42. Информационная безопасность экономических систем.

Под угрозой безопасности информации понимаются события или действия, которые могут привести к искажению, несанкционированному использованию или даже к разрушению информационных ресурсов управляемой системы, а также программных и аппаратных средств.

Информационные угрозы могут быть обусловлены:

• естественными факторами (стихийные бедствия - пожар, наводнение, ураган, молния и другие причины);

• человеческими факторами. Последние, в свою очередь, подразделяются на:

- угрозы, носящие случайный, неумышленный характер.

- угрозы, обусловленные умышленными, преднамеренными действиями людей.

Основными типовыми путями несанкционированного доступа к информации, являются:

• перехват электронных излучений;

• принудительное электромагнитное облучение (подсветка) линий связи с целью получения паразитной модуляции;

• применение подслушивающих устройств (закладок);

• дистанционное фотографирование;

• перехват акустических излучений и восстановление текста принтера;

• хищение носителей информации и документальных отходов;

• чтение остаточной информации в памяти системы после выполнения санкционированных запросов;

• копирование носителей информации с преодолением мер защиты;

• маскировка под зарегистрированного пользователя;

• мистификация (маскировка под запросы системы);

• использование программных ловушек;

• использование недостатков языков программирования и операционных систем;

Принципы построения системы информационной безопасности

В рамках обеспечения информационной безопасности следует рассмотреть на законодательном уровне две группы мер:

• меры, направленные на создание и поддержание в обществе негативного (в том числе карательного) отношения к нарушениям и нарушителям информационной безопасности;

• направляющие и координирующие меры, способствующие повышению образованности общества в области информационной безопасности, помогающие в разработке и распространении средств обеспечения информационной безопасности.

К первой группе следует отнести основные законодательные акты по информационной безопасности, являющиеся частью правовой системы Российской Федерации.

В Конституции РФ содержится ряд правовых норм, определяющих основные права и свободы граждан России в области информатизации, в том числе ст. 23 определяет право на неприкосновенность частной жизни, личную и семейную тайну, тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений; ст. 42 обеспечивает право на получение достоверной информации о состоянии окружающей среды и др.

В Уголовном кодексе РФ имеются нормы, затрагивающие вопросы информационной безопасности граждан, организаций и государства. В числе таких статей ст. 137 «Нарушение неприкосновенности частной жизни», ст. 138 «Нарушение тайны переписки, телефонных переговоров, почтовых и телеграфных или иных сообщений», ст. 140 «Отказ в предоставлении гражданину информации», ст. 155 «Разглашение тайны усыновления (удочерения)», ст. 183 «Незаконное получение и разглашение сведений, составляющих коммерческую или банковскую тайну», ст. 272 «Неправомерный доступ к компьютерной информации», ст. 273 «Создание, использование или распространение вредоносных программ для ЭВМ», ст. 274 «Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети» и др.

Для создания и поддержания необходимого уровня безопасности в фирме разрабатывается система соответствующих представленная в следующих документах:

• Уставе и/или учредительном договоре;

• коллективном договоре;

• правилах внутреннего трудового распорядка;

• должностных обязанностях сотрудников;

• специальных нормативных документах по информационной безопасности (приказах, положениях, инструкциях);

• договорах со сторонними организациями;

• трудовых договорах с сотрудниками;

• иных индивидуальных актах.

Под обеспечением безопасности информационных систем понимают меры, предохраняющие информационную систему от случайного или преднамеренного вмешательства в режимы ее функционирования.

Комплекс организационно-технических мероприятий состоит:

• в ограничении доступа посторонних лиц внутрь корпуса оборудования за счет установки различных запорных устройств и средств контроля;

• в отключении от ЛВС, Internet тех СКТ, которые не связаны с работой с конфиденциальной информацией, либо в организации межсетевых экранов;

• в организации передачи такой информации по каналам связи только с использованием специальных инженерно-технических средств;

• в организации нейтрализации утечки информации по электромагнитным и акустическим каналам;

• в организации защиты от наводок на электрические цепи узлов и блоков автоматизированных систем обработки информации;

• в проведении иных организационно-технических мероприятий, направленных на обеспечение компьютерной безопасности.

Организация системы защиты информации экономических систем

Построение защиты предполагает следующие этапы:

- анализ риска, заканчивающийся разработкой проекта системы защиты и планов защиты, непрерывной работы и восстановления;

- реализация системы защиты на основе результатов анализа риска;

- постоянный контроль за работой системы защиты и АИС в целом (программный, системный и административный).

Основные этапы построения системы защиты заключаются в следующем:

Анализ -> Разработка системы защиты (планирование) -> Реализация системы защиты -> Сопровождение системы защиты.