Проблема несанкционированного доступа к информации и ее правовые аспекты

Размещено на http://www.allbest.ru/

Размещено на http://www.allbest.ru/

Министерство образования и науки Российской федерации

ГОУ ВПО «Тюменский государственный университет»

Проблема несанкционированного доступа к информации и ее правовые аспекты

Тюмень 2011

Содержание

Введение

1.Проблема защиты информации от несанкционированного доступа

1.1.Пути несанкционированного доступа

1.2.Классификация способов и средств защиты информации

2.Основные требования и методы защиты информации

2.1.Основные нормативно-правовые документы РФ по защите информации

2.2.Методы защиты информации

Заключение

Список литературы

Введение

Масштабы применения и приложения информационных технологий стали таковы, что наряду с проблемами производительности, надежности и устойчивости функционирования информационных систем, остро встает проблема защиты циркулирующей в системах информации от несанкционированного доступа. Статистика фактов несанкционированного доступа к информации показывает, что большинство современных информационных систем достаточно уязвимо с точки зрения безопасности.

Сейчас, когда современные информационные технологии интенсивно внедряются во все сферы человеческой деятельности, когда повсюду используются компьютеры и электронные средства связи, а электронная информация определяет действия все большего числа людей и технических систем, вопросы безопасности не могут оставаться чем-то второстепенным. Это и определяет актуальность нашей темы. Нарушение безопасности обработки и передачи информации приводит к ущербу, степень и масштабы которого определяются целевым назначением этой информации и могут быть соизмеримы с глобальными трагическими последствиями. Это в свою очередь привело к тому, что помимо задач передачи, хранения и обработки информации возникла не менее, а в ряде случаев и более важная задача защиты информации.

Статистика показывает, что большая часть пользователей не владеет элементарными навыками и знаниями о компьютерной безопасности, особенно ее правовыми аспектами. Вследствие этого, очень часто происходит потеря информации в результате заражения компьютера вредоносными программами, из-за использования нелицензионного программного обеспечения, ошибок самих пользователей и т.д.

Проблема исследования заключается в противоречии между необходимостью защиты информации от несанкционированного доступа и возможностью использования знаний о компьютерной безопасности, особенно ее правовых аспектов.

Цель работы: рассмотреть различные способы защиты информации от несанкционированного доступа.

В соответствии с поставленной целью были выдвинуты следующие задачи:

1. Изучить литературу по проблеме исследования.

2. Рассмотреть стандартные способы и средства защиты информации.

3. Исследовать правовые аспекты несанкционированного доступа к информации.

Для решения поставленных задач применялись следующие методы исследования: анализ и изучение литературы, программно-технических средств и правовых аспектов защиты информации от несанкционированного доступа.

Объектом исследования является процесс защиты информации от несанкционированного доступа.

Предметом исследования являются способы и средства защиты информации от несанкционированного доступа и их правовые аспекты.

1. Проблема защиты информации от несанкционированного доступа

1.1. Пути несанкционированного доступа к информации

Под безопасностью информации понимается «состояние защищенности информации, обрабатываемой средствами вычислительной техники или автоматизированной системы, от внутренних или внешних угроз».

Целостность понимается как «способность средств вычислительной техники или автоматизированной системы обеспечивать неизменность вида и качества информации в условиях случайного искажения или угрозы разрушения». Согласно руководящему документу Гостехкомиссии России «Защита от несанкционированного доступа к информации. Термины и определения» угрозы безопасности и целостности состоят в потенциально возможных воздействиях на вычислительную систему (ВС), которые прямо или косвенно могут нанести ущерб безопасности и целостности информации, обрабатываемой системой.

Ущерб целостности информации состоит в ее изменении, приводящем к нарушению ее вида или качества.

Ущерб безопасности подразумевает нарушение состояния защищенности содержащейся в ВС информации путем осуществления несанкционированного доступа (НСД) к объектам ВС.

НСД определяется как «доступ к информации, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых ВС». НСД заключается в получении пользователем или программой доступа к объекту, разрешение на который в соответствии с принятой в системе политикой безопасности отсутствует.

Реализация угрозы называется атакой. Человек, стремящийся реализовать угрозу, называется нарушителем, злоумышленником, или проще - хакером.

Хакерами называют тех, кто получает или пытается получить незаконный доступ к данным через компьютерные сети (сейчас обычно через Интернет). Во многих странах принято законодательство, ставящее действия хакеров вне закона, и некоторые из них уже привлечены к ответственности.

Существует множество классификаций видов угроз по принципам и воздействию их на систему, по используемым средствам, по целям атаки и т.д. Рассмотрим общую классификацию угроз безопасности ВС по средствам воздействия на ВС. С этой точки зрения все угрозы могут быть отнесены к одному из следующих классов:

1. Вмешательство человека в работу ВС. К этому классу относятся организационные средства нарушения безопасности ВС (кража носителей информации, НСД к устройствам хранения и обработки информации, порча оборудования и т.д.) и осуществление нарушителем НСД к программным компонентам ВС (все способы несанкционированного проникновения в ВС, а также способы получения пользователем-нарушителем незаконных прав доступа к компонентам ВС). Меры, противостоящие таким угрозам, носят организационный характер (охрана, режим доступа к устройствам ВС), а также включают в себя совершенствование систем разграничения доступа и системы обнаружения попыток атак (например, попыток подбора паролей).

2. Аппаратно-техническое вмешательство в работу ВС. Имеется ввиду нарушение безопасности и целостности информации в ВС с помощью технических средств, например, получение информации по электромагнитному излучению устройств ВС, электромагнитные воздействия на каналы передачи информации и другие методы. Защита от таких угроз, кроме организационных мер, предусматривает соответствующие аппаратные (экранирование излучений аппаратуры, защита каналов передачи информации от прослушивания) и программные меры (шифрация сообщений в каналах связи).

3. Разрушающее воздействие на программные компоненты ВС с помощью программных средств. Такие средства называются вредоносные программы. К вредоносному программному обеспечению (ВПО) относятся сетевые черви, классические файловые вирусы, троянские программы, хакерские утилиты и прочие программы, наносящие заведомый вред компьютеру, на котором они запускаются на выполнение, или другим компьютерам в сети.

В настоящее время существуют следующие пути несанкционированного получения информации (каналы утечки информации):

- перехват электромагнитных излучений;

- хищение носителей информации и производственных отходов;

- считывание данных в массивах других пользователей;

- копирование носителей информации;

- несанкционированное использование терминалов;

- маскировка под зарегистрированного пользователя с помощью хищения паролей и других реквизитов разграничения доступа;

- получение защищаемых данных с помощью серии разрешенных запросов;

- использование недостатков языков программирования и операционных систем;

- преднамеренное включение в библиотеки программ специальных блоков типа «троянских программ»;

- незаконное подключение к аппаратуре или линиям связи
вычислительной системы;

- злоумышленный вывод из строя механизмов защиты.

1.2 Классификация способов и средств защиты информации

Для решения проблемы защиты информации основными средствами, используемыми для создания механизмов защиты, принято считать:

1.Технические средства реализуются в виде электрических, электромеханических, электронных устройств. Всю совокупность технических средств принято делить на:

- аппаратные - устройства, встраиваемые непосредственно в аппаратуру, или устройства, которые сопрягаются с аппаратурой СОД по стандартному интерфейсу (схемы контроля информации по четности, схемы защиты полей памяти по ключу, специальные регистры);

- физические - реализуются в виде автономных устройств и систем (электронно-механическое оборудование охранной сигнализации и наблюдения, замки на дверях, решетки на окнах).

2.Программные средства - программы, специально предназначенные для выполнения функций, связанных с защитой информации.

В ходе развития концепции защиты информации специалисты пришли к выводу, что использование какого-либо одного из выше указанных способов защиты, не обеспечивает надежного сохранения информации. Необходим комплексный подход к использованию и развитию всех средств и способов защиты информации (рис. 1).

Рис. 1. Способы и средства защиты информации

В результате были созданы следующие способы защиты информации:

1. Препятствие - физически преграждает злоумышленнику путь к защищаемой информации (на территорию и в помещения с аппаратурой, носителями информации).

2. Управление доступом - способ защиты информации регулированием использования всех ресурсов системы (технических, программных средств, элементов данных).

3. Кодирование информации - способ защиты информации в СОД путем ее криптографического закрытия. При передаче информации по линиям связи большой протяженности криптографическое закрытие является единственным способом надежной ее защиты.

4. Регламентация - заключается в разработке и реализации в процессе функционирования СОД комплексов мероприятий, создающих такие условия автоматизированной обработки и хранения в СОД защищаемой информации, при которых возможности несанкционированного доступа к ней сводились бы к минимуму.

5. Принуждение - пользователи и персонал СОД вынуждены соблюдать правила обработки и использования защищаемой информации под угрозой материальной, административной или уголовной ответственности.

Рассмотренные способы защиты информации реализуются применением различных средств защиты, причем различают технические, программные, организационные, законодательные и морально-этические средства.

Организационными средствами защиты называются организационно-правовые мероприятия, осуществляемые в процессе создания и эксплуатации СОД для обеспечения защиты информации. Организационные мероприятия охватывают все структурные элементы СОД на всех этапах: строительство помещений, проектирование системы, монтаж и наладка оборудования, испытания и проверки, эксплуатация.

К законодательным средствам защиты относятся законодательные акты страны, которыми регламентируются правила использования и обработки информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.

К морально-этическим средствам защиты относятся всевозможные нормы, которые сложились традиционно или складываются по мере распространения вычислительных средств в данной стране или обществе. Эти нормы большей частью не являются обязательными, как законодательные меры, однако несоблюдение их ведет обычно к потере авторитета, престижа человека или группы лиц.

Все рассмотренные средства защиты делятся на:

1. Формальные - выполняющие защитные функции строго по заранее предусмотренной процедуре и без непосредственного участия человека.

2. Неформальные - такие средства, которые либо определяются целенаправленной деятельностью людей, либо регламентируют эту деятельность.

2. Основные требования и методы защиты информации

2.1 Основные нормативно-правовые документы РФ по защите информации

В настоящее время деятельность в области защиты информации при работе с вычислительными сетями общего пользования, в том числе Интернет, осуществляется на основании ряда Федеральных законов, Указов и распоряжений Президента Российской Федерации и Постановлений Правительства Российской Федерации.

В 1990 году в СССР было принято решение о прокладке Транссоветской волоконно-оптической линии (далее - ТСЛ). Основной целью строительства ТСЛ было создание замкнутого глобального цифрового кольца Всемирной сети связи с охватом трех континентов - Европы, Азии и Америки.

В 1996 Федеральным законом от 4 июля 1996 года № 85-ФЗ «Об участии в международном информационном обмене» были введены ограничения на вывоз из Российской Федерации документированной информации, отнесенной к:

- государственной тайне или иной конфиденциальной информации;

- общероссийскому национальному достоянию;

- архивному фонду;

- иным категориям документированной информации, вывоз которой может быть ограничен законодательством Российской Федерации.

Возможность вывоза с территории Российской Федерации такой документированной информации определяется Правительством Российской Федерации в каждом отдельном случае. Данные ограничения распространяются и на перемещение с территории Российской Федерации документированной информации при предоставлении доступа пользователям, находящимся за пределами территории Российской Федерации, к информационным системам, сетям, находящимся на территории Российской Федерации.

Данным Федеральным законом определены органы государственной исполнительной власти, которые имеют право давать разрешение на включение в состав средств международного информационного обмена государственных информационных систем, сетей, для которых установлены особые правила доступа к информационным ресурсам: Гостехкомиссия России и ФАПСИ (ст. 10.2 данного федерального закона). А статьей 17.2 данного федерального закона определена необходимость сертификации средств международного информационного обмена, которые обрабатывают документированную информацию с ограниченным доступом, а также средств их защиты Федеральный закон от 4 июля 1996 года № 85-ФЗ «Об участии в международном информационном обмене»..

Специальными требованиями и рекомендациями по защите конфиденциальной информации также установлен запрет на подключение к сети Интернет систем, обрабатывающих государственные информационные ресурсы, доступ к которым ограничен. Для негосударственных информационных ресурсов основными рекомендуемыми методами обеспечения безопасности информации при взаимодействии рабочих станций с сетью Интернет являются:

- межсетевое экранирование с целью управления доступом, фильтрации сетевых пакетов и трансляции сетевых адресов для скрытия структуры ЛВС;

- мониторинг вторжений в ЛВС, нарушающих или создающих предпосылки к нарушению установленных в организации требований по защите информации;

- шифрование информации при ее передаче через Интернет, а также использование электронно-цифровой подписи для контроля целостности и подтверждения подлинности отправителя и (или) получателя информации;

- использование средств антивирусной защиты «Специальные требования и рекомендации по защите конфиденциальной информации» (СТР-К), введенные в действие приказом Гостехкомиссии России от 30 августа 2002 года № 282..

«Субъектам международного информационного обмена в Российской Федерации не осуществлять включение информационных систем, сетей связи и автономных персональных компьютеров, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну, и служебная информация ограниченного распространения, а также для которых установлены особые правила доступа к информационным ресурсам, в состав средств международного информационного обмена, в том числе в международную ассоциацию сетей Интернет (далее - сеть Интернет).

Владельцам открытых и общедоступных государственных информационных ресурсов осуществлять их включение в состав объектов международного информационного обмена только при использовании сертифицированных средств защиты информации, обеспечивающих ее целостность и доступность, в том числе криптографических для подтверждения достоверности информации.

Владельцам и пользователям указанных ресурсов осуществлять размещение технических средств, подключаемых к открытым информационным системам, сетям и сетям связи, используемых при международном информационном обмене, включая сеть Интернет, вне помещений, предназначенных для ведения закрытых переговоров, в ходе которых обсуждаются вопросы, содержащие сведения, составляющие государственную тайну.

Службе специальной связи и информации при Федеральной службе охраны Российской Федерации обеспечивать поддержание и развитие сегмента сети Интернет для федеральных органов государственной власти и органов государственной власти субъектов Российской Федерации.» «О мерах по обеспечению информационной безопасности Российской Федерации в сфере международного информационного обмена» (Указ президента Российской Федерации от 12 мая 2004 г. № 611)

2.2 Методы защиты информации

Основные методы защиты ВС от утечек информации по электромагнитному каналу:

- Основным источником высокочастотного электромагнитного излучения является дисплей. Изображение с его экрана можно принимать на расстоянии сотен метров. Полностью нейтрализовать утечку можно лишь с использованием генераторов шума. Другим способом защиты является использование плазменных или жидкокристаллических дисплеев.

- Матричный принтер является источником мощного низкочастотного электромагнитного излучения, которое быстро затухает с ростом расстояния. Тем не менее, это излучение также опасно. Борьба с ним крайне затруднена, так как оно имеет сильную магнитную составляющую, которая плохо зашумляется и экранируется. Поэтому рекомендуется либо зашумление мощным шумовым сигналом, либо использование струйного или лазерного принтеров, или термопечати.

- Электромагнитное излучение от внешних проводников и кабелей ПЭВМ невелика, но необходимо следить, чтобы они не пересекались с проводами, выходящими за пределы помещения.

- Монтаж заземлении от периферийного оборудования необходимо вести в пределах контролируемой зоны. Нельзя допускать, чтобы заземление пересекалось с другими проводниками.

- Все соединения ВС с «внешним миром» необходимо проводить через электрическую развязку.

Основными сервисами безопасности являются:

- идентификация и аутентификация;

- управление доступом;

- протоколирование и аудит;

- криптография;

- экранирование.

Средства управления доступом позволяют специфицировать и контролировать действия, которые субъекты - пользователи и процессы могут выполнять над объектами - информацией и другими компьютерными ресурсами. Речь идет о логическом управлении доступом, который реализуется программными средствами. Логическое управление доступом - это основной механизм многопользовательских систем, призванный обеспечить конфиденциальность и целостность объектов и, до некоторой степени, их доступность путем запрещения обслуживания неавторизованных пользователей. Контроль прав доступа производится разными компонентами программной среды - ядром операционной системы, дополнительными средствами безопасности, системой управления базами данных, посредническим программным и т.д.

Удобной надстройкой над средствами логического управления доступом является ограничивающий интерфейс, когда пользователя лишают самой возможности попытаться совершить несанкционированные действия, включив в число видимых ему объектов только те, к которым он имеет доступ. хакер компьютерный экранирование информация

Сетевой экран - это средство разграничения доступа клиентов из одного множества, к серверам из другого множества. Сетевой экран выполняет свои функции, контролируя все информационные потоки между двумя множествами систем. В простейшем случае экран состоит из двух механизмов, один из которых ограничивает перемещение данных, а второй, наоборот, ему способствует. В более общем случае экран или полупроницаемую оболочку удобно представлять себе как последовательность фильтров. Каждый из них может задержать данные, а может и сразу «перебросить» их «на другую сторону». Кроме того, допускаются передача порции данных на следующий фильтр для продолжения анализа или обработка данных от имени адресата и возврат результата отправителю.

Заключение

В общем случае, комплекс программно-технических средств и организационных (процедурных) решений по защите информации от НСД реализуется в рамках системы защиты информации от НСД, условно состоящей из следующих четырех подсистем:

- управления доступом;

- регистрации и учета;

- криптографической;

- обеспечения целостности.

Основная причина несанкционированного доступа к информации компьютерной сети - недостаточная идентификация и аутентификация ее удаленных компонент.

Прежде всего, следует разработать политику информационной безопасности, а уже с ее использованием приступать к разработке, либо к выбору из представленных на рынке программно-технических средств защиты информации. Однако здесь существует противоречие, состоящее в следующем: с одной стороны, политика информационной безопасности выставляет требования к системе защиты, с другой стороны, может она быть реализована только на основе тех возможностей (механизмов защиты), которые реализуются системой защиты. То есть именно система защиты является центральным звеном, определяющим возможности защиты информации.

Основные законодательные акты, Регулирующие вопросы технической защиты информации:

Специальные законодательные акты:

- Закон РФ «О государственной тайне».

- Закон РФ «Об информации, информатизации и защите информации».

Общие законодательные акты:

- Конституция Российской Федерации.

- Гражданский кодекс Российской Федерации.

- Уголовный кодекс Российской Федерации.

- Закон РФ «О банках и банковской деятельности».

- Федеральный закон «Об участии в международном информационном обмене».

- Закон РФ «Об органах Федеральной службы безопасности в Российской Федерации».

- Закон РФ «О федеральных органах правительственной связи и информации».

- Кодекс РФ об административных правонарушениях.

Обобщая все сказанное, отметим, что система правовой защиты информации является ключевым звеном политики информационной безопасности, которая в своей основе базируется именно на механизмах программно-технической защиты информации.

Поэтому выбор системы защиты, равно как и разработка политики информационной безопасности, в общем случае является взаимосвязанной процедурой.

Список литературы

1. Карпинский О. Защита виртуальной ip-сети // Connect. - 2002: №1. - С. 34-35.

2. Левин В. Защита информации в информационно-вычислительных системах и сетях. - Программирование, 2004.

3. Лукоянов В. Защита электронной почты // Connect». - 2002: № 12. - С. 28-31.

4. Порядок применения системы защиты Secret Net 2000. - Информзащита, 2005.

5. Хисамов Ф.Г. Теоретические и организационные-технические основы обеспечения информационной безопасности в системе специальной связи вооруженных сил России. - Москва: Академия МВД РФ, 2007.

6. Хофман Л. Современные методы защиты информации. - Москва, 2005.

7. Щеглов А.Ю. Защита компьютерной информации от несанкционированного доступа. - Санкт-Петербург: Наука и Техника, 2006.

Размещено на Allbest.ru

...