1. Понятие национальной безопасности
2. Информационная безопасность в системе национальной безопасности Российской Федерации
2.1. Основные понятия, общеметодологические принципы обеспечения информационной безопасности
3. Государственная информационная политика
3.1. Основные положения государственной информационной политики Российской Федерации
4. Информация - наиболее ценный ресурс современного общества
5. Проблемы информационной войны
6. Проблемы информационной безопасности в сфере государственного и муниципального управления
6.1. Информационные процессы в сфере государственного и муниципального управления
7. Современная постановка задачи защиты информации
8. Организационно-правовое обеспечение информационной безопасности
8.1. Информация как объект юридической защиты. Основные принципы засекречивания информации
8.2. Государственная система правового обеспечения защиты информации в Российской Федерации
9.4. Источники конфиденциальной информации в информационных системах
10.1. Классы каналов несанкционированного получения информации
10.2. Причины нарушения целостности информации
11. Методы и модели оценки уязвимости информации
12. Рекомендации по использованию моделей оценки уязвимости информации
13. Функции и задачи защиты информации
13.2. Методы формирования функций защиты
14. Стратегии защиты информации
15. Способы и средства защиты информации
16. Криптографические методы защиты информации
16.1. Требования к криптосистемам
16.2. Основные алгоритмы шифрования
16.4. Криптографические хеш-функции
16.5. Криптографические генераторы случайных чисел
1. Понятие национальной безопасности
1.1. Интересы и угрозы в области национальной безопасности
В Концепции национальной безопасности РФ, утвержденной Указом Президента РФ от 17.12.1997 г. № 1300 (в редакции Указа Президента РФ от 10.01.2000 г. №24), дается следующее определение национальной безопасности.
Под национальной безопасностью РФ понимается безопасность ее многонационального народа как носителя суверенитета и единственного источника власти в РФ.
Национальные интересы России - это совокупность сбалансированных интересов личности, общества и государства в различных сферах жизнедеятельности: экономической, внутриполитической, социальной, международной, информационной, военной, пограничной, экологической и других. В теории национальной безопасности используется понятие "жизненно важные интересы". Жизненно важные интересы - это совокупность потребностей, удовлетворение которых надежно обеспечивает существование и возможности прогрессивного развития личности, общества и государства.
Национальные интересы носят долгосрочный характер. В области внутренней и внешней политики государства этими интересами определяются:
- основные цели этой политики;
- стратегические и текущие задачи.
Национальные интересы обеспечиваются институтами государственной власти, осуществляющими свои функции, в том числе во взаимодействии с действующими на основе Конституции РФ и законодательства РФ общественными организациями.
Интересы личности состоят в реализации конституционных прав и свобод, в обеспечении личной безопасности, в повышении качества и уровня жизни, в физическом, духовном и интеллектуальном развитии человека и гражданина.
Интересы общества состоят в упрочении демократии, в создании правового, социального государства, в достижении и поддержании общественного согласия, в духовном обновлении России.
Интересы государства состоят в незыблемости конституционного строя, суверенитета и территориальной целостности России, в политической, экономической и социальной стабильности, в безусловном обеспечении законности и поддержании правопорядка, в развитии равноправного и взаимовыгодного международного сотрудничества.
Реализация национальных интересов России возможна только на основе устойчивого развития экономики. Поэтому национальные интересы России в этой сфере являются ключевыми.
Во внутриполитической сфере национальные интересы России состоят в сохранении стабильности конституционного строя, институтов государственной власти, в обеспечении гражданского мира и национального согласия, территориальной целостности, единства правового пространства, правопорядка и в завершении процесса становления демократического общества, а также в нейтрализации причин и условий, способствующих возникновению политического и религиозного экстремизма, этносепаратизма и их последствий - социальных, межэтнических и религиозных конфликтов, терроризма.
Национальные интересы России в социальной сфере заключаются в обеспечении высокого уровня жизни народа.
Национальные интересы в духовной сфере состоят в сохранении и укреплении нравственных ценностей общества, традиций патриотизма и гуманизма, культурного и научного потенциала страны.
Национальные интересы России в международной сфере заключаются в обеспечении суверенитета, упрочении позиций России как великой державы - одного из влиятельных центров многополярного мира, в развитии равноправных и взаимовыгодных отношений со всеми странами и интеграционными объединениями, прежде всего с государствами-участниками Содружества Независимых Государств и традиционными партнерами России, в повсеместном соблюдении прав и свобод человека и недопустимости применения при этом двойных стандартов.
Национальные интересы России в информационной сфере заключаются в соблюдении конституционных прав и свобод граждан в области получения информации и пользования ею, в развитии современных телекоммуникационных технологий, в защите государственных информационных ресурсов от несанкционированного доступа.
Национальные интересы России в военной сфере заключаются в защите ее независимости, суверенитета, государственной и территориальной целостности, в предотвращении военной агрессии против России и ее союзников, в обеспечении условий для мирного, демократического развития государства.
Национальные интересы России в пограничной сфере заключаются в создании политических, правовых, организационных и других условий для обеспечения надежной охраны государственной границы РФ, в соблюдении установленных законодательством РФ порядка и правил осуществления экономической и иных видов деятельности в пограничном пространстве РФ.
Национальные интересы России в экологической сфере заключаются в сохранении и оздоровлении окружающей среды.
Важнейшими составляющими национальных интересов России являются защита личности, общества и государства от терроризма, в том числе международного, а также от чрезвычайных ситуаций природного и техногенного характера и их последствий, а в военное время - от опасностей, возникающих при ведении военных действий или вследствие этих действий.
Достижению национальных интересов препятствуют те или иные угрозы. Угроза - это совокупность условий и факторов, создающих опасность жизненно важным интересам личности, общества и государства, это возможная опасность.
Состояние отечественной экономики, несовершенство системы организации государственной власти и гражданского общества, социально-политическая поляризация российского общества и криминализация общественных отношений, рост организованной преступности и увеличение масштабов терроризма, обострение межнациональных и осложнение международных отношений создают широкий спектр внутренних и внешних угроз национальной безопасности страны.
В сфере экономики угрозы имеют комплексный характер и обусловлены прежде всего существенным сокращением внутреннего валового продукта, снижением инвестиционной, инновационной активности и научно-технического потенциала, стагнацией аграрного сектора, разбалансированием банковской системы, ростом внешнего и внутреннего государственного долга, тенденцией к преобладанию в экспортных поставках топливно-сырьевой и энергетической составляющих, а в импортных поставках - продовольствия и предметов потребления, включая предметы первой необходимости.
Ослабление научно-технического и технологического потенциала страны, сокращение исследований на стратегически важных направлениях научно-технического развития, отток за рубеж специалистов и интеллектуальной собственности угрожают России утратой передовых позиций в мире, деградацией наукоемких производств, усилением внешней технологической зависимости и подрывом обороноспособности России.
Негативные процессы в экономике могут иметь своими последствиями сепаратистские устремления ряда субъектов РФ. Это может привести к усилению политической нестабильности, ослаблению единого экономического пространства России и его важнейших составляющих - производственно-технологических и транспортных связей, финансово-банковской, кредитной и налоговой систем.
Экономическая дезинтеграция, социальная дифференциация общества, девальвация духовных ценностей способствуют усилению напряженности во взаимоотношениях регионов и центра, представляя собой угрозу федеративному устройству и социально-экономическому укладу РФ.
Этноэгоизм, этноцентризм и шовинизм, проявляющиеся в деятельности ряда общественных объединений, а также неконтролируемая миграция способствуют усилению национализма, политического и религиозного экстремизма, этносепаратизма и создают условия для возникновения конфликтов.
Единое правовое пространство страны размывается вследствие несоблюдения принципа приоритета норм Конституции РФ над иными правовыми нормами, федеральных правовых норм над нормами субъектов РФ, недостаточной отлаженности государственного управления на различных уровнях.
Угроза криминализации общественных отношений, складывающихся в процессе реформирования социально-политического устройства и экономической деятельности, приобретает особую остроту. Серьезные просчеты, допущенные на начальном этапе проведения реформ в экономической, военной, правоохранительной и иных областях государственной деятельности, ослабление системы государственного регулирования и контроля, несовершенство правовой базы и отсутствие сильной государственной политики в социальной сфере, снижение духовно-нравственного потенциала общества являются основными факторами, способствующими росту преступности, особенно ее организованных форм, а также коррупции.
Последствия этих просчетов проявляются в ослаблении правового контроля за ситуацией в стране, в сращивании отдельных элементов исполнительной и законодательной власти с криминальными структурами, проникновении их в сферу управления банковским бизнесом, крупными производствами, торговыми организациями и товаропроводящими сетями. В связи с этим борьба с организованной преступностью и коррупцией имеет не только правовой, но и политический характер.
Масштабы терроризма и организованной преступности возрастают вследствие зачастую сопровождающегося конфликтами изменения форм собственности, обострения борьбы за власть на основе групповых и этнонационалистических интересов. Отсутствие эффективной системы социальной профилактики правонарушений, недостаточная правовая и материально-техническая обеспеченность деятельности по предупреждению терроризма и организованной преступности, правовой нигилизм, отток из органов обеспечения правопорядка квалифицированных кадров увеличивают степень воздействия этой угрозы на личность, общество и государство.
Угрозу национальной безопасности России в социальной сфере создают глубокое расслоение общества на узкий круг богатых и преобладающую массу малообеспеченных граждан, увеличение удельного веса населения, живущего за чертой бедности, рост безработицы.
Угрозой физическому здоровью нации являются кризис систем здравоохранения и социальной защиты населения, рост потребления алкоголя и наркотических веществ.
Последствиями глубокого социального кризиса являются резкое сокращение рождаемости и средней продолжительности жизни в стране, деформация демографического и социального состава общества, подрыв трудовых ресурсов как основы развития производства, ослабление фундаментальной ячейки общества - семьи, снижение духовного, нравственного и творческого потенциала населения.
Углубление кризиса во внутриполитической, социальной и духовной сферах может привести к утрате демократических завоеваний.
Основные угрозы в международной сфере обусловлены такими факторами, как:
- стремление отдельных государств и межгосударственных объединений принизить роль существующих механизмов обеспечения международной безопасности, прежде всего ООН и ОБСЕ;
- опасность ослабления политического, экономического и военного влияния России в мире;
- укрепление военно-политических блоков и союзов, прежде всего расширение НАТО на восток;
- возможность появления в непосредственной близости от российских границ иностранных военных баз и крупных воинских контингентов;
- распространение оружия массового уничтожения и средств его доставки; ослабление интеграционных процессов в Содружестве Независимых Государств;
- возникновение и эскалация конфликтов вблизи государственной границы РФ и внешних границ государств-участников Содружества Независимых Государств;
- притязания на территорию РФ.
Угрозы национальной безопасности РФ в международной сфере проявляются в попытках других государств противодействовать укреплению России как одного из центров влияния в многополярном мире, помешать реализации национальных интересов и ослабить ее позиции в Европе, на Ближнем Востоке, в Закавказье, Центральной Азии и Азиатско-Тихоокеанском регионе.
Серьезную угрозу национальной безопасности РФ представляет терроризм. Международным терроризмом развязана открытая кампания в целях дестабилизации ситуации в России.
Усиливаются угрозы национальной безопасности РФ в информационной сфере. Серьезную опасность представляют собой стремление ряда стран к доминированию в мировом информационном пространстве, вытеснению России с внешнего и внутреннего информационного рынка; разработка рядом государств концепции информационных войн, предусматривающей создание средств опасного воздействия на информационные сферы других стран мира; нарушение нормального функционирования информационных и телекоммуникационных систем, а также сохранности информационных ресурсов, получение несанкционированного доступа к ним.
Возрастают уровень и масштабы угроз в военной сфере.
Возведенный в ранг стратегической доктрины переход НАТО к практике силовых (военных) действий вне зоны ответственности блока и без санкции Совета Безопасности ООН чреват угрозой дестабилизации всей стратегической обстановки в мире.
Увеличивающийся технологический отрыв ряда ведущих держав и наращивание их возможностей по созданию вооружений и военной техники нового поколения создают предпосылки качественно нового этапа гонки вооружений, коренного изменения форм и способов ведения военных действий.
Активизируется деятельность на территории РФ иностранных специальных служб и используемых ими организаций.
Усилению негативных тенденций в военной сфере способствуют затянувшийся процесс реформирования военной организации и оборонного промышленного комплекса РФ, недостаточное финансирование национальной обороны и несовершенство нормативной правовой базы. На современном этапе это проявляется в критически низком уровне оперативной и боевой подготовки Вооруженных сил РФ, других войск, воинских формирований и органов, в недопустимом снижении укомплектованности войск (сил) современным вооружением, военной и специальной техникой, в крайней остроте социальных проблем и приводит к ослаблению военной безопасности РФ в целом.
Угрозы национальной безопасности и интересам РФ в пограничной сфере обусловлены:
- экономической, демографической и культурно-религиозной экспансией сопредельных государств на российскую территорию;
- активизацией деятельности трансграничной организованной преступности, а также зарубежных террористических организаций.
Угроза ухудшения экологической ситуации в стране и истощения ее природных ресурсов находится в прямой зависимости от состояния экономики и готовности общества осознать глобальность и важность этих проблем. Для России эта угроза особенно велика из-за преимущественного развития топливно-энергетических отраслей промышленности, неразвитости законодательной основы природоохранной деятельности, отсутствия или ограниченного использования природосберегающих технологий, низкой экологической культуры. Имеет место тенденция к использованию территории России в качестве места переработки и захоронения опасных для окружающей среды материалов и веществ. В этих условиях ослабление государственного надзора, недостаточная эффективность правовых и экономических механизмов предупреждения и ликвидации чрезвычайных ситуаций увеличивают риск катастроф техногенного характера во всех сферах хозяйственной деятельности.
Обеспечение национальной безопасности РФ во многом определяется состоянием информационной безопасности.
Важнейшими задачами обеспечения информационной безопасности РФ являются:
- реализация конституционных прав и свобод граждан РФ в сфере информационной деятельности;
- совершенствование и защита отечественной информационной инфраструктуры, интеграция России в мировое информационное пространство;
- противодействие угрозе развязывания противоборства в информационной сфере.
Основу системы обеспечения национальной безопасности РФ составляют органы, силы и средства обеспечения национальной безопасности, осуществляющие меры политического, правового, организационного, экономического, военного и иного характера, направленные на обеспечение безопасности личности, общества и государства.
Полномочия органов и сил обеспечения национальной безопасности РФ, их состав, принципы и порядок действий определяются соответствующими законодательными актами РФ.
1.2. Влияние процессов информатизации общества на составляющие национальной безопасности и их содержание
Процесс информатизации затронул практически все стороны жизни общества. В соответствии с Федеральным законом от 20.02.1995 г. № 24-ФЗ "Об информации, информатизации и защите информации" под информатизацией понимается организационный социально-экономический и научно-технический процесс создания оптимальных условий для удовлетворения информационных потребностей и реализации прав граждан, органов государственной власти, органов местного самоуправления, организаций, общественных объединений на основе формирования и использования информационных ресурсов.
В настоящее время невозможно себе представить деятельность крупных банков, промышленных и торговых предприятий, транспортных организаций, правоохранительных органов без соответствующих баз данных и высокопроизводительной вычислительной техники.
Условно можно выделить следующие составляющие национальной безопасности: экономическую, внутриполитическую, социальную, духовную, международную, информационную, военную, пограничную, экологическую.
Содержание каждой из перечисленных составляющих отражено в соответствующих нормативных правовых актах.
Информатизация является характерной чертой жизни современного общества. Новые информационные технологии активно внедряются во все сферы народного хозяйства. Компьютеры управляют космическими кораблями и самолетами, контролируют работу атомных электростанций, распределяют электроэнергию и обслуживают банковские системы. Компьютеры являются основой множества автоматизированных систем обработки информации (АСОИ), осуществляющих хранение и обработку информации, предоставление ее потребителям, реализуя тем самым современные информационные технологии.
По мере развития и усложнения средств, методов и форм автоматизации процессов обработки информации повышается зависимость общества от степени безопасности используемых им информационных технологий, от которых порой зависит благополучие, а иногда и жизнь многих людей.
Актуальность и важность проблемы обеспечения безопасности информационных технологий обусловлены такими причинами, как:
- резкое увеличение вычислительной мощности современных компьютеров при одновременном упрощении их эксплуатации;
- резкое увеличение объемов информации, накапливаемой, хранимой и обрабатываемой с помощью компьютеров и других средств автоматизации;
- сосредоточение в единых базах данных информации различного назначения и различной принадлежности;
- высокие темпы роста парка персональных компьютеров, находящихся в эксплуатации в самых разных сферах деятельности;
- резкое расширение круга пользователей, имеющих непосредственный доступ к вычислительным ресурсам и массивам данных;
- бурное развитие программных средств, не удовлетворяющих даже минимальным требованиям безопасности;
- повсеместное распространение сетевых технологий и объединение локальных сетей в глобальные;
- развитие глобальной сети Интернет, практически не препятствующей нарушениям безопасности систем обработки информации во всем мире.
2. Информационная безопасность в системе национальной безопасности Российской Федерации
2.1. Основные понятия, общеметодологические принципы обеспечения информационной безопасности
К основным понятиям в области обеспечения информационной безопасности относятся понятия "информация", "информационная сфера" и "информационная безопасность".
Приведем здесь два подхода к определению понятия "информация".
Первый подход сводится к следующему. В философской литературе "информация" раскрывается как "одно из наиболее общих понятий науки, обозначающее некоторые сведения, совокупность каких-либо данных, знаний и т. п." [6]. При этом отмечается, что само понятие "информация" обычно предполагает наличие по крайней мере трех объектов: источника информации, потребителя информации и передающей среды. Информация не может быть передана, принята или хранима в чистом виде. Носителем информации является сообщение.
Отсюда следует, что понятие "информация" включает два основных элемента: сведения и сообщения.
Сведения выполняют несколько основных функций:
- познание окружающего мира (гносеологическая), включающее формирование представлений о структуре окружающей среды, накопление знаний о закономерностях изменения объектов среды и протекающих в ней процессов; оценку состояния этих процессов;
- социальная коммуникация (коммуникативная), включающая формирование представлений о способах удовлетворения базовых и вторичных потребностей, формирование представлений о правилах поведения в обществе, взаимодействия с другими людьми, о нравственных ценностях, формирование личностных шкал ценности материальных и духовных благ, которые могут быть использованы для удовлетворения его потребностей, а также допустимости использования для овладения ими известных средств и т. д.;
- удовлетворение потребностей (прагматическая), включающее целе-полагание, т. е. формирование, оценку и выбор целей, достижение которых способствует удовлетворению базовых и вторичных потребностей человека, и целедостижение как управление своей деятельностью по достижению выбранных целей.
Все множество накопленных человеком сведений может быть представлено в виде некоторой "базы знаний", в которой располагаются образы, возникающие в результате осознания полученных сообщений, ощущения, вызванные этими образами, эмоциональные и прагматические оценки этих образов. Между "объектами базы" могут быть установлены определенные ассоциативные отношения. Совокупность сохраняющихся у человека образов, ощущений, оценок с установившимися ассоциативными отношениями между ними образует знания.
Данная "база" составляет основное содержание информационной модели человека.
Мышление может быть представлено в виде процесса формирования на основе имеющихся у человека сведений и знаний новых ассоциативных связей между объектами, расположенными в его "базе".
Объем информации, имеющейся у человека в форме сведений, может быть измерен количеством накопленных им ощущений, образов, оценок и ассоциативных отношений между ними. Чем больше этих ощущений, образов и оценок, тем большим объемом информации располагает человек. Соответственно количество информации, поступающей к человеку посредством сообщения, может быть измерено количеством новых объектов "базы" (ощущений, образов, оценок, отношений между элементами "базы"), проявляющихся в результате осознания сообщения.
Ценность информации, проявляющейся в форме сведений, определяется субъективной важностью задачи, для решения которой данные сведения могут быть использованы, а также тем влиянием, которое оказали сведения на решение задачи. Это влияние может выражаться в изменении концептуальной модели задачи, в изменении приоритетов между возможными вариантами ее решения, в оценке целесообразности решения задачи вообще.
Информация, поступающая к человеку в форме сведений, обладает рядом свойств:
- идеальностью - существованием только в сознании человека и вследствие этого невозможностью восприятия органами чувств;
- субъективностью - зависимостью количества и ценности сведений от информационной модели субъекта, получающего сведения;
- информационной неуничтожаемостью - невозможностью уничтожения сведений другими сведениями, полученными человеком;
- динамичностью - возможностью изменения ценности имеющихся сведений и знаний под воздействием времени, других поступающих сведений;
- накапливаемостью - возможностью практически неограниченного накопления сведений в информационной модели человека.
Способность получать, накапливать и использовать для обеспечения жизнедеятельности информацию в форме сведений является свойством всех живых объектов, однако объем и содержание выполняемых с их использованием функций у различных классов этих объектов существенно отличаются. Так, можно предположить, что функцию целеполагания выполняет только человек.
Информация в форме сведения вследствие идеального характера достаточно редко выступает в качестве объекта научных исследований.
К числу изучающих ее отраслей науки можно отнести психологию и медицину.
2. Понятие "сообщение" часто определяется как "кодированный эквивалент события, зафиксированный источником информации и выраженный с помощью последовательности условных физических символов (алфавита), образующих некоторую упорядоченную совокупность".
С интересующей нас точки зрения сообщения используются, прежде всего, для передачи сведений другим людям и составляют существо представительной стороны информации, или ее представительной формы. Информация в форме сообщения появляется как реализация способности человека описывать сведения на некотором языке, представляющем собой совокупность лексики и грамматики.
Человек, формируя сообщение, выделяет часть своей информационной модели, которую хочет передать, устанавливает отношения между ее элементами и известными ему понятиями. С помощью языка в некотором алфавите он осуществляет кодирование понятий, получая в результате систематизированный набор знаков, который может быть передан другим людям, т. е. происходит объективизация содержательной стороны информации и соответствующие сведения как бы становятся доступны для восприятия органами чувств.
Воспринимая сообщение, человек устанавливает отношения между составляющим его набором букв и знаков и известными ему понятиями, а затем - образами, ощущениями, оценками, ассоциативными отношениями, т. е. преобразовывает представительную форму информации в ее содержательную форму.
Исходя из этого, сообщение может быть представлено как совокупность набора передаваемых сведений и порядка (алгоритмов) их кодирования в набор знаков сообщения и декодирования в сведения. Без алгоритма кодирования сообщение превращается просто в набор знаков.
Человек как источник информации может обмениваться с технической системой сообщениями только в том случае, если в ней заложен определенный алгоритм декодирования передаваемого набора знаков, их последующей обработки, а также алгоритм кодирования для передачи человеку-потребителю ответного сообщения.
Преобразование информации из сведений в сообщения и из сообщений в сведения составляет существо общего закона обращения информации.
Информация в форме сообщения обладает рядом свойств, к числу которых следует отнести:
- материальность - способность воздействовать на органы чувств;
- измеримость - возможность количественной оценки параметров сообщения (количество знаков, составляющих сообщение);
- сложность - наличие набора знаков и алгоритмов их кодирования и декодирования;
- проблемная ориентированность - содержание сведений, относящихся к одной их задач человеческой деятельности.
Информация в форме сообщений наиболее часто исследуется с технической, семантической и прагматической точек зрения.
С технической точки зрения сообщения представляют интерес как объект передачи по каналам связи. При этом изучаются вопросы надежности, устойчивости, оперативности, дальности, помехозащищенности передачи сообщений, в некоторых случаях - скрытности передачи, а также принципы и методы проектирования систем передачи сообщений, средств их защиты от несанкционированного доступа.
К числу наиболее выдающихся результатов, полученных в этой области, обычно относят создание теории информации и кибернетики.
Представляется, что количество информации по Шеннону может интерпретироваться как количество новых объектов "информационной модели" человека, которые должны возникнуть после его получения при условии, что человек, получающий сообщение, не имел никаких сведений как о существовании объекта информирования, так и о его свойствах.
С семантической точки зрения сообщения представляют интерес как средство передачи сведений, т. е. совокупность набора знаков, полученного в результате кодирования и требующего декодирования для использования в практической деятельности. Данные свойства сообщения изучаются, например, в криптографии, искусствоведении и филологии.
С прагматической точки зрения сообщения исследуются как средство воздействия на информационную модель человека, детерминирования его поведения. Учитывая, что сообщение служит средством передачи сведений, ему могут быть приписаны те или иные свойства данных сведений, после чего оно, сообщение, может рассматриваться в качестве некоторого их аналога, обладающего ценностью, достоверностью, своевременностью и т. д. С этой точки зрения информация изучается в педагогике, юриспруденции, социологии, политологии, технических науках.
Второй подход к определению понятия "информация" состоит в следующем [9]. Термин "информация" в настоящее время исключительно популярен. Если не пытаться дать ему четкое определение, а применять в общепринятом бытовом смысле, мы действительно входим в "информационную эпоху".
Есть некоторая историческая аналогия "информационной эпохи" XX в. и "эпохи электричества" в XIX в. Еще многое было непонятно в природе явления, с термином "электричество" связывались зачастую наивные и фантастические представления, но он был столь же популярен. Сегодня физика достаточно полно объясняет крайне сложные электромагнитные процессы, обеспечивает базу для создания разнообразнейших электрических устройств и систем, проникающих во все области жизни, но надо признать, что сам факт существования электрического заряда мы воспринимаем на том же уровне древних, мы знаем только, что он - заряд -есть. При этом мы уже осознали, что задолго до появления не только знания об электричестве, но и человека как такового электромагнитные явления (начиная от энергии света) определяли развитие жизни, т. е. "эпоха электричества" изначальна.
Информационные процессы, целенаправленно формируемые человеком, уже сегодня во многом поддаются описанию в понятиях математической теории информации. Однако с первых шагов формирования этой области науки отмечалось противоречие между конкретным, весьма ограниченным предметом научного описания и исключительно широким общепринятым пониманием термина "информация".
Один из признанных основоположников современной теории информации - Р. В. Л. Хартли, определяя предмет своего исследования, отмечал в 1928 г.: "В обычном понимании термин "информация" слишком эластичен; необходимо прежде всего установить для него специфический смысл.... Специфика смысла для Хартли определялась процессом передачи сигналов. При этом, подчеркивая необходимость исключения психологических факторов, он ни в коей мере не ставил под сомнение существование двух разумных операторов: формирующего и воспринимающего сигнал. В таком смысле термин "информация" получает совершенно конкретное узкое значение. Например, он не может быть применен для описания процесса наблюдения за пассивным объектом. Крайнее несоответствие узкого значения термина "информация" его общепринятому интуитивному содержанию отмечалось многими исследователями. Так, К. Черри отмечает: "В определенном смысле вызывает сожаление то обстоятельство, что математическое понятие, введенное Хартли, стало вообще называться информацией".
Отметим, что в отличие от электричества роль информации в жизни человека была интуитивно осознана с древнейших времен. "Вначале было слово..." - мысль, пронизывающая сознание человека во все времена. Материалистическое направление в философии отказалось от идей субъекта - носителя основополагающей информации, но никак не от ее существования, приняв за факт "законы природы". Состояние науки в XIX в. давало основание полагать, что модель мира сведется к крайне ограниченному комплекту частиц вещества и не менее ограниченному количеству "законов". Носитель "закона" выводился из рассмотрения (аналогично "заряду" - он есть, существует по определению). В середине XX в. развитие теории и практики заставило изменить подход. Теоретическая физика пришла к осознанию несводимости модели мира к нескольким простейшим законам. С другой стороны, развитие автоматических систем уже в 50-е гг. привело к пониманию исключительной информационной сложности даже простейших самоуправляемых систем. В конце концов в советской школе материалистической философии сформировалось представление об информации как некоей третьей (вместе с веществом и энергией) форме проявления материального мира, отражающей изменчивость материи. Не углубляясь во внутрифилософские проблемы, воспользуемся таким подходом, не очень отличающимся от подходов других школ (не слишком экстремистских).
Становление кибернетики потребовало анализа с позиций точной науки процессов в самоуправляющихся системах, анализа процессов формирования модели внешнего мира, формирования знания. Возможно, из-за естественной связи кибернетики с математической теорией информации произошло распространение термина "информация" на приращение знания субъекта. По Винеру, "информация - это обозначение содержания, черпаемого нами из внешнего мира в процессе нашего приспособления к нему и приведения в соответствие с ним нашего мышления".
Таким образом, в сложившемся применении термина "информация" можно выделить три направления. Основная мысль заключается в том, что эти три направления соответствуют трем совершенно различным сущностям, между которыми существует связь; в конкретных случаях может быть установлено какое-то частное соотношение, но природа их различна, и не может быть речи о какой-либо эквивалентности, взаимном преобразовании или превращении.
То, что при описании этих сущностей, особенно в русскоязычной речи, применяется одно заимствованное, иноязычное слово - "информация", - весьма печальное обстоятельство, приводящее ко многим недоразумениям. Представляется, что, поскольку "информационная эпоха" действительно наступает, назрела необходимость уточнить содержание понятия "информация" и найти разные определения для различных сущностей.
Прежде всего, несколько уточним определения трех вышеупомянутых предметов рассмотрения.
Информация "в философском смысле". Назовем ее автономной информацией. Автономная - в смысле объективно существующая, независимо от какого-либо субъекта. Эта информация - особое проявление материи, противостоящее хаосу, - определяет процессы изменения материального мира, но в рамках представлений современной точной науки непосредственно человеком не воспринимается.
Информация "по Винеру". Это - приращение знания, изменение модели окружающего мира, возникающее в процессе взаимодействия самоуправляющейся системы с окружающей средой. Назовем ее информацией воздействия.
Самоуправляющаяся система - субъект - всегда включает в себя в какой-то форме модель внешнего мира - "знание". Физические процессы воздействия внешней среды на самоуправляющуюся систему могут приводить к изменению модели - к приращению знания. Субъектом может быть человек, коллектив, организация, государство, в пределе - все человечество. Рассмотрение в качестве субъекта какого-либо искусственного устройства в принципе не исключается, но при существующем состоянии работ в области искусственного интеллекта несколько преждевременно. Будем считать понятие "информация воздействия" как некоторую характеристику процесса формирования модели внешнего мира. Информация воздействия не может быть определена через отдельно взятые свойства внешней среды или физического процесса взаимодействия внешней среды и субъекта или свойства модели. Для возникновения приращения знания воздействие должно частично, но не исчерпывающе описываться существующей моделью, причем соответствующая область модели должна быть активизирована. В противном случае воздействие воспринимается без развития модели, т. е. оно может быть информативным или неинформативным.
Информация воздействия - совокупная характеристика среды, процесса взаимодействия, субъекта, статического и динамического состояния его модели мира.
Информация "по Хартли". Назовем ее информацией взаимодействия.
Частным случаем воздействия является воздействие другого субъекта, имеющее целью согласование в некотором смысле моделей внешней среды двух субъектов или коллектива. При этом предполагается существование предварительно согласованных областей моделей - соглашение о языке общения. Отметим, что понятие "согласование моделей" не обязательно подразумевает согласование целей субъектов. При их противоборстве "согласование" может иметь целью искажение модели внешней среды у противника.
Отметим также, что процесс взаимодействия внутренне достаточно сложен. Субъект, инициирующий воздействие, - передатчик - формирует на основе некоторой области своей модели физический процесс - сообщение. При этом привлекаемую часть модели субъекта-передатчика можно было бы характеризовать "информацией передатчика", а сообщение - "информацией сообщения". Сообщение, воздействуя с воспринимающего субъекта, может при условии его статической и динамической готовности сформировать некоторую информацию воздействия - "информацию приемника". В этом процессе наблюдаемым элементом является только сообщение и в этом смысле информация взаимодействия совпадает с информацией сообщения. В данном контексте "взаимодействие" - более подходящий термин, так как в явном виде подразумевает наличие нескольких участников процесса.
Таким образом:
- автономная информация существует независимо от наличия субъекта, в рамках современных представлений точной науки непосредственно не воспринимается;
- информация воздействия может рассматриваться только в системе, включающей активного субъекта с учетом состояния его модели внешнего мира, другими субъектами непосредственно не воспринимается и может вероятностно оцениваться по предыдущему и последующему поведению субъекта, испытывающего воздействие;
- информация взаимодействия существует в системе нескольких субъектов, связана с целенаправленно формируемым физическим процессом и в этом виде полностью воспринимается.
В то же время сам процесс взаимодействия включает три составляющие:
- информационную базу передатчика, определяемую как часть знания, используемую при формировании сообщения;
- информацию сообщения, определяемую как соглашение о языке общения, - собственно информацию взаимодействия;
- информацию приемника, определяемую как информацию воздействия воспринимающего субъекта.
Эти три компонента несводимы к одному качественному или количественному описанию.
Информационная база передатчика и информация приемника значимы содержательно, но по содержанию неэквивалентны. При получении сообщения группой приемников каждый из них воспринимает свою информацию воздействия, и эти информации приемников также неэквивалентны по содержанию.
Информация сообщения характеризует физический процесс в плане соглашения о языке общения и может рассматриваться каждым субъектом, освоившим язык общения, изолированно от других субъектов-участников процесса общения и в отрыве от содержания.
Рассмотрим ситуацию с точки зрения информационной безопасности. Выделим 4 компонента, в той или иной мере присутствующие во всех подходах к понятию информационной безопасности:
- обеспечение для субъекта доступа к достаточно полной и достоверной информации, необходимой для реализации его прав и обязанностей в обществе;
- защиту субъекта от деструктивных информационных воздействий;
- защиту от несанкционированного воздействия на информацию, принадлежащую субъекту;
- защиту информационной инфраструктуры группы субъектов (организации, государства...) от разрушительных воздействий.
Первые три компонента связаны с безопасностью знаний, т. е. для защищаемого объекта значима именно информация воздействия.
Основным предметом информационного нападения, целью, всегда является информация воздействия, т. е. то, что воспринимает субъект-нападающая сторона в случае попытки несанкционированного получения информации или объект нападения в случае попытки дезинформации, искажения информации, введения отвлекающей информации.
В то же время непосредственному наблюдению, использованию в технической разработке, в юридической практике доступна только информация сообщений и физические действия субъектов.
Например, объектом защиты может быть только конкретный документ (в широком смысле) как физический объект, целями противодействия - конкретные физические действия нападающего субъекта, прогнозируемые моделью нападения, но никак не получаемая или вводимая им информация воздействия.
Таким образом, системная задача обеспечения информационной безопасности, с одной стороны, и конкретные задачи технической, юридической и других подсистем, с другой - имеют разные предметы действий; именно поэтому система информационной безопасности есть не простая сумма различных (правовых, организационных, технических) компонентов, но качественно отличное явление. Существующее смешение понятий, объединение под одним термином "информация" различных предметов приводит либо к неоправданным попыткам оценивать содержательную сторону информационного процесса неадекватными методами, либо к самоограничению на уровне защиты исключительно документированной информации. И то и другое в конце концов приводит к нарушению защищенности объекта, создается объективная основа для произвольного определения факта нападения и для неадекватных действий защищающейся стороны.
Формирование системы, обеспечивающей информационную безопасность объекта, требует обычно решения ряда задач, связанных с формализованной информацией - информацией взаимодействия в форме документов или обменных сигналов технических систем. В этих случаях вполне применимы методы математической теории информации и удается сформировать весьма точные значения параметров, характеризующих защищенность системы на уровне информации взаимодействия. Однако для полной оценки защищенности эти параметры приходится сопоставлять с оценками для не поддающейся непосредственному доступу информации воздействия.
Например, можно достаточно достоверно оценить вероятность восстановления отдельного слова в перехваченном речевом сообщении (допустим 5 или 12 %). После этого возникает вопрос, какая вероятность допустима. Получить такую оценку можно только экспертным путем, попытки и здесь применить методы математической теории информации создают некоторое наукообразие, но, по сути, неэффективны, так как результат полностью определяется исходными допущениями, формируемыми фактически произвольно. Для различных ситуаций, различного содержания фраз, различного словарного состава экспертные оценки могут дать результаты, отличающиеся на порядок.
Невозможно отрицать тот факт, что сегодня методы, техника, критерии защиты информации в негосударственном секторе явно или неявно заимствованы из многие годы существовавшей государственной системы. Не входя в рассмотрение вопроса, насколько юридически приемлемо это было сделано, отметим, что по отношению к техническим проблемам такое заимствование достаточно корректно - и законы физики, и методы математической теории информации инвариантны по отношению к формам собственности. В то же время по отношению к содержательной стороне информационных процессов такая экстраполяция ничем не обоснована.
Представляется, что назрела необходимость разработки корпоративных нормативов защищенности содержательной информации, соответствующих информационной специфике конкретных групп защищаемых объектов и конкретным информационным процессам, характерным для этих объектов. Одновременно необходима постановка задачи научного формирования перечня терминов, охватывающего не столько прикладные, сколько фундаментальные понятия в области информационных процессов.
Наконец, несколько слов о проблемах информационной защиты применительно к автономной информации. Научного обоснования возможности ее непосредственного восприятия нет. Нет и обоснования невозможности. Нет и обоснованной оценки граничной сложности объектов, поведение которых определяется автономной информацией. Представление о высокой степени детерминированности поведения микрочастицы и недетерминированности поведения на человеческом уровне, строго говоря, ничем, кроме естественного антропоцентризма, обосновать нельзя. В реальной же действительности при защите ответственного объекта проблему игнорировать невозможно, хотя все понимают сопровождающую ее бездну спекуляций и шарлатанства.
Современный этап развития общества характеризуется возрастающей ролью информационной сферы. Информационная сфера представляет собой совокупность информации, информационной инфраструктуры, субъектов, осуществляющих сбор, формирование, распространение и использование информации, а также системы регулирования возникающих при этом общественных отношений.
Информационная сфера, являясь системообразующим фактором жизни общества, активно влияет на состояние политической, экономической, оборонной и других составляющих безопасности РФ. Национальная безопасность РФ существенным образом зависит от обеспечения информационной безопасности, и в ходе технического прогресса эта зависимость будет возрастать.
Под информационной безопасностью РФ понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.
Государственная политика обеспечения информационной безопасности РФ основывается на следующих основных принципах:
- соблюдении Конституции РФ, законодательства РФ, общепризнанных принципов и норм международного права при осуществлении деятельности по обеспечению информационной безопасности РФ;
- открытости в реализации функций федеральных органов государственной власти, органов государственной власти субъектов РФ и общественных объединений, предусматривающей информирование общества об их деятельности с учетом ограничений, установленных законодательством РФ;
- правовом равенстве всех участников процесса информационного взаимодействия вне зависимости от их политического, социального и экономического статуса, основывающемся на конституционном праве граждан на свободный поиск, получение, передачу, производство и распространение информации любым законным способом;
- приоритетном развитии отечественных современных информационных и телекоммуникационных технологий, производстве технических и программных средств, способных обеспечить совершенствование национальных телекоммуникационных сетей, их подключение к глобальным информационным сетям в целях соблюдения жизненно важных интересов РФ.
2.2. Национальные интересы в информационной сфере
Доктрина информационной безопасности РФ дает две классификации национальных интересов в информационной сфере:
- первую классификацию можно назвать классификацией по принадлежности интересов;
- вторую классификацию можно назвать классификацией по важности интересов.
В соответствии с первой классификацией национальные интересы -это совокупность интересов личности, интересов общества и интересов государства.
Вторая классификация национальных интересов в информационной сфере связана, видимо, с оценкой важности этих национальных интересов и выделение изо всей их совокупности четырех наиболее важных. Соответственно в рамках этой классификации выделяют четыре основные составляющие национальных интересов РФ в информационной сфере.
- Соблюдение конституционных прав и свобод человека и гражданина в области получения информации и пользования ею, обеспечение духовного обновления России, сохранение и укрепление нравственных ценностей общества, традиций патриотизма и гуманизма, культурного и научного потенциала страны.
- Информационное обеспечение государственной политики РФ, связанное с доведением до российской и международной общественности достоверной информации о государственной политике РФ, ее официальной позиции по социально значимым событиям российской и международной жизни, с обеспечением доступа граждан к открытым государственным информационным ресурсам.
- Развитие современных информационных технологий, отечественной индустрии информации, в том числе индустрии средств информатизации, телекоммуникации и связи, обеспечение потребностей внутреннего рынка ее продукцией и выход этой продукции на мировой рынок, а также обеспечение накопления, сохранности и эффективного использования отечественных информационных ресурсов. В современных условиях только на этой основе можно решать проблемы создания наукоемких технологий, технологического перевооружения промышленности, приумножения достижений отечественной науки и техники. Россия должна занять достойное место среди мировых лидеров микроэлектронной и компьютерной промышленности.
- Защита информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и телекоммуникационных систем, как уже развернутых, так и создаваемых на территории России.
Первая составляющая национальных интересов РФ в информационной сфере (соблюдение конституционных прав и свобод человека и гражданина в области получения информации и пользования ею, обеспечение духовного обновления России, сохранение и укрепление нравственных ценностей общества, традиций патриотизма и гуманизма, культурного и научного потенциала страны) предполагает:
- повышение эффективности использования информационной инфраструктуры в интересах общественного развития, консолидацию российского общества, духовное возрождение многонационального народа РФ;
- совершенствование системы формирования, сохранения и рационального использования информационных ресурсов, составляющих основу научно-технического и духовного потенциала РФ;
- обеспечение конституционных прав и свобод человека и гражданина свободно искать, получать, передавать, производить и распространять информацию любым законным способом, получать достоверную информацию о состоянии окружающей среды;
- обеспечение конституционных прав и свобод человека и гражданина на личную и семейную тайну, тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, на защиту своей чести и своего доброго имени;
- укрепление механизмов правового регулирования отношений в области охраны интеллектуальной собственности, создание условий для соблюдения установленных федеральным законодательством ограничений на доступ к конфиденциальной информации;
- обеспечение свободы массовой информации и запрет цензуры;
- недопущение пропаганды и агитации, которые способствуют разжиганию социальной, расовой, национальной или религиозной ненависти и вражды;
- запрет на сбор, хранение, использование и распространение информации о частной жизни лица без его согласия и другой информации, доступ к которой ограничен федеральным законодательством.
Вторая составляющая национальных интересов РФ в информационной сфере (информационное обеспечение государственной политики РФ) предполагает [13]:
- укрепление государственных СМИ, расширение их возможности по своевременному доведению достоверной информации до российских и иностранных граждан;
- ускоренное формирование открытых государственных информационных ресурсов, повышение эффективности их использования.
Третья составляющая национальных интересов РФ в информационной сфере (развитие современных информационных технологий, отечественной индустрии информации) предполагает [13]:
- развитие и совершенствование инфраструктуры единого информационного пространства РФ;
- развитие отечественной индустрии информационных услуг и повышение эффективности использования государственных информационных ресурсов;
- развитие производства в РФ конкурентоспособных средств и систем информатизации, телекоммуникации и связи, расширение участия России в международной кооперации производителей этих средств и систем;
- обеспечение государственной поддержки отечественных фундаментальных и прикладных исследований, разработок в сферах информатизации, телекоммуникации и связи.
Четвертая составляющая национальных интересов РФ в информационной сфере (защита информационных ресурсов от несанкционированного доступа, обеспечение безопасности информационных и телекоммуникационных систем) предполагает:
- повышение безопасности информационных систем, включая сети связи, прежде всего безопасность первичных сетей связи и ИС федеральных органов государственной власти, органов государственной власти субъектов РФ, финансово-кредитной и банковской сфер, сферы хозяйственной деятельности, а также систем и средств информатизации вооружения и военной техники, систем управления войсками и оружием, экологически опасными и экономически важными производствами;
- ускоренное развитие отечественного производства аппаратных и программных средств защиты информации и методов контроля за их эффективностью;
- обеспечение защиты сведений, составляющих государственную тайну;
- расширение международного сотрудничества РФ в области развития и безопасного использования информационных ресурсов, противодействия угрозе развязывания противоборства в информационной сфере.
2.3. Источники и содержание угроз в информационной сфере
По своей общей направленности угрозы информационной безопасности РФ подразделяются на следующие виды:
- угрозы конституционным правам и свободам человека и гражданина в области духовной жизни и информационной деятельности, индивидуальному, групповому и общественному сознанию, духовному возрождению России;
- угрозы информационному обеспечению государственной политики РФ;
- угрозы развитию отечественной индустрии информации, включая индустрию средств информатизации, телекоммуникации и связи, обеспечению потребностей внутреннего рынка в ее продукции и выходу этой продукции на мировой рынок, а также обеспечению накопления, сохранности и эффективного использования отечественных информационных ресурсов;
- угрозы безопасности информационных и телекоммуникационных средств и систем, как уже развернутых, так и создаваемых на территории России.
Угрозами конституционным правам и свободам человека и гражданина в области духовной жизни и информационной деятельности, индивидуальному, групповому и общественному сознанию, духовному возрождению России могут являться:
- принятие федеральными органами государственной власти, органами государственной власти субъектов РФ нормативных правовых актов, ущемляющих конституционные права и свободы граждан в области духовной жизни и информационной деятельности;
- создание монополий на формирование, получение и распространение информации в РФ, в том числе с использованием телекоммуникационных систем;
- противодействие, в том числе со стороны криминальных структур, реализации гражданами своих конституционных прав на личную и семейную тайну, тайну переписки, телефонных переговоров и иных сообщений;
- нерациональное, чрезмерное ограничение доступа к общественно необходимой информации;
- противоправное применение специальных средств воздействия на индивидуальное, групповое и общественное сознание;
- неисполнение федеральными органами государственной власти, органами государственной власти субъектов РФ, органами местного самоуправления, организациями и гражданами требований федерального законодательства, регулирующего отношения в информационной сфере;
- неправомерное ограничение доступа граждан к открытым информационным ресурсам федеральных органов государственной власти, органов государственной власти субъектов РФ, органов местного самоуправления, к открытым архивным материалам, к другой открытой социально значимой информации;
- дезорганизация и разрушение системы накопления и сохранения культурных ценностей, включая архивы;
- нарушение конституционных прав и свобод человека и гражданина в области массовой информации;
- вытеснение российских информационных агентств, средств массовой информации с внутреннего информационного рынка и усиление зависимости духовной, экономической и политической сфер общественной жизни России от зарубежных информационных структур;
- девальвация духовных ценностей, пропаганда образцов массовой культуры, основанных на культе насилия, на духовных и нравственных ценностях, противоречащих ценностям, принятым в российском обществе;
- снижение духовного, нравственного и творческого потенциала населения России, что существенно осложнит подготовку трудовых ресурсов для внедрения и использования новейщих технологий, в том числе информационных;
- манипулирование информацией (дезинформация, сокрытие или искажение информации).
Угрозами информационному обеспечению государственной политики РФ могут являться:
- монополизация информационного рынка России, его отдельных секторов отечественными и зарубежными информационными структурами;
- блокирование деятельности государственных средств массовой информации по информированию российской и зарубежной аудитории;
- низкая эффективность информационного обеспечения государственной политики РФ вследствие дефицита квалифицированных кадров, отсутствия системы формирования и реализации государственной информационной политики.
Угрозами развитию отечественной индустрии информации, включая индустрию средств информатизации, телекоммуникации и связи, обеспечению потребностей внутреннего рынка в ее продукции и выходу этой продукции на мировой рынок, а также обеспечению накопления, сохранности и эффективного использования отечественных информационных ресурсов могут являться:
- противодействие доступу РФ к новейшим информационным технологиям, взаимовыгодному и равноправному участию российских производителей в мировом разделении труда в индустрии информационных услуг, средств информатизации, телекоммуникации и связи, информационных продуктов, а также создание условий для усиления технологической зависимости России в области современных информационных технологий;
- закупка органами государственной власти импортных средств информатизации, телекоммуникации и связи при наличии отечественных аналогов, не уступающих по своим характеристикам зарубежным образцам;
- вытеснение с отечественного рынка российских производителей средств информатизации, телекоммуникации и связи;
- увеличение оттока за рубеж специалистов и правообладателей интеллектуальной собственности.
Как уже развернутых, так и создаваемых на территории России, могут являться:
- противоправные сбор и использование информации;
- нарушения технологии обработки информации;
- внедрение в аппаратные и программные изделия компонентов, реализующих функции, не предусмотренные документацией на эти изделия;
- разработка и распространение программ, нарушающих нормальное функционирование информационных и информационно-телекоммуникационных систем, в том числе систем защиты информации;
- уничтожение, повреждение, радиоэлектронное подавление или разрушение средств и систем обработки информации, телекоммуникации и связи;
- воздействие на парольно-ключевые системы защиты автоматизированных систем обработки и передачи информации;
- компрометация ключей и средств криптографической защиты информации;
- утечка информации по техническим каналам;
- внедрение электронных устройств для перехвата информации в технические средства обработки, хранения и передачи информации по каналам связи, а также в служебные помещения органов государственной власти, предприятий, учреждений и организаций независимо от формы собственности;
- уничтожение, повреждение, разрушение или хищение машинных и других носителей информации;
- перехват информации в сетях передачи данных и на линиях связи, дешифрование этой информации и навязывание ложной информации;
Угрозами безопасности информационных и телекоммуникационных средств и систем,
- использование несертифицированных отечественных и зарубежных информационных технологий, средств защиты информации, средств информатизации, телекоммуникации и связи при создании и развитии российской информационной инфраструктуры;
- несанкционированный доступ к информации, находящейся в банках и базах данных;
- нарушение законных ограничений на распространение информации.
Источники угроз информационной безопасности РФ подразделяются на внешние и внутренние. К внешним источникам относятся:
- деятельность иностранных политических, экономических, военных, разведывательных и информационных структур, направленная против интересов РФ в информационной сфере;
- стремление ряда стран к доминированию и ущемлению интересов России в мировом информационном пространстве, вытеснению ее с внешнего и внутреннего информационных рынков;
- обострение международной конкуренции за обладание информационными технологиями и ресурсами;
- деятельность международных террористических организаций;
- увеличение технологического отрыва ведущих держав мира и наращивание их возможностей по противодействию созданию конкурентоспособных российских информационных технологий;
- деятельность космических, воздушных, морских и наземных технических и иных средств (видов) разведки иностранных государств;
- разработка рядом государств концепций информационных войн, предусматривающих создание средств опасного воздействия на информационные сферы других стран мира, нарушение нормального функционирования информационных и телекоммуникационных систем, сохранности информационных ресурсов, получение несанкционированного доступа к ним.
К внутренним источникам относятся:
- критическое состояние отечественных отраслей промышленности;
- неблагоприятная криминогенная обстановка, сопровождающаяся тенденциями сращивания государственных и криминальных структур в информационной сфере, получения криминальными структурами доступа к конфиденциальной информации, усиления влияния организованной преступности на жизнь общества, снижения степени защищенности законных интересов граждан, общества и государства в информационной сфере;
- недостаточная координация деятельности федеральных органов государственной власти, органов государственной власти субъектов РФ по формированию и реализации единой государственной политики в области обеспечения информационной безопасности РФ;
- недостаточная разработанность нормативной правовой базы, регулирующей отношения в информационной сфере, а также недостаточная правоприменительная практика;
- неразвитость институтов гражданского общества и недостаточный государственный контроль за развитием информационного рынка России;
- недостаточное финансирование мероприятий по обеспечению информационной безопасности РФ;
- недостаточная экономическая мощь государства;
- снижение эффективности системы образования и воспитания, недостаточное количество квалифицированных кадров в области обеспечения информационной безопасности;
- недостаточная активность федеральных органов государственной власти, органов государственной власти субъектов РФ в информировании общества о своей деятельности, в разъяснении принимаемых решений, в формировании открытых государственных ресурсов и развитии системы доступа к ним граждан;
- отставание России от ведущих стран мира по уровню информатизации федеральных органов государственной власти, органов государственной власти субъектов РФ и органов местного самоуправления, кредитно-финансовой сферы, промышленности, сельского хозяйства, образования, здравоохранения, сферы услуг и быта граждан.
3. Государственная информационная политика
3.1. Основные положения государственной информационной политики Российской Федерации
Государственная политика обеспечения информационной безопасности РФ определяет основные направления деятельности федеральных органов государственной власти и органов государственной власти субъектов РФ в этой области, порядок закрепления их обязанностей по защите интересов РФ в информационной сфере в рамках направлений их деятельности и базируется на соблюдении баланса интересов личности, общества и государства в информационной сфере.
Государство в процессе реализации своих функций по обеспечению информационной безопасности РФ:
- проводит объективный и всесторонний анализ и прогнозирование угроз информационной безопасности РФ, разрабатывает меры по ее обеспечению;
- организует работу законодательных (представительных) и исполнительных органов государственной власти РФ по реализации комплекса мер, направленных на предотвращение, отражение и нейтрализацию угроз информационной безопасности РФ;
- поддерживает деятельность общественных объединений, направленную на объективное информирование населения о социально значимых явлениях общественной жизни, защиту общества от искаженной и недостоверной информации;
- осуществляет контроль за разработкой, созданием, развитием, использованием, экспортом и импортом средств защиты информации посредством их сертификации и лицензирования деятельности в области защиты информации;
- проводит необходимую протекционистскую политику в отношении производителей средств информатизации и защиты информации на территории РФ и принимает меры по защите внутреннего рынка от проникновения на него некачественных средств информатизации и информационных продуктов;
- способствует предоставлению физическим и юридическим лицам доступа к мировым информационным ресурсам, глобальным информационным сетям;
- формулирует и реализует государственную информационную политику России;
- организует разработку федеральной программы обеспечения информационной безопасности РФ, объединяющей усилия государственных и негосударственных организаций в данной области;
- способствует интернационализации глобальных информационных сетей и систем, а также вхождению России в мировое информационное сообщество на условиях равноправного партнерства.
Совершенствование правовых механизмов регулирования общественных отношений, возникающих в информационной сфере, является приоритетным направлением государственной политики в области обеспечения информационной безопасности РФ.
Это предполагает:
- оценку эффективности применения действующих законодательных и иных нормативных правовых актов в информационной сфере и выработку программы их совершенствования;
- создание организационно-правовых механизмов обеспечения информационной безопасности;
- определение правового статуса всех субъектов отношений в информационной сфере, включая пользователей информационных и телекоммуникационных систем, и установление их ответственности за соблюдение законодательства РФ в данной сфере;
- создание системы сбора и анализа данных об источниках угроз информационной безопасности РФ, а также о последствиях их осуществления;
- разработку нормативных правовых актов, определяющих организацию следствия и процедуру судебного разбирательства по фактам противоправных действий в информационной сфере, а также порядок ликвидации последствий этих противоправных действий;
- разработку составов правонарушений с учетом специфики уголовной, гражданской, административной, дисциплинарной ответственности и включение соответствующих правовых норм в уголовный, гражданский, административный и трудовой кодексы, в законодательство РФ о государственной службе;
- совершенствование системы подготовки кадров, используемых в области обеспечения информационной безопасности РФ.
Правовое обеспечение информационной безопасности РФ должно базироваться прежде всего на соблюдении принципов законности, баланса интересов граждан, общества и государства в информационной сфере.
Соблюдение принципа законности требует от федеральных органов государственной власти и органов государственной власти субъектов РФ при решении возникающих в информационной сфере конфликтов неукоснительно руководствоваться законодательными и иными нормативными правовыми актами, регулирующими отношения в этой сфере.
Соблюдение принципа баланса интересов граждан, общества и государства в информационной сфере предполагает законодательное закрепление приоритета этих интересов в различных областях жизнедеятельности общества, а также использование форм общественного контроля деятельности федеральных органов государственной власти и органов государственной власти субъектов РФ. Реализация гарантий конституционных прав и свобод человека и гражданина, касающихся деятельности в информационной сфере, является важнейшей задачей государства в области информационной безопасности.
Разработка механизмов правового обеспечения информационной безопасности РФ включает в себя мероприятия по информатизации правовой сферы в целом.
В целях выявления и согласования интересов федеральных органов государственной власти, органов государственной власти субъектов РФ и других субъектов отношений в информационной сфере, выработки необходимых решений государство поддерживает формирование общественных советов, комитетов и комиссий с широким представительством общественных объединений и содействует организации их эффективной работы.
3.2. Первоочередные мероприятия по реализации государственной политики обеспечения информационной безопасности
Первоочередными мероприятиями по реализации государственной политики обеспечения информационной безопасности РФ являются:
- разработка и внедрение механизмов реализации правовых норм, регулирующих отношения в информационной сфере, а также подготовка концепции правового обеспечения информационной безопасности РФ;
- разработка и реализация механизмов повышения эффективности государственного руководства деятельностью государственных средств массовой информации, осуществления государственной информационной политики;
- принятие и реализация федеральных программ, предусматривающих формирование общедоступных архивов информационных ресурсов федеральных органов государственной власти и органов государственной власти субъектов РФ, повышение правовой культуры и компьютерной грамотности граждан, развитие инфраструктуры единого информационного пространства России, комплексное противодействие угрозам информационной войны, создание безопасных информационных технологий для систем, используемых в процессе реализации жизненно важных функций общества и государства, пресечение компьютерной преступности, создание информационно-телекоммуникационной системы специального назначения в интересах федеральных органов государственной власти и органов государственной власти субъектов РФ, обеспечение технологической независимости страны в области создания и эксплуатации информационно-телекоммуникационных систем оборонного назначения;
- развитие системы подготовки кадров, используемых в области обеспечения информационной безопасности РФ;
- гармонизация отечественных стандартов в области информатизации и обеспечения информационной безопасности автоматизированных систем управления, информационных и телекоммуникационных систем общего и специального назначения.
4. Информация - наиболее ценный ресурс современного общества
4.1. Понятие "информационный ресурс"
Несмотря на все более широкое использование понятия "информационный ресурс", в настоящее время отсутствует его общепринятое определение, что делает проблематичным разработку эффективной политики любого уровня (международного, национального, регионального, республиканского и отраслевого) по созданию информационных ресурсов и их промышленной эксплуатации в интересах науки, техники, производства и управления.
Прежде всего необходимо обратить внимание на то, что понятие "информационный ресурс" возникло не в процессе переосмысления роли информации во всех видах общественной деятельности, как утверждают многие, а в результате внедрения в исследования по созданию и интеграции информационных служб программно-целевого подхода.
Ресурсами называют элементы экономического потенциала, которыми располагает общество и которые, при необходимости, могут быть использованы для достижения конкретных целей хозяйственного и социального развития.
В рамках программно-целевого подхода информация рассматривается как один из видов ресурсов при реализации целевых программ наряду с рабочей силой, материалами, оборудованием, энергией, денежными средствами и т. д.
Это означает, что информация стала рассматриваться как один из видов ресурсов, потребляемых в общественной практике.
Но включение информации в состав ресурсов не снимает неопределенности термина "информационный ресурс", поскольку нет однозначного подхода к тому, какую информацию считать ресурсом, а какую не считать. Анализ определений, приведенных в различных источниках, показывает, что в состав информационных ресурсов включается либо вся (любая) информация, либо ее подмножества, для выделения которых разные авторы используют различные, несовместимые друг с другом критерии, например: классы информации, и/или виды документов, и/или виды носителей (способы фиксации), и/или организационные структуры, и/или возможность обработки на различных технических средствах и др.
Информация в контексте данного раздела может трактоваться как знание, включенное непосредственно в коммуникативный процесс.
Исходным моментом включения информации в сферу обращения по различным социальным каналам является ее фиксация на тех или иных видах носителей - документирование (закрепление на тех или иных материальных носителях), ибо только в этом случае она может быть передана между пользователями и процессами, распределенными во времени и пространстве.
С момента фиксации знания на том или ином носителе оно становится информацией, и только эта информация может рассматриваться как информационный ресурс.
Каждый новый тип носителя информации порождает свой класс информационных ресурсов, характеризуемый своим множеством свойств, связанных с фиксацией, воспроизводством, доступом, восприятием и процессами обработки зафиксированной на носителе информации, а также реализацией процессов передачи информации во времени.
Обобщая изложенное, предлагается под информационными ресурсами понимать всю накопленную информацию об окружающей нас действительности, зафиксированную на материальных носителях и в любой другой форме, обеспечивающей ее передачу во времени и пространстве между различными потребителями для решения научных, производственных, управленческих и других задач.
Особо следует выделить положение о том, что ресурсом является вся накопленная информация, в том числе и информация недостоверная ("дефектологическая"), представленная сомнительными фактами, ложными положениями, неэффективными подходами, а также устаревшая информация; несопоставимые данные, накопленные по нестандартным методикам; информация, потерявшая конкретность в результате субъективных толкований в процессе частных "теоретических" построений; заведомая "дезинформация", поступившая в информационные потоки, и сбалансированная информация.
Только такой подход к определению информационных ресурсов создает предпосылки для выявления противоречивых данных, исключаются случаи пропуска "неудобной" информации и сложных ситуаций (под сложной ситуацией понимается информация о "необычном", "невозможном" использовании известных средств и методов, "принципиально невозможных" явлениях и действиях, т. е. всего того, что не укладывается в тезаурус отдельного исполнителя и/или целого коллектива исполнителей).
Учет фактора "дезинформирования" (возможности поступления к пользователю недостоверной и устаревшей информации) требует включения в процессы информационной деятельности специальных процедур оценки информации на достоверность. Без выявления недостоверной и устаревшей информации, накапливаемой в информационных ресурсах, создаются предпосылки принятия неэффективных, а в ряде случаев и ошибочных решений, наносящих существенный ущерб.
В то же время следует подчеркнуть, что недостоверная и устаревшая информация не должна уничтожаться. Она должна локализовываться, обособляться и на ее основе необходимо строить системные фильтры для контроля информационных ресурсов любого уровня (организаций, объединений, национальных и международных). При этом сама недостоверная информация должна непрерывно переоцениваться, уточняться и одновременно должны подвергаться переоценке решения, принятые ранее на основании такой информации.
Сбор всей информации и требование сохранности "дефектной", устаревшей информации лежит в основе деятельности наиболее эффективных информационных систем и является важным методологическим принципом их построения.
С другой стороны, когда мы говорим о том, что информационный ресурс - это вся информация, то имеется в виду мировой информационный ресурс, полнота и эффективность использования которого в настоящее время недостаточна и определяется уровнем достигнутого баланса соглашений на международной (через ООН), региональной, двух- и многосторонней основе между различными источниками и пользователями информационных ресурсов.
В реальной деятельности каждая из сторон обладает своим подмножеством информации, ограниченным по проблемам, полноте, качеству и актуальности для решения стоящих перед ней задач. Оно определяется как информационный ресурс конкретного пользователя (отдельного лица, группы лиц, предприятия, объединения, ведомства, региона, государства и т. д.).
- документы всех видов, на любых видах носителей (в том числе все виды машиночитаемых носителей, используемых в вычислительной технике и технике средств связи);
- персонал (память людей), обладающий знаниями и квалификацией в различных областях науки и техники;
- организационные единицы - научные, производственные, управленческие и другие организации, располагающие кадровыми, техническими, производственными, финансовыми и прочими возможностями для решения определенного круга проблем и задач;
- промышленные образцы (любые материальные объекты, созданные в процессе производства), рецептуры и технологии, программные продукты, которые являются овеществленным результатом научной и производственной деятельности людей;
- научный инструментарий (в том числе автоматизированные системы научных исследований, автоматизированные рабочие места научных работников и проектировщиков, экспертные системы и базы знаний).
При этом следует обратить особое внимание на то, что одна и та же информация, относящаяся к той или иной проблеме, может быть зафиксирована на различных носителях и/или различные информационные фрагменты одной и той же проблемы могут быть зафиксированы таким образом, что правильное восприятие информации становится невозможным, если отсутствует доступ ко всем информационным фрагментам, представленным на различных носителях.
Поэтому целостность информационных ресурсов обеспечивается в том и только том случае, если потребитель (пользователь) имеет доступ ко всем классам носителей, на которых зафиксирована информация, необходимая для решения стоящих перед ним задач.
Создание национальных информационных ресурсов невозможно (особенно в условиях динамически изменяющихся задач) без изучения и учета всей структуры связей между различными классами информационных ресурсов. Поэтому одной из важнейших задач построения эффективной информационной системы является создания в структуре документальных информационных ресурсов машиночитаемого регистра, который должен обеспечить координацию Использования информационных ресурсов организаций, фирм и государственных учреждений, работающих в различных областях.
4.2. Классы информационных ресурсов
Информационные ресурсы - это вся накопленная информация об окружающей нас действительности, зафиксированная на материальных носителях и в любой другой форме, обеспечивающей ее передачу во времени и пространстве между различными потребителями для решения научных, производственных, управленческих и других задач.
Каждый новый тип носителя информации порождает свой класс информационных ресурсов, характеризуемый своим множеством свойств, связанных с фиксацией, воспроизводством, доступом, восприятием и процессами обработки зафиксированной на носителе информации, а также реализацией процессов передачи информации во времени.
Свойства носителя существенным образом влияют на место каждого класса информационных ресурсов в процессах материальной и духовной деятельности людей и общества в целом.
Информационные ресурсы предлагается разделить на следующие основные классы.
- Документы.
- Персонал (память людей).
- Организационные единицы.
- Промышленные образцы, рецептуры и технологии, конструкционные материалы, программные продукты, технические системы (объекты).
- Научный инструментарий.
Следует обратить внимание на то, что принятое в федеральном законе понятие информационных ресурсов значительно уже и включает только документы: "информационные ресурсы - отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах (библиотеках, архивах, банках данных, других видах информационных систем)". (Федеральный закон от 04.07.1996 г. № 85-ФЗ "Об участии в международном информационном обмене". Ст. 2). Это же определение используется в Законе "Об информации, информатизации и защите информации".
Для обоснования принятого подхода к определению информационного ресурса сделаем следующие разъяснения, показывающие
1. Одна и та же информация, относящаяся к той или иной проблеме, может быть зафиксирована на различных носителях, и/или различограниченность и неполноту определения, используемого в законодательных документах.
В зависимости от носителей информационные фрагменты одной и той же проблемы могут быть зафиксированы таким образом, что правильное восприятие информации становится невозможным, если отсутствует доступ ко всем информационным фрагментам, представленным на различных носителях. Поэтому целостность информационных ресурсов обеспечивается в том и только том случае, если потребитель (пользователь) имеет доступ ко всем классам носителей, на которых зафиксирована информация, необходимая для решения стоящих перед ним задач.
2. Сужение понятия информационных ресурсов до класса документов исключает из рассмотрения значительные объемы информации, зафиксированные на иных классах носителей. Но каждый класс информационных ресурсов - это еще и иные способы взаимодействия с информационными ресурсами, способы их создания, регистрации, сбора, сохранения, взаимодействия с ними и, следовательно, иные способы управления информационными технологиями, а также иная правовая база, определяющая их использование.
3. Разрыв информационных связей между выделенными классами информационных ресурсов порождает разрывы в информационных процессах и технологиях. Это, в свою очередь, ведет к потере целостности восприятия окружающей действительности, резкому снижению качества информации и результативности при принятии информационных решений.
4. Создаются предпосылки к безвозвратной утрате важнейшей информации, которая не может быть содержательно осмыслена только на основе документальных информационных ресурсов. Учет только документальных информационных ресурсов может привести к полной утрате конкретной проблемной информации.
5. Учитывая, что предлагаемый подход к определению информационных ресурсов существенно отличается от определения, принятого в законодательстве, ниже приводится перечень прецедентов, свидетельствующих о неполноте законодательного определения.
Приводимый ниже перечень прецедентов является достаточным для иллюстрации неполноты подхода, при котором информационные ресурсы сводятся к документальным информационным ресурсам.
1. В уголовной практике.
1.1. Дело сопровождается "вещдоками", без них нет дела (орудия взлома, орудие убийства и/или его элементы: гильзы, пули, веревки и пр.). Вещдоки (или часть их) сохраняются "при деле".
Нарушение целостности понимания информационных ресурсов создает предпосылки к нарушению информационной безопасности.
1.2. Формируются специальные коллекции из орудий, участвовавших в преступлении:
- создание коллекций оружия для отождествления типа оружия по бо-еприпасу;
- коллекции гильз ("гильзотеки") и использованных пуль, для прослеживания движения "стволов" по преступлениям.
2. В государственном делопроизводстве в архивы сдавались печати (определенным образом "погашенные").
3. В экспертизе, метрологии, сельском хозяйстве:
- эталонные образцы, реактивы и пр.;
- реперные объекты (например, кронштадтский футшток ("уровень моря"); гринвичский и пулковский меридианы, системы мегалитических памятников (как материализованная фиксация астрономических знаний древности (скрытые и "раскрытые"), геодезические знаки опорной геодезической сети (по классам точности);
- "линии производителей", элитный семенной материал и пр.;
- мощнейший инструментальный комплекс "эталонного времени", сеть сейсмических и метеорологических станций, контрольно-измерительные полигонные комплексы (данный пример может быть примером класса "организационная единица" в чистом виде).
4. Американская система патентования требовала в качестве дополнения к патенту действующее устройство и/или модель.
5. Отчетные материалы геологоразведки состоят из двух частей: собственно описательных и аналитических материалов и образцов. К этому классу относятся метеоритные коллекции и пробы грунта, полученные в результате планетарных исследований.
Утрата образцов резко снижает ценность отчетов. Результаты разных партий, проводящих исследования, могут стать несопоставимы. "Документальная ценность" образцов неисчерпаема (с появлением новых методов исследований происходит новое раскрытие информационного содержания).
Например:
- многократные переоценки экспедиционных материалов по тунгусскому метеориту;
- новые оценки гипотезы "жизни на Марсе" по результатам анализа метеоритного материала.
6. В медицине и биологии: коллекции живых штаммов, чистые ряды подопытных животных и насекомых (белые мыши, муха дрозофила).
7. Палеонтологические реконструкции. Сюда можно включить и результаты реконструкций по методу Герасимова в археологии и криминалистике.
8. "Персонал" для выполнения специфических работ:
- Специальные группы экспертов для проведения органолептических оценок (виноделие, производство парфюмерных изделий и др.). Это класс информационных ресурсов "персонал" - в чистом виде.
- Специфические профессиональные группы: испытатель (всех категорий), проводник, лоцман, "колодезник", следопыт, некоторые специалисты таможенных профессий и др.
- "язык", свидетель (утрата свидетеля в ряде случаев ведет к "развалу" дела), "пленный".
- Оперативные работники, резидентура, специалисты по опознанию.
- Особо доверенные лица ("хранители тайн"): в древности - особо посвященные члены религиозных групп, вожди племен; хранители утерянных тайн (греческий огонь, сокровища инков, целые системы знаний древних и пр.); в современной истории - три специалиста, сохраняющие рецепт кока-колы; хранители тайн ценностей и местонахождения документохранилищ германского рейха (по решениям совещания 1944); полная группа хранителей кодовых комбинаций (ключей) "особых кладовых"; "старшие призыва" (в германской армии) и другие подобные персоны и группы.
- Группы "трофейных специалистов": группа Брауна, Гелен, Гесс, Паулюс на Нюрнбергском процессе и др.
- "Законсервированная" резидентура.
9. В принципе понятие машиночитаемого информационного ресурса и сам машиночитаемый документ не могут существовать без некоторого инструментального комплекса (*0* - "промышленного образца"), который превращает носитель с зафиксированной на нем информацией в документ, доступный пользователю.
Есть инструментальный комплекс - существует документ, нет инструментального комплекса - нет документа!! А следовательно, нет информационного ресурса!
10. Самолет-лидер, точные "двойники" космических аппаратов на земле, синхронно с основным работающие на земле и на которых проходит обследование внештатных ситуаций. Указанные образцы выполняют роль долговременного эталонного дублера основного объекта на все время его существования.
11. Приведем высказывания, свидетельствующие о том, что Туполев рассматривал персонал, промышленные образцы и организации (КБ, школы) в качестве основной составляющей части того, что мы именуем информационным ресурсом. Одновременно необходимо обратить внимание на то, что знание, зафиксированное в книге (документе), для него вторично, неоперативно. Накопление конструкций, технических решений, "новшеств" (закрепленных в конструкциях с той или иной степенью реализации, проверенных в действии, на стенде и т. д.) - основа успешного решения практических задач.
С некоторой степенью условности его можно считать сторонником (по крайней мере после завершения специального образования) передачи знаний и умений в процессе совместной работы над реальными проектами: "Наша работа, результатом которой является постройка самолетов, отнимает настолько много сил и энергии, что я ни одной строчки не пишу. Вы должны рассматривать как оправдание результаты, которые мы даем. я просил бы, чтобы эта точка зрения была принята всеми..." Еще одна цитата: "Мы расширяем круг лиц, которые могут принять от нас работу... Никто с должной отчетливостью не представляет того напряжения в отделе, в смысле передачи опыта и знаний, которое у нас создалось. Если возьмете каждого из сотрудников, вы увидите, сколько человек у каждого из них учатся. Создается школа, которая имеет очень большое значение. Передаем ли мы свои знания в промышленность? Передаем. Например, возьмите 5-й завод - много взял от бомбовоза. Это - передача опыта в наивысшей форме, которая дороже книг, так как это живая передача. Это один из самых трудных способов передачи, гораздо труднее, чем написать книгу" [16, 17].
Приведем краткую характеристику каждого из перечисленных классов информационных ресурсов и их места в структуре информационных ресурсов.
Документы. Документированная информация (документ) - зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать (Федеральный закон от 04.07.1996 г. № 85-ФЗ "Об участии в международном информационном обмене". Ст. 2).
Документ - главное средство закрепления различным способом на специальном материале (носителе) информации, получаемой в процессе развития науки и практической деятельности людей. В них закрепляется и концентрируется информация о фактах, событиях, явлениях объективной действительности и мыслительной деятельности человека. Основная функция документа - обеспечение передачи информации в пространстве и времени между различными пользователями.
Данный класс информационных ресурсов является наиболее исследованным. Фактически все работы по созданию и развитию информационных систем направлены на формирование документальных информационных ресурсов и обеспечение доступа пользователей к ведомственным, национальным и международным документальным ресурсам.
Основной тенденцией развития документальных ресурсов является перенос все большей их части на машиночитаемые носители, что принципиально изменяет условия доступа к документальным информационным ресурсам.
С одной стороны, создаются условия прямого доступа к неограниченным массивам информации и автоматизированной их обработки, а с другой - возможность полного закрытия неконтролируемого доступа к этим массивам, а также возможность жестко контролируемого информирования и дезинформирования (т. е. выдачи той и только той информации, которую держатель информационных ресурсов считает нужным предоставить конкретному пользователю).
Перенос информационных ресурсов на машиночитаемые носители приводит к существенным изменениям во всех процессах, связанных с накоплением, обменом и обработкой информации и процессов доступа к ресурсам.
Задачи обеспечения документальными информационными ресурсами осложняются и тем, что все большая часть машиночитаемых информационных ресурсов не имеет своего аналога на традиционных носителях.
Формирование машиночитаемых информационных ресурсов создает ситуацию, при которой пользователь, не обладающий необходимыми техническими и программными средствами переработки машиночитаемых информационных ресурсов, фактически, исключается из сферы эффективного применения наиболее ценных информационных ресурсов на всех уровнях: персональном, групповом, ведомственном, национальном, региональном и международном.
Между информацией, зафиксированной в документе, и пользователем появляется система барьеров (технических, программных, технологических и других), которые существенно ограничивают и/или полностью исключают возможность доступа к информации.
Более полно определить факторы, влияющие на создание барьеров между информацией, зафиксированной в документе, и пользователем можно на основании приведенной ниже обобщенной модели документа.
Обобщенная модель документа. Как показывает анализ существующих определений, каждый тип документа является функцией следующих документообразующих признаков:
Д=f(c[g], н[i], a[q], ф[j], y[h], п[w], м[z]),
где Д - документ; c[g] - содержание информации, отражаемой в документе; н[i] - носитель информации; a[q] - алфавит представления информации; ф[j] - метод (способ) фиксации информации (данных), зафиксированной в документе; y[h] - устройство (техническое средство), обеспечивающее как воспроизводство документа в форме, пригодной для восприятия человеком, так и регистрацию (фиксацию), сбор, передачу, хранение и обработку, ввода-вывода документов; п[w] - правила (способы, методы, алгоритмы, программы) преобразования документов (информации (данных)) при изменении носителя информации, устройств воспроизведения, фиксации, сбора, передачи, хранения, обработки, ввода-вывода документов; м[z] - метаинформация о документе (информация, описывающая документ).
В первом приближении заданы следующим перечнем.
1. Содержание информации, отражаемой в документе (c[g]).
1.1. Проблемная область информации, отраженной в документе.
1.1.1. Научно-техническая информация.
1.1.2. Экономическая информация.
1.1.3. Управленческая информация.
1.1.4. Технологическая информация.
1.1.5. Производственная информация.
1.1.6. Юридическая информация.
1.1.7. Справочная информация.
1.1.8. Социальная информация.
1.1.9. Медицинская информация.
1.1.10. Прочая (в том числе художественная, религиозная, музыка, искусство, литература и т. д.).
1.2. Описательная информация о документе (информация, описывающая документ).
1.2.1. Реферативно-библиографические данные (в соответствии с принятыми нормами описания конкретного вида документа).
1.2.2. Лингвистические средства, раскрывающие содержание документа (классификации, классификаторы, рубрикаторы, тезаурусы и деск-рипторные словари, прочие словарно-терминологические средства).
1.2.3. Идентификационная информация, способствующая однозначной идентификации документа и его места в совокупности взаимосвязанных документов, а также связей документа с другими документами, фондами документов, владельцами и пр.
2. Носитель информации (н[i]).
2.1. Бумажный носитель:
2.1.1. Документы, подготовленные с помощью традиционных средств полиграфии.
2.1.2. Бумажный носитель для устройств типа принтера.
2.1.3. Перфолента
2.1.4. Перфокарта.
2.1.5. Носители для устройств отображения.
2.2. Магнитные и магнитооптические (CD ROM) носители:
2.2.1. Магнитная лента.
2.2.2. Магнитные диски и дискеты.
2.2.3. Жесткие диски (винчестеры).
2.2.4. CD ROM.
2.2.5. Оперативная память.
2.3. Микрофильмовые носители и кинофотоматериалы:
2.3.1. Микрофильмы.
2.3.2. Микрофиши.
2.3.3. Фотоносители.
2.3.4. Киноматериалы.
2.4. Устройства отображения:
2.4.1. Табло для алфавитно-цифровой информации.
2.4.2. Экраны.
2.4.3. Самописцы.
2.5. Сообщения по линиям связи.
3. Алфавит представления информации (a[q]).
3.1. Цифры.
3.2. Буквы.
3.3. Символы иероглифических систем письменности.
3.4. Знаки:
3.4.1. Математические и химические знаки.
3.4.2. Почтовые знаки.
3.4.3. Картографические знаки.
3.4.4. Железнодорожные и пароходные знаки, знаки правил уличного движения и пр.
3.4.5. Метеорологические знаки.
3.4.6. Астрономические и лунные знаки.
3.5. Прочие системы специальных знаков и условных обозначений (знаки радиоэлектронных схем, технологических процессов и пр.).
4. Метод (способ) фиксации информации (данных), зафиксированной в документе (ф[j]).
4.1. Тексты.
4.2. Формульная информация (в том числе различные методы представления химических формул и структур).
4.3. Табличная информация (в том числе бланковая, анкетная).
4.4. Графика (рисунки, чертежи, карты, изображения, видеоматериалы и пр.).
4.5. Представление пространственных данных.
4.6. Аудиоинформация.
4.7. Аудиовизуальная информация.
4.8. Цифровая и аналоговая информация, записываемая различной регистрирующей аппаратурой.
4.9. Перфорация (от азбуки для слепых до кодовых комбинаций на перфоносителях).
5. Устройство (техническое средство), обеспечивающее как воспроизводство документа в форме, пригодной для восприятия человеком, так и регистрацию (фиксацию), сбор, передачу, хранение и обработку, ввода-вывода документов (y[h]).
5.1. Средства ручной обработки.
5.2. Оргтехника.
5.3. Микрофильмовая техника (все средства кинофототехники).
5.4. Элекронно-вычислительная техника (в том числе ЭВМ, телевизионная техника).
5.5. Средства и каналы связи.
6. Правила (способы, методы, алгоритмы, программы) преобразования документов (информации (данных)) при изменении носителя информации, устройств воспроизведения, фиксации, сбора, передачи, хранения, обработки, ввода-вывода документов (п[w]).
6.1. Преобразования:
6.1.1. Информации (данных).
6.1.2. Носителей.
6.1.3. Технических средств.
6.1.4. Алгоритмов, программ, правил.
6.2. Операции обработки;
6.2.1. Копирование.
6.2.2. Контроль.
6.2.3. Поиск.
6.2.4. Восстановление.
6.2.5. Защита.
6.2.6. Ввод-вывод.
6.2.7. Преобразование:
6.2.7.1. Редактирование (включение, замена, извлечение, объединение, сегментирование, гашение, уничтожение, создание связи, изменение положения, упорядочение, слияние, группировка).
6.2.7.2. Кодирование-декодирование, транслитерация, транскрибирование.
6.2.8. Просмотр.
6.2.9. Обмен.
6.2.10. Хранение.
6.2.11. Прочие операции.
7. Метаинформация о документе (информация, описывающая документ) (м[z]).
7.1. Описание структуры документа.
7.2. Описание системы кодирования, включаемой в документ.
7.3. Описание операций, разрешенных над информацией, включаемой в документ.
7.4. Описание информации, включаемой в документ.
7.5. Описание информации, идентифицирующей документ.
7.6. Описание технических средств, необходимых для обработки документов и информации, включенной в документ.
7.7. Описание правил, алгоритмов, программ, обеспечивающих работу с документом.
Перечень составлен на основании анализа документов, циркулирующих в различных сферах человеческой деятельности.
Приведенный перечень с достаточной полнотой отражает состояние (уровень развития) современных информационных технологий, опирающихся на документальные информационные ресурсы.
Каждый документ характеризуется своим набором признаков. С другой стороны, один и тот же по содержанию документ может иметь различную форму представления в зависимости от того, в какой информационной структуре он функционирует.
Общее количество видов и форм документов, используемых в качестве источников информации, неизвестно. Только по признакам, входящим в группу "содержание информации", различные исследователи состава фондов крупнейших библиотек и информационных центров выявили около 110-130 видов документов (широкого распространения и не публикуемых).
Существуют различные классификационные перечни этих видов документов. Применительно к фондам научно-технических документов, как правило, выделяют 6 классификационных групп:
- библиографию литературных источников (планы издательств, проспекты информационных изданий, справочный аппарат государственных библиотек и т. д.);
- библиографию неопубликованных источников (бюллетени регистрации, отраслевые сборники рефератов НИР и ОКР, тезисы докладов на конференциях и семинарах и т. д.);
- фактографическую информация (прейскуранты оптовых цен, каталоги изделий внутриведомственной кооперации, документация по ценообразованию и т. д.);
- нормативную документацию (государственные и республиканские стандарты, отраслевые нормативы трудоемкости, стандарты предприятий на унифицированные узлы и компоненты и т. д.);
- патентную информацию (патентные зарубежные журналы, выдержки из патентных заявок, описания отечественных изобретений и т. д.);
- основную первичную информацию (книги, периодика, отечественные и зарубежные научно-технические сборники и труды НИИ, конструкторская и технологическая документация и т. д.).
Морфологический анализ позволяет на основании перечисленных документообразующих признаков выявить более широкую гамму видов документов, которые находятся в жесткой зависимости от информационной инфраструктуры (технической, программной и технологической).
Функционирование документальных информационных ресурсов (особенно представленных на машиночитаемых носителях) свидетельствует о том, что период их "жизненного цикла" существенно превосходит периоды "жизненного цикла" конкретных технических средств, программных продуктов, поколения ПЭВМ. Изменение технической и программной конфигурации автоматизированных информационных систем порождает проблему непрерывного конвертирования информационных массивов, которая по мере увеличения их объема становится все более дорогостоящей процедурой. С другой стороны, процессы конвертирования создают условия безвозвратной утраты тех или иных ресурсов в результате неадекватных процессов преобразования и/или утраты связей массивов с программной и технической средой, обеспечивающей их целостность и обработку, и/или утратой массивов и/или программных средств, обеспечивающих идентификацию и однозначное декодирование данных и т. п.
Нарастающее многообразие документообразующих признаков ведет к сверхизбыточному нарастанию несовместимых форм представления информации в документах, что существенным образом увеличивает число барьеров между информацией, зафиксированной в документе, и пользователем, желающим получить доступ к этой информации.
Если при употреблении документов на традиционных носителях основным барьером, при условии получения документа, был "языковой барьер" и уровень профессиональной подготовки пользователя, то переход к машиночитаемым носителям количество барьеров резко увеличивает.
Основные барьеры доступа к документальным информационным ресурсам в зависимости от различных документообразующих признаков в первом приближении могут быть заданы следующим перечнем.
1. Барьеры, возникающие при использовании микрофильмовых носителей (микрофильмы, микрофиши):
- кратность уменьшения;
- цветочувствительность;
- цветопередача;
- разрешающая способность;
- адаптивность оборудования к типу носителя и его размерным параметрам;
- возможность автоматизированного поиска по имеющимся на носителе идентификационным кодам: степень доступности кодовых признаков, возможность декодирования аппаратными средствами, совместимость техническая;
- возможность выборочного и сплошного копирования и получения полноразмерных копий.
2. Магнитные и магнитооптические (CD ROM) носители (магнитная лента, магнитные диски, дискеты, жесткие диски (винчестеры), CD ROM, оперативная память):
- размерные характеристики носителя (длина, ширина, толщина, диаметр, количество поверхностей, с которых происходит чтение-запись информации);
- конструктивные, связанные с возможностью установки на конкретные устройства ввода-вывода информации;
- тип записи (плотность, число дорожек, ширина межблочных промежутков и т. п.);
- организация файлов;
- методы кодирования информации (используемый алфавит и методы кодирования символов алфавита, стандарты представления видеоинформации, графики пространственной информации, звука, аналоговой информации и т. д.);
- используемые методы защиты информации (криптография, электронные ключи, другие аппаратные методы защиты).
3. Алфавит представления информации:
- несовместимость символьного набора;
- несовместимость системы кодирования;
- несовместимые системы правил лексикографического упорядочения;
- несовместимость используемых символьных множеств с языками представления информации и типами представляемой информации;
- неразличимость "синонимии" символов (начертательной и кодовой);
- несовместимость правил транслитерирования.
4. Устройство (техническое средство):
- техническая несовместимость (общая, частичная);
- несогласованность конфигурации с требованиями к процессам обработки конкретных машиночитаемых носителей (объемы памяти, комплектация средств ввода-вывода, типы мониторов, видеокарты и пр.);
- невозможность использования требуемых программных продуктов.
5. Правила (способы, методы, алгоритмы, программы) преобразования документов (информации, данных):
- несовместимость и различие методов обработки;
- алгоритмическая и программная несовместимость;
- несовместимость по набору процедур обработки и набору обрабатываемых типов данных;
- несовместимость форматов представления данных;
- несовместимость систем кодирования, драйверов, электронных ключей;
- несовместимые методы представления и обработки данных в однотипных программных продуктах;
- различия интерфейса программных продуктов;
- несовместимость документов, подготовленных на одноименных программных продуктах различных версий и их модификаций;
- неэквивалентное преобразование информационных массивов при конвертировании.
6. Метаинформация о документе (информация, описывающая документ):
- несовместимые методы и схемы описания (по содержанию, набору параметров);
- закрытость параметров и схем описания.
Исходя из изложенного, следует сделать следующие выводы.
1. Современный уровень развития информационных технологий с документальными ресурсами и тенденции их развития встраивают между носителем информации и пользователем информации, зафиксированной на носителе, сложнейшую техногенную среду (техническую, алгоритмическую, программную, технологическую), без участия которой пользователь не способен получить доступ к информации и воспринимать ее.
2. Несовместимость техногенной среды создает значительные трудности для восприятия информации, зафиксированной на машиночитаемых носителях, и во многих случаях ведет к их безвозвратной утрате.
3. Использование машиночитаемых ресурсов возможно в том и только в том случае, если они используются в согласованной (нормализованной, стандартизованной) техногенной среде. Требуемый уровень согласования для различных типов машиночитаемых документов различен. Соответственно каждая техногенная среда позволяет осуществлять работу с различными (свойственными только для нее) типами машиночитаемых ресурсов. Более того, различные модификации (версии) одной и той же техносферы могут порождать несовместимые машиночитаемые информационные ресурсы. К этой категории барьеров относятся ситуации, связанные с использованием несовместимых текстовых редакторов, драйверов, видеокарт, системные требования к конфигурации и пр.
4. Современный уровень развития техносферы визуализации и использования информации, зафиксированной на машиночитаемых носителях, порождает формирование информационных ресурсов с высокой степенью Унерегулируемой (скрытой) криптографичности, определяемой несогласованностью инструментальных средств, находящихся в распоряжении конкретных пользователей. Нерегулируемая (скрытая) криптографичность информационных ресурсов, в свою очередь, порождает неадекватное воспроизводство информации, содержащейся на носителе, что исключает ее использование.
В каждый данный момент времени конкретная информационная система находится в состоянии информационной, технической, программной и технологической совместимости. Но система непрерывно развивается (модернизируется, модифицируется): изменяется состав технических, программных и технологических средств. Развиваются и внешние информационные системы.
Собственное развитие осуществляется, как правило, с учетом принятых ранее технических и программных решений (не исключаются случаи преобразований от "чистого листа", когда происходят принципиальные изменения, коренная ломка структуры технических и программных средств).
Каждая внешняя система, осуществляя аналогичный процесс развития, принимает иные проектные решения, обеспечивающие свои цели.
В результате в системах накапливаются документальные информационные ресурсы, несовместимые на уровне технических средств, различающиеся по структуре, форматам представления данных, методам кодирования, правилам содержательного описания и т. д. Взаимодействие пользователя с такими ресурсами невозможно без разработки системы комплексных программных средств, обеспечивающих приведение информационных массивов к виду, при котором могут осуществляться информационные технологии, образованные "новой конфигурацией" программно-технического комплекса системы на новый текущий момент времени. Создается ситуация, при которой "ретроспективные" массивы, даже приведенные к формальным условиям совместимости с массивами "на данный момент времени", являются неадекватной формой представления ранее накопленной информации. Степень этой "неадекватности" различна, она, как правило, соответствует той степени "правильности", которую удалось обеспечить при конвертировании в новую форму представления.
При этом нужно учитывать, что взаимнооднозначное преобразование информационных массивов не всегда имеет место. Это положение относится как к собственным массивам системы, так и особенно к массивам внешних систем.
Например, несмотря на разработку мощных современных текстовых процессоров и баз данных, далеко не всегда между ними возможен взаимный экспорт (импорт) файлов.
Многократное конвертирование в конечном счете может создать условия абсолютной утраты достоверности информации.
Ситуация осложняется тем, что:
- Преобразуются значительные по объему массивы машиночитаемых ресурсов (гига- и терабайты, миллионы документов (записей)).
- Преобразования проводятся по системе алгоритмических процедур, реализованных в каждой системе различно. Алгоритмы, их ограничения, требования к процедурам и алгоритмам, определяющим конвертирование массивов, как правило, неизвестны (заданы по умолчанию, в явном виде пользователю неизвестны). К пользователю могут поступать одни и те же массивы, прошедшие через различные множества конверторов, что порождает эффект, аналогичный "множественному" переводу в традиционных информационных технологиях.
- Пользователь, применяющий информацию, не знает, подвергался ли предоставленный ему массив конвертированию, какие процедуры при конвертировании проводились, с помощью каких конверторов и какое число конвертации данного массива проводилось.
- Возможна ситуация, при которой различные части информационного массива конвертировались по различным системам конверторов.
- В организации взаимодействия по межсистемному обмену документальными информационными ресурсами на машиночитаемых носителях возникают значительные трудности, преодоление которых требует значительных ресурсных затрат, связанных с необходимостью конвертирования информационных массивов.
5. Проблемы информационной войны
5.1. Информационное оружие и его классификация.
Одна из первых публикаций, посвященных классификации информационного оружия, появилась в журнале "Военная мысль" и принадлежит профессору А. И. Позднякову. Данная классификация включает две подгруппы информационного оружия.
Первая подгруппа включает в себя:
- СМИ;
- психотронные генераторы;
- психотропные препараты.
Информационное оружие данной подгруппы предназначено для негативного воздействия на человека. В частности, это воздействие может осуществляться через различные СМИ. В соответствии с Федеральным законом "О средствах массовой информации" под этими средствами понимается периодическое печатное издание, радио-, теле-, видеопрограмма, кинохроникальная программа, иная форма периодического распространения массовой информации. Под массовой информацией понимаются предназначенные для неограниченного круга лиц печатные, аудио-, аудиовизуальные и иные сообщения и материалы. Хронология многих военных конфликтов последних лет включала, как правило, в начале их развития этап психологической обработки мировой общественности через СМИ. Так, например, при подготовке войны в районе Персидского залива США убедили мировую общественность в необходимости мер, принимаемых коалиционным руководством. Основная нагрузка в этой связи легла на печать, радио и телевидение. Они широко распространяли слухи о наличии у Ирака огромных запасов химического оружия, а также о планах его возможного применения, сообщали завышенные данные о численности иракских вооруженных сил, о поддержке режимом Хусейна ряда террористических организаций и т. п..
Психотронные генераторы - это устройства, осуществляющие воздействие на человека путем передачи информации через внечувственное (неосознаваемое) восприятие.
Уже давно установлено, что разные органы человека имеют собственные резонансные частоты, используя которые можно воздействовать на психико-физиологическое состояние индивида или коллектива людей, вызывая у них страх, подавленность или другие чувства.
Эти и другие особенности человеческого организма используются при построении и подборе параметров (частотный диапазон, мощность излучения, длительность работы и др.) психотронных генераторов.
Психотропные препараты - это лекарственные (наркотические) средства, которые способны вызывать состояние зависимости, оказывать стимулирующее или депрессивное воздействие на центральную нервную систему, вызывая галлюцинации или нарушение моторной функции организма, под воздействием которых происходит нарушение мышления, меняется настроение, поведение.
Средства радиоэлектронной борьбы (РЭБ) - это средства для выявления и радиоэлектронного подавления систем управления войсками и оружием противника, его систем разведки и навигации, а также средства для обеспечения устойчивой работы своих систем.
Средства специального программно-технического воздействия (СПТВ) - программные, аппаратные или программно-аппаратные средства, с использованием которых может быть осуществлено несанкционированное копирование, искажение, уничтожение информации, ее передача за пределы контролируемой зоны или блокирование доступа к ней.
5.2. Информационная война
В настоящее время в число сфер ведения боевых действий, помимо земли, моря, воздуха и космоса, добавилась и информационная сфера. Как подчеркивают военные эксперты, основными объектами поражения в новых войнах будут информационная инфраструктура и психология противника (появился даже термин "human network").
В качестве основных объектов воздействия в информационной войне выступают:
- сети связи и информационно-вычислительные сети, используемые государственными организациями при выполнении своих управленческих функций;
- военная информационная инфраструктура, решающая задачи управления войсками;
- информационные и управляющие структуры банков, транспортных и промышленных предприятий;
- СМИ (в первую очередь электронные).
Сейчас имеется множество определений информационной войны. Остановимся на одном из них. В августе 1995 г. Национальный институт обороны США опубликовал работу Мартина Либики "Что такое информационная война?". В ней автор определил 7 разновидностей информационной войны: командно-управленческая, разведывательная, психологическая, хакерская, экономическая, электронная и кибервойна.
Командно-управленческая (Command-and-control) война в качестве основного объекта воздействия рассматривает каналы связи между командованием и исполнителями. Перерезая "шею" (каналы связи), нападающий изолирует "голову" от "туловища". Утверждается, что это лучше, нежели просто убивать "голову". Считается, что Интернет родился как оборонный вариант этой войны ("рассредоточенная шея").
Разведывательная война имеет целью сбор важной в военном отношении информации и защиту собственной.
Электронная война объектом своего воздействия имеет средства электронных коммуникаций - радиосвязи, радаров, компьютерных сетей. Ее важная составляющая - криптография, позволяющая осуществлять шифрование и расшифровку электронной информации.
Психологическая война - осуществляется путем пропаганды, "промывания мозгов" и другими методами информационной обработки населения.
Либики выделяет 4 составляющие психологической войны: подрыв гражданского духа; деморализация вооруженных сил; дезориентация командования; война культур (Kulturkampf).
Хакерская война имеет целями тотальный паралич сетей, перебои связи, введение ошибок в пересылку данных, хищение информации, хищение услуг за счет несанкционированных подключений к сетям, их тайный мониторинг, несанкционированный доступ к закрытым данным. Для достижения этих целей используются различные программные средства: вирусы, "троянские кони", "логические бомбы", сниферы ("нюхалки", "следилки").
Экономическая информационная война. Либики выделяет две ее формы - информационную блокаду (направленная против США) и информационный империализм (метод самих США).
Мир продолжает стремительно изменяться и ставит множество новых вопросов перед человечеством.
Революционные изменения видны во многих отраслях мировой экономики, в первую очередь это область информатизации общества. Волна "цифровой революции" создала абсолютно новый экономический сектор, которого раньше просто не было. Это провоцирует рост интенсивности конфликтов с целью захвата и удержания превосходства в данном секторе новой мировой экономики. Капиталом, который играет главенствующую роль в "цифровой революции", является интеллектуальный капитал, прежде всего в области информационных технологий.
И наконец, основной продукт этого сектора - информация - обладает уникальными свойствами, не присущими другим секторам экономики. Информация в отличие от всех других ресурсов пригодна для многократного использования и для многочисленных пользователей, при этом чем больше она применяется, тем более ценной становится. То же самое можно сказать о сетях, связывающих различные источники информации.
Множество определений информационной войны связано, по-видимому, со сложностью и многогранностью такого явления, как информационная война, трудностью построения аналогий с традиционными войнами. Начнем с определения известного теоретика и историка К. Клаузевица, в соответствии с которым война есть не что иное, как продолжение государственной политики иными средствами. В. И. Ленин уточнил это определение [28], добавив перед словом "средствами" прилагательное "насильственными". Если попытаться трансформировать приведенные определения в понятие "информационная война", то вряд ли что конструктивное получится. Это связано с рядом особенностей информационной войны.
Для войны в ее обычном понимании субъекты (противостоящие стороны) четко определены, существуют понятия начала и окончания войны, линии фронта. Противостоящие стороны, как правило, описываются одинаковыми моделями. Исход войны во многом определяется соотношением военных потенциалов сторон.
Для информационной войны обычно четко определена обороняющаяся сторона, понятия начала и окончания можно применить лишь к отдельным операциям информационной войны, линия фронта не определена. Обороняющаяся и наступающая стороны описываются различными моделями. Успех проводимых информационных операций не имеет прямой связи с соотношением военных потенциалов сторон.
6. Проблемы информационной безопасности в сфере государственного и муниципального управления
6.1. Информационные процессы в сфере государственного и муниципального управления
Обеспечение информационной безопасности в сфере государственного и муниципального управления (ГМУ) основывается на подробном анализе структуры и содержания ГМУ, а также информационных процессов и используемых при управлении технологий.
Государственное (муниципальное) управление - это процесс выполнения комплекса мероприятий, ориентированных на достижение государственных (муниципальных) целей, которые описываются на языке, отображающем желаемые состояния государства, отраслей, регионов и муниципальных образований. Мероприятия при этом должны соответствовать стратегическим целям и тактическим задачам, быть упорядоченными по времени выполнения и составу участников, а также быть обеспеченными необходимыми ресурсами.
Учитывая большое количество и разнообразие управляющих систем в сфере ГМУ, возьмем за основу рассмотрения региональный уровень органов ГМУ (субъекта РФ и его муниципальных образований) и воспользуемся результатами работы.
Систему органов власти и управления составляют:
- законодательный орган государственной (муниципальной) власти субъекта РФ и представительные органы его муниципальных образований;
- исполнительный орган государственной власти субъекта РФ и органы муниципального управления;
- иные органы государственной власти субъекта РФ, образуемые в соответствии с конституцией субъекта РФ.
Законодательный и исполнительный органы государственной власти субъекта РФ, а также органы муниципального управления взаимодействуют в целях эффективного управления процессами экономического и социального развития субъекта Федерации и в интересах его населения.
Территориальные органы федеральных органов исполнительной власти осуществляют свою деятельность под руководством соответствующих центральных органов, а по вопросам, входящим в компетенцию субъектов РФ, - во взаимодействии с региональными органами исполнительной власти и управления. Основные задачи и функции территориальных органов определяются исходя из задач и функций соответствующих министерств и ведомств РФ с учетом конкретных особенностей регионов, в которых они осуществляют свою деятельность. Территориальные органы принимают участие в выработке мер и способов государственного регулирования социально-экономического развития субъектов Федерации, информируют министерства и ведомства, органы исполнительной власти субъектов Федерации о проводимой ими работе в регионах.
Территориальные органы имеют право запрашивать и получать:
- от органов исполнительной власти субъектов РФ и местного самоуправления - необходимую для осуществления своей деятельности информацию;
- от предприятий, организаций и учреждений независимо от форм собственности - сведения, необходимые для выполнения возложенных на них задач;
- от органов статистики - информационно-аналитические материалы, экономико-статистические данные в установленном порядке.
Информационная сфера субъектов РФ и муниципальных образований представляет собой совокупность субъектов, осуществляющих деятельность в этой информационной сфере, региональных (муниципальных) информационных систем и сетей связи, включая телекоммуникационные системы, информационные ресурсы и общественные отношения в информационной сфере, правовое регулирование которых Конституцией РФ отнесено к предметам совместного ведения РФ, ее субъектов и муниципальных образований.
По своей природе и целям подавляющее число процессов в сфере ГМУ являются информационными и составляют замкнутый цикл. К этим процессам относятся:
- получение управляющими субъектами информации;
- переработка и анализ полученной информации;
- принятие управленческих решений;
- доведение их до исполнителей;
- контроль исполнения;
- получение информации о результатах управления.
Применительно к сфере ГМУ информационные процессы можно определить как процессы получения, использования или преобразования информации в ходе выполнения органом ГМУ или его должностным лицом нормативно закрепленной за ним функции или задачи.
Типовыми информационными процессами в сфере ГМУ являются:
- ведение документооборота;
- накопление информации;
- анализ информации;
- прогноз и планирование;
- принятие управленческих решений;
- информирование населения.
Перечисленные процессы в работе рассматриваются только в контексте их реализации с помощью компьютерных систем.
Компьютерная система (КС) - это организационно-техническая система, представляющая собой совокупность следующих взаимосвязанных элементов:
- технических средств обработки и передачи данных (средств вычислительной техники и связи);
- методов и алгоритмов обработки в виде соответствующего программного обеспечения;
- информации (массивов, наборов, баз данных) на различных носителях;
- персонала и пользователей системы, объединенных по организационно-структурному, тематическому, технологическому или другим признакам для выполнения автоматизированной обработки информации с целью удовлетворения информационных потребностей субъектов информационных отношений.
По терминологии в области защиты информации от несанкционированного доступа КС относится к автоматизированным системам.
Основными носителями и средствами передачи информации в КС являются:
- средства хранения информации (магнитные диски, оптические диски, ОЗУ, ПЗУ и т. д.);
- средства отображения информации (терминалы, принтеры, бумажные носители, графопостроители и т. д.);
- средства передачи информации (аппаратура передачи и приема информации, линии связи, модемы и т. д.).
Рассмотрим более подробно типовые информационные процессы в органах ГМУ.
1. Ведение документооборота. Этот процесс осуществляется в целях:
- обеспечения внутреннего цикла движения организационно-распорядительной и другой требуемой в повседневной работе информации;
- взаимодействия с вышестоящими и подчиненными органами;
- реализации установленных нормативными документами функций в отношении юридических и физических лиц.
Ведение документооборота включает следующие операции:
- прием, подготовку, оформление, учет, согласование, рассылку документов;
- организацию и контроль исполнения принимаемых решений.
2. Накопление информации. Этот процесс осуществляется в целях:
- облегчения поиска требуемой информации;
- сохранения циркулирующей информации. Накопление информации включает следующие операции:
- ввод информации в базы данных;
- создание и копирование файлов документов.
3. Анализ информации и на его основе прогноз и планирование. Этот процесс осуществляется в целях:
- подготовки отчетности для вышестоящих органов;
- обеспечения принятия оперативных решений;
- прогнозирования будущих состояний объекта управления;
- планирования дальнейших управленческих действий.
Данный процесс включает следующие операции:
- выборку требуемой информации по признакам из баз данных или электронных архивов;
- систематизацию и агрегирование отобранных данных;
- визуализацию числовой информации;
- выявление закономерностей, тенденций и т. д.;
- формулирование выводов, прогнозов, планов;
- изготовление аналитических и плановых документов.
Уровни агрегирования информационно-аналитических материалов:
- на муниципальном (городском) уровне информация, как правило, агрегируется в масштабе предприятий и районов;
- на региональном уровне - информация агрегируется по отраслям, городам и районам.
4. Принятие управленческих решений. Этот процесс осуществляется в целях:
- выполнения функций и задач управления;
- регулирования состояния (деятельности) объекта управления. Принятие управленческих решений включает следующие операции:
- сопоставление и обобщение полученной информации;
- выбор наиболее приемлемого для конкретной ситуации варианта возможных действий;
- доведение управленческой информации до исполнителей.
5. Информирование населения. Этот процесс осуществляется в целях:
- отчетности о принятых решениях и результатах работы органов ГМУ;
- повышения уровня информированности населения. Он включает следующие операции:
- публикацию материалов в СМИ;
- ведение сайта в Интернете;
- подготовку ответов на запросы и обращения юридических и физических лиц.
Участвующие в информационных процессах субъекты и объекты вступают между собой в различные информационные отношения.
Информационные отношения - это вид общественных отношений, связанных с информационными процессами - процессами сбора, обработки, накопления, хранения, поиска и распространения информации с использованием ЭВМ, их систем и сетей.
В качестве субъектов информационных отношений в сфере ГМУ выступают:
- органы ГМУ всех уровней и направлений;
- госслужащие (чиновники, персонал КС);
- юридические лица (коммерческие и общественные организации);
- граждане.
Различные субъекты в процессе информационных отношений могут выступать в качестве:
- источников (поставщиков) информации;
- пользователей (потребителей) информации;
- собственников (владельцев, распорядителей) информации;
- участников процессов обработки и передачи информации.
6.2. Виды информации и информационных ресурсов в сфере ГМУ
С тематической и функциональной точки зрения информация бывает организационно-распорядительной, нормативно-правовой, планово-финансовой, социально-экономической, индикативной и т. д. По уровню агрегирования - первичной, структурированной, статистической, аналитической и др..
По правовому режиму доступа информация может быть открытой и ограниченного доступа.
Документированная информация ограниченного доступа подразделяется на информацию, отнесенную к государственной тайне, и конфиденциальную.
Конфиденциальная информация - это документированная информация, доступ к которой ограничивается в соответствии с законодательством РФ.
Персональные данные - это сведения о фактах, событиях и обстоятельствах жизни гражданина, позволяющие идентифицировать его личность. Персональные данные о гражданах, включаемые в состав федеральных информационных ресурсов, информационных ресурсов совместного ведения, информационных ресурсов субъектов РФ, информационных ресурсов местного самоуправления, а также получаемые и собираемые негосударственными организациями, отнесены к категории конфиденциальной информации.
В действующей нормативно-правовой базе РФ существует более 30 видов тайн (видов конфиденциальной информации). Между ними подчас имеются противоречия, нестыковки, пересечения, что объективно требует совершенствования законодательства в данной сфере.
Фиксируемая (накапливаемая) каким-либо способом информация образует информационные ресурсы.
Информационные ресурсы - это отдельные документы и отдельные массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных и других ИС).
Информационные ресурсы делятся на государственные и негосударственные. Государственные информационные ресурсы РФ формируются в соответствии со сферами ведения (федеральные информационные ресурсы; информационные ресурсы, находящиеся в совместном ведении РФ и субъектов Федерации; информационные ресурсы субъектов РФ). Государственные информационные ресурсы являются открытыми и общедоступными. Исключение составляют ресурсы, включающие документированную информацию, отнесенную законом к категории ограниченного доступа.
6.3. Состояние и перспективы информатизации сферы ГМУ
Согласно Закону "Об информации, информатизации и защите информации", информация - это организационный социально-экономический и научно-технический процесс создания оптимальных условий для удовлетворения информационных потребностей и реализации прав граждан, органов государственной власти, органов местного самоуправления, организаций, общественных объединений на основе формирования и использования информационных ресурсов.
К сожалению, информатизация сферы ГМУ в России происходит в целом весьма хаотично и со значительным отставанием от требований времени. Так, например, по результатам исследований, проведенных в Санкт-Петербурге, уровень эффективности использования информации в системе управления городом характеризуется следующими данными:
- только 10-15 % информации используется для обоснования и принятия решений;
- соотношение между входной и выходной информацией в различных системах управления составляет от 4:1 до 40:1;
- объем дублирующей информации в системах управления достигает 30 % от ее общего объема.
Такому положению дел способствовало отсутствие системной государственной политики в информационной сфере. Тем не менее определенные положительные сдвиги в этом направлении начинают происходить. Так, в начале 2002 г. правительством РФ утверждена федеральная целевая программа "Электронная Россия" на период 2002-2010 гг. Основной целью программы является повышение эффективности функционирования экономики, государственного управления и местного самоуправления за счет внедрения и массового распространения информационных технологий, создание технологических предпосылок для развития гражданского общества за счет обеспечения прав на свободный доступ к информации, расширение подготовки специалистов по информационным технологиям и квалифицированных пользователей.
Для достижения целей программы в сфере ГМУ планируется [18]:
На первом этапе:
- проведение полномасштабного аудита всех информационных активов и ресурсов федеральных органов государственной власти, анализ зарубежного опыта реализации подобных программ;
- будет сформирована система межведомственной координации деятельности органов государственной власти всех уровней в целях развития и массового распространения информационных технологий, разработаны критерии эффективности бюджетных расходов этой области и создан механизм, обеспечивающий их достижение;
- будут созданы предпосылки для законодательного обеспечения прав граждан на доступ к открытой информации государственных органов власти и местного самоуправления на основе использования информационных технологий;
- начнут реализовываться первые пилотные проекты по переходу к электронному документообороту в государственных и муниципальных органах власти, по развитию инфраструктуры доступа к телекоммуникационным сетям для органов государственной власти и местного самоуправления.
На втором этапе:
- будут реализованы организационные мероприятия по расширению и развитию проектов по интерактивному взаимодействию органов государственной власти и местного самоуправления с гражданами и хозяйствующими субъектами;
- будут разработаны и приняты изменения и дополнения к действующим нормативным актам, уравнивающие в правах электронную и бумажную форму представления информации в государственные органы и органы местного самоуправления (в частности, в налоговые и статистические органы, органы регистрации имущественных и других прав и т. п.);
- будет в основном сформирована единая телекоммуникационная инфраструктура для органов государственной власти и местного самоуправления;
- будут разработаны меры, регламентирующие права граждан и обязанности государственных и муниципальных учреждений по принятию к рассмотрению заявок, жалоб и других запросов граждан в электронной форме;
- предполагается расширение сферы обязательного для государственных органов применения информационных технологий в сфере взаимодействия государства и общества, позволяющее гражданам реализовать свои конституционные права на получение информации по нормотворческой деятельности, бюджетному процессу, проведению закупок для государственных нужд, процесса управления государственной собственностью и т. д.;
- будут развиваться системы внутриведомственного и межведомственного электронного документооборота, включая развитие локальных информационных сетей и интранет, в том числе с использованием открытых международных стандартов;
- будет осуществлена разработка и начата реализация мер по оцифровке и ускоренному переводу в открытый доступ всей не запрещенной к открытому распространению, имеющейся у государственных органов информации;
- будут разработаны и введены в действие необходимые поправки в процессуальное законодательство, позволяющие осуществлять ряд процессуальных действий с использованием информационных технологий;
- будет сформирована основная конфигурация "электронного правительства".
На третьем этапе по результатам предыдущих этапов:
- будет обеспечено комплексное внедрение стандартизированных систем документооборота;
- будет реализовываться концепция представительства органов власти в сети Интернет.
Таким образом, при условии выполнения программы компьютерные технологии к концу первого десятилетия XXI в. станут основой повседневной деятельности органов ГМУ, а компьютерные системы - ее главными инструментами.
7. Современная постановка задачи защиты информации
- Система защиты информации должна быть представлена как нечто целое. Целостность системы будет выражаться в наличии единой цели ее функционирования, информационных связей между элементами системы, иерархичности построения подсистемы управления системой защиты информации.
- Система защиты информации должна обеспечивать безопасность информации, средств информации, защиту интересов участников информационных отношений и невозможность несанкционированного доступа злоумышленника к защищаемой информации.
- Система защиты информации в целом, применяемые методы и средства защиты должны быть по возможности прозрачными для законного пользователя, не создавать ему больших дополнительных неудобств, связанных с процедурами доступа к информации.
Система защиты информации должна обеспечивать оценку угроз внешних дестабилизирующих факторов и защиту от них.
8. Организационно-правовое обеспечение информационной безопасности
8.1. Информация как объект юридической защиты. Основные принципы засекречивания информации
ИБ представляет собою совокупность решений, законов, нормативов, регламентирующих как общую организацию работ по обеспечению ИБ, так и создание и функционирование систем защиты информации на конкретных объектах. Основные функции организационно-правовой базы следующие.
- Разработка основных принципов отнесения сведений, имеющих конфиденциальный характер, к защищаемой информации.
- Определение системы органов и должностных лиц,, ответственных за обеспечение ИБ в стране и порядка регулирования деятельности предприятия и организации в этой области.
- Создание полного комплекса нормативно-правовых руководящих и методических материалов (документов), регламентирующих вопросы обеспечения ИБ как в стране в целом, так и на конкретном объекте.
- Определение мер ответственности за нарушения правил защиты.
- Определение порядка разрешения спорных и конфликтных ситуаций по вопросам защиты информации.
Под юридическими аспектами организационно-правового обеспечения защиты информации понимается совокупность законов и других нормативно-правовых актов, с помощью которых достигались бы следующие цели:
- все правила защиты информации являются обязательными для соблюдения всеми лицами, имеющими отношение к конфиденциальной информации;
- узакониваются все меры ответственности за нарушение правил защиты информации;
- узакониваются (приобретают юридическую силу) технико-математические решения вопросов организационно-правового обеспечения защиты информации;
- узакониваются процессуальные процедуры разрешения ситуаций, складывающихся в процессе функционирования системы защиты.
Разработка законодательной базы ИБ любого государства является необходимой мерой, удовлетворяющей первейшую потребность в защите информации при развитии социально-экономических, политических, военных направлений развития этого государства. Особое внимание со стороны западных стран к формированию такой базы вызвано все возрастающими затратами на борьбу с "информационными" преступлениями. Все это заставляет страны Запада серьезно заниматься вопросами законодательства по защите информации.
Определение основных принципов отнесения сведений, имеющих конфиденциальный характер, к защищаемой информации. Созданием законодательной базы в области ИБ каждое государство стремится защитить свои информационные ресурсы. Информационные ресурсы государства в самом первом приближении могут быть разделены на три большие группы:
- информацию открытую - на распространение и использование которой не имеется никаких ограничений;
- информацию запатентованную - охраняется внутригосударственным законодательством или международными соглашениями как объект интеллектуальной собственности;
- информацию, "защищаемую" ее собственником, владельцем с помощью отработанных механизмов защиты государственной, коммерческой или другой охраняемой тайны; к этому виду относят обычно информацию, не известную другим лицам, которая или не может быть запатентована, или умышленно не патентуется с целью избежания или уменьшения риска завладения ее соперниками, конкурентами.
Защищают и охраняют, как правило, не всю или не всякую информацию, а наиболее важную, ценную для собственника, ограничение распространения которой приносит ему какую-то пользу или прибыль, возможность эффективно решать стоящие перед ним задачи.
Какую информацию относят к защищаемой?
Во-первых, секретную информацию. К секретной информации в настоящее время принято относить сведения, содержащие государственную тайну.
Во-вторых, конфиденциальную информацию. К этому виду защищаемой информации относят обычно сведения, содержащие коммерческую тайну, а также тайну, касающуюся личной (неслужебной) жизни и деятельности граждан.
Таким образом, под защищаемой информацией понимают сведения, на использование и распространение которых введены ограничения их собственником и характеризуемые понятием "тайна".
Применительно к органам государственной власти и управления под тайной понимается то, что скрывается от других, что известно определенному кругу людей. Иначе говоря, те сведения, которые не подлежат разглашению, и составляют тайну.
Основное направление использования этого понятия - засекречивание государством определенных сведений, сокрытие которых от соперников, потенциального противника дает ему возможность успешно решать жизненно важные вопросы в области обороны страны, политических, научно-технических и иных проблем с меньшими затратами сил и средств.
К подобному же ввиду тайны относится засекречивание предприятием, фирмой сведений, которые помогают ему эффективно решать задачи производства и выгодной реализации продукции.
Сюда же примыкают и тайны личной жизни граждан, обычно гарантируемые государством: тайна переписки, врачебная тайна, тайна денежного вклада в банке и др.
8.2. Государственная система правового обеспечения защиты информации в Российской Федерации
Второй функцией организационно-правового обеспечения информационной безопасности является определение системы органов и должностных лиц, ответственных за обеспечение информационной безопасности в стране. Основой для создания государственной системы организационно-правового обеспечения защиты информации является создаваемая в настоящее время государственная система защиты информации, под которой понимается совокупность федеральных и иных органов управления и взаимоувязанных правовых, организационных и технических мер, осуществляемых на различных уровнях управления и реализации информационных отношений и направленных на обеспечение безопасности информационных ресурсов.
Основные положения правового обеспечения защиты информации приведены в Доктрине информационной безопасности РФ, а также в других законодательных актах.
Под информационной безопасностью РФ понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства.
Напомним содержание интересов личности, общества и государства в информационной сфере.
Интересы личности в информационной сфере заключаются в реализации конституционных прав человека и гражданина на доступ к информации, на использование информации в интересах осуществления не запрещенной законом деятельности, физического, духовного и интеллектуального развития, а также в защите информации, обеспечивающей личную безопасность.
Интересы общества в информационной сфере заключаются в обеспечении интересов личности в этой сфере, упрочении демократии, создании правового социального государства, достижении и поддержании общественного согласия, в духовном обновлении России.
Интересы государства в информационной сфере заключаются в создании условий для гармоничного развития российской информационной инфраструктуры, для реализации конституционных прав и свобод человека и гражданина в области получения информации и пользования ею в целях обеспечения незыблемости конституционного строя, суверенитета и территориальной целостности России, политической, экономической и социальной стабильности, в безусловном обеспечении законности и правопорядка, развитии равноправного и взаимовыгодного международного сотрудничества.
На основе национальных интересов РФ в информационной сфере формируются стратегические и текущие задачи внутренней и внешней политики государства по обеспечению информационной безопасности.
Рассмотрим структуру государственной системы информационной безопасности и основные функции ее составных частей.
Основным органом, координирующим действия государственных структур по вопросам защиты информации, является Межведомственная комиссия по защите государственной тайны, созданная Указом Президента РФ № 1108 от 8.11.1995 г. Она действует в рамках Государственной системы защиты информации от утечки по техническим каналам, положение о которой введено в действие постановлением Правительства РФ от 15.09.1993 г. №912-51. В этом постановлении определены структура, задачи и функции, а также организация работ по защите информации применительно к сведениям, составляющим государственную тайну. Основной задачей Государственной системы защиты информации является проведение единой технической политики, организация и координация работ по защите информации в оборонной, экономической, политической, научно-технической и других сферах деятельности страны.
Общая организация и координация работ в стране по защите информации, обрабатываемой техническими средствами, осуществляется Федеральная служба по техническому и экспортному контролю (ФСТЭК России).
ФСТЭК России является федеральным органом исполнительной власти, осуществляющим реализацию государственной политики, организацию межведомственной координации и взаимодействия, специальные и контрольные функции в области государственной безопасности по следующим вопросам в области обеспечения информационной безопасности:
- обеспечению безопасности информации в системах информационной и телекоммуникационной инфраструктуры, оказывающих существенное влияние на безопасность государства в информационной сфере;
- противодействию иностранным техническим разведкам на территории РФ;
- обеспечению защиты (некриптографическими методами) информации, содержащей сведения, составляющие государственную тайну, иной информации с ограниченным доступом, предотвращению ее утечки по техническим каналам, несанкционированного доступа к ней, специальных воздействий на информацию (носители информации) в целях ее добывания, уничтожения, искажения и блокирования доступа к ней на территории РФ;
- защите информации при разработке, производстве, эксплуатации и утилизации неинформационных излучающих комплексов, систем и устройств.
Основными задачами в области обеспечения информационной безопасности для ФСТЭК России являются:
- реализация в пределах своей компетенции государственной политики в области обеспечения безопасности информации в ключевых системах информационной инфраструктуры, противодействия техническим разведкам и технической защиты информации;
- осуществление государственной научно-технической политики в области защиты информации при разработке, производстве, эксплуатации и утилизации неинформационных излучающих комплексов, систем и устройств;
- организация деятельности государственной системы противодействия техническим разведкам и технической защиты информации на федеральном, межрегиональном, региональном, отраслевом и объектовом уровнях, а также руководство указанной государственной системой;
- осуществление самостоятельного нормативно-правового регулирования вопросов: обеспечения безопасности информации в ключевых системах информационной инфраструктуры; противодействия техническим разведкам; технической защиты информации; размещения и использования иностранных технических средств наблюдения и контроля в ходе реализации международных договоров РФ, иных программ и проектов на территории РФ, на континентальном шельфе и в исключительной экономической зоне РФ; координации деятельности органов государственной власти по подготовке развернутых перечней сведений, подлежащих засекречиванию, а также методического руководства этой деятельностью;
- обеспечение в пределах своей компетенции безопасности информации в ключевых системах информационной инфраструктуры, противодействия техническим разведкам и технической защиты информации в аппаратах федеральных органов государственной власти и органов государственной власти субъектов РФ, в федеральных органах исполнительной власти, органах исполнительной власти субъектов РФ, органах местного самоуправления и организациях;
- прогнозирование развития сил, средств и возможностей технических разведок, выявление угроз безопасности информации;
- противодействие добыванию информации техническими средствами разведки, техническая защита информации;
- осуществление координации деятельности федеральных органов исполнительной власти, органов исполнительной власти субъектов РФ и организаций по государственному регулированию размещения и использования иностранных технических средств наблюдения и контроля в ходе реализации международных договоров РФ, иных программ и проектов на территории РФ, на континентальном шельфе и в исключительной экономической зоне РФ;
- осуществление в пределах своей компетенции контроля деятельности по обеспечению безопасности информации в ключевых системах информационной инфраструктуры, по противодействию техническим разведкам и по технической защите информации в аппаратах федеральных органов государственной власти и органов государственной власти субъектов РФ, в федеральных органах исполнительной власти, органах исполнительной власти субъектов РФ, органах местного самоуправления и организациях;
- осуществление центральным аппаратом ФСТЭК России организационно-технического обеспечения деятельности Межведомственной комиссии по защите государственной тайны.
ФСТЭК России в своей деятельности руководствуется Конституцией РФ, федеральными конституционными законами, федеральными законами, актами президента РФ и правительства РФ, международными договорами РФ, приказами и директивами министра обороны РФ в части, касающейся ФСТЭК России, настоящим положением о ФСТЭК России, а также другими нормативными правовыми актами РФ, касающимися деятельности ФСТЭК России.
Нормативные правовые акты и методические документы, изданные по вопросам деятельности ФСТЭК России, обязательны для исполнения аппаратами федеральных органов государственной власти и органов государственной власти субъектов РФ, федеральными органами исполнительной власти, органами исполнительной власти субъектов РФ, органами местного самоуправления и организациями.
ФСТЭК России осуществляет свою деятельность во взаимодействии с другими федеральными органами исполнительной власти, органами исполнительной власти субъектов РФ, органами местного самоуправления и организациями.
Обеспечение информационной безопасности является одним из основных направлений деятельности органов Федеральной службы безопасности.
Обеспечение информационной безопасности осуществляется ими в пределах своих полномочий:
- при формировании и реализации государственной и научно-технической политики в области обеспечения информационной безопасности, в том числе с использованием инженерно-технических и криптографических средств;
- при обеспечении криптографическими и инженерно-техническими методами безопасности информационно-телекоммуникационных систем, а также систем шифрованной, засекреченной и иных видов специальной связи в РФ и ее учреждениях, находящихся за пределами РФ.
ФСБ России предоставлено право:
- осуществлять в соответствии со своей компетенцией регулирование в области разработки, производства, реализации, эксплуатации шифровальных (криптографических) средств и защищенных с использованием шифровальных средств систем и комплексов телекоммуникаций, расположенных на территории РФ, а также в области предоставления услуг по шифрованию информации в РФ, выявления электронных устройств, предназначенных для негласного получения информации, в помещениях и технических средствах;
- осуществлять государственный контроль за организацией и функционированием криптографической и инженерно-технической безопасности информационно-телекоммуникационных систем, систем шифрованной, засекреченной и иных видов специальной связи, контроль за соблюдением режима секретности при обращении с шифрованной информацией в шифровальных подразделениях государственных органов и организаций на территории РФ и в ее учреждениях, находящихся за пределами РФ, а также в соответствии со своей компетенцией контроль за обеспечением защиты особо важных объектов (помещений) и находящихся в них технических средств от утечки информации по техническим каналам;
- участвовать в определении порядка разработки, производства, реализации, эксплуатации и обеспечения защиты технических средств обработки, хранения и передачи информации ограниченного доступа, предназначенных для использования в учреждениях РФ, находящихся за ее пределами;
- обеспечивать выявление устройств перехвата информации на особо важных объектах (в помещениях) и технических средствах, предназначенных для использования в федеральных органах государственной власти.
Служба внешней разведки РФ для осуществления своей деятельности может при собственных лицензировании и сертификации приобретать, разрабатывать (за исключением криптографических средств защиты), создавать, эксплуатировать информационные системы, системы связи и системы передачи данных, а также средства защиты информации от утечки по техническим каналам.
Министерство обороны (Минобороны России) организует деятельность по обеспечению информационной безопасности, защите государственной тайны в Вооруженных силах, а также в установленном порядке в пределах своей компетенции работы по сертификации средств защиты информации.
Другие органы государственного управления (министерства, ведомства) в пределах своей компетенции:
- определяют перечень охраняемых сведений;
- обеспечивают разработку и осуществление технически и экономически обоснованных мер по защите информации на подведомственных предприятиях;
- организуют и координируют проведение НИОКР в области защиты информации в соответствии с государственными (отраслевыми) программами;
- разрабатывают отраслевые документы по защите информации;
- контролируют выполнение на предприятиях отрасли установленных норм и требований по защите информации;
- создают отраслевые центры по защите информации и контролю эффективности принимаемых мер;
- организуют подготовку и повышение квалификации специалистов по защите информации.
Для осуществления указанных функций в составе органов государственного управления функционируют научно-технические подразделения (центры) защиты информации и контроля.
На предприятиях, выполняющих оборонные и иные секретные работы, функционируют научно-технические подразделения защиты информации и контроля, координирующие деятельность в этом направлении научных и производственных структурных подразделений предприятия, участвующие в разработке и реализации мер по защите информации, осуществляющие контроль эффективности этих мер.
Кроме того, в отраслях промышленности и в регионах страны создаются и функционируют лицензионные центры, осуществляющие организацию и контроль за лицензионной деятельностью в области оказания услуг по защите информации, органы по сертификации средств вычислительной техники и средств связи, испытательные центры по сертификации конкретных видов продукции по требованиям безопасности информации, органы по аттестации объектов информатики.
Государственная система обеспечения информационной безопасности создается для решения следующих проблем, требующих законодательной поддержки:
- защита персональных данных;
- борьба с компьютерной преступностью, в первую очередь в финансовой сфере;
- защита коммерческой тайны и обеспечение благоприятных условий для предпринимательской деятельности;
- защита государственных секретов;
- создание системы взаимных финансовых расчетов в электронной форме с элементами цифровой подписи;
- обеспечение безопасности АСУ потенциально опасных производств;
- страхование информации и информационных систем;
- сертификация и лицензирование в области безопасности, контроль безопасности информационных систем;
- организация взаимодействия в сфере защиты данных со странами-членами СНГ и другими государствами.
Анализ современного состояния информационной безопасности в России показывает, что уровень ее в настоящее время не соответствует жизненно важным потребностям личности, общества и государства.
Такое положение дел в области обеспечения информационной безопасности требует безотлагательного решения ряда ключевых проблем.
- Формирование законодательной и нормативно-правовой базы обеспечения информационной безопасности, в том числе разработка реестра информационного ресурса, регламента информационного обмена для органов государственной власти и управления, нормативного закрепления ответственности должностных лиц и граждан по соблюдению требований информационной безопасности.
- Разработка механизмов реализации прав граждан на информацию.
- Формирование системы информационной безопасности, обеспечивающей реализацию государственной политики в этой области.
- Совершенствование методов и технических средств, обеспечивающих комплексное решение задач защиты информации.
- Разработка критериев и методов оценки эффективности систем и средств информационной безопасности.
- Исследование форм и способов цивилизованного воздействия государства на формирование общественного сознания.
- Комплексное исследование деятельности персонала информационных систем, в том числе методов повышения мотивации, морально-психологической устойчивости и социальной защищенности людей, работающих с секретной и конфиденциальной информацией.
Разработка правового обеспечения защиты информации идет по трем направлениям.
- Защита прав личности на частную жизнь.
- Защита государственных интересов.
- Защита предпринимательской и финансовой деятельности.
Структура нормативной базы по вопросам информационной безопасности включает:
- Конституцию РФ;
- федеральные законы и законы РФ;
- кодексы РФ (уголовный, гражданский, об административных правонарушениях);
- постановления правительства РФ;
- ведомственные нормативные акты, ГОСТы, руководящие документы.
Среди федеральных законов отметим следующие:
- "О государственной тайне";
- "О безопасности";
- "О лицензировании отдельных видов деятельности";
- "Об информации, информатизации и защите информации";
- "О правовой охране программ для электронных вычислительных машин и баз данных";
- "О техническом регулировании";
- "Об участии в международном информационном обмене";
- "О связи";
- "Об органах Федеральной службы безопасности в РФ";
- "О коммерческой тайне";
- "Об электронной цифровой подписи".
9. Информационные системы
XXI в. пройдет под знаком все усиливающейся экспансии информационной технологии в самые различные области человеческой деятельности, включая экономику, промышленность, управление, образование и культуру. Сами понятия информации, информационных процессов, информационных систем все шире используются в науке и практике. Сегодня мало кто сомневается в определяющей роли информации в теории искусственного интеллекта, в науке об ЭВМ, теории связи и коммуникации, в теории управления. А такие производные понятия, как "эра информации", "глобальная информационная революция", "информационное общество", "информационный взрыв", "информационный кризисФ, все чаще встречаются не только в научно-теоретической литературе, но и в СМИ.
Все это свидетельствует о том, что наступила новая эра, где объективным началом и основанием стало не вещество или энергия, а информация. На смену материальному (физическому) миру с его законами и системой ценностей пришел более сущностный информационный мир.
На смену материальной цивилизации, так долго господствовавшей во всемирной истории, пришла информационная цивилизация, известившая начало периода информации: "всеобщего и неизбежного периода развития человеческой цивилизации, периода освоения его информационной картины мира, осознания единства законов функционирования информации в природе и обществе, практического их применения, создания индустрии производства и обработки информации в виде разнообразных информационных систем". В современных условиях резко возрастает роль информационных процессов как в производстве, ориентированном на гибкую автоматизацию, так и в духовной сфере, использующей еще традиционные информационные средства и все шире переходящей на использование современных средств автоматизации. Не малую роль здесь играют факторы организации информационной среды, оптимальное определение путей движения информации как товара, проблемы обеспечения ее безопасности.
Последние десятилетия научный и технический прогресс связан со все более глубоким и широким рассматриванием различных свойств информации. Наряду с философскими и математическими проблемами информации большое внимание уделяется различным инженерным проблема ее использования (вопросы передачи, преобразования, хранения и т. д.), обеспечения целостности, достоверности и защиты от различного рода угроз.
Основным инструментом работы с информационными потоками сегодня выступают информационные способы, предназначенные не только для информационных преобразований, сбора и передачи информации, но и для качественного, своевременного и достоверного удовлетворения информационных потребностей пользователей этих систем.
9.1. Общие положения
Интенсивно развивающиеся процессы переустройства нашего общественного бытия и сознания требуют высокого уровня информированности общества, его организаций и граждан во всех областях экономической, политической и социальной действительности. Такой процесс сегодня принято называть информатизацией.
Информатизация - организационный социально-экономический и научно-технический процесс создания оптимальных условий для удовлетворения информационных потребностей и реализации прав граждан, органов государственной власти, органов местного самоуправления, организаций, общественных объединений на основе формирования и использования информационных ресурсов.
Информатизация базируется на национальных информационных ресурсах и обеспечивается посредством информационных систем и телекоммуникационных сетей. Появление телекоммуникационных сетей создало технические предпосылки для развития информационных систем, использующих коммуникационные ресурсы для обеспечения доступа к информационным ресурсам. Таким образом, информационные системы и сети, средства связи, передачи информации и телекоммуникации составляют инфраструктуру информатизации.
При любом рассмотрении вопросов управления производственной деятельностью центральное место занимает информация или информационная потребность.
Чтобы объяснить понятие "информационная система" напомним, что любое предприятие или любая организация - система, в которой происходят сложные процессы преобразования материалов в готовую продукцию, обращаются потоки сырья, полуфабрикатов, инструмента, трудовых затрат, денежных средств и т. д. И все это отражается в управлении. Таким образом, управление и планирование, в свою очередь, являются системой, которая информирует нас обо всем, что происходит на предприятии. В ней также происходит преобразование, только не материалов, а информации. Это и будет информационная система.
Информационная система, как и любая другая, обладает определенной структурой, составом, специалистами, средствами, оборудованием и порядком функционирования.
Таким образом, мы приходим к определению информационной системы. Информационная система - это организационно упорядоченная совокупность информационных ресурсов, технических средств, технологий, реализующих информационные процессы в традиционном или автоматизированном режиме для удовлетворения информационных потребностей пользователей.
Продуктом информационной системы является информация, свойства которой изменяются в соответствии с заданной технологией с помощью комплекса различных технических средств и людей, выполняющих определенные технологические операции. Известно, что технологические операции - это совокупность действий, направленных на изменение состояния предмета производства. В информационной системе предметом производства является информация, которая на выходе системы приводится к нужному пользователю виду и содержанию.
Исходной материальной основой работы информационной системы выступают информационные ресурсы. Ресурсами, как известно, называют элементы экономического потенциала, которыми располагает общество и которые при необходимости могут быть использованы для достижения конкретных целей хозяйственного и социального развития. Давно стали привычными такие категории, как материальные, финансовые, трудовые, природные, энергетические ресурсы. Эти ресурсы вовлекаются в хозяйственный оборот, и их назначение понятно каждому. В последние годы появилось и все больше осознается понятие "информационные ресурсы". Под информационными ресурсами понимаются документы и массивы документов в разных формах и видах (библиотеки, архивы, фонды, базы данных, базы знаний, а равно и другие формы организации, хранения и поиска информации), содержащие информацию по всем направлениям жизнедеятельности общества.
Информационные ресурсы могут быть фиксированными и нефиксированными. Фиксированные информационные ресурсы представляют собой информацию, закрепленную на каком-нибудь физическом носителе, а нефиксированные - знания, которыми владеют люди (ученые, специалисты, работники), так или иначе участвующие в общественном производстве и способные передавать эти знания другим участникам производственного процесса или криминального устремления.
Функциональной основой любой информационной системы являются информационные процессы. Под информационными процессами понимается совокупность взаимосвязанных и взаимообусловленных процессов выявления, анализа, ввода и отбора информации, выдачи с помощью различных средств ее потребителю для принятия управленческого решения.
9.2. Информация как продукт
Как и всякий продукт, информация имеет потребителей, нуждающихся в ней, и потому обладает определенными потребительскими качествами, а также имеет своих обладателей (владельцев).
С точки зрения потребителя качество используемой при управлении производством информации позволит получить дополнительный экономический или социально-моральный эффект.
С точки зрения обладателя - сохранение в тайне коммерчески важной информации позволяет успешно конкурировать на рынке производства и сбыта товаров и услуг.
Так что же такое информация? Какими свойствами она обладает?
Информация - это сведения о лицах, предметах, событиях, явлениях и процессах (независимо от формы их представления), отраженные на материальных носителях, используемые в целях получения знаний и практических решений.
Наиболее важными в практическом плане свойствами информации является: ценность, достоверность, своевременность.
Ценность информации определяется обеспечением возможности достижения цели, поставленной перед получателем.
Достоверность - соответствие полученной информации действительной обстановке.
Своевременность, т. е. соответствие ценности и достоверности определенному временному периоду.
Эффективность принимаемых решений определяется, кроме того, системой факторов, характеризующих показатели информации. Среди них можно выделить такие, как:
- внутренние свойства (достоверность и кумулятивность), сохраняющиеся при переносе данных в другую среду (систему);
- внешние свойства (временные свойства и свойства защищенности, которые характерны для данных, находящихся (используемых) в определенной среде (системе), и которые исчезают при их переносе в другую систему [8].
Рассмотрим подробнее приведенные свойства информации (рис. 2.8).
Достоверность. В свойстве достоверности выделяются безошибочность и истинность данных. Под безошибочностью понимается свойство данных не иметь скрытых случайных ошибок. Случайные ошибки в данных обусловлены, как правило, ненамеренными искажениями содержания сведений человеком или сбоями технических средств при переработке данных в ИС. При анализе истинности данных рассматривают преднамеренные искажения данных человеком-источником сведений (в том числе и из-за неумения или непонимания сути вопроса) или искажения, вносимые средствами обработки информации.
Кумулятивность определяет такие понятия, как "гомоморфизм" (соотношение между объектами двух множеств, при котором одно множество является моделью другого) и "избирательность". Данные, специально отобранные для конкретного уровня пользователей, обладают определенным свойством - избирательностью. Это социальная составляющая кумулятивности.
- актуальность - свойство данных, характеризующих текущую ситуацию;
- оперативность - свойство данных, состоящее в том, что время их сбора и переработки соответствует динамике изменения ситуации;
- идентичность - свойство данных соответствовать состоянию объекта.
Нарушение идентичности связано с техническим (по рассогласованию признаков) старением информации, при котором происходит расхождение реальных признаков объектов и тех же признаков, отображенных в информации.
В плане социальных мотивов рассматриваются:
- срочность - свойство данных соответствовать срокам, определяемым социальными мотивами;
- значимость - свойство данных сохранять ценность для потребителя с течением времени, т. е. не подвергаться моральному старению.
Защищенность данных. При рассмотрении защищенности можно выделить технические аспекты защиты данных от несанкционированного доступа (свойство недоступности) и социально-психологические аспекты классификации данных по степени их конфиденциальности и секретности (свойство конфиденциальности).
Дополнительно можно выделить и такие свойства информации, как:
- Общественная природа (источником информации является познавательная деятельность людей, общества).
- языковая природа (информация выражается с помощью языка, т. е. знаковой системы любой природы, служащей средством общения, мышления, выражения мысли. язык может быть естественным, используемым в повседневной жизни и служащим формой выражения мыслей и средством общения между людьми и искусственным, созданным людьми для определенных целей (например, язык математической символики, информационно-поисковый, алгоритмический и др.).
- Неотрывность от языка носителя.
- Дискретность (единицами информации как средствами выражения являются слова, предложения, отрывки текста, а в плане содержания - понятия, высказывания, описание фактов, гипотезы, теории, законы и др.).
- Независимость от создателей.
- Старение (основной причиной старения информации является не само время, а появление новой информации, с поступлением которой прежняя информация оказывается неверной, перестает адекватно отображать явления и закономерности материального мира, человеческого общения и мышления).
- Рассеяние (т. е. существование в многочисленных источниках).
Американские менеджеры утверждают: "Бизнес - на 90 % информация и лишь на 10 % - удача". Увы, сегодняшние российские бизнесмены зачастую придерживаются прямо противоположных взглядов. Дело в том, что информационные потребности российского рынка только формируются.
На сегодня рынок информации в России многообразен и динамичен. Активно используя самые совершенные технологии, он расширяется за счет формирования новых общественных потребностей и начинает доминировать в мировой экономике наряду с энергетическим рынком. Чтобы оценить масштабность рынка информации, достаточно посмотреть на его структуру. В число основных секторов этого рынка входят:
- традиционные СМИ (телевидение, радио, газеты);
- справочные издания (энциклопедии, учебники, словари, каталоги и т. д.);
- справочно-информационные службы (телефонные службы, справочные бюро, доски объявлений и др.);
- консалтинговые службы (юридические, маркетинговые, налоговые и др.);
- компьютерные информационные системы;
- отраслевые базы данных;
- Интернет.
Возможно, этот перечень неполон, однако основные направления он отражает.
Компьютерный сектор рынка имеет ряд особенностей, выделяющих его изо всех остальных.
Во-первых, он дает новое качество информационных услуг - быстрый поиск в больших массивах информации. В Интернете существуют различные поисковые системы информации (Aport, Rambler, яndex и т. д.).
Во-вторых, позволяет реализовать полный цикл технологии ввода, хранения, обновления и доставки информации потребителям с наиболее эффективными алгоритмическими решениями на отдельных этапах.
В-третьих, компьютерный сектор очень быстро развивается и начинает оказывать влияние на другие секторы информационного рынка. В первую очередь это относится к системам телетекста в сочетании с обычным телевидением, а также к системам мультимедиа, которые начинают конкурировать с полиграфическими изданиями справочной и учебной литературы.
В России компьютерный сектор информационного рынка переживает сложный этап становления. Если в 1988 г. этот рынок практически отсутствовал (не считая отдельных попыток продажи баз данных на дискетах и услуг бюджетных информационных институтов), то в 1995 г. - налицо реальное предложение целого спектра информационных товаров и услуг. Это уже рынок со своими лидерами, своей историей и множеством проблем.
9.3. Информационные услуги
Любая ИС призвана удовлетворить определенные информационные потребности ее пользователей, предоставляя им различные информационные услуги.
Действия, реализующие обеспечение доступа к информационным услугам, осуществляются соответствующей службой информационной системы. При этом под службой понимается совокупность действий и компонентов ИС, обеспечивающих соответствующие услуги.
Используются два способа классификации служб, отражающие различные аспекты предоставляемых услуг - по функциям и по режимам доступа к услугам.
В зависимости от режима доступа пользователя к службам они подразделяются на две категории - интерактивные службы и службы с разветвленным режимом работы. Интерактивные службы, в свою очередь, делятся на три класса - диалоговые, службы с накоплением, службы по запросу.
Диалоговая служба представляет собой совокупность средств для прямой передачи информации в реальном масштабе времени (без промежуточного накопления и хранения) между пользователями. К службам данного вида относится телефония, телетекс, телефакс, речевая конфе-ренц-связь, IP-телефония, Интернет-конференции.
Службы с накоплением предназначены для непрямой связи между пользователями с применением средств для промежуточного хранения сообщений. Примером службы данного типа является электронная почта для передачи данных, текстов, графических изображений.
Службы по запросу обеспечивают возможность пользователю извлекать необходимую информацию из банков данных. В общем случае предполагается всеобщее неограниченное использование информации
любым абонентом, имеющим право на доступ к службе. В частных случаях возможно разрешение доступа к той или иной информации только для определенных групп пользователей. Информация в этом случае предоставляется пользователю только по его требованию и в заданный им момент времени. Наиболее типичным примером такой службы является видеотекст.
Службы с разветвленным режимом работы обеспечивают распределение сообщений от одного центрального источника к неограниченному числу абонентов, имеющих право на ее прием. К службам данного типа относится, в частности, телетекс, а также службы передачи звукового и телевизионного вещания.
9.4. Источники конфиденциальной информации в информационных системах
Промышленный шпионаж был всегда, возможно с сотворения мира. Особенно активно он развивался в странах с рыночной экономикой. Объяснить этот факт просто: в условиях конкурентной борьбы знание сильных и слабых сторон продукции и производства обеспечивает победу на потребительском рынке.
В своих противоправных действиях, направленных на овладение чужими секретами, злоумышленники стремятся найти такие источники конфиденциальной информации, которые давали бы им наиболее достоверную информацию в максимальных объемах с минимальными затратами на ее получение. Прибегая к различным уловкам, используя множество способов и средств, подбираются пути и подходы к таким источникам. Очевидно, для этого необходимо четко определить, какой источник обладает интересующей их информацией, и подобрать соответствующие способы и средства ее добывания.
В различной зарубежной и отечественной литературе можно встретить разные толкования понятия ИСТОЧНИК. Например, каждому известно, что "книга - источник знаний" или "нефтяное месторождение -источник нефти" и др. Наиболее употребительно понятие "источник информации" в разведке. Например, "главным источником радиоразведки являются радиостанции и их радиопередачиФ или Укак стало известно из источников в Пентагоне..." и т. п. Очевидно, что в любой из этих формулировок имеется ввиду какой-то объект, обладающий определенной информацией, которую возможно получить (получать) одноразово или многократно интересующимся ею лицом. При этом источник может выступать как активной, так и пассивной стороной.
Источник информации - это материальный объект, обладающий определенными сведениями (информацией), представляющими конкретный интерес для злоумышленников или конкурентов.
В общем плане, без значительной детализации можно считать источниками конфиденциальной информации следующие категории.
- Людей (сотрудники, обслуживающий персонал, продавцы, клиенты и др.).
- Документы самого различного характера и назначения.
- Публикации: доклады, статьи, интервью, проспекты, книги и т. д.
- Технические носители информации и документов.
- Технические средства обработки информации: автоматизированные средства обработки информации и средства обеспечения производственной и трудовой деятельности, в том числе и средства связи.
- Выпускаемую продукцию.
- Производственные и промышленные отходы.
Люди в ряду источников конфиденциальной информации занимают особое место, как активные элементы, способные выступать не только обладателями конфиденциальной информации, но и субъектами злонамеренных действий. Люди являются и обладателями и распространителями информации в рамках своих функциональных обязанностей. Кроме того что люди обладают важной информацией, они еще способны ее анализировать, обобщать, делать соответствующие выводы, а также при определенных условиях скрывать, воровать, продавать и совершать иные криминальные действия, вплоть до вступления в преступные связи с злоумышленниками.
Необходимо особо отметить, что изо всей совокупности источников персонал, сотрудники, продавцы продукции, партнеры, поставщики, клиенты и т. д. - главные источники конфиденциальной информации. Поэтому необходимо тщательно изучать весь состав сотрудников, особо выделяя при этом основных, обладающих особо ценной коммерческой информацией. Следует обращать внимание как на вновь поступивших на работу, так и на тех, кто подлежит увольнению. Эти люди нередко находятся в ситуациях, благоприятных к злонамеренным действиям, особенно последние. Объект особой заботы - персонал, занимающийся сбытом продукции. Часто эти люди получают запросы от клиентов с просьбой сообщить какие-либо сведения о возможной продаже улучшенных или новых моделей, дополнительную информацию об изделии якобы для того, чтобы его лучшим образом применить.
Опытный промышленный шпион сам не стремится проникнуть на фирму, а подбирает из числа служащих подходящую "жертву". Кроме того, он знает, что самые лучшие источники не "жертвы", а болтуны. Вот почему профессионалов промышленного шпионажа привлекают различные съезды, конгрессы, конференции, симпозиумы, научные семинары и другие формы общественного обсуждения научных и практических проблем. В докладах и выступлениях участников зачастую сообщаются такие сведения, которые не найдешь ни в каких документах, в том числе и в публикуемых. Здесь опытный специалист собирает самую ценную информацию.
Формой информационного обмена выступают также различные интервью, выступления на радио и телевидении.
Документы. Документы - это самая распространенная форма обмена информацией, ее накопления и хранения. Под документом понимают материальный носитель информации (бумага, кино- и фотопленка, магнитная лента и т. п.) с зафиксированной на нем информацией, предназначенной для ее использования во времени и пространстве. Документ отличает то, что его функциональное назначение весьма разнообразно. Он может быть представлен не только различным содержанием, но и разными физическими формами - материальными носителями.
По направленности различают организационно-распорядительные, плановые, статистические, бухгалтерские и научно-технические документы, содержащие, по существу, всю массу сведений о составе, состоянии и деятельности любой организационной структуры от государственного до индивидуального уровня, о любом изделии, товаре, замысле, разработке.
Определенную опасность представляют судебные документы, связанные с разбором различных конфликтных ситуаций. Подчас в ходе судебного разбирательства раскрываются весьма тонкие нюансы деятельности фирмы, которые в других ситуациях просто не появились бы ни в документах, ни в действиях. Такое разнообразие форм и содержания документов по назначению, направленности, характеру движения и использованию является весьма заманчивым источником конфиденциальной информации для промышленных шпионов, что, естественно, привлекает их внимание реальными возможностями получения интересующих их сведений.
Публикации. Публикации - это информационные носители в виде самых разнообразных изданий, подразделяющихся на первичные и вторичные. К первичным относятся книги, статьи, периодические и продолжающиеся издания, сборники, научно-технические отчеты, диссертации, рекламные проспекты, доклады, препринты и др. Ко вторичным - информационные карты, реферативные журналы, экспресс-информация, обзоры, библиографические указатели, каталоги и др.
По заключению западных специалистов, более 60 % военной информации, являющейся весьма секретной, можно получить из так называемых открытых или легальных источников - прессы, передач радио и телевидения, книг, журналов и т. д. Поэтому современный разведчик, под какой бы "крышей" он ни работал (дипломат, торговый представитель, журналист), занимается в основном сбором и анализом сведений из официальных источников информации.
Что же касается научной, промышленной и экономической информации, то она не в меньшей мере доступна злоумышленникам. Порядка 90 % интересующей их информации можно получить из специализированных журналов, научных трудов, отчетов, внутренних изданий предприятии, брошюр и проспектов, раздаваемых на выставках и ярмарках. Цель шпиона - раздобыть остальные 10% необходимой ему информации, в которой и кроется фирменный секрет, "тайна мастерства".
Технические носители. Информация может быть фиксированной и нефиксированной. Фиксированная информация - это сведения, закрепленные на каком-либо физическом носителе, а нефиксированная - это знания, которыми владеют ученые, специалисты, работники (владельцы или источники), так или иначе участвующие в производстве и способные передавать эти знания другим. Фиксированная информация различается в зависимости от вида носителя, на котором она находится. К техническим носителям информации относятся бумажные носители, кино- и фотоматериалы (микро- и кинофильмы), магнитные носители (дискеты, жесткие диски, стримеры), видеозаписи, информация на экранах ПЭВМ, на табло коллективного пользования, на экранах промышленных телевизионных установок и других средствах.
Опасность технических носителей определяется высоким темпом роста парка технических средств, компьютерных сетей и ПЭВМ, находящихся в эксплуатации, их широким применением в самых различных сферах человеческой деятельности, высокой степенью концентрации информации на технических носителях и масштабностью участия людей в использовании этих носителей в практической деятельности. В качестве демонстрации высокой концентрации информации на гибком магнитном диске (дискете) ПЭВМ емкостью 1,44 Мбайт укажем, что на нем можно записать около 150 тыс. знаков или примерно 1000 страниц текста. Еще большей емкостью обладают жесткие диски, CD- и DVD-диски. Такой источник информации может один содержать практически всю информацию о фирме или предприятии.
Технические средства обработки информации. Технические средства как источники конфиденциальной информации являются достаточно широкой и емкой в информационном плане группой источников. По специфике назначения и исполнения их можно разделить на две большие группы:
- технические средства обеспечения производственной и трудовой деятельности;
- технические средства автоматизированной обработки информации.
В группу средств обеспечения производственной и трудовой деятельности входят самые различные технические средства, такие, например, как телефонные аппараты и телефонная связь; телеграфная, фототелеграфная и факсимильная связь; системы радиосвязи (автономные, территориальные, релейные, спутниковые и др.); телевизионные (в том числе и средства промышленного телевидения); радиоприемники и радиотрансляционные системы; системы громкоговорящей связи, усилительные системы различного назначения; средства магнитной и видеозаписи; средства неполиграфического размножения документов (пишущие машинки, ксерокопировальные аппараты, факсы) и другие средства и системы. Все эти средства могут являться источниками преобразования акустических сигналов, содержащих коммерческие секреты, в электрические и электромагнитные поля, способные образовать электромагнитные каналы утечки охраняемых сведений.
Особую группу технических средств составляют автоматизированные системы обработки информации. Привлекательность ПЭВМ и информационных систем как источников конфиденциальной информации обусловлена рядом объективных особенностей, к числу которых относятся:
- резкое расширение сферы применения информационной и вычислительной техники (ПЭВМ, локальные и распределенные информационные сети национального и международного масштаба);
- увеличение объемов обрабатываемой и хранимой информации в локальных и распределенных банках данных;
- увеличение числа пользователей ресурсами ПЭВМ и сетей: многопользовательский режим удаленного доступа к базам данных.
Привлекательность заключается еще и в том, что АСОИ содержит весьма значительный ассортимент информации. В ее базах данных есть все о конкретном предприятии от досье на сотрудников до конкретной продукции, ее характеристиках, стоимости и другие сведения.
Продукция. Производство материальных благ является естественной деятельностью человечества в целях улучшения своей жизни и обеспечения других видов деятельности. И вполне естественно, что продукты труда выступают источниками информации, за которой весьма активно охотятся конкуренты. Особое внимание обращают конкуренты на новую продукцию, находящуюся в стадии подготовки к производству. Производство любой продукции определяется этапами "жизненного цикла": идеей, макетом, опытным образецом, испытаниями, серийным производством, эксплуатацией, модернизацией и снятием с производства. Каждый из этих этапов сопровождается специфической информацией, проявляющейся разными физическими эффектами, которые в виде характеристик (демаскирующих признаков) могут раскрыть охраняемые сведения о производимом товаре.
Естественно, что злоумышленник стремится получить информацию о производимом товаре на более ранних стадиях его "жизненного цикла", что даст ему возможность своевременно принять необходимые меры для упреждения в выпуске своей продукции. При этом, очевидно, его продукция должна обладать привлекательными для потребителя параметрами: быть дешевле, надежнее, производительнее, оригинальнее, красивее и т. д. Ведь недаром же говорят об умении японцев подхватывать и запускать в массовое производство то, что изобретено в других странах.
Промышленные и производственные отходы. Отходы производства, что называется бросовый материал, могут многое рассказать об используемых материалах, их составе, особенностях производства, технологии. Тем более что они получаются почти безопасным путем на свалках, помойках, местах сбора металлолома, в ящиках отходов исследовательских лабораторий, в мусорных корзинах кабинетов. Как откровенничал один из опытных шпионов, "рекомендую обращать внимание на содержание мусорных корзин: стоит недорого, а среди смятых бумажек, испорченных документов и разных копирок, если искать, можно найти тысячедолларовый банкнот; я не раз их находил в виде черновиков, за которые мне платили тысячи". Не менее серьезными источниками конфиденциальной информации являются промышленные отходы: опилки, стружка, обрезки, испорченные заготовки, поломанные комплектующие и т. д. Анализ отходов поможет узнать об особенностях производства, технологии.
Каждый в отдельности, а в итоге в совокупности источники конфиденциальной информации содержат достаточно полные сведения о составе, состоянии и направлениях деятельности предприятия, что весьма интересует конкурентов. Ведь заманчиво знать, когда конкурент начнет разработку нового изделия, чем оно будет лучше старого, когда он выбросит новый товар на рынок, по какой цене и т. д. Зная это, можно успешно конкурировать с ним, приняв своевременные меры.
Источниками конфиденциальной информации в информационных системах являются люди, документы, публикации, технические носители, технические средства обработки информации, продукция, промышленные и производственные отходы.
10. Угрозы информации
Угроза информации - возможность возникновения на каком-либо этапе жизнедеятельности системы такого явления или события, следствием которого могут быть нежелательные воздействия на информацию.
1. Виды угроз. Основные нарушения
1.1. Физической целостности (уничтожение, разрушение элементов)
1.2. Логической целостности (разрушение логических связей)
1.3. Содержания (изменение блоков информации, внешнее навязывание ложной информации)
1.4. Конфиденциальности (разрушение защиты, уменьшение степени защищенности информации)
1.5. Прав собственности на информацию (несанкционированное копирование, использование)
2. Характер происхождения угроз
2.1. Умышленные факторы
2.1.1. Хищение носителей информации
2.1.2. Подключение к каналам связи
2.1.3. Перехват электромагнитных излучений (ЭМИ)
2.1.4. Несанкционированный доступ
2.1.5. Разглашение информации
2.1.6. Копирование данных
2.2. Естественные факторы
2.2.1. Несчастные случаи (пожары, аварии, взрывы)
2.2.2. Стихийные бедствия (ураганы, наводнения, землетрясения)
2.2.3. Ошибки в процессе обработки информации (ошибки пользователя, оператора, сбои аппаратуры)
Три наиболее выраженные угрозы:
- подверженность физическому искажению или уничтожению;
- возможность несанкционированной (случайной или злоумышленной) модификации;
- опасность несанкционированного (случайного и преднамеренного) получения информации лицами, для которых она не предназначена.
Источники угроз (понимается непосредственный исполнитель угрозы в плане ее негативного воздействия на информацию):
- люди;
- технические устройства;
- модели, алгоритмы, программы;
- технологические схемы обработки;
- внешняя среда. Предпосылки появления угроз:
- объективные (количественная или качественная недостаточность элементов системы) - причины, не связанные непосредственно с деятельностью людей и вызывающие случайные по характеру происхождения угрозы;
- субъективные - причины, непосредственно связанные с деятельностью человека и вызывающие как преднамеренные (деятельность разведок иностранных государств, промышленный шпионаж, деятельность уголовных элементов и недобросовестных сотрудников), так и непреднамеренные (плохое психофизиологическое состояние, недостаточная подготовка, низкий уровень знаний) угрозы информации.
Несанкционированный доступ - получение лицами в обход системы защиты с помощью программных, технических и других средств, а также в силу случайных обстоятельств доступа к обрабатываемой и хранимой на объекте информации.
Разглашение информации ее обладателем есть умышленное или неосторожное действие должностных лиц и граждан, которым соответствующие сведения в установленном порядке были доверены по работе, приведшие к не вызванному служебной необходимостью оглашению охраняемых сведений, в также передача таких сведений по открытым техническим каналам или обработка на некатегорированных ЭВМ.
Утечку информации в общем плане можно рассматривать как бесконтрольный и неправомерный выход конфиденциальной информации за пределы организации или круга лиц, которым эта информация была доверена.
Система защиты информации - совокупность взаимосвязанных средств, методов и мероприятий, направленных на предотвращение уничтожения, искажения, несанкционированного получения конфиденциальных сведений, отображенных полями, электромагнитными, световыми и звуковыми волнами или вещественно-материальными носителями в виде сигналов, образов, символов, технических решений и процессов.
Система защиты информации является составной частью комплексной системы безопасности.
10.1. Классы каналов несанкционированного получения информации
Рассмотрим относительно полное множество каналов несанкционированного получения информации, сформированного на основе такого показателя, как степень взаимодействия злоумышленника с элементами объекта обработки информации и самой информацией.
К первому классу относятся каналы от источника информации при НСД к нему.
- Хищение носителей информации.
- Копирование информации с носителей (материально-вещественных, магнитных и т. д.).
- Подслушивание разговоров (в том числе аудиозапись).
- Установка закладных устройств в помещение и съем информации с их помощью.
- Выведывание информации обслуживающего персонала на объекте.
- Фотографирование или видеосъемка носителей информации внутри помещения.
Ко второму классу относятся каналы со средств обработки информации при НСД к ним.
- Снятие информации с устройств электронной памяти.
- Установка закладных устройств в СОИ.
- Ввод программных продуктов, позволяющих злоумышленнику получать информацию.
- Копирование информации с технических устройств отображения (фотографирование с мониторов и др.).
К третьему классу относятся каналы от источника информации без
- Получение информации по акустическим каналам (в системах вентиляции, теплоснабжения, а также с помощью направленных микрофонов).
- Получение информации по виброакустическим каналам (с использованием акустических датчиков, лазерных устройств).
- Использование технических средств оптической разведки (биноклей, подзорных труб и т. д.).
- Использование технических средств оптико-электронной разведки (внешних телекамер, приборов ночного видения и т. д.).
- Осмотр отходов и мусора.
- Выведывание информации у обслуживающего персонала за пределами объекта.
- Изучение выходящей за пределы объекта открытой информации (публикаций, рекламных проспектов и т. д.).
К четвертому классу относятся каналы со средств обработки информации без НСД к ним.
- Электромагнитные излучения СОИ (паразитные электромагнитные излучения (ПЭМИ), паразитная генерация усилительных каскадов, паразитная модуляция высокочастотных генераторов низкочастотным сигналом, содержащим конфиденциальную информацию).
- Электромагнитные излучения линий связи.
- Подключения к линиям связи.
- Снятие наводок электрических сигналов с линий связи.
- Снятие наводок с системы питания.
- Снятие наводок с системы заземления.
- Снятие наводок с системы теплоснабжения.
- Использование высокочастотного навязывания.
- Снятие с линий, выходящих за пределы объекта, сигналов, образованных на технических средствах за счет акустоэлектрических преобразований.
- Снятие излучений оптоволоконных линий связи.
- Подключение к базам данных и ПЭВМ по компьютерным сетям.
10.2. Причины нарушения целостности информации
1. Субъективные
1.1. Преднамеренные
1.1.1. Диверсия (организация пожаров, взрывов, повреждений электропитания и др.)
1.1.2. Непосредственные действия над носителем (хищение, подмена носителей, уничтожение информации)
1.1.3. Информационное воздействие (электромагнитное облучение, ввод в компьютерные системы разрушающих программных средств, воздействие на психику личности психотропным оружием)
1.2. Непреднамеренные
1.2.1. Отказы обслуживающего персонала (гибель, длительный выход из строя)
1.2.2. Сбои людей (временный выход из строя)
1.2.3. Ошибки людей
2. Объективные, непреднамеренные
2.1. Отказы (полный выход из строя) аппаратуры, программ, систем питания и жизнеобеспечения
2.2. Сбои (кратковременный выход из строя) аппаратуры, программ, систем питания и жизнеобеспечения
2.3. Стихийные бедствия (наводнения, землетрясения, ураганы)
2.4. Несчастные случаи (пожары, взрывы, аварии)
2.5. Электромагнитная несовместимость
10.3. Виды угроз информационным системам
Угрозы информационной системе можно рассматривать с позиций их воздействия на ее характеристики, такие, в частности, как готовность системы, ее надежность и конфиденциальность.
Готовность - способность ИС обеспечить законным пользователям условия доступа к ресурсам в соответствии с принятым режимом работы.
Надежность - способность системы обеспечивать информационные потребности только законным пользователям в рамках их интересов.
Конфиденциальность - способность системы обеспечивать целостность и сохранность информации ее законных пользователей.
Угрозы могут также классифицироваться и по природе возникновения - стихийные бедствия, несчастные случаи (чрезвычайные происшествия), различного рода ошибки или злоупотребления, сбои и отказы оборудования и др.
Кроме того, угрозы могут быть классифицированы по ориентации на угрозы персоналу, материальным и финансовым ресурсам и информации, как составным элементам информационной системы.
Неоднократно предпринимались попытки описать различные виды угроз и воздействий на информационные системы, дать характеристику степени опасности каждой из них. Однако большинство таких попыток сводилось к описанию угроз на достаточно высоком уровне абстракции, так как описать угрозы на конкретном, деятельном уровне просто не представляется возможным.
На стадии концептуальной проработки вопросов безопасности информационной системы представляется возможным рассмотрение общего состава потенциальных угроз. Конкретные перечни, связанные со спецификой и информационной системы, и условий требуют определенной детализации и характерны для этапа разработки конкретного проекта системы безопасности ИС.
В общем плане к угрозам безопасности относятся:
- похищения и угрозы похищения сотрудников, персонала, членов их семей и близких родственников;
- убийства, сопровождаемые насилием, издевательствами и пытками;
- психологический террор, угрозы, запугивание, шантаж, вымогательство;
- грабежи с целью завладения денежными средствами, ценностями и документами.
Преступные посягательства в отношении помещений (в том числе и жилых), зданий и персонала проявляются в виде:
- взрывов;
- обстрелов из огнестрельного оружия, сигнальных ракетниц, ручных гранатометов;
- минирования, в том числе с применением дистанционного управления;
- поджогов, бросков канистр и иных емкостей с легковоспламеняющейся жидкостью;
- нападения, вторжения, захваты, пикетирования, блокирования;
- актов вандализма, повреждения входных дверей, решеток, ограждений, витрин, мебели, а также транспортных средств, личных и служебных.
Цель подобных акций:
- откровенный террор в отношении коммерческого предприятия;
- нанесение серьезного морального и материального ущерба;
- срыв на длительное время нормального функционирования предприятия;
- вымогательство значительных сумм денег или каких-либо льгот (кредиты, отсрочка платежей и т. п.) перед лицом террористической угрозы.
Угрозы информационным ресурсам проявляются в овладении конфиденциальной информацией, ее модификации в интересах злоумышленника или ее разрушении с целью нанесения материального ущерба.
Осуществление угроз информационным ресурсам может быть произведено:
- через имеющиеся агентурные источники в органах государственного управления, коммерческих структур, имеющих возможность получения конфиденциальной информации;
- путем подкупа лиц, непосредственно работающих на предприятии или в структурах, непосредственно связанных с его деятельностью;
- путем перехвата информации, циркулирующей в средствах и системах связи и вычислительной техники, с помощью технических средств разведки и съема информации, несанкционированного доступа к информации и преднамеренных программно-математических воздействий на нее в процессе обработки и хранения;
- путем подслушивания конфиденциальных переговоров, ведущихся в служебных помещениях, служебном и личном автотранспорте, на квартирах и дачах;
- через переговорные процессы с иностранными или отечественными фирмами, используя неосторожное обращение с информацией;
- через "инициативников" из числа сотрудников, которые хотят заработать деньги и улучшить свое благосостояние или проявляют инициативу по другим моральным или материальным причинам.
К факторам, приводящим к информационным потерям и, как следствие, к различным видам убытков или ущерба, можно отнести следующие причины и действия.
1. Материальный ущерб, связанный с несчастными случаями, вызывает частичный или полный вывод из строя оборудования или информационного ресурса. Причинами этого могут быть:
- пожары, взрывы, аварии;
- удары, столкновения, падения;
- воздействия твердых, газообразных, жидких или смешанных химических или физических сред;
- поломка элементов машин различного характера: механического, электрического, электронного и электромагнитного;
- последствия природных явлений (наводнения, бури, молнии, град, оползни, землетрясения и т. д.).
2. Кражу и преднамеренную порчу материальных средств. Воруют главным образом небольшие по габаритам аппаратные средства (мониторы, клавиатуру, принтеры, модемы, кабели и оргтехнику), информационные носители (диски, дискеты, ленты, магнитные карты и др.) и различное другое имущество и ЗИП (документация, комплектующие и др.).
Посягательства и вредительские действия проявляются в самых различных формах: явные (например, оставленная отвертка внутри печатающего устройства, в корпусе вентилятора процессора) или скрытые (например, вредные химические вещества в помещениях и аппаратуре).
3. Аварии и выход из строя аппаратуры, программ и баз данных. Остановка или нарушение деятельности информационных центров не такие уж редкие события, а продолжительность этих состояний в основном небольшая. Но иногда между тем прямые и косвенные последствия этих действий могут быть весьма значительными. Последствия этих действий к тому же не могут быть заранее предусмотрены и оценены.
4. Убытки, связанные с ошибками накопления, хранения, передачи и использования информации. Эти ошибки связаны с человеческим фактором, будь-то при использовании традиционных носителей информации (дискеты, ленты) или при диалоговом обмене в режиме удаленного доступа.
При традиционных носителях цена обычной ошибки, даже после уточнения, может достигнуть 0,5 %. Формальный и информационный контроль позволяют уменьшить величину ущерба, но тем не менее число таких ошибок не уменьшается. Их последствия редко бывают весьма значительными, однако представляют собой достаточно постоянный поток и приносят постоянные потери, обусловленные поиском, устранением и последующим повторением действий, а это невосполнимые потери времени и денег.
При диалоговом режиме дополнительно прибавляются ошибки восприятия, чтения, интерпретации содержания и соблюдения правил.
Ошибки передачи зависят от используемой техники. Они могут быть простыми при использовании средств почтовой связи и чисто техническими (телепередача). В обоих случаях могут быть потери, ошибки неумения, оплошности, наличие помех, сбои и искажения отдельных букв или сообщений. Ошибки подобного рода оцениваются как потери предприятия. И хотя их трудно определить и оценить, но учитывать необходимо. Не следует недооценивать эту категорию угроз, хотя к ним довольно быстро привыкают.
5. Ошибки эксплуатации. Эти ошибки могут приобретать различные формы: нарушение защиты, переполнение файлов, ошибки языка управления данными, ошибки при подготовке и вводе информации, ошибки операционной системы, ошибки программы, аппаратные ошибки, ошибочное толкование инструкций, пропуск операций и т. д.
Диапазон ошибок людей значителен. Иногда трудно установить различие между ошибкой, небрежностью, утомлением, непрофессионализмом и злоупотреблением.
6. Концептуальные ошибки и ошибки внедрения. Концептуальные ошибки могут иметь драматические последствия в процессе эксплуатации информационной системы.
Ошибки реализации бывают в основном менее опасными и достаточно легко устранимыми.
7. Убытки от злонамеренных действий в нематериальной сфере. Мошенничество и хищение информационных ресурсов - это одна из форм преступности, которая в настоящее время является довольно безопасной и может принести больший доход, чем прямое ограбление банка. Между тем, учитывая сложность информационных систем и их слабые стороны, этот вид действий считается достаточно легко реализуемым.
Нередко все начинается случайно, часто с небольшого правонарушения: обмана, воровства, только для того чтобы установить, что это не слишком трудное дело и в больших масштабах. Единственным препятствием остается только совесть. Мошенничество часто имеет внутренние побудительные мотивы или совершается в корыстных целях, по договоренности с третьими лицами (сотрудничество).
8. Болтливость и разглашение. Эти действия, последствия которых не поддаются учету, относятся к числу трудноконтролируемых и могут находиться в рамках от простого, наивного хвастовства до промышленного шпионажа в коммерческой деятельности - таков их диапазон.
9. Убытки социального характера. Речь идет об уходе или увольнении сотрудников, забастовках и других действиях персонала, приводящих к производственным потерям и неукомплектованности рабочих мест. Опасность этих действий существует почти всегда.
Особо опасный вид угроз представляет промышленный шпионаж как форма недобросовестной конкуренции.
Промышленный шпионаж - это наносящие владельцу коммерческой тайны ущерб незаконный сбор, присвоение и передача сведений, составляющих коммерческую тайну, а также ее носителей лицом, не уполномоченным на это ее владельцем.
10.4. Виды потерь
Информационный ущерб может рассматриваться и с точки зрения потерь, приводящих к какой-либо убыточности, в частности в тех случаях, когда они могут быть оценены.
1. Потери, связанные с материальным ущербом. Речь идет о компенсации или размещении утраченных или похищенных материальных средств. К этой сумме может добавиться целый ряд других, может быть даже более значительных:
- стоимость компенсации, возмещение другого косвенно утраченного имущества;
- стоимость ремонтно-восстановительных работ;
- расходы на анализ и исследование причин и величины ущерба;
- другие различные расходы.
2. Дополнительные расходы, связанные с персоналом, обслуживанием сети и расходы на восстановление информации, связанные с возобновлением работы сети по сбору, хранению, обработке и контролю данных.
К дополнительным расходам относятся также:
- поддержка информационных ресурсов и средств удаленного доступа;
- обслуживающий персонал, не связанный с информацией;
- специальные премии, расходы на перевозку и др.;
- другие виды расходов.
3. Эксплуатационные потери, связанные с ущемлением банковских интересов, или с финансовыми издержками, или с потерей клиентов.
Расходы на эксплуатацию соответствуют снижению общего потенциала предприятия, вызываемого следующими причинами:
- снижением банковского доверия;
- уменьшением размеров прибыли;
- потерей клиентуры;
- снижением доходов предприятия;
- другими причинами.
Естественно, что информационные потери увеличивают дополнительные расходы на их восстановление, что требует определенного времени. Временные задержки вызывают соответствующие претензии пользователей, потери интересов, а иногда и финансовые санкции.
4. Утрата фондов или невосстанавливаемого имущества. Утрата фондов соответствует в общем случае уменьшению финансовых возможностей (деньги, чеки, облигации, вексели, денежные переводы, боны, акции и т. д.).
Преступные действия могут быть предприняты и в отношении счетов третьей стороны (клиенты, поставщики, государство, лица наемного труда), а иногда даже и против капиталов. Потери собственности соответствуют утрате материальных ценностей как складированных, так и закупленных, а также недвижимости.
5. Прочие расходы и потери, в частности, связаны с моральной ответственностью.
Эта категория потерь по своему содержанию довольно разнообразна: травмы, телесные повреждения, моральный ущерб, судебные издержки, штрафы, расходы на обучение и различные эксперименты, другие виды гражданской ответственности. Сюда же можно отнести качественные потери и другие издержки.
Ущерб может быть прямой (расходы, связанные с восстановлением системы) и косвенный (потери информации, клиентуры).
10.5. Информационные инфекции
В течение последнего времени множатся примеры систем, подвергнувшихся информационным инфекциям. Все говорят о том, что в будущем логические бомбы, вирусы, черви и другие инфекции явятся главной причиной компьютерных преступлений. Совсем недавно речь шла в основном о случаях с малыми системами. Между тем отмечаются случаи прямых атак и на большие системы со стороны сети или перехода вирусов от микроЭВМ к центральным ("переходящий" вирус, поддерживаемый совместимостью операционных систем и унификацией наборов данных).
В настоящее время инфекции в информационных системах становятся обычными и имеют неодинаковые последствия в каждом конкретном случае. В основном это потери рабочего времени.
Число атак больших систем (по сети и реже через магнитные носители) растет. Речь идет, в частности, о логических бомбах, разрушающих набор данных (в том числе и тех, которые считаются защищенными, поскольку инфекция сохраняется долгое время) или парализующих систему.
Участились случаи, когда предприятие полностью лишается одного или нескольких наборов данных, а иногда даже программ, что может в самом худшем случае привести к катастрофическим потерям.
Угроза таких атак может быть реальной или выражаться в виде шантажа или вымогательства фондов. Мотивы при этом могут быть самые различные: от личных интересов до преступной конкуренции (случаи уже ординарные).
Угрозы информационных инфекций опасны не только персональным ЭВМ. Они не менее опасны большим системам и информационным сетям самого различного уровня.
Различные виды злонамеренных действий в нематериальной сфере (разрушение или изменение данных или программ) могут быть подразделены на два крупных класса:
- физический саботаж (фальсификация данных, изменение логики обработки или защиты);
- информационные инфекции (троянский конь, логическая бомба, черви и вирусы), являющиеся программами, далекими от того, чтобы принести полезные результаты пользователю; они предназначены для того, чтобы расстроить, изменить или разрушить полностью или частично элементы, обеспечивающие нормальное функционирование системы.
Информационные инфекции специфически ориентированы и обладают определенными чертами: противоправны (незаконны), способны самовостанавливаться и размножаться; а также имеют определенный инкубационный период - замедленное время начала действия.
Информационные инфекции имеют злонамеренный характер: их действия могут иметь разрушительный результат (например, уничтожение набора данных), реже физическое уничтожение (например, резкое включение и выключение дисковода), сдерживающее действие (переполнение канала ввода-вывода, памяти) или просто видоизменяющее влияние на работу программ.
Самовосстановление и размножение приводит к заражению других программ и распространению по линиям связи. Это влияние трудно ограничить, так как недостаточно выявить только один экземпляр вируса: зараженными могут быть не только копии, но и любые другие программы, вступившие в связь с ней.
Замедленное действие проявляется в том, что работа программы начинается при определенных условиях: дата, час, продолжительность, наступление события и т. д. Такое действие называют логической бомбой.
Логические бомбы могут быть "запрятаны" служащим, например программистом; обычно бомба представляет собой часть программы, которая запускается всякий раз, когда вводится определенная информация. Такая ловушка может сработать не сразу. Например, она может сработать от ввода данных, вызывающих отработку секции программы, которая портит или уничтожает информацию.
Логические бомбы, как вытекает из их названия, используются для искажения или уничтожения информации, реже с их помощью совершается кража или мошенничество. Манипуляциями с логическими бомбами обычно занимаются чем-то недовольные служащие, собирающиеся покинуть данную организацию, но это могут быть и консультанты, служащие с определенными политическими убеждениями, инженеры, которые при повторных обращениях могут попытаться вывести систему из строя.
Реальный пример логической бомбы: программист, предвидя свое увольнение, вносит в программу заработной платы определенные изменения, работа которых начнется, если его фамилия исчезнет из набора данных о персонале фирмы.
Троянский конь - это часть программы, которая при обращении способна, например, вмешаться в инструкцию передачи денежных средств или в движение акций, а затем уничтожить все улики. Ее можно применить также в случае, когда один пользователь работает с программой, которая предоставляет ресурсы другому пользователю. Известен случай, когда преступная группа смогла договориться с программистом торговой фирмы, работающим над банковским программным обеспечением, о том, чтобы он ввел подпрограмму, которая предоставит этим преступникам доступ в систему после ее установки с целью переместить денежные вклады.
Известен также случай, когда фирма, разрабатывающая программное обеспечение для банковских систем, стала объектов домогательств другой фирмы, которая хотела выкупить программы и имела тесную связь с преступным миром. Преступная группа, если она удачно определит место для внедрения троянского коня (например, включит его в систему очистки с автоматизированным контролем, выдающую денежные средства), может безмерно обогатиться.
Червь представляет собой паразитный процесс, который потребляет (истощает) ресурсы системы. Программа обладает свойством перевоплощаться и воспроизводиться в диспетчерах терминалов. Она может также приводить к разрушению программ.
Вирус представляет собой программу, которая обладает способностью размножаться и самовосстанавливаться. Некоторые вирусы помечают программы, которые они заразили, с помощью пометы с тем, чтобы не заражать несколько раз одну и ту же программу. Эта помета используется некоторыми антивирусными средствами. Другие средства используют последовательность характерных для вирусов кодов.
Большинство известных вирусов обладают замедленным действием. Они различаются между собой способами заражать программы и своей эффективностью. Существует три основные категории вирусов:
- Системные вирусы, объектом заражения которых являются исключительно загрузочные секторы (BOOT).
- Почтовые вирусы, объектом заражения которых являются электронные сообщения.
- Программные вирусы, заражающие различные программы функционального назначения. Программные вирусы можно подразделить на две категории в соответствии с воздействием, которое они оказывают на информационные программы. Эта классификация позволяет разработать процедуры обеспечения безопасности применительно к каждому виду вирусов.
Восстанавливающийся вирус внедряется внутрь программы, которую он частично разрушает. Объем инфицированной программы при этом не изменяется. Это не позволяет использовать этот параметр для обнаружения заражения программы. Однако инфицированная программа не может больше нормально работать. Это довольно быстро обнаруживает пользователь.
Вирус, внедряемый путем вставки, изменяет программу не разрушая ее. Всякий раз, когда задействуется программа, вирус проявляет себя позже, после окончания работы программы. Программа кажется нормально работающей, что может затруднить своевременное обнаружение вируса.
10.6. Модель нарушителя информационных систем
Попытка получить несанкционированный доступ к информационной системе или вычислительной сети с целью ознакомиться с ними, оставить записку, выполнить, уничтожить, изменить или похитит программу или иную информацию квалифицируется как компьютерное пиратство. Как явление подобные действия прослеживаются в последние 15 лет, но при этом наблюдается тенденция к их стремительному росту по мере увеличения числа бытовых ПК.
Рост компьютерных нарушений ожидается в тех странах, где они широко рекламируются с помощью фильмов и книг, а дети в процессе игр рано начинают знакомиться с компьютерами. Вместе с тем растет число и более серьезных нарушений, связанных с умышленными действиями. Так, например, известны случаи внедрения в военные системы НАТО, США, нарушения телевизионной спутниковой связи, вывода из строя электронных узлов регистрации на бензоколонках, использующих высокочастотные усилители; известны попытки перевода в Швейцарию евробонов на сумму 8,5 млн. долл. и разрушения европейской коммуникационной сети связи. Из этого следует, что не только компьютеры, но и другие электронные системы являются объектами злоумышленных действий.
Авторам хотелось бы разделить два определения: хакер (hacker) и кракер (cracker). Основное отличие состоит в постановке целей взлома компьютерных систем: первые ставят исследовательские задачи по оценке и нахождению уязвимостей с целью последующего повышения надежности компьютерной системы. Кракеры же вторгаются в систему с целью разрушения, кражи, порчи, модификации информации и совершают правонарушения с корыстными намерениями быстрого обогащения. Далее по тексту в некоторых случаях будем объединять их понятием "взломщик". Очевидно, что при несанкционированном доступе к информации наиболее губительным будет появление кракера. Иногда в литературе можно встретить термин крекер.
Однако компьютерные пираты (кракеры) не интересуются, насколько хорошо осуществляется в целом контроль в той или иной системе; они ищут единственную лазейку, которая приведет их к желанной цели. Для получения информации они проявляют незаурядную изобретательность, используя психологические факторы, детальное планирование и активные действия. Кракеры совершают компьютерные преступления, считая, что это более легкий путь добывания денег, чем ограбление банков. При этом они пользуются такими приемами, как взяточничество и вымогательство, о которых заурядный владелец ЭВМ, возможно, читал, но никогда не предполагал, что сам станет объектом таких действий. Однако изобилие примеров говорит о том, что это не так. Объектами кракерских атак становятся как фирмы и банки, так и частные лица. Вот всего лишь несколько примеров.
"Забавы хакеров". "Недавно компьютерная сеть г. Северска (Томская область) подверглась массированной атаке доморощенных хакеров. В результате межрайонному отделу налоговой полиции был перекрыт доступ в Интернет. Это вторжение в городскую компьютерную сеть было не только зафиксировано налоговыми полисменами, но и задокументировано на магнитных носителях для дальнейшего использования в качестве доказательства в случае возбуждения уголовного дела".
"Суд над томскими хакерами". 16.02.2002 г. "Двух жителей Томска, рассылавших через Интернет компьютерные вирусы, судят в районном суде города. Их уголовное дело состоит из семи томов. С помощью популярной программы ICQ злоумышленники распространяли по сети файлы, зараженные вирусной программой типа "троянский конь". В активированном виде вирус позволял хакерам получить доступ к ресурсам зараженного компьютера, завладеть чужими паролями и контролировать ввод данных с клавиатуры. Как сообщили в областном УФСБ, все началось в апреле 2000 г. с жалобы жителя Томска в ОАО "Томсктелеком" на многократное увеличение месячной платы за пользование сетью Интернет. С 200 руб. сумма таинственным образом возросла в 5 раз, превысив сначала одну, а потом 2 тыс. руб. в месяц. Пострадавший рассказал, что недавно он получил по почте ICQ странное электронное письмо. Обследование компьютера потерпевшего выявило наличие вируса в системе. Вскоре был установлен номер телефона, с которого незаконно подключались к Интернету. От действий подсудимых компьютерных воров пострадало в городе еще более десяти человек. В Томской области это первое доведенное до суда уголовное дело такого рода" [39 www.dni.ru/news/society/2002/2/16/6047.html].
"Криминал" О. Никитский. Гор. Омск. Два года назад в Омске при помощи поддельной карты были ограблены банкоматы Омскпромст-ройбанка системы "Золотая корона". Однако разработчики платежной системы смогли тогда убедить общественность, что речь идет о случайном доступе, не связанном со взломом системы защиты. Сегодня же, два года спустя, в Омске состоялся новый судебный процесс - над молодым человеком, который сумел подделать микропроцессорную карту ОАО "Омская электросвязь" и тем самым окончательно развенчал миф о неуязвимости смарт-технологий.
Согласно решению суда, эмуляторы (поддельные образцы) пластиковых карт, с помощью которых была ограблена УЗолотая коронаФ, изготовил 23-летний Е. Монастырев, ведущий специалист отдела вычислительной техники Томского АКБ "Нефтеэнергобанк". По мнению следователей, при помощи служебного оборудования он изготовил поддельные карты, с помощью которых в омских банкоматах неизвестные сообщники сняли 25 тыс. долл. Программист получил 2 года. Экспертизу материалов дела проводило ФАПСИ.
В суде города рассматривается дело о подделки телефонных карт, которые работают по тому же принципу, что и банковские, хотя немного проще устроены: в зависимости от продолжительности разговора процессор телефона-автомата изменяет количество тарифных единиц, записанных в микропроцессоре карты. "При использовании телефонной карты находящаяся на ней информация об отсутствии тарифных единиц не поступала в телефонный аппарат, что позволяло пользоваться услугами связи без оплаты" - такое заключение вынесло следствие. После нейтрализации самоучки доход от продажи карт вырос на 500 тыс. руб. Ущерб от деятельности афериста составил 3 млн. руб.".
Удивительно мало фирм и людей верит в то, что они могут пострадать от кракеров, и еще меньше таких, кто анализировал возможные угрозы и обеспечил защиту. Большинство менеджеров под действием средств массовой информации считают компьютерными нарушителями только школьников и применяют против них такое средство защиты, как пароли. При этом они не осознают более серьезной опасности, которая исходит от профессиональных или обиженных программистов, поскольку не понимают мотивов, которыми руководствуются эти люди при совершении компьютерных пиратств.
Для предотвращения возможных угроз фирмы должны не только обеспечить защиту операционных систем, программного обеспечения и контроля доступа, но и попытаться выявить категории нарушителей и те методы, которые они используют. В зависимости от мотивов, целей и методов действия всех взломщиков можно разбить на несколько групп начиная с дилетантов и кончая профессионалами. Их можно представить четырьмя группами:
- начинающим взломщиком;
- освоившим основы работы на ПЭВМ и в составе сети;
- классным специалистом;
- специалистом высшего класса.
11. Методы и модели оценки уязвимости информации
Уязвимость информации есть событие, возникающее как результат такого стечения обстоятельств, когда в силу каких-то причин используемые в автоматизированных системах обработки данных средства защиты не в состоянии оказать достаточного противодействия проявлению дестабилизирующих факторам и нежелательного их воздействия на защищаемую информацию.
Данная модель детализируется при изучении конкретных видов уязвимости информации: нарушения физической или логической целостности, несанкционированной модификации, несанкционированного получения, несанкционированного размножения.
При детализации общей модели основное внимание акцентируется на том, что подавляющее большинство нарушений физической целостности информации имеет место в процессе ее обработки на различных участках технологических маршрутов. При этом целостность информации зависит не только от процессов, происходящих на объекте, но и от целостности информации, поступающей на его вход. Основную опасность представляют случайные дестабилизирующие факторы (отказы, сбои и ошибки компонентов автоматизированных систем обработки данных), которые потенциально могут проявиться в любое время, и в этом отношении можно говорить о регулярном потоке этих факторов. Из стихийных бедствий наибольшую опасность представляют пожары, опасность которых в большей или меньшей степени также является постоянной. Опасность побочных явлений практически может быть сведена к нулю путем надлежащего выбора места для помещений автоматизированной системы обработки данных и их оборудования. Что касается злоумышленных действий, то они связаны главным образом с несанкционированным доступом к ресурсам автоматизированной системы обработки данных. При этом наибольшую опасность представляет занесение вирусов.
С точки зрения несанкционированного получения информации принципиально важным является то обстоятельство, что в современных автоматизированных системах обработки данных оно возможно не только путем непосредственного доступа к базам данных, но и многими путями, не требующими такого доступа. При этом основную опасность представляют злоумышленные действия людей. Воздействие случайных факторов непосредственно не ведет к несанкционированному получению информации, оно лишь способствует появлению каналов несанкционированного получения информации, которыми может воспользоваться злоумышленник.
Рассмотрим далее трансформацию общей модели уязвимости с точки зрения несанкционированного размножения информации. Принципиальными особенностями этого процесса являются:
- любое несанкционированное размножение есть злоумышленное действие;
- несанкционированное размножение может осуществляться в организациях-разработчиках компонентов автоматизированной системы обработки данных, непосредственно в автоматизированной системе обработки данных и сторонних организациях, причем последние могут получать носитель, с которого делается попытка снять копию как законным, так и незаконным путем.
Попытки несанкционированного размножения информации у разработчика и в автоматизированной системе обработки данных есть один из видов злоумышленных действий с целью несанкционированного ее получения и поэтому имитируются приведенной моделью. Если же носитель с защищаемой информацией каким-либо путем (законным или незаконным) попал в стороннюю организацию, то для его несанкционированного копирования могут использоваться любые средства и методы, включая и такие, которые носят характер научных исследований и опытно-конструкторских разработок.
В процессе развития теории и практики защиты информации сформировалось три методологических подхода к оценке уязвимости информации: эмпирический, теоретический и теоретико-эмпирический.
12. Рекомендации по использованию моделей оценки уязвимости информации
Как правило, модели позволяют определять текущие и прогнозировать будущие значения всех показателей уязвимости информации для любых компонентов автоматизированной системы обработки данных, любой их комбинации и для любых условий жизнедеятельности автоматизированной системы обработки данных. Некоторые замечания по использованию.
- Практически все модели строятся в предположении независимости тех случайных событий, совокупности которых образуют сложные процессы защиты информации в современных автоматизированных системах обработки данных.
- Для обеспечения работы моделей необходимы большие объемы таких исходных данных, подавляющее большинство которых в настоящее время отсутствует, а формирование сопряжено с большими трудностями.
Определим замечание первое - допущение независимости случайных событий, происходящих в системах защиты информации. Основными событиями, имитируемыми в моделях определения показателей уязвимости, являются: проявление дестабилизирующих факторов, воздействие проявившихся дестабилизирующих факторов на защищаемую информацию и воздействие используемых средств защиты на дестабилизирующие факторы. При этом обычно делаются следующие допущения.
- Потенциальные возможности проявления каждого дестабилизирующего фактора не зависят от проявления других.
- Каждый из злоумышленников действует независимо от других, т. е. не учитываются возможности формирования коалиции злоумышленников.
- Негативное воздействие на информацию каждого из проявившихся дестабилизирующих факторов не зависит от такого же воздействия других проявившихся факторов.
- Негативное воздействие дестабилизирующих факторов на информацию в одном каком-либо компоненте автоматизированной системы обработки данных может привести лишь к поступлению на входы связанных с ним компонентов информации с нарушенной защищенностью и не оказывает влияния на такое же воздействие на информацию в самих этих компонентах.
- Каждое из используемых средств защиты оказывает нейтрализующее воздействие на дестабилизирующие факторы и восстанавливающее воздействие на информацию независимо от такого же воздействия других.
- Благоприятное воздействие средств защиты в одном компоненте автоматизированной системы обработки данных лишь снижает вероятность поступления на входы связанных с ним компонентов информации с нарушенной защищенностью и не влияет на уровень защищенности информации в самих этих компонентах.
В действительности же события, перечисленные выше являются зависимыми, хотя степень зависимости различна: от незначительной, которой вполне можно пренебречь, до существенной, которую следует учитывать. Однако для решения данной задачи в настоящее время нет необходимых предпосылок, поэтому остаются лишь методы экспертных оценок.
Второе замечание касается обеспечения моделей необходимыми исходными данными. Ранее уже неоднократно отмечалось, что для практического использования моделей определения показателей уязвимости необходимы большие объемы разнообразных данных, причем подавляющее большинство из них в настоящее время отсутствует.
Сформулируем теперь рекомендации по использованию моделей, разработанных в рамках рассмотренных ранее допущений, имея в виду, что это использование, обеспечивая решение задач анализа, синтеза и управления в системах защиты информации, не должно приводить к существенным погрешностям.
Первая и основная рекомендация сводится к тому, что моделями должны пользоваться квалифицированные специалисты-профессионалы в области защиты информации, которые могли бы в каждой конкретной ситуации выбрать наиболее эффективную модель и критически оценить степень адекватности получаемых решении.
Вторая рекомендация заключается в том, что модели надо использовать не просто для получения конкретных значений показателей уязвимости, а для оценки поведения этих значений при варьировании существенно значимыми исходными данными в возможных диапазонах их изменений. В этом плане модели определения значений показателей уязвимости могут служить весьма ценным инструментом при проведении деловых игр по защите информации.
13. Функции и задачи защиты информации
13.1. Общие положения
Одно из фундаментальных положений системно-концептуального подхода к защите информации состоит в том, что предполагается разработка такой концепции, в рамках которой имелись бы (по крайней мере потенциально) возможности гарантированной защиты информации для самого общего случая архитектурного построения АСОИ, технологии и условий их функционирования. Для того чтобы множество функций соответствовало своему назначению, оно должно удовлетворять требованию полноты, причем под полнотой множества функции понимается свойство, состоящее в том, что при надлежащем обеспечении соответствующего уровня (соответствующей степени) осуществления каждой из функций множества гарантированно может быть достигнут требуемый уровень защищенности информации.
Защита информации в современных АСОИ может быть эффективной лишь в том случае, если она будет осуществляться как непрерывный и управляемый процесс. Для этого должны быть предусмотрены, с одной стороны, механизмы непосредственной защиты информации, а с другой - механизмы управления механизмами непосредственной защиты. Соответственно этому и множество функций защиты должно состоять из двух подмножеств: первого, содержащего функции непосредственно защиты, и второго, содержащего функции управления механизмами защиты.
Обеспечение регулярного осуществления функций защиты достигается тем, что в АСОИ регулярно решаются специальные задачи защиты. При этом задачей защиты информации называются организованные возможности средств, методов и мероприятий, реализуемых в АСОИ с целью осуществления функций защиты. Основное концептуальное требование к задачам защиты состоит в надежном обеспечении заданного уровня осуществления каждой из полного множества функций защиты. Сущность этого требования заключается в следующем.
Множество функций защиты должно быть полным в том смысле, что регулярное их осуществление обеспечивает условия для надежной защиты информации в системном плане. При этом варьируя усилиями и ресурсами, вкладываемыми в осуществление различных функций, можно стремиться к такому положению, когда требуемый уровень защиты информации будет достигаться при минимальных затратах, или к положению, когда при заданных затратах будет достигаться максимальный уровень защиты. Иными словами, полнота множества функций защиты и взаимозависимости различных функций создают предпосылки для оптимального построения системы защиты информации в АСОИ. Практическая реализация этой возможности может быть обеспечена лишь в том случае, если множество задач защиты будет репрезентативным в том смысле, что будет позволять обеспечивать любой заданный уровень осуществления каждой функции защиты, и притом с минимизацией расходов на осуществление как каждой функции отдельно, так и их совокупности. Таким образом, задачи защиты информации являются инструментом практической реализации функций защиты в соответствии с объективными потребностями защиты.
13.2. Методы формирования функций защиты
Требование полноты множества функций защиты применительно к двум отмеченным видам интерпретируются следующим образом.
- Множество функций обеспечения защиты должно быть таким, чтобы осуществлением их в различных комбинациях и с различными усилиями в любой ситуации при функционировании АСОИ могли быть созданы все условия, необходимые для надежной защиты информации.
- Множество функций управления должно создавать все предпосылки для оптимальной реализации функций обеспечения в любых условиях.
Вместе с тем принципиально важно подчеркнуть, что регулярных (а тем более формальных) методов решения проблемы не существует (по крайней мере в настоящее время). Вынужденно приходится использовать методы неформальные. Таким образом, формирование функций защиты приходится осуществлять в ситуации, когда требования к формированию являются абсолютными, а методы, которые могут быть при этом использованы, весьма относительны структурно логический анализ экспертные оценки и просто здравый смысл компетентных специалистов
Совершенно очевидно, что множество функций защиты информации должно быть таким, чтобы надлежащим их осуществлением можно было оказывать желаемое воздействие на любую ситуацию, которая потенциально возможна в процессе организации и обеспечения защиты информации.
Последовательность и содержание структурно-логического анализа ситуаций, потенциально возможных в процессе защиты информации, можно представить в следующем виде.
Для того чтобы защищенность информации могла быть нарушена, должны существовать (иметь место) такие условия, при которых могут проявиться дестабилизирующие факторы. Если таких условий не будет, то не будет необходимости в специальной защите информации. Если же потенциальные возможности для проявления дестабилизирующих факторов будут иметь место, то надо оценивать реальную возможность их проявления, обнаруживать факты их проявления, принимать меры к предотвращению воздействия их на информацию, обнаружению, локализации и ликвидации последствий этих воздействий.
Событие 1 - защита информации обеспечена, поскольку даже при условии проявления дестабилизирующих факторов предотвращено их воздействие на защищаемую информацию или ликвидированы последствия такого воздействия.
Событие 2 - защита информации нарушена, поскольку не удалось предотвратить воздействие дестабилизирующих факторов на информацию, однако это воздействие локализовано.
Событие 3 - защита информации разрушена, поскольку воздействие дестабилизирующих факторов на информацию не только не предотвращено, но даже не локализовано.
Формирование множества задач осуществляется на основе анализа объективных возможностей реализации поставленных целей защиты. Такое множество задач может состоять из ряда классов задач, включающих содержащие однородные в функциональном отношении задачи.
Класс задач - это однородное в функциональном отношении множество задач, обеспечивающих полную или частичную реализацию одной или нескольких целей.
13.3. Классы задач защиты информации
Учитывая, что основными целями обеспечения информационной безопасности являются обеспечение защиты системы от обнаружения и от информационного воздействия, а также содержания информации, выделяются задачи соответствующих видов.
Одной из первичных целей противника является обнаружение объекта, обрабатывающего конфиденциальную информацию, и выявление сведений о его предназначении. Поэтому к первому виду задач можно отнести задачи уменьшения степени распознавания объектов. К этому виду относятся следующие классы задач.
Класс 1.1. Сокрытие информации о средствах, комплексах, объектах и системах обработки информации.
Эти задачи могут подразделяться на технические и организационные.
Организационные задачи по сокрытию информации об объектах направлены на недопущение разглашения этих сведений сотрудниками и утечки их по агентурным каналам.
Технические задачи направлены на устранение или ослабление технических демаскирующих признаков объектов защиты и технических каналов утечки сведений о них. При этом сокрытие осуществляется уменьшением электромагнитной, временной, структурной и признаковой доступности, а также ослаблением адекватности между структурой, топологией и характером функционирования средств, комплексов, объектов, систем обработки информации и управления.
Решение этой задачи представляет реализацию комплекса организационно-технических мероприятий и мер, обеспечивающих выполнение основного требования к средствам, комплексам и системам обработки информации - разведзащищенности и направлено на достижение одной из главных целей - исключение или существенное затруднение технической разведке поиска, определения местоположения, радионаблюдения источников радиоизлучения, классификации и идентификации объектов технической разведкой по выявленным демаскирующим признакам.
Решение задачи по снижению электромагнитной доступности затрудняет как энергетическое обнаружение, так и определение координат района расположения источников радиоизлучения, а также увеличивает время выявления демаскирующих признаков, уменьшает точность измерения параметров и сигналов средств радиоизлучения.
Снижение временной доступности радиоизлучающих средств предполагает сокращение времени их работы на излучение при передаче информации и увеличение длительности паузы между сеансами обработки информации. Для уменьшения структурной и признаковой доступности информации реализуются организационно-технические мероприятия, ослабляющие демаскирующие признаки и создающие так называемый "серый фон".
Технические задачи сокрытия должны решаться, например, для подвижных объектов (автомобилей), оборудованных радиосвязью.
Класс 1.2. Дезинформация противника.
К этому классу относятся задачи, заключающиеся в распространении заведомо ложных сведений относительно истинного назначения каких-то объектов и изделий, действительного состояния какой-то области государственной деятельности, положении дел на предприятии и т. д.
Дезинформация обычно проводится путем распространения ложной информации по различным каналам, имитацией или искажением признаков и свойств отдельных элементов объектов защиты, создания ложных объектов, по внешнему виду или проявлениям похожих на интересующих соперника объекты, и др.
Роль дезинформации подчеркивал А. Ф. Вивиани, специалист в области контршпионажа: "На нас обрушивается, валится, извергается огромное количество информации. Она бывает фальшивой, но выглядит правдоподобно; бывает правдивой, а на самом деле хитроумно перекроена, дабы производить впечатление фальшивой; бывает отчасти фальшивой и отчасти правдивой. Все зависит от выбранного способа так называемой дезинформации, цель которой - заставить вас верить, желать, думать, принимать решения в направлении, выгодном для тех, кому зачем-то нужно на нас воздействовать".
Техническая дезинформация на объекте защиты представляет комплекс организационных мероприятий и технических мер, направленных на введение в заблуждение технической разведки относительно истинных целей систем обработки информации, намерений органов управления.
Частными задачами технической дезинформации являются:
- искажение демаскирующих признаков реальных объектов и систем, соответствующих признакам ложных объектов;
- создание (имитация) ложной обстановки, объектов, систем, комплексов путем воспроизведения демаскирующих признаков реальных объектов, структур систем, ситуаций, действий, функций и т. д.
- передача, обработка, хранение в системах обработки ложной информации.
В общем виде эти задачи могут быть сгруппированы в частные задачи радиоимитации, радиодезинформации, демонстративных действий.
Класс 1.3. Легендирование.
Объединяет задачи по обеспечению получения злоумышленником искаженного представления о характере и предназначении объекта, когда наличие объекта и направленность работ на нем полностью не скрываются, а маскируются действительное предназначение и характер мероприятий.
На практике, учитывая очень высокую степень развития современных средств ведения разведки, является чрезвычайно сложным полное сокрытие информации об объектах. Так, современные средства фоторазведки позволяют делать из космоса снимки объектов с разрешающей способностью в несколько десятков сантиметров.
Поэтому наряду с рассмотренным видом задач не менее важными, а по содержанию более объемными являются задачи защиты содержа-ния обрабатываемой, хранимой и передаваемой информации. К этому виду относятся следующие классы задач.
Класс 2.1. Введение избыточности элементов системы.
Под избыточностью понимается включение в состав элементов системы обработки информации дополнительных компонентов, обеспечивающих реализацию заданного множества целей защиты с учетом воздействий внешних и внутренних дестабилизирующих факторов.
Решение этой задачи включает реализацию комплекса организационных мероприятий, технических, программных и других мер, обеспечивающих организационную, аппаратную, программно-аппаратную, временную избыточность.
Организационная избыточность осуществляется за счет введения дополнительной численности обслуживающего персонала, его обучения, организации и обеспечения режима сохранения государственной тайны и другой конфиденциальной информации, определения порядка передачи информации различной степени важности, выбора мест размещения средств и комплексов обработки и т. п.
Аппаратурная избыточность осуществляется за счет введения дополнительных технических устройств, обеспечивающих защиту информации.
Программно-аппаратная избыточность предполагает использование дополнительных программных, аппаратных и комбинированных средств защиты в системе обработки информации.
Информационная избыточность осуществляется за счет создания дополнительных информационных массивов, банков данных.
Временная избыточность предполагает выделение дополнительного времени для проведения обработки информации и др.
Класс 2.2. Резервирование элементов системы.
Резервирование в отличие от задачи введения избыточности предполагает не введение дополнительных элементов, обеспечивающих защиту информации, а их исключение и перевод в резерв на случай возникновения необходимости обработки дополнительного массива информации, повышения статуса защищенности информации, возникновения непредвиденных ситуаций. Такое резервирование может быть горячим и холодным.
При горячем резервировании элементы находятся в рабочем состоянии после дополнительных операций включения и подготовки к работе, а при холодном элементы переводятся в рабочее состояние после дополнительных операций.
Класс 2.3. Регулирование доступа к элементам системы и защищаемой информации.
Регулирование доступа к средствам, комплексам и системам обработки информации (на территорию, в помещение, к техническим средствам, к программам, к базам данных и т. п.) предполагает реализацию идентификации, проверки подлинности и контроля доступа, регистрацию субъекта, учет носителей информации в системе ее обработки.
Кроме того, к данному классу относятся задачи по установлению и регулированию контролируемых зон вокруг технических средств обработки информации, за пределами которых становятся невозможными выделение и регистрация с помощью технических средств разведки сигналов, содержащих конфиденциальную информацию. Такие сигналы могут возникать, например, за счет появления вокруг функционирующих средств обработки информации побочных электромагнитных излучений или наводок в проводах, выходящих за пределы контролируемой зоны.
Класс 2.4. Регулирование использования элементов системы и защищаемой информации.
Регулирование использования заключается в осуществлении запрашиваемых процедур (операций) при условии предъявления некоторых заранее обусловленных полномочий.
Для решения данного класса задач относительно конфиденциальной информации могут осуществляться такие операции, как ее дробление и ранжирование.
Дробление (расчленение) информации на части с таким условием, что знание какой-то одной части информации (например, знание одной операции технологии производства какого-то продукта) не позволяет восстановить всю картину, всю технологию в целом.
Ранжирование включает, во-первых, деление засекречиваемой информации по степени секретности и, во-вторых, регламентацию допуска и разграничение доступа к защищаемой информации: предоставление индивидуальных прав отдельным пользователям на доступ к необходимой им конкретной информации и на выполнение отдельных операций. Разграничение доступа к информации может осуществляться по тематическому признаку или по признаку секретности информации и определяется матрицей доступа.
Примером данного класса задач является доступ сотрудников к обслуживанию специальной техники только при наличии соответствующего разрешения.
Класс 2.5. Маскировка информации.
Маскировка информации заключается в преобразовании данных, исключающем доступ посторонних лиц к содержанию информации и обеспечивающем доступ разрешенным пользователям при предъявлении ими специального ключа преобразования. Решение этой задачи осуществляется на основе криптографических, некриптографических и смежных с ними (кодовое зашумление, ортогональные преобразования) преобразований.
Класс 2.6. Регистрация сведений.
Регистрация предполагает фиксацию всех сведений о фактах, событиях, возникающих в процессе функционирования средств и систем обработки информации, относящихся к защите информации, на основании которых осуществляется решение задач оценки состояния безопасности информации с целью повышения эффективности и управления механизмами защиты.
Класс 2.7. Уничтожение информации.
Решение задачи уничтожения информации представляется как процедура своевременного полного или частичного вывода из системы обработки элементов информации, компонентов системы, не представляющих практической, исторической, научной ценности, а также если их дальнейшее нахождение в системе обработки снижает безопасность информации.
Необходимо отметить, что для различных классов информационно-телекоммуникационных систем уничтожение информации будет иметь определенную специфику. Так, для систем автоматизированной обработки информации типичной процедурой является уничтожение остаточной информации в элементах ОЗУ, отдельных магнитных носителях, программных модулях, контрольных распечатках, выданных документах после решения соответствующей задачи обработки информации.
Для криптографических систем такой задачей может быть своевременное уничтожение носителей ключевой информации для шифрования данных в целях повышения криптостойкости (способности аппаратуры шифрования противостоять вскрытию секрета шифра).
Одной из разновидностей уничтожения информации является так называемое аварийное уничтожение, осуществляемое при явной угрозе злоумышленного доступа к информации повышенной важности.
Класс 2.8. Обеспечение сигнализации.
Решение задачи обеспечения сигнализации состоит в реализации процедуры сбора, генерирования, передачи, отображения и хранения сигналов о состоянии механизмов защиты с целью обеспечения регулярного управления ими, а также объектами и процессами обработки информации. Этот класс задач обеспечивает обратную связь в системе управления, чем достигается обеспечение активности системы защиты. В основном такие задачи решаются с помощью технических средств сигнализации.
Класс 2.9. Обеспечение реагирования.
Получив по каналам обратной связи информацию о состоянии системы защиты, в соответствии с законами управления орган управления должен при необходимости выработать управленческое решение, т. е. отреагировать на полученный сигнал. Реагирование на проявление дестабилизирующих факторов является признаком активности системы защиты информации, реализация которого направлена на предотвращение или снижение степени воздействия факторов на информацию.
Класс 2.10. Управление системой защиты информации.
Этот класс объединяет широкий круг задач, связанных с контролем правильности функционирования механизмов обработки и защиты информации, оценкой внутренних и внешних угроз, планированием защиты и т. д. При этом понятие "контроль" рассматривается в узком смысле и сводится к проверкам эффективности реализации технических и, в частности, аппаратных мер защиты: соответствия элементов системы заданному их составу, текущего состояния элементов системы, работоспособности элементов системы, правильности функционирования элементов системы, отсутствия несанкционированных устройств и систем съема информации.
Класс 2.11. Обеспечение требуемого уровня готовности обслуживающего персонала к решению задач информационной безопасности.
Приведенный ранее анализ угроз информации показал, что одной из наиболее значимых причин нарушения ее целостности является ошибки и сбои в работе персонала. В связи с этим к рассматриваемому классу относятся задачи достижения необходимого уровня теоретической подготовки и практических навыков в работе (подготовка персонала), а также задачи формирования высокой психофизиологической устойчивости к воздействию дестабилизирующих факторов и моральной устойчивости к разглашению конфиденциальных сведений (подбор, оценка персонала, стимулирование его деятельности и др.).
К третьему виду относятся задачи защиты информации от информационного воздействии. К ним можно отнести следующие классы задач.
Класс 3.1. Защита от информационного воздействия на технические средства обработки.
Информационное воздействие на технические средства обработки, хранения и передачи информации может быть направлено:
- на уничтожение информации (например, электронное подавление средств связи);
- искажение или модификацию информации и логических связей (внедрение компьютерных вирусов);
- внедрение ложной информации в систему.
Таким образом, данный класс включает задачи реализации технических средств и организационно-технических мероприятий по защите от рассмотренных направлений воздействия.
Класс 3.2. Защита от информационного воздействия на общество.
Задачи предполагают разработку и реализацию методов защиты от негативного воздействия через СМИ на общественное сознание людей. Целями такого воздействия могут быть, например, навязывание общественного мнения (пропаганда), решение экономических вопросов (реклама), разрушение национальных традиций и культуры (навязывание со стороны других государств чуждых культурных ценностей) и др.
Класс 3.3. Защита от информационного воздействия на психику человека.
Включает широкий круг задач, направленных как непосредственно на защиту от технических средств воздействия на психику (психотронного оружия), так и на определение и формирование у человека высокой стрессоустойчивости, высоких моральных качеств и т. д., позволяющих противостоять такому воздействия.
Рассмотрев содержание вышеперечисленных классов, можно сделать вывод, что под задачей защиты информации понимаются организованные возможности средств, методов и мероприятий, используемых на объекте обработки информации с целью осуществления функций защиты.
13.4. Функции защиты
Под функцией защиты понимается множество действий, реализаций, проведение функционально однородных мероприятий, осуществляемых на объектах обработки конфиденциальной информации различными средствами, способами и методами с целью обеспечения заданных уровней защищенности информации. Множество функций обеспечения защиты в различных их комбинациях должно создавать условия для обеспечения надежной защиты независимо от условий внешних воздействий, внутренних неопределенностей систем обработки и защиты информации.
13.5. Состояния и функции системы защиты информации
В зависимости от событий потенциальных воздействий угроз и мер, снижающих их влияние, система защиты переходит в определенные состояния, соответствующие событиям.
Состояние 1 - защита информации обеспечена, если при наличии условий, способствующих появлению угроз, их воздействие на защищаемую информацию предотвращено или, ликвидированы последствия такого воздействия.
Состояние 2 - защита информации нарушена, если невозможно предотвратить воздействие на нее угроз, однако оно обнаружено и локализовано.
Состояние 3 - защиты информации разрушена, если результаты воздействий на нее угроз не только не предотвращены, но и не локализованы.
Множество функций защиты информации определяется следующей последовательностью действий, обеспечивающей выполнение конечной цели - достижение требуемого уровня информационной безопасности. Прежде всего, необходимо попытаться предупредить возникновение условий, благоприятствующих появлению угроз информации. Выполнение этой функции в связи с большим количеством таких угроз и случайным характером их проявлений имеет вероятность, близкую к нулю. Поэтому следующим шагом должно быть своевременное обнаружение проявившихся угроз и предупреждение их воздействия на информацию. Если все-таки такое воздействие произошло, необходимо вовремя его обнаружить и локализовать с целью недопущения распространения этого воздействия на всю конфиденциальную информацию, обрабатываемую на объекте. И последней функцией защиты должна быть ликвидация последствий указанного воздействия для восстановления требуемого состояния безопасности информации. Рассмотрим эти функции несколько подробнее.
Функция 1 - предупреждение проявления угроз. Реализация этой функции носит упреждающую цель и должна способствовать такому архитектурно-функциональному построению современных систем обработки и защиты информации, которое обеспечивало бы минимальные возможности появления дестабилизирующих факторов в различных условиях функционирования систем. Например, для предупреждения возможности установки в помещении закладных устройств необходимо с помощью технических средств и организационных мероприятий обеспечить невозможность несанкционированного доступа в него.
Функция 2 - обнаружение проявившихся угроз и предупреждение их воздействия на информацию. Осуществляется комплекс мероприятий, в результате которых проявившиеся угрозы должны быть обнаружены до их воздействия на защищаемую информацию, а также обеспечено недопущение воздействий этих угроз на защищаемую информацию в условиях их проявления и обнаружения. Так, для нейтрализации закладных устройств необходимо регулярно проводить специальные проверки помещений, устанавливать системы их автоматического поиска, а для предупреждения их воздействия на конфиденциальную информацию использовать устройства защиты типа генераторов объемного зашумления, позволяющих создавать вокруг устройств обработки информации шумовое поле.
Функция 3 - обнаружение воздействия угроз на защищаемую информацию и локализация этого воздействия. Содержание функции направлено на непрерывный контроль средств, комплексов, систем обработки, защиты информации и различных компонентов защищаемой информации с целью своевременного обнаружения фактов воздействия на них угроз. Своевременное обнаружение предполагает обеспечение реальной возможности локализации воздействия на информацию, т. е. минимизацию возможного нарушения ее целостности и защищенности и недопущение распространения этого воздействия за пределы допустимых размеров. В компьютерных системах, например, эту функцию реализуют аппаратно-программные средства контроля и регистрации попыток несанкционированного доступа в систему или к информации (цифровая подпись).
Функция 4 - ликвидация последствий воздействия угроз. Функция предусматривает проведение мероприятий защиты в отношении обнаруженного и локализованного воздействия угроз на информацию, т. е. осуществляется восстановление системы обработки, защиты информации и состояния защищаемой информации применением соответствующего множества средств, способов и мероприятий защиты.
14. Стратегии защиты информации
Стратегия - это общая, рассчитанная на перспективу руководящая установка при организации и обеспечении соответствующего вида деятельности, направленная на то, чтобы наиболее важные цели этой деятельности достигались при наиболее рациональном расходовании имеющихся ресурсов.
Организация защиты информации в самом общем виде может быть определена как поиск оптимального компромисса между потребностями в защите и необходимыми для этих целей ресурсами.
Потребности в защите обусловливаются прежде всего важностью и объемами защищаемой информации, а также условиями ее хранения, обработки и использования. Эти условия определяются уровнем (качеством) структурно-организационного построения объекта обработки информации, уровнем организации технологических схем обработки, местом и условиями расположения объекта и его компонентов и другими параметрами.
Размер ресурсов на защиту информации может быть ограничен определенным пределом либо определяется условием обязательного достижения требуемого уровня защиты. В первом случае защита должна быть организована так, чтобы при выделенных ресурсах обеспечивался максимально возможный уровень защиты, а во втором - чтобы требуемый уровень защиты обеспечивался при минимальном расходовании ресурсов.
Сформулированные задачи есть не что иное, как прямая и обратная постановка оптимизационных задач. Существует две проблемы, затрудняющие формальное решение.
Первая - процессы защиты информации находятся в значительной зависимости от большого числа случайных и труднопредсказуемых факторов, таких, как поведение злоумышленника, воздействие природных явлений, сбои и ошибки в процессе функционирования элементов системы обработки информации и др.
Вторая - среди средств защиты весьма заметное место занимают организационные меры, связанные с действием человека.
Обоснование числа и содержания необходимых стратегий будем осуществлять по двум критериям: требуемому уровню защиты и степени свободы действий при организации защиты. Значения первого критерия лучше всего выразить множеством тех угроз, относительно которых должна быть обеспечена защита:
- от наиболее опасных из известных (ранее появившихся) угроз;
- ото всех известных угроз;
- ото всех потенциально возможных угроз.
Второй критерий выбора стратегий защиты сводится к тому, что организаторы и исполнители процессов защиты имеют относительно полную свободу распоряжения методами и средствами защиты и некоторую степень свободы вмешательства в архитектурное построение системы обработки информации, а также в организацию и обеспечение технологии ее функционирования. По этому аспекту удобно выделить три различные степени свободы.
- Никакое вмешательство в систему обработки информации не допускается. Такое требование может быть предъявлено к уже функционирующим системам обработки информации, и нарушение процесса их функционирования для установки механизмов защиты не разрешается.
- К архитектурному построению системы обработки информации и технологии ее функционирования допускается предъявлять требования неконцептуального характера. Другими словами, допускается приостановка процесса функционирования системы обработки информации для установки некоторых механизмов защиты.
- Требования любого уровня, обусловленные потребностями защиты информации, принимаются в качестве обязательных условий при построении системы обработки информации, организации и обеспечении их функционирования.
15. Способы и средства защиты информации
Множество и разнообразие возможных средств защиты информации определяется прежде всего возможными способами воздействия на дестабилизирующие факторы или порождающие их причины, причем воздействия в направлении, способствующем повышению значений показателей защищенности или (по крайней мере) сохранению прежних (ранее достигнутых) их значений.
Рассмотрим содержание представленных способов и средств обеспечения безопасности.
Препятствие заключается в создании на пути возникновения или распространения дестабилизирующего фактора некоторого барьера, не позволяющего соответствующему фактору принять опасные размеры. Типичными примерами препятствий являются блокировки, не позволяющие техническому устройству или программе выйти за опасные границы; создание физических препятствий на пути злоумышленников, экранирование помещений и технических средств и т. п.
Управление есть определение на каждом шаге функционирования систем обработки информации таких управляющих воздействий на элементы системы, следствием которых будет решение (или способствование решению) одной или нескольких задач защиты информации. Например, управление доступом на объект включает следующие функции защиты:
- идентификацию лиц, претендующих на доступ, персонала и ресурсов системы (присвоение каждому объекту персонального идентификатора);
- опознавание (установление подлинности) объекта или субъекта по предъявленному идентификатору;
- проверку полномочий (проверка соответствия дня недели, времени суток, запрашиваемых ресурсов и процедур установленному регламенту);
- регистрацию (протоколирование) обращений к защищаемым ресурсам;
- реагирование (сигнализация, отключение, задержка работ, отказ в процессе) при попытках несанкционированных действий.
Маскировка предполагает такие преобразования информации, вследствие которых она становится недоступной для злоумышленников или такой доступ существенно затрудняется, а также комплекс мероприятий по уменьшению степени распознавания самого объекта. К маскировке относятся криптографические методы преобразования информации, скрытие объекта, дезинформация и легендирование, а также меры по созданию шумовых полей, маскирующих информационные сигналы.
Регламентация как способ защиты информации заключается в разработке и реализации в процессе функционирования объекта комплекса мероприятий, создающих такие условия, при которых существенно затрудняются проявление и воздействие угроз. К регламентации относится разработка таких правил обращения с конфиденциальной информацией и средствами ее обработки, которые позволили бы максимально затруднить получение этой информации злоумышленником.
Принуждение - такой метод защиты, при котором пользователи и персонал системы вынуждены соблюдать правила обработки, передачи и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.
Побуждение есть способ защиты информации, при котором пользователи и персонал объекта внутренне (т. е. материальными, моральными, этическими, психологическими и другими мотивами) побуждаются к соблюдению всех правил обработки информации.
Как отдельный, применяемый при ведении активных действий противоборствующими сторонами можно выделить такой способ, как нападение. При этом подразумевается как применение информационного оружия при ведении информационной войны, так и непосредственное физическое уничтожение противника (при ведении боевых действий) или его средств разведки.
Рассмотренные способы обеспечения защиты информации реализуются с применением различных методов и средств. При этом различают формальные и неформальные средства. К формальным относятся такие средства, которые выполняют свои функции по защите информации формально, т. е. преимущественно без участия человека. К неформальным относятся средства, основу которых составляет целенаправленная деятельность людей. Формальные средства делятся на физические, аппаратные и программные.
Физические средства - механические, электрические, электромеханические и т. п. устройства и системы, которые функционируют автономно, создавая различного рода препятствия на пути дестабилизирующих факторов.
Аппаратные средства - различные электронные и электронно-механические и т. п. устройства, схемно встраиваемые в аппаратуру системы обработки данных или сопрягаемые с ней специально для решения задач защиты информации. Например, для защиты от утечки по техническим каналам используются генераторы шума.
Физические и аппаратные средства объединяются в класс технических средств защиты информации.
Программные средства - специальные пакеты программ или отдельные программы, включаемые в состав программного обеспечения автоматизированных систем с целью решении задач защиты информации. Это могут быть различные программы по криптографическому преобразованию данных, контролю доступа, защиты от вирусов и др.
Неформальные средства делятся на организационные, законодательные и морально-этические.
Организационные средства - специально предусматриваемые
в технологии функционирования объекта организационно-технические мероприятия для решения задач защиты информации, осуществляемые в виде целенаправленной деятельности людей.
Законодательные средства - существующие в стране или специально издаваемые нормативно-правовые акты, с помощью которых регламентируются права и обязанности, связанные с обеспечением защиты информации, всех лиц и подразделений, имеющих отношение к функционированию системы, а также устанавливается ответственность за нарушение правил обработки информации, следствием чего может быть нарушение защищенности информации.
Морально-этические нормы - сложившиеся в обществе или данном коллективе моральные нормы или этические правила, соблюдение которых способствует защите информации, а нарушение их приравнивается к несоблюдению правил поведения в обществе или коллективе. Именно человек, сотрудник предприятия или учреждения, допущенный к секретам и накапливающий в своей памяти колоссальные объемы информации, в том числе секретной, нередко становится источником утечки этой информации или по его вине соперник получает возможность несанкционированного доступа к носителям защищаемой информации.
Морально-нравственные методы защиты информации предполагают прежде всего воспитание сотрудника, допущенного к секретам, т. е. проведение специальной работы, направленной на формирование у него системы определенных качеств, взглядов и убеждений (патриотизма, понимания важности и полезности защиты информации и для него лично) и обучение сотрудника, осведомленного в сведениях, составляющих охраняемую тайну, правилам и методам защиты информации, привитие ему навыков работы с носителями секретной и конфиденциальной информации.
Интересный подход к формированию множества способов защиты предлагает член-корреспондент Академии криптографии С. П. Расторгуев. В основу названной им "абсолютной системы защиты", обладающей всеми возможными способами защиты, положены основные принципы защиты, реализуемые в живой природе. Развивая этот подход, можно выделить следующие основные способы защиты животного мира в сравнении с рассмотренными способами защиты информации.
- Пассивная защита. Перекрывает все возможные каналы воздействия угроз и предполагает "надевание брони" на себя и создание территориальных препятствий. Налицо полное соответствие такому способу защиты информации, как препятствие.
- Изменение местоположения. Желание спрятаться можно соотнести с таким способом, как сокрытие.
- Изменение собственной внешности, мимикрия - слияние с ландшафтом и т. п. Цель - представиться объектом неинтересным или незаметным для нападающей стороны. Аналогичную функцию защиты информации реализуют ее маскировкой.
- Нападение с целью уничтожения нападающего. Выше был рассмотрен соответствующий способ защиты информации.
- Воспитание навыков безопасности у потомства, доведение этих навыков до уровня инстинкта. Для систем защиты информации аналогичные навыки у обслуживающего персонала формируются принуждением и побуждением.
- Выработка определенных правил жизнедеятельности, способствующих выживанию и сохранению рода. К таким правилам, выработанным природой, можно отнести мирное существование особей одного вида, жизнь в стаях (стадах) и т. д. Другими словами, природа регламентирует необходимые для безопасности правила жизни.
Таким образом, анализ присущих животному миру защитных свойств, положенный в основу так называемой "абсолютной системы защиты", показывает, что все они соответствует рассмотренным способам защиты информации, что подтверждает полноту их формирования.
16. Криптографические методы защиты информации
Проблема защиты информации путем ее преобразования, исключающего ее прочтение посторонним лицом, волновала человеческий ум с давних времен. История криптографии - ровесница истории человеческого языка. Более того, первоначально письменность сама по себе была криптографической системой, так как в древних обществах ею владели только избранные. Священные книги Древнего Египта, Древней Индии тому примеры.
Разные люди понимают под шифрованием разные вещи. Дети играют в игрушечные шифры и секретные языки. Это, однако, не имеет ничего общего с настоящей криптографией. Настоящая криптография (strong cryptography) должна обеспечивать такой уровень секретности, чтобы можно было надежно защитить критическую информацию от расшифровки крупными организациями - такими, как мафия, транснациональные корпорации и крупные государства. Настоящая криптография в прошлом использовалась лишь в военных целях. Однако сейчас, со становлением информационного общества, она становится центральным инструментом для обеспечения конфиденциальности.
По мере образования информационного общества крупным государствам становятся доступны технологические средства тотального надзора за миллионами людей. Поэтому криптография становится одним из основных инструментов, обеспечивающих конфиденциальность, доверие, авторизацию, электронные платежи, корпоративную безопасность и бесчисленное множество других важных вещей.
Криптография не является более придумкой военных, с которой не стоит связываться. Настала пора снять с криптографии покровы таинственности и использовать все ее возможности на пользу современному обществу. Широкое распространение криптографии является одним из немногих способов защитить человека от ситуации, когда он вдруг обнаруживает, что живет в тоталитарном государстве, которое может контролировать каждый его шаг.
Бурное развитие криптографические системы получили в годы первой и второй мировых войн. Начиная с послевоенного времени и по нынешний день появление вычислительных средств ускорило разработку и совершенствование криптографических методов.
Почему проблема использования криптографических методов в ИС стала в настоящий момент особо актуальна?
С одной стороны, расширилось использование компьютерных сетей, в частности глобальной сети Интернет, по которым передаются большие объемы информации государственного, военного, коммерческого и частного характера, не допускающего возможность доступа к ней посторонних лиц.
С другой стороны, появление новых мощных компьютеров, технологий сетевых и нейронных вычислений сделало возможным дискредитацию криптографических систем, еще недавно считавшихся практически нераскрываемыми.
Проблемой защиты информации путем ее преобразования занимается криптология (kryptos - тайный, logos - наука). Криптология разделяется на два направления - криптографию и криптоанализ. Цели этих направлений прямо противоположны.
Криптография занимается поиском и исследованием математических методов преобразования информации.
Сфера интересов криптоанализа - исследование возможности расшифровывания информации без знания ключей.
Современная криптография включает в себя 4 крупных раздела.
- Симметричные криптосистемы.
- Криптосистемы с открытым ключом.
- Системы электронной подписи.
- Управление ключами.
Основные направления использования криптографических методов -передача конфиденциальной информации по каналам связи (например, электронная почта), установление подлинности передаваемых сообщений, хранение информации (документов, баз данных) на носителях в зашифрованном виде.
Терминология. Итак, криптография дает возможность преобразовать информацию таким образом, что ее прочтение (восстановление) возможно только при знании ключа.
В качестве информации, подлежащей шифрованию и дешифрованию, будут рассматриваться тексты, построенные на некотором алфавите. Под этими терминами понимается следующее.
Алфавит - конечное множество используемых для кодирования информации знаков.
Текст - упорядоченный набор из элементов алфавита.
В качестве примеров алфавитов, используемых в современных ИС, можно привести следующие:
- алфавит Z33 - 32 буквы русского алфавита и пробел;
- алфавит Z256 - символы, входящие в стандартные коды ASCII и КОИ-8;
- бинарный алфавит - Z2 = {0,1};
- восьмеричный алфавит или шестнадцатеричный алфавит.
Шифрование - преобразовательный процесс: исходный текст, который носит также название открытого текста, заменяется шифрованным текстом.
Дешифрование - обратный шифрованию процесс. На основе ключа шифрованный текст преобразуется в исходный.
Ключ - информация, необходимая для беспрепятственного шифрования и дешифрования текстов.
Криптографическая система представляет собой семейство Т [Т1, Т2, ..., Тк] преобразований открытого текста. Члены этого семейства индексируются, или обозначаются символом к; параметр к является ключом. Пространство ключей К - это набор возможных значений ключа. Обычно ключ представляет собой последовательный ряд букв алфавита.
Криптосистемы разделяются на симметричные и с открытым ключом.
В симметричных криптосистемах и для шифрования, и для дешифрования используется один и тот же ключ.
В системах с открытым ключом используются два ключа - открытый и закрытый, которые математически связаны друг с другом. Информация шифруется с помощью открытого ключа, который доступен всем желающим, а расшифровывается с помощью закрытого ключа, известного только получателю сообщения [29].
Термины распределение ключей и управление ключами относятся к процессам системы обработки информации, содержанием которых является составление и распределение ключей между пользователями.
Электронной (цифровой) подписью называется присоединяемое к тексту его криптографическое преобразование, которое позволяет при получении текста другим пользователем проверить авторство и подлинность сообщения.
Криптостойкостью называется характеристика шифра, определяющая его стойкость к дешифрованию без знания ключа (т. е. криптоанализу). Имеется несколько показателей криптостойкости, среди которых:
- количество всех возможных ключей;
- среднее время, необходимое для криптоанализа.
Преобразование Тk определяется соответствующим алгоритмом и значением параметра k. ЭФФЕКТИВНОСТЬ шифрования с целью защиты информации зависит от сохранения тайны ключа и криптостойкости шифра.
16.1. Требования к криптосистемам
Процесс криптографического закрытия данных может осуществляться как программно, так и аппаратно. Аппаратная реализация отличается существенно большей стоимостью, однако ей присущи и преимущества: высокая производительность, простота, защищенность и т. д. Программная реализация более практична, допускает известную гибкость в использовании.
Для современных криптографических систем защиты информации сформулированы следующие общепринятые требования:
- зашифрованное сообщение должно поддаваться чтению только при наличии ключа;
- число операций, необходимых для определения использованного ключа шифрования по фрагменту шифрованного сообщения и соответствующего ему открытого текста, должно быть не меньше общего числа возможных ключей;
- число операций, необходимых для расшифровывания информации путем перебора всевозможных ключей, должно иметь строгую нижнюю оценку и выходить за пределы возможностей современных компьютеров (с учетом возможности использования сетевых вычислений);
- знание алгоритма шифрования не должно влиять на надежность защиты;
- незначительное изменение ключа должно приводить к существенному изменению вида зашифрованного сообщения даже при использовании одного и того же ключа;
- структурные элементы алгоритма шифрования должны быть неизменными;
- дополнительные биты, вводимые в сообщение в процессе шифрования, должен быть полностью и надежно скрыты в шифрованном тексте;
- длина шифрованного текста должна быть равной длине исходного текста;
- не должно быть простых и легко устанавливаемых зависимостей между ключами, последовательно используемыми в процессе шифрования;
- любой ключ из множества возможных должен обеспечивать надежную защиту информации;
- алгоритм должен допускать как программную, так и аппаратную реализацию, при этом изменение длины ключа не должно вести к качественному ухудшению алгоритма шифрования.
16.2. Основные алгоритмы шифрования
Метод шифровки-дешифровки называют шифром (cipher). Некоторые алгоритмы шифрования основаны на том, что сам метод шифрования (алгоритм) является секретным. Ныне такие методы представляют лишь исторический интерес и не имеют практического значения. Все современные алгоритмы используют ключ для управления шифровкой и дешифровкой; сообщение может быть успешно дешифровано, только если известен ключ. Ключ, используемый для дешифровки, может не совпадать с ключом, используемым для шифрования, однако в большинстве алгоритмов ключи совпадают.
Алгоритмы с использованием ключа делятся на два класса: симметричные (или алгоритмы с секретным ключом) и асимметричные (или алгоритмы с открытым ключом). Разница в том, что симметричные алгоритмы используют один и тот же ключ для шифрования и для дешифрования (или же ключ для дешифровки просто вычисляется по ключу шифровки). В то время как асимметричные алгоритмы используют разные ключи и ключ для дешифровки не может быть вычислен по ключу шифровки.
Симметричные алгоритмы подразделяют на потоковые шифры и блочные шифры. Потоковые позволяют шифровать информацию поби-тово, в то время как блочные работают с некоторым набором битов данных (обычно размер блока составляет 64 бита) и шифруют этот набор как единое целое.
Асимметричные шифры (также именуемые алгоритмами с открытым ключом или - в более общем плане - криптографией с открытым ключом) допускают, чтобы открытый ключ был доступен всем (скажем, опубликован в газете). Это позволяет любому зашифровать сообщение. Однако расшифровать это сообщение сможет только нужный человек (тот, кто владеет ключом дешифровки). Ключ для шифрования называют открытым ключом, а ключ для дешифрования - закрытым ключом или секретным ключом.
Современные алгоритмы шифровки-дешифровки достаточно сложны и их невозможно проводить вручную. Настоящие криптографические алгоритмы разработаны для использования компьютерами или специальными аппаратными устройствами. В большинстве приложений криптография производится программным обеспечением и имеется множество доступных криптографических пакетов.
Вообще говоря, симметричные алгоритмы работают быстрее, чем асимметричные. На практике оба типа алгоритмов часто используются
вместе: алгоритм с открытым ключом используется для того, чтобы передать случайным образом сгенерированный секретный ключ, который затем используется для дешифровки сообщения.
Многие качественные криптографические алгоритмы доступны широко - в книжном магазине, библиотеке, патентном бюро или в Интернете. К широко известным симметричным алгоритмам относятся DES и IDEA, Наверное самым лучшим асимметричным алгоритмом является RSA. В России за стандарт шифрования принят ГОСТ 28147-89.
16.3. Цифровые подписи
Некоторые из асимметричных алгоритмов могут использоваться для генерирования цифровой подписи. Цифровой подписью называют блок данных, сгенерированный с использованием некоторого секретного ключа. При этом с помощью открытого ключа можно проверить, что данные были действительно сгенерированы с помощью этого секретного ключа. Алгоритм генерации цифровой подписи должен обеспечивать, невозможность без секретного ключа создать подпись, которая при проверке окажется правильной.
Цифровые подписи используются для того, чтобы подтвердить, что сообщение пришло действительно от данного отправителя (в предположении, что лишь отправитель обладает секретным ключом, соответствующим его открытому ключу). Также подписи используются для про-ставления штампа времени (timestamp) на документах: сторона, которой мы доверяем, подписывает документ со штампом времени с помощью своего секретного ключа и, таким образом, подтверждает, что документ уже существовал в момент, объявленный в штампе времени.
Цифровые подписи также можно использовать для удостоверения (сертификации - to certify) того, что документ принадлежит определенному лицу. Это делается так: открытый ключ и информация о том, кому он принадлежит, подписываются стороной, которой доверяем. При этом доверять подписывающей стороне мы можем на основании того, что ее ключ был подписан третьей стороной. Таким образом возникает иерархия доверия. Очевидно, что некоторый ключ должен быть корнем иерархии (т. е. ему мы доверяем не потому, что он кем-то подписан, а потому, что мы верим априори, что ему можно доверять). В централизованной инфраструктуре ключей имеется очень небольшое количество корневых ключей сети (например, облеченные полномочиями государственные агентства; их также называют сертификационными агентствами -certification authorities). В распределенной инфраструктуре нет необходимости иметь универсальные для всех корневые ключи, и каждая из сторон может доверять своему набору корневых ключей (скажем, своему собственному ключу и ключам, им подписанным). Эта концепция носит название сети доверия (web of trust) и реализована, например, в PGP.
Цифровая подпись документа обычно создается так: из документа генерируется так называемый дайджест (message digest) и к нему добавляется информация о том, кто подписывает документ, штамп времени и пр. Получившаяся строка далее зашифровывается секретным ключом подписывающего с использованием того или иного алгоритма. Получившийся зашифрованный набор битов и представляет собой подпись. К подписи обычно прикладывается открытый ключ подписывающего. Получатель сначала решает для себя, доверяет ли он тому, что открытый ключ принадлежит именно тому, кому должен принадлежать (с помощью сети доверия или априорного знания), и затем дешифрует подпись с помощью открытого ключа. Если подпись нормально дешифровалась и ее содержимое соответствует документу (дайджест и др.), то сообщение считается подтвержденным.
Свободно доступны несколько методов создания и проверки цифровых подписей. Наиболее известным является алгоритм RSA, ГОСТ 34.10-94.
16.4. Криптографические хеш-функции
Криптографические хеш-функции используются обычно для генерации дайджеста сообщения при создании цифровой подписи. Хеш-функции преобразовывают сообщение в имеющее фиксированный размер хеш-значение (hash value) таким образом, что все множество возможных сообщений распределяется равномерно по множеству хеш-значений. При этом криптографическая хеш-функция делает это так, что практически невозможно подогнать документ к заданному хеш-значению.
Криптографические хеш-функции обычно производят значения длиной в 128 и более бит. Это число значительно больше, чем количество сообщений, которые когда-либо будут существовать в мире.
Много хороших криптографических хеш-функций доступно бесплатно. Широко известные включают MD5 и SHA.
16.5. Криптографические генераторы случайных чисел
Криптографические генераторы случайных чисел производят случайные числа, которые используются в криптографических приложениях, например для генерации ключей. Обычные генераторы случайных чисел, имеющиеся во многих языках программирования и программных средах, не подходят для нужд криптографии (они создавались с целью получить статистически случайное распределение, криптоаналитики могут предсказать поведение таких случайных генераторов).
В идеале случайные числа должны основываться на настоящем физическом источнике случайной информации, которую невозможно предсказать. Примеры таких источников включают шумящие полупроводниковые приборы, младшие биты оцифрованного звука, интервалы между прерываниями устройств или нажатиями клавиш. Полученный от физического источника шум затем "дистиллируется" криптографической хеш-функцией так, чтобы каждый бит зависел от каждого бита. Достаточно часто для хранения случайной информации используется довольно большой пул (несколько тысяч бит) и каждый бит пула делается зависимым от каждого бита шумовой информации и каждого другого бита пула криптографически надежным (strong) способом.
Когда нет настоящего физического источника шума, приходится пользоваться псевдослучайными числами. Такая ситуация нежелательна, но часто возникает на компьютерах общего назначения. Всегда нужно получить некий шум окружения, скажем от величины задержек в устройствах, цифры статистики использования ресурсов, сетевой статистики, прерываний от клавиатуры или чего-то иного. Задачей является получить данные, непредсказуемые для внешнего наблюдателя. Для достижения этого случайный пул должен содержать как минимум 128 бит настоящей энтропии.
Криптографические генераторы псевдослучайных чисел обычно используют большой пул (seed-значение), содержащий случайную информацию. Биты генерируется путем выборки из пула с возможным прогоном через криптографическую хеш-функцию, чтобы спрятать содержимое пула от внешнего наблюдателя. Когда требуется новая порция битов, пул перемешивается путем шифровки со случайным ключом (его можно взять из неиспользованной пока части пула) так, чтобы каждый бит пула зависел от каждого другого бита. Новый шум окружения должен добавляться к пулу перед перемешиваниям, дабы сделать предсказание новых значений пула еще более сложным.
Несмотря на то что при аккуратном проектировании криптографически надежный генератор случайных чисел реализовать не так уж и трудно, этот вопрос часто упускают из виду. Таким образом, следует подчеркнуть важность криптографического генератора случайных чисел -если он сделан плохо, он может легко стать самым уязвимым элементом системы.
16.6. Обеспечиваемая шифром степень защиты
Хорошие криптографические системы создаются таким образом, чтобы сделать их вскрытие как можно более трудным делом. Можно построить системы, которые на практике невозможно вскрыть (хотя доказать сей факт обычно нельзя). При этом не требуется очень больших усилий для реализации. Единственное, что требуется, - это аккуратность и базовые знания. Нет прощения разработчику, если он оставил возможность для вскрытия системы. Все механизмы, которые могут использоваться для взлома системы, надо задокументировать и довести до сведения конечных пользователей.
Теоретически любой шифровальный алгоритм с использованием ключа может быть вскрыт методом перебора всех значений ключа. Если ключ подбирается методом грубой силы (brute force), требуемая мощность компьютера растет экспоненциально с увеличением длины ключа.
Ключ длиной 32 бита требует 232 (около 109) шагов. Такая задача под силу любому дилетанту и решается на домашнем компьютере. Системы с 40-битовым ключом (например, экспортный американский вариант алгоритма RC4) требуют 240 шагов - такие компьютерные мощности имеются в большинстве университетов и даже в небольших компаниях. Системы с 56-битовыми ключами (DES) требуют для вскрытия заметных усилий, однако могут быть легко вскрыты с помощью специальной аппаратуры. Стоимость такой аппаратуры значительна, но доступна для мафии, крупных компаний и правительств. Ключи длиной 64 бита в настоящий момент, возможно, могут быть вскрыты крупными государствами и уже в ближайшие несколько лет будут доступны для вскрытия преступными организациями, крупными компаниями и небольшими государствами. Ключи длиной 80 бит могут в будущем стать уязвимыми. Ключи длиной 128 бит, вероятно, останутся недоступными для вскрытия, методом грубой силы в обозримом будущем. Можно использовать и более длинные ключи. В пределе нетрудно добиться того, чтобы энергия, требуемая для вскрытия (считая, что на один шаг затрачивается минимальный квантовомеханический квант энергии), превзойдет массу Солнца или Вселенной.
Однако длина ключа это еще не все. Многие шифры можно вскрыть и не перебирая всех возможных комбинаций. Вообще говоря, очень трудно придумать шифр, который нельзя было бы вскрыть другим более эффективным способом. Разработка собственных шифров может стать приятным занятием, но для реальных приложений использовать самодельные шифры не рекомендуется, если вы не являетесь экспертом и не уверены на 100 % в том, что делаете.
Вообще говоря, следует держаться в стороне от неопубликованных или секретных алгоритмов. Часто разработчик такого алгоритма не уверен в его надежности или же надежность зависит от секретности самого алгоритма. Вообще говоря, ни один алгоритм, секретность которого зави-сит от секретности самого алгоритма, не является надежным. В частно-сти, имея шифрующую программу, можно нанять программиста, который дизассемблирует ее и восстановит алгоритм методом обратной инженерии. Опыт показывает, что большинство секретных алгоритмов, ставших впоследствии достоянием общественности, оказались до смешного ненадежными.
Длины ключей, используемых в криптографии с открытым ключом, обычно значительно больше, чем в симметричных алгоритма. Здесь проблема заключается не в подборе ключа, а в воссоздании секретного ключа по открытому. В случае RSA проблема эквивалентна разложению на множители большого целого числа, которое является произведением пары неизвестных простых чисел. В случае некоторых других криптосистем проблема эквивалентна вычислению дискретного логарифма по модулю большого целого числа (такая задача считается примерно аналогичной по трудности задаче разложения на множители). Имеются криптосистемы, которые используют другие проблемы.
Чтобы дать представление о степени сложности вскрытия RSA, скажем, что модули длиной 256 бит легко факторизуются обычными программистами. Ключи в 384 бита могут быть вскрыты исследовательской группой университета или компании; 512-битовые ключи находятся в пределах досягаемости крупных государств. Ключи длиной 768 бит, вероятно, не будут надежны продолжительное время. Ключи длиной 1024 бита могут считаться безопасными до тех пор, пока не будет существенного прогресса в алгоритме факторизации; ключи длиной 2048 бит большинство считает надежными на десятилетия. Более подробную информацию о длинах ключей RSA можно почерпнуть из статьи.
Важно подчеркнуть, что степень надежности криптографической системы определяется ее слабейшим звеном. Нельзя упускать из виду ни одного аспекта разработки системы - от выбора алгоритма до политики использования и распространения ключей.
16.7. Криптоанализ и атаки на криптосистемы
Криптоанализ - это наука о дешифровке закодированных сообщений не зная ключей. Имеется много криптоаналитических подходов. Некоторые из наиболее важных для разработчиков приведены ниже.
Атака со знанием лишь шифрованного текста (ciphertext-only attack). Это ситуация, когда атакующий не знает ничего о содержании сообщения и ему приходится работать лишь с самим шифрованным текстом. На практике часто можно сделать правдоподобные предположения о структуре текста, поскольку многие сообщения имеют стандартные заголовки. Даже обычные письма и документы начинаются с легко предсказуемой информации. Также часто можно предположить, что некоторый блок информации содержит заданное слово.
Атака со знанием содержимого шифровки (known-plaintext attack). Атакующий знает или может угадать содержимое всего или части зашифрованного текста. Задача заключается в расшифровке остального сообщения. Это можно сделать либо путем вычисления ключа шифровки, либо минуя это.
Атака с заданным текстом (chosen-plaintext attack). Атакующий имеет возможнот получить шифрованный документ для любого нужного ему текста, но не знает ключа. Задачей является нахождение ключа. Некоторые методы шифрования, и в частности RSA, весьма уязвимы для атак этого типа. При использовании таких алгоритмов надо тщательно следить, чтобы атакующий не мог зашифровать заданный им текст.
Атака с подставкой (Man-in-the-middle attack). Атака направлена на обмен шифрованными сообщениями и в особенности на протокол обмена ключами. Идея заключается в том, что, когда две стороны обмениваются ключами для секретной коммуникации (например, используя шифр Диффи-Хелмана, Diffie-Hellman), противник внедряется между ними на линии обмена сообщениями. Далее противник выдает каждой стороне свои ключи. В результате, каждая из сторон будет иметь разные ключи, каждый из которых известен противнику. Теперь противник будет расшифровывать каждое сообщение своим ключом и затем зашифровывать его с помощью другого ключа перед отправкой адресату. Стороны будут иметь иллюзию секретной переписки, в то время как на самом деле противник читает все сообщения.
Одним из способов предотвратить такой тип атак заключается в том, что стороны при обмене ключами вычисляют криптографическую хеш-функцию значения протокола обмена (или по меньшей мере значения ключей), подписывают ее алгоритмом цифровой подписи и посылают подпись другой стороне. Получатель проверит подпись и то, что значение хеш-функции совпадает с вычисленным значением. Такой метод используется, в частности, в системе Фотурис (Photuris).
Атака с помощью таймера (timing attack). Этот новый тип атак основан на последовательном измерении времен, затрачиваемых на выполнение операции возведения в стенень по модулю целого числа. Ей подвержены по крайней мере следующие шифры: RSA, Диффи-Хеллман и метод эллиптических кривых.
Имеется множество других криптографических атак и криптоанали-тических подходов. Однако приведенные выше являются, по-видимому, наиболее важными для практической разработки систем. Если кто-либо собирается создавать свой алгоритм шифрования, ему необходимо понимать данные вопросы значительно глубже.
Выбор для конкретных ИС должен быть основан на глубоком анализе слабых и сильных сторон тех или иных методов защиты. Обоснованный выбор той или иной системы защиты, в общем-то, должен опираться на какие-то критерии эффективности. К сожалению, до сих пор не разработаны подходящие методики оценки эффективности криптографических систем.
Наиболее простой критерий такой эффективности - вероятность раскрытия ключа или мощность множества ключей (М). По сути, это то же самое, что и криптостойкость. Для ее численной оценки можно использовать также и сложность раскрытия шифра путем перебора всех ключей.
Однако этот критерий не учитывает других важных требований к криптосистемам:
- невозможность раскрытия или осмысленной модификации информации на основе анализа ее структуры;
- совершенство используемых протоколов защиты;
- минимальный объем применяемой ключевой информации;
- минимальная сложность реализации (в количестве машинных операций), ее стоимость;
- высокая оперативность.
Желательно, конечно, использование некоторых интегральных показателей, учитывающих указанные факторы.
Для учета стоимости, трудоемкости и объема ключевой информации можно использовать удельные показатели - отношение указанных параметров к мощности множества ключей шифра.
Часто более эффективным при выборе и оценке криптографической системы является применение экспертных оценок и имитационное моделирование.
В любом случае выбранный комплекс криптографических методов должен сочетать как удобство, гибкость и оперативность использования, так и надежную защиту от злоумышленников циркулирующей в ИС информации.
Список литературы
- Анин Б. Ю. Защита компьютерной информации. СПб.: БХВ - Санкт-Петербург, 2000. 384 с: ил.
- Бухвинер В. Е. Телеобслуживание и человекомашинная связь. М.: Радио и связь, 1983
- Второй московский форум диллеров ME // Компьютерра. 1993. № 21. С. 14.
- Гайкович В. Ю., Першин А. Ю. Безопасность электронных банковских систем. М.: Единая Европа, 1994.
- Герасименко В. А. Защита информации в автоматизированных системах обработки данных. В 2-х кн. М.: Энергоатомиздат.1994.
- Герасименко В. А., Малюк А. А. Основы защиты информации. М.: Инкомбук, 1997. 540 с.
- Грушко А. А., Тимонина Е. Е. Теоретические основы защиты информации. Яхтсмен, 1996.
- Дружинин Т. В., Сергеева И. В. Качество информации. М.: Радио и связь, 1990. С. 170.
- Закон РФ об информации, информатизации и защите информации.
- Касперский Е. Компьютерные вирусы: что это такое и как с ними бороться. М.: СК Пресс, 1998.
- Корюкова А. А., Дера В. Т. Основы научно-технической информации. М.: Высш. шк., 1985.
- Лопатников Л. И. Популярный экономико-математический словарь. М.: Знание, 1990. С. 49.
- Мафик С. Механизмы защиты в сетях ЭВМ. М.: Мир, 1993.
- Мельников В. В. Защита информации в компьютерных системах. М.: Финансы и статистика: Электроинформ, 1997.
- Новик И. Б., Абдуллаев А. Ш. Введение в информационный мир. М.: Наука, 1991. С.7.
- Программно-аппаратные средства обеспечения информационной безопасности. Защита программ и данных: Учеб. пособие для вузов / П. Ю. Белкин, О. О. Михальский, А. С. Першаков и др. М.: Радио и связь, 2000. 168 с.: ил.
- Программно-аппаратные средства обеспечения информационной безопасности. Защита в операционных системах: Учеб. пособие для вузов /Проскурин В.Г., Кругов СВ., Мацкевич И.В. М.: Радио и связь, 2000. 168 с.
- Расторгуев С. П. Программные методы защиты информации в компьютерах и сетях. М.: Яхтсмен, 1993.
- Руководящий документ ГТК РФ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требований по защите информации. М.: Воениздат, 1992.
- Руководящий документ ГТК РФ. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации. М.: Воениздат, 1992.
- Самосук М. Компьютерное пиратство. // Защита программного обеспечения: Сб./ Под ред. Гроубера. М.: Мир, 1992
- Семкин С. Н., Семкин А. Н. Основы информационной безопасности объектов обработки информации: Науч.-практ. пособие. Орел: 2000. 300 с.
- Слепов Б. С., Чистяков В. М. Управление процессами использования информационных ресурсов. Новосибирск: Наука, 1984, с. 235.
- Спесивцев А. П. Защита информации в персональных ЭВМ. М.: Радио и связь, 1992.
- Теоретические основы компьютерной безопасности: Учебное пособие для вузов / П. Н. Девянин, О. О. Михальский, Д. И. Правиков и др. М.: Радио и связь, 2000. 192 с: ил.
- Терминологические основы проблематики информационной безопасности // Мат. к заседанию межвед. междисциплинарного сем. по науч. проблемам информ. безопасности 1 марта 2001 г. М.: МГУ, 2001.
- Хоффман Л. Дж. Современные методы защиты информации: Пер. с англ. М.: Сов. радио, 1980.
- Цыкин Г. С. Усилители электрических сигналов. М.: Энергия, 1969.
- Шеннон К. Работы по теории информации и кибернетике. М.: Изд-во иностранной литературы, 1963. 489 с.
- Ярочкин В. И. Безопасность информационных систем. М.: Ось-89, 1996. 320 с. (безопасность предпринимательства).
- 31. Ярочкин В. И. Система безопасности фирмы. 2-е изд. М.: Ось-89, 1999. 192 с.
- Ярочкин В. И. Технические каналы утечки информации. М.: ИП-КОР, 1994.
- Шнайдер Б. Прикладная криптография. М.: Мир 1999.
- Интеллектуальные системы в управлении, конструировании и образовании / Под ред. проф. А. А. Шелупанова. Томск: STT, 2001. 224 с.
- Труд. 2000. № 19. С. 5.
- Эксперт. № 1-12.2000.
- Эксперт. № 1-12.2001.