Статья 16. Защита информации
Статья 16. Защита информации
ГАРАНТ:
См. комментарии к статье 16 настоящего Федерального закона
1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.
2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.
3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.
4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:
1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
2) своевременное обнаружение фактов несанкционированного доступа к информации;
3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;
4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
6) постоянный контроль за обеспечением уровня защищенности информации;
Информация об изменениях:
Федеральным законом от 21 июля 2014 г. N 242-ФЗ часть 4 статьи 16 настоящего Федерального закона дополнена пунктом 7, вступающим в силу с 1 сентября 2015 г.
7) нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.
5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.
6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.
Меры по обеспечению информационной безопасности
Защита данных
с помощью DLP-системы
В деятельности любой организации или предприятия образуются массивы информации, подлежащей охране. Требования к конфиденциальности могут определяться как федеральными законами, это касается банковской тайны или персональных данных, так и позицией компании, которая должна охранять коммерческую тайну. Меры защиты, предпринимаемые для обеспечения информационной безопасности, зависят от нормативно-правовых требований и принятой в компании концепции противодействия информационным угрозам.
Как обеспечить информационную безопасность предприятия
Руководство предприятия или организации должно разработать и внедрить концепцию по обеспечению информационной безопасности. Этот документ является основополагающим для разработки внутренних регламентов и системы защитных мер. Разработку политики безопасности часто поручают приглашенным экспертам по защите информации, способным провести аудит как информационной системы, так и организационной структуры компании и ее бизнес-процессов и разработать актуальный комплекс мер по защите информации.
Концепция безопасности
В дальнейшем концепция безопасности может стать основой для внедрения DLP-системы и других программных продуктов, решающих задачу защиты информационных ресурсов и инфраструктуры компании.
В концепции обеспечения информационной безопасности предприятия определяются:
Концепция сама по себе не решает задачу ответственности сотрудников компании за неправомерное обращение с информацией, в том числе за ее разглашение. Для решения этой задачи необходимо внедрить дополнительную систему организационных мер защиты информации, которые включают информирование, ознакомление под роспись, внесение в трудовые договоры соответствующих положений о защите информации, составляющей коммерческую тайну.
После разработки концепции необходимо приступать к ее внедрению. Система предлагаемых мер должна пройти согласование во всех причастных подразделениях компании, так как вопрос бюджетирования всегда ограничивает возможности по защите информации, сложности проводимых мероприятий и приобретению программных продуктов.
Объекты защиты
Каждая компания сама определяет массивы информации, которые подлежат защите. Это может быть стратегии развития, ноу-хау, патенты, бизнес-процессы, клиентские базы и другие данные. Но есть общие объекты защиты, безопасность которых необходимо обеспечить, чтобы иметь возможность защитить данные от утечек или намеренного разглашения. К таким объектам в первую очередь относятся автоматизированные информационные системы предприятия. Компьютеры, серверы, каналы связи, периферийные устройства становятся целью хакеров или инсайдеров, заинтересованных в организации утечек информации. Решаются задачи ее хищения как через сеть, так и в ручном режиме, путем копирования информации или установки закладных устройств. Организационные и технические меры должны быть направлены на физическую защиту системы и установку программного обеспечения, которое устранит внешнее сетевое вмешательство.
Массивы информации становятся объектами защиты после признания их таковыми и отнесения к конфиденциальной информации.
Классификация осуществляется как по типу информации, так и по местам ее хранения.
Конфиденциальную информацию обычно классифицируют следующим образом:
Бухгалтерская информация и иные сведения, которые раскрываются в связи с требованиями законодательства, к категории конфиденциальных данных обычно не относятся.
Меры по обеспечению информационной безопасности
Обеспечение безопасности должно основываться на одновременном применении всего комплекса мер, предусмотренных законом или предлагаемых специалистами. Технические и организационные меры необходимо соразмерять с возможностями организации и информационной системы.
Система мер, рекомендуемая для большинства компаний, перед которыми стоит вопрос защиты информации, призвана обеспечить соблюдение основных признаков ее безопасности:
Организационные меры
К организационным мерам обеспечения информационной безопасности в первую очередь относится разработка положений, регламентов и процессов взаимодействия. Принятие некоторых внутренних нормативных актов регламентируется требованиями законодательства, к ним относится, например, положение об обработке персональных данных, которое должен разработать и разместить на своем сайте каждый оператор ПД.
Мероприятия по защите информации организационного характера не ограничиваются разработкой положений. Кроме этого, необходимо произвести:
Технические меры
К техническим средствам и мерам обеспечения информационной безопасности относятся не только программные продукты, например, DLP-системы, но и другие инструменты, находящиеся в распоряжении компании. Меры защиты информации с технической точки зрения должны опираться на модель построения информационной системы предприятия, позволяющую выстроить оборону против посягательств на конфиденциальные сведения.
К принципам построения такой системы относятся:
При реализации этих принципов обеспечения информационной безопасности рассматриваются вопросы об использовании дополнительных технических средств защиты информации, к которым относятся:
Меры по обеспечению информационной безопасности должны быть разумными, бизнес-процессы предполагают, что на защиту ресурсов не должны тратиться средства, сравнимые с их стоимостью. Излишняя нагрузка на бизнес или персонал окажется нецелесообразной.
На что направлены меры защиты информации в информационных системах
Статья 16. Защита информации
1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.
2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.
3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.
4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:
1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
2) своевременное обнаружение фактов несанкционированного доступа к информации;
3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;
4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
6) постоянный контроль за обеспечением уровня защищенности информации;
7) нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.
(п. 7 введен Федеральным законом от 21.07.2014 N 242-ФЗ)
5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.
6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.
О защите информации в информационных системах общего пользования
Безопасность – это процесс, а не результат.
BruceSchneiner
Федеральный закон от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации» произвел разделение информации на общедоступную информацию, и на информацию, доступ к которой ограничен федеральными законами (информация ограниченного доступа). К общедоступной информации относятся общеизвестные сведения и иная информация, доступ к которой не ограничен законодательством. Ограничение доступа к информации устанавливается федеральными законами в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства. При этом в статье 161 установлено следующее: государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.
Концептуально защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
В основополагающем ГОСТ Р 50922З понятие «защита информации» трактуется как деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию, и в качестве системы защиты информации предлагается применять всю совокупность технических, программных и программно-технических средств защиты информации и средств контроля эффективности защиты информации.
Постановление Правительства от 18 мая 2009 г. №424 «Об особенностях подключения федеральных государственных информационных систем к информационно-телекоммуникационным сетям» определило, что операторы федеральных государственных информационных систем, созданных или используемых в целях реализации полномочий федеральных органов исполнительной власти и содержащих сведения, указанные в перечне сведений о деятельности Правительства Российской Федерации и федеральных органов исполнительной власти, обязательных для размещения в информационно-телекоммуникационной сети Интернет (Постановлением Правительства Российской Федерации от 12 февраля 2003 г. №98 «Об обеспечении доступа к информации о деятельности Правительства Российской Федерации и федеральных органов исполнительной власти), при подключении информационных систем общего пользования к информационно-телекоммуникационным сетям, доступ к которым не ограничен определенным кругом лиц, обязаны обеспечить: 2
1. Защиту информации, содержащейся в информационных системах общего пользования, от уничтожения, изменения и блокирования доступа к ней;
2. Постоянный контроль возможности доступа неограниченного круга лиц к информационным системам общего пользования;
3. Восстановление информации, измененной или уничтоженной вследствие несанкционированного доступа к ней, в течение не более 8 часов;
4. Использование при подключении информационных систем общего пользования к информационно-телекоммуникационным сетям средств защиты информации, прошедших оценку соответствия (в том числе в установленных случаях сертификацию), в порядке, установленном законодательством Российской Федерации;
Таким образом, операторы государственных, муниципальных информационных порталов, Web-сайтов, размещенных в сети Интернет обязаны выполнить требования и мероприятия направленные на обеспечение безопасности своих информационных ресурсов.
Рис. 1 Классификация информационных систем общего пользования
В Требованиях 3 указан перечень мероприятий по обеспечению безопасности информационных систем общего пользования, который предполагает:
В требованиях к обеспечению защиты информации в информационных систем общего пользования просматривается особенность – применение сертифицированных средств защиты информации. Так, средства защиты информации, применяемые в информационных системах общего пользования I класса в обязательном порядке должны быть сертифицированы в Системе Сертификации РОСС.RU.0001.030001 Федеральной службы безопасности Российской Федерации.
Применяемые средства защиты информации в информационных системах общего пользования 2 класса должны быть сертифицированы по требованиям Системы Сертификации РОСС.RU.0001.030001 Федеральной службы безопасности Российской Федерации, либо в Системе сертификации РОСС RU.0001.01БИ00 Федеральной службы по техническому и экспортному контролю, в пределах их компетенции.
Защита информации в информационных системах
ИБ-аутсорсинг
на базе DLP-системы
Контроль исполнения документов
Мониторинг ИТ инфраструктуры
Защита бизнеса от мошенничества
Разработка требований к защите информации
Управление системами фильтрации электронной почты и веб-трафика
АУТСОРСИНГ DLP ДЛЯ ЗАЩИТЫ БИЗНЕСА
П редприятие не может существовать без обеспечения собственной безопасности. В первую очередь речь идет о физической защите, к которой относят системы контроля доступа и видеонаблюдения, датчики и сигнализацию. Не менее важна и защита информационных систем от несанкционированного доступа.
Информационная система на примере виртуального здания
Информационная система (ИС) – это комплекс средств, используемых для хранения, обработки и выдачи информации. Современное понимание этого термина предполагает использование компьютера в качестве основного технического средства переработки данных.
ИС также можно представить в виде здания. Хотя оно и виртуальное, но также нуждается в защите. В качестве средств, обеспечивающих защиту, можно использовать те же устройства физической безопасности. Отличие заключается в том, что они должны быть разработаны с учетом IT-технологий.
Если вход в физическое помещение преграждает турникет или сотрудник охраны, в ИС для этого используются устройства аутентификации или межсетевой экран, контролирующие входящий трафик в ИС.
Подходы к информационной защите
При построении системы защиты информации выделяют два подхода: эпизодический и комплексный.
Первый подход подразумевает проведение защитных мероприятий при наличии определенных угроз. Например, обязательная антивирусная проверка флешки или использование криптографических систем шифрования.
При втором подходе различные защитные меры используют в комплексе, образуя контур безопасности системы.
Принципы создания базовой защиты информации
Формирование защиты в ИС основывается на:
Для создания надежной системы информационной безопасности особенно важны три аспекта:
Несанкционированное проникновение в информационные компьютерные системы может стать следствием недостаточного внимания к одному из этих аспектов.
Узнать сколько конфиденциальных данных хранится в файловой системе компании поможет «СёрчИнформ FileAuditor». Подробнее.
Защита компьютера от несанкционированного доступа
По статистике, несанкционированный доступ (НСД) – одна из наиболее серьезных угроз. Удачная попытка НСД позволяет злоумышленнику завладеть плохо защищенной информацией. Этому способствуют следующие факторы:
Для обеспечения конфиденциальности, необходимо обеспечить эффективную защиту информации на всех ПК в системе.
Основные защитные средства от несанкционированного доступа
Такие методы могут быть административными и техническими. Грамотные организационные меры вкупе с эффективными программными средствами позволяют создать надежный механизм защиты информации от злоумышленников.
Защиту информации можно обеспечить посредством внедрения архитектурно-планировочных решений, позволяющих защитить критичные помещения от прослушивания, и определения разных уровней доступа к секретным данным.
Чтобы регламентировать деятельность персонала, можно оформить запрос на доступ к Сети, внешней электронной почте и другим ресурсам. Это позволит контролировать действия внутренних пользователей. Защиту информации, передаваемой по электронным каналам, усиливает использование электронной цифровой подписи.
К административным средствам защиты информации также относят организацию:
Рабочие ПК предпочтительно размещать в надежно запираемых помещениях. В рабочее время за компьютерами должны наблюдать ответственные сотрудники, в частности, не оставлять ПК без парольной защиты, когда покидают рабочее место. При обработке конфиденциальной информации в офисе могут находиться только лица, допущенные к этому процессу.
Владелец ИС должен удостовериться в том, что у рядовых пользователей есть доступ только к тем ресурсам (массивам информационных данных), которые нужны им для работы.
Идентификация достоверно определяет легитимность всех обращений пользователей к ИС. Она проводится на этапе входа пользователя в ОС.
Для этого применяются следующие методы, обеспечивающие защиту информации:
Вход по учетной записи. Каждый зарегистрированной пользователь в системе, получает личный логин и пароль, которые обязан хранить в тайне и вводить при каждом обращении к ИС. Логин и пароль посредством специального ПО сравниваются с эталонами. Если вводные данные совпадают, пользователь получает доступ под защитой.
Очевидным достоинством этого способа является простота, недостатком – возможность утери или подбора логина и пароля. К тому же существует вероятность несанкционированного проникновения в область хранения эталонных паролей.
Вход по биометрическим данным. Биометрия считается одним из самых надежных методов защиты от НСД, но пока он не получил широкого распространения из-за необходимости специальной аппаратуры и соответствующего программного обеспечения, гарантирующего защиту.
Существуют, однако, и методы обхода биометрической защиты. Например, систему распознавания лиц, которая используется в смартфонах, журналист Forbes сумел обойти с помощью гипсового слепка головы.
Вход с применением радиокодовых устройств. Идентификация по радиокодовым устройствам предполагает использование механизмов, способных передавать радиосигналы с персональными свойствами. ПК оборудуется программно-аппаратными средствами приема, регистрации и обработки сигналов. Каждый пользователь получает такое приспособление, а его параметры заносятся в запоминающее устройство средств защиты.
Минус этого метода идентификации в том, что похищение такого механизма дает правонарушителю потенциальную возможность НСД.
Вход с использованием электронных носителей. В этом случае используются специальные карточки с данными, которые позволяют быстро идентифицировать сотрудника, вошедшего в офис или защищенный кабинет. Информация вносится на носитель в зашифрованном виде. Ключ кодирования известен только владельцу карточки либо сотруднику, который отвечает за обеспечение информационной безопасности в компании. Также возможно уничтожение ключа сразу после использования. ИС должна быть оснащена устройствами считывания информации с карточки. Этот способ часто находит применение в крупных территориально распределенных сетях, например, в автоматизированных банковских системах.
Уязвимость этого метода идентификации в том, что потеря карточки владельцем открывает доступ в помещения посторонним.
Технические устройства защиты
Такие устройства также называют формальными. Выделяют механические, аппаратные, криптографические и программные устройства.
К механическим относятся любые устройства, которые работают независимо от ИС, препятствуя доступу посторонних в здание или помещение. Это могут быть экраны, замки, жалюзи, видеорегистраторы, камеры и датчики.
Криптографические устройства основаны на использовании сложных алгоритмов для шифрования. Они обеспечивают безопасную организацию передачи информации по корпоративной сети и Интернету.
К аппаратным средствам защиты относят любые устройства, которые интегрируются в архитектуру ИС. Они ограничивают доступ к информационным данным, в том числе и посредством их маскировки. Аппаратными средствами являются устройства для генерации помех, сетевые фильтры, которые сканируют приемники радиосигналов, блокируют возможные каналы утечки информации или позволяют их выявить.
Использование криптографии для защиты ИС предполагает установку программно-аппаратного комплекса (средства шифрования, имитационная защита, электронная цифровая подпись, средства кодирования, средства изготовления ключевых документов).
Программно-аппаратный комплекс может включать устройства VPN, а также электронную цифровую подпись для защиты персональных данных и корпоративной информации.
Программно-аппаратные способы криптографической информационной защиты поддерживают аппаратные виды идентификации пользователей (USB-накопитель или смарт-карта), «классические» – логин и пароль, а также все современные алгоритмы шифрования (симметричные и асимметричные).
Чаще применяются два современных криптостойких алгоритма шифрования: российский стандарт ГОСТ 28147-89 и новый криптостандарт США – AES (Advanced Encryption Standard). Механизмы шифрования защищают файлы, папки с файлами, любые носители, серверы в целом и системные хранилища информации.
Средства криптографической защиты информации (СКЗИ) обладают значительным набором опций по созданию защищенного документооборота на базе электронной цифровой подписи (ЭЦП).
Некоторые элементы национальных криптографических систем запрещено экспортировать за границы государства, а разработка СКЗИ нуждается в лицензировании.
К программным защитным устройствам относится простое и комплексное ПО, которое позволяет решать задачи, связанные с обеспечением защиты информации в ИС. Например, к комплексным средствам относятся SIEM- и DLP-системы.
Аббревиатура SIEM (Security information and event management) переводится как «управление событиями и информационной безопасностью». SIEM-система позволяет проводить мониторинг состояния IT-инфраструктуры в реальном времени и анализировать события безопасности (программные сбои, подключение несанкционированного оборудования, открытые порты). SIEM-системы, как правило, используются в комплексе с другими средствами информационной защиты. Например, с DLP-системами, которые позволяют более детально расследовать инциденты в корпоративной сети.
DLP-системы (Data Leak Prevention) предотвращают утечки данных, контролируя различные каналы передачи информации. Современные DLP включают сложные алгоритмы анализа информационных потоков компании и помогают прогнозировать риски, связанные с персоналом.
Важно учитывать, что программные инструменты нуждаются в мощных аппаратных устройствах. Поэтому перед их установкой в компании требуется предусмотреть наличие дополнительных резервов.
Таким образом, обеспечение безопасности информационных материалов – это целый комплекс мероприятий, не единовременная мера, а непрерывный процесс. Разработка системы защиты должна проводиться одновременно с проектированием защищаемой системы.
