Информационная безопасность в системе национальной безопасности РФ.

Доктрина информационной безопасности и перспективы ее практической реализации(???).

Доктрина информационной безопасности Российской Федерации представляет собой совокупность официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности Российской Федерации.
Настоящая Доктрина служит основой для:

· формирования государственной политики в области обеспечения информационной безопасности Российской Федерации;

· подготовки предложений по совершенствованию правового, методического, научно-технического и организационного обеспечения информационной безопасности Российской Федерации;

· разработки целевых программ обеспечения информационной безопасности Российской Федерации.

Информационная война и особенности обеспечения информационной безопасности в современной международной ситуации.

Особенности обеспечения информационной безопасности в чрезвычайных ситуациях.

Наиболее уязвимыми объектами обеспечения информационной безопасности Российской Федерации в условиях чрезвычайных ситуаций являются система принятия решений по оперативным действиям (реакциям), связанным с развитием таких ситуаций и ходом ликвидации их последствий, а также система сбора и обработки информации о возможном возникновении чрезвычайных ситуаций.
Особое значение для нормального функционирования указанных объектов имеет обеспечение безопасности информационной инфраструктуры страны при авариях, катастрофах и стихийных бедствиях. Сокрытие, задержка поступления, искажение и разрушение оперативной информации, несанкционированный доступ к ней отдельных лиц или групп лиц могут привести как к человеческим жертвам, так и к возникновению разного рода сложностей при ликвидации последствий чрезвычайной ситуации, связанных с особенностями информационного воздействия в экстремальных условиях: к приведению в движение больших масс людей, испытывающих психический стресс; к быстрому возникновению и распространению среди них паники и беспорядков на основе слухов, ложной или недостоверной информации.
К специфическим для данных условий направлениям обеспечения информационной безопасности относятся:
разработка эффективной системы мониторинга объектов повышенной опасности, нарушение функционирования которых может привести к возникновению чрезвычайных ситуаций, и прогнозирования чрезвычайных ситуаций;
совершенствование системы информирования населения об угрозах возникновения чрезвычайных ситуаций, об условиях их возникновения и развития;
повышение надежности систем обработки и передачи информации, обеспечивающих деятельность федеральных органов исполнительной власти;
прогнозирование поведения населения под воздействием ложной или недостоверной информации о возможных чрезвычайных ситуациях и выработка мер по оказанию помощи большим массам людей в условиях этих ситуаций;
разработка специальных мер по защите информационных систем, обеспечивающих управление экологически опасными и экономически важными производствами.

Правовая регламентация сертификационной деятельности в области защиты информации.

Полный перечень видов деятельности в области защиты информации, подлежащих обязательному государственному лицензированию, определён в Законе Российской Федерации "О государственной тайне" (№ 5485-1 от 21.07.93) и ФЕдеральном законе "О лицензировании отдельных видов деятельности" (№ 128 от 8.08.01).
В законе "О государственной тайне" определены лизцензируемые виды деятельности в области защиты информации, содержащей сведения, отнесённые к государственной тайне, а в Законе "О лицензировании отдельных видов деятельности" - в области защиты конфиденциальной информации.

Начиная с 2002 г. в соответствии с требованиями Федерального закона "О лицензировании отдельных видов деятельности" (№ 128 от 8.08.01) осуществляется лицензирование видов деятельности, относящихся к защите конфиденциальной информации, в том числе деятельности по технической защите кофиденциальной информации и по разработке и (или) производству средств защиты конфиденциальной информации. В соответствии с постановлением Правительства РФ "О лицензировании отдельных видов деятельности" (№ 135 от 11.02.02) Федеральная служба по техническому и экспортному контролю определена как лицензирующий орган по указанным видам деятельности.
Постановлениями Правительства РФ "О лицензировании деятельности по технической защите конфиденциальной информации" (№ 290 от 30.04.02) и "Об утверждении Положения о лицензировании деятельности по разработке и (или) производству средств защиты конфиденциальной информации" (№ 348 от 270.05.02) утверждены соответствующие положения, где определены лицензионные требования и условия, перечень документов, предоставляемых соискателем лицензии, а также порядок осуществления полномочий Федеральной службой по техническому и экспортному контролю в качестве лицензирующего органа.

Для того, чтобы защита информации была максимально эффективна, средства её обработки и защиты должны соответствовать определённым требованиям, подтверждённым объктивной и незвисимой оценкой. Одной из форм такой оценки соответствия требованиям нормативных документов по защите информации является сертификация.
В Законе "О государственной тайне" установлено, что средства защиты должны иметь сертификат, удостоверяющий соответствие требованиям по защите.
Федеральный закон "Об информации, информатизации и защите информации" (№ 24-ФЗ от 20.02.95) предполагает, что все информационные системы и средства защиты информации органов государсвенной власти Российской Федерации и её субъктов, а также других организций, обрабатывающих информацию с ограниченным доступом, подлежат обязательной серификации.
Постановлением Правительства РФ "О сертификации средств защиты информации" (№ 608 от 26.06.95) были определены федеральные ограны по сертификации: Федеральная служба по техническому и экспортному контролю, ФСБ России, Минобороны России, СВР. Координация деятельности систем сертификации средств защиты информации возложена на Межведомственную комиссию по защите государственной тайны.

Органы лицензирования в сфере защиты информации и их полномочия.

Деятельность по лицензированию в области защиты информации выполняют ФСБ и ФСТЭК России.

ФСБ России:

· Разработка и (или) производство средств защиты конфиденциальной информации (в пределах компетенции ФСБ)

· Разработка, производство, реализация и приобретение в целях продажи специальных технических средств, предназначенных для негласного получения информации, индивидуальными предпринимателями и юридическими лицами, осуществляющими предпринимательскую деятельность

· Деятельность по выявлению электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах (за исключением случая, если указанная деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)

· Деятельность по распространению шифровальных (криптографических) средств

· Деятельность по техническому обслуживанию шифровальных (криптографических) средств

· Предоставление услуг в области шифрования информации

· Разработка, производство шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных систем, телекоммуникационных систем

ФСТЭК России:

· Деятельность по технической защите конфиденциальной информации

· Разработка и (или) производство средств защиты конфиденциальной информации

Информационная безопасность в системе национальной безопасности РФ.

Наряду с политической, экономической, военной, социальной и экологической безопасностью составной частью национальной безопасности Российской Федерации является информационная безопасность.

Под информационной безопасностью Российской Федерации понимается состояние защищенности национальных интересов Российской Федерации в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.

Информационная сфера представляет собой совокупность информационных ресурсов и информационной инфраструктуры объекта защиты.

Совокупность хранимой, обрабатываемой и передаваемой информации, используемой для обеспечения процессов управления, называют информационным ресурсом.

К информационным ресурсам относятся:

· информационные ресурсы предприятий оборонного комплекса, содержащие сведения об основных направлениях развития вооружения, о научно-техническом и производственном потенциале, об объемах поставок и запасах стратегических видов сырья и материалов;

· информационное обеспечение систем управления и связи;

· информация о фундаментальных и прикладных НИР, имеющих государственное значение и др.

Информационная инфраструктура – это совокупность информационных подсистем, центров управления, аппаратно-программных средств и технологий обеспечения сбора, хранения, обработки и передачи информации.

Информационная инфраструктура включает:

· информационную инфраструктуру центральных, местных органов государственного управления, научно-исследовательских учреждений;

· информационную инфраструктуру предприятий оборонного комплекса и научно-исследовательских учреждений, выполняющих государственные оборонные заказы либо занимающихся оборонной проблематикой;

· программно-технические средства автоматизированных и автоматических систем управления и связи.

Под угрозой безопасности информации понимается совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации и (или) несанкционированными и (или) непреднамеренными воздействиями на нее. Угрозы информационной безопасности Российской Федерации подразделяются на внешние и внутренние.

Внешними угрозами, представляющими наибольшую опасность для объектов обеспечения, являются:

· все виды разведывательной деятельности зарубежных государств;

· информационно-технические воздействия (в том числе радиоэлектронная борьба, проникновение в компьютерные сети);

· диверсионно-подрывная деятельность специальных служб иностранных государств, осуществляемая методами информационно-психологического воздействия;

· деятельность иностранных политических, экономических и военных структур, направленная против интересов Российской Федерации в сфере обороны.

К внутренним угрозам, которые будут представлять особую опасность в условиях обострения военно-политической обстановки, относятся:

· нарушение установленного регламента сбора, обработки, хранения и передачи информации, находящейся в штабах и учреждениях силовых структур Российской Федерации, на предприятиях оборонного комплекса;

· преднамеренные действия, а также ошибки персонала информационных и телекоммуникационных систем специального назначения;

· ненадежное функционирование информационных и телекоммуникационных систем специального назначения;

· возможная информационно-пропагандистская деятельность, подрывающая престиж силовых структур Российской Федерации и их боеготовность;

· нерешенность вопросов защиты интеллектуальной собственности предприятий оборонного комплекса, приводящая к утечке за рубеж ценнейших государственных информационных ресурсов.

К угрозам безопасности уже развернутых и создаваемых информационных и телекоммуникационных средств и систем относятся:

· противоправные сбор и использование информации;

· нарушения технологии обработки информации;

· внедрение в аппаратные и программные изделия компонентов, реализующих функции, не предусмотренные документацией на эти изделия;

· разработка и распространение программ, нарушающих нормальное функционирование информационных и информационно-телекоммуникационных систем, в том числе систем защиты информации;

· уничтожение, повреждение, радиоэлектронное подавление или разрушение средств и систем обработки информации, телекоммуникации и связи;

· воздействие на парольно-ключевые системы защиты автоматизированных систем обработки и передачи информации;

· компрометация ключей и средств криптографической защиты информации;

· утечка информации по техническим каналам;

· внедрение электронных устройств, предназначенных для перехвата информации, в технические средства обработки, хранения и передачи информации по каналам связи, а также в служебные помещения органов государственной власти, предприятий, учреждений и организаций независимо от формы собственности;

· уничтожение, повреждение, разрушение или хищение машинных и других носителей информации;

· перехват информации в сетях передачи данных и на линиях связи, дешифрование этой информации и навязывание ложной информации;

· использование несертифицированных отечественных и зарубежных информацион­ных технологий, средств защиты информации, средств информатизации, телекоммуникации и связи при создании и развитии российской информационной инфраструктуры;

· несанкционированный доступ к информации, находящейся в банках и базах данных;

· нарушение законных ограничений на распространение информации.

Основными направлениями совершенствования системы обеспечения информационной безопасности Российской Федерации являются:

· систематическое выявление угроз и их источников, структуризация целей обеспечения информационной безопасности и определение соответствующих практических задач;

· проведение сертификации общего и специального программного обеспечения, пакетов прикладных программ и средств защиты информации в существующих и создаваемых автоматизированных системах управления и связи, имеющих в своем составе элементы вычислительной техники;

· постоянное совершенствование средств защиты информации, развитие защищенных систем связи и управления, повышение надежности специального программного обеспечения;

· совершенствование структуры функциональных органов системы, координация их взаимодействия.

Оценка состояния информационной безопасности базируется на анализе источников угроз (потенциальной возможности нарушения защиты).

Деятельность, направленную на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на нее, называют защитой информации. Объектом защиты является информация или носитель информации, или информационный процесс, которые нужно защищать.

Защита информации организуется по трем направлениям: от утечки, от несанкционированного воздействия и от непреднамеренного воздействия (см. рис. 4.1).

Рис. 4.1. Направления защиты информации

 

Первое направление – защита информации от утечки – деятельность, направленная на предотвращение неконтролируемого распространения защищаемой информации в результате ее разглашения, несанкционированного доступа к информации и получения защищаемой информации разведками.

Защита информации от разглашения направлена на предотвращение несанкционированного доведения ее до потребителя, не имеющего права доступа к этой информации.

Защита информации от несанкционированного доступа направлена на предотвращение получения информации заинтересованным субъектом с нарушением установленных правовыми документами или собственником, владельцем информации прав или правил доступа к защищаемой информации. Заинтересованным субъектом, осуществляющим несанкционированный доступ к защищаемой информации, может быть: государство; юридическое лицо; группа физических лиц, в том числе общественная организация; отдельное физическое лицо.

Защита информации от технической разведки направлена на предотвращение получения информации разведкой с помощью технических средств.

Второе направление – защита информации от несанкционированного воздействия – деятельность, направленная на предотвращение воздействия на защищаемую информацию с нарушением установленных прав и (или) правил на изменение информации, приводящего к ее искажению, уничтожению, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации.

Третье направление – защита информации от непреднамеренного воздействия – деятельность, направленная на предотвращение воздействия на защищаемую информацию ошибок ее пользователя, сбоя технических и программных средств информационных систем, природных явлений или иных мероприятий, приводящих к искажению, уничтожению, копированию, блокированию доступа к информации, а также к утрате уничтожению или сбою функционирования носителя информации.

Организовать защиту информации – значит создать систему защиты информации, а также разработать мероприятия по защите и контролю эффективности защитыинформации (см. рис. 4.2).

 

Рис. 4.2. Основная схема защиты информации