KONCEPCE INFORMAČNÍ BEZPEČNOSTI ATS
Již jsme se pozastavili u pojmu informační bezpečnost, který lze v nejobecnější podobě definovat jako stav ochrany informačních potřeb jednotlivce, společnosti a státu, který zajišťuje jejich existenci a progresivní rozvoj bez ohledu na přítomnost vnitřních a vnějších informačních hrozeb. Upřesněme tento pojem ve vztahu k cílům a záměrům, kterým orgány činné v trestním řízení v současné fázi čelí. Abychom toho dosáhli, nejprve se vraťme k obecnému konceptu – konceptu „bezpečnosti“.
V současné době je bezpečnost integrální charakteristikou pokroku a koncept bezpečnosti je jedním z klíčových při studiu problematiky optimalizace lidské činnosti, včetně činností v boji proti kriminalitě.
Pojem bezpečnosti byl v průběhu staletí opakovaně naplněn různým obsahem a tím i chápáním jeho významu. V dávných dobách se tedy chápání bezpečnosti nevymykalo běžnému pojetí a bylo vykládáno jako absence nebezpečí nebo zla pro člověka. V tomto každodenním významu termín „bezpečnost“ používal například starověký řecký filozof Platón.
Ve středověku byla bezpečnost chápána jako klidný stav mysli člověka, který se považoval za chráněného před jakýmkoli nebezpečím. V tomto významu však tento termín pevně vstoupil do slovníku národů Evropy až v 17. století. málo používané.
Pojem „bezpečnost“ se ve vědeckých a politických kruzích západoevropských zemí rozšiřuje díky filozofickým koncepcím T. Hobbese, D. Locka, J.J. Rousseau, B. Spinoza a další myslitelé 17.-18. století, tedy stav, situace klidu, která se objevuje v důsledku absence reálného nebezpečí (fyzického i mravního).
Právě v tomto období došlo k prvním pokusům o teoretický rozvoj tohoto konceptu. Nejzajímavější verze je ta, kterou navrhl Sonnenfels, který věřil, že bezpečnost je stav, ve kterém se nikdo nemá čeho bát. Pro konkrétního člověka tato situace znamenala soukromou, osobní bezpečnost a stav státu, ve kterém se nebylo čeho bát, představoval veřejnou bezpečnost.
Bezpečnost je v současnosti tradičně chápána jako stav, ve kterém jsou životní zájmy jednotlivce, společnosti, státu a mezinárodního systému chráněny před jakoukoli vnitřní či vnější hrozbou. Z tohoto pohledu bezpečnost lze definovat jako nemožnost způsobit někomu nebo něčemu újmu z důvodu projevu ohrožení, tzn. jejich ochranu před hrozbami.
Je třeba poznamenat, že tento přístup našel největší uznání jak ve vědecké komunitě, tak v oblasti legislativní činnosti.
V obecných metodologických termínech struktura pojmu „bezpečnost“ zahrnuje:
q bezpečnostní objekt;
q ohrožení objektu zabezpečení;
q zajištění bezpečnosti objektu před hrozbami.
Klíčovým prvkem pro určení obsahu pojmu „zabezpečení“ je předmět zabezpečení, tzn. něco, co se chrání před hrozbami. Výběrem za objekt bezpečnostních informací kolujících v orgánech vnitřních věcí, jakož i činností policejních složek souvisejících s produkcí a konzumací informací, lze hovořit o jejich informační bezpečnost – bezpečnost jejich „informační dimenze“.
V současné ruské legislativě je informační bezpečnost chápána jako „stav ochrany národních zájmů v informační sféře, určovaný souhrnem vyvážených zájmů jednotlivce, společnosti a státu“(Doktrína informační bezpečnosti Ruské federace). Zároveň pod Informační sférou společnosti se rozumí souhrn informací, informační infrastruktura, subjekty shromažďující, generující, distribuující a využívající informace, jakož i systémy pro regulaci společenských vztahů, které v tomto případě vznikají..
Na základě toho, co bylo uvedeno, Informační bezpečnost orgánů vnitřních věcí je chápána jako stav bezpečnosti informací, informačních zdrojů a informačních systémů orgánů vnitřních věcí, který zajišťuje ochranu informací (údajů) před únikem, odcizením, neoprávněným přístupem, zničením, zkreslením, pozměněním, paděláním. , kopírování, blokování (Koncepce zajištění informační bezpečnosti orgánů vnitřních věcí Ruské federace do roku 2020, schválená nařízením Ministerstva vnitra Ruské federace ze dne 14. března 2012 č. 169). Struktura tohoto konceptu je znázorněna na Obr. 4. Podívejme se na to podrobněji.
Rýže. 4. Struktura pojmu „informační bezpečnost orgánů vnitřních věcí“
Objekt zabezpečení informací ATS. Jak jsme již uvedli, objekty informační bezpečnosti jsou:
q informační zdroje orgány vnitřních záležitostí používané při řešení služebních úkolů, včetně těch, které obsahují informace s omezeným přístupem, jakož i zvláštní informace a operativní údaje služebního charakteru.
Informace používané orgány vnitřních věcí obsahují informace o stavu kriminality a veřejného pořádku na obsluhovaném území, o samotných orgánech a jednotkách, jejich silách a prostředcích. Ve služebních stanicích shromažďují detektivové, inspektoři místní policie, vyšetřovatelé, zaměstnanci forenzních jednotek, migrační služby a další jednotky, primární účetní dokumenty, deníky a další média pole dat pro účely operativního vyhledávání a operativní reference. který obsahuje informace o:
– pachatelé a zločinci;
– majitelé motorových vozidel;
– majitelé střelných zbraní;
– události a skutečnosti trestní povahy, trestné činy;
– odcizené a zabavené věci, starožitnosti a další informace podléhající úschově.
Služby a útvary orgánů vnitřních záležitostí jsou charakterizovány těmito údaji:
– o silách a prostředcích, kterými tělo disponuje;
– o výsledcích jejich činnosti.
Výše uvedené informace jsou využívány při organizaci práce útvarů a při praktických opatřeních k potírání kriminality a delikvence.
Kromě výše uvedených informací jsou široce využívány vědecké a technické informace nezbytné pro zlepšení činnosti orgánů vnitřních záležitostí.
Zvláštní pozornost by měla být věnována informacím, které orgány vnitřních záležitostí využívají při řešení a vyšetřování trestných činů. Tento typ informací může zahrnovat, ale není omezen na:
Všechny druhy důkazů v trestním řízení;
Materiály trestního případu;
Informace o postupu trestního vyšetřování (tj. soubor operativních a procesních informací o vyšetřované události, plány provádění operativních vyšetřovacích a procesních úkonů);
Informace o policistech, kteří se podílejí na vyšetřování trestného činu;
Informace o podezřelých a obviněných osobách v případu;
Informace o obětech, svědcích a dalších osobách pomáhajících při vyšetřování trestného činu atd.
Kromě výše uvedeného podléhají ochraně také informace omezeného přístupu fyzických a právnických osob, ke kterým mají přístup úředníci policejních útvarů při plnění služebních povinností, zejména při objasňování a vyšetřování trestných činů;
q informační infrastruktura orgány vnitřních věcí, což znamená soubor metod, prostředků a technologií pro realizaci informačních procesů (tj. procesů tvorby, shromažďování, zpracování, shromažďování, uchovávání, vyhledávání, distribuce a spotřeby informací), které je nutné v útvaru vnitřních věcí provádět při výkonu úkoly, které jim ukládá zákon.
Informační infrastruktura orgánů vnitřních věcí zahrnuje především ty, které jsou využívány při praktické činnosti orgánů činných v trestním řízení. Informační systémy, sítí A komunikační sítě(včetně veřejného použití).
Informační infrastruktura orgánů vnitřních věcí by jistě měla zahrnovat ty, které jsou využívány při praktické činnosti orgánů vnitřních věcí. informační technologie– procesy, které využívají soubor prostředků a metod pro sběr, zpracování a přenos dat (primárních informací) k získání nových kvalitních informací o stavu objektu, procesu nebo jevu (informační produkt).
Mezi objekty informační infrastruktury patří: prostory, ve kterém probíhají informační procesy při úřední činnosti, zpracování informací na počítači atp.
Ohrožení objektu zabezpečení informací. Organizace zajištění informační bezpečnosti orgánů vnitřních záležitostí by měla být komplexní a založená na hloubkové analýze možných negativních důsledků. Je důležité nevynechat žádný důležitý aspekt. Analýza negativních důsledků vyžaduje povinnou identifikaci možných zdrojů hrozeb, faktorů přispívajících k jejich projevu a v důsledku toho identifikaci aktuálních hrozeb pro informační bezpečnost.
Na základě tohoto principu je vhodné modelovat a klasifikovat zdroje ohrožení informačních zdrojů a informační infrastruktury orgánů vnitřních záležitostí na základě analýzy interakce logického řetězce:
Zdroje hrozeb . V teorii informační bezpečnosti pod zdroje ohrožení důvěrné informace jsou srozumitelné potenciální nositelé hrozeb informační bezpečnosti , které se podle povahy dělí na antropogenní(způsobené lidskou činností), umělý člověk nebo spontánní. Ve vztahu k samotnému bezpečnostnímu objektu se zdroje hrozeb dělí na externí A vnitřní.
Analýza ustanovení Doktríny informační bezpečnosti Ruské federace, jakož i dalších regulačních dokumentů v oblasti informační bezpečnosti, nám umožňuje identifikovat následující hlavní zdroje hrozeb pro informační bezpečnost orgánů vnitřních záležitostí.
Mezi hlavní vnější zdroje ohrožení informační bezpečnosti orgánů vnitřních záležitostí patří:
Zpravodajská činnost zvláštních služeb cizích států, mezinárodních zločineckých společenství, organizací a skupin související se shromažďováním informací odhalujících úkoly, plány činnosti, technické vybavení, způsoby práce a umístění zvláštních jednotek a orgánů pro vnitřní záležitosti Ruské federace;
Činnosti zahraničních veřejných a soukromých komerčních struktur, jakož i domácích zločineckých skupin a komerčních organizací usilujících o neoprávněný přístup k informačním zdrojům orgánů činných v trestním řízení;
Přírodní katastrofy a přírodní jevy (požáry, zemětřesení, povodně a jiné nepředvídané okolnosti);
Různé typy nehod způsobených člověkem;
Poruchy a poruchy, poruchy provozu prvků informační infrastruktury způsobené chybami v jejich návrhu a/nebo výrobě.
Mezi hlavní vnitřní zdroje ohrožení informační bezpečnosti orgánů vnitřních záležitostí patří:
Porušování stanovených předpisů pro shromažďování, zpracování, uchovávání a předávání informací používaných při praktické činnosti odboru vnitřních věcí, včetně informací obsažených ve spisovnách a automatizovaných databankách a používaných pro vyšetřování trestných činů;
Selhání selhání hardwaru a softwaru v informačních a telekomunikačních systémech;
Používání necertifikovaného softwaru, který narušuje normální fungování informačních a informačních a telekomunikačních systémů, včetně systémů informační bezpečnosti;
Úmyslné akce, jakož i chyby pracovníků přímo zapojených do údržby informačních systémů používaných v orgánech pro vnitřní záležitosti, včetně těch, kteří se podílejí na vytváření a údržbě kartoték a automatizovaných databank;
Neschopnost či neochota obsluhy a/nebo uživatelů informačních systémů ATS plnit své povinnosti (občanské nepokoje, dopravní nehody, teroristický útok nebo jeho hrozba, stávka apod.).
Zranitelnosti . Pod zranitelnost v kontextu uvažované problematiky se domníváme, že je nutné porozumět důvody vedoucí k porušení stanoveného režimu ochrany informací v orgánech vnitřních záležitostí . Mezi takové důvody patří například:
Nepříznivá kriminální situace, doprovázená trendy prolínání státních a kriminálních struktur v informační sféře, získáváním kriminálních struktur k důvěrným informacím, zvyšováním vlivu organizovaného zločinu na život společnosti, snižováním míry ochrany oprávněných zájmů občanů, společnosti a státu v informační sféře;
nedostatečná legislativní a regulační regulace výměny informací v oblasti vymáhání práva;
Nedostatečná koordinace činností orgánů vnitřních věcí a jejich odborů k provádění jednotné politiky v oblasti informační bezpečnosti;
Nedostatečná aktivita v informování veřejnosti o činnosti orgánů vnitřních záležitostí, vysvětlování přijatých rozhodnutí, vytváření otevřených vládních zdrojů a vytváření systému přístupu občanů k nim;
Nedostatečné financování opatření k zajištění informační bezpečnosti orgánů vnitřních záležitostí;
Snížená efektivita systému vzdělávání a odborné přípravy, nedostatečný počet kvalifikovaných pracovníků v oblasti informační bezpečnosti;
Absence jednotné metodiky sběru, zpracování a uchovávání informací operativně-hledacího, referenčního, forenzního a statistického charakteru apod.;
Přítomnost takových konstrukčních prvků a technických charakteristik prvků informační infrastruktury, které mohou vést k narušení integrity, dostupnosti a důvěrnosti bezpečnostních objektů. Například protokol TCP/IP používaný v globální elektronické síti Internet byl původně vyvinut bez zohlednění požadavků na bezpečnost informací a většina softwaru používaného v praktických činnostech ATS obsahuje mnoho chyb a nezdokumentovaných schopností.
Výhrůžky . Uvedené zranitelnosti vyvolávají odpovídající ohrožení bezpečnosti informací a informační infrastruktury orgánů vnitřních záležitostí. V čem Ohrožením objektu informační bezpečnosti rozumíme soubor podmínek a faktorů, které vytvářejí potenciální nebo reálné nebezpečí úniku, krádeže, ztráty, zničení, zkreslení, pozměnění, padělání, kopírování, blokování informací a neoprávněného přístupu k nim. .
Nicméně, a to je třeba zdůraznit, ohrožení bezpečnostního objektu není něco, co existuje nezávisle. Jde buď o projev interakce bezpečnostního objektu s jinými objekty, což může poškodit jeho fungování a vlastnosti, nebo o podobný projev interakce subsystémů a prvků samotného bezpečnostního objektu.
Bezpečnost informačních zdrojů a informační infrastruktury orgánů vnitřních věcí se projevuje zabezpečením jejich nejdůležitějších vlastností, mezi které patří:
q integrita – vlastnost informační a informační infrastruktury vyznačující se schopností odolat neoprávněnému nebo neúmyslnému zničení a zkreslení informací;
q dostupnost – vlastnost informační a informační infrastruktury, vyznačující se schopností poskytovat neomezený přístup k informacím subjektům, které k tomu mají příslušné oprávnění;
q důvěrnosti – vlastnost informační a informační infrastruktury, vyznačující se schopností utajit informace před subjekty, které nemají oprávnění se s nimi seznámit.
Narušení stanovených vlastností předmětů informační bezpečnosti orgánů vnitřních věcí představuje ohrožení informační bezpečnosti orgánů vnitřních věcí. Tyto hrozby se projevují:
q porušení integrity informací v důsledku:
- ztráta (krádež). Spočívá v „odstranění“ informací a/nebo jejich nosičů z informační sféry orgánů vnitřních věcí, což vede k nemožnosti dalšího využití těchto informací v činnosti orgánů vnitřních věcí;
- zničení. Zničení je zásah do informací a/nebo jejich médií kolujících v orgánech vnitřních věcí, v důsledku čehož zanikají nebo jsou uvedeny do stavu, který znemožňuje jejich další využití v praktické činnosti vnitřních věcí. těla;
- zkreslení (úpravy, padělky), tj. v důsledku takového dopadu na informaci, který vede ke změně jejího (informačního) sémantického obsahu, vytváření a/nebo vnucování nepravdivých nosičů informací;
q narušení dostupnosti informací v důsledku:
- blokování, těch. ukončení nebo znemožnění přístupu k informacím oprávněným osobám;
- ztráta;
q porušení důvěrnosti informací v důsledku:
- neoprávněné zveřejnění informací. Představuje úmyslné nebo neúmyslné jednání osob s přístupem k nezveřejněným informacím, což usnadňuje neoprávněný přístup k těmto informacím třetím stranám.;
- neoprávněný přístup k informacím. Představuje úmyslné či neúmyslné jednání osob, které nemají právo na přístup k informacím, aby se s nimi seznámily.
Zajištění bezpečnosti informací. Již jsme poznamenali, že informační bezpečnost orgánů vnitřních věcí je ochrana informačních zdrojů a podpůrné informační infrastruktury orgánů vnitřních věcí před hrozbami, tzn. nemožnost jejich poškození nebo újmy. Protože jak informační zdroje, tak informační infrastruktura orgánů vnitřních věcí neexistují samy o sobě, mimo praktickou činnost orgánů vnitřních věcí, ale ve skutečnosti jsou jedním z prostředků této činnosti, je zcela zřejmé, že jejich zabezpečení může být zajišťovat pouze vytvořením takových podmínek pro činnost orgánů vnitřních věcí případy, kdy bylo potenciálně nebezpečným dopadům na bezpečnostní objekty buď zabráněno, nebo omezeny na úroveň, při které nebyly schopny je poškodit.
Tím pádem, Zajišťování informační bezpečnosti orgánů vnitřních věcí je proces vytváření takových podmínek pro činnost orgánů vnitřních věcí, při kterých bylo zabráněno potenciálně nebezpečným dopadům na informační zdroje a informační infrastrukturu orgánů vnitřních věcí nebo jejich omezení na úroveň nezasahující do řešení úkolů orgánů vnitřních věcí..
Z této definice jasně vyplývá, že zajišťování informační bezpečnosti má v systému činnosti orgánů vnitřních věcí pomocný charakter, neboť je zaměřeno na vytváření podmínek pro dosažení hlavních cílů orgánů vnitřních věcí - především efektivního boje proti zločinu.
Zajištění informační bezpečnosti orgánů vnitřních záležitostí má své vlastní externí A vnitřní zaměření. Vnější zaměření Tento typ činnosti je dán potřebou zajistit zákonná práva a zájmy nositelů autorských práv k zákonem chráněným informacím zapojeným do činnosti orgánů vnitřních záležitostí.
Vnitřní zaměřeníčinnosti k zajištění informační bezpečnosti orgánů vnitřních věcí jsou dány potřebou plnění úkolů a cílů, před nimiž stojí orgány vnitřních věcí - především odhalování, řešení, vyšetřování a předcházení trestné činnosti. Jinými slovy, vytváří předpoklady pro úspěšnou realizaci úkolů orgánů vnitřních záležitostí.
Činnosti k zajištění bezpečnosti informací jsou prováděny na základě určitého souboru nejdůležitějších, klíčových myšlenek a ustanovení, nazývaných principy. Tyto základní principy zahrnují následující:
Humanismus;
Objektivnost;
Specifičnost;
Účinnost;
Kombinace publicity a oficiálních tajemství;
Zákonnost a ústavnost;
Soulad zvolených prostředků a metod s účelem protiakci;
Složitost.
Zásada humanismus je zajišťovat práva a svobody člověka a občana při potírání ohrožení informační bezpečnosti, předcházení protiprávním útokům na jeho osobu, ponižování cti a důstojnosti člověka, svévolnému zasahování do jeho soukromého života, osobních a rodinných tajemství, omezování svobody jeho informační činnosti, jakož i při minimalizaci újmy na těchto právech a svobodách při jejich omezování ze zákonných důvodů.
Zásada objektivnost je při realizaci protiopatření zohledňovat objektivní zákonitosti společenského vývoje, interakci společnosti s prostředím a reálné schopnosti subjektů informační bezpečnosti eliminovat hrozbu nebo minimalizovat následky její realizace. Tento princip vyžaduje integrovaný, systematický přístup k určování způsobů, jak dosáhnout cílů činnosti s co nejmenším vynaložením úsilí a zdrojů.
Zásada specifičnost je zajistit bezpečnost ve vztahu ke konkrétním životním okolnostem s přihlédnutím k různým formám projevů objektivních zákonitostí na základě spolehlivých informací o vnitřních i vnějších hrozbách a schopnostech jim čelit. Spolehlivé informace umožňují stanovit konkrétní formy projevů hrozeb, v souladu s tím stanovit cíle a akce k zajištění bezpečnosti, specifikovat způsoby boje proti hrozbám, síly a prostředky potřebné k jejich realizaci.
Zásada účinnost je dosáhnout protiakčních cílů s co nejmenším vynaložením úsilí a zdrojů. Zajištění informační bezpečnosti v jakékoli sociální komunitě vyžaduje určité materiální, finanční a lidské zdroje. Na základě toho musí být zajištění bezpečnosti, jako každá společensky užitečná činnost lidí, prováděno racionálně a efektivně. Kritéria účinnosti, která se v praxi používají, obvykle zahrnují poměr výše škod, kterým bylo zabráněno implementací hrozeb, k nákladům na boj proti těmto hrozbám.
Zásada kombinace publicity a utajení je nalézt a udržovat potřebnou rovnováhu mezi otevřeností činností v oblasti informační bezpečnosti, která umožňuje dosáhnout důvěry a podpory veřejnosti, a na druhé straně chránit chráněné informace odboru vnitřních věcí, jejichž zveřejnění může omezit účinnost boje proti bezpečnostním hrozbám.
Zásada zákonnosti a ústavnosti znamená provádění všech funkcí státních organizací a úředníků v přísném souladu s platnou ústavou, zákony a předpisy, v souladu s kompetencí stanovenou zákonem. Nezbytným požadavkem a zásadou činnosti nejen státních, ale i nestátních orgánů, institucí a organizací musí být striktní a přísné dodržování právního státu a ústavnosti.
Zásada soulad zvolených prostředků a metod s cílem protiakci znamená, že tyto prostředky a metody musí na jedné straně stačit k dosažení cíle a na druhé straně nesmí vést k nežádoucím důsledkům pro společnost.
Zásada složitost využití disponibilních sil a prostředků spočívá v koordinované činnosti subjektů boje proti ohrožení informační bezpečnosti a koordinovaném využívání zdrojů k tomu dostupných.
Informační bezpečnost jako typ zabezpečení má složitou strukturu, včetně cíle, prostředky a předměty této činnosti.
Za cíle činností k zajištění informační bezpečnosti orgánů vnitřních záležitostí lze označit:
q eliminace (prevence) bezpečnostních hrozeb;
q minimalizace škod způsobených hrozbami.
Eliminace (prevence) hrozeb neboť cílem zajištění informační bezpečnosti je taková povaha interakce mezi bezpečnostním objektem a zdrojem hrozeb, kdy tyto zdroje přestávají mít vlastnost hrozbu generovat.
Minimalizace následků k implementaci hrozby jako cíle aktivit informační bezpečnosti dochází tehdy, když eliminace (prevence) hrozeb není možná. Tento cíl představuje takový charakter interakce mezi bezpečnostním objektem a zdrojem hrozeb, ve kterém jsou rychle identifikovány vznikající hrozby, identifikovány a eliminovány příčiny přispívající k tomuto procesu, stejně jako jsou eliminovány důsledky projevů hrozeb.
Nástroje pro bezpečnost informací – Jedná se o soubor právních, organizačních a technických prostředků určených k zajištění bezpečnosti informací.
Všechny nástroje zabezpečení informací lze rozdělit do dvou skupin:
q formální;
q neformální.
NA formální Patří sem takové prostředky, které plní své funkce ochrany informací formálně, tedy převážně bez lidské účasti. NA neformální označuje prostředky, které jsou založeny na cílevědomé činnosti lidí.
Formální prostředky se dělí na fyzický, Hardware A software.
Fyzické prostředky - mechanická, elektrická, elektromechanická, elektronická, elektronicko-mechanická a podobná zařízení a systémy, které fungují autonomně a vytvářejí různé druhy překážek v cestě destabilizujícím faktorům.
Hardware - různá elektronická, elektronicko-mechanická a podobná zařízení, která jsou obvodově zabudována do vybavení systému zpracování dat nebo s ním propojena specificky pro řešení problémů bezpečnosti informací. Například generátory hluku se používají k ochraně před únikem přes technické kanály.
Fyzické a hardwarové jsou spojeny do třídy technické prostředky informační bezpečnosti.
Software– speciální softwarové balíčky nebo jednotlivé programy zahrnuté v softwaru automatizovaných systémů za účelem řešení problémů bezpečnosti informací. Mohou to být různé programy pro konverzi kryptografických dat, řízení přístupu, antivirovou ochranu atd.
Neformální prostředky se dělí na organizační, právní a morálně-etické.
Organizační prostředky - organizační a technická opatření konkrétně stanovená v technologii provozu objektu k řešení problémů ochrany informací, prováděná formou cílené lidské činnosti.
Právní prostředky - existujících v tuzemsku nebo zvláštních vydaných předpisů, které upravují práva a povinnosti související se zajišťováním ochrany informací všech osob a útvarů souvisejících s provozem systému a dále zakládají odpovědnost za porušení pravidel pro zpracování informací, které mohou vést k porušení bezpečnosti informací.
Morální a etické standardy – mravních norem či etických pravidel stanovených ve společnosti nebo dané skupině, jejichž dodržování přispívá k ochraně informací a jejich porušování se rovná nedodržování pravidel chování ve společnosti nebo skupině.
Morální a etické metody ochrany informací lze klasifikovat jako skupinu metod, které na základě běžného výrazu, že „nejsou to zámky, které udržují tajemství, ale lidé“, hrají velmi důležitou roli při ochraně informací. Je to člověk, zaměstnanec podniku nebo instituce, který má přístup k tajemstvím a hromadí ve své paměti kolosální množství informací, včetně tajných, který se často stává zdrojem úniku těchto informací, nebo svou vinou oponentem. získává možnost získat neoprávněný přístup k médiím chráněných informací.
Morální a etické metody ochrany informací zahrnují především výchovu zaměstnance, který má přístup k tajemstvím, to znamená provádění speciální práce zaměřené na rozvoj systému určitých kvalit, názorů a přesvědčení (patriotismus, porozumění důležitost a užitečnost ochrany informací pro něj osobně) a školení zaměstnance, který je obeznámen s informacemi tvořícími chráněné tajemství, o pravidlech a metodách ochrany informací a vštípí mu dovednosti pracovat s nositeli tajných a důvěrných informací.
Předměty informační bezpečnosti jsou orgány, organizace a osoby oprávněné ze zákona vykonávat příslušnou činnost. Patří mezi ně především vedoucí orgánů vnitřních věcí, pracovníci příslušných útvarů orgánů vnitřních věcí zabývajících se problematikou informační bezpečnosti (například zaměstnanci technických útvarů provádějících technickou ochranu orgánů vnitřních věcí), federální výkonné orgány vykonávající kontrolní funkce v jejich kompetenci (například FSB z hlediska zajištění bezpečnosti informací tvořících státní tajemství) atd.
Závěr
Orgány pro vnitřní záležitosti věnují značnou pozornost otázkám utajování informací a vnucování vysoké ostražitosti zaměstnanců. Jeden z nich často podceňuje nebezpečí úniku takových informací. Při nakládání s tajnými dokumenty projevují neopatrnost hraničící s trestnou nedbalostí, která často vede k prozrazení informací tvořících státní tajemství, až ke ztrátě tajných věcí a dokumentů. Zároveň někteří pracovníci orgánů vnitřních věcí navazují a udržují pochybná nechtěná spojení a sdělují informace o metodách a formách práce orgánů vnitřních věcí navenek. Nízké odborné kvality jednotlivých zaměstnanců často vedou k porušení mlčenlivosti o probíhajících akcích. Účelem tohoto kurzu je pochopit, co je informační bezpečnost, jak a jakými prostředky ji lze zajistit a vyhnout se negativním důsledkům, které pro vás mohou nastat v případě úniku důvěrných informací.
Způsoby zvýšení úrovně informační bezpečnosti v AS
Právní a morální a etické prostředky
Tyto prostředky určují pravidla pro nakládání s informacemi a odpovědnost subjektů informačních vztahů za jejich dodržování.
Legislativní a morální a etické opravné prostředky jsou univerzální v tom smyslu, že jsou zásadně použitelné pro všechny průnikové kanály a NSD Na AC a informace. V některých případech jsou jediné použitelné, jako např. při ochraně otevřených informací před nelegální replikací nebo při ochraně před zneužitím úředního postavení při práci s informacemi.
Uvažujme známé tvrzení, že vytvoření absolutního (tedy ideálně spolehlivého) systému ochrany je v praxi zásadně nemožné.
I za předpokladu možnosti vytvoření naprosto spolehlivých fyzických a technických prostředků ochrany, které blokují všechny kanály, které je třeba blokovat, je vždy možnost ovlivnit pracovníky systému, kteří provádějí nezbytná opatření k zajištění správného fungování těchto prostředků (správce AC, bezpečnostní správce atd.). Spolu se samotnými prostředky ochrany tvoří tito lidé tzv. „bezpečnostní jádro“. Odolnost bezpečnostního systému bude v tomto případě dána odolností personálu z jádra zabezpečení systému a lze ji zvýšit pouze organizačními (personálními) opatřeními, legislativními a morálně-etickými opatřeními. Ale ani s dokonalými zákony a optimální personální politikou se problém ochrany stále zcela nevyřeší. Za prvé proto, že je nepravděpodobné, že se podaří najít personál, kterému by se dalo absolutně důvěřovat a ve vztahu k němuž by nebylo možné podniknout kroky, které by ho nutily porušovat zákazy. Za druhé, dokonce i absolutně spolehlivá osoba se může dopustit náhodného, neúmyslného porušení.
Mezi předměty informatizace v orgánech vnitřních věcí patří počítačová zařízení, automatizované systémy různých úrovní a účelů založené na počítačovém vybavení, včetně informačních a výpočetních komplexů, sítě a komunikační systémy, přenos dat a programové vybavení, technické prostředky příjmu, přenosu a zpracování informací (telefonie , záznam zvuku, zesilování zvuku, reprodukci zvuku, interkomy a televizní zařízení, prostředky pro výrobu, replikaci dokumentů a jiné technické prostředky pro zpracování řečových, grafických, obrazových, sémantických a alfanumerických informací), jakož i kancelářské prostory určené k pořádání jednání, jednání pracovních skupin, konferencí, diskusí a jednání o oficiálních otázkách.
Je třeba poznamenat, že odpovědnost za přiměřenou prezentaci organizačních a technických požadavků na ochranu informací pro objekt informatizace nese bezprostřední vedoucí oddělení, u kterého se tento objekt nachází. Prováděním technických opatření k ochraně objektu informatizace jsou pověřeny jednotky technické ochrany.
Orgány pro vnitřní záležitosti neustále vyvíjejí a modernizují nástroje informační bezpečnosti, rozšiřují možnosti a zvyšují spolehlivost nových nástrojů. Dnes má oddělení vnitřních záležitostí doma vyráběné systémy pro ochranu řečových i počítačových informací.
Podle formy a obsahu se rozlišují vnější a vnitřní ohrožení objektů technické ochrany informací.
Vnější zabezpečení zahrnuje ochranu před živelnými pohromami (požár, povodeň atd.), před útočníky zvenčí, kteří vniknou do systému za účelem krádeže, získání přístupu k informacím nebo deaktivace systému.
Ve vztahu k orgánům vnitřních věcí jsou vnějšími hrozbami činnost cizích zpravodajských služeb, zločineckých společenství, jednotlivců, ale i komerčních a neziskových podniků a organizací, které mají možnost neoprávněně přistupovat k informacím v jakékoli formě.
Mezi vnější hrozby ne bezdůvodně patří také dopad škodlivých programů, jejichž akce je zaměřena na narušení výkonu systému.
Zajištění vnitřní bezpečnosti systému se soustředí na vytvoření spolehlivých a pohodlných mechanismů pro regulaci činnosti všech jeho oprávněných uživatelů a obslužného personálu tak, aby byli nuceni bezpodmínečně dodržovat v organizaci zavedenou kázeň pro přístup ke zdrojům systému (včetně informací). Součástí interní bezpečnosti je také školení uživatelů s povinným testováním znalostí, různé organizační akce atp.
Mezi vnitřní hrozby pro objekty technické ochrany informací patří únik informací prostřednictvím kanálů souvisejících s provozem technických zařízení a softwaru a také únik informací prostřednictvím kanálů souvisejících s jednáním lidí, který může být způsoben selháním realizovat soubor požadovaných organizačních a technických ochranných opatření informací o objektech informatizace.
Vzhled technického kanálu pro únik informací závisí na jeho typu. Mezi nimi můžeme rozlišit skupinu kanálů, které jsou spojeny s řečovými informacemi a informacemi zpracovávanými počítačovými systémy:
1) boční elektromagnetické záření z technických prostředků a vedení pro přenos informací (například záření z monitoru založeného na obrazovkách PC nebo diskových mechanikách);
2) prohlížení a kopírování informací z obrazovek pomocí optických prostředků;
3) signály způsobené dopadem vysokofrekvenčních signálů z průzkumných zařízení na technické vybavení;
4) speciální elektronická zařízení pro zachycování informací („záložky“);
5) akustické vyzařování řečového signálu nebo signálu způsobeného provozem technických prostředků pro zpracování informací (například dálnopis, tiskárna);
6) vibrační signály, které vznikají při přeměně z akustiky při vystavení stavebním konstrukcím a inženýrským komunikacím prostor.
Podrobněji a konkrétněji se plánuje zabývat se různými aspekty zajištění informační bezpečnosti orgánů vnitřních věcí v rámci dalších témat oboru.
Nařízení Ministerstva vnitra Ruské federace ze dne 6. července 2012 N 678
„O schválení Pokynů pro organizaci ochrany osobních údajů obsažených v informačních systémech orgánů vnitřních záležitostí Ruské federace“
Se změnami a doplňky od:
Za účelem zajištění implementace požadavků legislativy Ruské federace v oblasti ochrany osobních údajů při jejich automatizovaném zpracování objednávám:
2. Vedoucí odborů ústředního aparátu ministerstva vnitra Ruska, vedoucí (náčelníci) územních orgánů ministerstva vnitra Ruska, vzdělávacích, vědeckých, lékařských, sanitárních a sanatoriových organizací systému ministerstva vnitřních věcí Ruska, okresní oddělení logistiky systému Ministerstva vnitra Ruska, jakož i další organizace a divize vytvořené k plnění úkolů a výkonu pravomocí svěřených orgánům vnitřních záležitostí Ruské federace:
2.1. Zorganizovat studii zaměstnanců, státních úředníků federální vlády a zaměstnanců orgánů pro vnitřní záležitosti Ruské federace *(2) požadavky tohoto Instrukce pokud jde o ně.
2.3. Schválit seznam úředníků oprávněných zpracovávat osobní údaje obsažený v informačních systémech orgánů vnitřních záležitostí *(3).
2.4. V průběhu let 2012-2013 provádět opatření k organizaci ochrany osobních údajů obsažených v informačních systémech osobních údajů v souladu s požadavky Federální zákon ze dne 27. července 2006 N 152-FZ "O osobních údajích" *(4) a s přihlédnutím k objemu alokací přidělených ruským ministerstvem vnitra pro příkaz k obraně státu.
2.5. Zajistit do 30. listopadu 2012 shromažďování a předávání předepsaným způsobem DITSiZI Ministerstva vnitra Ruska informací uvedených v Část 3 Článek 22 Federální zákon N 152-FZ.
2.6. Přijmout opatření k dalšímu předkládání informací uvedených v DITSiZI Ministerstva vnitra Ruska článek 2.5 této objednávky, v případě její změny, jakož i ukončení zpracování osobních údajů, a to nejpozději do dvou kalendářních dnů ode dne vzniku těchto změn nebo ode dne ukončení zpracování osobních údajů.
3. DITSiZI Ministerstva vnitra Ruska (S.N. Ljašenko) zajišťuje:
3.1. Vedení seznamu informačních systémů osobních údajů.
3.2. Předkládání informací o provozovateli Federální službě pro dohled v oblasti komunikací, informačních technologií a hromadných komunikací způsobem stanoveným Ministerstvem komunikací a hromadných sdělovacích prostředků Ruské federace.
4. DGSK Ministerstva vnitra Ruska (V.L. Kubyshko) spolu s DITSiZI Ministerstva vnitra Ruska (S.N. Lyashenko) zajistit přípravu pokročilých školících kurzů pro zaměstnance, federální státní úředníky a zaměstnance orgánů vnitřních věcí. v oblasti ochrany osobních údajů na základě federální státní státní vzdělávací instituce vyššího odborného vzdělávání „Voroněžský institut Ministerstva vnitra Ruské federace“.
Registrační číslo 25488
Byly schváleny pokyny pro organizaci ochrany osobních údajů obsažených v informačních systémech Ministerstva vnitra Ruska.
Pro zajištění jejich bezpečnosti se vytváří ochranný systém. Musí zajistit důvěrnost, integritu a dostupnost údajů během zpracování. Jmenovaný systém zahrnuje organizační a technická opatření, prostředky zabraňující neoprávněnému přístupu, úniku informací technickými kanály atd.
Výběr a implementace metod a metod ochrany informací se provádí na základě modelu ohrožení a v závislosti na třídě informačních systémů osobních údajů. Klasifikaci provádí provozní jednotka. Pro tento účel se vytváří speciální komise.
Modely hrozeb jsou vyvíjeny pro každý informační systém ve fázi jeho tvorby (modernizace).
Osobní údaje jsou zpracovávány až po vytvoření bezpečnostního systému a zprovoznění informačního systému.
Ústav informatiky a matematiky
Test
„Základy informační bezpečnosti v orgánech vnitřních záležitostí“
Provedeno:
Byčková Elena Nikolaevna
Žák 2. ročníku, 2. skupina
Moskva – 2009
Plán
1. Koncepce a cíle provádění speciálních prohlídek objektů informatizace; hlavní fáze auditu
2. Zranitelnost počítačových systémů. Koncept neoprávněného přístupu (UNA). Třídy a typy NSD
2.1 Zranitelnost hlavních konstrukčních a funkčních prvků distribuovaných AS
2.2 Ohrožení bezpečnosti informací, AS a subjektů informačních vztahů
2.3 Hlavní typy ohrožení bezpečnosti subjektů informačních vztahů
Seznam použité literatury
1. Koncepce a cíle provádění speciálních prohlídek objektů informatizace; hlavní fáze auditu
Objekt informatizace - soubor nástrojů informatizace spolu s prostorami, ve kterých jsou instalovány, určený pro zpracování a přenos chráněných informací, jakož i vyhrazené prostory.
Informační technologie znamená počítačová a komunikační zařízení, kancelářská zařízení určená pro shromažďování, shromažďování, ukládání, vyhledávání, zpracování dat a distribuci informací spotřebiteli.
Počítačové vybavení - elektronické počítače a komplexy, osobní elektronické počítače včetně softwaru, periferní zařízení, zařízení pro dálkové zpracování.
Počítačový objekt (CT) je stacionární nebo mobilní objekt, což je komplex počítačového vybavení určeného k provádění určitých funkcí zpracování informací. Počítačová zařízení zahrnují automatizované systémy (AS), automatizované pracovní stanice (AWS), informační a výpočetní centra (ICC) a další komplexy výpočetní techniky.
Počítačová zařízení mohou také zahrnovat individuální počítačová zařízení, která provádějí nezávislé funkce zpracování informací.
Vyhrazené prostory (VP)- zvláštní místnost určená k pořádání schůzí, konferencí, rozhovorů a jiných akcí řečového charakteru o tajných nebo důvěrných otázkách.
Činnosti řečového charakteru mohou být prováděny ve vyhrazených prostorách s použitím nebo bez použití technických prostředků pro zpracování řečových informací (TSIP).
Nástroj pro zpracování technických informací (ITI)- technické zařízení určené k příjmu, ukládání, vyhledávání, transformaci, zobrazování a/nebo přenosu informací prostřednictvím komunikačních kanálů.
ICT zahrnuje počítačové vybavení, komunikační nástroje a systémy, prostředky pro záznam, zesilování a reprodukci zvuku, interkomy a televizní zařízení, prostředky pro výrobu a reprodukci dokumentů, zařízení pro promítání filmů a další technické prostředky spojené s příjmem, akumulací, ukládáním, vyhledáváním, transformací, zobrazování a/nebo přenos informací prostřednictvím komunikačních kanálů.
Automatizovaný systém (AC)- soubor softwaru a hardwaru určený k automatizaci různých procesů souvisejících s lidskou činností. Člověk je zároveň článkem v systému.
Speciální kontrola Jedná se o kontrolu technických prostředků zpracování informací prováděnou za účelem vyhledávání a zajišťování speciálních elektronických embedded zařízení (hardwarově embedded).
Certifikát předmětu ochrany- doklad vydaný certifikačním orgánem nebo jiným zvlášť oprávněným orgánem potvrzující přítomnost v ochranném zařízení nezbytných a dostatečných podmínek pro splnění stanovených požadavků a norem na účinnost ochrany informací.
Certifikát přidělených prostor- doklad vydaný certifikačním (certifikačním) orgánem nebo jiným speciálně pověřeným orgánem, potvrzující splnění nezbytných podmínek, které zajišťují spolehlivou akustickou ochranu přidělených prostor v souladu se stanovenými normami a pravidly.
Návod k použití- dokument obsahující požadavky na zajištění bezpečnosti technického prostředku zpracování informací při jeho provozu.
Certifikační testovací program- povinný organizační a metodický dokument stanovující předmět a účel zkoušky, druhy, pořadí a objem prováděných pokusů, postup, podmínky, místo a načasování zkoušek, zajištění a podávání zpráv o nich, jakož i odpovědnost za poskytování a provádění testů.
Metodika certifikačních zkoušek- povinný organizační a metodický dokument, včetně zkušební metody, prostředků a zkušebních podmínek, vzorkování, algoritmu provádění operací. Určením jedné nebo více vzájemně souvisejících charakteristik zabezpečení objektu, formuláře pro prezentaci dat a posouzení přesnosti a spolehlivosti výsledků.
Zpráva o certifikaci- předepsaným způsobem vyhotovený dokument obsahující potřebné informace o zkoušeném předmětu, použitých metodách, prostředcích a podmínkách zkoušky, jakož i závěr o výsledcích zkoušky.
Hlavní technické prostředky a systémy (OTSS)- technické prostředky a systémy, jakož i jejich komunikace, používané pro zpracování, ukládání a přenos důvěrných (tajných) informací.
OTSS může zahrnovat nástroje a systémy informačních technologií (počítačové nástroje, automatizované systémy různých úrovní a účelů založené na výpočetní technice, včetně informačních a výpočetních komplexů, sítí a systémů, nástroje a systémy pro komunikaci a přenos dat), technické prostředky pro příjem, přenos a zpracování informací (telefonie, zvukový záznam, zesilování zvuku, reprodukce zvuku, domácí a televizní zařízení, výrobní prostředky, replikace dokumentů a jiné technické prostředky zpracování řeči, grafického videa, sémantických a alfanumerických informací) sloužících ke zpracování důvěrných (tajných) informace.
Pomocné technické prostředky a systémy (ATSS)- technické prostředky a systémy, které nejsou určeny pro přenos, zpracování a ukládání důvěrných informací, instalované společně s OTSS nebo ve vyhrazených prostorách.
Tyto zahrnují:
Různé typy telefonních zařízení a systémů;
Prostředky a systémy pro přenos dat v radiokomunikačním systému;
Bezpečnostní a požární poplašné systémy a vybavení;
Varovné a poplašné prostředky a systémy;
Kontrolní a měřicí zařízení;
Klimatizační produkty a systémy;
Nástroje a systémy pro drátové rozhlasové vysílací sítě a příjem rozhlasových a televizních programů (předplatitelské reproduktory, rozhlasové vysílací systémy, televizory a rádia atd.);
Elektronické kancelářské vybavení.
Příprava dokumentů na základě výsledků certifikačních zkoušek:
Na základě výsledků certifikačních zkoušek v různých oblastech a komponentách jsou vypracovány protokoly o zkouškách. Na základě protokolů je na základě výsledků certifikace přijat Závěr se stručným posouzením souladu objektu informatizace s požadavky informační bezpečnosti, závěr o možnosti vydání „Certifikátu shody“ a potřebná doporučení. Pokud informační objekt splňuje stanovené požadavky na informační bezpečnost, je k němu vydán Certifikát shody.
Recertifikace objektu informatizace se provádí v případě, kdy byly provedeny změny na nedávno certifikovaném objektu. Takové změny mohou zahrnovat:
Změna umístění OTSS nebo VTSS;
Nahrazení OTSS nebo VTSS jinými;
Náhrada technických prostředků informační bezpečnosti;
Změny v instalaci a pokládce slaboproudých a sólo kabelových vedení;
Neoprávněné otevření zapečetěných pouzder OTSS nebo VTSS;
Provádění oprav a stavebních prací ve vyhrazených prostorách apod.
V případě nutnosti recertifikace objektu informatizace se recertifikace provádí podle zjednodušeného programu. Zjednodušení spočívá v tom, že se testují pouze prvky, které prošly změnami.
2. Zranitelnost počítačových systémů. Koncept neoprávněného přístupu (UNA). Třídy a typy NSD
Jak ukazuje analýza, většina moderních systémů automatizovaného zpracování informací (AS) v obecném případě jsou geograficky distribuované systémy lokálních počítačových sítí (LAN) a jednotlivých počítačů, které spolu intenzivně interagují (synchronizují) pomocí dat (zdrojů) a spravují (události).
V distribuovaných systémech jsou možné všechny „tradiční“ metody pro lokálně umístěné (centralizované) výpočetní systémy neoprávněného zasahování do jejich provozu a přístupu k informacím. Navíc se vyznačují novými specifickými kanály pro průnik do systému a neoprávněný přístup k informacím.
Uveďme hlavní vlastnosti distribuovaných reproduktorů:
· územní oddělení součástí systému a přítomnost intenzivní výměny informací mezi nimi;
· široká škála používaných metod pro prezentaci, ukládání a přenos informací;
· integrace dat pro různé účely různých subjektů v rámci jednotných databází a naopak umístění dat požadovaných některými subjekty do různých vzdálených síťových uzlů;
