Активные действия, предпринимаемые разработчиками средств защиты, пока не позволяют получить желаемой защищенности. В этих условиях организации не должны ограничиваться простым обновлением версий антивирусного ПО, брандмауэров и других приложений. Надежность корпоративных систем сегодня напрямую зависит как от применяемых технологий защиты, так и от наличия в организации комплексной стратегии в области информационной безопасности, а также от корпоративной дисциплины при ее практической реализации.
Становление информационного общества показывает, что нормальная жизнедеятельность общества и государства целиком определяется уровнем развития, качеством функционирования и безопасностью информационной среды. Производство и управление, оборона и связь, транспорт и энергетика, финансы, наука и образование, средства массовой информации - все зависит от интенсивности информационного обмена, полноты, своевременности, достоверности информации, которая может быть искажена с помощью средств информационного терроризма. Последствия таких актов могут быть весьма трагичными для социума. Поэтому задача отражения возможных атак со стороны террористов в инфосфере задает новые стандарты, выводит на принципиально иной уровень вопросы информационной безопасности.
§ 2. Аспекты создания целостной системы информационной безопасности
Считается, что для предотвращения или нейтрализации последствий применения информационного оружия со стороны террористов необходимо принять следующие меры: организовать защиту материальмо-технических объектов, составляющих физическую основу информационных ресурсов; обеспечить нормальное в бесперебойное функционирование баз данных; защитить информацию от несанкционированного доступа, искажения или уничтожения; сохранить качество информации (своевременность, точность, полноту и необходимую доступность); постоянно проводить работу по обеспечению высокого морально-психологического состояния населения страны, персонала инфосферы[60]. Общие методы обеспечения информационной безопасности страны можно разделить на правовые, организационно-технические и финансово-экономические[61]:
К правовым методам обеспечения информационной безопасности относится разработка нормативно-правовых актов, регламентирующих отношения в информационной сфере, и методических документов по вопросам обеспечения информационной безопасности.
Отличительной чертой информационного терроризма является его дешевизна, сложность обнаружения и идентификации. Анонимность, обеспечиваемая Интернетом, позволяет террористу стать невидимым и, как следствие, практически неуязвимым и ничем (в первую очередь жизнью) не рискующим при проведении преступной акции. Положение усугубляется тем, что преступления в информационной сфере, в число которых входит и терроризм, влекут за собой наказание существенно меньшее, чем за осуществление “традиционных” террористических актов. В соответствии с Уголовным кодексом РФ (ст. 273), создание программ для ЭВМ или внесение изменений в существующие программы, которые заведомо приводят к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами, наказывается лишением свободы на срок максимум до семи лет. Для сравнения, в США законы карают несанкционированное проникновение в компьютерные сети заключением сроком до 20 лет. Ведущие государства мира серьезно обеспокоены рассматриваемыми проблемами и это, как правило, быстро отражается в законодательствах этих стран.
В России также принят ряд документов, составляющих основу для дальнейшего совершенствования регулирования информационно-коммуникационных взаимодействий. Существует Доктрина информационной безопасности РФ от 28.09.2000, федеральные законы “Об электронной цифровой подписи” от 10.01.2002, “Об информации, информатизации и защите информации” от 20.02.1995, “Об участии в международном информационном обмене” от 4.07.1996 и другие. Особо хотелось отметить усилия нашей страны на международной арене[62]. В частности, Россия предложила на рассмотрение ООН пакет международных принципов, направленных на укрепление безопасности глобальных информационных и телекоммуникационных систем и на борьбу с информационным терроризмом и криминалом. В документе зафиксировано право каждого как на получение и распространение информации, так и на защиту своих информационных ресурсов от неправомерного использования и несанкционированного вмешательства. Кроме того, предполагаетсяя, что государства должны принять меры для ограничения угроз в сфере международной информации. Например, взять на себя обязательства по отказу от действий по нанесению ущерба другим государствам в области информации, по доминированию и контролю в информационном пространстве, по поощрению действий террористических и преступных сообществ, по организации информационных войн, по манипулированию информационными потоками и по информационной экспансии. Согласно предложению России, ООН предстоит определить признаки и классификацию информационных и консциентальных войн, информационного оружия, создать систему международного слежения за выполнением взятых на себя государствами обязательств, создать механизм разрешения конфликтных ситуаций в этой сфере. В документе оговорена также международная ответственность государств за выполнение обязательств и процедура мирного урегулирования споров по информационным проблемам.
К организационно-техническим методам относятся:
* создание и совершенствование системы обеспечения информационной безопасности страны;
* разработка, использование и совершенствование средств защиты информации и методов контроля эффективности этих средств;
* развитие защищенных телекоммуникационных систем, повышение надежности специального программного обеспечения;
* создание систем и средств предотвращения несанкционированного доступа к обрабатываемой информации и специальных воздействий, вызывающих разрушение, уничтожение, искажение информации, а также изменение штатных режимов функционирования систем и средств информатизации и связи;
* выявление технических устройств и программ, представляющих опасность дли нормального функционирования информационно-телекоммуникационных систем, предотвращение перехвата информации по техническим каналам, применение криптографических средств защиты информации при ее хранении, обработке и передаче по каналам связи, контроль за выполнением специальных требований по защите информации;
* сертификация средств защиты информации, лицензирование деятельности в области защиты государственной тайны, стандартизация способов и средств защиты информации;
* совершенствование системы сертификации телекоммуникационного оборудования и программного обеспечения автоматизированных систем обработки информации;
* контроль за действиями персонала в защищенных информационных системах, подготовка кадров в области обеспечения информационной безопасности;
* формирование системы мониторинга показателей и характеристик информационной безопасности страны в наиболее важных сферах жизни и деятельности общества и государства.
Одной из технологических тенденций последнего времени стал повсеместный переход на системы многофакторной идентификации, нередко с использованием биометрических данных. Простая комбинация из регистрационного имени и пароля, даже часто обновляемого, уже не обеспечивает требуемого уровня защиты.
Другая тенденция – повышенное внимание не столько к средствам защиты, сколько к инструментам мониторинга и администрирования систем безопасности. Такое смещение акцентов означает интеграцию политики безопасности в процессы управления коммуникациями, в общую информационную стратегию и бизнес-процессы компании.
По данным исследования IDC[63] “Russia Security Software 2005-2009 Forecast and 2004 Vendor Shares” российские пользователи затратили в 2004 г. почти 42 млн. долларов на программное обеспечение для систем информационной безопасности, что на 32,7% больше, чем в 2003 г. Наиболее бурный рост IDC отметила в сегментах интегрированных решений и систем 3”А” (аутентификация, авторизация, администрирование), объемы которых увеличились на 58% и 83%, соответственно. Однако, основные затраты пользователей (почти 40%), как и в предыдущие годы пришлись на сегмент управления безопасностью информации. Хотя темпы его роста будут почти вдвое ниже, чем интегрированных решений и систем 3”А”, он останется самым крупным сегментом рынка ПО для систем безопасности, считает IDC. Сам же рынок ПО для систем безопасности и далее будет расти значительно быстрее, чем рынок ПО в целом, и в 2009 г. его объем составит 127 млн. долларов.
Экономические методы обеспечения информационной безопасности включают в себя:
* разработку программ обеспечения информационной безопасности страны и определение порядка их финансирования;