Концепция Информационной Безопасности организации - это система взглядов на проблему обеспечения Информационной Безопасности, взаимоувязывающая правовые, организационные и программно-аппаратные меры защиты и основанная на анализе защищенности информационной системы в разрезе видов угроз и динамики их развития.

  В зависимости от требований к режиму Информационной Безопасности, различают базовый и повышенный уровни ее обеспечения.

  Базовый уровень Информационной Безопасности предполагает упрощенный подход к анализу рисков, при котором рассматривается стандартный набор распостраненных угроз без оценки вероятностей их проявления. Для нейтрализации угроз применяется типовой комплекс контрмер, а вопросы эффективности в расчет не берутся. Подобный подход приемлем, если ценность защищаемых ресурсов в данной организации не слишком высока.

  В ряде случаев базового уровня недостаточно. Для обеспечения повышенного уровня Информационной Безопасности необходимо знать параметры, характеризующие степень безопасности информационной системы и количественные оценки угроз, уязвимостей и рисков по отношению к ценности информационных ресурсов. Как правило, выбор концепции проводится на основе анализа нескольких вариантов по критерию стоимость/эффективность.

  Несмотря на существенную разницу в методологии обеспечения базового и повышенного уровней безопасности можно говорить о единой концепции Информационной Безопасности.

  Анализ мирового и отечественного опыта обеспечения Информационной Безопасности диктует необходимость создания целостной системы безопасности организации, взаимоувязывающей правовые, организационные и программно-аппаратные меры защиты и использующей современные методы прогнозирования, анализа и моделирования ситуаций.

^ вернуться в начало ^

  2.1. Почему правовые меры не являются панацеей?

  Из анализа действующего законодательства вытекает, что правовой защите подлежит главным образом документированная информация (документ), зафиксированная на материальном носителе с реквизитами, т.е. информация, облеченная в форму, позволяющую ее идентифицировать.

  При этом неправомерный доступ к компьютерной информации считается преступлением, если:

• компьютерная информация охраняется законом, а именно отвечает нормам Закона "Об информации, информатизации и защите информации" (в частности ст. 2 и 5 Закона);
• неправомерный доступ привел к уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ или сети (ст. 272 УК).

  Эти действия наказываются либо штрафом, либо исправительными работами, либо лишением свободы сроком до двух лет.

  Те же действия, совершенные с использованием служебного положения, влекут за собой наказание в более суровой форме (ст. 272 ч. 2 УК). Это означает, что хакеры со стороны несут меньшую уголовную ответственность чем сотрудники организации или лица, допущенные к ее компьютерной информации по договорам.

  УК содержит понятие "вредоносные программы", под которое подпадают программы, заведомо приводящие к несанкционированному уничтожению, блокированию, модификации либо копированию информации, а также приводящие к нарушению работы информационной системы (ст. 273 УК). В настоящее время у таких программ множество специфических названий, так что обобщающий термин был просто необходим.

  К разряду преступлений относится нарушение правил эксплуатации ЭВМ и сетей, если это приводит к уничтожению, блокированию или модификации компьютерной информации, что, в свою очередь, наносит существенный вред или влечет за собой тяжкие последствия (ст. 274 УК). Понятия "существенный вред" и "тяжкие последствия" УК не конкретизирует, как и не дает разъяснении, чему или кому причинен вред: информации, бизнесу, репутации фирмы или гражданина. Очевидно, что ответы на эти вопросы даст лишь судебная практика. В зависимости от тяжести последствий такие преступления наказываются лишением свободы на срок либо до трех либо до семи лет (ст. 273 ч. 1 и 2 УК).

  Наряду с этими компьютерно-ориентированными статьями используются остальные, позволяющие квалифицировать противоправное деяние как подпадающее под их юрисдикцию. Но, не смотря на всю свою суровость, в настоящее время правовой способ, как показывает практика, является не самым эффективным. Примером служит то, что по экспертным оценкам, в поле зрения правоохранительных органов попадает 15% от совершенных преступлений, а выявляемость составляет 1-3%. Так департамент "р" МВД России информировал о 188 выявленных компьютерных преступлениях за 2000 год, а негосударственная организация CERT о 15167 обращениях за тот же период.

  Проблема латентности в значительной степени связана с объективными возможностями правоохранительной системы обеспечить соответствующую реакцию на тот объем информации о реальной преступности, который ей надлежит полномасштабно перерабатывать. Чем более ограничены эти возможности, тем, соответственно, более значительную часть сигналов о преступлениях система вынуждена от себя отталкивать, оставляя ту или иную часть преступности в "латентной тени".

  Кроме того понятно, что государственные и коммерческие структуры, которые подверглись нападениям, не хотят афишировать их последствия и "эффективность" своих систем защиты. Поэтому сами преступления становятся далеко не всегда достоянием гласности. Не следует думать, что латентность информационных преступлений является лишь нашей национальной спецификой.

  Согласно сведениям Института защиты компьютеров The Computer Security Institute (CSI, San Francisco, USA) и ФБР:

• свыше 50% организаций не имеют плана действий на случай компьютерного вторжения;
• более 60% ответивших не имеют стратегии для сохранения доказательств, необходимых для дальнейшего судебного рассмотрения;
• более 70% респондентов не имеют устройств, предупреждающих о вторжении в их коммуникационные и информационные системы;
• меньше чем 36% указали, что они уведомят правоохранительные органы в случаях нападения на информационные системы;
• более 70% указали на опасение антирекламы как на основную причину отказа обращаться в правоохранительные органы.

^ вернуться в начало ^

  2.2. Что можно предложить из организационных мер

  Первое что можно предложить - ограничить количество лиц, имеющих доступ к информации. Зафиксировать тех кто имеет доступ, ввести протоколирование работы с информацией и установить за всем этим контроль.

  Одним из лучших способов защиты корпоративной информации до недавнего времени считался свод правил, регламентирующий работу с информацией и страхующий от случайных потерь данных. Под потерями данных в данном случае понимается как разглашение личной и корпоративной информации, так и ее несанкционированное изменение или физическое уничтожение. Однако, как показывает практика, эффективность таких мер, при непланомерном подходе без учета специфики организации, невысока.

  Как уберечь информацию от потерь и несанкционированного доступа заинтересованных лиц? Можно предложить следующий набор административных мер:

• структуризовать работу организации;
• формализовать потоки документов и упорядочить их хранение;
• регламентировать правила работы с документами;
• исключить доступ к корпоративной информации сотрудников организации после уведомления их об увольнении.

  При разработке организационных мер необходимо помнить, что существует как минимум три способа потери данных: с использованием личного контакта, средств компьютерной техники и технических каналов передачи данных.
    1. Потеря данных с использованием личного контакта обычно осуществляется либо путем непосредственного доступа к рабочему месту и связана с неосторожностью или злонамеренностью производимых на компьютере операций либо посредством дистанционного доступа или автономного управления рабочим местом при помощи специализированных вредоносных программ.
    2. Использование компьютеров для обработки информации, хотим мы того или нет, сопровождается ошибками в работе программного обеспечения, отказами аппаратуры и как следствие потерями данных.
    3. Потеря в каналах передачи данных может быть вызвана как неисправностью канала так и внешними воздействиями, такими как прослушивание канала, перенаправление информации, находящейся в канале, зашумление или физическое блокирование канала и т.п.

^ вернуться в начало ^

  2.3. Выбор контрмер и управление рисками

  При разработке концепции Информационной Безопасности организации необходимо выработать стратегию управления рисками различных классов. Возможно несколько подходов.

• Уклонение от риска. Например, вынесение Web-сервера за пределы локальной сети организации позволит избежать несанкционированного доступа в локальную сеть со стороны Web-клиентов.
• Уменьшение риска. Например, грамотное использование средств аутентификации снижает вероятность несанкционированного доступа.
• Изменение характера риска. Если не удается уклониться от риска или уменьшить степень его воздействия, можно применить некоторые меры страховки.
• Принятие риска. На практике многие риски не могут быть уменьшены до пренебрежимо малой величины. Необходимо знать остаточную величину риска

  По завершениии разработки стратегии управления рисками, можно перейти к следующему этапу работ по обеспечению Информационной Безопасности - выбор средств защиты.

^ вернуться в начало ^