Юридические основы информационной безопасности.

Широкое распространение КС и сетей, внедрение их в государственных учреждениях и важность задачи сохранения конфиденциальности государственной и частной информации заставили многие страны принять соответствующие законы, регламентирующие защиту КС и сетей.

Наиболее общим законом РФ является Конституция. Главы 23, 29, 41 и 42 в той или иной мере затрагивают вопросы информационной безопасности. Статья 23 Конституции, например, гарантирует право на личную и семейную тайну, на тайну переписки, телефонных разговоров, почтовых, телеграфных и иных сообщений. Статья 29 – право свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Главы 41 и 42 гарантируют право на знание фактов и обстоятельств, создающих угрозу жизни и здоровью людей, право на знание достоверной информации о состоянии окружающей среды.

Уголовный кодекс РФ предусматривает наказания за преступления, связанные с нарушением конфиденциальности информации. Глава 28 «Преступления в сфере компьютерной информации» содержит статьи 272-274, посвященные преступлениям, связанным с неправомерным доступом к компьютерной информации, созданием, использованием и распространением вредоносных программ, нарушением правил эксплуатации ЭВМ, систем и сетей на их основе.

Интересы государства в плане обеспечения конфиденциальности информации наиболее полно представлены в Законе «О государственной тайне». В нем гостайна определена как защищаемые государством сведения в области военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности РФ. В этом же законе дается описание средств защиты информации, к которым относятся технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну.

Политика безопасности в компьютерных системах.

Защищенная компьютерная система обязательно должна иметь средства разграничения доступа пользователей к ресурсам данной системы, проверки подлинности пользователя и противодействия выводу системы из строя.

Интегральной характеристикой защищенности компьютерной системы является политика безопасности – качественное выражение свойств защищенности в терминах, представляющих систему. Политика безопасности не должна быть чрезмерной – ужесточение защиты приводит к усложнению доступа пользователей к системе и увеличению времени доступа. Политика безопасности должна быть адекватна предполагаемым угрозам, и обеспечивать заданный уровень защиты.

Политика безопасности включает:

- множество субъектов;

- множество объектов;

- множество возможных операций над объектами;

- множество разрешенных операций для каждой пары субъект-объект, являющееся подмножеством множество возможных состояний.

Элементы множества операций над объектами выбираются в зависимости от назначения компьютерной системы, решаемых задач, конфиденциальности информации. Примерами операций над объектами могут быть «Создание объекта», «Удаление объекта», «Чтение данных» и т.д.

В защищенной компьютерной системе всегда присутствует субъект, выполняющий контроль операций субъектов над объектами, например, в операционной системе Windowsтаким субъектом является псевдопользовательSYSTEM. Данный компонент фактически отвечает за реализацию политики безопасности, которая реализуется путем описания доступа субъекта к объектам.

Существует два типа политики безопасности: дискретная и полномочная (мандатная). Основой дискретной политики безопасности является дискреционное управление доступом, которое определяется двумя свойствами:

- все субъекты и объекты должны быть идентифицированы;

- права доступа субъекта к объекту определяются на основе некоторого задаваемого набора правил.

К достоинствам дискретной политики безопасности можно отнести относительно простую реализацию соответствующих механизмов защиты. Этим обусловлен тот факт, что большинство используемых в настоящее время компьютерных систем обеспечивают именно дискретную политику безопасности. В качестве примера реализации дискретной политики безопасности можно привести матрицу доступов, строки которой соответствуют субъектам системы, а столбцы – объектам; элементы матрицы представляют фиксированный набор или список прав доступа. К недостаткам дискретной политики безопасности можно отнести статичность данной модели, не учитывающая динамику изменений состояния системы. Например, при подозрении на несанкционированный доступ к информации, необходимо оперативно изменить права доступа к этой информации, что не просто сделать, так как матрица доступа формируется вручную.

Полномочная модель политики безопасности основывается на том, что:

- все субъекты и объекты должны быть идентифицированы;

- имеется линейно упорядоченный набор меток секретности;

- каждому объекту присвоена метка секретности, определяющая ценность содержащейся в ней информации – его уровень секретности;

- каждому субъекту системы присвоена метка секретности, определяющая уровень доверия к нему – его уровень доступа.

В отличие от дискретной политики, которая требует определения прав доступа для каждой пары субъект-объект, полномочная политика, назначением метки секретности объекту, однозначно определяет круг субъектов, имеющих права доступа к нему. И, наоборот, назначением метки секретности субъекту, однозначно определяется круг объектов, к которым он имеет права доступа. При подозрении на несанкционированный доступ к информации достаточно повысить уровень секретности данной информации, что по сравнению с редактированием матрицы доступа сделать намного проще.