2. Защита данных
Защита данных, защита информации [data protection] - совокупность мер, обеспечивающих защиту прав собственности владельцев информационной продукции, в первую очередь - программ, баз и банков данных от несанкционированного доступа, использования, разрушения или нанесения ущерба в какой-либо иной форме.
Уже в первых публикациях по защите информации были изложены основные постулаты, которые не утратили своей актуальности и по сей день
Первый постулат гласит: абсолютно надежную, непреодолимую защиту создать нельзя. Система защиты информации может быть в лучшем случае адекватна потенциальным угрозам. Поэтому при планировании защиты необходимо представлять, кого и какая именно информация может интересовать, какова ее ценность для вас и на какие финансовые жертвы ради нее способен пойти злоумышленник
Из первого постулата вытекает второй: система защиты информации должна быть комплексной, т е использующей не только технические средства защиты, но также административные и правовые.
Третий постулат состоит в том, что система защиты информации должна быть гибкой и адаптируемой к изменяющимся условиям. Главную роль в этом играют административные (или организационные) мероприятия, - такие, например, как регулярная смена паролей и ключей, строгий порядок их хранения, анализ журналов регистрации событии в системе, правильное распределение полномочий пользователей и многое другое. Человек, отвечающий за все эти действия, должен быть не только преданным сотрудником, но и высококвалифицированным специалистом как в области технических средств защиты, так и в области вычислительных средств вообще[13].
Сегодня известно много мер, направленных на предупреждение преступления. Выделим из них три: технические, правовые и организационные.
К техническим мерам можно отнести:
· защиту от несанкционированного доступа к системе, резервирование особо важных компьютерных подсистем;
· организацию вычислительных сетей с возможностью перераспределения ресурсов в случае нарушения работоспособности отдельных звеньев;
· установку оборудования обнаружения и тушения пожара, оборудования обнаружения воды;
· принятие конструкционных мер защиты от хищений, саботажа, диверсий, взрывов;
· установку резервных систем электропитания, оснащение помещений замками, установку сигнализации и многое другое.
К правовым мерам следует отнести:
· разработку норм, устанавливающих ответственность за компьютерные преступления,
· защиту авторских прав программистов,
· совершенствование уголовного и гражданского законодательства, а также судопроизводства.
К организационным мерам относят:
· охрану вычислительного центра;
· тщательный подбор персонала, исключение случаев ведения особо важных работ только одним человеком;
· наличие плана восстановления работоспособности центра после выхода его из строя;
· организацию обслуживания вычислительного центра посторонней организацией или лицами, не заинтересованными в сокрытии фактов нарушения работы центра;
· универсальность средств защиты от всех пользователей (включая высшее руководство);
· возложение ответственности на лиц, которые должны обеспечить безопасность центра, выбор места расположения центра и т.п.
Методы физической защиты данных.
При рассмотрении проблем защиты данных прежде всего возникает вопрос о классификации сбоев и нарушений прав доступа, которые могут привести к уничтожению или нежелательной модификации данных.
Одним из эффективных способов сохранения конфиденциальности информации является ее кодирование (шифрование). Делается это с помощью специальных криптографических программ, которые кодируют и/или декодируют содержимое файлов с применением шифра.
В качестве примера можно привести одно из наиболее сильных средств криптографической защиты данных программный пакет PGP (Pretty Good Privacy).
PGP реализует технологию криптографии с использованием ключей: пользователь генерирует пару виртуальных ключей, состоящую из закрытого ключа и открытого ключа - чисел, связанных определенным математическим соотношением.
Закрытый (секретный) ключ остается в исключительном доступе владельца и хранится в локальном файле, защищенном паролем. Он используется для расшифровки зашифрованной информации, а также для ее шифрования. Открытый ключ используется только для шифрования информации: с его помощью нельзя произвести дешифровку.
Открытые ключи не нужно держать в тайне: математика используемого криптографического алгоритма такова, что по открытому ключу вычислительно невозможно восстановить закрытый. Обычно вы опубликовываете свой открытый ключ, делая его доступным любому, кто захочет послать вам зашифрованное сообщение. Такой человек зашифрует сообщение вашим открытым ключом, при этом ни он сам, ни кто другой не могут расшифровать шифрованное сообщение - Только тот человек, который имеет секретный ключ, соответствующий открытому ключу, может расшифровать сообщение. Очевидно, что секретный ключ должен храниться в секрете своим обладателем.
Огромным преимуществом такого способа шифровки является то, что в отличие от обычных методов шифрования, нет необходимости искать безопасный способ передачи ключа адресату. Другой полезной чертой таких криптосистем является возможность создать цифровую "подпись" сообщения, зашифровав его своим секретным ключом. Теперь, с помощью вашего открытого ключа любой сможет расшифровать сообщение и таким образом убедиться, что его зашифровал действительно владелец секретного ключа[14].
Вы можете опубликовать свой публичный ключ на вашей Web странице, или послать его электронной почтой своему другу. Ваш корреспондент зашифруют сообщение с использованием вашего открытого ключа и отправит его вам. Прочесть его сможете только вы с использованием секретного ключа. Даже сам отправитель не сможет расшифровать адресованное вам сообщение, хотя он сам написал его 5 минут назад. Более того, согласно заявлению экспертов в области криптографии алгоритм шифрования, применяемый в PGP, делает практически невозможной расшифровку информации без закрытого ключа. Уильям Кроуэлл, заместитель директора агентства национальной безопасности США, так охарактеризовал надежность PGP: "Если все персональные компьютеры мира (около 260 млн.) заставить работать с единственным сообщением, зашифрованным PGP, расшифровка такого сообщения в среднем потребует времени, в 12 миллионов раз превышающего возраст нашей Вселенной (!)". Даже если сделать скидку на возможно завышенный оптимизм американского чиновника, все равно остается основание говорить о большом запасе надежности данной системы.
Однако подвергать шифрованию абсолютно всю информацию - дело весьма трудоемкое и дорогостоящее. В основном в зашифрованном виде производится хранение информации - шифруются архивы, базы данных. Но при работе с информационными хранилищами на определенном этапе происходит дешифрация данных и ее передача в открытом виде. В этот момент возможные сбои вычислительных систем чреваты серьезными последствиями. Рассмотрим наиболее уязвимые места вычислительных систем.
Кабельная система остается главной “ахилессовой пятой” большинства локальных вычислительных сетей: по данным различных исследований, именно кабельная система является причиной более чем половины всех отказов сети.
Наилучшим образом является использование так называемых структурированных кабельных систем, это означает, что кабельную систему можно разделить на несколько уровней в зависимости от назначения и месторасположения компонентов кабельной системы.
Системы электроснабжения. Наиболее надежным средством предотвращения потерь информации при кратковременном отключении электроэнергии в настоящее время является установка источников бесперебойного питания. Различные по своим техническим и потребительским характеристикам, подобные устройства могут обеспечить питание всей локальной сети или отдельной компьютера в течение промежутка времени, достаточного для восстановления подачи напряжения или для сохранения информации на магнитные носители. Большинство источников бесперебойного питания одновременно выполняет функции и стабилизатора напряжения, что является дополнительной защитой от скачков напряжения в сети. Многие современные сетевые устройства - серверы, концентраторы, мосты и т.д. - оснащены собственными дублированными системами электропитания.
Системы архивирования и дублирования информации. Организация надежной и эффективной системы архивации данных является одной из важнейших задач по обеспечению сохранности информации в сети. В крупных корпоративных сетях наиболее предпочтительно организовать выделенный специализированный архивационный сервер. Хранение архивной информации, представляющей особую ценность, должно быть организовано в специальном охраняемом помещении. Специалисты рекомендуют хранить дубликаты архивов наиболее ценных данных в другом здании, на случай пожара или стихийного бедствия.
Защита от стихийных бедствий. Основной и наиболее распространенный метод защиты информации и оборудования от различных стихийных бедствий - пожаров, землетрясений, наводнений и т.д. - состоит в хранении архивных копий информации или в размещении некоторых сетевых устройств, например, серверов баз данных, в специальных защищенных помещениях, расположенных, как правило, в других зданиях или, реже, даже в другом районе города или в другом городе.
Заключение
Информация играет особую роль в процессе развития цивилизации. Владение информационными ресурсами создает предпосылки прогрессивного развития общества. Искажение информации, блокирование процесса ее получения или внедрение ложной информации, способствуют принятию ошибочных решений.
Вместе с тем, информация это весьма специфический продукт, который может быть как в материальном, так и в нематериальном (нефиксированном) виде. Поэтому, без четких границ, определяющих информацию, как объект права, применение любых законодательных норм по отношению к ней - весьма проблематично.
До недавнего времени это было довольно важной причиной, усложняющей регулирование правовых отношений в информационной сфере.
Основные гарантии информационных прав содержатся в Конституции РФ. Несмотря на то, что Конституция является законом прямого действия, применить ее положения к отдельным видам отношений без последующей конкретизации было бы затруднительно.
Отдельные виды отношений регулируются специальными законами, которые, как правило, так же не содержат норм, непосредственно устанавливающих правила информационного взаимодействия.
Правила информационного взаимодействия, возникающего в ходе осуществления конкретных отношений, регулируются на уровне постановлений Правительства, либо ведомственных нормативных актов. При этом, на данном уровне, как правило, создается нормативный акт, обязательный для участников этих отношений, а его устанавливаемые в нем правила доводятся до сотрудников или структурных подразделений соответствующего государственного органа путем издания инструкции или рассылки письма.
Список литературы
1. Федеральный закон «Об информации, информатизации и защите информации» от 20 февраля 1995 года N 24-ФЗ;
2. Закон «О правовой охране топологий интегральных микросхем» от 23.09.92 г. N 3526-I
3. Закон «Об участии в международном информационном обмене» от 5.06.1996 г. N 85-ФЗ
4. Закон Российской Федерации «О правовой охране программ для электронных вычислительных машин и баз данных» от 23 сентября 1992 года №3523-1;
5. Закон «О связи» от 16 февраля 1995 г. N 15-ФЗ
6. Закон «О средствах массовой информации» от 27.12.91 г. N 2124-I
7. Закон «О Федеральных органах правительственной связи и информации» от 19.02.92 N 4524-1
8. Закон «О государственной тайне» от 21 июля 1993 г. N 5485-1
9. Закон «Об обязательном экземпляре документов» от 29 декабря 1994 г. N 77-ФЗ
10. Закон «О Государственной автоматизированной системе Российской Федерации «Выборы» от 10 января 2003 г. N 20-ФЗ
11. Крылов В.В. Информационные компьютерные преступления. М.: ИнфраМ-Норма, 2007.
12. Ведеев Д.В. Защита данных в компьютерных сетях. - М., 2005;
13. Копылов В.А. Информационное право. - М.: Юристъ, 2007;
14. Гайкович В.Ю «Основы безопасности информационных технологий», Москва, «Инфо-М», 2008
15. «Как остановить компьютерное пиратство?» (Симкин Л., «Российская юстиция», 2006, N 10)
16. «Информация как элемент криминальной деятельности» (Крылов В.В., «Вестник Московского университета», Серия 11, Право, 2008, N 4)
17. Фоменков Г.В. «О безопасности в Internet» , «Защита информации. Конфидент», № 6, 2008.