Телеграфные службы, сети и службы ПД - часть 21

— изменение потока сообщений  (или одного     сообще

ния) — внесение в него необнаруживаемых искажений, уда

ление сообщения или нарушение общего порядка следования

сообщений;

— повтор процесса установления соединения и передачи

сообщения — записывание несанкционированным пользовате

лем с последующим повтором им процесса установления со

единения с передачей ранее уже переданного и принятого

пользователем сообщения;

— отказ пользователя от сообщения — отрицание переда

ющим пользователем своего авторства, в предъявленном ему

принимающим пользователем сообщения или отрицание при

нимающим пользователем факта получения им от передающего

пользователя сообщения;

— маскарад — стремление пользователя выдать себя за

некоторого другого пользователя с целью получения доступа к

дополнительной информации, получения дополнительных при

вилегий или навязывание другому пользователю системы лож

ной информации, исходящей якобы от пользователя, имеюще

го санкции на передачу такого рода информации;

— нарушение связи — недопущение связи или задержка

срочных сообщений.

В   телематических   службах,   содержащих   элементы   обра-

ботки сообщений и их хранения, например в службе обработки

сообщений, возможны специфические угрозы [1]:

— угрозы несанкционированного доступа в службу обра

ботки сообщений;

— угрозы хранилищу данных.

Система,   обеспечивающая   защиту   от   этих   угроз,   может

включать следующие службы:

1) служба секретности данных — может быть использована

для защиты передаваемых данных от вскрытия содержащейся

в них информации и от возможности проведения анализа

интенсивности потока данных между пользователями;

2) служба аутентификации — предназначается для обеспе

чения подтверждения того, что в данный момент связи поль

зователь является действительно тем пользователем, за которо

го он себя выдает;

3) служба целостности данных — обеспечивает доказатель

ство целостности данных в процессе их передачи, т.е. обес

печивает защиту  передаваемых  сообщений  от  случайных  и

преднамеренных воздействий, направленных на изменение пе

редаваемых  сообщений;   задержку  и  уничтожение,   а  также

переупорядочивание их;

4) служба управления доступом — обеспечивает защиту от

несанкционированного доступа к информации, содержащейся

в удаленных банках данных,  или от несанкционированного

использования ресурсов сети;

5) служба сохранности информации — обеспечивает дока

зательство целостности сообщения, принятого от соответству

ющего источника и находящегося на хранении, например в

терминале-приемнике,  и  которое  может  быть  проверено  в

любой момент времени арбитром (третьей стороной);

6) служба доставки — предназначена для защиты от попы

ток злоумышленника нарушить связи или задержать передачу

сообщения на время, превышающее время ценности передава

емой в сообщении информации; эта служба непосредственно

связана с процессами передачи информации в сетях связи.

Каждая из служб может самостоятельно решать стоящую

перед ней задачу защиты с помощью тех или иных механизмов

и средств защиты. При этом один и тот же механизм защиты

может   быть   использован   в   интересах   разных   служб   защиты

информации.

Рекомендациями МОС и МСЭ-Т предусматриваются сле-

дующие основные механизмы защиты [1]:

— шифрование данных;

— обеспечение аутентификации;

— обеспечение целостности данных;

— цифровая подпись;

— контроль доступа.

Механизм шифрования  может обеспечивать конфиденциаль-

ность либо передаваемых данных, либо информации о пара-

метрах трафика и может быть использован в некоторых других

механизмах   безопасности   или   дополнять   их.   Существование

механизма шифрования подразумевает использование, как пра-

вило, механизма управления ключами.

При   рассмотрении  механизмов   аутентификации  основное

внимание   уделяется   методам   передачи   в   сети   информации

специального   характера   (паролей,   аутентификаторов,   контроль

ных   сумм   и   т.п.).   В   случае   односторонней   или   взаимной

аутентификации   обеспечивается   процесс   проверки   подлин

ности пользователей  (передатчика  и приемника  сообщений)

что   гарантирует   предотвращение   соединения   с   логическим

объектом, образованным злоумышленником.

Механизм   обеспечения   целостности   данных  предполагает!

введение   в   каждое   сообщение   некоторой   дополнительной   ин

формации, являющейся функцией ,от содержания сообщения.

В   рекомендациях   МОС   рассматриваются   методы   обеспечения

целостности   двух   типов:   первые   обеспечивают   целостность

единственного блока данных, вторые — потока блоков данных

или   отдельных   их   полей.   Эти   методы   применяются   как   при

передаче   данных   по   виртуальному   соединению,   так   и   при

использовании  дейтаграммной  передачи.  В первом случае  гаи

рантируется   устранение   неупорядоченности,   потерь,   повторов,

вставок   или   модификации   данных   при   помощи   специальной

нумерации   блоков,   либо   введением   меток   времени.   В   дейта-

граммном   режиме   метки   времени   могут   обеспечить   только

ограниченную защиту целостности последовательности блоков

данных и предотвратить переадресацию отдельных блоков.

Механизм цифровой подписи,  реализующий один из процес

сов аутентификации пользователей и сообщения, применяется

для   подтверждения   подлинности   содержания   сообщения   и

удостоверения   того   факта,   что   оно   отправлено   абонентом,

указанным в заголовке в качестве источника данных. Цифро-

вая   подпись   (ЦП)   также   необходима   для   предотвращения

возможности отказа передатчика от факта выдачи какого-либо

сообщения, а приемника — от его приема.

Механизмом цифровой подписи определяются две проце-

дуры [1]:

— формирование блока данных, добавляемого к передава

емому сообщению;

— подписание блока данных.

Процесс   формирования   блока   данных   содержит   общедо-

ступные процедуры  и в отдельных случаях специальные (сек

ретные) ключи преобразования, известные на приеме.

Процесс   подписания   блока   данных   использует   инфор-

мацию,   которая   является   информацией   частного   использо-

вания   (т.е.   уникальной   и   конфиденциальной).   Этот   процесс

подразумевает   либо   шифрование   блока   данных,   либо   полу-

чение криптографического контрольного значения блока дан-

ных   с   использованием   частной   информации   подписавшего

пользователя  в качестве  ключа  шифрования  частного  пользо-

вания. Таким образом, после проверки подписи в последую-

щем третьему лицу (например, арбитру) в любое время может

быть   доказано,   что   подпись   может   выполнить   только   един-

ственный держатель секретной (частной) информации.

Механизмы контроля доступа  могут использовать аутенти-

фицированную   идентификацию   объекта   или   информацию

объекта   (например,   принадлежность   к   известному   множеству

объектов) либо возможности этого объекта для установления и

применения прав доступа к нему. Если объект делает попытку

использовать несанкционированный или санкционированный с

неправильным   типом   доступа   ресурсы,   то   функция   контроля

доступа будет отвергать эту попытку и может сообщить о ней

для инициирования аварийного сигнала и (или) регистрации

его   как   части   данных   проверки   безопасности.   Механизмы

контроля   доступа   могут   использоваться   на   любом   конце   со-

единения и (или) в любом промежуточном узле.

Механизм заверения  обеспечивает гарантию свойств, отно-

сящихся   к   данным,   которые   передаются   между   двумя   или

более   пользователями,   например   их   целостность,   источник,

время и место назначения. Эта гарантия дается третьим лицом

(нотариусом),   которому   доверяют   вступающие   во   взаимодей-

ствие   пользователи   и   который   располагает   необходимой   ин-

формацией для предоставления требуемой гарантии способом,

допускающим возможность ее проверки. Каждый процесс ус-

тановления   соединения   может   использовать   цифровую   под-

пись, шифрование и механизмы целостности в зависимости от

требований услуги, получающей заверение. Когда задействует-

ся   механизм   заверения,   сообщения   передаются   через   защи-

щенные соединения и нотариуса.

172. Правовые и организационные аспекты 

информационной безопасности

Правовые аспекты. Законодательные и административные меры

для регулирования вопросов защиты информации на государ-

ственном уровне применяются в большинстве развитых стран

мира.   Компьютерные   преступления   получили   такое   широкое

распространение, что для борьбы с ними введены специальные

статьи в уголовный кодекс.

До   принятия   нового   Гражданского   кодекса   России   ис-

точниками   права   на   информацию  .были   правовой  обычай  и

договор, а также отдельные нормы законов, зачастую противо-

речащих друг другу [3]. С введением в действие нового кодекса

впервые в нашем законодательстве информация стала полно-

правным объектом права (ст. 128 ГК РФ).

Значительным  шагом в деле правового обеспечения дея-

тельности по защите информации явилось принятие федераль-

ным   собранием   России   закона   "Об   информации,   информа-

тизации и защите информации" [2].В нем впервые официально

вводится   понятие  "конфиденциальной   информации",   которая

рассматривается как информация, не являющаяся общедоступ-

ной.   Закон   устанавливает   общие   правовые   требования   к   ор-

ганизации защиты данных в процессе обработки, хранения и

циркуляции в технических устройствах и сетях связи, контроля

за осуществлением мероприятий по защите конфиденциальной

информации.   При   этом   следует   подчеркнуть,   что   закон   не

разделяет государственную и частную информацию как объект

защиты в том случае, если доступ к ней ограничивается.

Закон   утверждает   на   государственно-правовом   уровне

электронную  цифровую  подпись   в   качестве   средства  защиты

информации   от   несанкционированного   искажения,   подмены

(имитозащиты)  и  подтверждения  подлинности  отправителя  и

получателя   информации   (аутентификации   сторон).   В   соот-

ветствии со статьей 5 "юридическая сила документа, хранимо-

го, обрабатываемого и передаваемого с помощью автоматизи-

рованных информационных и телекоммуникационных систем,

может подтверждаться электронной цифровой подписью". При

этом "юридическая  сила  электронной цифровой подписи  при-

знается при наличии в автоматизированной системе програм-

мно-технических   средств,   обеспечивающих   идентификацию

подписи  и соблюдении  установленного  режима их использо-

вания". В законе раскрываются требования, предъявляемые к

специализированным   программно-техническим   средствам,   реа-

лизующим   электронную   цифровую   подпись,   и   порядку   их

использования в информационно-телекоммуникационных сис-

темах.

В течение первой половины 1995 г. правительством  Рос-

сийской Федерации во исполнение закона "О государственной

тайне"   приняты   постановления   "О   лицензировании   деятель-

ности предприятий, учреждений и организаций по проведению

работ,   связанных   с   использованием   сведений,   составляющих

государственную   тайну,   созданием   средств   защиты   инфор-

мации, а также с осуществлением мероприятий и (или) ока-

занием услуг по защите государственной тайны" (№ 333 от

15 апреля 1995 г.) и "О сертификации средств защиты инфор-

мации" (№ 608 от 26.06.95 г.).

Указанные постановления формируют механизм получения

предприятиями   и   организациями   '(независимо   от   их   орга-

низационно-правовой   формы)   лицензии   на   право   осуществ-

ления любой деятельности, связанной с информацией, состав-

ляющей государственную тайну, а также общий порядок сер-

тификации средств, предназначенных для защиты секретной

информации.

Принятый Государственной думой федеральный закон "Об

участии в международном информационном обмене" от 5 июня

1996 г. № 85-ФЗ определяет необходимость сертификации средств

и   лицензирования   деятельности   в   области   международного

информационного   обмена   при   работе   с   конфиденциальной

информацией. Закон предоставляет ФАПСИ право участвовать

в определении  ограничений на вывоз из Российской Феде-

рации   и   ввоз   в   нашу   страну   иностранных   информационных

продуктов, а также утверждения порядка лицензирования дея-

тельности, сертификации средств и аттестации систем между-

народного   обмена   при   работе   с   конфиденциальными   све-

дениями.

Перечисленные нормативные акты утвердили полномочия

и компетенцию ФАПСИ в сфере лицензирования деятельности

в  области  защиты  и  сертификации  средств  защиты  инфор-

мации.

Организационные аспекты  [4]. Включают в себя выработку

политики  информационной  безопасности;  анализ  рисков (т.е.

ситуаций, в которых может произойти нарушение нормальной

работы информационной системы, а также утрата или рассек-

речивание данных); планирование обеспечения информацион-

ной   безопасности;   планирование   действий   в   чрезвычайных

ситуациях; подбор средств обеспечения информационной без-

опасности. Перейдем к более подробному рассмотрению пере-

численных выше задач.

Политика информационной безопасности определяет:

— какую информацию и от кого (чего) следует защищать;

— кому и какая информация требуется для выполнения

служебных обязанностей;

— какая степень защиты требуется для каждого вида ин

формации;

— чем грозит потеря того или иного вида информации;

— как организовать работу по защите информации.

Решения по этим вопросам принимают руководители орга-

низации,   имеющие   право   решать,   какой   риск   должен   быть

исключен, а на какой можно пойти, а также определять объем

и порядок финансирования работ по обеспечению выбранного

уровня информационной безопасности.

Для   выработки   политики   информационной   безопасности

необходимо   провести   исследования.   Сначала   осуществляется

сбор   информации,   состоящей   из   описания   структуры   орга-

низации; перечня и краткой характеристики функций, выпол-

няемых   каждым   ее   подразделением   и   работником;   иерархии

должностных   лиц;   описания   функциональных   связей   между

подразделениями   и   отдельными   рабочими   местами;   перечня

информационных объектов, циркулирующих в системе; перечня

применяемых системных и прикладных программ (комплексов)

с   указанием   используемых   и   порождаемых   ими   инфор-

мационных   объектов;   описания   топологии   комплекса   техни-

ческих средств компьютерной системы.

Потом производятся обработка и систематизация получен-

ных   данных.   Информационные   объекты   могут   быть   клас-

сифицированы  по тематике,  по иерархическому  признаку,  по

предполагаемому размеру ущерба от потери данной инфор-

мации (или по выгоде для конкурента при ее получении), по

трудоемкости ее восстановления.

Наконец,   планируется   организационное   обеспечение   ин-

формационной   безопасности.   Идеальная   схема   предполагает

наличие   независимого   подразделения   информационной   без-

опасности,   которое   подчинено   одному   из   первых   лиц   ор-

ганизации.   Основными   функциями   этого   подразделения   яв-

ляются предоставление пользователям доступа к информации в

соответствии   с   принятой   в   организации   политикой   безопас-

ности,  а  также  контроль  за соблюдением  принятой  политики

безопасности и ее проведение на различных уровнях.

Анализ  рисков  заключается   в  их  определении,   изучении   и

систематизации. Также формулируются требования к средствам

обеспечения информационной безопасности и осуществляется

выбор соответствующих программных *и технических решений.

По   результатам   анализа   составляется   отчет,   содержащий

перечень рисков, упорядоченных по степени их "опасности", и

рекомендации по снижению вероятности возникновения опас-

ных   ситуаций.   Проведенный   анализ   должен   предоставить   ру-

ководству предприятия всю информацию, которая необходима

для принятия решений, по возможности, альтернативных. На-

пример,   принять   меры,   снижающие   вероятность   возникно-

вения   опасной   ситуации   и/или   уменьшающие   возможный

ущерб   в   случае   отказа   информационной   системы,   а   также

несанкционированного   доступа   к   данным,   воздержаться   от

принятия определенных защитных мер и пойти на "рассчитан-

ный" риск.

Планирование обеспечения безопасности состоит в разработ-

ке документа, содержащего описание мер, средств и способов

обеспечения   информационной   безопасности.   Этот   документ

определяет   и   последовательность   действий,   направленных   на

реализацию  комплекса  мер по обеспечению  информационной

безопасности,  которая  должна быть утверждена  руководством

организации.

Планирование действий в чрезвычайной ситуации  состоит в

разработке документа, определяющего за счет каких резервных

средств   будет   обеспечено   функционирование   организации   в

условиях   выхода   из   строя   ее   информационной   системы,   а

также намечающего меры по восстановлению работоспособ-