Для обеспечения безопасности информации в личных компьютерах и особенно в офисных системах и компьютерных сетях проводятся различные мероприятия, объединяемые понятием «система защиты информации».
Система защиты информации – это совокупность организационных (административных) и технологических мер, программно-технических средств, правовых и морально-этических норм, направленных на противодействие угрозам нарушителей с целью сведения до минимума возможного ущерба пользователям системы.
На практике при построении системы защиты информации сложились два подхода: фрагментальный и комплексный. В первом случае мероприятия по защите направляются на противодействие вполне определённым угрозам при строго определённых условиях, например, обязательная проверка носителей антивирусными программами, применение криптографических систем шифрование и т. д. При комплексном подходе различные меры противодействия угрозам объединяются, формируя так называемую архитектуру безопасности систем. Архитектуру безопасности рекомендуется разрабатывать в несколько этапов:
· анализ возможных угроз;
· разработка системы защиты;
· реализация системы защиты;
· сопровождение системы защиты;
На первом этапе из всего многообразия угроз следует в первую очередь выбрать наиболее вероятные для конкретной СОД, а также те, которые могут нанести наиболее серьезный ущерб.
Этап разработки системы защиты информации предусматривает использование различных средств защиты информации, к основным из которых относятся следующие.
1. Организационно-административные средства защиты сводятся к регламентации доступа к информационным и вычислительным ресурсам, к регламентации деятельности персонала и др. Их цель – в наибольшей степени затруднить или исключить возможность реализации угроз безопасности. Наиболее типичные организационно-административные средства:
· создание контрольно-пропускного режима на территории, где располагаются средства обработки информации;
· мероприятия по подбору персонала, связанного с обработкой данных;
· хранение магнитных и иных носителей информации, представляющих опредёленную тайну, а также регистрационных журналов в сейфах, недоступных для посторонних лиц;
· организация защиты от установки подслушивающей аппаратуры в помещениях, связанных с обработкой информацией;
· организация учёта использования и уничтожения документов (носителей) с конфиденциальной информацией;
· разработка должностных инструкций и правил по работе с компьютерными средствами и информационными массивами;
· разграничение доступа к информации и вычислительным ресурсам должностных лиц в соответствии с их функциональными обязанностями.
2. Технические средства защиты призваны создать искусственную физически замкнутую среду вокруг объекта и элементов защиты. В этом случае используются такие мероприятия как:
· установка средств физической преграды защитного контура помещений, где ведется обработка информации (кодовые замки, охранная сигнализация – звуковая, световая, визуальная);
· ограничение электромагнитного излучения путём экранирования помещений, где происходит обработка информации, листами из металла или специальной пластмассы;
· осуществление электропитания оборудования, обрабатывающего ценную информацию, от автономного источника питания или от общей электросети через специальные сетевые фильтры;
· применение, во избежание несанкционированного дистанционного съёма информации, жидко-кристаллических или плазменных дисплеев, струйных или лазерных принтеров соответственно с низким электромагнитным и акустическим излучением;
· использование автономных средств защиты аппаратуры в виде кожухов, крышек, дверец, шторок и т. д. с установкой средств контроля вскрытия аппаратуры.
3. Программные средства защиты представляют из себя ПО, специально предназначенное для выполнения функций защиты информации. Они реализуют такие функции защиты, как:
· разграничение и контроль доступа к ресурсам;
· регистрация и анализ протекающих событий, процессов, пользователей;
· предотвращение возможных разрушительных воздействий на ресурсы;
· криптографическая защита информации и др.
Программные средства защиты применяются для защиты информации в персональных компьютерах и компьютерных сетях активнее и шире других средств.
4. Технологические средства защиты информации – это комплекс мероприятий, органично встраиваемых в технологические процессы преобразования данных. Среди них можно выделить:
· создание архивных копий носителей;
· ручное или автоматическое сохранение обрабатываемых файлов во внешней памяти компьютера;
· регистрация пользователей компьютерных средств в журналах;
· автоматическая регистрация доступа пользователей к тем или иным ресурсам;
· разработка специальных инструкций по выполнению всех технологических процедур и т.д.
5. Морально-этические средства защиты реализуются в виде всевозможных норм, которые сложились традиционно или складываются по мере распространения вычислительной техники и средств связи в обществе. Эти нормы в большей части не являются обязательными как законодательные меры, однако, несоблюдение их ведёт обычно к потере авторитета и престижа человека. Наиболее показательными примерами таких норм является «Кодекс профессионального поведения членов Ассоциации пользователей ЭВМ США».
6. Законодательные средства защиты определяются законодательными актами, которыми регулируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.
В РФ действуют следующие законодательные акты, которые регулируют юридические и моральные отношения в сфере информационного рынка:
1. Закон РФ «Об информации, информатизации и защите информации» от 20.02.1995г.;
2. «О правовой охране программ для ЭВМ и баз данных» от 9.07.1993г. в редакции федерального закона от 19.07.95г.
Следует заметить, что в действующем ныне УК РФ имеется глава «Преступления в сфере компьютерной информации». В ней содержатся три статьи:
· «Неправомерный доступ к компьютерной информации» (ст. 272);
· «Создание, использование и распространение вредоносных программ для ЭВМ» (273);
· «Нарушение прав эксплуатации ЭВМ, систем ЭВМ и их сетей» (274).
В зависимости от серьезности последствий компьютерного злоупотребления к лицам, его совершившим, могут применяться различные меры наказаний, вплоть до лишения свободы сроком до 5 лет.