14

Новый Гуманитарный Университет Натальи Нестеровой

Факультет туризма и гостиничного бизнеса

РЕФЕРАТ

по информатике

на тему:

НЕОБХОДИМОСТЬ ЗАЩИТЫ ИНФОРМАЦИИ

Москва

2002

Содержание

• Необходимость защиты информации 4
• АС ГРН 4
• Нормативно-правовые акты по защите информации в АС ГРН 7
• Нормативно-технические акты, обеспечивающие защиту информации в АС ГРН 9
• Требования к средствам защиты информации 11
• Выбор средств защиты информации от несанкционированного доступа 13
• Список литературы 14

Необходимость защиты информации

В мировой экономике в настоящее время доля компьютерных и информационных технологий очень существенна. Информационная индустрия, как и всякая другая индустрия, развивается по привычным экономическим законам. Но она имеет некоторые существенные особенности, которые отличают ее от всей предыдущей социально-экономической практики. При формировании и использовании информационных ресурсов возникают определенные отношения между участниками. Регулировать подобные отношения призваны нормативно-правовые акты - законы, постановления, положения и др. Рассмотрим подробнее, как защищена информация в одной из автоматизированных систем государственного сектора экономики - автоматизированной системы “Государственный регистр населения”.

АС ГРН

В соответствии со статьей 24 Конституции Российской Федерации в ГРН собираются, хранятся и используются только сведения регистрационного учета граждан. Сбор и хранение в ГРН информации о частной жизни граждан не допускается. Каждый гражданин вправе ознакомиться с составом и содержанием информации о себе, хранимой в ГРН.

Нормативно-правовые акты по защите информации в АС ГРН

· Конституция Российской Федерации;

· Закон Российской Федерации от 05.03.1992 г. № 2446-1 "О безопасности";

· Закон Российской Федерации от 21.07.1993 г. № 5485-1 "О государственной тайне";

· Закон Российской Федерации от 10.06. 1993 г. № 5154-1 "О стандартизации";

· Федеральный закон от 20.02.1995г. № 24-ФЗ "Об информации, информатизации и защите информации";

· Федеральный закон от 04.07.1996г. № 85-ФЗ "Об участии в международном информационном обмене";

· Указ Президента Российской Федерации от 06.03.1992 г. № 188 "Об утверждении перечня сведений конфиденциального характера";

· постановление Правительства Российской Федерации от 21.02.1996г. № 226 “О государственном учете и регистрации баз и банков данных”.

Информационную основу АС ГРН составляют персональные данные. В отличие от других видов информации персональные данные имеют свои особенности, поскольку непосредственно затрагивают интересы каждого гражданина, правовое положение которого определяется Конституцией Российской Федерации и регулируется федеральным законодательством. Персональные данные о гражданах требуют особого режима государственной защиты от попыток нарушения прав человека. В то же время государство должно обеспечить права доступа каждого гражданина к регистрационным данным о нем, возможность внесения дополнений и изменений в личные данные, а также обеспечить доступ к персональным данным государственных органов власти и юридических лиц, обеспечивающих свободу и права личности, развитие инфраструктуры жизнеобеспечения человека и общества. С этой целью необходимо разработать нормативные правовые документы, гарантирующие права человека, определенные в статье 24 Конституции Российской Федерации.

Важное значение для обеспечения защиты данных имеют постановление Правительства Российской Федерации от 15.09.1993 г. № 912-51, утверждающее “Положение о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от ее утечки по техническим каналам”, постановления Правительства Российской Федерации о регистрации граждан по месту жительства (месту пребывания), а также нормативные правовые документы, касающиеся регистрации актов гражданского состояния, положения об органах и инструкции по технологии проведения регистрации. При создании и функционировании АС ГРН эти нормативные правовые и иные акты должны быть изменены в соответствии с новыми требованиями.

При развитии правовой базы, регулирующей создание АС ГРН и использование персональных данных, необходимо учитывать требования и опыт мирового сообщества в сфере защиты персональных данных, в частности, требования Конвенции Совета Европы от 28.01.1991 г. № 108 “О защите личности в отношении автоматизированной обработки персональных данных”, Директивы 95 ЕС Европейского парламента и Совета Европейского Союза “О защите прав частных лиц в отношении обработки персональных данных и о свободном обращении этих данных” и Директивы 97Европейского парламента и Совета Европейского Союза “Об обработке персональных данных и защите права на невмешательство в частную жизнь в сфере телекоммуникации”.

При разработке нормативной правовой базы АС ГРН необходимо учитывать принципы и рекомендации европейского законодательства, гарантирующие:

· защиту конституционных прав и свобод личности;

· отсутствие ограничений и запретов на обмен персональными данными по причинам, связанным с защитой прав и свобод личности;

· предоставление личности возможности непосредственного контроля правильности записи и использования персональных данных;

· создание системы государственного надзора за операциями по обработке персональных данных и др.

Учитывая трудоемкость и значительную стоимость создания баз данных АС ГРН, а также недопустимость несанкционированного доступа к ним необходимо решить вопросы, связанные с компенсацией финансовых потерь от различного рода действий, разрушающих информацию. Важное значение при функционировании АС ГРН приобретает вопрос возмещения ущерба населению при неправомочном использовании персональных данных. Указанные вопросы должны решаться с использованием страховых механизмов. Необходимо разработать “Положение о страховании информационных рисков при функционировании АС ГРН”.

Разрабатываемые правовые акты по созданию и функционированию АС ГРН должны обеспечивать:

· распределение персональных данных по степеням защищенности и по категориям доступа;

· правовые механизмы, обеспечивающие защиту информации;

· организацию работ по защите информации;

· выполнение положений государственной системы защиты информации (ГСЗИ);

· сертификацию технических средств, программных средств и средств защиты персональных данных;

· лицензирование информационной деятельности по формированию и использованию данных АС ГРН;

· страхование информационных рисков.

Нормативно-технические акты, обеспечивающие защиту информации в АС ГРН

· ГОСТ Р50739-95. СВТ. Защита от НСД к информации. ОТТ.

· Руководящие документы Гостехкомиссии России (1992 г.):

o РД АС. Защита от НСД к информации. Классификация АС и требования по защите информации.

o РД СВТ. Защита от НСД к информации. Показатели защищенности от НСД к информации.

o РД. Концепция защиты СВТ и АС от НСД к информации.

· ИСО МЭК. Защита информации. Обозначение сертификатов.

· ИСО МЭК. 7498-98. ИТ. Взаимосвязь открытых систем. Базовая эталонная модель.

· МЭК. ППС 10181. ИТ. Взаимосвязь открытых систем. Основы защиты информации в открытых системах.

При создании телекоммуникационной сети АС ГРН для подтверждения авторства сообщений и обеспечения их целостности должны применяться средства электронной цифровой подписи.

Средства электронной цифровой подписи должны удовлетворять требованиям:

· ГОСТ Р3410-94. Процедура выработки и проверки электронной цифровой подписи на базе ассиметричного криптографического алгоритма.

· ГОСТ Р3411-94. Функция хеширования.

· Положение о порядке разработки, производства, реализации и использовании средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну (Положение ПКЗ-99).

При взаимодействии региональных баз персональных данных АС ГРН и баз данных федеральных органов государственной власти используется ИТКС специального назначения и сертифицированные средства криптографической защиты, удовлетворяющие дополнительно следующим требованиям:

· ГОСТ 28147-89. Система обработки информации. Защита криптографическая, Алгоритмы криптографического преобразования;

· Нормативным документам Федерального агентства правительственной связи и информации при Президенте Российской Федерации:

· Временные требования к средствам криптографической защиты конфиденциальной информации;

· Временные требования к устройствам типа межсетевые экраны.

Указанные нормативно-технические документы должны быть положены в основу создания и функционирования АС ГРН. Проектирование системы должно проводиться по модульному принципу. На каждый модуль системы должен быть определен отечественный профиль. Отечественные профили и технические условия на систему являются основой сертификации каждого модуля и системы в целом.

Требования к средствам защиты информации

· защиту информации от несанкционированной модификации и разрушения на всех этапах ее обработки, хранения и передачи;

· аутентификацию сторон, производящих обмен информацией (подтверждение подлинности отправителя и получателя);

· разграничение прав пользователей и обслуживающего персонала при доступе к информационным ресурсам АС ГРН , а также при хранении и предоставлении конфиденциальной информации, в том числе защиту от несанкционированного доступа пользователей ведомственных информационных систем к информационным ресурсам АС ГРН ;

· возможность доказательства неправомочности действий пользователей и обслуживающего персонала АС ГРН ;

· защиту информации от несанкционированного доступа средствами проверки полномочий пользователей и обслуживающего персонала на использование информационных ресурсов АС ГРН (возможность несанкционированного изменения или уничтожения этой информации, как и несанкционированное получение, изменение или уничтожение информации о гражданах третьими лицами должны быть исключены);

· защиту от несанкционированной модификации программного обеспечения, включая защиту от внедрения “вирусов” в программные продукты;

· защиту информации от случайных разрушений;

· дублирование информации путем создания резервных копий;

· выполнение специальных требований для используемых импортных аппаратных средств;

· защиту от утечки по побочным каналам технических средств, предназначенных для обработки и хранения конфиденциальной информации;

· защиту баз данных различного уровня;

· защиту каналов передачи информации;

· подтверждение авторства сообщений с использованием электронной цифровой подписи информации;

· живучесть АС ГРН ;

· для любого гражданина возможность беспрепятственного ознакомления с данными о нем самом.

При формировании на основе первичных данных АС ГРН аналитической и агрегированной информации в соответствующих информационно-аналитических системах могут быть использованы средства криптографической защиты, соответствующие категорийности формируемой информации.

Используемые криптографические средства защиты должны иметь сертификат ФАПСИ. Используемые криптографические средства защиты должны удовлетворять “Временным требованиям к средствам криптографической защиты конфиденциальной информации, не составляющей государственной тайны” по классу не ниже, чем “В”.

Выбор средств защиты информации от несанкционированного доступа

· иметь сертификат в системе сертификации средств защиты;

· функциональные возможности средств защиты должны обеспечивать выполнение основных контрольных процедур до загрузки операционной системы;

· спектр выпускаемых на аттестованных производствах средств защиты информации должен решать проблемы защиты в гетерогенных сетях, основанных на интеграции широко применяемых в России операционных систем;

· состав атрибутов, на основе которых описываются правила разграничения доступа к объектам АС ГРН, должен быть таким, чтобы обеспечить возможность описания любой разумной непротиворечивой политики безопасности;

· для применения в сетевых решениях обязательным является наличие средств централизованного управления безопасностью и средств аудита.

Важнейшим критерием выбора средств защиты информации является анализ практики применения этих средств.

Список литературы

1. Конституция Российской Федерации

2. Постановление Губернатора Московской области от 8 октября 1998 г. N 311-ПГ "О защите информационных ресурсов Московской области, составляющих государственную тайну".

3. Постановление Правительства Российской Федерации от 21.02.1996 г. № 226 “О государственном учете и регистрации баз и банков данных”

4. Указ Президента Российской Федерации от 06.03.1992 г. № 188 "Об утверждении перечня сведений конфиденциального характера"

5. Федеральный закон от 04.07.1996г. № 85-ФЗ "Об участии в международном информационном обмене"

6. Федеральный закон от 05.03.1992 г. № 2446-1 "О безопасности"

7. Федеральный закон от 10.06. 1993 г. № 5154-1 "О стандартизации"

8. Федеральный закон от 20.02.1995г. № 24-ФЗ "Об информации, информатизации и защите информации"

9. Федеральный закон от 21.07.1993 г. № 5485-1 "О государственной тайне"

10. Информатика: данные, технология, маркетинг. / Под ред. А.П. Романова. М.: Финансы и статистика, 1991

11. Кукин В.Н. Информатика: организация и управление. М.: Экономика, 1991

12. Майоров С.И. Информационный бизнес: коммерческое распространение и маркетинг. М.: Финансы и статистика, 1993