Информационная безопасность является составной частью национальной безопасности, а также системообразующим фактором, активно влияющим на состояние политической, экономической, военной и других составляющих национальной безопасности Республики Беларусь.
Наличие и доступность достоверной информации о состоянии и динамике развития экономических, политических, социальных и других процессов в обществе в решающей степени определяют возможности властных структур и общества в целом по выработке и реализации эффективных решений в геополитической, военно-стратегической, научной, образовательной, культурной, исторической и экологической сферах. Информация и информационные коммуникации стали сегодня факторами, способными либо обеспечить стратегическую стабильность и развитие общества и государства в целом, либо разобщить и дестабилизировать общество. Таким образом, информацию сегодня можно рассматривать как важнейший элемент национальной безопасности страны.
Определяющим фактором для информационной безопасности республики является активное внедрение информационно-телекоммуникационных технологий на основе компьютерной техники во все сферы жизнедеятельности. Успешная реализация Государственной программы информатизации «Электронная Беларусь» и программы «Информатизация» позволяет обеспечить вхождение страны в мировое информационное сообщество.
Информационное пространство белорусского государства открыто для зарубежных радио- и телекоммуникационных средств, печатных изданий, сети Интернет.
В настоящее время в республике делается многое, чтобы обеспечить информационные потребности личности, общества и государства во всех сферах жизнедеятельности.
Таким образом, национальная безопасность страны во многом зависит от эффективности деятельности в информационной сфере, которой способствует разработка специальных информационных технологий.
Защита информации в современных условиях становится все более сложной проблемой, что обусловлено рядом обстоятельств, основными из которых являются: массовое распространение средств электронной вычислительной техники; усложнение шифровальных технологий; необходимость защиты не только государственной и военной тайны, но и
промышленной, коммерческой и финансовой тайн; расширяющиеся возможности несанкционированных действий над информацией и т.д.
Кроме того, в настоящее время получили широкое распространение средства и методы несанкционированного и негласного добывания информации. Они находят все большее применение в деятельности разного рода преступных группировок. Поэтому особую роль и место в деятельности по защите информации занимают мероприятия по созданию комплексной защиты, учитывающие угрозы национальной и международной безопасности и стабильности, в том числе обществу, личности, государству, демократическим ценностям и общественным институтам, суверенитету, экономике, финансовым учреждениям, развитию государства.
Актуальность проблемы защиты информации и обеспечение ее конфиденциальности определяется следующими факторами:
- обострением противоречий между объективно существующими потребностями общества в расширении свободного обмена информацией и чрезмерными или наоборот недостаточными ограничениями на ее распространение и использование;
- расширением сферы использования электронно-вычислительных машин, высокими темпами увеличения парка средств вычислительной техники и связи;
- использованием автоматизированных систем управления во всех областях деятельности;
- резким возрастанием информационных потребностей людей и организаций;
- концентрацией больших объемов информации различного назначения на электронных носителях;
- количественным и качественным совершенствованием способов доступа пользователей к информационным ресурсам;
- многообразием видов угроз и возникновением новых возможных каналов несанкционированного доступа к информации;
- увеличением ущерба от уничтожения или разглашения информации.
Угроза безопасности информации – это потенциально возможное событие, действие, процесс или явление, которое может привести к нанесению материального или морального ущерба защищаемому объекту системы.
В современных условиях все множество угроз безопасности можно классифицировать на: случайные (непреднамеренные); умышленные (преднамеренные).
Источником первых могут быть ошибки в проектировании, в действиях обслуживающего персонала, программного обеспечения, случайные сбои в работе средств вычислительной техники и линий связи, энергосбережения, воздействием на аппаратные средства электромагнитных полей и т.д.
Умышленные угрозы обусловлены несанкционированными действиями и несанкционированным доступом к информации посторонних лиц.
Умышленные угрозы классифицируются на: пассивные; активные.
Пассивные угрозы не разрушают информационные ресурсы. Их задача – несанкционированно получить информацию.
Активные угрозы преследуют цель нарушать нормальный процесс функционирования систем обработки информации путем разрушения или радиоэлектронного подавления линий, сетей, вывода из строя компьютеров, искажения баз данных и т.д. Источниками активных угроз могут быть непосредственные действия физических лиц, программные вирусы и т.д.
На основе объектов системы, на которые направлена угроза:
1. угрозы компьютерам или серверам (внедрение в систему);
2. угрозы пользователю (подмена персоналий);
3. угрозы документам (нарушение конфиденциальности).
По природе возникновения
1. естественные (объективные);
2. искусственные (субъективные)
a. непреднамеренные случайные угрозы (ошибки ПО);
b. преднамеренные (умышленные)
По целям, преследуемым злоумышленником:
1. угроза конфиденциальности данных и программ;
2. угроза целостности данных и программ;
3. угрозы доступности данных;
4. угроза от отказа выполнения транзакций.
По отношению к Интернету:
1. вредоносные ПО (вирусы);
2. спам;
3. глобальные сетевые атаки.
По отношению к электронным документам:
1. угрозы, направленные на несанкционированную модификацию документа (нарушение целостности);
2. на искажение аутентичности отправителя документа;
3. связанные с непризнанием участия в документообороте.
Задачи информационной безопасности и защиты информации, основные тенденции и направления формирования и функционирования комплексной системы защиты информации в разных типах организационных структур
Для защиты информации в информационных системах создается система защиты информации, включающая комплекс организационных и технических мер, направленных на обеспечение конфиденциальности, целостности и доступности информации - ЗАДАЧИ.
При создании систем защиты информации информационных систем должны применяться средства защиты информации, имеющие сертификат соответствия, выданный в Национальной системе подтверждения соответствия Республики Беларусь, или положительное экспертное заключение по результатам государственной экспертизы.
При взаимодействии между информационными системами, обрабатывающими информацию, распространение и (или) предоставление которой ограничено, должны применяться средства защиты информации, имеющие сертификат соответствия, выданный в Национальной системе подтверждения соответствия Республики Беларусь, или положительное экспертное заключение по результатам государственной экспертизы.
Подключение информационных систем, обрабатывающих информацию, распространение и (или) предоставление которой ограничено, к сетям общего пользования, в том числе к глобальной сети Интернет, запрещается.
При подключении информационных систем, в которых обрабатывается общедоступная информация, к сетям общего пользования, в том числе к глобальной сети Интернет, должны применяться средства защиты информации, имеющие сертификат соответствия, выданный в Национальной системе подтверждения соответствия Республики Беларусь, или положительное экспертное заключение по результатам государственной экспертизы.
Ответственность за организацию работ по защите информации возлагается на руководителей организаций, которые владеют и (или) пользуются информационными ресурсами информационной системы.
Создание и эксплуатация системы защиты информации в информационных системах осуществляются подразделением технической защиты информации или назначенными должностными лицами, ответственными за реализацию технических мер по защите информации у собственника (владельца) информационной системы.
К работам по созданию систем защиты информации собственники (владельцы) информационных систем могут привлекать организации, имеющие соответствующие специальные разрешения (лицензии) Оперативно-аналитического центра при Президенте Республики Беларусь (далее - специализированные организации).
Комплекс мероприятий по созданию системы защиты информации в информационных системах включает:
классификацию хранящихся и обрабатываемых в информационной системе сведений и разделение информации по категориям доступа;
анализ организационной структуры информационной системы, порядка организации вычислительных процессов и условий ее функционирования;
присвоение информационной системе класса типового объекта информатизации в соответствии с требованиями технических нормативных правовых актов в области защиты информации;
разработку или корректировку политики информационной безопасности;
разработку или корректировку задания по безопасности на информационную систему в соответствии с требованиями технических нормативных правовых актов в области защиты информации;
реализацию требований задания по безопасности в информационной системе;
оценку соответствия системы защиты информации требованиям нормативных правовых актов в области защиты информации, в том числе технических нормативных правовых актов, путем проведения мероприятий по аттестации системы защиты информации;
ввод информационной системы в эксплуатацию.
Политика информационной безопасности - это совокупность документированных правил, процедур и требований в области защиты информации, действующих в организации и содержащих:
цели построения системы защиты информации;
перечень защищаемых сведений;
определение ответственности субъектов информационных отношений за обеспечение защиты информации;
определение прав и порядка доступа к защищаемой информации (субъектам информационных отношений предоставляется объективно необходимый для них уровень доступа к защищаемым сведениям);
правила доступа к сетям общего пользования, в том числе глобальной сети Интернет;
порядок работы с электронной почтой и другими системами обмена, передачи сообщений;
порядок применения технических средств защиты и обработки информации;
организационные мероприятия по разграничению доступа к техническим средствам защиты и обработки информации;
порядок действий при возникновении угроз обеспечению целостности и конфиденциальности информационных ресурсов, в том числе чрезвычайных и непредотвратимых обстоятельств (непреодолимой силы), и ликвидации их последствий;
инструкции для субъектов информационных отношений, регламентирующие порядок доступа к ресурсам информационной системы, установления подлинности субъектов, аудита безопасности, резервирования и уничтожения информации, контроля за целостностью защищаемых сведений, защиты от вредоносного программного обеспечения и вторжений.
Задание по безопасности разрабатывается в соответствии с требованиями технических нормативных правовых актов в области защиты информации, оценивается в установленном порядке в аккредитованной испытательной организации (организация, аккредитованная для проведения испытаний систем защиты информации в области защиты информации) и учитывается в Оперативно-аналитическом центре при Президенте Республики Беларусь.
Ремонтные, наладочные и профилактические работы в информационных системах должны проводиться под контролем представителя подразделения технической защиты информации или назначенного должностного лица, ответственного за реализацию технических мер по защите информации у собственника (владельца) информационной системы. Во время проведения указанных работ в информационной системе запрещается обработка информации, распространение и (или) предоставление которой ограничено.
В случае необходимости отправки технических средств для проведения ремонта в специализированные организации из них должны быть изъяты все носители информации, содержащие охраняемые сведения, или произведено гарантированное уничтожение информации сертифицированными средствами.
При внесении изменений, затрагивающих условия и технологию обработки защищаемой информации, собственником (владельцем) информационной системы проводятся мероприятия по доработке системы защиты информации с проведением повторной ее аттестации.
Текущий контроль за соблюдением требований по защите информации осуществляется подразделением технической защиты информации или назначенным должностным лицом, ответственным за выполнение мероприятий по технической защите информации у собственника (владельца) информационной системы.
Нарушения требований по защите информации устанавливаются и фиксируются в соответствии с законодательством. Собственник (владелец) информационной системы принимает меры по своевременному устранению выявленных нарушений.
Запрещается обработка информации, распространение и (или) предоставление которой ограничено, в случае выявления нарушений требований по защите информации.
