Понятие информационная безопасность Российской Федерации

Содержание:

Введение

Чтобы раскрыть главную идею данной темы, необходимо первоначально ознакомится с информационным пространством и информационной безопасностью в целом. Только разобравшись в базовых вопросах этой сферы деятельности, можно приступить к изучению понятий информационной безопасности Российской Федерации.

Информация

Существуют следующие формы подачи информации:

1) Электронный 

2) Напечатанный 

3) Визуальный 

4) Аудио форма

Информационная безопасность — комплекс мероприятий по защите информации и обеспечению безопасного функционирования информационной системы.

Информационное пространство — совокупность информационных систем, взаимодействующих между собой, причём одна часть этих систем может иметь интересы, прямо противоположные интересам другой.

Прежде чем обсуждать защиту информации, необходимо понять какой категории она принадлежит.

Классификация тайн:

• Государственная тайна
• Коммерческая тайна
• Банковская тайна
• Профессиональная тайна
• Служебная тайна
• Персональные данные

Последние 5 являются конфиденциальной информацией.

Конфиденциальная информация (в соответствии с федеральным законом 149 ФЗ "Об информации в информационных технологиях и о защите информации") — это информация, доступ к которой ограничивается в соответствии с законодательством РФ; однако конфиденциальная информация не всегда содержится на материальном носители и задокументирована (персональные данные, личная тайна).

Государственная тайна — защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной, оперативно-розыскной деятельности, распространение которых может нанести ущерб безопасности РФ (определение из закона о государственной тайне).

Информационная безопасность

Защита информации – комплекс мер обеспечивающие конфиденциальность информации, целостность, доступность и учёт.

Конфиденциальность - это состояние информации, при котором с ней могут ознакомиться только уполномоченные лица. 

Целостность информации - состояние информации, при котором только уполномоченные лица могут получить к ней доступ.

Доступность - возможность получить санкционированный доступ к данным, уполномоченными лицами.

Бухгалтерский учет - это учет и анализ всех действий уполномоченных лиц, совершаемых ими в пределах данных, управляемые системой. 

Неотказуемость подразумевает, что отправитель не может отрицать факт отправки информации, а получатель не способен отрицать факт получения информации. 

Уполномоченные лица - это владельцы данных и пользователи, получившие от ее владельца право работать с данной информацией. Информационная система - это информационное взаимодействие объектов и субъектов

Угроза

Что же такое угроза? Общее понятие для всех людей и во всех сферах гласит «Угроза – это вероятная опасность». Но если рассматривать угрозу в сфере информационной безопасности, то такого поверхностного определения недостаточно.

Угроза в информационной сети представляет собой потенциальные процессы, действия или события, представляющие собой риск потери, замены, искажения или раскрытия информации злоумышленниками.

Также угрозу можно представить следующей логической цепочкой:

Угрожающий источник ⇒ Фактор уязвимости системы ⇒ Действие (Угроза безопасности) ⇒ Атака ⇒ Последствие

Как правило угрозы запускаются с целью навредить, но также это может быть случайным процессом. Отсюда вывод о том, что угрозы могут быть разделены на 2 группы:

• Специальные
• Случайные

Уязвимости

Рассказывая о угрозах, невозможно пройти мимо уязвимостей, поэтому я решил уделить один раздел своего реферата именно уязвимостям.

Уязвимость (в компьютерной безопасности) – термин, которым описывается недостаток в системе, которым можно воспользоваться в корыстных целях и создать угрозу системе. Украсть, заменить, нарушить целостность или работу всей системы в целом. Уязвимость является ошибкой, допущенной при создании или проектировании системы. Некоторые уязвимости являются только теоретическими, а другие в свою очередь активно используются на практике и имеют эксплойты.

Эксплойты – определённый фрагмент программного кода, последовательность команд или компьютерная программа, с помощью, которых можно воспользоваться уязвимостью в системе и тем самым образовать угрозу, совершив атаку.

Чтобы не допустить или же хотя-бы ослабить угрозу, необходимо устранять уязвимости в системе.

Уязвимости разделяются по трём классам:

• Объективные
• Случайные
• Субъективные

Каждая уязвимость учитывается и оценивается специалистами, поэтому были придуманы критерии оценки опасности возникновения угрозы:

• Доступность – этот критерий указывает насколько источнику угрозы легко воспользоваться уязвимостью, чтобы нарушить целостность системы.
• Фатальность – этот критерий указывает насколько последствия данной уязвимости могут стать критическими для системы в случае нарушения её безопасности.
• Количество – количество деталей, которые подходят под описание любого класса уязвимости.

Средства обеспечения сетевой безопасности

• Межсетевые экраны – это барьер между надежной внутренней сетью и ненадежными внешними сетями, такими как Интернет. Они используют набор правил, разрешающих или блокирующих трафик. Брандмауэр может быть аппаратным, программным или смешанным. Cisco предлагает устройство унифицированного управления угрозами и межсетевые экраны нового поколения, направленные на предотвращение угроз.
• Защита электронной почты - Шлюзы электронной почты являются основной целью для злоумышленников, которые хотят проникнуть в сеть. Хакеры анализируют личную информацию и используют социальную инженерию для организации сложных фишинговых кампаний, чтобы обманом заставить получателей атаковать вредоносные сайты. Приложение защиты электронной почты блокирует входящие атаки и отслеживает исходящие сообщения, чтобы предотвратить потерю конфиденциальных данных.
• Антивирус и программы для защиты от вредоносного ПО - Термин «вредоносное ПО» (сокращение от «вредоносное программное обеспечение») относится к вирусам, интернет-червям, троянам, программам-вымогателям и шпионскому ПО. Иногда вредоносное ПО может заразить сеть, не проявляя себя в течение нескольких дней или даже недель. Лучшее программное обеспечение для защиты от вредоносных программ не только сканирует входящий трафик на наличие вредоносных программ, но и непрерывно отслеживает файлы на предмет аномалий, удаления вредоносных программ и устранения повреждений.
• Сегментация сети - Программно-определяемая сегментация классифицирует сетевой трафик и упрощает применение политик безопасности. В идеале классификация должна основываться на идентификации конечных устройств, а не просто на IP-адресах. Вы можете назначать права доступа на основе ролей, местоположения и других факторов, чтобы обеспечить нужный уровень доступа нужным пользователям, изолировать подозрительные устройства и снизить риски.
• Управление доступом - Не каждому пользователю стоит давать доступ к сети. Чтобы защититься от потенциальных хакеров, необходимо распознать каждого пользователя и каждое устройство. Это единственный способ обеспечить соблюдение политик безопасности. Вы можете заблокировать несовместимые конечные точки или предоставить им только ограниченный доступ. Этот процесс называется контролем доступа к сети (NAC).
• Безопасность приложений - Любое программное обеспечение, используемое в организации, должно быть защищено, независимо от того, создано ли оно ИТ-персоналом организации или передано на аутсорсинг. К сожалению, любое приложение может содержать лазейки (или уязвимости), которые хакеры могут использовать для проникновения в сеть. Безопасность приложений включает оборудование, программное обеспечение и процессы, которые вы используете для устранения этих уязвимостей.
• Поведенческая аналитика - Чтобы обнаружить ненормальное поведение сети, вам необходимо знать, как выглядит нормальное. Поведенческая аналитика автоматически обнаруживает аномальные действия. Это помогает отделу информационной безопасности более эффективно выявлять признаки компрометации, которые могут образовать проблемы, и быстро предотвратить угрозы.
• Системы предотвращения вторжений – организации необходимо убедиться, что сотрудники не выносят конфиденциальную информацию за пределы сети. Технологии предотвращения потери данных, которые защищают пользователей от опасной загрузки, перенаправления или даже печати важной информации сотрудниками.
• Безопасность мобильных устройств - Киберпреступники все чаще атакуют мобильные устройства и приложения. Ближайшие 3 года 90% ИТ-организации смогут поддерживать корпоративные приложения на личных мобильных устройствах. В этом случае, конечно, необходимо контролировать доступ различных устройств к сети. Вам также необходимо настроить их подключения, чтобы обеспечить конфиденциальность вашего сетевого трафика.
• Управление событиями и данными об информационной безопасности (SIEM) - Продукты SIEM объединяют в себе данные, помогающие специалистам по информационной безопасности, выявлять и устранять угрозы. Они могут быть физическими или виртуальными устройствами, а также серверным ПО.
• Сеть VPN - VPN шифрует подключения конечных точек к сети, часто происходящие через Интернет. Обычно VPN с удаленным доступом используют протокол IPsec или SSL для определения связи между устройством и сетью.
• Безопасность беспроводного доступа - Решение для веб-безопасности отслеживает использование Интернета сотрудниками, блокирует веб-угрозы и запрещает доступ к вредоносным веб-сайтам. Он защищает веб-шлюз в локальной сети или в облаке. «Безопасность веб-трафика» также включает меры по защите вашего веб-сайта.
• Безопасность веб-трафика - Решение для веб-безопасности отслеживает использование Интернета сотрудниками, блокирует веб-угрозы и запрещает доступ к опасным веб-сайтам. Он защищает веб-шлюз в локальной сети или в облаке. «Безопасность веб-трафика» также включает меры по защите вашего веб-сайта.
• Управление событиями или данными об информационной безопасности - Проводные сети более безопасны, чем беспроводные. Без строгих мер безопасности развертывание WLAN ничем не отличается от бесконтрольных портов Ethernet. Чтобы предотвратить использование эксплойтов, нужны продукты, специально разработанные для защиты беспроводных сетей.

Российские стандарты в сфере безопасности сетей

В первую очередь я рассмотрю стандарты Российской Федерации, после которых изучу международные стандарты в данной сфере.

Стандарты в области криптографии и Руководящие документы Федеральной службы по техническому и экспортному контролю (ФСТЭК России, ранее Государственная техническая комиссия при Президенте Российской Федерации) закреплены законодательно.

Роль стандартов зафиксирована в основных понятиях закона РФ «О техническом регулировании» от 27 декабря 2002 г. под номером 184-ФЗ (принят Государственной Думой 15 декабря 2002 г.):

Стандарт – документ, в котором в целях добровольного многократного использования устанавливаются характеристики продукции, правила осуществления и характеристики процессов производства, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг. Стандарт также может содержать требования к терминологии, символике, упаковке, маркировке или этикеткам и правилам их нанесения

Стандартизация — деятельность по установлению правил и характеристик в целях их добровольного многократного использования, направленная на достижение упорядоченности в сферах производства и обращения продукции и повышение конкурентоспособности продукции, работ или услуг.

Существуют 2 группы стандартов и спецификаций в области ИБ:

• Оценочные стандарты - существуют для оценки и классификации информационных систем и средств защиты по требованиям безопасности.
• Спецификации - регламентирующие различные аспекты реализации и использования средств и методов защиты.

Руководящие документы (РД) ФСТЭК России

начали появляться после опубликования «Гармонизированных критериев», и, по аналогии с последними, подтверждают разницу между автоматизированными системами (АС) и продуктами (средствами вычислительной техники, СВТ).

В 1997 г. был принят РД по отдельному сервису безопасности – межсетевым экранам (МЭ). Его основная идея состоит в классификации МЭ на основании осуществляющих фильтрацию потоков данных уровней эталонной семиуровневой модели – получила международное признание и продолжает оставаться актуальной.

В 2002 г. Гостехкомиссия России приняла в качестве РД русский перевод международного стандарта ISO/IEC 15408:1999 «Критерии оценки безопасности информационных технологий». Именно этот стандарт я и буду раскрывать в дальнейшем в моём реферате.

Информационная безопасность Российской Федерации

По мимо политической, военной, социальной, экологической и экономической безопасности, составной частью безопасности Российской Федерации, также является и информационная безопасность.

Информационной безопасностью Российской Федерации является защищённое состояние национальных интересов Российской федерации в информационной среде.

Настоящая Доктрина представляет собой систему официальных взглядов на обеспечение национальной безопасности Российской Федерации в информационной сфере.
В настоящей Доктрине информационная сфера описывается как совокупность информации, объектов информатизации, информационных систем, сайтов в информационно-телекоммуникационной сети "Интернет", информационных технологий и т.д., деятельность которых связана с формированием и обработкой информации, развитием и использованием названных технологий, обеспечением информационной безопасности, а также совокупность механизмов регулирования соответствующих общественных отношений.

Указом президента РФ вводится шесть категорий конфиденциальной информации.

1. Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные)
2. Сведения, составляющие тайну следствия и судопроизводства
3. Служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с гражданским кодексом РФ и федеральными законами (служебная тайна)
4. Сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с конституцией РФ и федеральным законами (врачебная, нотариальная, тайна переписки и т.д.)
5. Сведения, связанные с коммерческой деятельностью, доступ к которым ограничен в соответствии с гражданским кодексом РФ и федеральными законами (коммерческая тайна)
6. Сведения о сущности изобретения полезной модели или промышленного образца до официальной публикации информации о них

Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) — федеральная служба, в задачи которой входят надзор в сфере связи, информационных технологий и СМИ, а также надзор по защите персональных данных согласно закону и деятельность по организации радиочастотной службы. Служба подведомственна Минкомсвязи России.

Защита засекреченной информации - это комплекс мероприятий, проводимым собственником информации по ограждению своих прав на владение и распоряжение информации, создание условий ограничивающих ее распространение и исключающих или существенно затрудняющих несанкционированный доступ к информации и их носителям.

Принцип защиты информации - это основополагающие идеи, важнейшие рекомендации по организации и осуществлению этой деятельности на различных этапах решение задачи, сохранения секретов.

Интересы государства в информационной сфере заключаются в создании условий для гармоничного развития российской информационной инфраструктуры, реализации конституционных прав и свобод человека и гражданина в области получения информации и пользования ею в целях обеспечения незыблемости конституционного строя, суверенитета и территориальной целостности России, политической, экономической и социальной стабильности, в безусловном обеспечении законности и правопорядка, развитии равноправного и взаимовыгодного международного сотрудничества.

Национальные интересы РФ в информационной сфере

В информационной сфере формируются стратегические и текущие задачи внутренней и внешней политики государства по обеспечению информационной безопасности с учётом национальных интересов РФ. Согласно Доктрине информационной безопасности РФ, выделяют четыре основные составляющие национальных интересов РФ в информационной сфере.

Первая составляющая включает в себя соблюдение конституционных прав и свобод человека и гражданина в области получения информации и пользования ею, обеспечение духовного обновления России, сохранение и укрепление нравственных ценностей общества, традиций патриотизма и гуманизма, культурного и научного потенциала страны.

Вторая составляющая представляет собой информационное обеспечение государственной политики РФ, связанное с доведением до российской и международной общественности достоверной информации о самой государственной политике, её официальной позиции по социально значимым событиям российской и международной жизни, с обеспечением доступа граждан к открытым государственным информационным ресурсам.

Третья составляющая предусматривает развитие современных информационных технологий, отечественной индустрии информации (средств информатизации, телекоммуникации и связи); обеспечение потребностей внутреннего рынка её продукцией и выход этой продукции на мировой рынок, а также обеспечение накопления, сохранности и эффективного использования отечественных информационных ресурсов. В современных условиях на этой основе можно решать проблемы создания наукоемких технологий, технологического перевооружения промышленности, приумножения достижений отечественной науки и техники. Россия должна занять достойное место среди мировых лидеров микроэлектронного и компьютерного производства.

Четвертая составляющая включает в себя защиту информационных ресурсов от несанкционированного доступа; обеспечение безопасности информационных и телекоммуникационных систем, как уже развернутых, так и создаваемых на территории России.

Литература

Лекции: Марченко А.В. Информационная безопасность и защита информации

https://www.cisco.com/c/ru_ru/products/security/what-is-network-security.html

http://itzashita.ru/standart-world/standart-bezopasnosti-dannyx-industrii-platezhnyx-kart-pci-dss.html

http://itzashita.ru/standart-world/kriterii-ocenki-bezopasnosti-informacionnyx-texnologij.html

http://itzashita.ru/standart-world/iso-27000-mezhdunarodnye-standarty-upravleniya-informacionnoj-bezopasnostyu.html

http://xn----7sbabeyocb2bkdagddhcqh9acx1a8cxksc.xn--80afh5aqv.xn--p1ai/chitat-posobie/glava-3-obespechenie-informacionnoy-bezopasnosti-rf/3-1-informacionnaya-bezopasnost-rf/