Глава 2. Общие термины и определения

В Доктрине информационной безопасности Российской Федерации дается определение информационной безопасности. Под информацион­ной безопасностью Российской Федерации понимается состояние защи­щенности ее национальных интересов в информационной сфере, опреде­ляющихся совокупностью сбалансированных интересов личности, обще­ства и государства.

В литературе отмечаются неоднозначные подходы к определению понятия информационной безопасности. Так, по мнению М.В. Арсентьева, информационная безопасность - снятие информационной неопределенно­сти относительно объективно и субъективно существующих реальных и потенциальных угроз за счет контроля над мировым информационным пространством и наличие возможностей, условий и средств для отражения этих угроз, что в совокупности определяет уровень (степень) информаци­онной безопасности каждого субъекта.

В.Ю. Статьев и В.А. Тиньков определяют информационную безо­пасность как защиту информации и поддерживающей ее инфраструктуры с помощью совокупности программных, аппаратно-программных средств и методов с целью недопущения причинения вреда владельцам этой ин­формации или поддерживающей его инфраструктуре.

А.Д. Урсул определяет информационную безопасность как состоя­ние защищенности основных сфер жизнедеятельности по отношению к опасным информационным воздействиям.

Введем ряд определений.

Информация - это сведения о лицах, предметах, фактах, событиях и процессах. Выделяется более двадцати видов информации по ее отрасле­вой принадлежности и востребованности в обществе (правовая, научная, финансовая, банковская, коммерческая, медицинская и т.д.). Нет объек­тивной необходимости обеспечивать защиту всей информации, поэтому принято подразделять информацию на открытую и ограниченного досту­па. Для эффективного решения задач защиты информации целесообразно в качестве объекта защиты выбирать информацию ограниченного доступа.

Информацию ограниченного доступа можно подразделить на кон­фиденциальную информацию и государственную тайну. Конфиденци­альная информация - доверительная, не подлежащая огласке информа­ция, доступ к которой ограничивается в соответствии с законодательст­вом. Конфиденциальность информации определяет и доверяет посторон­ним лицам владелец этой информации.

К конфиденциальной информации относятся сведения, составляю­щие тайну частной жизни, профессиональную, служебную, коммерческую тайну.

Тайна частной жизни - это охраняемые законом конфиденциаль­ные сведения, составляющие личную и семейную тайну лица, незаконное собирание или распространение которых причиняет вред правам и закон­ным интересам этого лица и предоставляет ему право на защиту в соот­ветствии с законодательством Российской Федерации.

Профессиональная тайна - это охраняемые законом конфиденци­альные сведения, доверенные или ставшие известными лицу исключи­тельно в силу исполнения им своих профессиональных обязанностей, не связанных с государственной или муниципальной службой, незаконное получение или распространение которых может повлечь за собой вред правам и законным интересам другого лица, доверившего эти сведения, и привлечение к ответственности в соответствии с действующим зако­нодательством.

Служебная тайна - это охраняемая законом конфиденциальная ин­формация о деятельности государственных органов, доступ к которой ог­раничен федеральным законом или в силу служебной необходимости, а также ставшая известной в государственных органах и органах местного самоуправления только на законном основании и в силу исполнения их представителями служебных обязанностей, имеющая действительную или потенциальную ценность в силу неизвестности ее третьим лицам.

Коммерческая тайна - это охраняемые законом конфиденциальные сведения в области производственно-хозяйственной, управленческой, фи­нансовой деятельности организации, имеющие действительную или по­тенциальную ценность в силу неизвестности их третьим лицам, к ним нет свободного доступа на законном основании, обладатель сведений прини­мает меры к их конфиденциальности, незаконное получение, использова­ние или разглашение которых создает угрозу причинения вреда владельцу этих сведений и предоставляет ему право на возмещение причиненных убытков или уголовно-правовую защиту в соответствии с законодательст­вом Российской Федерации.

В отличие от конфиденциальной информации государственная тайна определяется государством через соответствующие государственные ор­ганы, получение и разглашение этой информации строго регламентирова­но нормативными актами, информация имеет гриф секретности. Содержа­ние государственной тайны находит свое законодательное закрепление в Законе РФ «О государственной тайне». Государственная тайна - защи­щаемые государством сведения в области его военной, внешнеполитиче­ской, экономической, разведывательной, контрразведывательной и опера­тивно-розыскной деятельности, распространение которых может нанести ущерб безопасности Российской Федерации.

В этом же Законе РФ «О государственной тайне» прописаны такие принципы как законность, обоснованность и своевременность.

Принцип законности - в широком смысле принцип точного и не­укоснительного исполнения всеми органами государства, должностными лицами и гражданами требований закона. Принцип законности служит ба­зой для законотворчества в части правового обеспечения защиты инфор­мации, информационной инфраструктуры, субъектов, осуществляющих сбор, формирование, распространение и использование информации, сис­темы регулирования возникающих при этом отношений.

Принцип обоснованности. Защите подлежит прежде всего инфор­мация ограниченного доступа, т.е. информация, незаконное получение и распространение которой может причинить вред гражданину, обществу и государству. Необоснованная защита информации, прежде всего ограни­чение доступа к ней, посягает на конституционные права граждан на ин­формацию, а в отдельных случаях препятствует развитию экономики, на­учно-технического прогресса, отношений в жизненно важных областях деятельности общества и государства. Принцип обоснованности заключа­ется в установлении путем экспертной оценки целесообразности ограни­чения доступа к конкретной информации, выделении вероятных экономи­ческих и иных последствий этого акта исходя из баланса жизненно важ­ных интересов личности, общества, государства, разработки адекватных мер противодействия внешним и внутренним угрозам информационной безопасности.

Принцип своевременности защиты информационной сферы позво­ляет реализовать процедуру предварительного ограничения доступа к за­щищаемой информации, осуществлять ее защиту и заключается в уста­новлении ограничений на распространение этой информации с момента ее получения, разработки или заблаговременно. Значение этого принципа за­ключается прежде всего в том, что ограничение доступа к защищаемой информации, информационным системам, если не исключает полностью, то делает маловероятной возможность совершения преступных посяга­тельств в данной сфере. На практике своевременность достигается путем разработки и четкого исполнения положений концепции и системы защи­ты объекта. Особое значение данного принципа проявляется в тех случа­ях, когда та или иная тема, проект, исследование находятся на стадии раз­работки, изучения, анализа, и при этом разработчики не уделяют должно­го внимания ограничению доступа к результатам работы, используют не­защищенные каналы и средства связи, ЭВМ, привлекают к работе непроверенных специалистов и т.д. Как известно, новые разработки, на­правления исследований, технологии представляют повышенный интерес и являются приоритетным направлением в деятельности разведыватель­ных органов иностранных государств, промышленного шпионажа, конку­рентов, преступных элементов.

Ответственность за посягательство на указанные виды тайны преду­смотрена в Уголовном кодексе РФ (ст. 137, 138, 142, 183, 275, 276, 283, 284). В УК РФ 1996 года включена новая, не известная прежнему уголов­ному законодательству России, глава 28 «Преступления в сфере компью­терной информации» (ст. 272, 273, 274). Указанные нормы уголовного за­кона входят в систему правовых мер, направленных на защиту информа­ции, прав и законных интересов граждан, общества и государства в ин­формационной сфере.

Право на информацию складывается из двух элементов - права на получение информации и права на ее распространение. Первое относится не к гражданским, частным, а к публичным правам. Право же на передачу информации имеет гражданско-правовое содержание, оно представляет собой исключительное право. Законом РФ «О правовой охране программ для ЭВМ и баз данных» регулируются отношения, возникающие в связи с правовой охраной и использованием программ для ЭВМ и баз данных. В статье 12 данного закона права на программу для ЭВМ или базу данных отнесены к исключительным правам владельца информации.

В содержание информационной безопасности входит информацион­ная сфера. Определение информационной сферы сформулировано в ФЗ «Об участии в международном информационном обмене». Информаци­онная сфера - сфера деятельности субъектов, связанная с созданием, пре­образованием и потреблением информации.

Как уже отмечалось, в основе понятия «информационная безопас­ность» лежит понятие «безопасность», нашедшее свое отражение в Законе РФ «О безопасности».

Безопасность - это состояние защищенности жизненно важных ин­тересов личности, общества, государства от внутренних и внешних угроз. К жизненно важным интересам закон относит совокупность потребностей, удовлетворение которых надежно обеспечивает существование и возмож­ности прогрессивного развития личности, общества и государства. Основ­ные объекты безопасности: личность, ее права и свободы; общество, его материальные и духовные ценности; государство, его конституционный строй, суверенитет и территориальная целостность.

Таким образом, информационная безопасность - состояние защи­щенности жизненно важных интересов личности, общества, государства в информационной сфере от внешних и внутренних угроз, обеспечивающее ее формирование, использование и развитие.

Рассматривая это определение, необходимо отметить, что одним из важнейших аспектов информационной безопасности является определе­ние и классификация возможных угроз безопасности.

Угроза безопасности - совокупность условий и факторов, создаю­щих опасность жизненно важным интересам личности, общества и госу­дарства.

Классификацию угроз можно представить в виде таблицы 1.

Таблица 1 Виды угроз

Угрозы		Внешние	Внутренние
Естественные	Преднамеренные	Развитие технологий
Непреднамеренные	Стихийные бедствия	1. Отказ техники 2. Технические сбои
Искусственные	Преднамеренные	1. Разработка ПО 2. Угроза целостности 3. Отказ в об­ служивании	1. Угроза рас­ крытия (наруше­ ние конфиденци­ альности) 2. Угроза цело­ стности 3. Отказ в об­ служивании
Непреднамеренные	1. Политиче­ ские факторы 2. Социаль­ ные факторы	Ошибки ПО

Среди возможных угроз можно выделить следующие: ♦♦♦ По источнику угрозы:

> внешние - связанные со стихийными бедствиями, техногенными, политическими, социальными факторами, развитием информа­ционных и коммуникационных технологий, другими внешними воздействиями;

> внутренние - связанные с отказами вычислительной и коммуни­
кационной техники, ошибками программного обеспечения.

По природе возникновения:

> естественные (объективные) - вызванные воздействием на ин­формационную среду объективных физических процессов или стихийных природных явлений, не зависящих от воли человека;

> искусственные (субъективные) - вызванные воздействием на информационную сферу человека.

■ непреднамеренные (случайные) угрозы - ошибки программ­ного обеспечения, персонала, отказы вычислительной и ком­муникационной техники и т.д.;

■ преднамеренные (умышленные) угрозы - неправомерный доступ к информации, разработка специального программно­го обеспечения, используемого для осуществления неправо­мерного доступа, разработка и распространение вирусных программ и т.д. Преднамеренные угрозы обусловлены дейст­виями людей.

По цели реализации:

> нарушение конфиденциальности (угроза раскрытия) заключает­ся в том, что информация становится известной пользователю, который не авторизован для этого. В терминах компьютерной безопасности угроза раскрытия имеет место всякий раз, когда получен несанкционированный доступ к некоторой секретной информации, хранящейся в вычислительной системе или пере­даваемой от одной системы к другой. Иногда в связи с угрозой раскрытия используется термин «утечка информации»;

> нарушение целостности (угроза целостности) включает в себя любое несанкционированное изменение информации, храня­щейся в вычислительной системе или передаваемой из одной системы в другую. Когда нарушитель преднамеренно изменяет информацию, мы говорим, что целостность этой информации нарушена. Целостность также будет нарушена, если к несанк­ционированному изменению приводит случайная ошибка. Санк­ционированными изменениями являются те, которые сделаны определенными лицами с обоснованной целью;

> нарушение доступности (угроза отказа служб /отказа в обслужи­вании) возникает всякий раз, когда в результате преднамерен­ных действий, предпринятых другим пользователем, умышлен­но блокируется доступ к некоторому ресурсу вычислительной системы. Например, если один пользователь запрашивает доступ к службе, а другой предпринимает что-либо для недопущения этого доступа, мы говорим, что имеет место отказ службы. Бло-

кирование может быть постоянным, так чтобы запрашиваемый ресурс никогда не был получен, или оно может вызвать только задержку запрашиваемого ресурса, достаточно долгую для того, чтобы он стал бесполезным. В таких случаях говорят, что ресурс исчерпан. Наиболее частые примеры атак, связанных с отказом служб, включают в себя ресурсы общего пользования (принтеры или процессоры). ♦♦♦ По характеру воздействия:

> активные;

> пассивные.

♦♦♦ По объекту воздействия угрозы:

> воздействующие на информационную среду в целом;

> воздействующие на отдельные элементы информационной среды. Основные проблемы информационной безопасности связаны прежде

всего с умышленными угрозами (действиями людей), так как они являют­ся основной причиной и движущей силой преступлений и правонаруше­ний. В то же время средства вычислительной техники (прежде всего ЭВМ), встраиваясь в систему отношений по поддержанию информацион­ной безопасности, оказывают на них определенное воздействие. В отдель­ных случаях ЭВМ функционируют как источники повышенной опасности, и тогда нарушение установленных правил их эксплуатации может привес­ти к нарушению информационной безопасности.

Отметим, что реализованная угроза называется атакой.

Следующим в нашем рассмотрении, но не менее важным, является понятие защищенности.

Под защищенностью понимается совокупность правовых, научно-технических, специальных, организационных мер, направленных на свое­временное выявление, предупреждение и пресечение неправомерного по­лучения и распространения защищаемой информации, осуществляемых органами законодательной, исполнительной и судебной власти, общест­венными и иными организациями и объединениями, гражданами, прини­мающими участие в обеспечении информационной безопасности в соот­ветствии с законодательством, регламентирующим отношения в инфор­мационной сфере.

Правовые меры - деятельность законодательных органов по созда­нию правовой базы, обеспечивающей надлежащее формирование, распро­странение и использование информации; регулирующей деятельность субъектов, осуществляющих создание, преобразование и потребление ин­формации; предусматривающей ответственность за нарушения в инфор­мационной сфере, меры обеспечения безопасности и правовой защиты информации, информационной инфраструктуры.

Научно-технические меры - деятельность субъектов, осуществ­ляющих свою работу в информационной сфере, направленная на своевре­менное и активное использование достижений научно-технического про­гресса в обеспечении информационной безопасности, а также участие в разработке новых технологий, программ, научно обоснованных способов защиты информации.

Специальные меры - деятельность государственных органов, уполномоченных осуществлять разведывательные, контрразведыватель­ные, оперативно-розыскные мероприятия, направленные на упреждающее получение информации о планах, намерениях, устремлениях специальных служб, информационных и иных организаций, конкурентов и частных лиц, с использованием специальных технических средств, иных источни­ков информации, указанных в Федеральном законе «Об оперативно-розыскной деятельности».

Организационные меры - деятельность субъектов по обеспечению физической, технической защиты информации, оборудования и носителей информации. Разработка и внедрение программ информационной безо­пасности и контроль за их выполнением, взаимодействие и обмен опытом защиты информации с правоохранительными, информационными органа­ми. Работа по подбору, допуску и проверке персонала, подготовка и обу­чение сотрудников приемам работы с охраняемой информацией и ее но­сителями.

Отметим, что информационная безопасность в современных услови­ях приобретает все большую актуальность и значимость, является одним из приоритетных направлений обеспечения национальной безопасности России, а также международной безопасности.