10. Законодательные меры по защите информации

Законодательные меры по защите информации от НСД заключаются в исполнении существующих в стране или введении новых законов, положе­ний, постановлений и инструкций, регулирующих юридическую ответствен­ность должностных лиц-пользователей и обслуживающего технического персонала за утечку, потерю или модификацию доверенной ему информации, подлежащей защите, в том числе за попытки выполнить аналогичные дей­ствия за пределами своих полномочий, а также ответственность посторонних лиц за попытку и совершение преднамеренного несанкционированного дос­тупа к аппаратуре и информации.

Гражданский кодекс РФ (1994 г.) в части 1 в статье 139 определяет права на служебную и коммерческую тайну следующим образом:

"1. Информация составляет служебную или коммерческую тайну в слу­чае, когда информация имеет действительную или потенциальную коммер­ческую ценность в силу неизвестности ее третьим лицам, к ней нет свободно­го доступа на законном основании и обладатель информации принимает меры к охране ее конфиденциальности. Сведения, которые не могут составлять слу­жебную или коммерческую тайну, определяются законом и иными правовы­ми актами.

2. Информация, составляющая служебную или коммерческую тайну, за­щищается способами, предусмотренными настоящим кодексом и другими законами.

Лица, незаконными методами получившие информацию, которая состав­ляет служебную или коммерческую тайну, обязаны возместить причиненные убытки. Такая же обязанность возлагается на работников, разгласивших служебную или коммерческую тайну вопреки трудовому договору, в том числе контракту, и на контрагентов, сделавших это вопреки гражданско-правово­му договору".

Попутно с позиций, предлагаемых в данной книге, отметим, что при оз­на­ком­ле­нии со статьей Гражданского Кодекса (ГК), к сожалению, возникают вопросы. Почему речь идет о третьих лицах, а о вторых – нет? Почему рассматривается только утечка информации, а модификация, ут­рата (разрушение, хищение и блокировка доступа) – нет? Ведь эти действия также нарушают права собственности владельца информации.

Назревшая необходимость восстановления ответственности за правона­ру­ше­ния, совершаемые в области компьютерных технологий, предопредели­ла соответствующие законодательные инициативы. В частности, Уголов­ный кодекс РФ 1996 года содержит принципиально новые для отечественного уголовного законодательства виды преступлений, объединенные в самосто­ятельную главу 28 "Преступления в сфере компьютерной информации". Такой подход соответствует мировым правовым тен­денциям.

Цель законодательных мер – предупреждение и сдерживание потенциаль­ных нарушителей. Отсутствие в нашей стране опыта правового регулирования отношений в области компьютерных технологий позволяет оставлять многие преступления, совершаемые в информационном пространстве, прак­тически безнаказанными.

11. Анализ и оценка действующей концепции защиты

В на­стоящее время при построении защиты информации сложился подход, осно­ванный на представлении обработки информации в виде абстрактной вычис­лительной среды, в которой работает множество "субъектов" (пользовате­лей и процессов) со множеством "объектов" (ресурсами и наборами данных). При этом построение защиты заключается в создании защитной среды в виде некоторого множества ограничений и процедур, способных под управлени­ем ядра безопасности запретить несанкционированный и реализовать санк­ционированный доступ "субъектов" к "объектам" и защиту последних от мно­жества преднамеренных и случайных внешних и внутренних угроз.

Данный подход опирается на теоретические модели безопасности: АДЕПТ-50 Хартсона; Бела-Лападулы; MMS Лендвера и Мак-Лина; Биба; Кларка-Вилсона и др.

Считается, что данные модели являются инст­рументарием при разработке определенных политик безопасности, опреде­ляющих некоторое множество требований, которые должны быть выполне­ны в конкретной реализации системы. На практике разработчикам чрезвы­чайно сложно реализовать эти модели, и поэтому они рекомендуются лишь для анализа и оценки уровня безопасности автоматизированных систем, а руководствоваться при разработке им предлагается специально разработанными на основе упомянутых подхода и моделей стандартами, которые были рассмотрены в предыдущей теме.

Тот же подход используется в Руководящих документах (РД) Гостехкомиссии России.

В указанных документах (с некоторыми различиями) приводится совокуп­ность требований к набору и содержанию защитных функций, выполнение которых должно обеспечить "защищенность" создаваемых систем. Данную технологию можно отнести к способу построения защи­ты. Полнота выполнения упомянутых требований оценивается экспертами и определяет класс "защищенности" по стандарту. Чем больше количество фун­кций и сложнее их выполнение, тем выше класс.

Однако такому подходу и способу присущи принципиальные недостатки, приводящие к низкому уровню безопасности обрабатываемой информации. Суть их заключается в неопределенности постановки задачи и вытекающей из нее сложности ее решения. В разрабатываемой системе сложно определить:

– предмет защиты (множество "объектов" доступа);

– виды и количество угроз;

– "субъекты" доступа (множество процессов);

– возможные механизмы взаимодействия "субъектов" с "объектами".

Если число штатных "объектов" и "субъектов" (кроме процессов) досту­па на конкретной системе можно как-то еще определить, то виды и количе­ство процессов, преднамеренных несанкционированных и случайных воздей­ствий, особенно в региональных, глобальных сетях учету не поддаются. Проверить стойкость защиты по каждой ожидаемой угрозе вообще не пред­ставляется возможным.

Особенно следует отметить отсутствие в стандартах механизма создания замкнутой за­щитной оболочки и расчетных соотношений ее прочности. Это приводит к наличию "дыр" в защите, а отсутствие расчетных соотношений прочности – к существенному отклоне­нию результатов от ожидаемой эффективности защиты.

Создаваемая защитная среда носит сугубо фрагментарный характер, так как не определяются ее границы и плотность. На практике защитная среда реализуется в виде определенного нормативными документами набора функций, в котором отсутствуют количественные показатели прочности защиты и используется термин "защищенность". Данные функции определены лишь на основе опыта работы режимных служб.

Кроме того, как показала практика, основной задачей защиты информации является защита от нарушителей-пользователей. Они обладают определен­ными полномочиями и имеют доступ к информации и ресурсам внутри авто­матизированной системы. Поэтому целесообразно делать акцент на бе­зопасной обработке информации как внутреннем свойстве АС (на надежности и устойчивости ее функционирования). В этих случаях термин "бе­зопасная АС" будет выглядеть предпочтительнее.