Что обеспечивает невозможность несанкционированного получения доступа к данным или раскрытия данных
Статья 16. Защита информации
Статья 16. Защита информации
ГАРАНТ:
См. комментарии к статье 16 настоящего Федерального закона
1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.
2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.
3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.
4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:
1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
2) своевременное обнаружение фактов несанкционированного доступа к информации;
3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;
4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
6) постоянный контроль за обеспечением уровня защищенности информации;
Информация об изменениях:
Федеральным законом от 21 июля 2014 г. N 242-ФЗ часть 4 статьи 16 настоящего Федерального закона дополнена пунктом 7, вступающим в силу с 1 сентября 2015 г.
7) нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.
5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.
6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.
Защита информации от несанкционированного доступа
ИБ-аутсорсинг
на базе DLP-системы
Контроль исполнения документов
Мониторинг ИТ инфраструктуры
Защита бизнеса от мошенничества
Разработка требований к защите информации
Управление системами фильтрации электронной почты и веб-трафика
АУТСОРСИНГ DLP ДЛЯ ЗАЩИТЫ БИЗНЕСА
С овременные компании располагают значительными объемами информации. В сегодняшних реалиях она является основным ресурсом. Базы данных нуждаются в надежной охране от преступного использования, которое представляет собой серьезную угрозу для деятельности и существования компании. Поэтому так важно обеспечить защиту данных от несанкционированного доступа. Это комплекс мероприятий, направленных на контроль полномочий пользователей. В компании вводится ограничение использования сведений, которые не нужны сотрудникам для выполнения прямых обязанностей. Контролировать необходимо действия как с бумажными документами, так и со сведениями на электронных носителях информации.
Для того чтобы создать надежную систему защиты информации нужно определить возможные способы получения данных.
Способы доступа посторонних к сведениям
Несанкционированный доступ к информации (НСД) может быть получен разными способами. Прямое хищение документов или взлом операционных систем компьютеров составляют лишь малую часть возможных вариантов. Наиболее уязвимыми считаются электронные средства хранения информации, так как для них могут быть использованы удаленные методы управления и контроля.
Возможные варианты получения незаконного доступа:
По данным Gartner, 60% людей готовы пойти на преступление под гнетом обстоятельств. Узнайте, на что способны ваши сотрудники с помощью «СёрчИнформ ProfileCenter».
Подключение к действующему каналу связи позволяет получать сведения косвенным способом, без непосредственного доступа к базам данных. Наиболее защищенными от вторжения извне считаются оптоволоконные линии, но и к ним можно присоединиться после некоторых подготовительных операций. Целью злоумышленников в этом случае становятся рабочие переговоры сотрудников – например, при проведении следственных мероприятий или при совершении финансовых операций.
Часто для получения нужных сведений злоумышленники используют сотрудников компаний. В ход идут разные способы убеждения и мотивации – от подкупа до более жестких методов (запугивание, шантаж). В группу риска входят сотрудники, у которых возник конфликт с коллегами или с администрацией компании. Эти работники могут иметь авторизованный доступ к информации, позволяющий им получать определенные сведения без ограничений. Аутентификация пользователей в данном случае не является эффективной мерой защиты, поскольку она способна отсечь только посторонних.
Еще одна внутренняя угроза – кража носителей с ценными сведениями, например, программным кодом, который является разработкой компании. На это способны только доверенные лица, имеющие доступ к конфиденциальным данным в физическом или электронном виде.
Параллельно с развитием средств защиты информации ведутся разработки новых методов НСД. Необходимо понимать, что изученные методы незаконного получения данных не считаются перспективными. Наибольшую опасность представляют новые и малоизученные способы доступа к ресурсам компании, против которых пока нет эффективных методик борьбы. Поэтому считать средства защиты от несанкционированного доступа излишней мерой не следует. Это не попытка перестраховаться, а следствие правильного понимания размеров угрозы.
Для чего предпринимаются попытки доступа к чужой информации
Основная цель несанкционированного доступа к информации – получение дохода от использования чужих данных.
Возможные способы использования полученных сведений:
Конфиденциальная информация представляет собой эквивалент денежных средств. При этом для самого владельца сведения могут ничего не значить. Однако ситуация постоянно меняется, и данные могут внезапно приобрести большое значение, и этот факт потребует их надежной защиты.
Вы знаете, сколько конфиденциальных документов хранится в файловой системе вашей компании? Проведите быстрый и точный аудит с помощью «СёрчИнформ FileAuditor».
Методы защиты от несанкционированного доступа
Методы защиты компьютеров от несанкционированного доступа делятся на программно-аппаратные и технические. Первые отсекают неавторизованных пользователей, вторые предназначены для исключения физического проникновения посторонних людей в помещения компании.
Создавая систему защиты информации (СЗИ) в организации, следует учитывать, насколько велика ценность внутренних данных в глазах злоумышленников.
Для грамотной защиты от несанкционированного доступа важно сделать следующее:
В результате этих мероприятий появляется определенная иерархия информации в компании. Это дает возможность разграничения доступа к сведениям для сотрудников в зависимости от рода их деятельности.
Аудит доступа к данным должен входить в функционал средств информационной безопасности. Помимо этого, программы, которые компания решила использовать, должны включать следующие опции:
Идентификация и аутентификация пользователей
Для выполнения этих процедур необходимы технические средства, с помощью которых производится двухступенчатое определение личности и подлинности полномочий пользователя. Необходимо учитывать, что в ходе идентификации необязательно устанавливается личность. Возможно принятие любого другого идентификатора, установленного службой безопасности.
После этого следует аутентификация – пользователь вводит пароль или подтверждает доступ к системе с помощью биометрических показателей (сетчатка глаза, отпечаток пальца, форма кисти и т. п.). Кроме этого, используют аутентификацию с помощью USB-токенов или смарт-карт. Этот вариант слабее, так как нет полной гарантии сохранности или подлинности таких элементов.
Протоколы секретности для бумажной документации
Несмотря на повсеместную цифровизацию, традиционные бумажные документы по-прежнему используются в организациях. Они содержат массу информации – бухгалтерские сведения, маркетинговую информацию, финансовые показатели и прочие критические данные. Заполучив эти документы, злоумышленник может проанализировать масштабы деятельности организации, узнать о направлениях финансовых потоков.
Для защиты документации, содержащей сведения критической важности, используются специальные протоколы секретности. Хранение, перемещение и копирование таких файлов производится по специальным правилам, исключающим возможность контакта с посторонними лицами.
Защита данных на ПК
Для защиты информации, хранящейся на жестких дисках компьютеров, используются многоступенчатые средства шифрования и авторизации. При загрузке операционной системы используется сложный пароль, который невозможно подобрать обычными методами. Возможность входа в систему пользователя со стороны исключается путем шифрования данных в BIOS и использования паролей для входа в разделы диска.
Для особо важных устройств следует использовать модуль доверенной загрузки. Это аппаратный контроллер, который устанавливается на материнскую плату компьютера. Он работает только с доверенными пользователями и блокирует устройство при попытках включения в отсутствие владельца.
Также применяются криптографические методы шифрования данных, превращающие текст «вне системы» в ничего не значащий набор символов.
Эти мероприятия обеспечивают защиту сведений и позволяют сохранить их в неприкосновенности.
Определение уровней защиты
С методической точки зрения процесс защиты информации можно разделить на четыре этапа:
Каждый этап требует использования собственных средств защиты информации, проведения специальных мероприятий. Необходимо учитывать, что приведенное разделение условно. Одни и те же действия могут быть отнесены к разным уровням.
Не хватает ресурсов, чтобы заняться информационной безопаностью всерьез? Пригласите специалиста по ИБ-аутсорсингу! Узнать, как это работает.
Предотвращение сетевых атак
Компьютеры, подключенные к Интернету, постоянно подвергаются риску заражения вредоносным программным обеспечением. Существует масса ПО, предназначенного для отслеживания паролей, номеров банковских карт и прочих данных. Нередко вирусы содержатся в рассылках электронной почты, попадают в систему через сомнительные сетевые ресурсы или скачанные программы.
Для защиты системы от вредоносных программ, необходимо использовать антивирусные приложения, ограничить доступ в Сеть на определенные сайты. Если в организации параллельно используются локальные сети, следует устанавливать файрволы (межсетевые экраны).
Большинство пользователей хранит информацию в отдельных папках, которые названы «Пароли», «Мои карты» и т. п. Для злоумышленника такие названия являются подсказками. В названиях таких файлов необходимо использовать комбинации букв и цифр, ничего не говорящие посторонним людям. Также рекомендуется шифровать ценные данные в компьютерах и периодически производить их резервное копирование.
Какие результаты должны быть достигнуты
Грамотное использование систем защиты информации позволяет добиться благоприятных результатов:
Также служба ИБ должна настроить политики безопасности для всех подразделений и сотрудников, работающих с конфиденциальной информацией разного типа:
Каждый сотрудник должен иметь возможность работать только с информацией, необходимой ему для выполнения трудовых обязанностей. Это исключает недобросовестное использование сведений, утечку или копирование данных с враждебными целями.
Несанкционированный доступ к информации возможен в любой системе – от небольших организаций до крупных государственных структур. Внимательное отношение к защите сведений, создание подразделений информационной безопасности позволяют минимизировать потери и предотвратить попытки хищения или копирования данных. Отдельное внимание следует уделять работе с авторизованными сотрудниками, имеющими доступ к критической информации. Меры защиты должны быть приняты заблаговременно, поскольку уступить инициативу – значит допустить потерю данных.
Что обеспечивает невозможность несанкционированного получения доступа к данным или раскрытия данных
5. Угрозы несанкционированного доступа к информации
в информационной системе персональных данных
Угрозы НСД в ИСПДн с применением программных и программно-аппаратных средств реализуются при осуществлении несанкционированного, в том числе случайного, доступа, в результате которого осуществляется нарушение конфиденциальности (копирование, несанкционированное распространение), целостности (уничтожение, изменение) и доступности (блокирование) ПДн, и включают в себя:
угрозы доступа (проникновения) в операционную среду компьютера с использованием штатного программного обеспечения (средств операционной системы или прикладных программ общего применения);
угрозы создания нештатных режимов работы программных (программно-аппаратных) средств за счет преднамеренных изменений служебных данных, игнорирования предусмотренных в штатных условиях ограничений на состав и характеристики обрабатываемой информации, искажения (модификации) самих данных и т.п.;
угрозы внедрения вредоносных программ (программно-математического воздействия).
Состав элементов описания угроз НСД к информации в ИСПДн приведен на рисунке 3.
Кроме этого, возможны комбинированные угрозы, представляющие собой сочетание указанных угроз. Например, за счет внедрения вредоносных программ могут создаваться условия для НСД в операционную среду компьютера, в том числе путем формирования нетрадиционных информационных каналов доступа.
Угрозы доступа (проникновения) в операционную среду ИСПДн с использованием штатного программного обеспечения разделяются на угрозы непосредственного и удаленного доступа. Угрозы непосредственного доступа осуществляются с использованием программных и программно-аппаратных средств ввода/вывода компьютера. Угрозы удаленного доступа реализуются с использованием протоколов сетевого взаимодействия.
Эти угрозы реализуются относительно ИСПДн как на базе автоматизированного рабочего места, не включенного в сети связи общего пользования, так и применительно ко всем ИСПДн, имеющим подключение к сетям связи общего пользования и сетям международного информационного обмена.
Описание угроз доступа (проникновения) в операционную среду компьютера формально может быть представлено следующим образом:
│Источник│ │Уязвимости│ │ Способ │ │ Объект │ │Деструктивное│
│ угрозы │ │ ИСПДн │ │реализации│ │воздействия│ │ действие │
├─┤ Нарушитель │ ├─┤Уязвимости ПО│ │ ┌──────────────────────────┐ ├─┤Информация, обрабатываемая│ ├─┤ Нарушение │
│ └┬───────────┘ │ └┬────────────┘ ├─┤Использование существующих│ │ │ на АРМ (узле) ИСПДн, │ │ │конфиденциальности│
│ │└──────────┘ │ │ │микропрограмм,│ │ │ ИСПДн, позволяющих: │ │ │ ┌────────────────────────┐ │ ├─┤ Утечка информации │
│ │ │санкционированный │ │ │ │ аппаратных │ │ ├─┤ Деструктивно │ │ │ │ │ дисках │ │ │ ┌────────────────────────┐
│ │ │доступ в │ │ │ │ средств │ │ │ │ воздействовать на СЗИ │ │ │ │ └─────────────────────┘ │ ├─┤ Перехват информации │
│ │ │зону, но не │ │ │ ┌──────────────┐ │ │ ┌───────────────────────┐ │ │ ├─┤На жестких магнитных │ │ │ │ данных │
│ │ │имеющие доступа │ │ ├─┤ Уязвимости │ │ ├─┤ Вскрывать или │ │ │ │ │ дисках │ │ │ └────────────────────────┘
│ │ │информационных │ │ │ │ │инициализации │ │ │ │ взаимодействия │ │ │ ├─┤ На накопителях │ ├─┤ Нарушение целостности │
│ │ │ресурсов, имеющий │ │ │ │ │ ОС │ │ │ │ и каналов передачи │ │ │ │ │ электронной памяти │ │ │(уничтожение, модификация,│
│ │ │ограниченные права │ │ │ │ └──────────────┘ │ │ │ данных, позволяющие: │ │ │ │ │ типа флэш │ │ │ дезинформация) │
│ │ └───────────────────┘ │ │ │ │режиме работы │ │ │ ├─┤ Перехватывать │ │ │ ├─┤ На аудио-, │ │ ├─┤ Воздействие на ПО │
│ │ ┌───────────────────┐ │ │ │ │процессора │ │ │ │ │ информацию │ │ │ │ │ видеокассетах, │ │ │ │ и данные пользователя │
│ │ │ресурсов, │ │ │ └─┤ В процессе │ │ │ ├─┤Модифицировать │ │ │ │ ┌─────────────────────┐ │ ├─┤ Воздействие на │
│ │ │осуществляющие │ │ │ │функционирования │ │ │ │ │ передаваемые │ │ │ ├─┤ На оптических │ │ │ │микропрограммы, данные и │
│ │ │удаленный доступ │ │ │ │ ОС в │ │ │ │ │ данные │ │ │ │ │ компакт-дисках │ │ │ │драйверы устройств ИСПДн │
│ │ ┌───────────────────┐ │ │ └─────────────────┘ │ │ ├─┤ Перегружать │ │ │ ├─┤ В сотовых телефонах,│ │ ├─┤Воздействие на программы,│
│ ├─┤Зарегистрированный │ │ │ ┌───────────────┐ │ │ │ │ресурсы ИСПДн │ │ │ │ │ карманных │ │ │ │данные и драйверы │
│ │ │пользователь │ │ ├─┤Уязвимости │ │ │ │ │ (отказ в │ │ │ │ │компьютерах, цифровых│ │ │ │устройств, обеспечивающих│
│ │ │с полномочиями │ │ │ │прикладного ПО │ │ │ │ │обслуживании │ │ │ │ │ фотоаппаратах, mp3- │ │ │ │загрузку ОС и СЗИ и их │
│ │ │системного │ │ │ └───────────────┘ │ │ │ └───────────────┘ │ │ │ │ проигрывателях │ │ │ │функционирование │
│ │ └───────────────────┘ │ │ │специального ПО│ │ │ │ │ вредоносные │ │ │ ├─┤ В цифровых │ │ ├─┤Воздействие на программы │
│ │ ┌───────────────────┐ │ │ └───────────────┘ │ │ │ │ программы │ │ │ │ │ видеокамерах │ │ │ │и данные прикладного и │
│ │ │с полномочиями │ │ │пользователя │ │ │ ├─┤ Получать │ │ │ └─┤ В других устройствах│ │ │ ┌─────────────────────────┐
│ │ │администратора │ │ └───────────────┘ │ │ │ │ удаленный НСД │ │ │ └─────────────────────┘ │ ├─┤Внедрение вредоносной │
│ │ │безопасности ИСПДн │ │ │ │ │ │ к системе │ │ │ ┌───────────────────────┐ │ │ │программы, программно- │
│ ├─┤Программисты- │ │ │ наличием в ИСПДн │ │ │ └─┤ Разглашать и │ │ │ │ хранения информации │ │ │ ┌─────────────────────────┐
│ │ │разработчики │ │ │программно-аппаратной│ │ │ │ организовывать│ │ │ └┬──────────────────────┘ │ ├─┤ Воздействие на средства │
│ │ │прикладного ПО │ │ │ закладки │ │ │ │ утечку │ │ │ │ ┌─────────────────────┐ │ │ │управления конфигурацией │
│ │ │и лица, │ │ └─────────────────────┘ │ │ │ информации на │ │ │ ├─┤На жестких магнитных │ │ │ │ сети │
│ │ │в ИСПДн │ │ │с реализацией │ │ │ │ ИСПДн │ │ │ │ ┌─────────────────────┐ │ └─┤ Воздействие на СЗИ │
│ ├─┤Разработчики │ │ │и каналов передачи │ │ ├─┤Использовать остаточную│ │ │ │ ┌────────────────────────┐ └─┤ Нарушение │
│ │ │и лица, │ │ │данных │ │ │ │ неучтенную информацию │ │ │ └─┤ На перепрограммируемых │ │ доступности │
│ │ │сопровождение │ ├─┤Уязвимости, вызванные│ │ │ │ │ └────────────────────────┘ ├─┤Нарушение функционирования│
│ │ │в ИСПДн │ │ │недостатками │ │ │ ┌───────────────────────┐ │ │ ┌───────────────────────┐ │ │и отказы средств обработки│
│ │ └───────────────────┘ │ │организации ТЗИ │ │ └─┤ Использовать │ │ └─┤В средствах обработки и│ │ │информации, средств ввода/│
│ │ ┌───────────────────┐ │ │от НСД │ │ │ нетрадиционные │ │ │ хранения оперативной │ │ │вывода информации, средств│
│ └─┤Другие категории │ │ └─────────────────────┘ │ │ (стенографические) │ │ │ информации │ │ │ хранения информации, │
│ │лиц в соответствии │ │ ┌─────────────────────┐ │ │ каналы передачи │ │ └┬──────────────────────┘ │ │ аппаратуры и каналов │
│ │с оргштатной │ ├─┤Уязвимости СЗИ │ │ │ информации │ │ │ ┌─────────────────────┐ │ │ передачи данных │
│ ┌─────────────────────┐ ├─┤Уязвимости │ └─┤Внедрение (внесение) новых│ │ │ ┌─────────────────────┐ └─┤ Нарушения и отказы в │
├─┤Программно-аппаратная│ │ │программно-аппаратных│ │уязвимостей в ИСПДн на │ │ ├─┤ В кеш-памяти, │ │ функционировании СЗИ │
│ │ закладка │ │ │средств ИСПДн │ │этапе проектирования, │ │ │ │ в буферах │ └──────────────────────────┘
│ └┬────────────────────┘ │ │в результате сбоев │ │разработки и сопровождения│ │ │ │ ввода/вывода │
│ └─┤ Автономная │ │каналов утечки │ │ └──────────────────────┘ │ └─┤В оперативной памяти │
└─┤Вредоносная программа│ └─┤Внесение уязвимостей с│ │ └─────────────────────┘
│ ┌────────────────────┐ │ средств │ └─┤ Информация в средствах, │
├─┤Программные закладки│ └┬─────────────────────┘ │ реализующих сетевое │
│ ┌────────────────────┐ ├─┤Обмен программами и │ │ передачи данных в сети │
├─┤Программные вирусы │ │ │данными, содержащими│ └┬─────────────────────────┘
│ ┌────────────────────┐ │ │ (скрипты, макросы │ ├─┤ В маршрутизаторах │
│ │распространяющиеся │ │ ┌────────────────────┐ └─┤ В других устройствах │
│ │по сети (черви) │ ├─┤ Изменение │ │ коммутации │
См. данный графический объект в формате PDF.
Рисунок 3. Элементы описания угроз НСД к информации в ИСПДн
содержания служебной информации в пакетах сообщений, передаваемых по сети;
условий обработки данных (например, игнорирование ограничений на длину пакета сообщения);
форматов представления данных (с несоответствием измененных форматов, установленных для обработки по протоколам сетевого взаимодействия);
программного обеспечения обработки данных.
В результате реализации угроз «Отказа в обслуживании» происходит переполнение буферов и блокирование процедур обработки, «зацикливание» процедур обработки и «зависание» компьютера, отбрасывание пакетов сообщений и др. Описание таких угроз формально может быть представлено следующим образом:
Угрозы внедрения вредоносных программ (программно-математического воздействия) нецелесообразно описывать с той же детальностью, что и вышеуказанные угрозы. Это обусловлено тем, что, во-первых, количество вредоносных программ сегодня уже значительно превышает сто тысяч. Во-вторых, при организации защиты информации на практике, как правило, достаточно лишь знать класс вредоносной программы, способы и последствия от ее внедрения (инфицирования). В связи с этим угрозы программно-математического воздействия (ПМВ) формально могут быть представлены следующим образом:
Ниже дается общая характеристика источников угроз безопасности информации, уязвимостей, которые могут быть использованы при реализации угроз НСД, и характеристика результатов несанкционированного или случайного доступа. Характеристика способов реализации угроз дается при описании угроз доступа (проникновения) в операционную среду компьютера, угроз отказа в обслуживании и угроз ПМВ.