Что можно отнести к правовым мерам информационной безопасности
Меры информационой безопастности
И нформационная безопасность подчеркивает важность информации в современном обществе — понимание того, что информация — это ценный ресурс, нечто большее, чем отдельные элементы данных. Информационной безопасностью называют меры по защите информации от неавторизованного доступа, разрушения, модификации, раскрытия и задержек в доступе. Информационная безопасность включает в себя меры по защите процессов создания данных, их ввода, обработки и вывода. Целью информационной безопасности является обезопасить ценности системы, защитить и гарантировать точность и целостность информации, и минимизировать разрушения, которые могут иметь место, если информация будет модифицирована или разрушена. Информационная безопасность требует учета всех событий, в ходе которых информация создается, модифицируется, к ней обеспечивается доступ или она распространяется.
Можно выделить следующие направления мер информационной безопасности:
— правовые;
— организационные;
— технические;
К правовым мерам следует отнести разработку норм, устанавливающих ответственность за компьютерные преступления, защиту авторских прав программистов, совершенствование уголовного и гражданского законодательства, а также судопроизводства. К правовым мерам относятся также вопросы общественного контроля за разработчиками компьютерных систем и принятие международных договоров об их ограничениях, если они влияют или могут повлиять на военные, экономические и социальные аспекты жизни стран, заключающих соглашение.
К организационным мерам отнесу охрану вычислительного центра, тщательный подбор персонала, исключение случаев ведения особо важных работ только одним человеком, наличие плана восстановления работоспособности центра, после выхода его из строя, организацию обслуживания вычислительного центра посторонней организацией или лицами, незаинтересованными в сокрытии фактов нарушения работы центра, универсальность средств защиты от всех пользователей (включая высшее руководство), возложение ответственности на лиц, которые должны обеспечить безопасность центра, выбор места расположения центра и т.п.
К техническим мерам можно отнести защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем, организацию вычислительных сетей с возможностью перераспределения ресурсов в случае нарушения работоспособности отдельных звеньев, установку оборудования обнаружения и тушения пожара, оборудования обнаружения воды, принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов, установку резервных систем электропитания, оснащение помещений замками, установку сигнализации и многое другое. Более подробно эти меры будут рассмотрены в последующих разделах этой дипломной работы.
Основные методы обеспечения информационной безопасности
Чтобы обеспечить целостность, доступность и конфиденциальность информации, необходимо защитить ее от несанкционированного доступа, разрушения, незаконного копирования и разглашения. Обеспечение информационной безопасности — это комплекс организационных и технических мер, направленных на защиту данных.
Что такое методы защиты информации?
К методам защиты информации относят средства, меры и практики, которые должны защищать информационное пространство от угроз — случайных и злонамеренных, внешних и внутренних. Цель деятельности по обеспечению информационной безопасности — защитить данные, а также спрогнозировать, предотвратить и смягчить последствия любых вредоносных воздействий, которые могут нанести ущерб информации (удаление, искажение, копирование, передача третьим лицам и т. д.).
Какие существуют методы обеспечения информационной безопасности
Методы обеспечения инфобезопасности делятся на технические, административные, правовые и физические . Расскажем подробнее о каждом из них.
Технические
К техническим средствам защиты относятся межсетевые экраны, антивирусные программы, системы аутентификации и шифрования, регламентирование доступа к объектам (каждому участнику открывается персональный набор прав и привилегий, согласно которым они могут работать с информацией — знакомиться с ней, изменять, удалять).
Административные
К этой группе защитных мер относят, например, запрет на использование сотрудниками собственных ноутбуков для решения рабочих задач. Простая мера, но благодаря ей снижается частота заражения корпоративных файлов вирусами, сокращаются случаи утечки конфиденциальных данных.
Правовые
Пример хорошей превентивной меры из сферы законодательства — ужесточение наказаний за преступления в области информационной безопасности. Также к правовым методам относится лицензирование деятельности в области обеспечения инфобезопасности и аттестация объектов информатизации.
Физические
К физическим средствам защиты относятся охранные системы, замки, сейфы, камеры наблюдения. Достаточно сравнить, какая информация защищена лучше — та, которая записана на жестком диске компьютера, работающего в сети или та, что записана на съемный носитель, запертый в сейфе.
Стройте комплексную защиту
Чтобы поддерживать информационную безопасность на высоком уровне, необходим комплексный подход. В большинстве случаев недостаточно просто установить на рабочие компьютеры антивирусы, а на входе предприятия поставить камеру видеонаблюдения. Для эффективной защиты нужно комбинировать и применять различные средства защиты (административные, технические, правовые, физические). Стоит отдельно сказать о резервном копировании. Благодаря ему можно быстро восстановить исходные данные, если они были утеряны или искажены в результате кибератаки или ошибки сотрудника. Резервное копирование — простой и универсальный инструмент, повышающий стабильность любой системы. Обычно резервные копии записывают на съемные носители (которые хранят отдельно и под замком) или сохраняют в облаке, либо совмещают оба способа. В качестве дополнительной меры защиты часто применяется шифрование.
Политика безопасности
- Предоставлять каждому сотруднику минимально необходимый уровень доступа к данным — ровно столько, сколько ему нужно для выполнения должностных обязанностей. Этот принцип позволяет избежать многих проблем, таких как утечка конфиденциальных данных, удаление или искажение информации из-за нарушений в работе с ней и т. д.
- Многоуровневый подход к обеспечению безопасности. Разделение сотрудников по секторам и отделам, закрытые помещения с доступом по ключу, видеонаблюдение, регламент передачи сведений, многократное резервирование данных — чем больше уровней защиты, тем эффективнее деятельность по обеспечению информационной безопасности.
Важная роль в такой защитной системе отводится межсетевым экранам. Это «контрольно-пропускные пункты» для трафика, которые будут еще на входе отсеивать многие потенциальные угрозы и позволят установить правила доступа к ресурсам, которыми пользуются сотрудники. - Соблюдение баланса между потенциальным ущербом от угрозы и затратами на ее предотвращение. Определяя политику безопасности на предприятии, надо взвешивать потери от нарушения защиты информации и затраты на ее защиту.
Важно понимать, что ни одна система безопасности не способна дать 100% гарантию на защиту данных. Но многоуровневая комплексная система защиты информации однозначно эффективнее, чем применение отдельных методов обеспечения информационной безопасности.
Меры обеспечения информационной безопасности
При профессиональной деятельности разных компаний, государственных учреждений, формируются массивы данных, которые нуждаются в защите. Меры информационной безопасности, которые принимаются для защиты информации, находятся в зависимости от нормативно-правовых требований, а также утвержденной внутри конкретной организации концепции противодействия киберугрозам.
Главные категории мер обеспечения информационной безопасности
Выделяется перечень мер информационной безопасности, реализуемый полностью или частично в конкретной компании:
- морально-этические;
- правовые (законодательные);
- технологические;
- организационные (процедурные, административные);
- физические;
- технические (программные, аппаратные, программно-аппаратные).
Морально-этические
К этой категории мер обеспечения информационной безопасности можно причислить стандарты поведения, традиционно сложившиеся или складывающиеся при распространении информационных технологий в обществе.
К морально-этическим мерам информационной безопасности можно отнести неписаные (честность, патриотизм и т. д.), писаные (кодекс, устав организации и т. д.) правила. Морально-этические меры имеют профилактический характер, поэтому организации необходимо проводить работу по формированию внутри коллектива компании здорового морального микроклимата.
Правовые (законодательные)
К этой категории мер обеспечения информационной безопасности принято причислять законодательные акты, приказы и другие нормативные документы, с помощью которых осуществляется регламентация правил обращения с защищаемыми данными. С их помощью также выполняется закрепление прав и обязанностей информационных отношений при получении, обработке, эксплуатации данных. Правовые меры информационной безопасности устанавливают уровень ответственности за нарушение действующих регламентов, что создает барьеры для неправомерного использования данных.
Законодательные меры информационной безопасности имеют строго упреждающий характер, выступают в качестве профилактики нарушений, поэтому необходимо постоянно проводить соответствующую разъяснительную работу с пользователями и сотрудниками, которые обслуживают информационную систему.
Технологические
К этой разновидности мер информационной безопасности можно отнести различные технологические приемы, решения, которые базируются на применении избыточности (информационной, структурной, временной, функциональной и т. д.). Технологические меры направлены на то, что снизить вероятность совершения работниками организации ошибок в рамках полномочий и прав, которые им предоставлены.
Например: повторный ввод ответственных данных, инициализация ответственных операций при наличии разрешения вышестоящих сотрудников, процедуры проверки соответствия реквизитов входящих и исходящих сообщений и т. д.
Организационные
К этой категории мер информационной безопасности относят защитные меры административно-процедурного характера, с помощью которых осуществляется регламентация процессов работы систем обработки информации, эксплуатации их ресурсов, деятельности сотрудников, порядка взаимодействия пользователей и работников организации с информационными системами так, чтобы в максимальной степени затруднить или исключить вероятность реализации угроз безопасности, либо уменьшить объемы возможных потерь при их реализации.
Физические
Физические меры обеспечения информационной безопасности базируются на использовании всевозможных электронных, электронно-механических, механических устройств и конструкций, основное предназначение которых – формирование действенных физических препятствий на вероятных путях проникновения и получения доступа потенциальными нарушителями к компонентам информационной системы и защищаемым данным.
К физическим мерам информационной безопасности также можно отнести средства визуального наблюдения, связи, охранной сигнализации.
Технические
Подобные меры информационной безопасности представлены в виде разного электронного оборудования и специализированного программного обеспечения, выполняющих защитные функции (совместно с иными средствами защиты информации или самостоятельно).
Основные меры безопасности
К наиболее важным мерам обеспечения информационной безопасности также принято относить:
- криптографическая защита;
- выявление кибератак и формирование нескольких уровней защиты от них;
- разграничение доступа к системам с защищаемой информацией;
- использования для защиты инфосистемы межсетевых экранов;
- использование лицензионного антивирусного ПО;
- резервное копирование информации и приложения;
- обеспечение защиты от утечек информации;
- протоколирование, аудит;
- защита данных, которые передаются по проводным и беспроводным сетям.
Что можно отнести к правовым мерам информационной безопасности
Статья 16. Защита информации
1. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на:
1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;
2) соблюдение конфиденциальности информации ограниченного доступа;
3) реализацию права на доступ к информации.
2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.
3. Требования о защите общедоступной информации могут устанавливаться только для достижения целей, указанных в пунктах 1 и 3 части 1 настоящей статьи.
4. Обладатель информации, оператор информационной системы в случаях, установленных законодательством Российской Федерации, обязаны обеспечить:
1) предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации;
2) своевременное обнаружение фактов несанкционированного доступа к информации;
3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;
4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;
5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;
6) постоянный контроль за обеспечением уровня защищенности информации;
7) нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации.
(п. 7 введен Федеральным законом от 21.07.2014 N 242-ФЗ)
5. Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям.
6. Федеральными законами могут быть установлены ограничения использования определенных средств защиты информации и осуществления отдельных видов деятельности в области защиты информации.