Тема: «Основы информационной безопасности»

1.     Основные понятия и определения информационной безопасности

2.     Виды информационных угроз

3.     Доктрина информационной безопасности Российской Федерации

Современный этап информатизации связан с использованием персональной вычислительной техники, систем телекоммуникаций, развитием компьютерных сетей. Возрастает потребность в разработке и применении эффективных решений в сфере информационной индустрии.

На определенном этапе развития информационной индустрии рождается информационное общество, в котором большинство работающих занято производством, хранением, переработкой и реализацией информации, т.е. творческим трудом, направленным на развитие интеллекта и получение знаний. Создается единое, не разделенное национальными границами информационное сообщество.

Информационная безопасность – невозможность нанесения вреда свойствам объекта безопасности, обуславливаемым информацией и информационной инфраструктурой (защищенность от угроз)

Основными задачами системы ИБ являются:

·       своевременное выявление и устранение угроз безопасности и ресурсам, причин и условий, способствующих нанесению финансового, материального и морального ущерба его интересам;

·       создание механизма и условий оперативного реагирования на угрозы безопасности и проявлению негативных тенденций в функционировании предприятия;

·       эффективное пресечение посягательств на ресурсы и угроз персоналу на основе правовых, организационных и инженерно-технических мер и средств обеспечения безопасности;

·       создание условий для максимально возможного возмещения и локализации наносимого ущерба неправомерными действиями физических и юридических лиц, ослабление негативного влияния последствий нарушения безопасности на достижение целей организации.

Понятие информационной безопасности в узком смысле этого слова подразумевает: надежность работы компьютера; сохранность ценных данных; защиту информации от внесения в нее изменений неуполномоченными лицами; сохранение тайны переписки в электронной связи.

Формирование информационного общества опирается на новейшие информационные, телекоммуникационные технологии и технологии связи. Именно новые технологии привели к бурному распространению глобальных информационных сетей, открывающих принципиально новые возможности международного информационного обмена.

Информационная война — информационное противоборство с целью нанесения ущерба важным структурам противника, подрыва его политической и социальной систем, а также дестабилизации общества и государства противника.

Информационное противоборство — форма межгосударственного соперничества, реализуемая посредством оказания информационного воздействия на системы управления других государств и их вооруженных сил, а также на политическое и военное руководство и общество в целом, информационную инфраструктуру и средства массовой информации этих государств для достижения выгодных для себя целей при одновременной защите от аналогичных действий от своего информационного пространства.

Информационная преступность (киберпреступность) — проведение информационных воздействий на информационное пространство или любой его элемент в противоправных целях. Как ее частный вид может рассматриваться информационный терроризм, то есть деятельность, проводимая в политических целях.

Под угрозой безопасности информации понимаются события или действия, которые могут привести к искажению, несанкционированному использованию или разрушению информационных ресурсов управляемой системы, а также программных и аппаратных средств.

 

2.     Виды информационных угроз

Информационные угрозы могут быть обусловлены:

·                 естественными факторами (пожар, наводнение, и др.);

·                 человеческими факторами.

Последние, в свою очередь, подразделяются на:

·                 угрозы, носящие случайный, неумышленный характер. Это угрозы, связанные с ошибками процесса подготовки, обработки и передачи информации;

·                 угрозы, обусловленные умышленными, преднамеренными действиями людей. Это угрозы, связанные с несанкционированным доступом к ресурсам АИС.

Умышленные угрозы преследуют цель нанесения ущерба пользователям АИС и, в свою очередь, подразделяются на активные и пассивные.

Пассивные угрозы, как правило, направлены на несанкционированное использование информационных ресурсов, не оказывая при этом влияния на их функционирование (прослушивание).

Активные угрозы имеют целью нарушение нормального процесса функционирования системы посредством целенаправленного воздействия на аппаратные, программные и информационные ресурсы. Источниками активных угроз могут быть непосредственные действия злоумышленников, программные вирусы и т.п.

Умышленные угрозы также подразделяются на внутренние, возникающие внутри управляемой организации, и внешние.

Под внутренними угрозами понимаются — угрозы безопасности информации инсайдером (исполнителем) которых является внутренний по отношению к ресурсам организации субъект (инсайдер).

Под внешними угрозами понимаются — угрозы безопасности информации инициатором (исполнителем) которых является внешний по отношению к ресурсам организации субъект (удаленный хакер, злоумышленник).

Внутренние угрозы

• Утечки информации
• Неавторизованный доступ

Внешние угрозы

• Вредоносные программы (вирусы, троянцы, черви и т.д.)
• Атаки хакеров
• DDos-атаки
• Таргетированные атаки
• Спам
• Фишинг
• Промышленные угрозы (stuxnet, flame, duqu)
• Шпионское программное обеспечение (spyware, adware)
• botnets (ботнеты или зомби-сети)

Хакерские атаки

Термин «хакер» раньше использовался для обозначения высококвалифицированных прoграммистов. Теперь так называют тех, кто использует уязвимости в программном oбеспечении для внедрения в компьютерную систему. Это электронный эквивалент взлома помещения. Хакеры постоянно взламывают как отдельные компьютеры, так и крупные сети.

Получив доступ к системе, они крадут конфиденциальные данные или устанавливают вредоносные программы. Они также испoльзуют взломанные компьютеры для рассылки спама. Современные приложения чрезвычайно слoжны; они компилируются из тысяч строк кода. Но создаются они людьми, а людям свойственно ошибаться. Поэтому нет ничего удивительного в том, что в программы закрадываются ошибки, что делает их уязвимыми для атаки. Хакерам эти лазейки позволяют проникнуть в систему, а вирусописатели используют ошибки в коде приложений, чтобы обеспечить автоматический запуск на компьютере вредоносных программ.

Хакеры — это электронные взлoмщики, которые проникают в вашу компьютерную систему, используя особые лазейки — уязвимости в прoграммном обеспечении. Защититься от них можно с пoмощью особого приложения — сетевого экрана. Часто он входит в состав антивирусных программ. Сетевой экран, или файервол, распознает попытки взлома и делает ваш компьютер невидимым для хакеров.

Для защиты от вредоносного кода и хакерских атак:

Ø  Установите программу (антивирусную) для обеспечения интернет-безопасности.

Ø  Всегда устанавливайте обновления Windows (Update) , отвечающие за безопасность.

Ø  Будьте внимательны со спамом в электронной почте и системах мгновенных сообщений.

Ø  Пользуйтесь учетной записью администратора (пользуйтель записью Пользователя) на своем компьютере только в случае необходимости.

Ø  Сохраняйте резервные копии (BackUp) данных

Фишинговые атаки

Фишинг – это особый (современный) вид компьютерного мошенничества.

Фишинг-атаки организуются так: киберпреступники создают подложный сайт, который выглядит в точности так же, как сайт банка или сайт, производящий финансовые расчеты через интернет. Затем мошенники пытаются обманным путем добиться, чтобы пользователь посетил фальшивый сайт и ввел на нем свои конфиденциальные данные – например, регистрационное имя, пароль или PIN-код. Используя их, злоумышленники крадут деньги со счетов попавшихся на удочку пользователей.

Как правило, для привлечения пользователей на подложный сайт используется массовая рассылка электронных сообщений, которые выглядят так, как будто они отправлены банком или иным реально существующим финансовым учреждением, но при этом содержат ссылку на подложный сайт. Пройдя по ссылке, вы попадаете на поддельный сайт, где вам предлагается ввести ваши учетные данные.

Часто в фишинг-сообщениях используются те же логотипы и оформление, что и в письмах настоящего банка, а также ссылки, похожие на реальный адрес банка в интернете. Кроме того, сообщение может содержать ваше имя, как будто оно действительно адресовано вам лично. В письмах мошенников обычно приводится правдоподобная причина, требующая ввода вами на сайте «банка» своих данных.

Для защиты от фишинговых атак:

1. Относитесь внимательно к сообщениям, в которых вас просят указать ваши личные данные. Вероятность того, что ваш банк может запросить подобные данные по электронной почте, чрезвычайно мала.
2. Не заполняйте полученные по электронной почте анкеты, предполагающие ввод личных данных. Подобную информацию безопасно вводить только на защищенных сайтах. Убедитесь, что его адрес начинается с «https://» и найдите пиктограмму, похожую на запертый висячий замок, в правом нижнем углу окна браузера.
3. Если у вас остались сомнения, а вам необходимо провести операцию, требующую раскрытия ваших личных данных, воспользуйтесь телефоном. Связывайтесь с банком по телефону всякий раз, когда ситуация покажется вам подозрительной.
4. Не проходите по ссылкам в электронных письмах в формате HTML: киберпреступники могут спрятать адрес подложного сайта в ссылке, которая выглядит как настоящий электронный адрес банка. Вместо этого наберите адрес вручную или скопируйте ссылку в адресную строку браузера.
5. Убедитесь, что ваше антивирусное решение способно блокировать переход на фишинговые сайты или установите интернет-обозреватель, оснащенный фишинг-фильтром.
6. Регулярно проверяйте состояние своих банковских счетов и просматривайте банковские выписки, чтобы убедиться в отсутствии «лишних» операций.
7. Следите за тем, чтобы у вас всегда были последние обновления безопасность

Спам и защита от него

Спам – это анонимные не запрошенные массовые рассылки электронной пoчты, т.е. электронный эквивалент бумажной рекламной корреспонденции, засоряющей обычные почтовые ящики. Спам чаще всего используется для рекламы тoваров и услуг. Спамеры рассылают большое количество рекламных сообщений и наживаются на тех, кто на них отвечает. Крoме того, злоумышленники используют спам для проведения фишинговых атак и распространения вредоносных программ. 

Для защиты от спама:

• Пользуйтесь несколькими адресами электронной почты: одним для личной переписки и как минимум еще одним для регистрации в фoрумах, чатах, списках рассылки и других общедоступных сервисах и сайтах.
• Для личной переписки подберите адрес электронной почты, который трудно угадать. Спамеры конструируют возможные адреса с помощью очевидных имен, слов и чисел.
• Если на адрес начинает приходить спам, прoсто смените его.
• Не отвечайте на спам-сообщения.Спамеры часто регистрируют подобные ответы, чтобы выявить действующие адреса электронной почты.
• Не проходите по ссылкам, якобы предлагающим «отписаться oт рассылки», поскольку этим вы подтверждаете, что ваш адрес электронной почты активно вами используется. Спамеры будут и дальше включать его в свои рассылки.
• Не публикуйте частный адрес электронной почты на общедоступных ресурсах. Если опубликовать адрес все-таки пришлось, напишите его так, чтобы применяемые спамерами автоматические средства сбора адресов не могли его обнаружить
• Установите на своем компьютере антиспам-решение и заводите почтовые ящики у тех провайдеров, кто обеспечивает защиту свoих абонентов от спама.

 

Антивирусная защита

Антивирусы – самый действенный спосoб борьбы с вирусами.

Большинствo представленных лиде­рами антивирусной индустрии про­дуктов являютя комплексными и обладают схожими параметрами за­щиты и производительности. К таковым относятся: Kaspersky, DrWeb,  NOD32, Norton Atnivirus

Антивирусы обеспечивают защиту:

• Рабочих станций
• Файловых серверов
• Почтовых серверов
• Систем документооборота
• Работы в интернет
• Портативные, мобильные устройства

Правила антивирусной защиты

• Всегда делайте резервные кo­пии важных данных. Файлы могут быть удалены трояном, зашифрова­ны вирусом либо по­вреждены.
• Старайтесь избегать массовых залежей дисков с программным обеспечением, даже если они у вас аккуратно разложены и подписаны. Контролировать это со временем будет тяжело.
• Используйте несколько бесплатных антивирусных программ (Kaspersky, DrWeb,  NOD32)
• Установите антивирусную программу, oптимально настройте и включите автоматическое обновление

 

Современные системы идентификации и аутентификации пользователей

Современные системы позволяют с высокой степенью вероятности определить подлинность пользователя, либо удаленного узла. Данные системы предназначены однозначного определения субъекта доступа и его полномочий по отношению к конкретному ресурсу.

Идентификация — это процедура распознавания субъекта по его идентификатору. В процессе регистрации субъект предъявляет системе свой идентификатор и она проверяет его наличие в своей базе данных. Субъекты с известными системе идентификаторами считаются легальными (законными), остальные субъекты относятся к нелегальным.

 Аутентификация пользователей

— процедура проверки подлинности субъекта, позволяющая достоверно убедиться в том, что субъект, предъявивший свой идентификатор, на самом деле является именно тем субъектом, идентификатор которого он использует. Для этого он должен подтвердить факт обладания некоторой информацией, которая может быть доступна только ему одному (пароль, ключ и т.п.).

Авторизация — процедура предоставления субъекту определенных прав доступа к ресурсам системы после прохождения им процедуры аутентификации. Для каждого субъекта в системе определяется набор прав, которые он может использовать при обращении к ее ресурсам.

Существующие системы аутентификации пользователей:

·                 Парольные системы (самый простой и распространенный способ)

·                 Системы PKI (криптографические сертификаты)

·                 Системы одноразовых паролей

·                 Биометрические системы

В основе большинства механизмов аутентификации пользователей лежат ПАРОЛИ, поэтому данный способ наиболее распространенный. В силу своей «открытости», а так же ужесточении требований к длине пароля, большим количеством ПО для взлома паролей, данная система является наиболее уязвимой.

 

3.     Доктрина информационной безопасности Российской Федерации

Совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности Российской Федерации представлена в Доктрине информационной безопасности Российской Федерации, утвержденной Президентом РФ 9 сентября 2000 г.

В Доктрине информационной безопасности информационная безопасность РФ определяется как состояние защищенности национальных интересов Российской Федерации в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

В научной литературе в составе информационной сферы общества выделяют:

·       субъекты информационной сферы;

·       общественные отношения в информационной сфере;

·       информационную инфраструктуру общества;

·       информацию.

На основе анализа положений, содержащихся в доктринальных и нормативных правовых документах, можно выделить следующие жизненно важные интересы в информационной сфере.

а) для личности:

§  соблюдение и реализация конституционных прав и свобод человека и гражданина на поиск, получение, передачу, производство и распространение объективной информации;

§  реализация права граждан на неприкосновенность частной жизни, защита информации, обеспечивающей личную безопасность;

§  использование информации в интересах не запрещенной законом деятельности, физического, духовного и интеллектуального развития;

§  защита права на объекты интеллектуальной собственности;

§  обеспечение права граждан на защиту своего здоровья от неосознаваемой человеком вредной информации;

б) для общества:

§  обеспечение интересов личности в информационной сфере;

§  построение правового социального государства;

§  упрочение демократии, построение информационного общества;

§  духовное обновление общества, сохранение его нравственных ценностей, утверждение в обществе идеалов высокой нравственности, патриотизма и гуманизма, развитие многовековых духовных традиций Отечества, пропаганда национального культурного наследия, норм морали и общественной нравственности;

§  достижение и поддержание общественного согласия;

§  предотвращение манипулирования массовым сознанием;

§  приоритетное развитие современных телекоммуникационных технологий, сохранение и развитие отечественного научного и производственного потенциала;

в) для государства:

§  создание условий для реализации интересов личности и общества в информационной сфере и их защита;

§  формирование институтов общественного контроля за органами государственной власти;

§  безусловное обеспечение законности и правопорядка;

§  создание условий для гармоничного развития российской информационной инфраструктуры;

§  формирование системы подготовки, принятия и реализации решений органами государственной власти, обеспечивающей баланс интересов личности, общества и государства;

§  oзащита государственных информационных систем и государственных информационных ресурсов, в том числе государственной тайны;

§  защита единого информационного пространства страны;

§  развитие равноправного и взаимовыгодного международного сотрудничества.

К основным задачам в области обеспечения информационной безопасности относятся:

§  формирование и реализация единой государственной политики по обеспечению защиты национальных интересов от угроз в информационной сфере, реализации конституционных нрав и свобод граждан в сфере информационной деятельности;

§  разработка и создание механизмов формирования и реализации государственной информационной политики России, в том числе разработка методов повышения эффективности участия государства в формировании информационной политики государственных телерадиовещательных организаций, других государственных средств массовой информации;

§  совершенствование законодательства Российской Федерации в области обеспечения информационной безопасности;

§  определение полномочий органов государственной власти Российской Федерации, субъектов РФ, органов местного самоуправления и ответственности их должностных лиц, юридических лиц и граждан в области обеспечения информационной безопасности;

§  развитие и совершенствование системы обеспечения информационной безопасности Российской Федерации, реализующей единую государственную политику в этой области, включая совершенствование форм, методов и средств выявления, оценки и прогнозирования угроз информационной безопасности Российской Федерации, а также системы противодействия этим угрозам;

§  координация деятельности органов государственной власти по обеспечению информационной безопасности;

§  совершенствование и защита отечественной информационной инфраструктуры, ускорение развития новых информационных технологий и их широкое распространение, унификация средств поиска, сбора, хранения, обработки и анализа информации с учетом вхождения России в глобальную информационную инфраструктуру и  и т.д.

Представляется, что юридическая наука в той или иной мере должна принимать участие в решении всех задач и реализации соответствующих целей, однако ее приоритет, решающая роль просматривается в двух областях:

§  во-первых, в определении разумного баланса между правом субъектов на свободное получение информации путем ее сбора или доступа к имеющимся ресурсам и правом субъектов на установление ограничений в указанных действиях со стороны иных лиц по отношению к сведениям, обладателями которых они являются;

§  во-вторых, в разработке и реализации правовых мер защиты информации, доступ к которой должен ограничиваться по правомерным основаниям, а также в обеспечении сохранности информационных ресурсов.