Обеспечение безопасности информационных систем

В последние годы внимание к вопросам безопасности информационных систем значительно возросло, что обусловлено увеличением роли соответствующих ресурсов в информационном противоборстве, расширением использования сетей, а следовательно и возможностей несанкционированного доступа к хранимой и передаваемой информации.

Информация становится гораздо более уязвимой из-за широкого развития средств, методов, форм автоматизации процессов хранения и обработки, а также массового применения персональных компьютеров, в которых она может быть незаконно изменена, похищена или уничтожена.

Государственные информационные системы (ГИС)

В РФ существует порядка 100 федеральных и региональных государственных информационных систем (ГИС).

Организации, работающие с ними, обязаны выполнять требования к защите обрабатываемых данных. Работа информационных систем в РФ определяется Федеральным законом от 27.07.2006 г. № 149-ФЗ (ред. от 21.07.2014 г.) "Об информации, информационных технологиях и о защите информации" (27 июля 2006 г.). В зависимости от порядка ее предоставления или распространения она подразделяется на четыре вида (рис.1).

Рис. 1. Виды информации в государственных информационных системах

ГИС создаются, модернизируются и эксплуатируются с учетом требований, предусмотренных законодательством РФ о контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд, либо законодательством РФ о государственно-частном партнерстве, о муниципально-частном партнерстве, законодательством о концессионных соглашениях, а в случаях, если эксплуатация ГИС осуществляется без привлечения средств бюджетов бюджетной системы РФ, в соответствии с иными федеральными законами.

К операторам ГИС, в которых ведется обработка информации ограниченного доступа (не содержащей сведений, составляющих государственную тайну), предъявляются требования приказа ФСТЭК России от 11 февраля 2013 г. № 17 "Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах". Организационные и технические меры защиты информации ГИС определяются ее масштабом, назначением или распределенностью сегментов.

Различные масштабы ГИС

Федеральный масштаб имеют ГИС, функционирующие на территории РФ (в пределах федерального округа) и имеющие сегменты в субъектах РФ, муниципальных образованиях и (или) организациях. Региональный масштаб имеют ГИС, функционирующие на территории субъекта РФ и имеющие сегменты в одном или нескольких муниципальных образованиях и (или) подведомственных и иных организациях.

Объектовый масштаб имеют ГИС, функционирующие на объектах одного федерального органа государственной власти, органа государственной власти субъекта РФ, муниципального образования и (или) организации и не имеющие сегментов в территориальных органах, представительствах, филиалах и иных организациях.

Защита информации в ГИС

Мероприятия для обеспечения защиты информации приведены на рис. 2.

Рис. 2. Мероприятия для обеспечения защиты информации

Они также предусматривают выполнение оператором мероприятия, приведенного в п. 6, которое должно быть описано в документации на ГИС и включает:

• архивирование информации, содержащейся в ГИС;
• уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации.

К организационным и техническим мерам защиты информации, реализуемым в ГИС в рамках ее системы защиты информации, в зависимости от угроз безопасности информации, используемых информационных технологий и структурно-функциональных характеристик информационной системы, согласно документам ФСТЭК России, предъявляются требования, приведенные на рис. 3.

Рис. 3. Требования к организационным и техническим мерам защиты информации

С учетом угроз безопасности информации применительно ко всем объектам и субъектам на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации и облачных вычислений, меры защиты информации выбираются и реализуются в ГИС в рамках ее системы защиты информации.

Классы защищенности ГИС

Появление требований ФСТЭК к мобильным устройствам (в части ноутбуков, нетбуков, планшетов, смартфонов), требования к которым ранее не были формализованы в других документах ФСТЭК, безусловно, является положительным моментом. Согласно требованиям ФСТЭК установлены четыре класса защищенности ГИС, определяющие уровни защищенности содержащейся в ней информации. Самый высокий, первый, – К1, а самый низкий класс, четвертый, – К4. Класс защищенности определяется в зависимости от уровня значимости информации (УЗ), обрабатываемой в этой ГИС, и ее масштаба (федерального, регионального, объектового).

Класс защищенности (К) = [уровень значимости информации; масштаб системы]. Уровень значимости информации определяется степенью возможного ущерба для обладателя информации (заказчика) и (или) оператора от нарушения конфиденциальности (неправомерные доступ, копирование, предоставление или распространение), целостности (неправомерные уничтожение или модифицирование) или доступности (неправомерное блокирование) информации.

Тогда УЗ = [(конфиденциальность, степень ущерба) (целостность, степень ущерба) (доступность, степень ущерба)], где степень возможного ущерба определяется обладателем информации (заказчиком) и (или) оператором самостоятельно экспертным или иными методами и может быть:

1. Высокой, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны существенные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) ГИС и (или) оператор (обладатель информации) не могут выполнять возложенные на них функции.
2. Средней, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны умеренные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) ГИС и (или) оператор (обладатель информации) не могут выполнять хотя бы одну из возложенных на них функций.
3. Низкой, если в результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны незначительные негативные последствия в социальной, политической, международной, экономической, финансовой или иных областях деятельности и (или) ГИС и (или) оператор (обладатель информации) могут выполнять возложенные на них функции с недостаточной эффективностью или выполнение функций возможно только с привлечением дополнительных сил и средств.

При обработке в ГИС двух и более видов информации (служебная тайна и иные виды информации ограниченного доступа) уровень значимости информации определятся отдельно для каждого вида информации. Итоговый уровень значимости информации устанавливается по наивысшим значениям степени возможного ущерба, определенным для конфиденциальности, целостности, доступности каждого вида информации. Класс защищенности ГИС определяется в соответствии с табл. 1.

Таблица 1

Результаты классификации ГИС оформляются соответствующим актом.

В приложении № 2 к Требованиям о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, приведен состав мер защиты информации и их базовые наборы для соответствующего класса защищенности информационной системы. В табл. 2 приведен фрагмент таблицы из вышеназванного приложения.

Таблица 2

Знак + означает, что данная мера защиты информации включена в базовый набор мер для соответствующего класса защищенности информационной системы.

Меры защиты информации, не обозначенные знаком +, применяются при адаптации базового набора мер и уточнении адаптированного базового набора мер, а также при разработке компенсирующих мер защиты информации в информационной системе соответствующего класса защищенности.

Реализация технических мер защиты информации (по классам защищенности ГИС)

Технические меры защиты информации реализуются посредством применения средств защиты информации, имеющих необходимые функции безопасности, на основании нормативных документов ФСТЭК. В ГИС 1 и 2 классов защищенности применяются средства защиты информации, программное обеспечение которых прошло проверку не ниже чем по четвертому уровню контроля отсутствия недекларированных возможностей, а также:

• средства вычислительной техники не ниже 5 класса;
• системы обнаружения вторжений и средства антивирусной защиты не ниже 4 класса;
• межсетевые экраны не ниже 3 класса в случае взаимодействия ГИС с информационно-телекоммуникационными сетями международного информационного обмена и не ниже 4 класса в случае отсутствия взаимодействия ГИС с информационно-телекоммуникационными сетями международного информационного обмена.

В ГИС третьего класса защищенности применяются:

• средства вычислительной техники не ниже 5 класса;
• системы обнаружения вторжений и средства антивирусной защиты не ниже 4 класса в случае взаимодействия ГИС с информационно-телекоммуникационными сетями международного информационного обмена и не ниже 5 класса в случае отсутствия взаимодействия ГИС с информационно-телекоммуникационными сетями международного информационного обмена;
• межсетевые экраны не ниже 3 класса в случае взаимодействия ГИС с информационно-телекоммуникационными сетями международного информационного обмена и не ниже 4 класса в случае отсутствия взаимодействия ГИС с информационно-телекоммуникационными сетями международного информационного обмена.

В ГИС четвертого класса защищенности применяются:

• средства вычислительной техники не ниже 5 класса;
• системы обнаружения вторжений и средства антивирусной защиты не ниже 5 класса;
• межсетевые экраны не ниже 4 класса.

Защита ГИС представляет собой комплекс мероприятий для обеспечения защиты информации, обрабатываемых в них, и состоит из этапов, указанных в табл. 3.

Таблица 3

Угрозы в информационной сфере

Рассмотренные выше положения характеризуют состояние законодательной базы, технические и организационные меры по защите информации, предпринимавшиеся до настоящего времени. Однако в условиях гибридной войны особое значение приобретают угрозы в информационной сфере.

Внешние угрозы

Стратегия национальной безопасности РФ не дает точного определения угрозы в информационной сфере, но называет некоторые из них:

• стремление ряда стран к доминированию в мировом информационном пространстве;
• вытеснение государства с внутреннего и внешнего информационного рынка;
• разработка рядом государств концепции информационных войн;
• нарушение нормального функционирования информационных систем;
• нарушение сохранности информационных ресурсов, получение несанкционированного доступа к ним.

Это внешние угрозы, которые обусловлены конкурентным характером развития межгосударственных и международных отношений.

Внутренние угрозы, их источники

Внутренние угрозы связаны с недостаточно быстрым и четким проведением экономических, социально-политических преобразований, а также актуальных изменений в сфере ИБ.

Концепция национальной безопасности называет их в качестве предпосылок возникновения угроз. К источникам внутренних угроз относятся:

• отставание РФ в сфере информатизации органов государственной власти;
• несовершенство государственной системы в сфере формирования и реализации единой государственной политики обеспечения ИБ;
• криминализация общественных отношений, рост организованной преступности;
• увеличение масштабов терроризма;
• обострение межнациональных и осложнение внешних отношений.

Средства нейтрализации информационных угроз

Для нейтрализации информационных угроз существует исторически сложившаяся система сохранения государственной тайны, включающая подсистемы:

• криптографической сети конфиденциальной связи;
• противодействия иностранным техническим разведкам;
• обеспечения режима секретности на закрытых государственных объектах.

В сферу интересов иностранных технических разведок наряду с традиционными вовлекаются вопросы государственного управления, технологий, финансов, торговли, ресурсов, доступ к которым был открыт в связи с конверсией, развитием международных интеграционных процессов, внедрением компьютерных технологий.

Государственная политика в сфере информационной безопасности

Информационная среда оказывает влияние на национальную безопасность, так как внедрение новейших технологий во все сферы жизнедеятельности личности, общества и государства создает, наряду с большим количеством положительных моментов, и предпосылки для возникновения новых вызовов и угроз. Убеждение в том, что информационное оружие в состоянии обеспечить разрешение потенциальных военных конфликтов на ранней стадии и даже исключить применение обычных вооруженных сил, приобретает в мире все более широкое распространение.

Пилотный проект для ГИС

В настоящее время идет поиск эффективных направлений, форм и методов обеспечения информационной безопасности, нейтрализации угроз безопасности информации. Насколько большое внимание руководством страны уделяется национальной безопасности, суверенитету РФ и их основе – информационной безопасности, видно из того, что первым документом, опубликованным после утверждения ЦИК итогов голосования по вопросу поправок в Конституцию, стало постановление Правительства РФ № 963 от 30 июня 2020 г. "О реализации пилотного проекта по использованию российских криптографических алгоритмов и средств шифрования в государственных информационных системах".

Целями пилотного проекта являются:

• организация электронного взаимодействия федеральных органов исполнительной власти с гражданами и организациями посредством информационных систем, с использованием средств информационных технологий, содержащих российские криптографические алгоритмы и средства шифрования;
• подготовка проектов актов, необходимых для внедрения на территории Российской Федерации средств информационных технологий, содержащих российские криптографические алгоритмы и средства шифрования;
• переход государственных органов, организаций и граждан на электронное взаимодействие с использованием сертифицированных по требованиям ФСБ России шифровальных (криптографических) средств в рамках работы информационных систем;
• определение требований к средствам информационных технологий, содержащим российские криптографические алгоритмы и средства шифрования, предназначенным для осуществления перехода федеральных органов исполнительной власти, органов государственной власти субъектов РФ на использование российских криптографических алгоритмов и средств шифрования в рамках исполнения полномочий при электронном взаимодействии с гражданами и организациями;
• определение возможности использования инфраструктуры информационной системы головного удостоверяющего центра при установлении криптографически защищенного соединения, до введения в промышленную эксплуатацию национального удостоверяющего центра.

В проекте участвуют Единый портал госуслуг, ГИС ЖКХ, ЕГИССО и ФГИС "Реестры программ для ЭВМ и баз данных". В рамках проекта планируется перевести госорганы, организации и граждан на электронное взаимодействие с использованием отечественных сертифицированных шифровальных (криптографических) средств.

Информационная безопасность ТЭК: предлагаемая коррекция законодательных актов

Деятельность объектов топливно-энергетического комплекса существенно влияет на экономику РФ и подчас определяет политические решения, поэтому в условиях гибридной войны требуется повышенное внимание к организации обеспечения их информационной безопасности. В связи с этим необходимо:

1. Внести в Федеральный закон от 21.07.2011 г. № 256-ФЗ "О безопасности объектов топливно-энергетического комплекса" изменение, а именно в ст. 11 ч. 1 изложить в следующей редакции: "В целях обеспечения безопасности объектов топливно-энергетического комплекса субъекты топливно-энергетического комплекса создают на этих объектах системы защиты информации и информационно-телекоммуникационных сетей с использованием средств информационных технологий, содержащих российские криптографические алгоритмы и средства шифрования, от неправомерных доступа, уничтожения, модифицирования, блокирования информации и иных неправомерных действий и обеспечивают функционирование таких систем. Создание таких систем предусматривает планирование и реализацию комплекса технических и организационных мер, обеспечивающих в том числе антитеррористическую защищенность объектов топливно-энергетического комплекса".
2. Внести в постановление Правительства РФ от 5 мая 2012 г. № 458 "Об утверждении Правил по обеспечению безопасности и антитеррористической защищенности объектов топливно-энергетического комплекса" изменения – требования раздела "Требования к системе сбора и обработки информации" дополнить пунктом следующего содержания: "Организация обеспечения информационной безопасности, разработка и реализация мер, исключающих несанкционированный доступ к информационным ресурсам объекта (территории), осуществляются с использованием средств информационных технологий, содержащих российские криптографические алгоритмы и средства шифрования".

Информационная безопасность гуманитарной сферы

Наряду с принятием решений в области обеспечения информационной безопасности ГИС в условиях гибридной войны требуется повышенное внимание к организации обеспечения информационной безопасности в гуманитарной сфере, выработке эффективных мер обеспечения морально-психологической защищенности.

Существенным отличием сегодняшней ситуации от относительно недавних времен является то, что сейчас российское общество вынуждено вернуться к утраченной за последние десятилетия, но стихийно возрожденной в условиях пандемии исключительно важной консолидации общественности.

Необходимость комплексной организации обеспечения информационной безопасности

С учетом того что в условиях гибридной войны деятельность объектов самых разных сфер деятельности требует повышенного внимания к организации обеспечения информационной безопасности, необходима разработка и реализация новых, более жестких, мер, исключающих несанкционированный доступ к их информационным ресурсам, разработка типовых средств инженерной укрепленности специальных помещений для хранения и работы со служебной информацией ограниченного доступа. В первую очередь это относится к данным, составляющим различные виды тайны, которые уже во время пандемии использовались иностранными специальными службами и пропагандистскими структурами для проведения информационных кампаний по дискредитации нашей страны.

Организация обеспечения безопасности такой информации должна носить комплексный характер и основываться на результатах оценки рисков информационной безопасности. Оценка рисков при этом осуществляется с целью прогнозирования возможного ущерба, связанного с масштабами реализуемых угроз, и, соответственно, оценки необходимого размера инвестиций на построение систем защиты информации данного вида для объектов определенной отрасли. Для эффективного управления рисками информационной безопасности должны использоваться различные варианты действий:

• снижение риска – уровень риска снижается путем выбора меры и средств контроля и управления так, чтобы риск мог быть оценен как допустимый;
• сохранение риска – принятие риска, при условии, что он отвечает политике государства и критериям, касающимся принятия риска;
• предотвращение – отказ от деятельности или условия, вызывающего конкретный риск;
• перенос риска – риск перенесен на специализированные структуры, которые могут эффективно осуществлять управление конкретным риском.

Защита информации в условиях гибридной войны

Для обеспечения защиты информации в условиях гибридной войны должны в полном объеме строго выполняться следующие шаги по внедрению, контролю и поддержке системы управления информационной безопасностью, включающие:

• проведение классификации объектов и определение их критичности;
• оценку рисков информационной безопасности;
• выбор и реализацию соответствующих требований обеспечения информационной безопасности, снижающих уровень рисков;
• осуществление контроля, поддержки и повышения эффективности средств управления информационной безопасностью.

Информационные атаки

В условиях гибридной войны особую важность приобретает деятельность по обнаружению, предупреждению и ликвидации последствий информационных атак в гуманитарной сфере с использованием Интернета, систем объединенных сетей для хранения, обработки и передачи информации, а также СМИ, задействованных для реализации атак на широкие массы пользователей. Это необходимо для выявления в социальных медиа и традиционных СМИ фальшивых новостей, информационной мистификации, намеренного распространения дезинформации с целью введения населения в заблуждение.
Информационные атаки необходимо рассматривать как акты незаконного вмешательства в информационную сферу (АНВ ИС), противоправные действия (бездействие), в том числе классифицируемые как теракты, угрожающие национальной и общественной безопасности, повлекшие за собой причинение вреда жизни и здоровью людей, материальный ущерб.

Акты незаконного вмешательства в информационные системы и методы борьбы с ними

Анализ угроз позволяет выделить источники и движущие силы АНВ ИС, способы и последствия для определения величины ущерба и выработки мер противодействия. Это дает возможность вычленить объекты, приоритетно подвергающиеся АНВ ИС, определить интенсивность АНВ ИС, замаскированных под новости. С помощью анализа взаимосвязанных угроз можно вычислить интенсивность нарастания, критическую величину синергического эффекта их воздействия и момент перехода от потенциальных угроз к прямым. При обработке АНВ ИС производится:

• фиксация (от малозначимого фейка до побуждения к правовому нигилизму, к действиям, вызывающим транспортный коллапс в городе и массовые беспорядки, к проведению терактов);
• выделение важных (корневых) АНВ, формирование базы данных обо всех АНВ;
• корреляция (определение степени связи различных АНВ, поиск причины, дающей возможность их проводить);
• определение способа реагирования (создание базы данных и базы знаний АНВ, требующих незамедлительных действий).

Все это определяет архитектуру системы обнаружения, предупреждения и ликвидации последствий информационных атак в гуманитарной сфере. Практические действия экспертной группы, работающей в составе этой системы: первичный анализ и классификация информационных атак в гуманитарной сфере с использованием Интернета, расследование и определение связей с другими атаками, принятие мер (блокирование и выдача рекомендаций для принятия мер к инициатору), обобщение и определение тенденций. Для выявления реализаторов АНВ ИС создаются модели нарушителя с помощью автоматизированной информационной системы. Система анализирует информационные атаки в гуманитарной сфере как деструктивные события и вырабатывает меры блокирования и контрпропаганды.

Заключение

Во время гибридной войны особое внимание приобретает четкая реализация контрольно-надзорной деятельности, которая в этих условиях становится не "карающим мечом", а экспертно-консультативной. Такой подход способствует формированию в обществе комфортной атмосферы и чувства морально-психологической защищенности.

Проведение системной политики в области информационной и кибербезопасности, своевременная оперативная корректировка законодательных актов и нормативных документов позволяют обеспечить надлежащий уровень национальной безопасности и являются средством его повышения.

Перечисленные выше проблемы свидетельствуют о необходимости коренного изменения подхода к информационной безопасности всего жизненного уклада государства и общества, информатизации, усиления координирующей роли государства и создания единого управляемого информационного пространства. В то же время принимаемые меры дают основания полагать, что в условиях гибридной войны руководством страны сделан еще один важный шаг по пути укрепления национальной безопасности РФ.

Опубликовано в журнале "Системы безопасности" №4/2021