інформацію, інформатизації і захисту інформації» інформаційні ресурси підприємства, організації, установи, банку, компанії та інших державних і недержавних, в тому числі підприємницьких, структур (далі за текстом - фірми) включають в себе окремі документи і окремі масиви документів (справи), документи і комплекси документів в інформаційних системах (бібліотеках, архівах, фондах, банках даних комп'ютерів та інших інформаційних системах) на будь-яких носіях, в тому числі забезпечують роботу обчислювальної та організаційної техніки.
Інформаційні ресурси формуються в процесі створення та розповсюдження вихідної і похідної інформації. Цей процес супроводжує будь-яку виробничу та управлінську діяльність у державній та недержавної сферах, а також життя громадянина. Для інформаційних ресурсів характерний ретроспективний аспект, що визначається технологічною завершеністю їх виникнення.
Інформаційні ресурси (інформація) є об'єктами відносин фізичних та юридичних осіб між собою і з державою, складають у сукупності інформаційні ресурси Росії та охороняються законом поряд з іншими видами ресурсів.
Інформація, яка використовується підприємцем у бізнесі та управлінні фірмою, є його власною або приватною інформацією. Така інформація становить інтелектуальну власність підприємця. До інтелектуальної власності (інтелектуальному продукту) як результату творчої праці відносять комерційно цінну ідею, технічні, технологічні (ноу-хау) та наукові (ноу-ноу) нововведення, оригінальні методи управління, організації бізнесу і інші досягнення. Інформація як результат творчості може бути не тільки предметом інтелектуальної власності, але й відображати характеристики, властиві об'єкту інтелектуальної власності.
Практична реалізація концепції інформаційних ресурсів пов'язана з поширенням інформації шляхом підготовки інформаційних продуктів і надання інформаційних послуг. Інформаційні продукти - документована інформація, підготовлена ​​у відповідності з потребами користувачів і призначена або застосовується для задоволення потреб користувачів. Інформаційні послуги - дії суб'єктів (власників і власників ресурсів) щодо забезпечення користувачів інформаційними продуктами.
Правовий режим інформаційних ресурсів визначається нормами, що встановлюють:
- Порядок документування інформації;
- Право власності на окремі документи і окремі масиви документів;
- Категорію інформації за рівнем доступу до неї;
- Порядок правової охорони інформації.
Документування інформації (створення офіційного документа) є обов'язковою умовою включення інформації в інформаційні ресурси. Але слід обмовитися, що при формуванні системи захисту інформації нас цікавить також інформація, представлена ​​в недокументированно вигляді - у вигляді звукової хвилі, електромагнітного випромінювання та в іншій формі.
Документована інформація є комплексним поняттям, заснованим на її двуедінстве: з одного боку, це інформація (факти, дані, відомості), а з іншого - матеріальний носій. У процесі документування інформація (результат творчої роботи людини) упредметнюється, стає документом. Подібний підхід до документованої інформації є істотним при вирішенні завдань забезпечення безпеки інформації та збереження її носія.
Слід враховувати, що документ може бути не тільки і навіть не стільки управлінським (діловим), що мають в більшості випадків текстову, табличну або анкетну форму. Значно більші обсяги найбільш цінних документів представлені в образотворчій формі: конструкторські документи, картографічні, науково-технічні, документи на фотографічних, магнітних та інших носіях.
По приналежності до того або іншого виду власності інформаційні ресурси можуть бути державними чи недержавними і як елемент складу майна знаходитися у власності громадян, органів державної влади, виконавчих органів, органів місцевого самоврядування, державних установ, організацій і підприємств, громадських об'єднань, підприємницьких структур. Захисту, охороні підлягає будь-який цінний документована інформація, неправомірне поводження з якою може завдати шкоди її власнику, власнику, користувачеві або іншій особі.
Цінність інформації може бути вартісної категорією і характеризувати конкретний розмір прибутку при її використанні чи розмір збитків при її втраті. Інформація часто стає цінним з огляду на її правового значення для фірми або розвитку бізнесу, наприклад установчі документи, програми та плани, договори з партнерами та посередниками і т. д. Цінність може виявлятися в її перспективному науковому, технічному або технологічному значенні.
Зазвичай виділяються два види інформації, інтелектуально цінною для підприємця:
- Технічна, технологічна: методи виготовлення продукції, програмне забезпечення, виробничі показники, хімічні формули, рецепти, розрахунки, результати випробувань дослідних зразків, дані контролю якості і т. п.;
- Ділова: вартісні показники, результати дослідження ринку, списки клієнтів, економічні прогнози, стратегія дій на ринку і т. п.
Цінна інформація охороняється нормами права (патентного, авторського, суміжних прав та ін), товарним знаком чи захищається включенням її до категорії інформації, що становить таємницю фірми.
Процес виявлення та регламентації реального складу цінної інформації, у тому числі складової секрети фірми, є основоположною частиною системи захисту інформації.
Склад цих відомостей фіксується в спеціальному переліку, закріплює факт віднесення їх до інформації, що захищається і визначальному період (строк) конфіденційності (тобто недоступності для всіх) цих відомостей, рівень (гриф) їх конфіденційності, список співробітників фірми, яким дано право використовувати ці відомості в роботі. В основі переліку лежить типовий склад захищаються відомостей фірм даного профілю. Перелік є постійним робочим матеріалом керівництва фірми, служб безпеки та конфіденційної документації. Він являє собою класифікований список типовий і конкретної цінної інформації про проведені роботи, виробленої продукції, наукових та ділових ідеях, технологічних нововведеннях. У перелік включаються дійсно цінні відомості («родзинки») про кожну роботу фірми. Слід зазначити, що не можна обмежувати доступ до інформації, що відноситься до нової продукції, але не має інтелектуальної цінності.
Додатково може складатися перелік документів, в яких цінна інформація відображається (документується). У перелік включаються документи, що представляють цінність для фірми і підлягають охороні. Часто звичайний відкритий правовий акт важливо зберегти в цілісності та безпеки від викрадача чи стихійного лиха. Переліки формуються індивідуально кожною фірмою відповідно до рекомендацій спеціальної комісії і затверджуються першим керівником фірми. Ця комісія регулярно вносить поточні зміни до переліків відповідно З динамікою виконання фірмою конкретних робіт.
При укладанні будь-якого договору (контракту) сторони повинні брати на себе взаємні письмові зобов'язання щодо захисту конфіденційної інформації іншої сторони і документів, отриманих при переговорах, виконанні умов договору.
Виробнича або комерційна цінність інформації, як правило, недовговічна і визначається часом, необхідним конкуренту для вироблення тієї ж ідеї чи її розкрадання і відтворення, а також часом до патентування, опублікування та переходу до числа загальновідомих.
Отже, інформаційні ресурси, продукти та послуги, які регламентують їх правові норми інтелектуальної і речової власності на інформацію, знаходять конкретне відображення в інформаційній моделі кожної фірми, побудованої у відповідності з рівнем цінності циркулюючих відомостей, які забезпечують управлінські та виробничі функції.
2.3. Конфіденційність як головна умова захисту інформації від несанкціонованого доступу
У відповідності з інтересами забезпечення національної безпеки і ступенем цінності для держави, а також правовими, економічними та іншими інтересами підприємницьких структур інформаційні ресурси можуть бути: а) відкритими, тобто загальнодоступними, використовуваними в роботі без спеціального дозволу, що публікуються в засобах масової інформації , оголошуваними на конференціях, у виступах та інтерв'ю, б) обмеженого доступу та використання, тобто містять відомості, що становлять той чи інший вид таємниці (державної, службової, комерційної, професійної тощо) і підлягають захисту, охорони, спостереження і контролю.
Забороняється відносити до інформації обмеженого доступу:
- Законодавчі та інші нормативні акти, що встановлюють правовий статус органів державної влади, виконавчих органів, органів місцевого самоврядування, організацій, громадських об'єднань, а також права, свободи і обов'язки громадян, порядок їх реалізації;
- Документи, що містять інформацію про надзвичайні ситуації, екологічну, метеорологічну, демографічну, санітарно-епідеміологічну та іншу інформацію, необхідну для забезпечення безпечного функціонування населених пунктів, виробничих об'єктів, безпеки громадян і населення в цілому;
- Документи, що містять інформацію про діяльність органів державної влади, виконавчих органів та органів місцевого самоврядування, про використання бюджетних коштів та інших державних і місцевих ресурсів, про стан економіки і потреби населення, за винятком відомостей, що відносяться до державної таємниці;
- Документи, що накопичуються у відкритих фондах бібліотек та архівів, інформаційних системах органів державної влади, виконавчих органів, органів місцевого самоврядування, організацій, громадських об'єднань, що представляють суспільний інтерес чи необхідні для реалізації прав, свобод і обов'язків громадян.
Документована інформація обмеженого доступу завжди належить до одного з видів таємниці - державної або недержавної. Відповідно до цього документи поділяються на приватні та несекретні.
Обов'язковою ознакою (критерієм приналежності) секретного документа є наявність у ньому відомостей, що становлять відповідно до законодавства державну таємницю. Несекретні документи, що включають відомості, що відносяться до недержавної таємниці (службової, комерційної або підприємницької, банківської, професійної, виробничої та ін) або містять персональні дані громадян, іменуються конфіденційними.
Незважаючи на те що конфіденційність є синонімом секретності, термін широко використовується виключно для позначення інформаційних ресурсів обмеженого доступу, не віднесених до державної таємниці. Конфіденційність відображає обмеження, яке накладає власник інформації на доступ до неї інших осіб, тобто власник встановлює правовий режим цієї інформації відповідно до закону. Разом з тим відповідно до Федерального закону Російської Федерації від 29 липня 2004 р. «Про комерційну таємницю» до конфіденційних документів не можна відносити:
1) відомості, що містяться в установчих документах юридичної особи, документах, що підтверджують факт внесення записів про юридичних осіб та про індивідуальних підприємців у відповідні державні реєстри;
2) відомості, що містяться в документах, що дають право на здійснення підприємницької діяльності;
3) відомості про склад майна державного або муніципального унітарного підприємства, державної установи та про використання ними коштів відповідних бюджетів;
4) відомості про забруднення навколишнього середовища, стан протипожежної безпеки, санітарно-епідеміологічної та радіаційної обстановки, безпеки харчових продуктів та інших факторах, які впливають на забезпечення безпечного функціонування виробничих об'єктів, безпеки кожного громадянина і безпеки населення в цілому;
5) відомості про чисельність, склад працівників, систему оплати праці, про умови праці, у тому числі про охорону праці, про показники виробничого травматизму та професійної захворюваності, і про наявність вільних робочих місць;
6) відомості про заборгованість роботодавців із виплати заробітної плати і по інших соціальних виплатах;
7) відомості про порушення законодавства Російської Федерації і факти притягнення до відповідальності за вчинення цих порушень;
8) відомості про умови конкурсів чи аукціонів з приватизації об'єктів державної або муніципальної власності;
9) відомості про розміри та структуру доходів некомерційних організацій, про розміри та склад їх майна, про їх витрати, про чисельність і про оплату праці їх працівників, про використання безоплатного праці громадян у діяльності некомерційної організації;
10) відомості про перелік осіб, які мають право діяти без довіреності від імені юридичної особи;
11) відомості, обов'язковість розкриття яких або неприпустимість обмеження доступу до яких встановлена ​​іншими федеральними законами.
Інтелектуально цінна інформація не може існувати поза певних предметних утворень. Накопичувачі цінних інформаційних ресурсів називаються джерелами (носіями, володарями) інформації. Вони являють собою пасивні концентратори цієї інформації і включають в себе:
- Публікації про фірму та її розробки;
- Рекламні видання, виставочні матеріали;
- Документацію;
- Персонал фірми і оточуючих фірму людей;
- Фізичні поля, хвилі, випромінювання, що супроводжують роботу обчислювальної та іншої офісної техніки, різних приладів та засобів зв'язку.
Джерела містять інформацію як відкритого, так і обмеженого доступу. Причому інформація того і іншого роду знаходиться в єдиному інформаційному просторі і розділити її без ретельного змістовного аналізу часто не представляється можливим. Наприклад, систематизована сукупність відкритої інформації в комплексі завжди містить відомості обмеженого доступу.
Документація як джерело інформації обмеженого доступу включає:
- Документацію, що містить інтелектуально цінні, як правило, конфіденційні відомості;
- Комплекси звичайної ділової та науково-технічної документації, що містить загальновідомі відомості, організаційно-правові та розпорядчі документи;
- Робочі записи співробітників, їх службові щоденники, особисті робочі плани, переписку з виробничих питань;
- Особисті архіви співробітників фірми.
У кожній із зазначених груп можуть бути:
- Документи на традиційних паперових носіях (листах паперу, ватмані, фотопапері і т. п.);
- Документи на технічних носіях (магнітних, фотопленочних і т. п.);
- Електронні документи, банки електронних документів, зображення документів на екрані дисплея (відеограми).
При виконанні управлінських і виробничих дій будь-яка інформація джерела (в тому числі інформація обмеженого доступу) завжди поширюється у зовнішньому середовищі. Тим самим збільшується кількість небезпечних джерел розголошення або витоку інформації обмеженого доступу, джерел, що підлягають обліку і контролю.
Канали розповсюдження інформації носять об'єктивний характер, відрізняються активністю і включають в себе:
- Ділові, управлінські, торгові, наукові та інші комунікативні регламентовані зв'язки;
- Документопотоки;
- Інформаційні мережі;
- Природні технічні канали випромінювання, створення фону.
Канал розповсюдження інформації представляє собою шлях переміщення відомостей з одного джерела в інший в санкціонованому (дозволеному, законному) режимі або в силу об'єктивних закономірностей. Наприклад: передача документа виконавцю, обговорення важливого питання на закритій нараді, запис на папері змісту винаходу, переговори з потенційним партнером, робота на ЕОМ і т. д.
Отже, інформаційні ресурси фірми представляють собою динамічну категорію, що проявляється насамперед у процесі документування інформації, об'єктивному виникненні та розширенні складу джерел і каналів її поширення.
2.4. Конфіденційні документи
Під конфіденційним (закритим, що захищається) документом розуміється необхідним чином оформлений носій документованої інформації, що містить відомості обмеженого доступу або використання, які становлять інтелектуальну власність юридичної або фізичної особи. Конфіденційні документи не слід називати секретними або ставити на них гриф секретності, так як конфіденційні і секретні документи відображають різні види таємниці.
Конфіденційні документи включають в себе:
- У державних структурах: службову інформацію обмеженого поширення, іменовану в чиновницькому побуті інформацією для службового користування, тобто інформацією, віднесеної до службової таємниці, а також документи, що мають робочий характер і не підлягають публікації у відкритій пресі (проекти документів, супутні матеріали та ін);
- У підприємницьких структурах і напрямах подібної діяльності: відомості, які їх власник або власник відповідно до законодавства має право віднести до комерційної (підприємницької) таємниці, таємниці фірми, таємниці майстерності, інших видів недержавної таємниці;
- Незалежно від приналежності: будь-які персональні (особисті) дані про громадян, а також відомості, що містять професійну таємницю, технічні та технологічні нововведення (до їх патентування), таємницю підприємств зв'язку, сфери обслуговування і т. п.
Особливістю конфіденційного документа є те, що він представляє собою одночасно:
- Масовий носій цінної, що захищається інформації;
- Основне джерело накопичення та об'єктивного поширення цієї інформації, а також її неправомірного розголошення або витоку;
- Обов'язковий об'єкт захисту.
Конфіденційність документів завжди має значний розкид за термінами обмеження вільного доступу до них персоналу фірми (від декількох годин до значного числа років). Слід враховувати, що основна маса конфіденційних документів після закінчення їх виконання або роботи з ними втрачає свою цінність і конфіденційність. Наприклад, листування до укладення контракту може мати гриф конфіденційності, але після його підписання цей гриф з письмового дозволу першого керівника фірми знімається.
Виконані документи, що зберегли конфіденційний характер і цінність для діяльності фірми, формуються у справи відповідно до номенклатури справ. Період перебування конфіденційних документів у справах може бути короткочасним або тривалим в залежності від цінності інформації, що міститься в документах справи. Період конфіденційності документів визначається за вказаною вище переліку конфіденційних відомостей і залежить від специфіки діяльності фірми. Наприклад, виробничі, науково-дослідні фірми мають більш цінними документами, ніж торговельні, посередницькі та ін
Документи довготривалого періоду конфіденційності (програми та плани розвитку бізнесу, технологічна документація ноу-хау, ноу-ноу, винаходи тощо) мають ускладнений варіант обробки і зберігання, що забезпечує безпеку інформації та її носія. Документи короткочасного періоду конфіденційності, що мають оперативне значення для діяльності фірми, - обробляються і зберігаються за спрощеною схемою і можуть не виділятися з технологічної системи обробки відкритих документів за наявності в цій системі мінімальних захисних, контрольних та аналітичних елементів.
Отже, конфіденційні документи характеризуються специфічними особливостями, які відображають їх сутність як носіїв інформації обмеженого доступу і визначають побудову системи захисту цієї інформації.
2.5. Загрози конфіденційної інформації
Усі інформаційні ресурси фірми постійно піддаються об'єктивним та суб'єктивним загрозам втрати носія або цінності інформації.
Під загрозою, або небезпекою, втрати інформації розуміється одиничне або комплексне, реальне або потенційне, активне чи пасивне прояв несприятливих можливостей зовнішніх або внутрішніх джерел загрози створювати критичні ситуації, події, надавати дестабілізуючий вплив на захищає інформацію, документи і бази даних.
Ризик загрози дестабілізуючого впливу будь-яким (відкритим і обмеженого доступу) інформаційних ресурсів створюють стихійні лиха, екстремальні ситуації, аварії технічних засобів і ліній зв'язку, інші об'єктивні обставини, а також зацікавлені і незацікавлені у виникненні загрози особи. До загроз, що створюються цими особами, відносяться: несанкціоноване знищення документів, прискорення згасання (старіння) тексту або зображення, підміна або вилучення документів, фальсифікація тексту або його частини та ін
Для інформаційних ресурсів обмеженого доступу діапазон загроз, які передбачають втрату інформації (розголошення, витік) або втрату носія, значно ширше в результаті того, що до цих документів виявляється підвищений інтерес з боку різного роду зловмисників.
Під зловмисником розуміється особа, що діє в інтересах конкурента, супротивника або в особистих корисливих інтересах (агентів іноземних спецслужб, промислового та економічного шпигунства, кримінальних структур, окремих злочинних елементів, осіб, які співпрацюють зі зловмисником, психічно хворих осіб і т. п.).
На відміну від об'єктивного поширення втрата інформації тягне за собою незаконний перехід конфіденційних відомостей, документів до суб'єкта, який не має права володіння ними і використання у своїх цілях.
Основною загрозою безпеки інформаційних ресурсів обмеженого поширення є несанкціонований (незаконний, недозволений) доступ зловмисника або сторонньої особи до документованої інформації і як результат - оволодіння інформацією і протиправне її використання або вчинення інших дестабілізуючих дій.
Під сторонньою особою розуміється будь-яка особа, що не має безпосереднього відношення до діяльності фірми (працівники інших організаційних структур, працівники комунальних служб, екстремальної допомоги, перехожі, відвідувачі фірми), а також співробітники даної фірми, що не володіють правом доступу в певні приміщення, до конкретного документа , інформації, базі даних. Кожна із вказаних осіб може бути зловмисником чи його спільником, агентом, але може і не бути ним.
Цілями і результатами несанкціонованого доступу може бути не тільки оволодіння цінними відомостями і їх використання, а й їх видозміну, модифікація, знищення, фальсифікація, підміна і т. п.
Обов'язковою умовою успішного здійснення спроби несанкціонованого доступу до інформаційних ресурсів огранічейного доступу є інтерес до них з боку конкурентів, певних осіб, служб і організацій. При відсутності такого інтересу загроза інформації не виникає навіть у тому випадку, якщо створилися передумови для ознайомлення з нею сторонньої особи. Основним винуватцем несанкціонованого доступу до інформаційних ресурсів є, як правило, персонал, що працює з документами, інформацією та базами даних. При цьому треба мати на увазі, що втрата інформації відбувається у більшості випадків не в результаті навмисних дій зловмисника, а через неуважність і безвідповідальності персоналу. Отже, втрата інформаційних ресурсів обмеженого доступу може настати при:
- Наявності інтересу конкурента, установ, фірм або осіб до конкретної інформації;
- Виникненні ризику загрози, організованою зловмисником, або при випадково сформованих обставинах;
- Наявності умов, що дозволяють зловмисникові здійснити необхідні дії і оволодіти інформацією.
Ці умови можуть включати:
- Відсутність системної аналітичної та контрольної роботи з виявлення та вивчення загроз, каналів і ступеня ризику порушень безпеки інформаційних ресурсів;
- Неефективну систему захисту інформації або відсутність цієї системи, що утворює високу ступінь уразливості інформації;
- Непрофесійно організовану технологію обробки і зберігання конфіденційних документів;
- Невпорядкований підбір персоналу і плинність кадрів, складний психологічний клімат у колективі;
- Відсутність системи навчання працівників правил захисту інформації обмеженого доступу;
- Відсутність контролю з боку керівництва фірми за дотриманням персоналом вимог нормативних документів по роботі з інформаційними ресурсами обмеженого доступу;
- Безконтрольне відвідування приміщень фірми сторонніми особами.
Слід завжди пам'ятати, що факт документування різко збільшує ризик загрози інформації. Великі майстри минулого ніколи не записували секрети свого мистецтва, а передавали їх усно синові, учневі. Тому таємниця виготовлення багатьох унікальних предметів того часу так і не розкрита до наших днів.
Отже, загрози конфіденційної інформації завжди реальні, відрізняються великою різноманітністю і створюють передумови для втрати інформації. Джерела загрози інформації конкретної фірми повинні бути добре відомі. В іншому разі не можна професійно побудувати систему захисту інформації.
2.6. Канали втрати інформації
Загрози схоронності, цілісності і конфіденційності інформаційних ресурсів обмеженого доступу практично реалізуються через ризик утворення каналу несанкціонованого отримання (добування) кимось цінної інформації і документів. Цей канал являє собою сукупність незахищених або слабо захищених фірмою напрямків можливої ​​втрати конфіденційної інформації, які зловмисник використовує для отримання необхідних відомостей, навмисного незаконного доступу до інформації, що захищається.
Кожна конкретна фірма володіє своїм набором каналів несанкціонованого доступу до інформації, що залежить від безлічі моментів - профілю діяльності, обсягів інформації, що захищається, професійного рівня персоналу, місця розташування будівлі і т. п.
Функціонування каналу несанкціонованого доступу до інформації обов'язково тягне за собою втрату інформації або зникнення носія інформації.
У тому випадку, коли мова йде про втрату інформації з вини персоналу, використовується термін «розголошення (розголос) інформації». Людина може розголошувати інформацію усно, письмово, за допомогою жестів, міміки, умовних сигналів, особисто, через посередників, по каналах зв'язку і т. д. Термін «витік інформації», хоча і використовується найбільш широко, однак більшою мірою відноситься, на нашу думку, до втрати інформації за рахунок її перехоплення за допомогою технічних засобів розвідки, по технічних каналах.
Втрата інформації характеризується двома умовами, а саме інформація переходить: а) безпосередньо до зацікавленій особі - конкуренту, зловмисникові або б) до випадкового, третій особі.