Совершенствование и классификация защищаемой информации (рассмотреть отдельно взятый исторический период или сравнительный анализ нескольких)
СОДЕРЖАНИЕ: Совершенствование и классификация защищаемой информации (рассмотреть отдельно взятый исторический период или сравнительный анализ нескольких)Совершенствование и классификация защищаемой информации (рассмотреть отдельно взятый исторический период или сравнительный анализ нескольких)
СОДЕРЖАНИЕ
Введение………………………………………………………..стр. 3
Глава I. Принципы классификации информации……………стр. 7
Глава II. Принципы защиты информации……………………стр. 15
Заключение…………………………………………………….стр. 33
Библиография………………………………………………….стр. 35
ВВЕДЕНИЕ
Актуальность темы. Проблема защиты информации: надежное обеспечение ее сохранности и установление статуса использования - является одной из важнейших проблем современности.
Еще 25-30 лет назад задача защиты информации могла быть эффективно решена с помощью организационных мер и отдельных программно - аппаратах средств разграничения доступа и шифрования.
Появление персональных ЭВМ, локальных и глобальных сетей, спутниковых каналов связи, эффективных технической разведки и конфиденциальной информации существенно обострило проблему защиты информации.
В нашей стране с начала 90-х годов начала строиться совершенно новая финансово-кредитная система, произошло становление новых форм собственности, в том числе и интеллектуальной собственности.
На сегодняшний день отдельные частные компании ведут свои научные разработки, в каждой организации автоматизирована система бухгалтерского учета - все это и многое другое разрабатывается, обрабатывается и хранится при помощи компьютеров. А для передачи данных используются компьютерные сети. Само собой разумеется, такая информация может быть интересна для конкурирующих организаций, а значит, появляется проблема ее защиты. Но под «защитой информации» следует понимать не только спектр технических мероприятий - программных и аппаратных, но и законодательных. Защита законом прав, свобод и собственности - необходимые условия построения правового государства.
На сегодняшний день, юридически сформулированы три принципа информационной безопасности, которая должна обеспечивать:
1. целостность данных;
2. конфиденциальность информации;
3. доступность информации для всех зарегистрированных пользователей[1] .
Уголовный кодекс РФ, введенный в действие с 1 января 1997 года, содержит главу «Преступления в сфере компьютерной информации». Уголовно-правовая защита компьютерной информации в российском уголовном законодательстве введена впервые. Ранее также предпринимались попытки совершенствования законодательства в этой области, но они касались авторских прав на компьютерные программы и незаконного их распространения. Однако все попытки принять поправки к УК до 1997 года оказывались неудачными. Основная проблема нового законодательства была в том, что машинная информация не отвечает формальным критериям предмета преступлений против собственности. Все компьютерные преступления условно можно подразделить на две большие группы - преступления, нарушающие работу компьютеров, и, преступления, использующие ПК как необходимые технические средства
Актуальным для современной ситуации являются:
1. Неправомерный доступ к информации, хранящейся на компьютере. Под этим следует понимать получение информации без разрешения ее владельца. Неправомерный доступ осуществляется, как правило, с использованием чужого имени, поддельных документов, изменением физических адресов технических устройств, изменением программного и аппаратного обеспечения, хищением носителей информации, установкой аппаратуры перехвата информации по системам ее передачи, а также нарушением систем защиты информации.
2. Создание, использование и распространение вредоносных программ для ЭВМ.
3. Разработка и распространение компьютерных вирусов.
4. Преступная небрежность в разработке, изготовлении и эксплуатации программно-вычислительных комплексов, приведшая к тяжким последствиям.
5. Подделка компьютерной информации.
6. Хищение компьютерной информации[2] .
Все эти проблемы делают вопросы классификации и защиты информации в современном обществе необыкновенно актуальными. В данной работе сделана попытка краткого описания классификации и хранения информации на современном этапе развития российского информационного поля.
Объект исследования. Объектом настоящего исследования стала классификация и защита информации.
Предмет исследования . Предметом настоящего исследования стали принципы и основные методы классификации и защиты информации.
Цель исследования. Целью настоящего исследования было выявление основных подходов к классификации и защите информации в современном российском обществе.
Задачи исследования. В рамках настоящего исследования были поставлены и последовательно решены следующие исследовательские задачи:
1. Систематизация и описание данных, касающихся особенностей классификации информации.
2. Систематизация и описание данных, касающихся особенностей хранения разных типов информации.
3. Выделение и выписание основных методов защиты информации.
4. Построение выводов на основе описанных в настоящей работе фактов.
Теоретико-методологические основы исследования. В рамках настоящего исследования были проанализированы 10 источников, касающихся классификации и способов защиты информации.
Методы исследования. Так как исследование в рамках настоящей работы носило теоретический характер, то использовались методы теоретического исследования: анализ имеющихся научных данных по проблеме, классификация и синтез данных, их описание.
ГЛАВА I
Принципы классификации информации.
Классификация информации, как элемент инвентаризации и классификации активов, подлежащих защите - очень важный процесс. От него зависит, насколько адекватно удастся построить систему защиты. Неправильная классификация приведет к тому, что можно упустить из виду какие-то типы данных, которые останутся беззащитными, или затраты на защиту станут непомерными из-за необоснованного повышения категории защищаемой информации. Однако такой важный процесс как классификация информации до сих пор вызывает вопросы у многих сотрудников служб информационной безопасности.
Между материальными объектами нашего мира и информацией могут быть три вида отношений, благодаря чему эти объекты можно подразделить на три класса. Класс А – это объекты, являющиеся носителями информации. Класс Б – объекты, о которых имеется или может быть создана информация. Класс В – объекты, для создания которых требовалась или требуется информация. Такая классификация условна в том смысле, что объекты из каждого класса могут, вообще говоря, относиться (и, как правило, относятся) еще к одному или двум другим классам. В то же время эта классификация в каждом данном отношении совершенно определенна. Действительно, никакая информация не может существовать, не будучи зафиксирована в каком-либо из объектов класса А. Объекты класса Б являются первичными по отношению к той информации, которая может быть о них создана, но существуют независимо от какой бы то ни было информации. Объекты класса В являются вторичными по отношению к описывающей их информации и не могут возникать без ее участия, – соответствующая же информация в своем существовании от них не зависит[3] .
Связь объектов всех трех классов с информацией можно рассматривать в трех аспектах: в аспекте первичности (о чем уже шла речь), в аспекте количества и в аспекте качества или семантики.
Физические особенности объектов класса А - носителей информации – определяют то количество информации, которое может в них содержаться, и ее бренность. Первое обстоятельство объясняет, почему для измерения количества информации можно использовать величины, характеризующие именно те свойства таких объектов, которые допускают их использование в качестве носителей информации. В качестве таковых могут выступать любые физические объекты –формальных ограничений здесь нет[4] .
Связь с информацией объектов класса Б издавна анализируется той областью философии, которую называют «теорией познания». В самом общем виде эту связь можно выразить так: объекты класса Б полностью и однозначно определяют количество и семантику той информации, которая может быть о них создана. Это утверждение, однако, внутренне порочно: ведь мы знаем о разных объектах лишь то, что мы о них знаем, а это и есть созданная о них информация. Создаваемая о подобных объектах информация асимптотически стремится к этому множеству. Приняв посылку о неисчерпаемости познания и, что равносильно этому, об относительности всех истин, можно прийти к выводу, что о любом объекте может быть создано бесконечное количество семантически определенной информации, что бессмысленно. Более эвристичной выглядит посылка об исчерпаемости познания любого объекта и, следовательно, о существовании абсолютных истин, – посылка, хорошо отражающая системный подход к анализу объектов материального мира. Полной информацией о том или ином объекте можно называть такую информацию, располагая которой можно этот объект воссоздать в принципе неограниченное число раз. Следовательно, полная информация и есть тот предел, к которому стремится как количественно, так и семантически информация, создаваемая об объектах класса Б. Алгоритмическое представление об информации, следовательно, предполагает исчерпаемость познания любого конкретного физического (или материального) объекта[5] .
Достаточно сложна связь с информацией объектов класса В – так называемых искусственных объектов, существование которых определяется кодирующей их информацией. Утверждение, согласно которому сложность строения и специфика таких объектов однозначно определяется количеством и семантикой этой информации, будет верным лишь отчасти, ибо большую роль здесь должно играть то устройство, которое реализует информацию в данный объект. Следовательно, такой объект всегда и неизбежно структурой своей отображает несколько большую по количеству и семантически более богатую информацию, нежели та, которая была использована для его создания – или, точнее, которая представляет собой алгоритм его построения. Это позволяет высказывать утверждение, что объекты класса В определяются информацией лишь в той мере, в какой они соответствуют цели, для которой их создают, – ибо такие объекты, являющиеся искусственными, создаются всегда и только с какой либо целью.
Классификация – это процесс соотнесения тех или иных объектов по классам в соответствии с определенными признаками, которые и позволяют определить сходство или различие объектов. Таким объектом может служить документ, файл, видеосессия, голосовой поток, запись в базе данных и даже абзац текста на Web-странице.
Существует три основные схемы классификации:
1. Иерархическая. Исходное множество элементов нулевого уровня делится в зависимости от выбранного признака информации на классы.
2. Фасетная. Признаки классификации (фасеты) выбираются независимо друг от друга, а каждый фасет содержит совокупность однородных значений данного классификационного признака. Например, для фасета «конфиденциальность» значения могут быть «секретно», «публично», «конфиденциально». Именно эта система обычно применяется при классификации информации. К ее достоинствам можно отнести возможность использования большого числа классификационных признаков и возможность простой модификации системы.
3. Дескрипторная. В данной схеме выбираются ключевые слова (дескрипторы), описывающие определенную предметную область, на основании которых создается классификатор информации, эффективно используемый при поиске. В области безопасности эта система не прижилась[6] .
Иерархический метод устанавливает отношение подчинения между различными группировками информации. Последовательно детализируются качественные свойства объектов множеств: класс, подкласс, группа, подгруппа, вид и т.д. Ступень классификации этап классификации, результатом которого является совокупность классификационных группировок[7] .
Классифицируемое множество объектов по некоторому основанию деления отдельному признаку классификации или их совокупности делится на подмножества.
При этом объединение подмножеств классификационных группировок одного уровня иерархии дает исходное множество объектов, а пересечение классификационных группировок одного уровня иерархии дает нулевое подмножество.
Основные достоинства иерархической системы классификации:
1. традиционность и естественность;
2. большая информационная емкость.
Недостатками иерархической системы классификации являются:
1. Невозможность внесения изменений в классификатор (добавление или удаление классификационных признаков, изменение последовательности их применения) после его создания.
2. Трудоемкий поиск информации по произвольному сочетанию признаков классификации[8] .
Фасетный метод классификации предполагает, что исходное множество объектов разбивается на подмножества группировок по независимым между собой признакам классификации фасетам)[9] .
Фасет набор значений отдельного признака классификации, все фасеты взаимно независимы.
Каждый объект одновременно имеет классификационные признаки из различных фасетов, а классификационные группировки создаются динамически путем задания фасетной формулы последовательности фасет и значений классификационных признаков выбранных фасетов. Этот метод классификации наиболее эффективен для машинной обработки данных, при использовании технологии БД и языков запросов высокого уровня. Главное требование при заполнении фасета – исключение возможности повторения одних и тех же значений классификационных признаков в различных фасетах. Фасетная система позволяет при группировке объектов выбирать классификационные признаки независимо друг от друга, что придает ей большую гибкость. К преимуществам фасетной системы относится практически не ограниченное добавление числа фасетов, расширения состава значения в отдельных фасетах, группировки множества по любому сочетанию и числу фасетов.
Дескрипторная классификация предполагает использования специального дескрипторного языка. Для кодирования показателей и документов по набору содержательных признаков используется информационный язык дескрипторного типа, который характеризуется совокупностью терминов, дескрипторов или лексикой и набором отношений между терминами. Эти отношения могут быть двух типов:
1. постоянные логические отношения между терминами, вытекающие из отношений между отображаемыми объектами, которые называются парадигматическими отношениями;
2. переменные отношения между понятиями, возникающие в процессе построения конкретного высказывания, например, показателя, называемые синтагматическими отношениями[10] .
Парадигматические отношения между терминами отражают статику языка. К ним относятся, например, родовидовые отношения. При этом родовым называется термин или понятие, выражающее существенные признаки класса предметов, в состав которого входят предметы, являющиеся видами этого рода. Видовое понятие выражает существенные признаки подкласса предметов, являющегося видом какого-либо другого класса предметов и входящего в состав этого класса.
Синтагматические отношения составляют грамматику этого языка, т.е. правила построения высказываний из набора терминов или понятий. Такие отношения используются в динамике при вводе данных и формулировании запросов.
В зависимости от того, на каком этапе фиксируются все возможные выражения, языки делятся на предкоординированные и посткоординируемы.
Предкоординированными называются языки, в которых на стадии разработки выделяются все высказывания в терминах этих языков и тем самым заранее определяются постоянные отношения между терминами. Для посткоординируемых языков характерна предварительная фиксация лишь постоянных отношений. Все высказывания образуются при использовании лексики данного языка и его грамматики.
Языки предкоординированного типа менее гибки при использовании, так как с их помощью можно описывать только те выражения, которые были заранее зафиксированы. Использование посткоординированных языков позволяет образовывать с их помощью значительно большее число высказываний.
Наиболее типичным примером предкоординированных языков являются классификационные языки, основанные на использовании иерархической и фасетной систем классификации, преимущества и недостатки которых уже были рассмотрены в настоящей работе. К языкам классификационного типа можно отнести разрабатываемый ныне общесистемный классификатор технико-экономических показателей (ОКТЭП). Он содержит способ упорядоченного представления системы показателей и средства их взаимной увязки на основе многоаспектной классификации этих показателей, которая должна отражать наиболее существенные с точки зрения народного хозяйства методологические особенности их расчета, взаимосвязи показателей, наиболее важные признаки группировки показателей и их поиска в ЭИС[11] .
Общим недостатком информационных языков классификационного типа является их слабая приспособленность к новым, заранее не предусмотренным условиям функционирования систем, возможность составления запросов на этих языках регламентированного содержания. Эти недостатки отсутствуют у языков посткоординированного типа, к которым относятся дескрипторные языки, основанные на применении метода координатного или ассоциативного индексирования.
Согласно идее координатного индексирования предполагается, что содержание документов или показателей можно достаточно полно и точно отразить с помощью списка ключевых слов дескрипторов. Дескриптор это термин естественного языка (слово или словосочетание ), используемый при описании документов или показателей, который имеет самостоятельный смысл и неделим без изменения своего значения.
Для того чтобы обеспечить точность и однозначность поиска с помощью такого языка, необходимо предварительно определить все постоянные отношения между терминами: родовидовые, отношения синонимии, омонимии и полисемии, а также ассоциативные отношения. Характеристика родовидовых отношений была дана выше. Особый вид парадигматических отношений представляют отношения синонимии, омонимии и полисемии, всегда присутствующие в естественных языках.
ГЛАВА II
Принципы защиты информации.
Средства обеспечения безопасности информации могут быть различны, в том числе это могут быть программные и программно-аппаратные средства.
К аппаратным средствам защиты информации относятся электронные и электронно-механические устройства, включаемые в состав КС и выполняющие(как самостоятельно, так и при помощи программных средств) некоторые функции по обеспечению безопасности информации.
К основным аппаратным средствам защиты информации относятся:
- Устройства ввода идентифицирующий пользователя информации;
- Устройства шифрования информации;
- Устройства для воспрепятствования несанкционированному включению рабочих станций серверов[12] .
Под программными средствами информационной безопасности понимают специальные программные средства, включаемые в состав программного обеспечения КС исключительно для выполнения защитах функций. К основным программным средствам защиты информации относятся:
1. Программы идентификации аутентификации пользователей КС;
2. Программы разграничения доступа пользователе к ресурсам КС;
3. Программы от несанкционированного доступа , копирования изменения и использования[13] .
Под идентификацией пользователя, применительно к обеспечению безопасности КС, однозначное распознание уникального имени субъекта КС. Аутентификация означает подтверждение того, что предъявленное имя соответствует именно данному субъекту.
К преимуществам программных средств защиты информации относятся:
- простота тиражирования
- Гибкость (возможность настройки на различные условия примене-ния)
- Простота применения
- Практически неограниченные возможности их развития[14]
К недостатка программных средств относятся:
- снижение эффективности КС за счет потребления ее ресурсов, требуемых для функционирования программ защиты.
- Более низкая производительность по сравнению с аналогичными функциями защиты аппаратными средствами
- Пристыкованность многих программных средств[15]
Для защиты информации важнейшее значение имеет ее хранение и обработка. Хранение информации и ее обработка осуществляется, к примеру, с помощью автоматизированных информационных систем.
Автоматизированная информационная система (АИС) — это функционирующий на основе компьютеров и других технических средств информатики комплекс для сбора, хранения, актуализации (обновления) и обработки информации. Основу комплекса АИС составляют технические средства (компьютер или сеть компьютеров с периферийным оборудованием), программное обеспечение, языковые средства и информационные ресурсы. Обычно выделяют два крупных класса АИС — документальные и фактографические, хотя встречаются и комбинированные системы. Документальные АИС предназначены для работы с документами на естественном языке, такими, как книги, статьи, отчеты, труды конференций, патенты, диссертации, авторефераты, архивные материалы. Фактографические АИС, в отличие от документальных, оперируют непосредственно фактическими сведениями из соответствующей предметной области, которые извлекаются из документов и представляются в виде специальных форматизованных записей, созданных средствами технологии баз данных. Наконец, комбинированные документально-фактографические АИС с помощью общих технических и программных средств могут обрабатывать как документальную, так и фактографическую информацию, причем их информационные ресурсы могут быть как раздельными (кооперированные АИС), так и частично или полностью совмещенными (интегрированные АИС)[16] .
Наиболее распространены информационно-поисковые системы (ИПС) для накопления и поиска информации по запросам пользователей (абонентов). Как и АИС, существуют документальные и фактографические ИПС. ИПС содержат программные средства, поисковый информационный массив данных (документов, сведений), отражающих достигнутый уровень знаний о предметной области, и средства поддержки информационного языка. По мере эволюции знаний о предметной области изменяется и поисковый информационный массив, причем возможные изменения также регламентируются ограничениями целостности данных. Отображаемая в ИПС структура предметной области и ограничения целостности составляют информационно-логическую, или, короче, инфологическую модель предметной области.
Программные средства ИПС оформляются в виде пакетов управляющих и прикладных программ и служат для организации и хранения информации, организации взаимодействия пользователей с системой, обработки пользовательских запросов и выдачи результатов поиска, обеспечения эффективного использования ресурсов компьютера и надежного функционирования системы при одновременной работе многих абонентов. Наиболее продуктивной технологией работы современных ИПС является технология «клиент — сервер».
Поисковый массив данных документальной ИПС составляет ее базу данных. Обычно он не содержит непосредственно текстов документов. Так, например, автоматизированные библиографические системы, являющиеся наиболее распространенными ИПС, оперируют библиографическими данными, или, реже, рефератами и аннотациями. В фактографических ИПС сведения о предметной области в виде записей на специальном информационном языке также сохраняются в базе данных или нескольких базах данных. В дальнейшем, для определенности, ограничимся документальными ИПС.
Основная функция ИПС — выявление элементов информационного поискового массива, которые отвечают на запрос, предъявленный системе. Запрос составляется пользователем на естественном языке, а затем автоматически преобразуется в поисковый образ запроса — некоторое формализованное предписание. Для поиска используются записанные на информационном языке поисковые образы документов в виде формализованных объектов, отражающих содержание документов, сохраняемых в базе данных. Поисковые образы обычно формируются при вводе документов в базу данных специалистом в соответствующей предметной области. Для этого осуществляется индексирование документов: снабжение их ключевыми словами, рубриками и другими указателями. Возможно также и автоматическое индексирование документов средствами самой ИПС[17] .
При обработке запроса поисковый образ запроса сравнивается с поисковыми образами документов по некоторому критерию, который называют критерием смыслового соответствия. Документы, удовлетворяющие этому критерию, считаются релевантными запросу и в ответ на поступивший запрос выдаются сведения обо всех релевантных документах. Правильная реализация критерия смыслового соответствия — одна из наиболее сложных проблем в работе ИПС. При этом надо исключить как неполноту поиска, так и «информационный шум», под которым понимаются случайные погрешности поиска, вследствие которых может не выдаваться часть релевантных документов или, наоборот, выдаются лишние, нерелевантные документы. Основные причины указанных недостатков поиска — неудовлетворительное индексирование документов, слабые языковые и программные средства.
Информационные языки ИПС, называемые также информационно-поисковыми языками, реализуются на основе некоторого подмножества естественного языка. Для преодоления трудностей, связанных с интерпретацией высказываний на естественном языке, информационно-поисковые языки строятся как языки дескрипторного типа. Такие языки основаны на использовании тезаурусов — специальных словарей, описывающих лексические единицы (слова и устойчивые словосочетания) информационно-поискового языка, называемые дескрипторами, и смысловые связи между ними. Тезаурусы, следовательно, предназначены для поиска слов по их смыслу.
В качестве дескриптора могут быть выбраны ключевое слово, словосочетание или цифровой код типа кодов УДК (универсальная десятичная классификация в библиографии), указывающий раздел предметной области. Тезаурус позволяет находить нужные дескрипторы и правильно индексировать документы, однозначно переводить тексты с естественного языка на дескрипторный информационно-поисковый язык, составлять поисковые образы документов и запросов. Типичный информационно-поисковый тезаурус имеет три раздела:
1. алфавитный список дескрипторов;
2. указатель отношений между дескрипторами;
3. руководство по переводу ключевых слов и словосочетаний естественного языка на дескрипторный информационно-поисковый язык[18] .
Различают два типа отношений между словами естественного или дескрипторного языка: парадигматические и синтагматические отношения. Парадигматические (иммаментные, внутренне присущие) отношения между словами (понятиями) существуют всегда, независимо от контекста. Парадигматические отношения, в свою очередь, делят на отношения подчинения, отвечающие связям вида «класс — подкласс» или «целое — часть» (например, «жидкость» — «нефть»), и ассоциативные отношения, включающие все другие имманентные связи (например, «жидкость» — «текучесть»). Синтагматическими называют ситуативные отношения, возникающие между словами лишь в определенном контексте, т.е. в определенной ситуации, объединяющей обозначенные словами объекты, процессы, явления (например, «ускорение электрона» — электрон есть объект ускорения, «столкновение ядер» и т.п.). Тип отношений учитывается при организации поиска[19] .
Поскольку состав и отношения объектов предметной области все время меняются, активно функционирующая АИС должна находиться в процессе постоянного обновления, который также должен быть автоматизирован. Создание и широкое использование разнообразных АИС — важнейшая задача информатики.
На сегодняшний день известно значительное количество свойств информации, из которых в безопасности используется три основных – конфиденциальность, целостность и доступность (в английской литературе эта триада обозначается как CIA - confidentiality, integrity и availability). Несмотря на то, что доступность является скорее свойством информационной системы, а не информации, в литературе принято отталкиваться именно от этой тройки свойств информации[20] .
Однако надо понимать, что данная триада родилась в то время, когда банки, да и вообще коммерческие структуры, серьезно не задумывались о своей безопасности. Военным же ведомствам, ставшим родоначальниками классической тройки, достаточно было одной конфиденциальности. Но время не стоит на месте и некоторые специалисты стали говорить о необходимости расширения данной триады за счет таких элементов, как подотчетность (accountability), подлинность (authenticity), адекватность (reliability), контроль использования (use control), неотрекаемость (non-repudation) и др. В частности первые три элемента дополнили тройку CIA в международном стандарте ISO 13335 и его отечественном аналоге ГОСТ Р ИСО 13335. В качестве свойств можно также назвать «полезность», «своевременность», «достоверность» и многие другие[21] .
Самый распространенный и традиционный подход к классификации информации перекочевал из века бумажных документов и режимных предприятий. Согласно нему документы делятся на три основных типа – публичные или открытые, для служебного доступа (конфиденциальная информация) и секретные (грифы «секретно», «совершенно секретно» и «особой важности»). Данная классификация рассматривает только одно из свойств информации – конфиденциальность, забывая про остальные два. В ведомствах, из которых пришла эта классификация, такой подход может и был допустимым, но не в современном бизнесе, которому зачастую гораздо важнее обеспечить целостность документа, а не его конфиденциальность (например, платежная квитанция).
Если не рассматривать вопросы национальной безопасности, то для большинства предприятий схема защиты информации достаточно проста и заключается в привязке класса данных к ущербу от нарушения их конфиденциальности, целостности или доступности. Если мы используем при классификации только одно из свойств, самое распространенное, то таблица соответствия будет выглядеть следующим образом.
В США классификация информации («confidential», «secret» и «top secret») имеет четкую привязку к ущербу («damage», «serious damage» и «extremely grave damage»). В Приказе ФСБ, ФСТЭК и Мининформсвязи «Об утверждении порядка проведения классификации информационных систем персональных данных» классификация (правда, не информации, а информационной системы) тоже привязана к ущербу. Вот только понять разницу между «негативными последствиями», «значительными негативными последствиями» и «незначительными негативными последствиями» очень непросто[22] .
В западных компаниях при классификации помимо трех упомянутых выше классов – «публичный», «ДСП» и «секретный», часто используется еще и четвертый – «внутренний», который подразумевает информацию, раскрытие которой наносит ущерб внутри компании, но не влияет на ее бизнес, финансы или юридические вопросы. В департаменте психиатрии Университета Флориды принята похожая классификация – «restricted» (нарушения контрактов, законов, приватности и т.п.), «sensitive» (потенциальные потери в бизнесе, финансах или юридические последствия), «operational» (может повлиять на простоту операций, репутацию персонала и т.д.) и «unrestricted» (все остальное)[23] .
Если связь класса информации с ущербом от нарушения ее безопасности для большинства компаний выглядит вполне логичной, то использование конфиденциальности, как основного мерила защищенности, является не такой очевидной. Для многих компаний на первое место выходит целостность или доступность информационных активов. В остальном же подход к классификации остается аналогичным.
В последнее время вырос интерес к вопросам защиты информации. Это
связывают с тем, что стали более широко использоваться вычислительные сети, что приводит к тому, что появляются большие возможности для не-
санкционированного доступа к передаваемой информации.
В литературе выделяют различные способы защиты информации среди них выделяются физические, законодательные, управление доступом и криптографическое закрытие.
Наиболее эффективными являются криптографические способы защиты информации. Суть их заключается в том, что последовательность символов (открытый текст) подвергается некоторому преобразованию (в котором используется ключ) и в результате получается закрытый текст, непонятный тому, кто не знает алгоритма шифрования и, конечно, ключа.
Для преобразования (шифрования) обычно используется некоторый алгоритм или устройство, реализующее заданный алгоритм, которые могут быть известны широкому кругу лиц. Управление процессом шифрования осуществляется с помощью периодически меняющегося кода ключа, обеспечивающего каждый раз оригинальное представление информации при использовании одного и того же алгоритма или устройства. Знание ключа позволяет просто и надёжно расшифровать текст. Однако без знания ключа эта процедура может быть практически невыполнима даже при известном алгоритме шифрования. Даже простое преобразование информации является весьма эффективным средством, дающим возможность скрыть её смысл от большинства неквалифицированных нарушителей.
Вопросу предотвращения утечки информации криптографическим путем уделяется большое внимание. В США действуют государственный стандарт шифрования (DES - Data Encryption Standart ), во всем мире разрабатываются математические методы, которые позволят кодировать сообщения в условиях эксплуатации в открытых сетях. В настоящие время развитие глобальной сети Интернет и сопутствующих технологий достигло такого высокого и всеобъемлющего уровня, что нынешняя деятельность любого предприятия или учреждения в целом и каждого пользователя Интернета в отдельности, уже не мыслима без электронной почты, Web-рекламы и Web-представительства, общения в режиме «он-лайн»[24] .
Актуальность проблемы защиты информации связана с ростом возможностей вычислительной техники. Развитие средств, методов и форм автоматизации процессов oбpaбoтки инфopмaции, мaccoвocть пpимeнeния ПЭBM peзкo пoвышaют уязвимocть инфopмaции. Ocнoвными фaктopaми, cпocoбcтвующими пoвышeнию этoй уязвимocти, являютcя:
1. резкое увеличение объемов информации, накапливаемой, хранимой и
обрабатываемой с помощью ЭBM и других средств автоматизации;
2. сосредоточение в единых базах данных информации различного назначения
и различной принадлежности;
3. резкое расширение круга пользователей, имеющих непосредственный доступ
к ресурсам вычислительной системы и находящимся в ней массивам данных;
4. усложнение режимов функционирования технических средств
вычислительных систем: широкое внедрение мультипрограммного режима, а также режима разделения времени
5. автоматизация межмашинного обмена информацией, в том числе и на
больших расстояниях[25]
.
B этих условиях возникает возможность несанкционированного
использования или модификации информации (т.e. опасность утечки информации ограниченного пользования). Это вызывает особую озабоченность пользователей, в связи с чем защите информации от несанкционированного доступа (чтения) уделяется повышенное внимание.
Совершенно очевидна уязвимость незащищенных систем связи, в том числе вычислительных сетей. Информация, циркулирующая в них, может быть незаконно изменена, похищена, уничтожена.
Специфичная область компьютерных преступлений и то обстоятельство, что их совершают как правило люди с незапятнанной репутацией и хорошо владеющие тонкостями информационных технологий затрудняет раскрытие таких преступлений.
Защита информации находится в центре внимания нe тoлькo специалистов пo разработке и использованию информационных систем, нo и широкого круга пользователей. B последние годы, в связи c широким распространением и повсеместным применением вычислительной техники, массовостью внедрения ПЭВМ, резко повысилась уязвимость накапливаемой, хранимой и обрабатываемой
в системах информации. Сейчас четко выделяются три аспекта уязвимости
информации:
1. подверженность физическому уничтожению или искажению,
2. возможность несанкционированной (случайной или злоумышлeннoй)
мoдификaции;
3. опасность несанкционированного (случайного или злоумышлeннoгo)
пoлучeния инфopмaции лицами, для которых она не предназначалась[26]
.
Однако, если первый аспект уязвимости инфopмaции был известен существует определенная разработанная научно-методическая база для практических рекомендаций, тo резкое повышение возможности не санкционированного получения инфopмaции оказывается большой опасностью. Эта опасность является тем более острой, чтo традиционные меры зaщиты oт несанкционированного доступа к инфopмaции оказались недостаточными для решения аналогичных задач в системах с применением новых информационных технологий.
Опасность насанкциониpoвaнныx злoумышлeнныx действий в вычислительных средствах и системах является весьма реальной и c дальнейшим развитием вычиcлитeльнoй тexники угpoзa повреждения инфopмaции, несмотря нa вce усилия пo ee зaщитe, неизменно растет. Bce это обуславливает необходимость углубленного aнaлизa опыта зaщиты инфopмaции и комплексной организации методов и механизмов защиты.
Понятие «информационная безопасность» несколько шире понятия «защита информации», т.к. под информационной безопасностью понимается защищенность не только информации, но и поддерживающей ее инфраструктуры от случайных или преднамеренных воздействий (искусственного или естественного характера) которые могут нанести ущерб владельцам или пользователям информации или поддерживающей ее инфраструктуры. К обеспечению информационной безопасности, состоящий в том, что надо начинать с выявления субъектов информационных отношений, их целей, интересов и возможностей использования разного рода ресурсов, как для защиты своей информации, так и для нанесения ущерба другим субъектам и их информационным системам.
Опасными для сохранения информации оказываются действия в рамках информационной войны. Информационная война включает действия, предпринятые для достижения информационного превосходства путем нанесения ущерба информации, процессам, основанным на информации, и информационным системам противника при одновременной защите собственной информации, процессов, основанных на информации, и информационных систем. Понятие информационной войны с некоторыми оговорками уместно применить и взаимодействию субъектов в бизнесе, если интересы этих субъектов существенно различаются.
В ряде работ отмечается, что проблему обеспечения защиты информации
часто сужают до проблемы обеспечения защиты только компьютерной
информации. Для комплексного подхода необходимо рассмотреть ряд аспектов информационной безопасности, в частности обеспечение разведзащищенности объекта.
Под разведзащищенностью объекта предлагается понимать способность
объекта противостоять всем видам разведки, то есть обеспечение
разведзащищенности заключается в реализации комплекса организационных и технических мероприятий, направленных на обеспечение безопасности
информации о самом объекте. В основном имеется в виду снижение информативности данных, «демаскирующих» объект, обрабатывая которые,
злоумышленник может получить некоторую информацию о режиме функционирования объекта, его взаимодействию с другими участниками процесса[27]
.
В последнее время в литературе большое внимание уделяется новому направлению в информационной безопасности, а именно «стеганографии», и в частности компьютерной стеганографии.
В России сегодня нет единой программы обеспечения безопасности критически важных объектов и сегментов российской информационной инфраструктуры (КВСО РИИ). Не существует государственной организации, ответственной за решение проблемы в целом, за обеспечение защищенности всей российской информационной инфраструктуры. О непонимании значимости данной проблемы можно судить по двум фактам: во-первых, в ФЦП «Электронная Россия» практически нет выделенных мероприятий по обеспечению информационной безопасности; во-вторых, в подготовленном проекте Федеральной программы реализации первоочередных мероприятий Доктрины информационной безопасности Российской Федерации такой раздел отсутствует.
В известной степени это состояние определяется мнением, что уровень общего развития РИИ существенно ниже, чем в большинстве развитых стран и, соответственно, для России проблема защиты КВСО РИИ не имеет столь высокой важности, как для развитых стран[28] .
Однако это глубокое заблуждение. Уже сегодня в стране все системы жизнеобеспечения общества и государства базируются на широком использовании единой информационной инфраструктуры. Более того, результаты реализации уже первого этапа работ по ФЦП «Электронная Россия» должны значительно повысить значимость РИИ для жизнедеятельности общества. Например, создание систем электронного документооборота в государственном секторе, развитие системы электронной коммерции, системы банковских расчетов и т.д. значительно повысят зависимость многих сфер деятельности от уровня обеспечения безопасности КВСО РИИ.
Нетрудно убедиться, что вывод из строя любого существенного элемента информационной инфраструктуры может привести к невосполнимому ущербу и катастрофическим последствиям.
Базовая система критериев, на которых должна основываться идентификация критически важных сегментов РИИ может быть представлена в виде таблицы[29] :
| Сегмент информационной инфраструктуры является критически важным, если нарушение его безопасного функционирования может повлечь за собой хотя бы одно из следующих последствий: |
| 1) нарушение управляемости государства или региона; |
| 2) нанесение ущерба авторитету государства, в том числе на международной арене; |
| 3) нарушение законодательства или договоров, в том числе международных; |
| 4) нарушение стабильности финансовой или банковской систем; |
| 5) нанесение крупного экономического ущерба предприятиям и организациям – государственным и частным; |
| 6) нарушение боеготовности и боеспособности Вооруженных сил; |
| 7) массовые нарушения правопорядка; |
| 8) раскрытие государственных секретов, конфиденциальной научно-технической и коммерческой информации; |
| 9) непредотвращение террористических актов; |
| 10) нарушение систем обеспечения жизнедеятельности городов и населенных пунктов; |
| 11) аварии и катастрофы регионального масштаба; |
| 12) гибель и физическое травмирование людей; |
| 13) разрушение и заражение среды обитания; |
| 14) крупномасштабное уничтожение национальных ресурсов (природных, сельскохозяйственных, продовольственных, производственных, информационных); |
| 15) остановка непрерывных производств. |
Локализация этой системы критериев должна проводиться на основе анализа спектра аварий, чрезвычайных и катастрофических событий, которые могут произойти в результате нарушения безопасности КВСО РИИ, и последствий этих событий, выражаемых в экономическом, материальном и нематериальном ущербе, а также в показателях ухудшения условий жизни и деятельности в регионе. Таким образом, первым и важнейшим шагом в идентификации критических сегментов (КС) является определение по возможности наиболее полного списка событий, которые могут иметь нежелательные, необратимые или катастрофические последствия.
Все предприятия, организации, а так же территориальные единицы в совокупности с автоматизированными информационными системами, которые их обслуживают и в которых возможно возникновение событий риска в результате нарушения их ИБ, должны быть идентифицированы как КВСО РИИ. Ниже приведен список возможных составляющих РИИ, которые могут быть идентифицированы как критически важные сегменты и объекты.
Сегодня решения проблем защиты КВСО РИИ отданы на откуп силовым ведомствам, в частности, ФАПСИ. Некоторые считают, что защита информационного пространства высших органов государственной власти (задача ФАПСИ) может решить все другие проблемы безопасности КВСО РИИ. Не принимается во внимание то обстоятельство, что сегодня существуют крупные коммерческие производственные и транспортные структуры общенационального значения, вывод из строя информационно-управляющих систем которых также может привести к катастрофическим последствиям. Их защитой ФАПСИ не занимается как по своему статусу, так и по возможностям. Необходимо осознать сложность решения проблемы защиты КВСО РИИ. Эта сложность определяется следующими факторами:
1. масштабность, разнородность и высокая связность информационной инфраструктуры как объекта защиты;
2. высокая размерность задачи;
3. физические и финансовые ограничения одновременного обеспечения защиты всего множества разнородных объектов информационной инфраструктуры;
4. невозможность предвидеть и предусмотреть все множество различных угроз нападения на РИИ, возможные формы, виды и места нанесения атак – это множество включает в себя все, начиная с компьютерных вирусов и кончая физическим воздействием на технику и персонал;
5. сложность предвидения и определения источников угроз и атак;
6. тесная взаимосвязь РИИ с мировой информационной инфраструктурой и наличие трансграничного информационного обмена[30] .
Сказанное определяет необходимость разработки обобщенного межведомственного плана мероприятий, реализация которого в определенной мере способствовала бы повышению защищенности КВСО РИИ. При этом должно учитываться существующее ведомственное распределение сфер деятельности. Необходимо:
1. Начать проведение широкого круга исследований по созданию защищенной части РИИ, выявлению критически важных сегментов и объектов на федеральном, региональных и территориальных уровнях РИИ, а также отдельных особо уязвимых объектов РИИ.
2. Сформировать в ведомствах планы мероприятий по обеспечению защищенности КВС РИИ, провести координацию работ по реализации этих планов.
3. Создать национальную систему мониторинга угроз и мер защиты КВСО РИИ.
4. Принять соответствующее решение на государственном уровне по необходимым для этого организационным, техническим и правовым мероприятиям. В частности, необходимо создание государственного органа (возможно, межведомственного Центра по защите КВСО РИИ), осуществляющего мониторинг угроз и мер защиты КВС РИИ, наделенного соответствующими правами и обязанностями.
5. Обеспечить тесное взаимодействие на государственном уровне с подобными организациями других стран. В частности, уже сегодня организации США, Англии, ЕС и Канады готовы тесно сотрудничать с нами в решении общих проблем защиты КВСО, причем готовы и финансировать ряд работ, имеющих общий характер.
6. Организовать проведение научных исследований по методологии построения системы мониторинга, организации систем защиты и т.д[31] .
Реализация высказанных предложений позволит создать специализированную инфраструктуру защиты информации в РИИ.
ЗАКЛЮЧЕНИЕ
На основании данных полученных в ходе проведения настоящего теоретического исследования, можно сделать следующие выводы:
1. Классификация информации – это процесс соотнесения тех или иных объектов по классам в соответствии с определенными признаками, которые и позволяют определить сходство или различие объектов.
2. Три основные схемы классификации информации: иерархическая, фасетная, дескрипторная.
3. Иерархический метод устанавливает отношение подчинения между различными группировками информации.
4. Фасетный метод классификации предполагает, что исходное множество объектов разбивается на подмножества группировок по независимым между собой признакам классификации фасетам).
5. Дескрипторная классификация предполагает использования специального дескрипторного языка. Для кодирования показателей и документов по набору содержательных признаков используется информационный язык дескрипторного типа, который характеризуется совокупностью терминов, дескрипторов или лексикой и набором отношений между терминами.
6. К аппаратным средствам защиты информации относятся электронные и электронно-механические устройства, включаемые в состав КС и выполняющие(как самостоятельно, так и при помощи программных средств) некоторые функции по обеспечению безопасности информации.
7. Под программными средствами информационной безопасности понимают специальные программные средства, включаемые в состав программного обеспечения КС исключительно для выполнения защитах функций.
8. Для защиты информации важнейшее значение имеет ее хранение и обработка. Хранение информации и ее обработка осуществляется, к примеру, с помощью автоматизированных информационных систем.
9. На сегодняшний день известно значительное количество свойств информации, из которых в безопасности используется три основных – конфиденциальность, целостность и доступность (в английской литературе эта триада обозначается как CIA - confidentiality, integrity и availability).
10. Если не рассматривать вопросы национальной безопасности, то для большинства предприятий схема защиты информации достаточно проста и заключается в привязке класса данных к ущербу от нарушения их конфиденциальности, целостности или доступности.
11. Актуальность проблемы защиты информации связана с ростом возможностей вычислительной техники.
12. Совершенно очевидна уязвимость незащищенных систем связи, в том числе вычислительных сетей. Информация, циркулирующая в них, может быть незаконно изменена, похищена, уничтожена.
13. Понятие «информационная безопасность» несколько шире понятия «защита информации», т.к. под информационной безопасностью понимается защищенность не только информации, но и поддерживающей ее инфраструктуры от случайных или преднамеренных воздействий (искусственного или естественного характера) которые могут нанести ущерб владельцам или пользователям информации или поддерживающей ее инфраструктуры.
БИБЛИОГРАФИЯ
1. Земсков А.И., Шрайберг Я.Л., Электронная информация и электронные ресурсы, М., 2007
2. Кононов А.А., Черешкин Д.С., Ключевые проблемы обеспечения безопасности национальной информационной инфраструктуры, М., 2006
3. Корогодин В.И., Корогодин В.Л., Информация как основа дизни, М., 2006
4. Корт С.С., Теоретические основы защиты информации, М., 2004
5. Малюк А.А., Информационная безопасность. Концептуальные и методологические основы защиты информации, М., 2004
6. Могилев А.В., Листрова Л.В., Информация и информационные процессы. Социальная информатика, СПб, 2006
7. Рейнгольд Л.А., Структурирование информации. Системный подход, М., 2004
8. Шаньгин В.Ф., Защита компьютерной информации, М., 2008
9. Системный подход к управлению информацией, М., 2006
10. Управление правами в области цифровой информации, М., 2008
[1] Корогодин В.И., Корогодин В.Л., Информация как основа жизни, М., 2006
[2] Корт С.С., Теоретические основы защиты информации, М., 2004
[3] Могилев А.В., Листрова Л.В., Информация и информационные процессы. Социальная информатика, СПб, 2006
[4] Кононов А.А., Черешкин Д.С., Ключевые проблемы обеспечения безопасности национальной информационной инфраструктуры, М., 2006
[5] Кононов А.А., Черешкин Д.С., Ключевые проблемы обеспечения безопасности национальной информационной инфраструктуры, М., 2006
[6] Земсков А.И., Шрайберг Я.Л., Электронная информация и электронные ресурсы, М., 2007
[7] Рейнгольд Л.А., Структурирование информации. Системный подход, М., 2004
[8] Системный подход к управлению информацией, М., 2006
[9] Системный подход к управлению информацией, М., 2006
[10] Корогодин В.И., Корогодин В.Л., Информация как основа жизни, М., 2006
[11] Корогодин В.И., Корогодин В.Л., Информация как основа жизни, М., 2006
[12] Малюк А.А., Информационная безопасность. Концептуальные и методологические основы защиты информации, М., 2004
[13] Малюк А.А., Информационная безопасность. Концептуальные и методологические основы защиты информации, М., 2004
[14] Шаньгин В.Ф., Защита компьютерной информации, М., 2008
[15] Шаньгин В.Ф., Защита компьютерной информации, М., 2008
[16] Управление правами в области цифровой информации, М., 2008
[17] Кононов А.А., Черешкин Д.С., Ключевые проблемы обеспечения безопасности национальной информационной инфраструктуры, М., 2006
[18] Рейнгольд Л.А., Структурирование информации. Системный подход, М., 2004
[19] Корт С.С., Теоретические основы защиты информации, М., 2004
[20] Корт С.С., Теоретические основы защиты информации, М., 2004
[21] Управление правами в области цифровой информации, М., 2008
[22] Корогодин В.И., Корогодин В.Л., Информация как основа жизни, М., 2006
[23] Корогодин В.И., Корогодин В.Л., Информация как основа жизни, М., 2006
[24] Корогодин В.И., Корогодин В.Л., Информация как основа жизни, М., 2006
[25] Рейнгольд Л.А., Структурирование информации. Системный подход, М., 2004
[26] Малюк А.А., Информационная безопасность. Концептуальные и методологические основы защиты информации, М., 2004
[27] Малюк А.А., Информационная безопасность. Концептуальные и методологические основы защиты информации, М., 2004
[28] Могилев А.В., Листрова Л.В., Информация и информационные процессы. Социальная информатика, СПб, 2006
[29] Шаньгин В.Ф., Защита компьютерной информации, М., 2008
[30] Кононов А.А., Черешкин Д.С., Ключевые проблемы обеспечения безопасности национальной информационной инфраструктуры, М., 2006
[31] Кононов А.А., Черешкин Д.С., Ключевые проблемы обеспечения безопасности национальной информационной инфраструктуры, М., 2006