1. Дают юридическое определение основных компонентов информационной технологии как объектов правовой охраны
2. Устанавливают и закрепляют права и обязанности собственника на эти объекты
3. Определяют правовой режим функционирования средств информационных технологий
4. Определяют категории доступа определенных субъектов к конкретным видам информации
5. Устанавливают категории секретности данных и информации
6. Дают определение и границы правового применения термина «конфиденциальная информация»
Аналогичные законы действуют в западных странах уже более 20 лет.
Решающим законодательным аккордом в этой области можно считать принятие в июне 1996 года Уголовного кодекса РФ, устанавливающего уголовную ответственность за компьютерные преступления. Информация в нем – объект уголовно-правовой охраны.
7. Организационно-технические меры предупреждения компьютерных преступлений.
Я рассмотрю данные меры, применяемые в западных странах.
Рассмотрю отдельные положительные, на мой взгляд, организационно-технические меры предупреждения компьютерных преступлений, применяемые в развитых зарубежных странах
В настоящее время руководство профилактикой компьютерных преступлений в этих странах осуществляется по следующим направлениям
1) соответствие управленческих процедур требованиям компьютерной безопасности;
2) разработка вопросов технической защиты компьютерных залов и компьютерного оборудования;
3) разработка стандартов обработки данных и стандартов компьютерной безопасности;
4) осуществление кадровой политики с целью обеспечения компьютерной безопасности;
Например, национальным бюро стандартов США были разработаны базовые требования безопасности, предъявляемые к компьютерным сетям. В их числе:
— пригодность — гарантия того, что сеть пригодна для обеспечения санкционированного доступа;
— контролируемая доступность — гарантия, что сеть обеспечит доступ только санкционированному пользователю для решения санкционированных задач;
— неприкосновенность — защита данных от несанкционированного их изменения и уничтожения;
— конфиденциалынсть — защита данных от несанкционированного раскрытия;
— безопасность передачи даиных — гарантия того, что идентификация пользователей, качество передаваемых данных, время и продолжительность передачи данных обеспечены.
На основе данных требований были созданы соответствующие механизмы технического контроля, отвечающие следующим критериям:
1) целостность — базовая надежность, гарантирующая, что механизм работает как должно;
2) возможность проверки — способность записывать информацию, которая может иметь значение в раскрытии и расследовании попыток посягательства на средства компыотерной техники и других событий, относящихся к вопросам безопасности системы.
В результате практической реализации этих мер стало возможно:
- контролировать физический доступ к средствам компьютерной техники (СКТ);
. контролировать электромагнитное излучение аппаратных СКТ;
— наблюдать за возможной угрозой СКТ и фиксировать каждую такую попытку (методом мониторинга).
Как видно иа вышеприведенного, цели и основные положения эащиты информации в зарубежных странах по ряду базо-вых позиций совпадают с российскими и предполагают:
а) предотвращение утечки, хищения, утраты, искажения и подделки информации;
б) предотвращение угроз безопасности личности, общества и государства;
п) предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации; предотвращение других форм незаконного вмешательства в информационные ресурсы и системы;
г) обеспечение правового режима функционирования документированной информации как объекта собственности;
д) сохранение государственной тайны и конфиденциальности документированной информации;
е) обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологий и средств их обеспечения.
По методам применения тех или иных организационно-технических мер предупреждения компьютерных преступлений специалистами отдельно выделяются триих основные группы
1) организационные;
2) технические;
3) комплексные (сочетающие в себе отдельные методы двух первых групп).
Организационные меры защиты СКТ включают в себя совокупность организационных мероприятий по подбору проверке и инструктажу персонала, участвующего на всех стадиях ин формационного процесса; разработке плана восстановления информационных объектов после выхода их из строя; организации программно-технического обслуживания СКТ; возложению дисциплинарной ответственности на лиц по обеспечению безопасности конкретных СКТ; осуществлению режима секретности при функционировании компьютерных систем; обеспечению режима физической охраны объектов; материально-техническому обеспечению и т. д. и т. п. Организационные мероприятия, по мнению многих специалистов, занимающихся вопросами безопасности компьютерных систем, являются важным и одним из эффективных средств защиты информации, одновременно являясь фундаментом, на котором строится в дальнейшем вся система защиты.
Анализ материалов отечественных уголовных дел позволяет сделать вывод о том, что основными причинами и условиями способствующими совершению компьютерных преступлений в большинстве случаев стали:
1) неконтролируемый доступ сотрудников к пульту управления (клавиатуре) компьютера, используемого как автономно, так и в качестве рабочей станции автоматизированной сети для дистанционной передачи данных первичных бухгалтерских документов в процессе осуществления финансовых операций;
2) бесконтрольность за действиями обслуживающего персонала, что позволяет преступнику свободно использовать указанную в п. 1 ЭВМ в качестве орудия совершения преступления;
3) низкий уровень программного обеспечения, которое не имеет контрольной защиты, обеспечивающей проверку соответствия и правильности вводимой информации;
4) несовершенство парольной системы защитыот несанкционированного доступа к рабочей станции и ее программному обеспечению, которая не обеспечивает достоверную идентификацию пользователя по индивидуальным биометрическим параметрам;
5) отсутствие должностного лица, отвечающегоза режим секретности и конфиденциальности коммерческой информации и ее белопасности в части защиты средств компьютерной техники от несанкционированного доступа;
6) отсутствие категорийности допуска сотрудников к документации строгой финансовой отчетности, в т. ч. находящейся в форме машинной информации;
7) отсутствие договоров (контрактов) с сотрудниками на предмет неразглашения коммерческой и служебной тайны, персональных данных и иной конфиденциальной информации.
В функциональные обязанностиуказанных лиц прежде всего должны входить следующие позиции осуществления организационных мер обеспечения безопасности СКТ:
1) обеспечение поддержки со стороны руководства конкретной организации требований защиты СКТ;
2) разработка комплексного плана защиты информации;
3) определение приоритетных направлений защиты информации в соответствии со спецификой деятельности организации;
4) составление общей сметы расходов финансирования охранных мероприятий в соответствии с разработанным планом и угверждение ее в качестве приложения к плану руководством организации;
5) определение ответственности сотрудников организации за безопасность информации в пределах установленной им компетенции путем заключения соответствующих договоров между сотрудником и администрацией;
6) разработка, внедрение и контроль за исполнеиием раз личного рода инструкций, правил и приказов, регламентирующих формы допуска, уровни секретности информации, кои-кретных лиц, допущенных к работе с секретными (конфиденциальными) данными и т. п.;
7) разработка эффективных мер борьбы с нарушителями защиты СКТ.
При этом, как показывает практика, наиболее надежным средством повышения эффективности мер безопасности СКТ является обучение и ознакомление работающего персонала с применяемыми в конкретной организации организационно-техническими мерами защиты.
Технические меры представляют собой применение различных устройств специального назначения:
1. Источники бесперебойного питания.
2. Устройства экранирования аппаратуры, линий проводной связи и помещений, в которых находится компьютерная техника.
3. Устройства комплексной защиты телефонии.
4. Устройства пожарной защиты.
5. Средства защиты портов компьютера.
Также для защиты программного обеспечения нужно ввести параметры доступа в компьютер. Доступ может быть определен как:
— общий (безусловно предоставляемый каждому польэователю);
— отказ (безусловный отказ, например разрешение на удаление порции информации);
— зависимый от события (управляемый событием), предусматривает блокировку обращения пользователя, например в определенные интервалы времени или при обращении к компьютерной системе с определенного терминала;