Виды защиты информации. Методы и способы ее защиты

Понятие и сущность защиты информации

Предупреждение несанкционированного доступа к информации;

Создание условий, ограничивающих распространение информации;

Ограждение права собственника на владение и распоряжение информацией;

Предотвращение утечки, хищения, утраты, несанкционированного уничтожения, копирования, модификации, искажения, блокирования, разглашения информации, несанкционированных и непреднамеренных воздействий на нее;

Сохранение полноты, надежности, целостности, достоверности, конфиденциальности информации и т.д.

Методологической основой для раскрытия сущности и определения понятия защиты информации должно быть определение понятия защита в целом, безотносительно к предмету защиты.

В толковых словарях термин защита интерпретируется двояко: как процесс охраны, сбережения, спасения от кого, чего-нибудь неприятного, враждебного, опасного и как совокупность методов, средств и мер, принимаемых для предотвращения, предупреждения чего-то. Таким образом, содержательная часть в этих определениях по смыслу совпадает – это предотвращение, предупреждение чего-то опасного, враждебного. Если соотнести это положение с защитой информации, то самым опасным для собственника информации является нарушение установленного статуса информации, и поэтому содержательной частью защиты должно быть, предотвращение такого нарушения.

Нарушение статуса любой информации заключается в нарушении ее физической сохранности вообще либо у данного собственника (в полном или частичном объеме), структурной целостности, доступности для правомочных пользователей. Нарушение статуса конфиденциальной информации, в том числе составляющей государственную тайну, дополнительно включает в себя нарушение ее конфиденциальности (закрытости для посторонних лиц).

Вторая составляющая сущности защиты информации – способ реализации содержательной части – в толковых словарях, как уже отмечалось, представлена как процесс или как совокупность методов, средств и мероприятий.

Защита информации включает в себя определенный набор методов, средств и мероприятий, однако ограничивать способ реализации только этим было бы неверно. Защита информации должна быть системной, а в систему помимо методов, средств и мероприятий входят и другие компоненты: объекты защиты, органы защиты, пользователи информации. При этом защита не должна представлять собой нечто статичное, а являться непрерывным процессом. Но этот процесс не осуществляется сам по себе, а происходит в результате деятельности людей. Деятельность же, по определению, включает в себя не только процесс, но и цели, средства и результат. Защита информации не может быть бесцельной, безрезультатной и осуществляться без помощи определенных средств. Поэтому именно деятельность и должна быть способом реализации содержательной части защиты.

Защита информации – деятельность по предотвращению утраты и утечки конфиденциальной информации и утраты защищаемой открытой информации.

Цель защиты информации – желаемый результат защиты информации. Целью защиты информации может быть предотвращение ущерба собственнику, владельцу, пользователю информации в результате возможной утечки информации и/или несанкционированного и непреднамеренного воздействия на информацию.

Концепция информационной безопасности, как система взглядов на цели, способы обеспечения безопасности информации и средства ее защиты, должна в общем виде отвечать на три простых вопроса:

Что защищать?

От чего защищать?

Как защищать?

С вопросом «Что защищать?» связано понятие объекта защиты.

Объект защиты – информация или носитель информации, или информационный процесс, в отношении которых необходимо обеспечивать защиту в соответствии с поставленной целью защиты информации;

Объект защиты – информация, технические средства и технология ее обработки, в отношении которых необходимо обеспечить безопасность информации.

Ключевое свойство информации – ее ценность, то есть, стоимость ущерба от разрушения, потери или разглашения. Кроме того, спецификой информации является то, что она не исчезает при потреблении, не передается полностью при обмене (в отличие от денег она остается и у старого пользователя). С одной стороны, она является «неделимой», то есть имеет смысл только при достаточно полном объеме сведений, с другой стороны, качество ее повышается при добавлении новых достоверных данных, то есть можно проводить постепенное накапливание сведений и небольшими частями. Поэтому, прежде чем ответить на первый вопрос, необходимо четко разобраться, какая информация может потребовать защиты. (Это может быть, например, весь объем данных, накапливающийся и формирующийся в фирме, которые имеют коммерческую значимость, сведения о поставщиках и производителях, о продавцах и дилерах, о договорах и клиентах, планы фирмы, предельные цены, размеры премий дилерам и посредникам, имена и адреса сотрудников, себестоимость продукции, маркетинговые и аналитические исследования).

Следующим шагом должно стать разделение этих объектов защиты по степени ценности содержащейся в них информации и определение потенциально опасных систем, позволяющих получить к ним доступ. Поэтому все описанные средства несанкционированного съема информации привязаны к конкретному носителю, для работы с которым они предназначены. На основании вышеизложенного можно практически ответить на первый вопрос. Если хоть в общих чертах знать основные методы работы злоумышленников и возможности их аппаратуры, то это не займет много времени.

Многие службы безопасности крупных коммерческих структур успешно проводят операции по добыванию информации о потенциальных клиентах, партнерах или конкурентах. Они же жестко контролируют собственных сотрудников во избежание утечки своих секретов. Нельзя забывать, что интеграция России в международные организации, участие в совместных фирмах и проектах делает отечественных предпринимателей объектом внимания частных и даже государственных служб разведки Запада и Востока.

Вопрос «От чего защищать?» связан с понятием угрозы. Угроза – потенциальная возможность неправомерного преднамеренного или случайного воздействия, приводящее к потере или разглашению информации. Обычно выделяют внутренние и внешние источники угроз.

С вопросом «Как защитить информацию?» неотъемлемо связано понятие система защиты информации.

Система защиты информации – совокупность органов и/или исполнителей, используемая ими техника защиты информации, а также объекты защиты, организованные и функционирующие по правилам, установленным соответствующими правовыми, организационно-распорядительными и нормативными документами по защите информации.

Основными целями защиты информации являются:

Предотвращение утечки, хищения, утраты, искажения, подделки информации;

Предотвращение угроз безопасности личности, общества, государства;

Предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации;

Предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы;

Обеспечение правового режима документированной информации как объекта собственности;

Защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах;

Сохранение государственной тайны документированной информации в соответствии с законодательством;

Обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологий и средств их обеспечения.

В соответствии с этими целями процесс защиты информации должен обеспечить поддержание ее целостности и конфиденциальности.

Классификация и характеристика основных методов и средств защиты

К настоящему времени разработано много различных средств, методов, мер и мероприятий, предназначенных для защиты информации. Сюда входят:

Аппаратные и программные средства,

Криптографическое закрытие информации,

Физические меры,

Организационные мероприятия,

Законодательные меры,

Морально-этические средства.

Иногда все эти средства защиты делятся на технические и нетехнические, причем, к техническим относят аппаратные и программные средства и криптографическое закрытие информации, а к нетехническим – все остальные.

Аппаратные средства – устройства, встраиваемые непосредственно в вычислительную технику, или устройства, которые сопрягаются с ней по стандартному интерфейсу. К аппаратным средствам защиты относятся различные электронные, электронно-механические, электронно-оптические устройства. Например, генераторы кодов, предназначенные для автоматического генерирования идентифицирующего кода устройства, устройства измерения индивидуальных характеристик человека (голоса, отпечатков) с целью его идентификации (биометрическая идентификация), и т.д. Особую и получающую наибольшее распространение группу аппаратных средств защиты составляют устройства для шифрования информации (криптографические методы).

Программные средства – это специальные программы и программные комплексы, предназначенные для защиты информации в ИС. К программным средствам защиты относятся специальные программы, которые предназначены для выполнения функций защиты и включаются в состав программного обеспечения систем обработки данных. Программная защита является наиболее распространенным видом защиты, чему способствуют такие положительные свойства данного средства, как универсальность, гибкость, простота реализации, практически неограниченные возможности изменения и развития и т.п.

Криптографическое закрытие (шифрование) информации заключается в таком преобразовании защищаемой информации, при котором по внешнему виду нельзя определить содержание закрытых данных. Криптографической защите специалисты уделяют особое внимание, считая ее наиболее надежной, а для информации, передаваемой по линии связи большой протяженности – единственным средством защиты информации от хищений.

Физические средства включают различные инженерные устройства и сооружения, препятствующие физическому проникновению злоумышленников на объекты защиты и осуществляющие защитуперсонала (личные средства безопасности), материальных средств и финансов, информации от противоправных действий. Примеры физических средств: замки на дверях, решетки на окнах, средства электронной охранной сигнализации и т.п.

Организационные средства осуществляют своим комплексом регламентацию производственной деятельности в ИС и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к конфиденциальной информации становится невозможным или существенно затрудняется за счет проведения организационных мероприятий. Комплекс этих мер реализуется группой информационной безопасности, но должен находиться под контролем первого руководителя.

Законодательные средства защиты определяются законодательными актами страны, которыми регламентируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.

Морально-этические средства защиты включают всевозможные нормы поведения, которые традиционно сложились ранее, складываются по мере распространения ИС и ИТ в стране и в мире или специально разрабатываются. Морально-этические нормы могут быть неписаные (например, честность) либо оформленные в некий свод (устав) правил или предписаний. Эти нормы, как правило, не являются законодательно утвержденными, но поскольку их несоблюдение приводит к падению престижа организации, они считаются обязательными для исполнения.

Мероприятия по защите информации:

Организационные – мероприятия ограничительного характера, сводящиеся к регламентации доступа и использования технических средств обработки информации.

Организационно-технические – обеспечивают блокирование возможных каналов утечки информации через технические средства с помощью специальных устройств, устанавливаемых на элементы конструкций зданий, помещений, технических средств обработки информации.

Технические – приобретение, установка и использование защищенных от различных воздействий технических средств обработки информации.

Принято различать следующие основные виды средств защиты :

Нормативно-правовые

Морально-этические

Организационные

Технические.

Нормативно-правовые – включают в себя законы и другие правовые акты, а также механизмы их реализации, регламентирующие информационные отношения в обществе.

Морально-этические – правила и нормы поведения, направленные на
обеспечение безопасности информации, не закрепленные законодательно или административно, но поддерживаемые в коллективах через традиции и механизм общественного мнения.

Организационные – правила, меры и мероприятия, регламентирующие вопросы доступа, хранения, применения и передачи информации, вводимые в действие административным путем. Без выполнения этих правил установка любых, даже самых дорогих, технических средств защиты обернется пустой тратой денег для организации, в которой не решены на должном уровне организационные вопросы. И это справедливо для любых каналов утечки.

Технические средства – это комплексы специального технического и программного обеспечения, предназначенные для предотвращения утечки обрабатываемой или хранящейся информации путем исключения несанкционированного доступа к ней с помощью технических средств съема.

Реальная система защиты включает в себя все перечисленные виды средств и, как правило, создается путем их интеграции. Главной трудностью в ее создании является то, что она одновременно должна удовлетворять двум группам прямо противоположных требований: обеспечивать надежную защиту информации и не создавать заметных неудобств. Обычно совместить эти требования удается только достаточно квалифицированному профессионалу. Кроме того, система защиты должна быть адекватна возможным угрозам, с обязательной оценкой как вероятности их появления, так и величины реального ущерба от потери или разглашения информации, циркулирующей в определенном носителе.

Защищаемая информация

Защищаемая информация – информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.

К основным объектам информационной безопасности государства относят:

Информационные ресурсы, содержащие сведения, составляющие государственную тайну, коммерческую тайну и другую конфиденциальную информацию;

Систему формирования распространения и использования информационных ресурсов, включающую в себя информационные системы различного класса и назначения, информационные технологии, регламенты и процедуры сбора, обработки, хранения и передачи информации, научно-технический и обслуживающий персонал;

Информационную инфраструктуру, включая центры обработки и анализа информации, каналы информационного обмена и телекоммуникации, механизмы обеспечения функционирования телекоммуникационных систем и сетей, в том числе системы и средства защиты информации.

Информационная безопасность перечисленных объектов создает условия надежного функционирования государственных и общественных институтов, юридических лиц и отдельных граждан. Средства ее обработки, накопления, хранения и передачи постоянно совершенствуются. Информация как категория, имеющая действительную или потенциальную ценность, стоимость, как и любой другой вид ценности, охраняется, защищается ее собственником или владельцем.

Собственник защищаемой информации – юридическое или физическое лицо, которое по своему усмотрению владеет, пользуется и распоряжается принадлежащей ему информацией.

Владелец защищаемой информации – юридическое или физическое лицо, которое имеет полномочия владеть, пользоваться и распоряжаться данной информацией по договору с собственником, в силу закона или решения административных органов.

Каждое государство защищает свои информационные ресурсы. Информационные ресурсы государства в самом первом приближении могут быть разделены на три большие группы:

Информация открытая – на распространение и использование которой не имеется никаких ограничений;

Информация запатентованная – охраняется внутригосударственным законодательством или международными соглашениями как объект интеллектуальной собственности;

Информация, «закрываемая» ее собственником, владельцем и защищаемая с помощью отработанных механизмов защиты государственной, коммерческой или другой охраняемой тайны. К этому виду относят обычно информацию, не известную другим лицам, которая или не может быть запатентована или умышленно не патентуется с целью избежания или уменьшения риска завладения этой информацией соперниками, конкурентами.

Защищают и охраняют, как правило, не всю или не всякую информацию, а наиболее важную, ценную для ее собственника, ограничение распространения которой приносит ему какую-то пользу или прибыль, возможность эффективно решать стоящие перед ним задачи.

Какую информацию относят к защищаемой?

Во-первых, секретную информацию. К секретной информации в настоящее время принято относить сведения, содержащие государственную тайну.

Во-вторых, конфиденциальную информацию. К этому виду защищаемой информации относят обычно сведения, содержащие коммерческую тайну, а также тайну, касающуюся личной (неслужебной) жизни и деятельности граждан.

Таким образом, под защищаемой информацией понимают сведения, на использование и распространение которых введены ограничения их собственником.

Защищаемая информация имеет следующие отличительные признаки:

Засекречивать информацию, то есть ограничивать к ней доступ, может только ее собственник (владелец) или уполномоченные им на то лица;

Чем важнее для собственника информация, тем тщательнее он ее защищает. А для того чтобы все, кто сталкивается с этой защищаемой информацией, знали, что одну информацию необходимо оберегать более тщательно, чем другую, собственник определяет ей различную степень секретности;

Защищаемая информация должна приносить определенную пользу ее собственнику и оправдывать затрачиваемые на ее защиту силы и средства.

Таким образом, одним из основных признаков защищаемой информации являются ограничения, вводимые собственником информации на ее распространение и использование.

Носители защищаемой информации

Информацию можно рассматривать с точки зрения отображения ее на каких-то или в каких-то материальных (физических) объектах, которые длительное время могут сохранять ее в относительно неизменном виде или переносить ее из одного места в другое.

Носители информации – материальные объекты, в том числе физические поля, в которых, информация находит свое отображение в виде символов, образов, сигналов, технических решений и процессов, создавая тем самым возможность для ее накопления, хранения, передачи и использования.

Для записи как секретной, так и несекретной информации используются одни и те же носители.

Как правило, носители секретной и конфиденциальной информации охраняются собственником этой информации. Это вызвано тем, что если к ним получит несанкционированный доступ соперник или лицо, от которого эта информация охраняется, то носитель может стать источником информации, из которого это лицо может незаконно добыть интересующую его и защищаемую от него информацию.

Носители защищаемой информации можно классифицировать следующим образом:

Человек;

Документы;

Изделия (предметы);

Вещества и материалы;

Электромагнитные, тепловые, радиационные и другие излучения;

Гидроакустические, сейсмические и другие поля; геометрические формы строений, их размеры и т.п.

Мозг человека представляет собой исключительно сложную систему, хранящую и перерабатывающую информацию, поступающую из внешнего мира. Свойства мозга отражать и познавать внешний мир, накапливать в своей памяти колоссальные объемы информации, в том числе и секретной, естественно, ставят человека на первое место как носителя конфиденциальной информации. Человек как хранитель секретной и конфиденциальной информации обладает возможностью (кроме получения такой информации извне) генерировать новую информацию, в том числе секретную. У него как носителя защищаемой информации могут быть отмечены как позитивные черты, так и негативные.

Положительно то, что без согласия субъекта – носителя защищаемой информации, или, как еще говорят, секретоносителя, из его памяти, как правило, никакая информация не может быть извлечена. Он может давать оценку важности имеющейся у него в памяти информации и в соответствии с этим обращаться с нею. Он может ранжировать и потребителей защищаемой информации, то есть знать, кому и какую информацию он может доверить. В то же время он может заблуждаться в отношении истинности потребителя защищаемой информации, или встать на пути сознательного несохранения доверенной ему по службе или работе секретной или конфиденциальной информации: совершить государственную измену (шпионаж, выдача государственной или служебной тайны врагу и т.п.) или разболтать секреты своим знакомым и родственникам.

Документ – зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать. По форме документы как носители информации могут быть самыми разнообразными: бумага, кино- и фотопленка, магнитные ленты и диски, перфорированные ленты и карты и др. Информация, записанная на носителе, может быть в виде текста, чертежей, формул, графиков, карт и т.п.

На документе, носителе защищаемой информации, указывается степень закрытости информации (гриф секретности), поэтому потребитель, имея такие данные на руках, может знать кому и как с этой информацией обращаться. Уровень защиты секретных документов может быть организован с учетом важности содержащихся в них охраняемых сведений. Слабыми свойствами документа как носителя защищаемой информации являются следующие. Если к документу получил несанкционированный доступ недобросовестный потребитель, то он может воспользоваться информацией в своих целях (если она не зашифрована). Документ может быть также утрачен: похищен или уничтожен, испорчен и т.д. За документальной информацией чаще охотятся и иностранные разведки.

Изделия (предметы) как носители защищаемой информации также довольно распространены. Под ними понимаются засекреченные образцы и комплексы вооружения, военной и другой техники; оборудование; функциональные системы, агрегаты, приборы, входящие в состав комплексов или образцов; комплектующие элементы – сборочные единицы и детали, не имеющие самостоятельного эксплуатационного назначения и предназначенные для выполнения соответствующих функций в составе оборудования, образцов вооружения, военной и другой техники. Выполнение ими функций носителей информации осуществляется попутно с выполнением этими изделиями своего основного назначения.

Является ли то или иное изделие секретным может определить только специалист. Особенно, если это касается каких-то комплектующих элементов или оборудования.

Материалы и вещества при определенных условиях также могут выступать в качестве носителей защищаемой информации. В их числе можно назвать конструкционные и эксплуатационные материалы, полуфабрикаты, сырье, топливо и т.п., применяемые при изготовлении и эксплуатации техники и ее элементов. Например, термостойкие покрытия космического корабля.

К веществам, которые могут нести информацию о режимном объекте, относятся также отходы режимных предприятий (вода, воздух, осадки на земле вокруг объекта и т.п.). Чтобы эту информацию можно было использовать, ее необходимо декодировать с помощью специальных приборов. Примером того, как этот вид носителей защищаемой информации интересует иностранные разведки, могут служить случаи задержания разведчиков и агентов спецслужб на границе с пробами воды, грунта, растений и др.

Радио- и электромагнитные излучения различной частоты переносят информацию от источника информации (радиопередатчика, излучателя) к приемнику и являются «продуктом» работы радиотехнических и других систем, и, следовательно, несут информацию об этих системах. Радио- и электромагнитные излучения могут переносить и конфиденциальную, и секретную информацию. Их распространение, как правило, неконтролируемо и может перехватываться соперником, Для их приема необходимы соответствующие технические приспособления и приборы. О том, что данная перехваченная информация является секретной, может судить только специалист. Для возможного использования такая информация должна быть предварительно декодирована.

Понятие и структура угроз защищаемой информации

Одной из главных особенностей проблемы защиты информации является требование полноты определения угроз информации, потенциально возможных в современных информационных системах. Даже один неучтенный (невыявленный, не принятый во внимание) дестабилизирующий фактор может в значительной степени снизить (и даже свести на нет) эффективность защиты.

– это потенциально существующая возможность случайного или преднамеренного действия или бездействия, в результате которого может быть нарушена безопасность информации (данных).

Угроза безопасности информации – совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации, и/или несанкционированными и/или непреднамеренными воздействиями на нее.

Угроза – это человек, вещь, событие или идея, которая представляет некоторую опасность для ценностей, нуждающихся в защите.

Угроза – это потенциальная возможность определенным образом нарушить информационную безопасность.

Попытка реализации угрозы называется атакой , а тот, кто предпринимает такую попытку, – злоумышленником . Потенциальные злоумышленники называются источниками угрозы .

Угрозы безопасности информации в современных информационных системах обусловлены:

Случайными и преднамеренными разрушающими и искажающими воздействиями внешней среды;

Степенью надежности функционирования средств обработки информации;

Преднамеренными корыстными воздействиями несанкционированных пользователей, целью которых является хищение, разглашение, уничтожение, разрушение, несанкционированная модификация и использование обрабатываемой информации;

Непреднамеренными, случайными действиями обслуживающего персонала и др.

Классификация угроз безопасности

Основные проявления рассмотренных угроз заключаются в незаконном владении конфиденциальной информацией, ее копировании, модификации, уничтожении в интересах злоумышленников с целью нанесения ущерба как материального, так и морального. Кроме этого, непреднамеренные действия обслуживающего персонала и пользователей также приводят к нанесению определенного ущерба.

Основными путями реализации угроз являются:

Агентурные источники в органах управления и защиты информации;

Вербовка должностных лиц органов управления, организаций, предприятий и т.д.;

Перехват и несанкционированный доступ к информации, с использованием технических средств разведки;

Использование преднамеренного программно-математического воздействия;

Подслушивание конфиденциальных переговоров в служебных помещениях, транспорте и других местах их ведения.

Факторами, обусловливающими информационные потери и различные виды ущерба, являются:

Несчастные случаи, вызывающие выход из строя оборудования и информационных ресурсов (пожары, взрывы, аварии, удары, столкновения, падения, воздействия химических или физических сред);

Поломки элементов средств обработки информации;

Последствия природных явлений (наводнения, бури, молнии, землетрясения и др.);

Кражи, преднамеренная порча материальных средств;

Аварии и выход из строя аппаратуры, программного обеспечения, без данных;

Ошибки накопления, хранения, передачи, использования информации, восприятия, чтения, интерпретации содержания информации, соблюдения правил, неумения, оплошности, наличие помех, сбои и искажения отдельных элементов и знаков или сообщения;

Ошибки эксплуатации: нарушение защиты, переполнение файлов, ошибки языка управления данными, ошибки при подготовке и вводе информации;

Злонамеренные действия в материальной сфере; болтливость, разглашение;

Убытки социального характера (уход, увольнение, забастовка и др.).

Основные виды угроз: внешние и внутренние. К внутренней угрозе относятся как преднамеренные действия, так и непреднамеренные ошибки персонала. Внешние угрозы весьма разнообразны.

Особенности защиты документированной информации

Конфиденциальность предполагает сохранение прав на информацию, ее неразглашение (секретность) и неизменность во всех случаях, кроме правомочного использования.

Конфиденциальная информация – документированная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации.

Владельцами (собственниками) конфиденциальной информации могут быть:

Государство и его структуры (органы). В этом случае к ней относятся сведения, являющиеся государственной, служебной тайной, иные виды защищаемой информации, принадлежащей государству или ведомству. В их числе могут быть и сведения, являющиеся коммерческой тайной;

Предприятия, товарищества, акционерные общества (в том числе и совместные) и другие – информация является их собственностью и составляет коммерческую тайну;

Общественные организации – как правило, партийная тайна, не исключена также государственная и коммерческая тайна;

Граждане государства: их права (тайна переписки, телефонных и телеграфных разговоров, врачебная тайна и др.) гарантируются государством, личные тайны – их личное дело. Следует отметить, что государство не несет ответственности за сохранность личных тайн.

Классификация информации по степени ее конфиденциальности без отнесения ее к какому-то конкретному виду выглядит несколько абстрактной. Но она дает представление о возможности ранжирования защищаемой информации по степени ее важности для собственника. Всю информацию по степени секретности можно разделить на пять уровней:

1. Особой важности (особо важная);

2. Совершенно секретная (строго конфиденциальная);

3. Секретная (конфиденциальная);

4. Для служебного пользования (не для печати, рассылается по списку);

5. Несекретная (открытая).

Следует отметить, что чем выше секретность информации определена ее собственником, тем выше уровень ее защиты, тем более дорогостоящей она становится, тем уже круг лиц, знакомящихся с этой информацией.

Следует отметить, что вышеизложенные классификации не являются исчерпывающими и их разработка еще предстоит науке и законодательству.

Защите подлежит вся конфиденциальная информация и определяемая собственником часть открытой информации. Защита информации осуществляется дифференцированно, в том числе и с зависимостью от состава информации и принадлежностью конфиденциальной информации к различным видам тайны. От того, какой вид тайны защищается, зависят и организация, и технология, и уровень защиты. До сих пор четко не определены не только границы, но и понятия некоторых видов тайн и даже их состав. То есть виды тайны не имеют четкой правовой регламентации с указанием необходимых оснований для отнесения конфиденциальной информации к определенным видам тайны.

Структура классификации информации:

Носители: документированная и недокументированная;

Право собственности: государственные и негосударственные информационные ресурсы;

Условия правового режима: государственная тайна и конфиденциальная информация.

Персональные данные – сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность. Персональные данные на всех работников компании обычно хранятся в отделе кадров. При этом компания несет ответственность перед работниками в соответствии с законодательством Российской Федерации за нарушение режима защиты, обработки и порядка использования этой информации.

Личная тайна – защищаемая физическим лицом информация личного характера, распространение которой может нанести моральный или материальный ущерб отдельному физическому лицу.

Служебная тайна – служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом РФ и федеральными законами.

Коммерческая тайна – информация, не являющаяся государственными секретами, связанная с производственной, технической, технологической информацией, управлением финансовой и другой деятельностью предприятия, разглашение (передача, утечка) которой может нанести ущерб его интересам.

Коммерческая тайна – не являющиеся государственными секретами сведения, связанные с производством, технологической информацией, управлением, финансами и другой деятельностью предприятия, разглашение (передача, утечка) которых может нанести ущерб его интересам.

Профессиональная тайна – сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами. В части компании, занимающейся предоставлением услуг связи, – это информация операторов связи и иных клиентов, которая передается и обрабатывается в информационно-телекоммуникационных ресурсах компании.

Открытая информация;

Конфиденциальная информация;

Строго конфиденциальная информация.

Такое деление не является правильным с учетом нормативных документов, действующих на территории РФ. Согласно действующему законодательству Российской Федерации можно применить следующее разграничение информации по степени конфиденциальности:

Открытая информация (ОИ);

Для внутреннего использования (ДВИ);

Конфиденциальная информация (КИ).

При этом необходимо отметить, что право на отнесение информации к какому-либо грифу конфиденциальности и определение перечня и состава такой информации принадлежит ее обладателю.

Базовыми принципами защиты информации являются конфиденциальность, целостность и доступность, соблюдение которых есть необходимое условие обеспечения безопасности различных категорий информации.

3.1. Понятие коммерческой информации

и источники ее получения

Информация (лат. - information) - сообщение о чем-

Коммерческая информация - это сведения о сложившейся ситуации на рынке различных товаров и услуг. Сюда относят количественные и качественные показатели торговой деятельности фирмы (коммерческой структуры, торгового предприятия и т. п.), различные сведения и данные о коммерческой деятельности (цены, поставщики, конкуренты, условия поставок, расчеты, ассортимент товаров и др.).

Назначение коммерческой информации состоит в том, что она позволяет торговым организациям (предприятиям) проводить анализ своей коммерческой деятельности, планировать ее, осуществлять контроль за результатами этой деятельности (эффективностью работы).

Коммерсанту для успешной работы необходима как воздух коммерческая информация. Ему нужна постоянная информация о клиентах, конкурентах, дилерах (дельцах-по- средниках). Оперативные данные для анализа, планирования, контроля. Рыночная ситуация постоянно меняется или может измениться в любую минуту. И если не налажено непрерывное поступление (обновление) информационных данных, фирма может вовремя не отреагировать на те или иные изменения (перемены), а значит, не избежать самых неприятных последствий. Тот, кто владеет информацией, действу-

предлагается база данных под названием “Партнер-2”, содержащая 3,5 тыс. наиболее крупных экспортеров и импортеров с указанием их адресов, факсов, телефонов, полной номенклатуры товаров, которыми торгует та или иная фирма.

3.2. Коммерческая тайна и ее содержание

Что такое коммерческая тайна? Видимо, всем известно понятие государственной (военной) тайны. Во всем мире под государственной тайной понимают сведения, относящиеся к внешней политике, обороне, национальной безопасности.

В советский период содержание государственной тайны было очень расширено - от здоровья руководителей партии и государства до рецептуры хлеба и вареной колбасы. На многих ведомственных документах существовал гриф “Для служебного пользования”.

Сейчас в условиях рыночной экономики такого грифа в большинстве случаев нет, однако появилось понятие - коммерческая тайна, что означает ограничение прав на определенную информацию для юридических и физических лиц, являющихся конкурентами.

Коммерческая тайна - явление, присущее только рыночной, капиталистической экономике. Не случайно один из первых декретов В. И. Ленина был декрет об отмене коммерческой тайны. В условиях конкурентной борьбы коммерческая тайна - эффективное средство повышения конкурентоспособности продукции и услуг.

Итак, что такое коммерческая тайна? Исходя из вышеизложенного, ей можно дать следующее определение: “Преднамеренно скрываемые по коммерческим соображениям экономические, технические, организационные и прочие данные и сведения о различных сторонах и сферах хозяйственной деятельности фирмы, охрана которых обусловлена интересами конкуренции и возможной угрозой экономической безопасности фирмы (предприятия)”.

Коммерческая тайна возникает тогда, когда она представляет интерес для конкурентов. В отличие от государственной тайны коммерческая тайна не определена конкретным перечнем, поскольку она всегда разная применительно к разным предприятиям или фирмам.

В законодательстве России понятие коммерческой тайны появилось в 1990 г. в тексте Закона о предприятиях и предпринимательской деятельности. Позднее в 1994 г. в п. 1 ст. 139 Гражданского кодекса РФ (далее - ГК РФ) “Служебная и коммерческая тайна” было дано определение информации, составляющей служебную или коммерческую тайну.

Наиболее полно и развернуто в правовом отношении коммерческая тайна получила изложение в Федеральном законе от 29 июля 2004 г. № 98-ФЗ “О коммерческой тайне”. Положения настоящего Федерального закона распространяются на информацию, составляющую коммерческую тайну, независимо от вида носителя, на котором она зафиксирована.

Дальнейшее развитие положение о коммерческой тайне получили в IV части ГК РФ. Этому посвящена гл. 75 “Право на секрет производства (ноу-хау)”.

Секретом производства (ноу-хау) признаются сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-техни- ческой сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны.

Обладателю секрета производства принадлежит исключительное право использования его в соответствии со ст. 1229

срока после расторжения договора о найме. Кроме того, во время действия подобного ограничения этому лицу должно выплачиваться вознаграждение. В российской практике такие соглашения пока неизвестны.

3. Информация о рационализаторском предложении, изобретении и т. п., находящихся на стадии разработки, несомненно, относится к коммерческой тайне.

Рационализаторское предложение даже после его оформления и выдачи авторского свидетельства может оставаться коммерческой тайной, поскольку представляет собой техническое решение задачи, новое для данной фирмы.

Изобретение после выдачи на него патента имеет специальную правовую охрану и поэтому не нуждается в защите путем отнесения к коммерческой тайне. Другое дело, если по соглашению с автором изобретения фирма примет решение не подавать заявку в Роспатент России. Тогда охрана информации полностью возлагается на фирму. Следует под-

правилу, если работодатель в течение трех месяцев с момента уведомления его автором о сделанном изобретении не подаст заявку на него, автор вправе сам подать заявку и получить патент.

4. Особое внимание следует уделить охране договоров, заключаемых предприятием. Большая их часть, безуслов-

но, относится к коммерческой тайне. Причем в определенных случаях охране подлежит не только текст договора, но и сам факт его заключения.

Руководитель фирмы должен установить строгий порядок хранения первых экземпляров договоров и работы с ними. Их следует хранить в определенном месте у ответственного лица и выдавать только под расписку с письменного разрешения руководителя фирмы. На лица, ответственные за хранение договоров и работу с ними, возлагается персональная ответ-

ственность за утерю договоров или утечку информации из них. Все это необходимо потому, что деятельность коммерческих структур строится в большей степени на договорных началах и конкурент или партнер по переговорам, обладая информацией в этой сфере, может составить довольно полную картину производственного и финансового положения фирмы. Пропажа (похищение) первых экземпляров договоров ведет к значительным затруднениям и даже невозможности доказать те или иные положения при возникновении спора и его разрешении в судебном порядке. При подписании договора рекомендуется, чтобы представители сторон ставили подписи не только в конце договора, но и на каждом листе во избежание замены одного текста другим.

Итак, что же относится к коммерческой тайне и требует защиты от утечки информации и ее похищения?

Деловая информация:

финансовые сведения;

данные о цене (стоимости) продукции и услуг, технологии;

деловые планы и планы производства новой продук-

списки клиентов и продавцов, контракты, преференции и планы;

информация о маркетинге;

соглашения, предложения, квоты;

списки персонала, организационные схемы и информация о сотрудниках (их характеристики).

Техническая информация:

научно-исследовательские проекты;

конструкторские разработки по производству какойлибо продукции и ее технические параметры;

заявки на патенты;

дизайн, эффективность и возможности производственных методов, оборудования и систем;

информационный процесс;

программное обеспечение ЭВМ.

К сведениям, которые не могут составлять коммерческую тайну, относятся следующие:

1) содержащиеся в учредительных документах юридического лица, документах, подтверждающих факт внесения записей о юридических лицах и об индивидуальных предпринимателях в соответствующие государственные ресурсы;

2) содержащиеся в документах, дающих право на осуществление предпринимательской деятельности;

3) о составе имущества государственного или муниципального унитарного предприятия, государственного учреждения и об использовании ими средств соответствующих бюджетов;

4) о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической и

радиационной обстановке, безопасности пищевых продуктов и других факторах, оказывающих негативное воздействие на обеспечение безопасного функционирования производственных объектов, безопасности каждого гражданина и безопасности населения в целом;

5) о численности, о составе работников, о системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости и о наличии свободных рабочих мест;

6) о задолженности работодателей по выплате заработной платы и по иным социальным выплатам;

7) о нарушениях законодательства Российской Федерации и фактах привлечения к ответственности за совершение этих нарушений;

8) об условиях конкурсов или аукционов по приватизации объектов государственной или муниципальной собственности;

9) об условиях и структуре доходов некоммерческих организаций, о размерах и составе их имущества, об их расхо-

Предпринимательская деятельность во всех сферах неразрывно связана с получением и использованием различного рода информации. Причем в современных условиях информация представляет собой особого рода товар, имеющий определенную ценность. Для предпринимателя зачастую наиболее ценной является информация, которую он использует для достижения целей фирмы и разглашение которой может лишить его возможностей реализовать эти цели, то есть создает угрозы безопасности предпринимательской деятельности. Конечно, не вся информация может, в случае ее разглашения, создавать эти угрозы, однако существует определенная ее часть, которая нуждается в защите.

Информация, используемая в предпринимательской деятельности весьма разнообразна. Ее можно разделить на два вида: промышленная и коммерческая. К промышленной относится информация о технологии и способе производства, технических открытиях и изобретениях, “ноу-хау”, конструкторская документация, программное обеспечение и т.п. Коммерческая информация – о финансово-экономическом положении предприятия (бухгалтерская отчетность), кредитах и банковских операциях, о заключаемых договорах и контрагентах, структуре капиталов и планах инвестиций, стратегических планах маркетинга, анализе конкурентоспособности собственной продукции, клиентах, планах производственного развития, деловой переписке и пр.

Вся эта информация представляет различную ценность для самого предпринимателя и, соответственно, ее разглашение может привести (либо не привести) к угрозам экономической безопасности различной степени тяжести. Поэтому информацию необходимо разделить на три группы:

· информация для открытого пользования любым потребителем в любой форме;

· информация ограниченного доступа – только для органов, имеющих соответствующие законодательно установленные права (милиция, налоговая полиция, прокуратура);

· информация только для работников (либо руководителей) фирмы.

Защита коммерческой информации как часть деятельности по обеспечению безопасности предпринимательства в целом, предполагает, что возможные противоправные посягательства на коммерческую информацию могут идти по различным направлениям. В связи с этим эффективная защита информации должна предусматривать целую систему направлений деятельности, каждому из которых соответствует свой способ защиты.

Принимая во внимание российскую специфику, выделяются следующие основные способы защиты информации, которые могут использоваться предпринимателями:

1. Законодательный. Основан на соблюдении тех прав предпринимателя на конфиденциальную информацию, которые содержатся в российском законодательстве. При обнаружении нарушения прав предпринимателя как собственника, владельца или пользователя информации должно быть обращение в соответствующие органы (МВД, ФСБ, прокуратуру, суд) для восстановления нарушенных прав, возмещения убытков и т.п.

2. Физическая защита - охрана, пропускной режим, специальные карточки для посторонних, использование закрывающихся помещений, сейфов, шкафов и пр.

3. Организационный. Он включает:

Введение должности или создания службы, ответственной за отнесением определенной информации к категории конфиденциальной, соблюдением правил доступа и пользования этой информацией;

Разделение информации по степени конфиденциальности и организация допуска к конфиденциальной информации только в соответствии с должностью или с разрешения руководства;

Соблюдение правил пользования информацией (не выносить за пределы служебных помещений, не оставлять без присмотра во время обеда, включить сигнализацию при уходе);

Наличие постоянно действующей системы контроля за соблюдением правил доступа и пользования информацией (контроль может быть визуальный, документальный и др.).

4. Технический. Используются такие средства контроля и защиты как сигнализирующие устройства, видеокамеры, микрофоны, средства идентификации, а также программные средства защиты компьютерных систем от несанкционированного доступа.

5. Работа с кадрами. Предполагает активную работу кадровых служб фирмы по набору, проверке, обучению, расстановке, продвижению, стимулированию персонала. Следует регулярно проводить инструктажи персонала о необходимости соблюдения правил пользования конфиденциальной информацией и об ответственности за нарушения.

Часть этих способов предполагает значительные финансовые расходы, в связи с чем использование всех способов одновременно по средствам только достаточно крупным и платежеспособным фирмам.

Коммерческая тайна понятие и защита
Реферат >> Маркетинг
Обеспечения безопасности, охраны её имущества, а также жизни и здоровья её сотрудников. Сведения о... по защите коммерческой информации . В разных странах существуют различные приоритетные направления защиты коммерческой информации (коммерческой тайны). Так...
Коммерческая тайна и маркетинг
Реферат >> Маркетинг
Правовой базы, обеспечивающей гарантию защиты прав предпринимателей на коммерческую информацию , -- это прежде всего... основные аспекты, можно сразу отметить её важность и неразрывность с маркетинговой деятельностью. В первую...
Правовая защита информации
Реферат >> Государство и право
... информации , отображающаяся через содержимое информации . 2. информация не подвержена физическому старению. 3. отделимость инф-и от её ... Российской Федерации самостоятельно определяет способы защиты информации , составляющей коммерческую тайну, переданной ему по...
Защита информации на предприятии (1)
Реферат >> Информатика
Областях(административной, научно-технической, коммерческой и т.д.). Поэтому вопросы защиты информации (ЗИ) приобретают все более... и бумажных носителей информации . Для блокирования возможности утечки информации путём её копирования на внешние...

Информация сегодня – важный ресурс, потеря которого чревата неприятными последствиями. Утрата конфиденциальных данных компании несет в себе угрозы финансовых потерь, поскольку полученной информацией могут воспользоваться конкуренты или злоумышленники. Для предотвращения столь нежелательных ситуаций все современные фирмы и учреждения используют методы защиты информации.

Безопасность информационных систем (ИС) – целый курс, который проходят все программисты и специалисты в области построения ИС. Однако знать виды информационных угроз и технологии защиты необходимо всем, кто работает с секретными данными.

Виды информационных угроз

Основным видом информационных угроз, для защиты от которых на каждом предприятии создается целая технология, является несанкционированный доступ злоумышленников к данным. Злоумышленники планируют заранее преступные действия, которые могут осуществляться путем прямого доступа к устройствам или путем удаленной атаки с использованием специально разработанных для кражи информации программ.

Кроме действий хакеров, фирмы нередко сталкиваются с ситуациями потери информации по причине нарушения работы программно-технических средств.

В данном случае секретные материалы не попадают в руки злоумышленников, однако утрачиваются и не подлежат восстановлению либо восстанавливаются слишком долго. Сбои в компьютерных системах могут возникать по следующим причинам:

Потеря информации вследствие повреждения носителей – жестких дисков;
Ошибки в работе программных средств;
Нарушения в работе аппаратных средств из-за повреждения или износа.

Современные методы защиты информации

Технологии защиты данных основываются на применении современных методов, которые предотвращают утечку информации и ее потерю. Сегодня используется шесть основных способов защиты:

Препятствие;
Маскировка;
Регламентация;
Управление;
Принуждение;
Побуждение.

Все перечисленные методы нацелены на построение эффективной технологии , при которой исключены потери по причине халатности и успешно отражаются разные виды угроз. Под препятствием понимается способ физической защиты информационных систем, благодаря которому злоумышленники не имеют возможность попасть на охраняемую территорию.

Маскировка – способы защиты информации, предусматривающие преобразование данных в форму, не пригодную для восприятия посторонними лицами. Для расшифровки требуется знание принципа.

Управление – способы защиты информации, при которых осуществляется управление над всеми компонентами информационной системы.

Регламентация – важнейший метод защиты информационных систем, предполагающий введение особых инструкций, согласно которым должны осуществляться все манипуляции с охраняемыми данными.

Принуждение – методы защиты информации, тесно связанные с регламентацией, предполагающие введение комплекса мер, при которых работники вынуждены выполнять установленные правила. Если используются способы воздействия на работников, при которых они выполняют инструкции по этическим и личностным соображениям, то речь идет о побуждении.

На видео – подробная лекция о защите информации:

Средства защиты информационных систем

Способы защиты информации предполагают использование определенного набора средств. Для предотвращения потери и утечки секретных сведений используются следующие средства:

Физические;
Программные и аппаратные;
Организационные;
Законодательные;
Психологические.

Физические средства защиты информации предотвращают доступ посторонних лиц на охраняемую территорию. Основным и наиболее старым средством физического препятствия является установка прочных дверей, надежных замков, решеток на окна. Для усиления защиты информации используются пропускные пункты, на которых контроль доступа осуществляют люди (охранники) или специальные системы. С целью предотвращения потерь информации также целесообразна установка противопожарной системы. Физические средства используются для охраны данных как на бумажных, так и на электронных носителях.

Программные и аппаратные средства – незаменимый компонент для обеспечения безопасности современных информационных систем.

Аппаратные средства представлены устройствами, которые встраиваются в аппаратуру для обработки информации. Программные средства – программы, отражающие хакерские атаки. Также к программным средствам можно отнести программные комплексы, выполняющие восстановление утраченных сведений. При помощи комплекса аппаратуры и программ обеспечивается резервное копирование информации – для предотвращения потерь.

Организационные средства сопряжены с несколькими методами защиты: регламентацией, управлением, принуждением. К организационным средствам относится разработка должностных инструкций, беседы с работниками, комплекс мер наказания и поощрения. При эффективном использовании организационных средств работники предприятия хорошо осведомлены о технологии работы с охраняемыми сведениями, четко выполняют свои обязанности и несут ответственность за предоставление недостоверной информации, утечку или потерю данных.

Законодательные средства – комплекс нормативно-правовых актов, регулирующих деятельность людей, имеющих доступ к охраняемым сведениям и определяющих меру ответственности за утрату или кражу секретной информации.

Психологические средства – комплекс мер для создания личной заинтересованности работников в сохранности и подлинности информации. Для создания личной заинтересованности персонала руководители используют разные виды поощрений. К психологическим средствам относится и построение корпоративной культуры, при которой каждый работник чувствует себя важной частью системы и заинтересован в успехе предприятия.

Защита передаваемых электронных данных

Для обеспечения безопасности информационных систем сегодня активно используются методы шифрования и защиты электронных документов. Данные технологии позволяют осуществлять удаленную передачу данных и удаленное подтверждение подлинности.

Методы защиты информации путем шифрования (криптографические) основаны на изменении информации с помощью секретных ключей особого вида. В основе технологии криптографии электронных данных – алгоритмы преобразования, методы замены, алгебра матриц. Стойкость шифрования зависит от того, насколько сложным был алгоритм преобразования. Зашифрованные сведения надежно защищены от любых угроз, кроме физических.

Электронная цифровая подпись (ЭЦП) – параметр электронного документа, служащий для подтверждения его подлинности. Электронная цифровая подпись заменяет подпись должностного лица на бумажном документе и имеет ту же юридическую силу. ЭЦП служит для идентификации ее владельца и для подтверждения отсутствия несанкционированных преобразований. Использование ЭЦП обеспечивает не только защиту информации, но также способствует удешевлению технологии документооборота, снижает время движения документов при оформлении отчетов.

Классы безопасности информационных систем

Используемая технология защиты и степень ее эффективности определяют класс безопасности информационной системы. В международных стандартах выделяют 7 классов безопасности систем, которые объединены в 4 уровня:

D – нулевой уровень безопасности;
С – системы с произвольным доступом;
В – системы с принудительным доступом;
А – системы с верифицируемой безопасностью.

Уровню D соответствуют системы, в которых слабо развита технология защиты. При такой ситуации любое постороннее лицо имеет возможность получить доступ к сведениям.

Использование слаборазвитой технологии защиты чревато потерей или утратой сведений.

В уровне С есть следующие классы – С1 и С2. Класс безопасности С1 предполагает разделение данных и пользователей. Определенная группа пользователей имеет доступ только к определенным данным, для получения сведений необходима аутентификация – проверка подлинности пользователя путем запроса пароля. При классе безопасности С1 в системе имеются аппаратные и программные средства защиты. Системы с классом С2 дополнены мерами, гарантирующими ответственность пользователей: создается и поддерживается журнал регистрации доступа.

Уровень В включает технологии обеспечения безопасности, которые имеют классы уровня С, плюс несколько дополнительных. Класс В1 предполагает наличие политики безопасности, доверенной вычислительной базы для управления метками безопасности и принудительного управления доступом. При классе В1 специалисты осуществляют тщательный анализ и тестирование исходного кода и архитектуры.

Класс безопасности В2 характерен для многих современных систем и предполагает:

Снабжение метками секретности всех ресурсов системы;
Регистрацию событий, которые связаны с организацией тайных каналов обмена памятью;
Структурирование доверенной вычислительной базы на хорошо определенные модули;
Формальную политику безопасности;
Высокую устойчивость систем к внешним атакам.

Класс В3 предполагает, в дополнение к классу В1, оповещение администратора о попытках нарушения политики безопасности, анализ появления тайных каналов, наличие механизмов для восстановления данных после сбоя в работе аппаратуры или .

Уровень А включает один, наивысший класс безопасности – А. К данному классу относятся системы, прошедшие тестирование и получившие подтверждение соответствия формальным спецификациям верхнего уровня.

На видео – подробная лекция о безопасности информационных систем: