Способы защиты информационной безопасности государства

Статья 16. Защита информации

1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:

1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

2) соблюдение конфиденциальности информации ограниченного доступа;

3) реализацию права на доступ к информации.

2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.

3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.

4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:

1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;

2) своевременное обнаружение фактов несанкционированного доступа к информации;

3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;

4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;

5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;

6) постоянный контроль за обеспечением уровня защищенности информации;

7) нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.

(п. 7 введен Федеральным законом от 21.07.2014 N 242-ФЗ)

5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.

6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.

Источник

Способы защиты информации

ИБ-аутсорсинг
на базе DLP-системы

Д анные в компьютерных системах подвержены риску утраты из-за неисправности или уничтожения оборудования, а также риску хищения. Способы защиты информации включают использование аппаратных средств и устройств, а также внедрение специализированных технических средств и программного обеспечения.

Способы неправомерного доступа к информации

Залогом успешной борьбы с несанкционированным доступом к информации и перехватом данных служит четкое представление о каналах утечки информации.

Интегральные схемы, на которых основана работа компьютеров, создают высокочастотные изменения уровня напряжения и токов. Колебания распространяются по проводам и могут не только трансформироваться в доступную для понимания форму, но и перехватываться специальными устройствами. В компьютер или монитор могут устанавливаться устройства для перехвата информации, которая выводится на монитор или вводится с клавиатуры. Перехват возможен и при передаче информации по внешним каналам связи, например, по телефонной линии.

Методы защиты

На практике используют несколько групп методов защиты, в том числе:

препятствие на пути предполагаемого похитителя, которое создают физическими и программными средствами;
управление, или оказание воздействия на элементы защищаемой системы;
маскировка, или преобразование данных, обычно – криптографическими способами;
регламентация, или разработка нормативно-правовых актов и набора мер, направленных на то, чтобы побудить пользователей, взаимодействующих с базами данных, к должному поведению;
принуждение, или создание таких условий, при которых пользователь будет вынужден соблюдать правила обращения с данными;
побуждение, или создание условий, которые мотивируют пользователей к должному поведению.

Каждый из методов защиты информации реализуется при помощи различных категорий средств. Основные средства – организационные и технические.

Регламент по обеспечению информационной безопасности – внутренний документ организации, который учитывает особенности бизнес-процессов и информационной инфраструктуры, а также архитектуру системы.

Организационные средства защиты информации

Разработка комплекса организационных средств защиты информации должна входить в компетенцию службы безопасности.

Чаще всего специалисты по безопасности:

разрабатывают внутреннюю документацию, которая устанавливает правила работы с компьютерной техникой и конфиденциальной информацией;
проводят инструктаж и периодические проверки персонала; инициируют подписание дополнительных соглашений к трудовым договорам, где указана ответственность за разглашение или неправомерное использование сведений, ставших известных по работе;
разграничивают зоны ответственности, чтобы исключить ситуации, когда массивы наиболее важных данных находятся в распоряжении одного из сотрудников; организуют работу в общих программах документооборота и следят, чтобы критически важные файлы не хранились вне сетевых дисков;
внедряют программные продукты, которые защищают данные от копирования или уничтожения любым пользователем, в том числе топ-менеджментом организации;
составляют планы восстановления системы на случай выхода из строя по любым причинам.

Если в компании нет выделенной ИБ-службы, выходом станет приглашение специалиста по безопасности на аутсорсинг. Удаленный сотрудник сможет провести аудит ИТ-инфраструктуры компании и дать рекомендации по ее защите от внешних и внутренних угроз. Также аутсорсинг в ИБ предполагает использование специальных программ для защиты корпоративной информации.

Что такое ИБ-аутсорсинг и как он работает? Читать.

Технические средства защиты информации

Группа технических средств защиты информации совмещает аппаратные и программные средства. Основные:

резервное копирование и удаленное хранение наиболее важных массивов данных в компьютерной системе – на регулярной основе;
дублирование и резервирование всех подсистем сетей, которые имеют значение для сохранности данных;
создание возможности перераспределять ресурсы сети в случаях нарушения работоспособности отдельных элементов;
обеспечение возможности использовать резервные системы электропитания;
обеспечение безопасности от пожара или повреждения оборудования водой;
установка программного обеспечения, которое обеспечивает защиту баз данных и другой информации от несанкционированного доступа.

В комплекс технических мер входят и меры по обеспечению физической недоступности объектов компьютерных сетей, например, такие практические способы, как оборудование помещения камерами и сигнализацией.

Аутентификация и идентификация

Чтобы исключить неправомерный доступ к информации применяют такие способы, как идентификация и аутентификация.

Эти средства направлены на то, чтобы предоставить или, наоборот, запретить допуск к данным. Подлинность, как правила, определяется тремя способами: программой, аппаратом, человеком. При этом объектом аутентификации может быть не только человек, но и техническое средство (компьютер, монитор, носители) или данные. Простейший способ защиты – пароль.

ПОПРОБУЙТЕ «СЁРЧИНФОРМ КИБ»!

Полнофункциональное ПО без ограничений по пользователям и функциональности.

Источник

Информационная безопасность в системе национальной безопасности

Защита данных
на базе системы

Н ациональная безопасность включает безопасность государства, общества, личности. Информационная безопасность в цифровую эпоху играет в системе национальной безопасности ключевую роль, ведь именно от нее зависит сохранность данных и возможность коммуникации и координации между органами власти и обществом.

Система национальной безопасности

Существует теория, что одной из причин разрушения Римской империи стали приостановившиеся поставки папируса из Египта. Стало сложно передавать донесения, снизилась скорость коммуникации между Римом и провинциями, штабом и легионами. Это говорит о важности связи для существования государства, а значит, и о роли информационной безопасности в системе национальной безопасности.

Под системой национальной безопасности или системой обеспечения национальной безопасности (СОНБ) понимается совокупность органов, сил и средств. Она является многоуровневой и предполагает взаимодействие государственных органов, общественных институтов, бизнеса и граждан с целью сохранения суверенитета страны, предотвращения посягательств на ее интересы, сбережения национального богатства. Реализуется система внутри страны, во взаимодействии между регионами и в рамках международных отношений, предполагая одновременную и в равной степени защиту интересов государства, общества и личности.

Информационная безопасность в системе занимает одну из ведущих позиций ролей. В России принимаются основополагающие документы в наиболее важных сферах жизнеобеспечения страны. Наряду с Доктриной продовольственной безопасности разработана и действует Доктрина информационной безопасности, ставшая краеугольным камнем в разработке современной системы защиты от цифровых угроз. Она дала определение информационной сферы, в которой должны применяться внедряемые взгляды на безопасность. Под информационной сферой понимается совокупность информации, объектов информационной инфраструктуры, сетей связи и Интернета, технологий, участников цифровых отношений, государственных органов и иных организаций, работающих в сфере разработки технологий, защиты данных. Кроме того, к этой сфере относится система регулирования взаимоотношений между ее субъектами.

Доктрина информационной безопасности

Вторая редакция Доктрины была принята в 2016 году, до этого действовал более ранний документ 2000 года. Она разработана Советом Безопасности РФ и стала теоретической и концептуальной основой для создания нормативно-правовых актов и внедрения проектов, целью которых стала защита интересов России от кибератак и иных цифровых угроз.

Угрозы прямо названы в документе:

рост научного и технического потенциала ряда государств, стремящихся закрепить свой приоритет на международной арене и использующих для этого информационные ресурсы. Используются такие методы, как прямое цифровое вторжение в инфраструктуру жизнеобеспечения и применение ресурсов научно-технической разведки;
усиление информационно-психологического воздействия на население, использование информационных технологий для изменения менталитета и поведения граждан;
использование технологий цифровых атак и хакерского потенциала экстремистскими и террористическими группировками, национальными и международными;
возрастание масштабов кибератак на объекты инфраструктуры, финансовую сферу, бизнес и граждан;
недостаточный уровень развития собственного научного и кадрового потенциала.

Фиксация угроз привела к реализации проектов национального масштаба, призванных минимизировать риски, возникающие в сфере информационной безопасности как неотъемлемой составляющей национальной безопасности.

Деятельность государства в области информационной безопасности

Защита суверенитета государства в цифровом мире требует существенных усилий. Роль государства в усилении информационной безопасности в системе национальной безопасности выражается в следующих направлениях:

нормативно-правовое регулирование на законодательном и подзаконном уровнях;
реализация национальных проектов;
регулирование на уровне исполнительной власти;
организация взаимодействия государства и общества.

Если регулирование и взаимодействие носят системный и непрерывный характер, то национальные проекты направлены на прорывное решение наиболее значимых задач.

«Цифровая экономика»

Национальный проект «Цифровая экономика», реализуемый Министерством цифрового развития, связи и массовых коммуникаций РФ, предусматривает выполнение нескольких подпрограмм:

Кадры.
Безопасность.
Технологии.
Государственное управление.

Их реализация рассчитана на период до 2024 года. В рамках подпроекта «Информационная безопасность» планируется решить ключевые задачи, призванные обеспечить устойчивое развитие национальной информационной инфраструктуры, подготовку кадров и развитие технологий, повысить экспортный потенциал отрасли, гарантировать полную защиту интересов государства и общества.

На период реализации программы предусмотрено:

предоставить поддержку 100 экспортно-ориентированным компаниям, что должно обеспечить устойчивое присутствие национальных информационных технологий на международной арене;
добиться маршрутизации на территории России не менее 90 % сетевого трафика (концепция суверенного Рунета);
обеспечить использование не менее чем 97 % населения средств защиты информации;
снизить долю иностранного программного обеспечения, покупаемого или арендуемого государственными организациями, до 10 % в структуре общей цены закупок.

В рамках подпроекта с осени 2019 года началось предоставление субсидий ряду исполнителей. На его реализацию до 2024 года планируется затратить 167 миллиардов рублей.

Среди показателей в цифровом выражении, которых предполагается достичь к 2024 году:

снизить среднее время простоев ГИС (государственных информационных систем) в результате информационных атак с 65 часов на конец 2018 года до 1 часа в 2024 году, что должно сыграть ключевую роль в сфере защиты информации;
повысить процент населения, применяющего отечественные средства защиты информации, с 86 % до 97 %;
повысить количество специалистов, подготовленных по направлению защиты информации, с 7 до 24 тысяч;
снизить долю иностранного ПО в общей цене закупок ПО государственными органами и компаниями с 50 % до 10 %.

Помимо показателей, которых планируется достичь, определены конкретные действия, которые уже достигнуты и должны быть реализованы в рамках нацпроекта:

1. Предполагается, что безопасность информационного пространства и сети Интернета недостаточно отрегулирована на уровне международного права, отсутствуют документы, которые позволяют устранить перевес сил в пользу отдельных государств. В рамках решения этой задачи в международные организации (ООН) внесены проекты соглашений и конвенций, направленных на реализацию принципа паритетности в сфере информационных технологий, равного участия государств в управлении Интернетом. Так, Россия стала инициатором первой резолюции Генеральной Ассамблеи ООН о «Достижениях в области информатизации и телекоммуникаций в контексте международной безопасности в 1998 году» и намерена продолжить движение в этом направлении.

2. Нападения иностранных хакеров на сети электрообеспечения страны признаны одной из основных угроз национальной и экономической безопасности. Были проанализированы угрозы, составлена их модель и внесены предложения по изменению отраслевых стандартов и нормативно-правовых актов с целью создания единой устойчивой системы защиты объектов электросистемы, принадлежащих различным собственникам, что усложняет задачу создания единого пространства регулирования системы защиты от сетевых атак.

3. Обеспечение информационной безопасности требует преимущественной маршрутизации трафика в пределах границ Российской Федерации. Разработаны концепция и основные нормативные акты в направлении создания суверенного Рунета, началось их внедрение. Правовой статус российского сегмента Интернета законодательно закреплен.

4. От устойчивости сетей связи зависит качество управления и взаимодействия государственных органов. Были законодательно закреплены требования к устойчивости и безопасности сетей связи и оборудования как для ГИС, так и для компаний различных организационно-правовых форм.

5. Сети общего пользования могут стать объектами направленных атак. Разработана и внедряется система мониторинга состояния сетей общего пользования. Изменены требования к проектированию сетей связи общего пользования с учетом действующей модели угроз. Новые общие и частные сети могут создаваться только при условии их соответствия разработанным параметрам.

6. Информационная безопасность призвана решать задачи обеспечения правопорядка. Разработан и внедряется комплекс решений по внедрению отечественных информационных технологий при реализации программы «Умный город».

Среди уже внедренных проектов, обеспечивающих защиту интересов государства и общества, особое значение имеет ГосСОПКА – государственный центр обнаружения и предотвращения компьютерных атак. Его поддержкой занимается ФСБ РФ, на ведомство ложатся ключевые задачи обеспечения национальной безопасности в информационной сфере.

ГосСОПКА

Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы, созданная по указу президента РФ № 620, предназначена для решения четырех основных задач в сфере информационной безопасности как части национальной безопасности:

прогнозирование рисков атак в информационном пространстве;
взаимодействие между собой и с государством компаний, которым принадлежат значимые информационные ресурсы, особенно обслуживающие критические объекты инфраструктуры, для выявления, предупреждения и ликвидации последствий цифровых атак;
контроль и мониторинг уровня защищенности инфраструктуры от цифровых атак;
расследование инцидентов информационной безопасности.

За общее рабочее состояние системы отвечает ФСБ РФ. Все организации любой формы собственности, имеющие в распоряжении объекты критической информационной инфраструктуры (КИИ), обязаны создать у себя центры ГосСОПКА и оборудовать их в соответствии с требованиями ФСБ и ФСТЭК РФ. Отказ от выполнения этих требований, ввиду их важности для жизнеобеспечения страны и создания необходимого уровня информационной безопасности в системе национальной безопасности, предусматривает ответственность вплоть до уголовной.

С точки зрения информационной архитектуры ГосСОПКА выглядит как единый, но территориально распределенный комплекс центров управления и мониторинга, обменивающихся между собой информацией о кибератаках. Задача системы –объединение критически важной инфраструктуры в единую сеть с целью обмена информацией о кибератаках. Если такая атака совершается на один из объектов, он передает ее параметры другим, и те имеют возможность подготовиться к нападению. Совместная система предупреждения уже доказала свою эффективность.

Система состоит из центров трех уровней – федерального, регионального и местного, в которые делятся на территориальные, ведомственные и корпоративные центры. Для борьбы с компьютерными атаками все они должны иметь следующие программные и аппаратные средства:

обнаружения. Средства выявляют не инциденты, а именно значимые события информационной безопасности, чаще всего они реализуются по модели SIEM;
предупреждения. Механизм предупреждения, инвентаризации и мониторинга реализуется программными средствами класса Vulnerability Scanner или сканерами защищенности. В большинстве компаний с КИИ такие средства уже внедрены согласно рекомендациям ФСТЭК РФ;
ликвидации последствий. Здесь реализуется совместная работа участников системы над ликвидацией последствий компьютерных атак, реализуемая в виде Incident Response Platform;
расшифровки;
обмена информацией;
криптографической защиты каналов связи, в данном случае дополнительной разработки средств шифрования именно для ГосСОПКИ не потребовалось.

Разработка программных средств для их внедрения в центрах ГосСОПКА ведется крупнейшими компаниями – производителями программного обеспечения в стране, что является одним из проявлений взаимодействия государства и общества в сфере информационной безопасности как части национальной безопасности.

Зона совместного регулирования

Государство уполномочено принимать нормативные акты и рекомендации в сфере обеспечения компьютерной безопасности, но они непосредственно влияют на общество и бизнес, вынуждая корректировать планы и бюджеты. Современная концепция взаимодействия власти и общества в сфере информационной безопасности предполагает, что практически все нормативные акты, существенно затрагивающие общественные интересы, должны пройти стадию предварительного общественного обсуждения.

Особенно это касается значимых законопроектов. Так, законопроект о суверенном Рунете проходил длительное общественное обсуждение, пока не были учтены основные замечания. Это же касается ряда рекомендаций ФСТЭК РФ, относящихся к сертификации программного обеспечения, ведомство прислушивается к аргументам бизнеса и вносит корректировки в свои проекты. Невозможно решать вопросы такого уровня, как ограничение пользования Интернетом, без учета интересов личности, поэтому в обсуждении концепции цифровой безопасности принимали участие не только Ростелеком и «Лаборатория Касперского», но и общественность. Законопроект был размещен опубликован в Интернете для открытого обсуждения, что позволило скорректировать ряд направлений государственной политики, так как состояние информационной защищенности гражданина предполагает и его информированность о тех действиях государства, которые могут повлиять на его поведение.

Международно-правовое взаимодействие государства и общества

Государство не может действовать в одиночку, ему нужно стабильное взаимодействие с институтами гражданского общества и бизнесом, это позволяет достичь синергии в создании информационной безопасности в системе национальной безопасности РФ. Крупнейшие производители компьютерных технологий понимают, что в современном мире силовой инструментарий государства зачастую стоит на службе у крупных корпораций, и кибероружие иностранных государств во многом будет задействовано против российского бизнеса. Так, в начале 2019 года Франция приняла новую доктрину кибербезопасности, разрешающую «превентивные кибератаки», тем самым признав факт разработки кибероружия. Она оказалась не первой, ранее факт таких разработок признавал Китай.

Исходя из представленного Минкомсвязи паспорта проекта «Информационная безопасность», критическая инфраструктура пока не готова к целенаправленному отражению массированной атаки на системы жизнеобеспечения, энергосеть, крупнейшие промышленные предприятия. Бизнес полностью готов к сотрудничеству с государством, видя общую опасность. Наиболее существенной проблемой видится возможность внешнего проникновения в системы АСУ предприятий. Евгений Касперский утверждает, что в 2018 году такие попытки осуществлялись в отношении 48 % систем АСУ. Это побуждает к выработке новых защитных решений, авария на нефтепроводе способна полностью парализовать регион. Это побуждает бизнес в защите своих интересов активнее включаться в общегосударственную работу в области информационной безопасности.

На сегодня частно-государственное взаимодействие в области кибербезопасности развивается в различных направлениях. Несмотря на режим санкций, идет активное общение между учеными и предпринимателями России и стран Европы. Общество стремительно реализует модель «сетевой дипломатии», в которой бизнесмены нашей и зарубежных стран активно договариваются о создании кодекса этики, в рамках которого информационные атаки на экономическую инфраструктуру окажутся неприемлемым и не признаваемым экономическим сообществом мира методом конкурентной борьбы.

Риск киберинцидентов, инспирируемых международными террористическими группировками и опасных для общества и бизнеса, привел к возникновению компьютерных групп реагирования на чрезвычайные ситуации и команд компьютерной безопасности по реагированию на инциденты (CERTs / CSIRTs). Глобальный форум по управлению Интернетом в 2017 году показал, что корпоративные CERTs из различных стран активно идут на сотрудничество друг с другом, выстраивая собственную трансграничную систему взаимодействия и ассистируя борьбе государств с глобальными компьютерными угрозами. В России участником глобального тренда стал RU-CERT – российский центр реагирования на компьютерные инциденты.

Бизнес выдвигает идеи создания некой общей среды кибербезопасности, в которой реализовывались бы переплетенные интересы государства и общества. Так, в октябре 2019 года состоялось заседание Клуба «Безопасность информации в промышленности», в котором приняли участие лидеры бизнеса России – «Норникель», «Северсталь», «Лукойл», «Юнипро», «Газпром нефть», «Фосагро», «НЛМК». Примером такого взаимодействия стало рассмотрение на международном уровне разработанной компанией «Норникель» Хартии информационной безопасности критических объектов промышленности в ОБСЕ и в Совет Баренцева/Евроарктического региона.

Признаваемая потенциальными участниками Хартии информационная безопасность в системе национальной безопасности выступает гарантом отказа не только бизнеса, но и государств от конфликтов с использованием кибероружия, последствия которых могут оказаться критическими. Хартия «Норникеля» осуждает использование информационных технологий в целях недобросовестной конкуренции и нанесения ущерба объектам промышленности и «приветствует усилия международного сообщества по приданию опорным информационно-коммуникационным инфраструктурам, формирующим основу глобальной сети, статуса демилитаризованной зоны, свободной от силового противоборства политических субъектов».

Этот документ не единственный, бизнес уже несколько лет выступает с инициативами усилить совместное регулирование борьбы с кибероружием:

Microsoft в 2014 году предложил Цифровую Женевскую конвенцию, включающую шесть основных принципов международной кибербезопасности, применимых в мирное время. Компания потребовала от государств ограничить гонку кибервооружений;
Соглашение о кибербезопасности (предложено Cybersecurity Tech Accord в 2018 году);
Хартия доверия Siemens (Charter of Trust), также 2018 год. Компания сформулировала основные принципы организации совместной политики кибербезопасности;
два документа предложила в этом же году Глобальная комиссия по киберстабильности (GCCS), они касаются защиты «публичного ядра» Интернета и обеспечения безопасности инфраструктуры, используемой для проведения выборов и референдумов.

Пока ни один из названных документов не вышел из стадии обсуждения, это касается и схожих документов в сфере международного права, предлагаемых иными международными субъектами.

Вопросы информационной безопасности Российской Федерации могут быть решены только в тесном взаимодействии государства, бизнеса и общества, где заинтересованными участниками диалога становятся крупные корпорации и разработчики программного обеспечения. Цифровая эра создает новые вызовы, в которых за государством остается роль организатора и регулятора, а бизнес становится соисполнителем задач.

Источник