Kitobni o'qish: «Правовые аспекты системы безопасности»

Рецензент:

кандидат технических наук, доцент кафедры «Электроника, вычислительная техника и информационная безопасность» ФГБОУ ВПО «Госуниверситет – УНПК» А. В. Артемов

© А. Н. Кришталюк, 2014

© Академия безопасности и выживания, 2014

* * *

А. Н. Кришталюк, руководитель Национального социального проекта «Здоровая Нация», аспирант кафедры «Туризм, рекреация и спорт» ФГБОУ ВПО «Госуниверситет – УНПК»

Лекция 1. Состояние проблемы обеспечения безопасности

Учебные вопросы:

1. Современные угрозы безопасности предприятия.

2. Анализ современного состояния проблемы безопасности.

Вопрос 1. Современные угрозы безопасности предприятия

Обеспечение безопасной деятельности необходимо для любых предприятий и учреждений, начиная от государственных организаций и заканчивая маленькой палаткой, занимающейся розничной торговлей. Различие будет состоять лишь в том, какие средства и методы и в каком объеме требуются для обеспечения их безопасности.

Поэтому, анализируя современное состояние проблемы защиты, необходимо выбрать такой объект, в котором «аккумулировались» бы все основные особенности защиты. Одним из таких объектов является банковская система. Банк является наиболее разветвленным, постиндустриальным субъектом экономики, концентрирующим в себе огромный экономический потенциал и, естественно, привлекающий внимание злоумышленников (ЗЛ).

Прежде чем приступить к анализу современного состояния проблемы безопасности, необходимо определить, что подлежит защите и каким основным принципом следует пользоваться. По сложившейся международной практике безопасности объектами защиты с учетом их приоритетов являются:

1) личность;

2) информация;

3) материальные ценности.

Если приоритет сохранения безопасности личности является естественным, то приоритет информации над материальными ценностями требует более подробного рассмотрения. Это касается не только информации, составляющей государственную или коммерческую тайну, но и открытой информации.

Рыночные отношения с их неотъемлемой частью – конкуренцией обязательно требуют противодействия внешним и внутренним угрозам. Объекты защиты в большей или меньшей степени, в зависимости от целей ЗЛ и от конкретных условий, могут подвергаться различным нападениям, угрозам или находиться в ситуации, в которой они по объективным причинам подвергаются опасности.

Понятие "безопасная деятельность" любого предприятия или организации включает в себя:

1. Физическую безопасность, под которой понимается обеспечение защиты от посягательств на жизнь персонала.

2. Экономическую безопасность.

3. Информационную безопасность.

4. Материальную безопасность, т. е. сохранение материальных ценностей от всякого рода посягательств, начиная от их краж и заканчивая угрозами пожара и других стихийных бедствий.

1.1. Угрозы экономической безопасности

Угрозы экономической безопасности деятельности банка могут быть самыми различными, но мы выделим только основные угрозы, которые входят в компетенцию СБ.

К данному виду угроз в первую очередь относятся угрозы от:

1) отдельных сотрудников банка;

2) криминальных российских структур;

3) криминальных зарубежных структур;

4) международных криминальных структур.

Несмотря на очевидность данных угроз, проиллюстрируем их на наиболее ярких конкретных примерах.

В феврале 1995 года обанкротился крупный английский банк «Беринге». Это произошло потому, что работник банка Ник Лисон проводил незаконные сделки через счет, который был открыт еще в 1992 году. Убытки в 830 млн. фунтов стерлингов накапливались в течение долгого времени. Ни руководство банка, ни аудиторы, ни контролеры не выявили за это время никаких нарушений. Одной из причин явилось то, что Ник Лисон отвечал как за торговые операции, так и учетную документацию по операционной деятельности, а руководство банка не осуществляло должный контроль за раздельным ведением клиентских и собственных счетов брокеров.

В 1994 году пресечена деятельность преступной группы, состоящей из работников РКЦ ГУ ЦБ по Новосибирской области, Сибирского филиала Инкомбанка и представителей фиктивной коммерческой фирмы Группа путем перечисления денег по фальшивым платежным документам на счет этой фирмы похитила почти 1,4 миллиарда рублей.

В тяжелых условиях становления рынка положение банков усугубляется мощным и все возрастающим давлением со стороны криминального мира. Ни для кого не является секретом, что многие коммерческие фирмы прямо или косвенно связаны с мафиозными структурами или существуют за счет их средств.

Происходит постепенное сращивание российского и зарубежного преступного мира.

В условиях политической и экономической нестабильности и при наличии различного рода угроз (от неплатежеспособности до мошенничества) является естественным объединение усилий коммерческих структур для сохранения их экономической безопасности. Примером этому является соглашение между банками «Империал», "Столичный" и другими, направленное на сотрудничество и деятельность по предотвращению недобросовестной конкуренции, что, несомненно, повысит степень их экономической защищенности.

Учитывая высокий уровень латентности экономических преступлений, приведенные цифры лишь отчасти отражают процесс последовательного роста темпов криминализации экономики, сопровождающийся расширением масштабов проникновения в нее организованных преступных группировок, все более тесного смыкания с работниками органов государственного управления, в том числе на самом высоком уровне.

Прогнозы на ближайшее будущее предполагают появление новых и усиление общественно опасных форм преступной деятельности в сфере кредитно-денежных отношений (махинации с векселями, кредитными карточками, незаконная эмиссия ценных бумаг и т. п.).

В общем виде можно сформулировать основные угрозы экономической безопасности банка:

– плохая адаптированность существующей банковской системы к условиям рынка;

– общая неплатежеспособность;

– невозврат ссуд;

– лжепредпринимательство;

– мошенничество;

– подрыв доверия.

Наличие данных угроз обусловлено следующими видами риска:

1) риск утечки, уничтожения или модификации банковской информации;

2) риск отсутствия у руководства банка объективной информации о внутренней и внешней среде;

3) риск распространения конкурентами во внешней среде необъективной или опасной для банка информации.

Таким образом, обеспечение коммерческой деятельности банка или любой фирмы включает в себя не только защиту информации, но и сбор, классификацию, анализ, оценку и выдачу прогнозов для успешной коммерческой деятельности. Говоря другими словами, чем выше информационное обеспечение банка, тем менее возможны угрозы его экономической деятельности.

1.2. Угрозы физической безопасности

В настоящее время участились случаи нападения на банкиров и служащих банка. Как правило, это прежде всего руководители коммерческих банков и фирм, которые в течение длительного времени (например, для запугивания, склонения к сотрудничеству и т. п.) или, наоборот, короткого промежутка времени (ограбление или убийство) являются объектом нападения со стороны преступников. Примеров тому достаточно.

Профессор А. В. Крысин в статье "Деятельность коммерческих банков (фирм) в условиях роста террористической угрозы" (см.: Частный сыск, охрана, безопасность, 1994, № 1) отмечает следующие методы воздействия на сотрудников коммерческих объектов:

– похищения и угрозы похищения главы и членов семьи;

– убийства, сопровождаемые насилием, издевательствами и пытками;

– психологический террор, угрозы, шантаж, вымогательство;

– публикация дезинформационных материалов о текущей деятельности некоторых коммерческих организаций, которые прямо направлены на их дискредитацию и компрометацию отдельных сотрудников;

– инспирация официальных заявлений от имени некоторых органов массовой информации и представителей исполнителей массовой власти, в которых подытоживается деловая репутация и наносится моральный и материальный ущерб отдельным коммерческим банкам, фирмам.

При этом выделяются следующие основные методы и приемы диверсионно-террористической деятельности:

– взрывы;

– обстрелы из автоматического оружия различных калибров и сигнальных ракетниц;

– минирования, в том числе с применением дистанционного управления;

– поджоги, броски канистр и иных емкостей с легко воспламеняющимися жидкостями и смесями;

– нападения, вторжения, захваты, пикетирования, блокирования;

– акты вандализма, повреждение входных дверей, решеток, ограждений, витрин, витражей, мебели, а также транспортных личных и служебных средств.

Цель подобных акций:

– откровенный террор в отношении коммерческих структур;

– нанесение им серьезного материального и морального ущерба, который в ряде случаев составляет десятки тысяч долларов США;

– срыв на длительное время, порой до нескольких месяцев, нормального функционирования коммерческого предприятия;

– вымогательство значительных сумм денег или каких-либо льгот (кредиты, отсрочки платежей и т. п.) перед лицом террористической угрозы.

Одной из реальных мер обеспечения физической безопасности является доведение до служащих защищаемого объекта, которым может угрожать опасность, обязательных правил поведения с учетом сложившейся обстановки, характера угрозы, возможного времени и места ее реализации и мероприятий, обеспечивающих их безопасность. Однако способы реализации угроз могут быть самые различные. Поэтому данные указания и советы могут носить лишь общий характер, поскольку преступники находят все новые и новые пути для достижения своих целей.

Резюмируя, можно сказать, что в настоящее время ни один человек не может чувствовать себя в безопасности. Различного рода преступления не получили бы такого широкого распространения, если бы банкиры уделяли должное внимание организации работы СБ. Обеспечение личной безопасности – напряженная работа. Банкир может попасть в "зону риска", и применение определенных методов охраны требует определенной системы поведения не только от охранников, но и от объекта охраны. Это обусловлено тем, что преступники предварительно собирают информацию о жертве, изучают "слабые места" и широко ими пользуются. Без необходимой информации об объекте нападения значительно увеличивается степень риска для преступников. Поэтому необходимо скрывать любую информацию, которую преступник может использовать при подготовке или совершении преступления. Важно отметить, что убийства, как правило, остаются нераскрытыми, что наводит на естественную мысль о хорошей организации и подготовке преступников.

1.3. Угрозы информационной безопасности

Как считают западные специалисты, утечка 20 % коммерческой информации в шестидесяти случаях из ста приводит к банкротству фирмы. Ни одна даже преуспевающая фирма США не просуществует более трех суток, если ее информация, составляющая коммерческую тайну, станет известной. Таким образом, экономическая и информационная безопасность банка или фирмы тесно взаимосвязаны.

Уменьшение угрозы экономической деятельности банка предусматривает получение информации о конкурентах. Поэтому, вполне естественно, уменьшение данной угрозы для одних банков влечет за собой увеличение угрозы экономической деятельности для других банков. Это стало возможным из-за наличия промышленного и, в частности, банковского шпионажа.

Ущерб от деятельности конкурентов, использующих методы шпионажа, составляет в мире до 30 % всего ущерба, а это – миллиарды долларов. Точную цифру убытков указать нельзя по следующей причине: ни ЗЛ, ни пострадавшие не стремятся предать гласности совершенные действия. Первые, боясь ответственности за содеянное, а вторые – из-за боязни потерять имидж. Этим объясняется высокий уровень латентности правонарушений и отсутствие о них информации в открытой печати. Поэтому до читателей доходит менее 1 % от всех случаев нарушений, которые обычно имеют уголовный характер и которые скрыть нельзя.

Банковский шпионаж использует самые разнообразные приемы: «классические» методы шпионажа (шантаж, подкуп и т. п.), методы промышленного шпионажа, несанкционированное использование средств вычислительной техники, аналитические методы. Возможность использования указанных методов появилась потому, что банковская информация имеет различные формы представления (документ, человеческая речь, машинный носитель и т. п.) и, следовательно, различные способы ее передачи, хранения и обработки. Поэтому спектр угроз информационной безопасности весьма широк.

Промышленный шпионаж достаточно развит в западных странах. Сотни фирм специализируются на изготовлении средств технической разведки и на проведении мероприятий по промышленному шпионажу. В последнее время он получил распространение и в нашей стране. Масштабы промышленного шпионажа можно оценить хотя бы по следующему факту – на проходившей в 1995 году выставке-продаже зарубежных и отечественных средств технической разведки было продано 70 тыс. единиц средств добывания информации и только единицы их поиска и борьбы с ними. А всего на выставке было представлено более 2000 видов различных устройств. В настоящее время около 200 российских и зарубежных фирм торгуют на территории России и стран СНГ средствами промышленного шпионажа и контршпионажа. Рост конкуренции стимулирует спрос на оборудование промышленного шпионажа.

За последнее время накопилось немало примеров, когда потери коммерческих структур от утечки информации за счет промышленного шпионажа превосходили размеры прямых потерь от краж или разбойных нападений. Нельзя недооценивать возможности промышленного шпионажа и ущерб, который он может принести банку или фирме. Страшно представить, какой ущерб может принести банку закладное устройство стоимостью всего $10 в случае его удачного размещения. Примеров тому достаточно – читатель сам знает о них, а исходя из ранее сказанного они (примеры) не приводятся.

Используют средства и методы промышленного шпионажа, как правило, либо недобросовестные конкуренты, либо мафиозные структуры. Причем последние, в отличие от примитивной уголовщины, имеют свою собственную разведку и контрразведку, а на их техническое оснащение новейшими и дорогостоящими средствами не жалеют денег.

Противодействие получению информации с помощью технических средств разведки (ПДТР) достаточно сложно и по силам только специалистам, имеющим практический опыт. Это объясняется следующими основными причинами:

– в общем случае неизвестно, кто, когда, в каком месте и каким образом попытается получить информацию;

– приобретение средств промышленного шпионажа не вызывает затруднений;

– правовая регламентация использования средств промышленного шпионажа несовершенна. С помощью средств промышленного шпионажа не только различными способами подслушивают или подсматривают за действиями конкурентов, но и получают информацию, непосредственно обрабатываемую в средствах вычислительной техники. Это уже стало повседневным явлением (например, съем информации с дисплеев или линий связи ЭВМ). Однако наибольшую опасность здесь составляет непосредственное использование ЗЛ средств вычислительной техники, что породило новый вид преступлений – компьютерные преступления, т. е. несанкционированный доступ к информации (НСД), обрабатываемый в ЭВМ.

Рис 1. Проблемы и направления обеспечения безопасности

По мнению зарубежных экспертов, ущерб, нанесенный банкам США за счет несанкционированного использования вычислительных сетей путем введения и «навязывания» ложной информации из Москвы и Санкт-Петербурга российскими мафиозными структурами, только за I квартал 2005 года составил $300 млн.

Контрольные проверки, проведенные несколько лет назад по просьбе ряда банков Москвы специалистами Гостехкомиссии России и Российского центра «Безопасность», показали, что при использовании вычислительных сетей относительно просто войти в базы данных, считать и изменять их содержимое, подделывать переводы и т. п.

Приведенные примеры показывают, что использование средств вычислительной техники раскрывает новую область для промышленного шпионажа. При этом ЗЛ могут не только получить доступ к открытой информации, но и к информации, содержащей коммерческую и государственную тайну. Если студент-хакер может войти в сеть НАТО, как это было совсем недавно, и получить секретную ключевую информацию, то в коммерческую вычислительную систему может войти и программист-профессионал, оставшийся без работы и нанятый конкурентами или мафиозными структурами. А если можно войти в вычислительную систему, то можно не только получить информацию, но и всю ее уничтожить, модифицировать или манипулировать. В силу этого банк или фирма потерпят убытки или станут на грани финансового краха из-за невозможности выполнения своих функций.

В настоящее время в зарубежных странах появились информационные брокеры, которые с помощью хакеров взламывают СЗИ, получают информацию, а затем ее продают. Покупателями могут быть как конкуренты пострадавшей фирмы, так и сама пострадавшая фирма.

Понятие "компьютерная преступность" включает в себя несколько позиций. В него входят несанкционированное проникновение в сети, хищение времени ЭВМ и изменение информации ("логической бомбы", вирусы и т. д.), также противоправные действия с использованием компьютерной техники:

– различные виды мошенничества, связанные с неправомерным использованием пользовательских терминалов, осуществление международных денежных переводов (вследствие чего фирмы несут убытки, исчисляемые сотнями тысяч долларов), незаконное изготовление и подделка электронных средств платежа и их использование для хищения наличных средств из банкоматов;

– несанкционированное тиражирование компьютерных продуктов и т. д. (компьютерное пиратство);

– компьютерный саботаж;

– распространение по международным информационным сетям материалов порнографического содержания, экономический шпионаж и пр.

Более подробно о преступлениях в сфере компьютерной информации, согласно российскому законодательству, см.: Комментарий к уголовному кодексу РФ. М., Юрист, 1997 г., ст. ст. 272–274.

В части компьютерных преступлений Россия не отстает от зарубежных стран. В 2001 году начальник отдела автоматизации неторговых операций вычислительного центра Внешэкономбанка совершил кражу на сумму $12500 CША. Из материалов уголовного дела, возбужденного по факту кражи, следует, что хищение валютных средств было выполнено с помощью несанкционированного изменения не только программного обеспечения, но и манипуляций с данными по счетам клиентов банка. Имея возможность доступа к ЭВМ по роду своих служебных обязанностей, начальник отдела автоматизации незаконным путем создал излишки валютных средств (резерв) на некоторых счетах, которые впоследствии, также незаконным путем, перераспределялись на другие счета, в том числе открытые по поддельным документам. Информация на машинных носителях ЭВМ о движении средств по этим счетам впоследствии корректировалась с целью пополнения на них запасов валютных средств. Компьютерная система банка в данном случае служила инструментом, аналогичным по функциональному назначению средствам, обычно используемым для подделки документов.

Необходимость совершенствования защиты банковской информации и телекоммуникационных систем подтверждается растущим числом фактов незаконного обладания финансовой информацией.

ЦБ России в 2006 году выявил подделанных финансовых документов на сумму около 450 млн. рублей. Это стало возможным благодаря использованию новой СЗИ компьютерной и телекоммуникационной сети. Точной цифры потерь российских коммерческих банков, обусловленных недостаточностью внимания к безопасности информации, не знает никто. Однако есть все основания предполагать, что они большие.

Противодействовать компьютерной преступности сложно, что главным образом объясняется:

– новизной и сложностью проблемы;

– сложностью своевременного выявления компьютерного преступления и идентификации ЗЛ;

– возможностью выполнения преступлений с использованием средств удаленного доступа, т. е. ЗЛ на месте преступления нет;

– трудностями сбора и юридического оформления доказательств компьютерного преступления.

Учитывая большой ущерб от компьютерных преступлений, в настоящее время стали широко внедряться криптографические средства защиты информации, которые обладают гарантированной стойкостью защиты. Однако и они не являются панацеей для защиты информации, т. к. защищают только часть спектра, а не весь спектр угроз информационной безопасности.

Промышленный шпионаж широко использует опыт военной разведки, из которого известно, что 90 % информации о противнике можно получить косвенным путем. При этом источниками информации о конкурентах являются:

– информация, содержащаяся в средствах массовой информации, целенаправленная на исследуемый объект;

– сведения, распространяемые непосредственно конкурентом, его служащими или клиентами;

– финансовые отчеты, проспекты, брошюры, рекламные издания, запросы и т. д.;

– переговоры со служащими и клиентами конкурента;

– непосредственное наблюдение за объектами конкурентов. Сбор подчас многочисленных и отдельно взятых незначительных сведений позволяет получить практические прогнозы и нередко – достоверные выводы об экономическом состоянии конкурента для принятия тактических и стратегических решений в целях обеспечения собственной экономической безопасности. Например, регулярные наблюдения за автомашинами, подъезжающими к зданию банка-конкурента, позволяют выявить его клиентов, их взаимоотношения с банком, деловую активность банка и т. д.

Знания о покупках программного обеспечения для средств вычислительной техники позволяют направить исследования с целью выявления недокументированных функций и последующее их использование для нарушения работы средств вычислительной техники.

Незначительная на первый взгляд информация при значительном объеме обеспечивает переход количества в качество при ее обобщении и аналитической обработке.

1.4. Угрозы материальной безопасности

В последние годы участились нападения на банки и их филиалы.

Особую проблему составляет обеспечение безопасности при перевозке денежных средств. Один из фактов: в Екатеринбурге совершено нападение – пропали сотрудники УБРР и один миллиард рублей. Этот пример показывает высочайшую подготовку и прекрасное информирование преступников о деятельности СБ.

Защита банков и инкассаторов от ограбления в значительной степени зависит от их технической оснащенности. Если защита банков традиционна, то техническое оснащение инкассаторов требует специальных автомашин-сейфов, закрывающихся кодовыми замками, которые невозможно открыть в пути. Поэтому деньги можно похитить только вместе с машиной.

Следует особо отметить, что нападения на инкассаторов в большинстве случаев совершаются при участии или наводке сотрудника ограбленной коммерческой структуры. Таким образом, СБ должна вести работу с персоналом для выявления их сомнительных связей и т. п. Подобная деятельность носит название "обеспечение внутренней безопасности".

Годы труда могут пойти прахом за считанные секунды. Выживание или крах коммерческой организации часто зависит от степени готовности СБ к различного рода неожиданностям. Приведем лишь три примера.

В 1989 г. небольшой пожар в помещении страховой компании Penn Mutual уничтожил информацию в компьютерном зале компании, т. к. 15 млн. литров воды залили его.

Аналогичный пример пожара в 1995 г. имел место в Москве в Промстройбанке, где погиб один человек и был нанесен ущерб в размере 10 млн. долларов. По словам председателя правления, банковская информация не пострадала, однако он признал, что банк не готов к подобным чрезвычайным последствиям (МП) с точки зрения ее защиты.

В мае 1996 г. пожар во французском банке "Кредит лионз" нанес ущерб в 350 млн. долларов.

Следует обратить внимание на высокий процент ущерба от пожаров, связанных с поджогами. Так, в США поджог – самый быстрорастущий вид преступления, и каждый второй пожар вызван поджогом. Как показали исследования, такая статистика типична для многих стран и не зависит от типа политического или государственного устройства.

Журнал «Survivel» сообщает, что 150 из 350 деловых организаций, функционировавших в Международном торговом центре до взрыва в 1993 г., спустя год прекратили свое существование.

Бедствия, такие как пожары, взрывы, ураганы, наводнения, землетрясения, нарушения электропитания и т. п. трудно предсказуемы, хотя и относительно редкие, но могут привести к значительным убыткам. Но восстановление деловой активности после подобных ситуаций должны быть четко спланированы СБ. Централизованное управление процессом восстановления важно для поддержания деятельности организации, ее способности предоставить заказчикам хотя бы минимум услуг, иначе коммерческий крах неизбежен.

Вопрос 2. Анализ современного состояния проблемы безопасности

Обобщая и анализируя вышеприведенные примеры угроз безопасности, можно выделить три основные составляющие проблемы безопасности:

1. Правовая защита.

2. Организационная защита.

3. Инженерно-техническая защита.

Раскроем содержание каждого направления. Смысл обеспечения правовой защиты ясен из самого названия. Организационная защита включает в себя охрану и режим работы объекта. Под инженерно-технической защитой понимается совокупность инженерных, программных и других средств, направленных на исключение угрозы безопасности.

Вполне естественно, что для каждого вида угроз безопасности должны использоваться различные правовые, организационные и инженерно-технические мероприятия. Это обусловлено различным характером угроз. Целью анализа является рассмотрение возможности СБ предупредить, выявить и «устранить» ЗЛ.

Анализ зафиксированных фактов и уголовных дел, связанных со всеми видами безопасности, свидетельствует о стремительном росте правонарушений. Убийства, мошенничество, промышленный шпионаж и т. п. уже превратились в реальный фон деятельности как государственных, так и коммерческих структур. Положение можно охарактеризовать, как напряженное, что обусловлено:

– крайне тяжелой экономической обстановкой в стране, расслоением общества на "очень богатых" и "очень бедных", падением уровня социальной защиты населения;

– отсутствием должной координации деятельности правоохранительных органов, специальных служб, суда, прокуратуры и негосударственных СБ;

– сложностью учета правонарушений в экономической сфере;

– отсутствием необходимого опыта выявления и пресечения новых видов преступлений в экономике;

– ухудшением криминогенной обстановки.

Учитывая международный характер и масштабы преступлений, их предотвращение и борьба с ними требует активных международных усилий. Даже самое идеальное решение правовых и законодательных вопросов обеспечения безопасности не обеспечит ее сохранения, если не будет работать организационный механизм, претворяющий в жизнь данные положения. В настоящее время такой механизм только зарождается, его развитию препятствует политическая и экономическая нестабильность.

Анализ возможностей технического обеспечения блокирования угроз безопасности (инженерно-техническая защита) может быть проведен из расчета того, что ЗЛ (конкуренты и мафиозные структуры) и СБ обладают одинаковыми возможностями в оснащении.

Мировой уровень технического состояния противодействия попыткам нарушения безопасности достаточно высок. Однако для практической деятельности необходимо выполнение двух основных условий:

– наличие средств на закупку и эксплуатацию СЗ,

– наличие необходимого уровня подготовки персонала.

При наличии этих основных условий можно противостоять любым попыткам злоумышленных действий, однако в настоящее время главный акцент в деятельности СБ коммерческих структур пока грешит силовым подходом к проблеме безопасности в целом, делая ставку на мускулы охранников, а не на интеллект и техническую оснащенность. Попутно отметим, что имеющийся сейчас силовой подход имеет низкий уровень подготовки, который не соответствует сложившейся криминогенной обстановке и международной практике.

Представляет интерес сравнение объема финансирования СБ стран Западной Европы и России. Первые расходуют от 15 до 25 % годовой прибыли. Анализ средств, расходуемых на содержание СБ коммерческими банками России, показывает, что многие из них тратят менее 1 % от годовой прибыли. Дальнейшее ухудшение криминогенной ситуации в России неизбежно приведет российских бизнесменов к необходимости тратить на безопасность фирмы или банка столько же, сколько их западные коллеги, если не больше.

Вывод: обеспечение безопасности является одним из базовых факторов, определяющих как саму возможность экономической деятельности, так и ее стратегические направления.

Несовершенство правового законодательства и, как следствие, отсутствие единого отлаженного механизма обеспечения безопасности коммерческой деятельности приводит к тому, что основная тяжесть данной проблемы ложится непосредственно на коммерческие структуры.

Однако в настоящее время появилась тенденция к стабилизации положения в области безопасности коммерческой деятельности.

Лекция 2. Правовые вопросы обеспечения безопасности

Учебные вопросы:

1. Основные условия успешного решения проблем правового обеспечения деятельности в области безопасности.

2. Государственная политика обеспечения безопасности.

3. Организационно-правовое обеспечение защиты информации.

Вопрос 1. Основные условия успешного решения проблем правового обеспечения деятельности в области безопасности

Ряд экспертов в области безопасности, исходя из опыта развития ситуации в последние 30–40 лет, пришли к заключению, что в качестве основополагающих предпосылок успеха в решении проблем правового обеспечения деятельности в этой сфере можно выделить следующие три, приведенные ниже.

1. Совершенствование законодательства.

В передовых странах с развитыми системами имущественного страхования большинство людей беспечно относится к вопросам охраны своей собственности в силу того, что уверены в получении страхового возмещения в случае кражи имущества. Это обстоятельство существенным образом облегчает задачу для потенциального преступника. С другой стороны, легкость достижения преступной цели толкает многих на неправедный путь.

На вопрос, над которым ломает голову общественность, кто больше виноват: собственник ли, беспечно и легкомысленно оставивший имущество без присмотра, или воришка, соблазнившийся на легкую добычу, в последнее время юристы склонны отвечать теорией о так называемой обоюдной ответственности. Человек слаб и зачастую не в силах устоять перед искушением, за малым прегрешением следует более серьезное, правонарушитель превращается в преступника, в результате криминогенная ситуация в обществе обостряется.

В настоящее время у специалистов-правоведов не вызывает сомнения, что разработка и принятие законодательных норм, предписывающих обязательное для собственника осуществление минимума мер в области обеспечения безопасности любых объектов собственности, способствовало бы сокращению преступных посягательств против собственности.

Понятие тайны, секрета тесно связано с понятием собственности. В рыночной экономике каждый собственник, в том числе и любой хозяйствующий субъект, обладает естественным правом за свой собственный счет охранять свои имущественные интересы и права (в том числе право на коммерческую тайну), естественно, без ущерба правам и интересам других собственников и общества в целом. Охранять это право – дорогостоящее дело. Обеспечивать безопасность объектов собственности, к примеру, засекречивать информацию "с запасом" объявляя ее коммерческой тайной, просто невыгодно. Коммерческая тайна наряду с рекламой – элемент маркетинга, и никто, кроме самого собственника и управляющего предприятием, отвечающих за получение прибыли и упущенную выгоду, не может определить необходимые объемы информации, требующие защиты, и соответствующие затраты, которые можно себе для этого позволить.

Казалось бы, противоречие неразрешимо? И все же специалисты склоняются к необходимости учитывать универсальный принцип о том, что право вообще и право собственности, в частности, неразрывно связаны и с определенными обязательствами, налагаемыми на их обладателей.

Так, ряд специалистов в нашей стране полагают, что внесение, к примеру, в банковское законодательство положений об обязательности принятия определенного минимума мер безопасности в наиболее уязвимых для преступных имущественных посягательств финансово-кредитных учреждениях, особенно привлекающих средства частных вкладчиков, способствовало бы сокращению преступности в этой сфере бизнеса. Этому способствовало бы и введение обязательного технического аудита систем защиты, без которого было бы нельзя получить лицензию на этот вид деятельности. Более того, корректировка в этом направлении законодательных актов способствовала бы углублению в обществе понимания важности проблемы безопасности вообще.

2. Необходимость регулирования правоотношений в сфере производства систем и средств безопасности.

На Западе общественность уже давно склоняется к тому, чтобы в этой сфере было введено государственное регулирование и лицензирование (как это уже имеет место в Израиле и некоторых штатах США). Одним из элементов государственного регулирования должно быть создание необходимой организационно-правовой и научно-технической базы лицензирования и сертификации, специальных аттестационных и сертификационных центров и лабораторий для проведения тестирования, чтобы пользователь мог иметь возможность отличить хорошее от дурного. Несомненно, что внедрение государственного регулирования в этой области является важным шагом на пути обуздания преступности.

3. Совершенствование систем страхования, связанного с обеспечением безопасности.

Ввиду резкого роста экономических преступлений в настоящее время (и в нашей стране это особенно) имущественное страхование становится все более рискованным и менее прибыльным. Очевидна взаимосвязь между страхованием имущества от всевозможных рисков, в том числе связанных с преступными посягательствами и положением дел в области производства и внедрения эффективных средств и систем защиты. Беспечный и легкомысленный собственник, оставляющий раскрытыми настежь двери и окна пустующего дома, провоцирующий тем самым преступника на совершение противоправных деяний, вряд ли может рассчитывать в случае совершения кражи на автоматическое страховое возмещение в полном объеме. Иначе выплата этого возмещения фактически означала бы прямое субсидирование криминального бизнеса. Процесс страхования поэтому сочетается с мерами, побуждающими собственника-страхователя обеспечивать необходимую безопасность своего имущества.

Размеры страховых взносов (премий), сумм возмещений и другие условия договоров имущественного страхования должны напрямую зависеть от эффективности мер безопасности, предпринимаемых страхователем, разумный обязательный минимум которых было бы целесообразно закрепить законодательно. Кроме того, желательно страхуемому собственнику одновременно с выдачей страхового полиса обеспечить возможность получения специальной подготовки и консультаций (плата за которые входила бы в стоимость полиса), относительно выбора в зависимости от существования тех или иных рисков и угроз подходящего оборудования и систем безопасности, а также их последующего внедрения. В ряде стран (США, Канада, Израиль) такого рода механизм уже запущен, что способствует сдерживанию роста преступлений против личности и собственности.

В условиях нынешней российской действительности, когда страховой рынок лишь формируется, главной заботой многих страховых компаний, к сожалению, является выдача страхового полиса и получение премии. О возможных финансовых последствиях заключенного страхового соглашения страховщики задумываются не всегда, да и порой недосуг, так как подвергать серьезной оценке принимаемые на страхование объекты некогда: того и гляди клиента перехватит менее разборчивый страховщик. Такая ситуация продлится недолго, еще несколько крупных убытков и отечественные страховщики также поймут, что выгоднее прибегнуть заблаговременно к услугам квалифицированных экспертов для оценки страхуемого риска, чем страховать объекты, состояние которых, в том числе эффективность систем обеспечения их безопасности, остается для страховой компании тайной за семью печатями.

Вопрос 2. Государственная политика обеспечения информационной безопасности

2.1. Принципы государственной политики

Информация и информационные ресурсы, как продукты общественного производства, являются объектами права собственности и, следовательно, имеют своих собственников и потребителей (пользователей).

Государственная политика обеспечения информационной безопасности основывается на следующих принципах:

– государство обеспечивает контроль за созданием, сохранностью и использованием национальных информационных ресурсов, а также способствует предоставлению гражданам доступа к мировым информационным ресурсам;

– государство обеспечивает право граждан свободно искать, получать, передавать, производить и распространять информацию любым законным способом;

– засекречивание есть исключение из общего права на доступ к информации; рассекречивание информации осуществляется в установленном законом порядке;

– ответственность за сохранность информации, ее засекречивание и рассекречивание персонифицируется;

– любое юридическое или физическое лицо, собирающее, накапливающее и обрабатывающее персональные и любые другие конфиденциальные данные, несет ответственность перед законом за их сохранность и использование;

– перечни сведений, могущих быть отнесенными к конфиденциальной информации или, наоборот, не могущие быть отнесены к таковым, определяются установленным законом порядком;

– интересы собственников, владельцев и распорядителей информационных ресурсов охраняются законом.

Для претворения в жизнь изложенных принципов необходима соответствующая инфраструктура информационной безопасности.

2.2. Деятельность государства по обеспечению информационной безопасности

Характерной особенностью настоящего этапа развития информационной безопасности является переход от ведомственных, в основном технократических подходов, к комплексному государственному. Возглавляет данную работу Совет Безопасности Российской Федерации. Он поднимает вопрос о разработке конституционных законов в сфере информатизации и информационной безопасности.

Для выработки государственной политики и координации организационно-правовой деятельности в данной сфере в соответствии с Законом РФ "О безопасности" в Совете Безопасности Российской Федерации создана Межведомственная комиссия по информационной безопасности.

Межведомственная комиссия формирует общегосударственный механизм выявления угроз и защиты интересов России в информационной сфере. При этом выделяются три основных направления ее деятельности, а именно обеспечение:

– защищенности системы формирования информационных ресурсов;

– необходимого уровня защищенности применяемых технологий передачи и обработки информации;

– конституционных прав и свобод граждан, законных интересов государства и общества в сфере информатизации.

Таблица 1.

Основные отличия информационного права

Таблица 2.

Классификация защищаемой информации

Межведомственной комиссией принят проект единой концепции информационной безопасности России, правовую основу которой составляют:

1. Конституция Российской Федерации.

2. Законы:

– "О безопасности";

– "О государственной тайне";

– "Об информации, информатизации и защите информации",

– "О коммерческой тайне";

– "О персональных данных".

Ключевым элементом концепции является отказ от взгляда на необходимость защиты только секретной информации и переход к осознанию необходимости защиты любого информационного ресурса, ценного для его владельца или собственника.

По оценке специалистов в сфере информации около 80 % составляет беспатентная неавторизованная часть, т. е. та информация, которая может быть защищена классическими средствами патентного права. В то же время среди информации этого типа существует такая, которую можно, при определенных условиях, использовать во вред законным интересам граждан, субъектов хозяйственной деятельности, государства и общества.

В зависимости от типа защищаемых информационных ресурсов система обеспечения информационной безопасности должна создаваться на соответствующих правовых и организационных основах (рис. 1.).

Рис. 1. Правовое и организационное обеспечение безопасности

Вопрос 3. Организационно-правовое обеспечение защиты информации

3.1. Правовое регулирование и организация работ по защите информации

Вопросы развития и внедрения безопасных информационных технологий тесным образом связаны не только с решением научно-технических проблем, но и с вопросами правового регулирования общественных отношений в процессе информатизации. При этом их решение в большей степени зависит не только от уровня развития вычислительной техники, но и от признания за информацией статуса товара, продукта общественного производства. Установление в законодательном порядке права собственности на информацию является важнейшим аспектом формирования информационной политики государства.

Первым шагом в направлении создания правовых норм, закрепляющих права и обязанности граждан, коллективов и государства на информацию, явилось принятие Закона РФ "Об информации, информатизации и защите информации" (приложение к главе 4). В нем определен правовой режим информации, правила, процедуры и распределение ответственности в области защиты информации в системах ее обработки, установлен порядок правовой защиты и гарантии реализации прав и ответственности субъектов информационных взаимоотношений.

В области информатизации закон разработан как базовый для дальнейшего развития законодательства, разработки подзаконных актов и организационных структур в этой области.

Согласно упомянутому Закону "Об информации, информатизации и защите информации" (ст. 2), собственник информационных ресурсов – субъект, в полном объеме реализующий полномочия владения, пользования и распоряжения ими.

Информационные ресурсы (согласно ст. 6 того же Закона) могут быть государственными и негосударственными и как элемент состава имущества находятся в собственности юридических и физических лиц. Отношения по поводу права собственности на информационные ресурсы регулируются в том числе и гражданским законодательством.

Правовой режим информационных ресурсов (ст. 4) определяется:

– порядком документирования информации;

– правами владения, пользования и распоряжения на отдельные документы и массивы документов в информационных системах;

– категорией информации по уровню доступа к ней;

– порядком правовой защиты информации. Собственник информационных ресурсов (в соответствии с п. 7 ст.6 Закона) имеет закрепленное законодательством РФ право:

– назначать лицо, осуществляющее хозяйственное ведение информационными ресурсами или оперативное управление ими;

– устанавливать в пределах своей компетенции режим и правила обработки, защиты информационных ресурсов и доступа к ним;

– определять условия распоряжения документами при их копировании и распространении.

Формирование рыночных экономических отношений в нашей стране совместно с поддержанием на должном уровне деятельности по обеспечению сохранности государственных секретов требует и усиленного внимания к вопросам промышленной и коммерческой тайны, так как институт коммерческой тайны является одновременно с авторским и патентным правом одной из правовых форм защиты интеллектуальной собственности.

В гл. 6 ГК РФ (ст. 128, 138) среди объектов гражданских прав предусмотрена информация, результаты интеллектуальной деятельности, в том числе исключительные права на них (интеллектуальная собственность), а также защита информации, составляющей служебную или коммерческую тайну (ст. 139).

Согласно ст. 139 действующего ГК РФ, информация составляет служебную или коммерческую тайну в случае, если она имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам; к ней нет свободного доступа на законном основании; обладатель информации принимает меры к охране ее конфиденциальности. Эта статья ГК усиливает возможность запрета отнесения к коммерческой тайне тех или иных сведений, поскольку в ней содержится норма, согласно которой "сведения, которые не могут составлять служебную или коммерческую тайну, определяются законом или иными правовыми актами", то есть и подзаконными в том числе.

Согласно этой же статье ГК РФ, лица, незаконными методами получившие информацию, которая составляет служебную или коммерческую тайну, обязаны возместить причиненные убытки. Такая же обязанность возлагается на работников, разгласивших служебную или коммерческую тайну вопреки трудовому договору, в том числе по контракту, и на контрагентов, сделавших это вопреки гражданско-правовому договору.

Ст. 183 Уголовного кодекса РФ предусматривает уголовную ответственность за "незаконное получение и разглашение сведений, составляющих коммерческую или банковскую тайну". При этом законодателем предусмотрены два состава преступления:

– собирание сведений, составляющих коммерческую или банковскую тайну;

– разглашение или использование указанных сведений без согласия владельца.

Собирание указанных сведений представляет собой формальный состав, т. е. для наступления уголовной ответственности достаточно самого факта собирания сведений, составляющих коммерческую или банковскую тайну независимо от наступления вредных последствий.

Уголовная ответственность за разглашение или использование подобных сведений без согласия владельца наступает в случае причинения указанными действиями крупного ущерба. Субъектами этого преступления являются лица, обладающие соответствующей информацией в связи со служебной или профессиональной деятельностью.

Из упомянутых правовых норм следует, что коммерческой тайной предприятия может быть все, что не запрещено законом или иными правовыми актами, охраняется предприятием и имеет ценность для предпринимательской деятельности, давая преимущество перед конкурентами, не владеющими ею.

Таким образом, фиксируется право собственника охранять свои интересы во взаимоотношениях со всеми субъектами рынка, включая государство. С юридическим закреплением понятия "коммерческая тайна" ко всему действующему массиву секретов в нашей стране, в том числе принадлежащих государству и им защищаемых (государственные секреты), добавился подмассив секретов, принадлежащих предприятию (служебные и коммерческие секреты), которые предприятие имеет право защищать, руководствуясь соображениями экономической безопасности и конкурентной борьбы.

Реализация этого права осуществляется предприятием в соответствии со ст. 139, 421 ГК РФ путем создания и поддержания на договорной основе с другими физическими и юридическими лицами систем безопасности предприятия и защиты коммерческой информации, включающих в себя комплекс правовых, организационных, инженерно-технических, социально-психологических и иных мер, основывающихся на административно-правовых нормах РФ и организационно-распорядительных документах руководства предприятия (см. приложение к главе 5). Введение их в действие на предприятии приказом руководства является необходимым условием функционирования системы защиты коммерческой тайны, поскольку эти документы представляют собой основной пакет нормативных документов, регулирующих правовые отношения в процессе обеспечения безопасности и защиты его коммерческой тайны на предприятии.

Правовые аспекты защиты информации наиболее тесно связаны с вопросами организации работ и процедурами технологического процесса обработки информации.

Зарубежные исследования показывают, что несмотря на успехи отдельных хакеров в проникновении в компьютерные системы и сети, большую опасность представляют законные пользователи этих систем и сетей, которые повинны в 80 % правонарушений.

Учитывая то обстоятельство, что терминалами автоматизированных систем (АС), узлами сетей и даже отдельными ПЭВМ в нашей действительности пользуется большое количество официально допущенных к работе пользователей, задача поиска правонарушителя серьезно затрудняется.

Хотя в состав программного обеспечения АС, не говоря уже о современных системах защиты информации от несанкционированного доступа (НСД), входят средства контроля и протоколирования действий пользователя и посторонних лиц, доказать вину конкретного субъекта, предъявляя ему в качестве улики его идентификатор или пароль, достаточно сложно по двум причинам:

1) юридически очень сложно доказать, что эти атрибуты сохраняются в надлежащей тайне, к тому же пароли часто бывают групповыми;

2) такие улики и способ их нахождения не зафиксированы законодательно.

Указанными причинами и объясняется рост компьютерной преступности как со стороны хакеров, так и законных пользователей АС. Положение с организацией противодействия компьютерной преступности в настоящее время очень сложное, что обусловлено рядом причин:

– отсутствие опыта применения законодательства, предусматривающего административную, гражданскую, материальную и уголовную ответственность за компьютерные правонарушения;

– отсутствием должной координации деятельности по борьбе с компьютерной преступностью правоохранительных органов, специальных служб, органов суда и прокуратуры;

– отсутствием в системе правоохранительных органов, органах суда и прокуратуры специально подготовленного состава, способного осуществлять выявление, предупреждение и пресечение компьютерных преступлений;

– отсутствием учета правонарушений, совершаемых с использованием средств информатизации;

– отсутствием необходимого технического и методического инструментария и опыта выявления и пресечения данного рода правонарушений;

– низким уровнем информационной и правовой культуры общества.

Любой закон будет действовать только при наличии механизма его реализации в виде организационных структур, обеспечивающих выполнение положений этого закона на всех уровнях управления.

Иерархическая структура управления деятельностью по обеспечению безопасности информации предусмотрена в Законе "Об информации, информатизации и защите информации" для координации, организационно-методического руководства деятельностью в этой области, контроля защищенности информации, осуществления других связанных с этим функций.

3.2. Административное регулирование вопросов защиты информации

Административное регулирование и практическая деятельность в области защиты информации в нашей стране была связана, в основном, с защитой государственных секретов в традиционной сфере обращения документов и в меньшей степени их защите при автоматизированной обработке.

В результате к концу 80-х годов сложилась ситуация, когда на государственном уровне отсутствовали утвержденные нормативно-технические требования по защите информации от НСД.

Единственным официальным документом, в очень общем виде определявшим требования в этой области, была инструкция по секретному делопроизводству, в ряде разделов которой содержались некоторые рекомендации по вопросам организации автоматизированной обработки информации. Это не означало, что в стране не занимались вопросами защиты от НСД, но организована эта работа была и координировалась на отраслевом уровне.

Для устранения этого недостатка Межведомственная комиссия осуществляет интеграцию, предусматривающую реализацию единой научно-технической политики по комплексной защите информации на всех уровнях управления силами Гостехкомиссии России. Таким образом, данная государственная система защиты информации осуществляет:

– координацию деятельности органов и организаций в области защиты информации, обрабатываемой техническими средствами;

– организационно-методическое руководство этой деятельностью, включая утверждение нормативно-технической документации;

– разработку и финансирование научно-технических программ по созданию средств защиты информации;

– лицензирование деятельности предприятий по оказанию услуг в этой области;

– функции государственного органа по сертификации продукции по требованиям безопасности информации.

Государственная система защиты информации дополняется системой контроля защищенности информации в лице уполномоченных государством органов (Гостехкомиссией РФ), осуществляющих обязательный контроль за выполнением требований по защите информации, являющейся собственностью государства. Такие контрольные органы могут предоставлять для собственников негосударственной конфиденциальной информации услуги по оценке соответствия уровня защищенности этой информации установленным требованиям, о чем подробно написано в главе 19.

Необходимость существования государственной системы защиты информации и соответствующих организационных структур подтверждается не только в условиях так называемой административно-командной системы, но и в странах с развитыми рыночными отношениями. Зарождающаяся правовая основа защиты информации, приобретающая особенно большое значение в условиях сосуществования различных форм собственности, может опираться только на конкретные организационные структуры, осуществляющие законотворческую деятельность и являющиеся базой механизма реализации законов. Нельзя забывать, что и органы юстиции, являющиеся неотъемлемой принадлежностью любого государства, в случае противоправной деятельности по отношению к информации, должны опираться на определенные организационные структуры.

Важными элементами государственной системы защиты информации являются подсистемы лицензирования деятельности предприятий по оказанию услуг в области защиты информации и сертификации средств защиты информации. Функционирование указанных систем должно стимулировать разработку и внедрение современных, высококачественных технических средств и защитить потребителя продукции и услуг от недобросовестной работы исполнителя.

3.3. Система лицензирования

Система лицензирования направлена на создание условий, при которых право заниматься работами по защите информации для стороннего заказчика предоставлено только организациям, имеющим на этот вид деятельности соответствующее разрешение (лицензию). Это диктуется тем обстоятельством, что государственным и, в конечном счете, коммерческим структурам необходима доброкачественная продукция, действительно обеспечивающая защиту информации.

Система лицензирования в области защиты информации в настоящее время основана на Законе "О государственной тайне"; Положениях "О лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны" и "О государственном лицензировании деятельности в области защиты информации".

В Законе "О государственной тайне" (ст. 27) вводится новая правовая норма – обязательное лицензирование деятельности предприятий, учреждений и организаций при их допуске к выполнению работ, связанных с использованием сведений, составляющих государственную тайну; к созданию средств защиты информации, а также к осуществлению мероприятий и оказанию услуг по защите государственной тайны.

Организационную структуру системы государственного лицензирования образуют:

– государственные органы по лицензированию;

– лицензионные центры;

– предприятия, претендующие на получение лицензии;

– предприятия-потребители услуг и продукции.

Следует отметить, что указанный пакет документов предусматривает в качестве обязательного условия функционирование этой системы на предприятиях государственного сектора, которая в то же время может быть использована по желанию потребителя и на предприятиях с другими формами собственности.

Согласно положениям, предприятие-заявитель, претендующее на получение лицензии, может обратиться с соответствующей заявкой в любой из лицензионных центров по отраслевому или региональному признаку и после обследования, проведенного экспертной комиссией, учитывающей техническую оснащенность предприятия-заявителя, опыт практической работы и готовность персонала, наличие нормативно-технических документов в выбранном направлении деятельности, получить лицензию на право оказания услуг сторонним предприятиям в этой области. При этом закрепляется также положение об обязательной государственной аттестации руководителей предприятий, ответственных за защиту сведений, составляющих государственную тайну.

Следует отметить, что на проведение работ по защите информации в собственных нуждах приобретение лицензии не требуется.

3.4. Система сертификации

Под сертификацией продукции на требования безопасности информации понимается комплекс организационно-технических мероприятий, в результате которых посредством специального документа-сертификата и знака соответствия с определенной степенью достоверности подтверждается, что продукция соответствует требованиям стандартов по безопасности информации или иных нормативно-технических документов, утвержденных органом государственного управления в этой области (в настоящее время Гостехкомиссией РФ).

Система предусматривает сертификацию технических, программно-технических, программных средств, систем, сетей вычислительной техники, как законченной научно-технической продукции, средств защиты и контроля эффективности защиты по требованиям безопасности информации.

Основные принципы, организационная структура системы сертификации продукции по требованиям безопасности информации, а также правила проведения сертификации этой продукции изложены в "Положении о сертификации средств защиты информации".

Положение о сертификации средств защиты определяет.

1) структуру, взаимоотношения и права организаций, специализирующихся в области защиты информации;

2) необходимый комплекс сведений при решении двух практических задач, организации сертификации разработанных средств защиты; целесообразности заключения договоров о разработке и покупке средств защиты информации.

Система сертификации продукции по требованиям безопасности информации направлена на: обеспечение прав собственника и владельца информации (владельца автоматизированной системы); сохранение в тайне информации, обрабатываемой средствами вычислительной техники; исключение несанкционированного ее искажения или уничтожения; поддержание АС в управляемом состоянии. Она призвана обеспечить потребителям средств вычислительной техники (СВТ) и АС безопасную обработку любой конфиденциальной или иной ценной информации.

В то же время при реализации эта система требует объективности и независимости проведения испытаний образцов продукции и экспертизы результатов таких испытаний. Это возможно при выполнении следующих условий: наличия постоянного совершенствования нормативно-технических документов, определяющих требования к характеристикам защищенности продукции, использования в процессе испытаний сертифицированных тестовых средств при строгом соблюдении предписанных правил и процедур.

Следует отметить, что и в вопросах сертификации продукции в целом, в сертификации СВТ по требованиям безопасности информации мы значительно отстали от развитых зарубежных стран. В США, например, для обработки секретной и несекретной информации правительственных ведомств и фирм-подрядчиков Пентагона используется только сертифицированная по требованиям безопасности национальных стандартов программно-техническая продукция. В этих целях публикуются соответствующие каталоги защищенных СВТ, и на рынок поставляются серийные защищенные изделия.

3.5. Страхование информационных систем

Все более широкие слои общества пользуются услугами сберегательного банка, коммерческих банков, инвестиционных фондов, трастовых компаний, финансово-промышленных групп и других государственных и частных финансово-кредитных организаций. Для удовлетворения возрастающих потребностей общества в услугах финансовые учреждения постоянно совершенствуют свою работу в части внедрения современных технических и программных средств вычислительной техники, информационных систем и коммуникационных сетей передачи информации.

Использование эффективных информационных технологий обеспечивает огромные преимущества в процессе передачи, хранения и обработки потоков информации.

Такое положение, связанное с освоением современных информационных технологий, потенциально создает предпосылки для возникновения риска утраты важной государственной информации за счет ошибок, возникающих в технических и программных средствах вычислительной техники, ошибок и неквалифицированных действий обслуживающего персонала, несанкционированного действия третьих лиц, других причин. Имеются случаи воздействия "электронного пиратства" на сферу кредитно-финансовых банковских компьютерных систем.

С ростом и интеграцией компьютерных сетей (масштаба фирмы, банка, предприятия, города, региона), с появлением распределенных кредитно-финансовых сетей электронного межбанковского клиринга, программ типа «Клиент-Банк» и других прикладных коммуникационных систем возможные потери могут возрастать.

Статистика показывает, что среди информационных преступлений 30 % составляют раскрытие пароля, 22 % – несанкционированный доступ, 44 % – программные закладки, включая «вирусы», и 2 % – воздействие извне системы. Утечка только 20 % информации ведет к разорению 65 % фирм и компаний.

По некоторым оценкам, в прошлом году российская компьютерная индустрия потеряла из-за пиратства 75 млн. дол.

Поэтому информационная безопасность компьютерных систем и коммуникаций приобретает особую роль и становится одним из важнейших аспектов деятельности государственных и коммерческих организаций.

Информационная безопасность может быть достигнута в результате использования организационных мер защиты, а также программно-аппаратных комплексов защиты каналов связи, компьютерных систем и данных.

Однако информационную систему нужно не только эффективно защитить, но и убедить в надежности ее пользователей. Очевидно, и опыт это доказывает, достигнуть 100 % безопасности информации практически невозможно. Если система незащищена, риск потери информации составляет 50–60 %. Введение парольной защиты, разграничения доступа, криптографии снижает риск до 30 %, использование технических средств защиты от несанкционированных действий – 10 %. Снижение риска до 1 % (умышленные действия обслуживающего персонала) достигается полной изоляцией информационной системы или компьютера.

Следовательно, имеется реальная возможность наступления непредвиденного события (страхового случая), влекущего за собой потерю работоспособности сложных электронных систем, утрату конфиденциальной информации и потерю дохода.

Исходя из вышеизложенного и предположив, что наступление риска потери информации носит случайный характер, не зависящий от воли владельца информации, закономерно усиливается интерес к страхованию собственников и пользователей информационных систем, информационных ресурсов, технических и программных средств вычислительной техники.

Становление и постепенное расширение рыночных отношений коренным образом меняет место и роль страхования в защите экономических и информационных интересов предприятий и предпринимателей, объективно привязывают предпринимателей к страхованию.

Плата за страхование – страховые взносы есть плата за риск, плата за спокойствие в хозяйственной жизни.

Именно страховая компания, которая покроет риски финансового института, вкладчиков и разработчика информационной системы может стать гарантом информационной безопасности.

Интерес к страхованию усиливается и высокой степенью возникновения пожаров, аварий, нарастанием криминогенной обстановки. Государственная либо коммерческая организация, обеспечивая безопасность информации, в том числе страхованием информационных рисков, привлекает этим клиентов, повышает надежность информационных систем и получает дополнительную прибыль.

В условиях рыночных отношений особенно актуальной становится проблема обязательной и добровольной формы страхования. К приоритетным относятся те объекты (обязательное страхование), гибель которых задевает не только интересы страхователей, но и всего общества.

При обязательном страховании почти на одну треть снижаются размеры страховых выплат в связи со сплошным охватом объектов страхования.

Указом Президента от 6 апреля 1994 г. "Об основных направлениях государственной политики в сфере обязательного страхования" установлено, что при разработке проектов законов РФ по данным вопросам обязательного страхования должно обеспечиваться первоочередное правовое урегулирование видов, непосредственно направленных на защиту прав и свобод человека и гражданина, гарантированных Конституцией РФ.

Одной из форм возмещения ущерба является страховая защита в виде обязательного страхования информационных рисков.

Обязательное страхование становится необходимым тогда, когда наносимый страховыми случаями ущерб задевает интересы не только страхователя, но и государства, всего общества.

При этом и страховщики и страхователи обязаны в силу закона участвовать в проведении соответствующих видов страхования.

Понимая, что интересы граждан только тогда надежно защищены, когда существует механизм возмещения информационных рисков, связанных с информационной безопасностью, можно создать специализированную страховую компанию по страхованию информационных рисков.

К информационным рискам относятся риски, связанные с потерей или искажением информации в компьютерах, сетях и системах в результате:

– отказов, сбоев технических и программных средств;

– внедрения "вирусов";

– неумышленных действий обслуживающего персонала;

– несанкционированных действий;

– утечки информации за счет побочных электромагнитных излучений и наводок.

Субъектами страхования (страхователями) могут выступать Сбербанк России и его филиалы, коммерческие банки, акционерные общества, ассоциации, корпорации, государственные организации, учреждения и пользователи (информационных систем, информационных ресурсов, систем автоматизации банковской деятельности, автоматизации офисов, систем и сетей автоматизации повседневной деятельности, систем обработки документооборота, программных и технических средств вычислительной техники).

Объем страхового поля определяется количеством средств вычислительной техники и программного обеспечения, имеющихся у пользователей. В настоящее время объем страхового поля по компьютерам составляет $3.6 млрд. Учитывая, что стоимость программного обеспечения составляет ориентировочно 50 % и не все компьютеры объединены в сети, объем страхового поля следует увеличить на $1.8 млрд. Общий объем страхового поля составляет $5.4 млрд.

При охвате 5 % страхового поля страховая сумма составит $270 млн. При среднем тарифе 2 % страховой взнос равен $5.4 млн.

Через систему страхования перераспределяется только до 2,8 % валового продукта Российской Федерации, что почти в 4 раза меньше уровня индустриально развитых стран Западной Европы, США и Японии.

Учитывая, что информационные системы охватывают всю территорию России, имеется возможность к неуклонному расширению сферы деятельности, к постоянному увеличению числа страхователей, к расширению территории деятельности, к открытию и функционированию филиалов страховой компании на местах.

Это дает предпосылки для эффективного проведения страховых операций и создания необходимых резервов для осуществления выплат по страховым случаям, а также получения прибыли.

Вывод: в настоящих условиях хаотичного рынка средств защиты информации целесообразно придерживаться следующих правил:

1. Прежде чем заключать деловые контакты о разработке или покупке средств защиты у сторонних организаций необходимо выяснить: имеет ли данная организация лицензию на выполнение работ по защите информации, какой вид деятельности разрешен, и соответствует ли он данной работе, не просрочена ли лицензия.

2. При наличии правильно оформленной лицензии необходимо проанализировать сертификат на средство защиты, определить, кем он выдан, когда и какие проводились испытания средства защиты информации, при каких условиях данное средство защиты будет нормально функционировать.

Выполнение указанных правил позволит избежать возможных неприятностей по обеспечению информационной безопасности и правильно использовать средство защиты.

Лекция 3. Требования руководящих документов по обеспечению информационной безопасности И НСД

Учебные вопросы:

1. Критерии безопасности компьютерных систем министерства обороны США («Оранжевая книга»).

2. Европейские критерии по обеспечению ИБ.

Вопрос 1. Критерии безопасности компьютерных систем министерства обороны США («Оранжевая книга»)

«Критерии безопасности компьютерных систем» («Trusted Computer System Evaluation Criteria») [1], получившие неформальное название «Оранжевая книга», были разработаны Министерством обороны США в 1983 году с целью определения требований безопасности, предъявляемых к аппаратному, программному и специальному обеспечению компьютерных систем и выработки соответствующей методологии анализа политики безопасности, реализуемой в компьютерных системах военного назначения.

В данном документе были впервые нормативно определены такие понятия, как «политика безопасности», ТСВ и т. д. Согласно «Оранжевой книге, безопасная компьютерная система – это система, поддерживающая управление доступом к обрабатываемой в ней информации такое, что только соответствующим образом уполномоченные пользователи или процессы, действующие от их имени, получают возможность читать, писать, создавать и удалять информацию. Предложенные в этом документе концепции защиты и набор функциональных требований послужили основой для формирования всех появившихся впоследствии стандартов безопасности.

Требования и критерии «Оранжевой книги»

В «Оранжевой книге» предложены три категории требований безопасности – политика безопасности, аудит и корректность, в рамках которых сформулированы шесть базовых требований безопасности. Первые четыре требования направлены непосредственно на обеспечение безопасности информации, а два последних – на качество самих средств защиты (рисунок 1). Рассмотрим эти требования подробнее.

Рисунок 1. Критерии безопасности

Политика безопасности

Требование I. Политика безопасности

Система должна поддерживать точно определенную политику безопасности. Возможность осуществления субъектами доступа к объектам должна определяться на основании их идентификации и набора правил управления доступом. Там, где необходимо, должна использоваться политика нормативного управления доступом, позволяющая эффективно реализовать разграничение доступа к категорированной информации (информации, отмеченной грифом секретности, типа «секретно». «совершенно секретно» и т. д.).

Требование 2. Метки

С объектами должны быть ассоциированы метки безопасности, используемые в качестве атрибутов контроля доступа. Для реализации нормативного управления доступом система должна обеспечивать возможность присваивать каждому объекту метку или набор атрибутов, определяющих степень конфиденциальности (гриф секретности) объекта и/или режимы доступа к этому объекту.

Аудит

Требование 3. Идентификация и аутентификация

Все субъекты должны иметь уникальные идентификаторы. Контроль доступа должен осуществляться на основании результатов идентификации субъекта и объекта доступа, подтверждения подлинности их идентификаторов (аутентификации) и правил разграничения доступа. Данные, используемые для идентификации и аутентификации, должны быть защищены от несанкционированного доступа, модификации и уничтожения и должны быть ассоциированы со всеми активными компонентами компьютерной системы, функционирование которых критично с точки зрения безопасности.

Требование 4. Регистрация и учет

Для определения степени ответственности пользователей за действия а системе, все происходящие в ней события, имеющие значение с точки зрения безопасности, должны отслеживаться и регистрироваться в защищенном протоколе. Система регистрации должна осуществлять анализ общего потока событии и выделять из него только те события, которые оказывают влияние на безопасность для сокращения объема протокола и повышения эффективности его анализа. Протокол событии должен быть надежно защищен от несанкционированного доступа, модификации или уничтожения.

Корректность

Требование 5. Контроль корректности функционирования средств защиты

Средства защиты должны содержать независимые аппетитные и/или программные компоненты, обеспечивающие работоспособность функций защиты. Это означает, что все средства защиты, обеспечивающие политику безопасности, управление атрибутами и метками безопасности, идентификацию и аутентификацию, регистрацию и учет, должны находится под контролем средств, проверяющих корректность их функционирования. Основной принцип контроля корректности состоит в том, что средства контроля должны быть полностью независимы от средств защиты.

Требование 6. Непрерывность защиты

Все средства защиты (в т. ч. и реализующие данное требование) должны быть защищены от несанкционированного вмешательства и/или отключения, причем эта защита должна быть постоянной и непрерывной в любом режиме функционирования системы защиты и компьютерной системы в целом. Данное требование распространяется на весь жизненный цикл компьютерной системы. Кроме того, его выполнение является одним из ключевых аспектов формального доказательства безопасности системы.

Рассматриваемые далее критерии безопасности компьютерных систем представляют собой конкретизацию данных обобщенных требований.

Критерии безопасности

Приведенные выше базовые требования к безопасности служат основой для критериев, образующих единую шкалу оценки безопасности компьютерных систем, определяющую семь классов безопасности.

«Оранжевая книга» предусматривает четыре группы критериев, которые соответствуют различной степени защищенности: от минимальной (группа D) до формально доказанной (группа А). Каждая группа включает один или несколько классов. Группы D и А содержат по одному классу (классы D1 и А1 соответственно), группа С – классы C1, C2, а группа В – B1, B2, ВЗ, характеризующиеся различными наборами требований безопасности. Уровень безопасности возрастает при движении от группы D к группе А, а внутри группы – с возрастанием номера класса.

Группа D. Минимальная защита

* Класс D1. Минимальная защита, К этому классу относятся все системы, которые не удовлетворяют требованиям других классов.

Группа С. Дискреционная защита

Группа С характеризуется наличием произвольного управления доступом и регистрацией действий субъектов.

* Класс С1. Дискреционная защита. Системы этого класса удовлетворяют требованиям обеспечения разделения пользователей и информации и включают средства контроля и управления доступом, позволяющие задавать ограничения для индивидуальных пользователей, что дает им возможность защищать свою приватную информацию от других пользователей. Класс С1 рассчитан на многопользовательские системы, в которых осуществляется совместная обработка данных одного уровня секретности.

* Класс С2. Управление доступом. Системы этого класса осуществляют более избирательное управление доступом. чем системы класса С1, с помощью применения средств индивидуального контроля за действиями пользователей, регистрацией, учетом событий и выделением ресурсов.

Группа В. Мандатная защита

Основные требования этой группы – нормативное управление доступом с использованием меток безопасности, поддержка модели и политики безопасности, а также наличие спецификаций на функции ТСВ. Для систем этой группы монитор взаимодействий должен контролировать все события в системе.

* Класс В1. Защита с применением меток безопасности.

Системы класса В1 должны соответствовать всем требованиям, предъявляемым к системам класса С2, и, кроме того должны поддерживать определенную неформально модель безопасности, маркировку данных и нормативное управление доступом. При экспорте из системы информация должна подвергаться маркировке. Обнаруженные в процессе тестирования недостатки должны быть устранены.

* Класс В2. Структурированная защита. Для соответствия классу В2 ТСВ системы должно поддерживать формально определенную и четко документированную модель безопасности, предусматривающую произвольное и нормативное управление доступом, которое распространяется по сравнению с системами класса В1 на все субъекты. Кроме того, должен осуществляться контроль скрытых каналов утечки информации. В структуре ТСВ должны быть выделены элементы, критичные с точки зрения безопасности. Интерфейс ТСВ должен быть четко определен а его архитектура и реализация должны быть выполнены с учетом возможности проведения тестовых испытаний. По сравнению с классом В1 должны быть усилены средства аутентификации. Управление безопасностью осуществляется администраторами системы. Должны быть предусмотрены средства управления конфигурацией.

* Класс ВЗ. Домены безопасности. Для соответствия ЭТОМУ классу ТСВ системы должно поддерживать монитор взаимодействий, который контролирует все типы доступа субъектов к объектам и который невозможно обойти. Кроме того. ТСВ должно быть структурировано с целью исключения из него подсистем, не отвечающих за реализацию функций защиты, и быть достаточно компактно для эффективного тестирования и анализа. В ходе разработки и реализации ТСВ должны вменяться методы и средства, направленные на минимизацию его сложности Средства аудита должны включать механизмы оповещения администратора при возникновении событий, имеющих значение для безопасности системы. Требуется наличие средств восстановления работоспособности системы.

Группа А. Верифицированная защита

Данная группа характеризуется применением формальных методов верификации корректности работы механизмов управления доступом (произвольного и нормативного). Требуется дополнительная документация, демонстрирующая, что архитектура и реализация ТСВ отвечают требованиям безопасности.

* Класс A1. Формальная верификация. Системы класса А1 функционально эквивалентны системам класса ВЗ, и к ним не предъявляется никаких дополнительных функциональных требований. В отличие от систем класса ВЗ в ходе разработки должны применяться формальные методы верификации, что позволяет с высокой уверенностью получить корректную реализацию функций защиты. Процесс доказательства адекватности реализации начинается на ранней стадии разработки с построения формальной модели политики безопасности и спецификаций высокого уровня. Для обеспечения методов верификации системы класса А1 должны содержать более мощные средства управления конфигурацией и защищенную процедуру дистрибуции.

Приведенные классы безопасности определили основные концепции безопасности и ход развития средств защиты.

Интерпретация и развитие «Оранжевой книги»

Опубликование «Оранжевой книги» стало важным этапом и сыграло значительною роль в развитии технологий обеспечения безопасности компьютерных систем. Тем не менее в ходе применения ее положений выяснилось, что часть практически важных вопросов осталась за рамками данного стандарта и, кроме того, с течением времени (с момента опубликования прошло шестнадцать лет) ряд положений устарел и потребовал пересмотра.

Круг специфических вопросов по обеспечению безопасности компьютерных сетей и систем управления базами данных нашел отражение в отдельных документах, изданных Национальным центром компьютерной безопасности США в виде дополнений к «Оранжевой книге» – «Интерпретация «Оранжевой книги» для компьютерных сетей» («Trusted Network Interpretation» [2]) и «Интерпретация «Оранжевой книги» для систем управления базами данных» («Trusted Database Management System Interpretation» [3]). Эти документы содержат трактовку основных положений «Оранжевой книги» применительно к соответствующим классам систем обработки информации.

Потеря актуальности рядом положении «Оранжевой книги» вызвана прежде всего интенсивным развитием компьютерных технологий и переходом с мэйнфреймов (типа вычислительных комплексов IBM-360, 370; советский аналог – машины серии ЕС) к рабочим станциям, высокопроизводительным персональным компьютерам и сетевой модели вычислений. Именно для того, чтобы исключить возникшую в связи с изменением аппаратной платформы некорректность некоторых положений «Оранжевой книги», адаптировать их к современным условиям и сделать адекватными нуждам разработчиков и пользователей программного обеспечения, и была проделана огромная работа по интерпретации и развитию положений этого стандарта. В результате возник целый ряд сопутствующих «Оранжевой книге» документов, многие их которых стали ее неотъемлемой частью. К наиболее часто упоминаемым относятся:

* Руководство по произвольному управлению доступом в безопасных системах («A guide to understanding discretionary access control in trusted systems») [4].

* Руководство по управлению паролями («Password management guideline») [5].

* Руководство по применению Критериев безопасности компьютерных систем в специфических средах («Guidance for applying the Department of Defence Trusted Computer System Evaluation Criteria in specific environment») [6].

* Руководство по аудиту в безопасных системах («Guide to Under-standing Audit in Trusted Systems») [7].

* Руководство по управлению конфигурацией в безопасных системах («Guide to understanding configuration management in trusted systems) [8].

Количество подобных вспомогательных документов, комментариев и интерпретаций значительно превысило объем первоначального документа, и в 1995 году Национальным центром компьютерной безопасности США был опубликован документ под названием «Пояснения к критериям безопасности компьютерных систем», объединяющий все дополнения и разъяснения. При его подготовке состав подлежащих рассмотрению и толкованию вопросов обсуждался на специальных конференциях разработчиков и пользователей защищенных систем обработки информации. В результате открытого обсуждения была создана база данных, включающая все спорные вопросы, которые затем в полном объеме были проработаны специально созданной рабочей группой. В итоге появился документ, объединивший все изменения и дополнения к «Оранжевой книге», сделанные с момента ее опубликования, что привело к обновлению стандарта и позволило применять его в современных условиях.

Выводы: «Критерии безопасности компьютерных систем» министерства обороны США представляют собой первую попытку создать единый стандарт безопасности, рассчитанный на разработчиков, потребителей и специалистов по сертификации компьютерных систем. В свое время этот документ явился настоящим прорывом в области безопасности информационных технологий и послужил отправной точной для многочисленных исследований и разработок. Основной отличительной чертой этого документа является его ориентация на системы военного применения, в основном на операционные системы. Это предопределило доминирование требований, направленных на обеспечение секретности обрабатываемой информации и исключение возможностей ее разглашения. Большое внимание уделено меткам (грифам секретности) и правилам экспорта секретной информации.

При этом критерии адекватности реализации средств защиты и политики безопасности отражены слабо, соответствующий раздел ограничивается требованиями контроля целостности средств защиты и поддержания их работоспособности, чего явно недостаточно.

Высший класс безопасности, требующий осуществления верификации средств защиты, построен на доказательстве соответствия программного обеспечения его спецификациям с помощью специальных методик, однако это доказательство (очень дорогостоящее, трудоемкое и практически неосуществимое для реальных операционных систем) не подтверждает корректность и адекватность реализации политики безопасности.

«Оранжевая книга» послужила основой для разработчиков всех остальных стандартов информационной безопасности и до сих пор используется в США в качестве руководящего документа при сертификации компьютерных систем обработки информации.

Вопрос 2. Европейские критерии по обеспечению ИБ

Проблемы информационной безопасности актуальны не только для Соединенных Штатов. Вслед за выходом «Оранжевой книги» страны Европы совместно разработали общие «Критерии безопасности информационных технологий» («Information Technology Security Evaluation Criteria», далее «Европейские критерии») [9]. Данный обзор основывается на версии 1.2, опубликованной в июне 1991 года от имени соответствующих органов четырех стран: Франции, Германии, Нидерландов и Великобритании.

Основные понятия

«Европейские критерии» рассматривают следующие задачи средств информационной безопасности:

• защита информации от несанкционированного доступа с целью обеспечения конфиденциальности;

• обеспечение целостности информации посредством защиты от ее несанкционированной модификации или уничтожения;

• обеспечение работоспособности систем с помощью противодействия угрозам отказа в обслуживании.

Для того чтобы удовлетворить требованиям конфиденциальности, целостности и работоспособности, необходимо реализовать соответствующий набор функций безопасности, таких, как идентификация и аутентификация, управление доступом, восстановление после сбоев и т. п. Чтобы средства защиты можно было признать эффективными, требуется определенная степень уверенности в правильности их выбора и надежности функционирования. Для решения этой проблемы в «Европейских критериях» впервые вводится понятие адекватности (assurance) средств защиты.

Адекватность включает в себя два аспекта: эффективность, отражающую соответствие средств безопасности решаемым задачам, и корректность, характеризующую процесс их разработки и функционирования. Эффективность определяется соответствием между задачами, поставленными перед средствами безопасности, и реализованным набором функций защиты – их функциональной полнотой и согласованностью, простотой использования, а также возможными последствиями использования злоумышленниками слабых мест защиты. Под корректностью понимается правильность и надежность реализации функций безопасности.

Общая оценка уровня безопасности системы складывается из функциональной мощности средств защиты и уровня адекватности их реализации.

Функциональные критерии

В «Европейских критериях» средства, имеющие отношение к информационной безопасности, рассматриваются на трех уровнях детализации. На первом уровне рассматриваются цели, которые преследует обеспечение безопасности, второй уровень содержит спецификации функций защиты, а третий – реализующие их механизмы. Спецификации функций защиты предлагается рассматривать с точки зрения следующих требований:

• идентификация и аутентификация;

• управление доступом;

• подотчетность;

• аудит;

• повторное использование объектов;

• целостность информации;

• надежность обслуживания;

• безопасность обмена данными.

Большинство из перечисленных требований совпадает с аналогичными требованиями «Оранжевой книги». Остановимся лишь на специфичных для «Европейских критериев» моментах.

Требования безопасности обмена данными регламентируют работу средств, обеспечивающих безопасность данных, передаваемых по каналам связи, и включают следующие разделы:

• аутентификация;

• управление доступом;

• конфиденциальность данных;

• целостность данных:

• невозможность отказаться от совершенных действий.

Набор функций безопасности может специфицироваться с использованием ссылок на заранее определенные классы-шаблоны. В «Европейских критериях» таких классов десять. Пять из них (F-C1, F-C2, F-B1, F-B2, F-B3) соответствуют классам безопасности «Оранжевой книги» с аналогичными обозначениями. Рассмотрим подробнее другие пять классов, так как их требования отражают точку зрения разработчиков стандарта на проблему безопасности.

Класс F-IN предназначен для систем с высокими потребностями в обеспечении целостности, что типично для систем управления базами данных. Его описание основано на концепции «ролей», соответствующих видам деятельности пользователей, и предоставлении доступа к определенным объектам только посредством доверенных процессов. Должны различаться следующие виды доступа: чтение, запись, добавление, удаление, создание, переименование и выполнение объектов.

Класс F-AV характеризуется повышенными требованиями к обеспечению работоспособности. Это существенно. например, для систем управления технологическими процессами. В требованиях этого класса указывается, что система должна восстанавливаться после отказа отдельного аппаратного компонента таким образом, чтобы все критически важные функции постоянно оставались доступными. В таком же режиме должна происходить и замена компонентов системы. Независимо от уровня загрузки должно гарантироваться определенное время реакции системы на внешние события.

Класс F-DI ориентирован на распределенные системы обработки информации. Перед началом обмена и при получении данных стороны должны иметь возможность провести идентификацию участников взаимодействия и проверить ее подлинность. Должны использоваться средства контроля и исправления ошибок. В частности, при пересылке данных должны обнаруживаться все случайные или намеренные искажения адресной и пользовательской информации. Знание алгоритма обнаружения искажений не должно позволять злоумышленнику производить нелегальную модификацию передаваемых данных. Должны обнаруживаться попытки повторной передачи ранее переданных сообщений.

Класс F-DC уделяет особое внимание требованиям к конфиденциальности передаваемой информации. Информация по каналам связи должна передаваться в зашифрованном виде. Ключи шифрования должны быть защищены от несанкционированного доступа.

Класс F-DX предъявляет повышенные требования и к целостности и к конфиденциальности информации. Его можно рассматривать как объединение классов F-DI и F-DC с дополнительными возможностями шифрования и защиты от анализа трафика. Должен быть ограничен доступ к ранее переданной информации, которая, в принципе может способствовать проведению криптоанализа.

Критерии адекватности

«Европейские критерии» уделяют адекватности средств защиты значительно больше внимания, чем функциональным требованиям. Как уже говорилось адекватность складывается из двух компонентов – эффективности и корректности работы средств защиты. Для оценки степени адекватности используются следующие критерии (рисунок 2).

Рисунок 2. Критерии адекватности

«Европейские критерии» определяют семь уровней адекватности – от Е0 до Е6 (в порядке её возрастания). Уровень Е0 обозначает минимальную адекватность (аналог уровня D «Оранжевой книги»). При проверке адекватности анализируется весь жизненный цикл системы – от начальной фазы проектирования до эксплуатации и сопровождения. Уровни адекватности от Е1 до Е6 выстроены по нарастанию требований тщательности контроля. Так, на уровне Е1 анализируется лишь общая архитектура системы, а адекватность средств защиты подтверждается функциональным тестированием. На уровне ЕЗ к анализу привлекаются исходные тексты программ и схемы аппаратного обеспечения. На уровне Е6 требуется формальное описание функций безопасности, общей архитектуры, а также политики безопасности.

Степень безопасности системы определяется самым слабым из критически важных механизмов защиты. В «Европейских критериях» определены три уровня безопасности – базовый, средний и высокий. Безопасность считается базовой, если средства защиты способны противостоять отдельным случайным атакам. Безопасность считается средней, если средства защиты способны противостоять злоумышленникам, обладающим ограниченными ресурсами и возможностями. Наконец, безопасность можно считать высокой, если есть уверенность, что средства защиты могут быть преодолены только злоумышленником с высокой квалификацией. набор возможностей и ресурсов которого выходит за рамки разумного.

Выводы: «Европейские критерии безопасности информационных технологий», появившиеся вслед за «Оранжевой книгой», оказали существенное влияние на стандарты безопасности и методику сертификации.

Главное достижение этого документа – введение понятия адекватности средств защиты и определение отдельной шкалы для критериев адекватности. Как уже упоминалось, «Европейские критерии» придают адекватности средств защиты даже большее значение, чем их функциональности. Этот подход используется во многих появившихся позднее стандартах информационной безопасности. Необходимо отметить, что «Европейские критерии» тесно связаны с «Оранжевой книгой», что делает их не вполне самостоятельным документом. На первый взгляд довольно странным выглядит тот факт, что «Европейские критерии» признают возможность наличия недостатков в сертифицированных системах (критерий возможности использования недостатков защиты), однако на самом деле это свидетельствует о трезвом взгляде на существующее положение и признании того очевидного факта, что реальные системы еще весьма несовершенны и далеки от идеала.

«Европейские критерии» безопасности информационных технологий, наряду с «Оранжевой книгой» легли в основу многих стандартов безопасности компьютерных систем.

Лекция 4. Организационно-правовые аспекты деятельности службы безопасности предприятия

Учебные вопросы:

1. Создание концепции зашиты.

2. Правовые основы деятельности Службы безопасности.

3. Функции, задачи и особенности деятельности Службы безопасности Организационные мероприятия и процедуры по обеспечению защиты информации в автоматизированных системах.

Введение

Обеспечение комплексной защиты объектов является индивидуальной задачей, что обусловлено экономическими соображениями, состоянием, в котором находится объект защиты (стадии разработки, внедрения, эксплуатации), и рядом других обстоятельств. В предыдущих занятиях на основе анализа современного состояния проблемы защиты были сформулированы основные принципы защиты хозяйствующих субъектов. Необходимо обобщить их на концептуальном уровне для того, чтобы определить общую структуру службы безопасности (СБ), которая в конечном счете и создает СЗ. Поэтому в данной главе изложена концептуальная сторона проблемы обеспечения безопасной деятельности коммерческих предприятий и фирм на примере обеспечения безопасности банка.

Вопрос. 1. Создание концепции зашиты

1.1. Основные положения

Во всех своих действиях и делах любое предприятие подчинено одному общему принципу – выживай. Наградой за действия, способствующие выживанию, является стабилизация или увеличение прибыли, наказанием за разрушительные действия (внутренние или внешние) становится уменьшение прибыли или прекращение коммерческой деятельности банка.

Выживание любого объекта защиты зависит от двух составляющих:

1) экономической деятельности;

2) экономической безопасности.

Оптимальным решением любой проблемы, стоящей перед объектом защиты, в первою очередь банком, является то, которое приносит максимальную пользу обеим составляющим. Что могло бы служите оптимальной характеристикой выживания различных банков? Они должны иметь различные фундаментальные основы, которые были бы неодинаковы у разных банков, так же, как одна окружающая среда отличается от другой. Однако в одной среде существует некоторое количество банков. Поэтому между ними существует борьба за выживание – конкуренция. Аналогией вышесказанному является экологический "закон Гаузе", формулировка которого следующая: никакие два вида, имеющие сходные экологические потребности, не могут в течение длительного времени сосуществовать в одном и в том же местообитании. Если два вида идентичны (или если один представитель одного вида идентичен представителям другого вида по нескольким характеристикам), то ни одна экосистема, в которую входят оба эти вида, не может быть устойчивой.

Таким образом, деятельность СБ направлена на поддержание выживания банка путем сохранения или получения максимальной прибыли за счет минимизации ущерба от внешних и внутренних разрушительных воздействий. Это может достигаться только при активном противодействии внешним и внутренним угрозам безопасности, т. е. формированию внешней и внутренней благоприятной атмосферы безопасности коммерческой деятельности в условиях конкуренции.

Прежде чем приступить к созданию СЗ, необходимо определить объекты защиты, чье уничтожение, модификация или несанкционированное использование может привести к уменьшению прибыли. Определив объекты защиты, следует выявить среды их существования и возможные формы. Данный анализ позволяет определить множество угроз безопасности защищаемых объектов. Зная возможные угрозы, можно предположить частоту данных угроз, а затем выбрать адекватные средства и методы защиты. Данный алгоритм показан на рис 1.

Рис. 1. Подход к созданию СБ

Предложенный алгоритм обусловлен тем, что в подавляющем числе случаев в процессе защиты присутствуют два субъекта: нападающий и обороняющийся, причем второй находится в состоянии неопределенности о возможных действиях первого в большей степени, т. к. он не является инициирующей стороной. Кроме того, процесс защиты еще более осложняется наличием "человеческого фактора" с обеих сторон. Конечной целью создания СЗ является разработка защищенных технологий, обеспечивающих заданный уровень защиты при минимальной стоимости средств и методов защиты для всех функциональных подразделений объекта защиты.

1.2. Оценка угроз безопасности

Проведем оценку угроз безопасности.

Для того, чтобы риск деятельности банка из-за внешней и внутренней обстановки был бы минимальным, необходимо выполнить оценку степени возможных преднамеренных и непреднамеренных угроз, которая должна производиться из учета следующих факторов:

1) возможного ущерба, вызванного действием угрозы;

2) использования результатов отечественной и мировой статистики;

3) внешней и внутренней обстановки;

4) результатами собственной статистики. Определенная объективность в оценке степени угроз может быть достигнута путем детального анализа функционирования банка и использования независимых экспертных оценок экспертов, специализированных государственных учреждений (предприятий) или частных экспертных фирм. Существенным моментом является международная практика. Так, например, западноевропейские фирмы-производители оборудования для банковских СЗ придерживаются следующих критериев оценки угроз, согласно которым для сейфовых комнат-хранилищ ценностей и компьютерной информации определены следующие приоритеты:

– защита от чрезвычайных обстоятельств (пожары, аварии, стихийные бедствия, терроризм и т. п.);

– несанкционированное проникновение в сейфовую комнату (кража ценностей или информации).

Однако для операционных залов распределение критериев другое:

– защита от несанкционированной записи или считывания информации;

– защита от чрезвычайных обстоятельств.

Данный подход позволяет дифференцировано и оптимально подойти к распределению ресурса, выделенного для СЗ.

1.3. Подход к созданию концепции зашиты

В основе разработки различных СЗ и организации ее функционирования лежит принцип создания замкнутых, последовательных, начинающихся за пределами контролируемой зоны и концентрически стягивающихся к особо важным выделенным помещениям рубежей (рис. 2.).

Рис. 2 Рубежная модель СЗИ (в скобках указаны рубежи защиты)

На каждом рубеже угрозы нарушению безопасности должны быть обнаружены и по возможности ликвидированы, а в случае невозможности ликвидации, их распространению должны препятствовать последующие рубежи. Основу планирования и оборудования контролируемых зон (организованных рубежами) составляют принципы равномощности и комплексности.

Использование рубежной СЗ обусловлено тем, что она позволяет обеспечить безопасность: при наличии широкого спектра разнородных угроз (от терроризма до изощренных попыток проникновения в вычислительную систему банка); при использовании различных технологий обработки информации путем глобального контроля; за счет оптимального распределения ресурсов СЗ с учетом приоритета угрозы.

Следует отметить, что чем сложнее защита каждого рубежа, тем больше времени потребуется ЗЛ для его преодоления и тем вероятнее его обнаружение. Из этого следует, что защита каждого рубежа должна взаимно дополнять друг друга и эффективность всей СЗ будет оцениваться как минимальное время, которое ЗЛ должен затратить на преодоление всех ее рубежей. За это время (безопасное время) он должен быть обнаружен и обезопасен сотрудниками СБ.

1.4. Классификация ЗЛ

Ранее было показано, что при наличии преднамеренных угроз их источником в конечном счете является человек. Нарушение безопасности коммерческой деятельности банка зависит от целей, возможностей и уровня подготовки ЗЛ. Поэтому классифицировать ЗЛ можно исходя из:

– неопределенности процесса защиты, вызванной наличием человеческого фактора;

– рубежной СЗ;

– возможности ЗЛ повлиять на коммерческую деятельность банка.

При сочетании этих принципов возможна следующая классификация ЗЛ (см. рис. 2. и рис. 3.):

1) ЗЛ находится за пределами контролируемой зоны;

2) ЗЛ находится в пределах контролируемой зоны, но без доступа в выделенные помещения;

3) ЗЛ имеет доступ в выделенные помещения и работает в них;

4) ЗЛ – сотрудник банка, имеет доступ в выделенные помещения и работает в них;

5) ЗЛ – сотрудник СБ.

Резюмируя, можно сказать, что, зная возможные угрозы, виды ЗЛ, можно предположить, каким образом каждый вид ЗЛ может нарушить безопасность объектов защиты на том или ином ее рубеже. Это позволяет дифференцировано подходить к комплексу средств и методов защиты, определяя необходимые мероприятия и средства защиты применительно для каждого вида ЗЛ.