что включает в себя защита информации
Что включает в себя защита информации
Статья 16. Защита информации
1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.
2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.
3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.
4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:
1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
2) своевременное обнаружение фактов несанкционированного доступа к информации;
3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;
4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
6) постоянный контроль за обеспечением уровня защищенности информации;
7) нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.
(п. 7 введен Федеральным законом от 21.07.2014 N 242-ФЗ)
5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.
6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.
Статья 16. Защита информации
Статья 16. Защита информации
ГАРАНТ:
См. комментарии к статье 16 настоящего Федерального закона
1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.
2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.
3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.
4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:
1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
2) своевременное обнаружение фактов несанкционированного доступа к информации;
3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;
4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
6) постоянный контроль за обеспечением уровня защищенности информации;
Информация об изменениях:
Федеральным законом от 21 июля 2014 г. N 242-ФЗ часть 4 статьи 16 настоящего Федерального закона дополнена пунктом 7, вступающим в силу с 1 сентября 2015 г.
7) нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.
5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.
6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.
Основные составляющие информационной безопасности
Защита данных
с помощью DLP-системы
И нформационная безопасность – это совокупность методов, способов и действий, ориентированных на защиту от несанкционированных действий с данными. Информация является сведениями, которые передаются в устной и письменной форме с помощью знаков, технических механизмов, жестов, программ. Информация и составляющие ее принципы до сих пор изучаются экспертами для повышения эффективности хранения и использования данных.
Она включает в себя:
Информационной безопасностью является система методов, которая помогает в защите технологий, обеспечивающих кибербезопасность внутри государства или компании.
Информация, безопасность которой необходимо обеспечить, используется в разнообразных сферах жизни: политической, экономической, социальной и духовной. Важно оберегать ее от утечки, чтобы минимизировать возможные неблагоприятные последствия. Например, экономические потери на государственном уровне.
Информация считается безопасной, если она в полном объеме защищена от любых видов угроз. Самыми распространенными считаются случаи утечки информации о платежах и персональных данных (около 80 % случаев). Правильный подход в обеспечении защищенности – это осуществление предупредительных мер, способных уменьшить пагубное воздействие внутри и снаружи системы.
Узкое значение информационной безопасности
Информационная безопасность – это практическая деятельность, направленная на предупреждение неразрешенного доступа, применения, обнаружения и преобразования данных. Внутренние и внешние информационные угрозы могут причинить ущерб общегосударственным и международным отношениям, конкретным гражданам. Защита информации – совокупность юридических, технических и организационных способов предупреждения несанкционированных действий с данными. Она устанавливается в информационных системах и характеризуется комплексом мер и действий, которые направлены на защиту данных от постороннего влияния.
В информационную систему входят такие элементы:
Информационная безопасность – это также наука об обеспечении сохранности ресурсов информации, неприкосновенности воли, законных прав личности и общества.
Проникновение в информационное пространство – это открытое (иногда латентное) действие, которое специально или по стечению обстоятельств влияет на объект защиты, что приводит к утечке или раскрытию информации.
Безопасность информационных технологий базируется на следующих вводных:
Элементы безопасности информации
Основные составляющие информационной безопасности – это совокупность элементов, которая включает открытость, конфиденциальность и целостность информационных ресурсов и поддерживающей инфраструктуры. К числу элементов безопасности часто относят защиту от несанкционированного доступа, являющуюся ключевой составной частью защищенности данных.
Рассмотрим систему основных составляющих информационных данных:
Составляющие информационной безопасности не могут функционировать без соблюдения основных принципов, к которым относятся:
Каждое звено информационной безопасности имеет ключевое значение для всей системы. Нет разграничения, что секретность данных наиболее значима, а другие принципы занимают низшие позиции. Для всех субъектов информационных отношений, которые используют информационную систему в быту, на работе или в других целях, данные должны быть доступными, целостными и конфиденциальными.
Другие категории защиты информации
Информационные объекты составляют определенную систему.
Составляющие информационной системы делятся на группы по видам:
Данные с исключительным доступом делятся на государственную тайну и секретные данные. Первая защищает сведения, являющиеся тайными в различных сферах безопасности Российской Федерации: экономической, общегосударственной, контрразведывательной, политической. Угроза раскрытия государственной тайны может нанести серьезный вред национальной целостности государства. Основная часть этой информации оберегается от внешнего и внутреннего воздействия.
Целью конфиденциальной информации является ограничение доступа лиц к данным, юридический режим которых установлен специализированными нормативными актами в общегосударственной и негосударственных областях, промышленности и социальной деятельности.
Конфиденциальная информация бывает следующих типов:
Личная информация составляет все виды данных о человеке, которые непосредственно или частично к нему относятся. Такая информация имеет ограниченный доступ, но сам субъект может пользоваться этими сведениями. Они защищаются на национальном уровне, выделены правовые принципы субъективных данных.
Например, в 149-ФЗ Российской Федерации «Об информации» в редакции от 18.12.2018 года прописаны такие права:
Правительственные органы и частные организации, самоуправляемые учреждения в регионах используют данные в основном в рамках полномочий, установленных общегосударственными законами и подзаконными актами, лицензиями на право заниматься определенными видами деятельности.
Основную часть носителей информации составляют:
Способы защиты и передачи информации
Немаловажное значение имеют методы сохранности информации. Обеспечение безопасности в Российской Федерации – ключевая задача для сохранения, сбережения, неиспользования посторонними лицами важной для государства информации. При утечке информации происходит неконтролируемое увеличение потоков данных, использование которых может негативно отразиться на целостности страны.
Существуют два типа защиты: формальные и официальные. Формальные сохраняют информацию без личного участия человека в процессе защиты (программное обеспечение, техсредства). Неформальные регламентируют действия человека (правила, документы, различные мероприятия).
К формальным способам относятся:
К неформальным относятся организационные, законодательные и этические способы:
Методы информационной безопасности едины и используются в решении задач передачи данных, среди которых выделяют три основных:
Сохранность документов во все времена играла ключевую роль. Их передавали зашифрованными каналами связи, скрывали, подкупали курьеров для получения тайных данных соседних государств, перехватывали всевозможными способами. Являясь нормой, подобные методы стали толчком для создания основного способа преобразования информации, который защищает от незаконного завладения и использования – криптографии).
Криптография и ее особенности
Криптография – это наука о способах обеспечения конфиденциальности, недопустимости получения доступа посторонними лицами к данным информационного характера. Является довольно сложной и востребованной наукой о методах шифрования (дешифрования) информации таким замысловатым способом, что, кроме автора, к ней не найдет доступ ни один человек без определенного ключа.
Криптография помогает преобразовать данные ради их сохранности и единства. Она является составляющей информационной безопасности со стороны функциональных средств защиты. Криптография включает в себя криптоанализ, который занимается исследованием и оценкой методов шифрования, в том числе разработкой других способов. Методы кодирования используются часто в преобразовании информации.
Криптография использует различные подходы к созданию шифров: замена, перестановка, гаммирование (кодирование), квантовое шифрование, шифрование с открытым ключом и различные криптографические протоколы. Большое число составляющих средств объединяется в одно безопасное информационное ядро.
В РФ у истоков развития криптографии стоял Владимир Анисимов – кандидат технических наук, доцент кафедры информационных технологий Дальневосточного государственного университета путей сообщения. Он разработал рабочую программу о методах обеспечения информационной безопасности, в которой рассказывает о криптографических аспектах информационной безопасности студентам и гражданам, желающим защитить публичные данные от посторонних. Цель программы – изучение разнообразных способов защиты данных.
Процесс защиты информации является многогранным, сложным, требует много сил со стороны правительства, компаний, граждан. Безопасностью в информационной сфере необходимо заниматься постоянно, на законодательном уровне. Специалисты должны следить за процессом, являющимся ключевым в моментах сохранности, надежности и конфиденциальности данных. Должны реализовываться меры предосторожности, защиты от утечки и утраты информации всевозможными способами, так как, попадая в чужие руки, она может быть использована против личности или государства.
Законодательство об информационной безопасности: 5 ФЗ о том, как хранить и защищать информацию
В России действуют законы, где описано, как правильно работать с информацией: кто отвечает за ее сохранность, как ее собирать, обрабатывать, хранить и распространять. Стоит знать их, чтобы случайно что-нибудь не нарушить.
Мы собрали для вас пять основных ФЗ о защите информации и информационной безопасности и кратко рассказали их ключевые моменты.
149-ФЗ «Об информации, информационных технологиях и о защите информации»
149-ФЗ — главный закон об информации в России. Он определяет ключевые термины, например, говорит, что информация — это любые данные, сведения и сообщения, представляемые в любой форме. Также там описано, что такое сайт, электронное сообщение и поисковая система. Именно на этот закон и эти определения нужно ссылаться при составлении документов по информационной безопасности.
В 149-ФЗ сказано, какая информация считается конфиденциальной, а какая — общедоступной, когда и как можно ограничивать доступ к информации, как происходит обмен данными. Также именно здесь прописаны основные требования к защите информации и ответственность за нарушения при работе с ней.
Ключевые моменты закона об информационной безопасности:
152-ФЗ «О персональных данных»
Этот закон регулирует работу с персональными данными — личными данными конкретных людей. Его обязаны соблюдать те, кто собирает и хранит эти данные. Например, компании, которые ведут базу клиентов или сотрудников. Мы подробно рассматривали этот закон в отдельной статье «Как выполнить 152-ФЗ о защите персональных данных и что с вами будет, если его не соблюдать»
Ключевые моменты закона:
При построении гибридной инфраструктуры для хранения персональных данных на платформе VK Cloud Solutions (бывш. MCS) вы получаете облачную инфраструктуру, уже соответствующую всем требованиям законодательства. При этом частный контур нужно аттестовать, в этом могут помочь специалисты VK, что позволит быстрее пройти необходимые процедуры.
98-ФЗ «О коммерческой тайне»
Этот закон определяет, что такое коммерческая тайна, как ее охранять и что будет, если передать ее посторонним. В нем сказано, что коммерческой тайной считается информация, которая помогает компании увеличить доходы, избежать расходов или получить любую коммерческую выгоду.
Ключевые моменты закона о защите информации компании:
63-ФЗ «Об электронной подписи»
Этот закон касается электронной подписи — цифрового аналога физической подписи, который помогает подтвердить подлинность информации и избежать ее искажения и подделки. Закон определяет, что такое электронная подпись, какую юридическую силу она имеет и в каких сферах ее можно использовать.
Ключевые моменты закона:
187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»
Этот закон касается компаний, которые работают в сферах, критически важных для жизни государства — таких, что сбой в их работе отразится на здоровье, безопасности и комфорте граждан России.
К таким сферам относится здравоохранение, наука, транспорт, связь, энергетика, банки, топливная промышленность, атомная энергетика, оборонная промышленность, ракетно-космическая промышленность, горнодобывающая промышленность, металлургическая промышленность и химическая промышленность. Также сюда относят компании, которые обеспечивают работу предприятий из этих сфер, например, предоставляют оборудование в аренду или разрабатывают для них ПО.
Если на предприятии из этой сферы будет простой, это негативно отразится на жизни всего государства. Поэтому к IT-инфраструктуре и безопасности информационных систем на этих предприятиях предъявляют особые требования.
Ключевые моменты закона об информационной безопасности критически важных структур:
Защита информации в информационных системах
ИБ-аутсорсинг
на базе DLP-системы
Контроль исполнения документов
Мониторинг ИТ инфраструктуры
Защита бизнеса от мошенничества
Разработка требований к защите информации
Управление системами фильтрации электронной почты и веб-трафика
АУТСОРСИНГ DLP ДЛЯ ЗАЩИТЫ БИЗНЕСА
П редприятие не может существовать без обеспечения собственной безопасности. В первую очередь речь идет о физической защите, к которой относят системы контроля доступа и видеонаблюдения, датчики и сигнализацию. Не менее важна и защита информационных систем от несанкционированного доступа.
Информационная система на примере виртуального здания
Информационная система (ИС) – это комплекс средств, используемых для хранения, обработки и выдачи информации. Современное понимание этого термина предполагает использование компьютера в качестве основного технического средства переработки данных.
ИС также можно представить в виде здания. Хотя оно и виртуальное, но также нуждается в защите. В качестве средств, обеспечивающих защиту, можно использовать те же устройства физической безопасности. Отличие заключается в том, что они должны быть разработаны с учетом IT-технологий.
Если вход в физическое помещение преграждает турникет или сотрудник охраны, в ИС для этого используются устройства аутентификации или межсетевой экран, контролирующие входящий трафик в ИС.
Подходы к информационной защите
При построении системы защиты информации выделяют два подхода: эпизодический и комплексный.
Первый подход подразумевает проведение защитных мероприятий при наличии определенных угроз. Например, обязательная антивирусная проверка флешки или использование криптографических систем шифрования.
При втором подходе различные защитные меры используют в комплексе, образуя контур безопасности системы.
Принципы создания базовой защиты информации
Формирование защиты в ИС основывается на:
Для создания надежной системы информационной безопасности особенно важны три аспекта:
Несанкционированное проникновение в информационные компьютерные системы может стать следствием недостаточного внимания к одному из этих аспектов.
Узнать сколько конфиденциальных данных хранится в файловой системе компании поможет «СёрчИнформ FileAuditor». Подробнее.
Защита компьютера от несанкционированного доступа
По статистике, несанкционированный доступ (НСД) – одна из наиболее серьезных угроз. Удачная попытка НСД позволяет злоумышленнику завладеть плохо защищенной информацией. Этому способствуют следующие факторы:
Для обеспечения конфиденциальности, необходимо обеспечить эффективную защиту информации на всех ПК в системе.
Основные защитные средства от несанкционированного доступа
Такие методы могут быть административными и техническими. Грамотные организационные меры вкупе с эффективными программными средствами позволяют создать надежный механизм защиты информации от злоумышленников.
Защиту информации можно обеспечить посредством внедрения архитектурно-планировочных решений, позволяющих защитить критичные помещения от прослушивания, и определения разных уровней доступа к секретным данным.
Чтобы регламентировать деятельность персонала, можно оформить запрос на доступ к Сети, внешней электронной почте и другим ресурсам. Это позволит контролировать действия внутренних пользователей. Защиту информации, передаваемой по электронным каналам, усиливает использование электронной цифровой подписи.
К административным средствам защиты информации также относят организацию:
Рабочие ПК предпочтительно размещать в надежно запираемых помещениях. В рабочее время за компьютерами должны наблюдать ответственные сотрудники, в частности, не оставлять ПК без парольной защиты, когда покидают рабочее место. При обработке конфиденциальной информации в офисе могут находиться только лица, допущенные к этому процессу.
Владелец ИС должен удостовериться в том, что у рядовых пользователей есть доступ только к тем ресурсам (массивам информационных данных), которые нужны им для работы.
Идентификация достоверно определяет легитимность всех обращений пользователей к ИС. Она проводится на этапе входа пользователя в ОС.
Для этого применяются следующие методы, обеспечивающие защиту информации:
Вход по учетной записи. Каждый зарегистрированной пользователь в системе, получает личный логин и пароль, которые обязан хранить в тайне и вводить при каждом обращении к ИС. Логин и пароль посредством специального ПО сравниваются с эталонами. Если вводные данные совпадают, пользователь получает доступ под защитой.
Очевидным достоинством этого способа является простота, недостатком – возможность утери или подбора логина и пароля. К тому же существует вероятность несанкционированного проникновения в область хранения эталонных паролей.
Вход по биометрическим данным. Биометрия считается одним из самых надежных методов защиты от НСД, но пока он не получил широкого распространения из-за необходимости специальной аппаратуры и соответствующего программного обеспечения, гарантирующего защиту.
Существуют, однако, и методы обхода биометрической защиты. Например, систему распознавания лиц, которая используется в смартфонах, журналист Forbes сумел обойти с помощью гипсового слепка головы.
Вход с применением радиокодовых устройств. Идентификация по радиокодовым устройствам предполагает использование механизмов, способных передавать радиосигналы с персональными свойствами. ПК оборудуется программно-аппаратными средствами приема, регистрации и обработки сигналов. Каждый пользователь получает такое приспособление, а его параметры заносятся в запоминающее устройство средств защиты.
Минус этого метода идентификации в том, что похищение такого механизма дает правонарушителю потенциальную возможность НСД.
Вход с использованием электронных носителей. В этом случае используются специальные карточки с данными, которые позволяют быстро идентифицировать сотрудника, вошедшего в офис или защищенный кабинет. Информация вносится на носитель в зашифрованном виде. Ключ кодирования известен только владельцу карточки либо сотруднику, который отвечает за обеспечение информационной безопасности в компании. Также возможно уничтожение ключа сразу после использования. ИС должна быть оснащена устройствами считывания информации с карточки. Этот способ часто находит применение в крупных территориально распределенных сетях, например, в автоматизированных банковских системах.
Уязвимость этого метода идентификации в том, что потеря карточки владельцем открывает доступ в помещения посторонним.
Технические устройства защиты
Такие устройства также называют формальными. Выделяют механические, аппаратные, криптографические и программные устройства.
К механическим относятся любые устройства, которые работают независимо от ИС, препятствуя доступу посторонних в здание или помещение. Это могут быть экраны, замки, жалюзи, видеорегистраторы, камеры и датчики.
Криптографические устройства основаны на использовании сложных алгоритмов для шифрования. Они обеспечивают безопасную организацию передачи информации по корпоративной сети и Интернету.
К аппаратным средствам защиты относят любые устройства, которые интегрируются в архитектуру ИС. Они ограничивают доступ к информационным данным, в том числе и посредством их маскировки. Аппаратными средствами являются устройства для генерации помех, сетевые фильтры, которые сканируют приемники радиосигналов, блокируют возможные каналы утечки информации или позволяют их выявить.
Использование криптографии для защиты ИС предполагает установку программно-аппаратного комплекса (средства шифрования, имитационная защита, электронная цифровая подпись, средства кодирования, средства изготовления ключевых документов).
Программно-аппаратный комплекс может включать устройства VPN, а также электронную цифровую подпись для защиты персональных данных и корпоративной информации.
Программно-аппаратные способы криптографической информационной защиты поддерживают аппаратные виды идентификации пользователей (USB-накопитель или смарт-карта), «классические» – логин и пароль, а также все современные алгоритмы шифрования (симметричные и асимметричные).
Чаще применяются два современных криптостойких алгоритма шифрования: российский стандарт ГОСТ 28147-89 и новый криптостандарт США – AES (Advanced Encryption Standard). Механизмы шифрования защищают файлы, папки с файлами, любые носители, серверы в целом и системные хранилища информации.
Средства криптографической защиты информации (СКЗИ) обладают значительным набором опций по созданию защищенного документооборота на базе электронной цифровой подписи (ЭЦП).
Некоторые элементы национальных криптографических систем запрещено экспортировать за границы государства, а разработка СКЗИ нуждается в лицензировании.
К программным защитным устройствам относится простое и комплексное ПО, которое позволяет решать задачи, связанные с обеспечением защиты информации в ИС. Например, к комплексным средствам относятся SIEM- и DLP-системы.
Аббревиатура SIEM (Security information and event management) переводится как «управление событиями и информационной безопасностью». SIEM-система позволяет проводить мониторинг состояния IT-инфраструктуры в реальном времени и анализировать события безопасности (программные сбои, подключение несанкционированного оборудования, открытые порты). SIEM-системы, как правило, используются в комплексе с другими средствами информационной защиты. Например, с DLP-системами, которые позволяют более детально расследовать инциденты в корпоративной сети.
DLP-системы (Data Leak Prevention) предотвращают утечки данных, контролируя различные каналы передачи информации. Современные DLP включают сложные алгоритмы анализа информационных потоков компании и помогают прогнозировать риски, связанные с персоналом.
Важно учитывать, что программные инструменты нуждаются в мощных аппаратных устройствах. Поэтому перед их установкой в компании требуется предусмотреть наличие дополнительных резервов.
Таким образом, обеспечение безопасности информационных материалов – это целый комплекс мероприятий, не единовременная мера, а непрерывный процесс. Разработка системы защиты должна проводиться одновременно с проектированием защищаемой системы.