Защита информации Кий М. И. , к. п. н. , доцент каф. Информационного менеджмента www. metkabinet. blogspot. ru
Способы защиты информации Физическая защита Стеганографическая защита Криптографическая защита
Шифр Цезаря (I век до н. э. )
Скитала (Спарта)
Диск Энея
Таблица Винджера Пример: Исходный текст: ATTACKATDAWN Ключ: LEMONLE Зашифрованный текст: LXFOPVEFRNHR
Развитие криптологии Леон Батиста Альберти – «отец» европейской криптологии, автор «Трактата о шифрах» (1466 г. ) Аббат Иоганн Трисемус (Германия), автор трактата «Полиграфия» (1508 г. ) Френсис Бекон (Англия, конец XVII века) определил криптологию как отдельную научную дисциплину Чарльз Бэббидж – первый применил алгебраические методы в криптографии Эдвард Хеберн – создал первую механическую шифровальную машину «Энигма» (1917)
Информационная безопасность: основные проблемы Общие предпосылки, связанные с ростом усилий по нарушению информационной безопасности. Увеличение объема электронной информации, обладающей коммерческой или другой секретностью. Возрастание распространения компьютерных систем в сферах, связанных с учетом материальных ценностей и денег. Возрастание количества, важности и ответственности решений и действий, принимаемых и выполняемых на основе автоматизированной обработки информации.
Современные тенденции в развитии компьютерных технологий. Рост открытости (подключение к открытым коммуникациям). Рост гетерогенности (совместное использование различных аппаратных, сетевых и операционных платформ). Рост масштабности (наличие большого числа пользователей различной организационной принадлежности и рост сложности компьютерных систем). Рост динамичности (интенсивное изменение структуры, технологических схем и условий функционирования компьютерных систем). Персонализация, миниатюризация и простота эксплуатации компьютерной техники
Информационная безопасность: основные проблемы Недостатки компьютерных систем. Отсутствие или недостаточная эффективность функций защиты в используемых технологиях обработки данных и протоколах информационного обмена. Наличие ошибок в аппаратном и программном обеспечении. Сложность управления современными программными системами.
Отсутствие системного подхода к решению проблемы информационно-компьютерной безопасности. Недостатки анализа угроз и уязвимостей. Недоработки в концептуальной политике безопасности и политике администрирования. Недостатки алгоритмов защиты, реализованных в выбранных средствах информационно-компьютерной безопасности. Ошибки реализации проекта системы защиты. Недостатки поддержания системы защиты в актуальном состоянии.
ГОСТ Р 50922 -2006 Защита информации. Основные термины и определения
Субъект информационных отношений Различные субъекты по отношению к определенной информации могут (возможно одновременно) выступать в качестве (в роли): источников (поставщиков) информации потребителей (пользователей) информации собственников, владельцев, распорядителей информации физических и юридических лиц, о которых собирается информация владельцев систем обработки информации участников процессов обработки и передачи информации и т. д.
Субъект информационных отношений Для успешного осуществления своей деятельности субъекты информационных отношений могут быть заинтересованы в обеспечении: своевременного доступа (за приемлемое для них время) к необходимой им информации и определенным автоматизированным службам конфиденциальности (сохранения в тайне) определенной части информации достоверности (полноты, точности, адекватности, целостности) информации защиты от навязывания им ложной (недостоверной, искаженной) информации (то есть от дезинформации) защиты части информации от незаконного ее тиражирования (защиты авторских прав, прав собственника информации и т. п. ) разграничения ответственности за нарушения законных прав (интересов) других субъектов информационных отношений и установленных правил обращения с информацией возможности осуществления непрерывного контроля и управления процессами обработки и передачи информации и т. д.
Основные термины и определения Безопасность информации - защищенность информации от нежелательного для соответствующих субъектов информационных отношений ее разглашения (нарушения конфиденциальности), искажения или утраты (нарушения целостности, фальсификации) или снижения степени доступности информации, а также незаконного ее тиражирования. Защита информации (ЗИ) - деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.
Виды защиты Правовая ЗИ • Разработка законодательных и нормативных правовых документов (актов), регулирующих отношения субъектов по защите информации, применение этих документов (актов), а также надзор и контроль за их исполнением. Техническая ЗИ • Обеспечение не криптографическими методами безопасности информации (данных), подлежащей (подлежащих) защите в соответствии с действующим законодательством, с применением технических, программных и программнотехнических средств Физическая ЗИ • Применение организационных мероприятий и совокупности средств, создающих препятствия для проникновения или доступа неуполномоченных физических лиц к объекту защиты. Криптографическая ЗИ • Защита информации с помощью ее криптографического преобразования.
Свойства информации доступность целостность конфиденциальность достоверность
Основные термины и определения Защищаемая информация — информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации. Доступ к информации — ознакомление с информацией, ее обработка, в частности копирование, модификация или уничтожение информации. Информация ограниченного доступа — информация, содержащая сведения, составляющие государственную тайну, а также иная информация, доступ к которой ограничен федеральными законами.
Уголовный кодекс РФ Хищение - совершенные с корыстной целью противоправные безвозмездное изъятие и (или) обращение чужого имущества в пользу виновного или других лиц, причинившее ущерб собственнику или владельцу имущества Копирование компьютерной информации - повторение и устойчивое запечатление информации на машинном или ином носителе Уничтожение - внешнее воздействие на имущество, в результате которого оно прекращает свое физическое существование либо приводятся в полную непригодность для использования по целевому назначению. Уничтоженное имущество не может быть восстановлено путем ремонта или реставрации и полностью выводится из хозяйственного оборота Повреждение - изменение свойств имущества при котором существенно ухудшается его состояние, утрачивается значительная часть его полезных свойств и оно становится полностью или частично непригодным для целевого использования И т. д.
Правовые основы. Конституция РФ Статья 23 1. Каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени. 2. Каждый имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение этого права допускается только на основании судебного решения. Статья 24 1. Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются. 2. Органы государственной власти и органы местного самоуправления, их должностные лица обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом.
Правовые основы. Конституция РФ Статья 29 1. Каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Перечень сведений, составляющих государственную тайну, определяется федеральным законом. 2. Гарантируется свобода массовой информации. Цензура запрещается.
Закон РФ «О безопасности» от 28. 12. 2010 г. № 390 -Ф 3 определяет основные принципы и содержание деятельности по обеспечению безопасности государства, общественной безопасности, экологической безопасности, безопасности личности, иных видов безопасности, предусмотренных законодательством РФ, полномочия и функции федеральных органов государственной власти, органов государственной власти субъектов РФ, органов местного самоуправления в области безопасности, а также статус Совета Безопасности РФ
Правовые основы Закон РФ «О государственной тайне» от 21 июля 1993 г. № 5485 -1 Определяет основные понятия, полномочия органов государственной власти и должностных лиц в области отнесения сведений к государственной тайне и их защиты. Дает перечень сведений, которые могут быть отнесены к государственной тайне. Указывает принципы засекречивания сведений, перечисляет сведения, не подлежащие засекречиванию. Устанавливает степени секретности сведений и грифы секретности носителей этих сведений. ФЗ «О коммерческой тайне» от 29 июля 2004 г. № 98 -ФЗ. Регулирует отношения, связанные с отнесением информации к коммерческой тайне, передачей такой информации, охраной ее конфиденциальности в целях обеспечения баланса интересов обладателей информации, составляющей коммерческую тайну, и других участников регулируемых отношений, в том числе государства, на рынке товаров, работ, услуг и предупреждения недобросовестной конкуренции, а также определяет сведения, которые не могут составлять коммерческую тайну.
ФЗ «О персональных данных» от 27 июля 2006 г. № 152 -ФЗ Регулирует отношения, связанные с обработкой персональных данных, осуществляемой федеральными органами государственной власти, органами государственной власти субъектов Российской Федерации, иными государственными органами, . . . физическими лицами с использованием средств автоматизации или без использования таких средств, . . . Целью настоящего ФЗ является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
Указ Президента РФ «Об утверждении Перечня сведений конфиденциального характера» от 6 марта 1997 г. № 188 Утверждает перечень сведений конфиденциального характера Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях. Сведения, составляющие тайну следствия и судопроизводства. Служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом РФ и федеральными законами (служебная тайна). Сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией РФ и федеральными законами (врачебная, нотариальная, адвокатская тайна, тайна переписки, телефонных переговоров, почтовых отправлений, телеграфных или иных сообщений и так далее). Сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с Гражданским кодексом РФ и федеральными законами (коммерческая тайна). Сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них.
Другие законы ФЗ «Об электронной цифровой подписи» от 10 января 2002 г. № 1 -ФЗ Обеспечивает правовые условия использования электронной цифровой подписи в электронных документах, при соблюдении которых электронная цифровая подпись в электронном документе признается равнозначной собственноручной подписи в документе на бумажном носителе. Указ Президента РФ «О мерах по обеспечению информационной безопасности Российской Федерации в сфере международного информационного обмена» от 12 мая 2004 г. № 611. Субъектам международного информационного обмена в Российской Федерации не осуществлять включение информационных систем, сетей связи и автономных персональных компьютеров, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну, и служебную информацию ограниченного распространения, а также для которых установлены особые правила доступа к информационным ресурсам, в состав средств международного информационного обмена, в том числе в международную ассоциацию сетей "Интернет".