Информация и способы её защиты. Защита информации. Понятие и сущность защиты информации

Понятие и сущность защиты информации

Предупреждение несанкционированного доступа к информации;

Создание условий, ограничивающих распространение информации;

Ограждение права собственника на владение и распоряжение информацией;

Предотвращение утечки, хищения, утраты, несанкционированного уничтожения, копирования, модификации, искажения, блокирования, разглашения информации, несанкционированных и непреднамеренных воздействий на нее;

Сохранение полноты, надежности, целостности, достоверности, конфиденциальности информации и т.д.

Методологической основой для раскрытия сущности и определения понятия защиты информации должно быть определение понятия защита в целом, безотносительно к предмету защиты.

В толковых словарях термин защита интерпретируется двояко: как процесс охраны, сбережения, спасения от кого, чего-нибудь неприятного, враждебного, опасного и как совокупность методов, средств и мер, принимаемых для предотвращения, предупреждения чего-то. Таким образом, содержательная часть в этих определениях по смыслу совпадает – это предотвращение, предупреждение чего-то опасного, враждебного. Если соотнести это положение с защитой информации, то самым опасным для собственника информации является нарушение установленного статуса информации, и поэтому содержательной частью защиты должно быть, предотвращение такого нарушения.

Нарушение статуса любой информации заключается в нарушении ее физической сохранности вообще либо у данного собственника (в полном или частичном объеме), структурной целостности, доступности для правомочных пользователей. Нарушение статуса конфиденциальной информации, в том числе составляющей государственную тайну, дополнительно включает в себя нарушение ее конфиденциальности (закрытости для посторонних лиц).

Вторая составляющая сущности защиты информации – способ реализации содержательной части – в толковых словарях, как уже отмечалось, представлена как процесс или как совокупность методов, средств и мероприятий.

Защита информации включает в себя определенный набор методов, средств и мероприятий, однако ограничивать способ реализации только этим было бы неверно. Защита информации должна быть системной, а в систему помимо методов, средств и мероприятий входят и другие компоненты: объекты защиты, органы защиты, пользователи информации. При этом защита не должна представлять собой нечто статичное, а являться непрерывным процессом. Но этот процесс не осуществляется сам по себе, а происходит в результате деятельности людей. Деятельность же, по определению, включает в себя не только процесс, но и цели, средства и результат. Защита информации не может быть бесцельной, безрезультатной и осуществляться без помощи определенных средств. Поэтому именно деятельность и должна быть способом реализации содержательной части защиты.

Защита информации – деятельность по предотвращению утраты и утечки конфиденциальной информации и утраты защищаемой открытой информации.

Цель защиты информации – желаемый результат защиты информации. Целью защиты информации может быть предотвращение ущерба собственнику, владельцу, пользователю информации в результате возможной утечки информации и/или несанкционированного и непреднамеренного воздействия на информацию.

Концепция информационной безопасности, как система взглядов на цели, способы обеспечения безопасности информации и средства ее защиты, должна в общем виде отвечать на три простых вопроса:

Что защищать?

От чего защищать?

Как защищать?

С вопросом «Что защищать?» связано понятие объекта защиты.

Объект защиты – информация или носитель информации, или информационный процесс, в отношении которых необходимо обеспечивать защиту в соответствии с поставленной целью защиты информации;

Объект защиты – информация, технические средства и технология ее обработки, в отношении которых необходимо обеспечить безопасность информации.

Ключевое свойство информации – ее ценность, то есть, стоимость ущерба от разрушения, потери или разглашения. Кроме того, спецификой информации является то, что она не исчезает при потреблении, не передается полностью при обмене (в отличие от денег она остается и у старого пользователя). С одной стороны, она является «неделимой», то есть имеет смысл только при достаточно полном объеме сведений, с другой стороны, качество ее повышается при добавлении новых достоверных данных, то есть можно проводить постепенное накапливание сведений и небольшими частями. Поэтому, прежде чем ответить на первый вопрос, необходимо четко разобраться, какая информация может потребовать защиты. (Это может быть, например, весь объем данных, накапливающийся и формирующийся в фирме, которые имеют коммерческую значимость, сведения о поставщиках и производителях, о продавцах и дилерах, о договорах и клиентах, планы фирмы, предельные цены, размеры премий дилерам и посредникам, имена и адреса сотрудников, себестоимость продукции, маркетинговые и аналитические исследования).

Следующим шагом должно стать разделение этих объектов защиты по степени ценности содержащейся в них информации и определение потенциально опасных систем, позволяющих получить к ним доступ. Поэтому все описанные средства несанкционированного съема информации привязаны к конкретному носителю, для работы с которым они предназначены. На основании вышеизложенного можно практически ответить на первый вопрос. Если хоть в общих чертах знать основные методы работы злоумышленников и возможности их аппаратуры, то это не займет много времени.

Многие службы безопасности крупных коммерческих структур успешно проводят операции по добыванию информации о потенциальных клиентах, партнерах или конкурентах. Они же жестко контролируют собственных сотрудников во избежание утечки своих секретов. Нельзя забывать, что интеграция России в международные организации, участие в совместных фирмах и проектах делает отечественных предпринимателей объектом внимания частных и даже государственных служб разведки Запада и Востока.

Вопрос «От чего защищать?» связан с понятием угрозы. Угроза – потенциальная возможность неправомерного преднамеренного или случайного воздействия, приводящее к потере или разглашению информации. Обычно выделяют внутренние и внешние источники угроз.

С вопросом «Как защитить информацию?» неотъемлемо связано понятие система защиты информации.

Система защиты информации – совокупность органов и/или исполнителей, используемая ими техника защиты информации, а также объекты защиты, организованные и функционирующие по правилам, установленным соответствующими правовыми, организационно-распорядительными и нормативными документами по защите информации.

Основными целями защиты информации являются:

Предотвращение утечки, хищения, утраты, искажения, подделки информации;

Предотвращение угроз безопасности личности, общества, государства;

Предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации;

Предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы;

Обеспечение правового режима документированной информации как объекта собственности;

Защита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах;

Сохранение государственной тайны документированной информации в соответствии с законодательством;

Обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологий и средств их обеспечения.

В соответствии с этими целями процесс защиты информации должен обеспечить поддержание ее целостности и конфиденциальности.

Классификация и характеристика основных методов и средств защиты

К настоящему времени разработано много различных средств, методов, мер и мероприятий, предназначенных для защиты информации. Сюда входят:

Аппаратные и программные средства,

Криптографическое закрытие информации,

Физические меры,

Организационные мероприятия,

Законодательные меры,

Морально-этические средства.

Иногда все эти средства защиты делятся на технические и нетехнические, причем, к техническим относят аппаратные и программные средства и криптографическое закрытие информации, а к нетехническим – все остальные.

Аппаратные средства – устройства, встраиваемые непосредственно в вычислительную технику, или устройства, которые сопрягаются с ней по стандартному интерфейсу. К аппаратным средствам защиты относятся различные электронные, электронно-механические, электронно-оптические устройства. Например, генераторы кодов, предназначенные для автоматического генерирования идентифицирующего кода устройства, устройства измерения индивидуальных характеристик человека (голоса, отпечатков) с целью его идентификации (биометрическая идентификация), и т.д. Особую и получающую наибольшее распространение группу аппаратных средств защиты составляют устройства для шифрования информации (криптографические методы).

Программные средства – это специальные программы и программные комплексы, предназначенные для защиты информации в ИС. К программным средствам защиты относятся специальные программы, которые предназначены для выполнения функций защиты и включаются в состав программного обеспечения систем обработки данных. Программная защита является наиболее распространенным видом защиты, чему способствуют такие положительные свойства данного средства, как универсальность, гибкость, простота реализации, практически неограниченные возможности изменения и развития и т.п.

Криптографическое закрытие (шифрование) информации заключается в таком преобразовании защищаемой информации, при котором по внешнему виду нельзя определить содержание закрытых данных. Криптографической защите специалисты уделяют особое внимание, считая ее наиболее надежной, а для информации, передаваемой по линии связи большой протяженности – единственным средством защиты информации от хищений.

Физические средства включают различные инженерные устройства и сооружения, препятствующие физическому проникновению злоумышленников на объекты защиты и осуществляющие защитуперсонала (личные средства безопасности), материальных средств и финансов, информации от противоправных действий. Примеры физических средств: замки на дверях, решетки на окнах, средства электронной охранной сигнализации и т.п.

Организационные средства осуществляют своим комплексом регламентацию производственной деятельности в ИС и взаимоотношений исполнителей на нормативно-правовой основе таким образом, что разглашение, утечка и несанкционированный доступ к конфиденциальной информации становится невозможным или существенно затрудняется за счет проведения организационных мероприятий. Комплекс этих мер реализуется группой информационной безопасности, но должен находиться под контролем первого руководителя.

Законодательные средства защиты определяются законодательными актами страны, которыми регламентируются правила пользования, обработки и передачи информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил.

Морально-этические средства защиты включают всевозможные нормы поведения, которые традиционно сложились ранее, складываются по мере распространения ИС и ИТ в стране и в мире или специально разрабатываются. Морально-этические нормы могут быть неписаные (например, честность) либо оформленные в некий свод (устав) правил или предписаний. Эти нормы, как правило, не являются законодательно утвержденными, но поскольку их несоблюдение приводит к падению престижа организации, они считаются обязательными для исполнения.

Мероприятия по защите информации:

Организационные – мероприятия ограничительного характера, сводящиеся к регламентации доступа и использования технических средств обработки информации.

Организационно-технические – обеспечивают блокирование возможных каналов утечки информации через технические средства с помощью специальных устройств, устанавливаемых на элементы конструкций зданий, помещений, технических средств обработки информации.

Технические – приобретение, установка и использование защищенных от различных воздействий технических средств обработки информации.

Принято различать следующие основные виды средств защиты :

Нормативно-правовые

Морально-этические

Организационные

Технические.

Нормативно-правовые – включают в себя законы и другие правовые акты, а также механизмы их реализации, регламентирующие информационные отношения в обществе.

Морально-этические – правила и нормы поведения, направленные на
обеспечение безопасности информации, не закрепленные законодательно или административно, но поддерживаемые в коллективах через традиции и механизм общественного мнения.

Организационные – правила, меры и мероприятия, регламентирующие вопросы доступа, хранения, применения и передачи информации, вводимые в действие административным путем. Без выполнения этих правил установка любых, даже самых дорогих, технических средств защиты обернется пустой тратой денег для организации, в которой не решены на должном уровне организационные вопросы. И это справедливо для любых каналов утечки.

Технические средства – это комплексы специального технического и программного обеспечения, предназначенные для предотвращения утечки обрабатываемой или хранящейся информации путем исключения несанкционированного доступа к ней с помощью технических средств съема.

Реальная система защиты включает в себя все перечисленные виды средств и, как правило, создается путем их интеграции. Главной трудностью в ее создании является то, что она одновременно должна удовлетворять двум группам прямо противоположных требований: обеспечивать надежную защиту информации и не создавать заметных неудобств. Обычно совместить эти требования удается только достаточно квалифицированному профессионалу. Кроме того, система защиты должна быть адекватна возможным угрозам, с обязательной оценкой как вероятности их появления, так и величины реального ущерба от потери или разглашения информации, циркулирующей в определенном носителе.

Защищаемая информация

Защищаемая информация – информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.

К основным объектам информационной безопасности государства относят:

Информационные ресурсы, содержащие сведения, составляющие государственную тайну, коммерческую тайну и другую конфиденциальную информацию;

Систему формирования распространения и использования информационных ресурсов, включающую в себя информационные системы различного класса и назначения, информационные технологии, регламенты и процедуры сбора, обработки, хранения и передачи информации, научно-технический и обслуживающий персонал;

Информационную инфраструктуру, включая центры обработки и анализа информации, каналы информационного обмена и телекоммуникации, механизмы обеспечения функционирования телекоммуникационных систем и сетей, в том числе системы и средства защиты информации.

Информационная безопасность перечисленных объектов создает условия надежного функционирования государственных и общественных институтов, юридических лиц и отдельных граждан. Средства ее обработки, накопления, хранения и передачи постоянно совершенствуются. Информация как категория, имеющая действительную или потенциальную ценность, стоимость, как и любой другой вид ценности, охраняется, защищается ее собственником или владельцем.

Собственник защищаемой информации – юридическое или физическое лицо, которое по своему усмотрению владеет, пользуется и распоряжается принадлежащей ему информацией.

Владелец защищаемой информации – юридическое или физическое лицо, которое имеет полномочия владеть, пользоваться и распоряжаться данной информацией по договору с собственником, в силу закона или решения административных органов.

Каждое государство защищает свои информационные ресурсы. Информационные ресурсы государства в самом первом приближении могут быть разделены на три большие группы:

Информация открытая – на распространение и использование которой не имеется никаких ограничений;

Информация запатентованная – охраняется внутригосударственным законодательством или международными соглашениями как объект интеллектуальной собственности;

Информация, «закрываемая» ее собственником, владельцем и защищаемая с помощью отработанных механизмов защиты государственной, коммерческой или другой охраняемой тайны. К этому виду относят обычно информацию, не известную другим лицам, которая или не может быть запатентована или умышленно не патентуется с целью избежания или уменьшения риска завладения этой информацией соперниками, конкурентами.

Защищают и охраняют, как правило, не всю или не всякую информацию, а наиболее важную, ценную для ее собственника, ограничение распространения которой приносит ему какую-то пользу или прибыль, возможность эффективно решать стоящие перед ним задачи.

Какую информацию относят к защищаемой?

Во-первых, секретную информацию. К секретной информации в настоящее время принято относить сведения, содержащие государственную тайну.

Во-вторых, конфиденциальную информацию. К этому виду защищаемой информации относят обычно сведения, содержащие коммерческую тайну, а также тайну, касающуюся личной (неслужебной) жизни и деятельности граждан.

Таким образом, под защищаемой информацией понимают сведения, на использование и распространение которых введены ограничения их собственником.

Защищаемая информация имеет следующие отличительные признаки:

Засекречивать информацию, то есть ограничивать к ней доступ, может только ее собственник (владелец) или уполномоченные им на то лица;

Чем важнее для собственника информация, тем тщательнее он ее защищает. А для того чтобы все, кто сталкивается с этой защищаемой информацией, знали, что одну информацию необходимо оберегать более тщательно, чем другую, собственник определяет ей различную степень секретности;

Защищаемая информация должна приносить определенную пользу ее собственнику и оправдывать затрачиваемые на ее защиту силы и средства.

Таким образом, одним из основных признаков защищаемой информации являются ограничения, вводимые собственником информации на ее распространение и использование.

Носители защищаемой информации

Информацию можно рассматривать с точки зрения отображения ее на каких-то или в каких-то материальных (физических) объектах, которые длительное время могут сохранять ее в относительно неизменном виде или переносить ее из одного места в другое.

Носители информации – материальные объекты, в том числе физические поля, в которых, информация находит свое отображение в виде символов, образов, сигналов, технических решений и процессов, создавая тем самым возможность для ее накопления, хранения, передачи и использования.

Для записи как секретной, так и несекретной информации используются одни и те же носители.

Как правило, носители секретной и конфиденциальной информации охраняются собственником этой информации. Это вызвано тем, что если к ним получит несанкционированный доступ соперник или лицо, от которого эта информация охраняется, то носитель может стать источником информации, из которого это лицо может незаконно добыть интересующую его и защищаемую от него информацию.

Носители защищаемой информации можно классифицировать следующим образом:

Человек;

Документы;

Изделия (предметы);

Вещества и материалы;

Электромагнитные, тепловые, радиационные и другие излучения;

Гидроакустические, сейсмические и другие поля; геометрические формы строений, их размеры и т.п.

Мозг человека представляет собой исключительно сложную систему, хранящую и перерабатывающую информацию, поступающую из внешнего мира. Свойства мозга отражать и познавать внешний мир, накапливать в своей памяти колоссальные объемы информации, в том числе и секретной, естественно, ставят человека на первое место как носителя конфиденциальной информации. Человек как хранитель секретной и конфиденциальной информации обладает возможностью (кроме получения такой информации извне) генерировать новую информацию, в том числе секретную. У него как носителя защищаемой информации могут быть отмечены как позитивные черты, так и негативные.

Положительно то, что без согласия субъекта – носителя защищаемой информации, или, как еще говорят, секретоносителя, из его памяти, как правило, никакая информация не может быть извлечена. Он может давать оценку важности имеющейся у него в памяти информации и в соответствии с этим обращаться с нею. Он может ранжировать и потребителей защищаемой информации, то есть знать, кому и какую информацию он может доверить. В то же время он может заблуждаться в отношении истинности потребителя защищаемой информации, или встать на пути сознательного несохранения доверенной ему по службе или работе секретной или конфиденциальной информации: совершить государственную измену (шпионаж, выдача государственной или служебной тайны врагу и т.п.) или разболтать секреты своим знакомым и родственникам.

Документ – зафиксированная на материальном носителе информация с реквизитами, позволяющими ее идентифицировать. По форме документы как носители информации могут быть самыми разнообразными: бумага, кино- и фотопленка, магнитные ленты и диски, перфорированные ленты и карты и др. Информация, записанная на носителе, может быть в виде текста, чертежей, формул, графиков, карт и т.п.

На документе, носителе защищаемой информации, указывается степень закрытости информации (гриф секретности), поэтому потребитель, имея такие данные на руках, может знать кому и как с этой информацией обращаться. Уровень защиты секретных документов может быть организован с учетом важности содержащихся в них охраняемых сведений. Слабыми свойствами документа как носителя защищаемой информации являются следующие. Если к документу получил несанкционированный доступ недобросовестный потребитель, то он может воспользоваться информацией в своих целях (если она не зашифрована). Документ может быть также утрачен: похищен или уничтожен, испорчен и т.д. За документальной информацией чаще охотятся и иностранные разведки.

Изделия (предметы) как носители защищаемой информации также довольно распространены. Под ними понимаются засекреченные образцы и комплексы вооружения, военной и другой техники; оборудование; функциональные системы, агрегаты, приборы, входящие в состав комплексов или образцов; комплектующие элементы – сборочные единицы и детали, не имеющие самостоятельного эксплуатационного назначения и предназначенные для выполнения соответствующих функций в составе оборудования, образцов вооружения, военной и другой техники. Выполнение ими функций носителей информации осуществляется попутно с выполнением этими изделиями своего основного назначения.

Является ли то или иное изделие секретным может определить только специалист. Особенно, если это касается каких-то комплектующих элементов или оборудования.

Материалы и вещества при определенных условиях также могут выступать в качестве носителей защищаемой информации. В их числе можно назвать конструкционные и эксплуатационные материалы, полуфабрикаты, сырье, топливо и т.п., применяемые при изготовлении и эксплуатации техники и ее элементов. Например, термостойкие покрытия космического корабля.

К веществам, которые могут нести информацию о режимном объекте, относятся также отходы режимных предприятий (вода, воздух, осадки на земле вокруг объекта и т.п.). Чтобы эту информацию можно было использовать, ее необходимо декодировать с помощью специальных приборов. Примером того, как этот вид носителей защищаемой информации интересует иностранные разведки, могут служить случаи задержания разведчиков и агентов спецслужб на границе с пробами воды, грунта, растений и др.

Радио- и электромагнитные излучения различной частоты переносят информацию от источника информации (радиопередатчика, излучателя) к приемнику и являются «продуктом» работы радиотехнических и других систем, и, следовательно, несут информацию об этих системах. Радио- и электромагнитные излучения могут переносить и конфиденциальную, и секретную информацию. Их распространение, как правило, неконтролируемо и может перехватываться соперником, Для их приема необходимы соответствующие технические приспособления и приборы. О том, что данная перехваченная информация является секретной, может судить только специалист. Для возможного использования такая информация должна быть предварительно декодирована.

Понятие и структура угроз защищаемой информации

Одной из главных особенностей проблемы защиты информации является требование полноты определения угроз информации, потенциально возможных в современных информационных системах. Даже один неучтенный (невыявленный, не принятый во внимание) дестабилизирующий фактор может в значительной степени снизить (и даже свести на нет) эффективность защиты.

– это потенциально существующая возможность случайного или преднамеренного действия или бездействия, в результате которого может быть нарушена безопасность информации (данных).

Угроза безопасности информации – совокупность условий и факторов, создающих потенциальную или реально существующую опасность, связанную с утечкой информации, и/или несанкционированными и/или непреднамеренными воздействиями на нее.

Угроза – это человек, вещь, событие или идея, которая представляет некоторую опасность для ценностей, нуждающихся в защите.

Угроза – это потенциальная возможность определенным образом нарушить информационную безопасность.

Попытка реализации угрозы называется атакой , а тот, кто предпринимает такую попытку, – злоумышленником . Потенциальные злоумышленники называются источниками угрозы .

Угрозы безопасности информации в современных информационных системах обусловлены:

Случайными и преднамеренными разрушающими и искажающими воздействиями внешней среды;

Степенью надежности функционирования средств обработки информации;

Преднамеренными корыстными воздействиями несанкционированных пользователей, целью которых является хищение, разглашение, уничтожение, разрушение, несанкционированная модификация и использование обрабатываемой информации;

Непреднамеренными, случайными действиями обслуживающего персонала и др.

Классификация угроз безопасности

Основные проявления рассмотренных угроз заключаются в незаконном владении конфиденциальной информацией, ее копировании, модификации, уничтожении в интересах злоумышленников с целью нанесения ущерба как материального, так и морального. Кроме этого, непреднамеренные действия обслуживающего персонала и пользователей также приводят к нанесению определенного ущерба.

Основными путями реализации угроз являются:

Агентурные источники в органах управления и защиты информации;

Вербовка должностных лиц органов управления, организаций, предприятий и т.д.;

Перехват и несанкционированный доступ к информации, с использованием технических средств разведки;

Использование преднамеренного программно-математического воздействия;

Подслушивание конфиденциальных переговоров в служебных помещениях, транспорте и других местах их ведения.

Факторами, обусловливающими информационные потери и различные виды ущерба, являются:

Несчастные случаи, вызывающие выход из строя оборудования и информационных ресурсов (пожары, взрывы, аварии, удары, столкновения, падения, воздействия химических или физических сред);

Поломки элементов средств обработки информации;

Последствия природных явлений (наводнения, бури, молнии, землетрясения и др.);

Кражи, преднамеренная порча материальных средств;

Аварии и выход из строя аппаратуры, программного обеспечения, без данных;

Ошибки накопления, хранения, передачи, использования информации, восприятия, чтения, интерпретации содержания информации, соблюдения правил, неумения, оплошности, наличие помех, сбои и искажения отдельных элементов и знаков или сообщения;

Ошибки эксплуатации: нарушение защиты, переполнение файлов, ошибки языка управления данными, ошибки при подготовке и вводе информации;

Злонамеренные действия в материальной сфере; болтливость, разглашение;

Убытки социального характера (уход, увольнение, забастовка и др.).

Основные виды угроз: внешние и внутренние. К внутренней угрозе относятся как преднамеренные действия, так и непреднамеренные ошибки персонала. Внешние угрозы весьма разнообразны.

Особенности защиты документированной информации

Конфиденциальность предполагает сохранение прав на информацию, ее неразглашение (секретность) и неизменность во всех случаях, кроме правомочного использования.

Конфиденциальная информация – документированная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации.

Владельцами (собственниками) конфиденциальной информации могут быть:

Государство и его структуры (органы). В этом случае к ней относятся сведения, являющиеся государственной, служебной тайной, иные виды защищаемой информации, принадлежащей государству или ведомству. В их числе могут быть и сведения, являющиеся коммерческой тайной;

Предприятия, товарищества, акционерные общества (в том числе и совместные) и другие – информация является их собственностью и составляет коммерческую тайну;

Общественные организации – как правило, партийная тайна, не исключена также государственная и коммерческая тайна;

Граждане государства: их права (тайна переписки, телефонных и телеграфных разговоров, врачебная тайна и др.) гарантируются государством, личные тайны – их личное дело. Следует отметить, что государство не несет ответственности за сохранность личных тайн.

Классификация информации по степени ее конфиденциальности без отнесения ее к какому-то конкретному виду выглядит несколько абстрактной. Но она дает представление о возможности ранжирования защищаемой информации по степени ее важности для собственника. Всю информацию по степени секретности можно разделить на пять уровней:

1. Особой важности (особо важная);

2. Совершенно секретная (строго конфиденциальная);

3. Секретная (конфиденциальная);

4. Для служебного пользования (не для печати, рассылается по списку);

5. Несекретная (открытая).

Следует отметить, что чем выше секретность информации определена ее собственником, тем выше уровень ее защиты, тем более дорогостоящей она становится, тем уже круг лиц, знакомящихся с этой информацией.

Следует отметить, что вышеизложенные классификации не являются исчерпывающими и их разработка еще предстоит науке и законодательству.

Защите подлежит вся конфиденциальная информация и определяемая собственником часть открытой информации. Защита информации осуществляется дифференцированно, в том числе и с зависимостью от состава информации и принадлежностью конфиденциальной информации к различным видам тайны. От того, какой вид тайны защищается, зависят и организация, и технология, и уровень защиты. До сих пор четко не определены не только границы, но и понятия некоторых видов тайн и даже их состав. То есть виды тайны не имеют четкой правовой регламентации с указанием необходимых оснований для отнесения конфиденциальной информации к определенным видам тайны.

Структура классификации информации:

Носители: документированная и недокументированная;

Право собственности: государственные и негосударственные информационные ресурсы;

Условия правового режима: государственная тайна и конфиденциальная информация.

Персональные данные – сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность. Персональные данные на всех работников компании обычно хранятся в отделе кадров. При этом компания несет ответственность перед работниками в соответствии с законодательством Российской Федерации за нарушение режима защиты, обработки и порядка использования этой информации.

Личная тайна – защищаемая физическим лицом информация личного характера, распространение которой может нанести моральный или материальный ущерб отдельному физическому лицу.

Служебная тайна – служебные сведения, доступ к которым ограничен органами государственной власти в соответствии с Гражданским кодексом РФ и федеральными законами.

Коммерческая тайна – информация, не являющаяся государственными секретами, связанная с производственной, технической, технологической информацией, управлением финансовой и другой деятельностью предприятия, разглашение (передача, утечка) которой может нанести ущерб его интересам.

Коммерческая тайна – не являющиеся государственными секретами сведения, связанные с производством, технологической информацией, управлением, финансами и другой деятельностью предприятия, разглашение (передача, утечка) которых может нанести ущерб его интересам.

Профессиональная тайна – сведения, связанные с профессиональной деятельностью, доступ к которым ограничен в соответствии с Конституцией Российской Федерации и федеральными законами. В части компании, занимающейся предоставлением услуг связи, – это информация операторов связи и иных клиентов, которая передается и обрабатывается в информационно-телекоммуникационных ресурсах компании.

Открытая информация;

Конфиденциальная информация;

Строго конфиденциальная информация.

Такое деление не является правильным с учетом нормативных документов, действующих на территории РФ. Согласно действующему законодательству Российской Федерации можно применить следующее разграничение информации по степени конфиденциальности:

Открытая информация (ОИ);

Для внутреннего использования (ДВИ);

Конфиденциальная информация (КИ).

При этом необходимо отметить, что право на отнесение информации к какому-либо грифу конфиденциальности и определение перечня и состава такой информации принадлежит ее обладателю.

Базовыми принципами защиты информации являются конфиденциальность, целостность и доступность, соблюдение которых есть необходимое условие обеспечения безопасности различных категорий информации.

Введение

1. Коммерческая информация и её защита 3

1.1 Понятие коммерческой информации и её виды 3

1.2 Виды закрытых документов и сведений 6

1.3 Товарная информация 10

2. Коммерческая информация и её защита в ООО «Мустанг» 13

Литература 18

Введение

Переход к рыночной экономике, появление большого разнообразия организационно – правовых форм предприятий, широкое распространение частной инициативы и предпринимательства способствовали развитию оптовой и розничной торговли. За время рыночных преобразований, в торговле сложилась настоящая конкурентная среда.

Ежедневно в оптовые торговые предприятия, в магазины поступает огромное количество товаров, тары, денежных средств. Многообразие торговых предприятий, их высокая насыщенность товарной массой, способствовали появлению большого числа рабочих мест.

В современных условиях рыночных отношений успешно работать могут только те фирмы, руководство и специалисты которых располагают полной, достоверной и своевременной информацией, которая представляет собой особого рода товар, имеющий определенную ценность. Для предпринимателя зачастую наиболее ценной является информация, которую он использует для достижения целей фирмы и разглашение которой может лишить его возможностей реализовать эти цели, то есть создает угрозы безопасности предпринимательской деятельности. Конечно, не вся информация может, в случае ее разглашения, создавать эти угрозы, однако существует определенная ее часть, которая нуждается в защите.

1. Коммерческая информация и её защита

1.1. Понятие коммерческой информации и её виды

Коммерческая информация – это сведения о сложившейся ситуации на рынке различных товаров и услуг.

Во всех фирмах и предприятиях создается информационная база, которая хранит и учитывает данные, содержащиеся в научных отчетах, научно – исследовательских организаций и вузов, в статистических материалах различных ведомств, в результатах маркетинговых исследований рынка и др. Под маркетинговым исследованием рынка понимается целенаправленное изучение отдельных элементов рынка: система планирования ассортимента и объема выпускаемых изделий; определение цен; распределение товаров между выбранными рынками и стимулирование их сбыта с целью удовлетворения потребностей. В процессе маркетингового исследования определяют рыночную проблему, разрабатывают план исследований. Потом организуют сбор информации, такими методами как: эксперимент, наблюдение, опрос, исследование. Анализируют собранные данные и обобщают результаты в общем отчете, которые используют в маркетинговой и коммерческой деятельности фирм.

Виды коммерческой информации

· информация о потенциальных возможностях торгового предприятия, его конкурентоспособности.

Она необходима для оценки сильных и слабых сторон деятельности предприятия, правильного определения направлений развития. Целью является обеспечение устойчивого экономического положения. Анализируются результаты хозяйственной деятельности предприятия и его экономический потенциал.

При оценке конкурентоспособности предприятия учитывают использование передовой технологии и новой техники, финансовую устойчивость, наличие конкурентоспособного товара на рынке. Всё это и многое другое определяют конкурентоспособности предприятия на рынке и спланировать укрепление его позиций.

· информация о конъюнктуре рынка.

Включает в себя сведения о спросе и предложениях на рынке, его сегментах, ёмкости, характере, уровне цен, рыночной конкуренции и т.д. Под конъюнктурой рынка понимается состояние рыночных отношений в определенный период, определенным состоянием спроса и предложения на товар, т.е. фактическими розничными ценами на них.

При изучении информации о спросе и предложении нужно учитывать их соответствие. При повышении спроса над предложением, возникает неудовлетворенный спрос. При нехватке спроса, накапливаются излишки товаров. Так же учитывают географическое положение и месторасположение рынка, его границы и региональные различия, ёмкость и степень открытости, степень насыщенности товарами и уровень цен.

· информация о покупателях и мотивах покупок.

Основа для принятия коммерческих решений. В неё входят: численность населения, состав, традиции и обычаи, уровень доходов, типы покупателей и т.д. Анализ снижает риск выпуска или закупки неходовых товаров, обеспечивает увеличение объёмов реализации товаров, укрепляет финансовую устойчивость торгового предприятия.

· информация о конкурентной среде.

Содержит данные о конкурентах – поставщиках товаров и о конкурентах – покупателях. Информация о конкурентной среде позволяет коммерческим структурам объективно оценивать их реальное положение на рынке. Изучая конкурентов – поставщиков, выявляют их позицию на рынке, характеристику предлагаемых ими товаров, финансовое положение, надежность и гарантии договорных обязательств и др. Изучая конкурентов – покупателей, выделяют их сильные и слабые стороны, оценивают позицию своего предприятия на рынке.

· информация о требованиях рынка к товару.

Необходима для правильного выбора товаров и услуг. Коммерческие службы должны хорошо знать потребительские свойства и особенности товаров, их состав, производство и применение. Рассматривать товары в динамике, учитывать спрос покупателей и объём продаж на протяжении всего периода, когда товар покупается на рынке.

Коммерсанты должны учитывать соответствие цены товара с его качеством, так же учитывают престижность товара – степень его признания на рынке, положительное общественное мнение о товаре, соответственно высокая цена. В зависимости от дохода покупателя, он приобретает товар соответствующий его общественному положению. Поэтому предприятие должно иметь представление о верхних и нижних пределах цен. Упаковка товара и рекламное оформление должны подчеркивать преимущества товара и способствовать ускорению его реализации.

На основе анализа коммерческой информации торговые предприятия принимают коммерческие решения, связанные с куплей – продажей товаров.

1.2. Виды закрытых документов и сведений

Выделяют следующие виды коммерческой информации:

1. Деловая информация:

• сведения о контрагентах;
• сведения о конкурентах;
• сведения о потребителях;
• сведения о деловых переговорах;
• коммерческая переписка;
• сведения о заключенных и планируемых контрактах.

2. Научно-техническая информация:

• содержание и планы научно-исследовательских работ;
• содержание “ноу-хау”, рационализаторских предложений;
• планы внедрения новых технологий и видов продукции;

3. Производственная информация:

• технология;
• планы выпуска продукции;
• объем незавершенного производства и запасов;
• планы инвестиционной деятельности.

4. Организационно-управленческая информация:

• сведения о структуре управления фирмой не содержащиеся в уставе;
• оригинальные методы организации управления;
• система организации труда.

5. Маркетинговая информация:

• рыночная стратегия;
• планы рекламной деятельности;
• планы обеспечения конкурентных преимуществ по сравнению с продукцией других фирм;
• методы работы на рынках;
• планы сбыта продукции;
• анализ конкурентоспособности выпускаемой продукции.

6. Финансовая информация:

• планирование прибыли, себестоимости;
• ценообразование – методы расчета, структура цен, скидки;
• возможные источники финансирования;
• финансовые прогнозы.

7. Информация о персонале фирмы:

• личные дела сотрудников;
• планы увеличения (сокращения) персонала;
• содержание тестов для проверки вновь принимаемых на работу.

8. Программное обеспечение:

• программы;
• пароли, коды доступа к конфиденциальной информации, расположенной на электронных носителях.

Как правило, именно перечисленная выше информация в наибольшей степени интересует конкурентов, партнеров, банки, криминальные структуры.

Процесс обеспечения сохранности документов, содержащих коммерческую информацию, осуществляется в соответствии с основными стадиями “жизненного” цикла документа. Этими стадиями являются:

1. Получение (отправка) документа. Документ, поступающий в фирму и содержащий гриф (степень конфиденциальности информации), должен быть передан только секретарю-референту или инспектору закрытого делопроизводства и зарегистрирован. Далее, он передается руководителю, а последний определяет непосредственного исполнителя по данному документу, имеющему допуск к этой категории документов, и адресует документ ему. Аналогичный порядок при отправлении документа – подготовка документа, подпись руководителя, регистрация в специальном журнале секретарем-референтом и отправка.

2. Хранение документа. Все документы, содержащие конфиденциальную информацию, должны храниться в специально отведенных, закрывающихся помещениях, в запертых шкафах, столах или ящиках. Документы же составляющие коммерческую тайну – только в металлических сейфах, оборудованных сигнализацией. Все помещения должны опечатываться. Следует иметь в виду, что при определении степени конфиденциальности документа производится также определение срока в течение которого она действует По истечении срока возможны различные действия: 1) гриф может быть продлен, 2) гриф может быть снят и документ становится открытым, 3) документ уничтожается.

3. Использование документа. Система доступа сотрудников, не имеющих соответствующих прав по должности, к конфиденциальным документам должна иметь разрешительный характер. Каждая выдача таких документов регистрируется (расписываются оба сотрудника – и тот, кто берет документ, и тот кто его выдает) и проверяется порядок работы с ними (например, нарушением считается оставление данных документов на столе во время обеда, передача другим лицам, вынос за пределы служебных помещений).

4. Уничтожение документа. Конфиденциальные документы, утратившие практическое значение и не имеющие какой-либо правовой, исторической или научной ценности, срок хранения которых истек (либо не истек), подлежат уничтожению. Для этого создается комиссия (не менее 3 человек) в присутствии которой производится уничтожение. Затем члены комиссии подписывают акт об уничтожении. Бумажные документы уничтожаются путем сожжения, дробления, превращения в бесформенную массу, а магнитные и фотографические носители уничтожаются сожжением, дроблением, расплавлением и др.

Сотрудники фирмы, работающие с секретными документами и отвечающие за их сохранность, использование и своевременное уничтожение, должны быть защищены от соблазна простым, но надежным способом – высокой заработной платой.

Контроль за соблюдением правил хранения и использования документов, содержащих конфиденциальную информацию, осуществляется с помощью проверок. Они могут быть как регулярными (еженедельными, ежемесячными, ежегодными), так нерегулярными (выборочными, случайными). В случае обнаружения нарушений составляется акт и принимаются меры, позволяющие в будущем предотвратить нарушения такого рода.

Следует контролировать не только документы, содержащие конфиденциальную информацию, но и бумаги с печатями, штампами, бланки. Бланк – лист бумаги с оттиском углового или центрального штампа, либо с напечатанным любым способом текстом (или рисунком), используемый для составления документа. Особое внимание следует уделять охране так называемых бланков строгой отчетности, содержащих номер (серию), зарегистрированных одним из установленных способов и имеющих специальный режим использования.

1.3. товарная информация

Товарная информация – это сведения о товаре, предназначенные для пользователей – субъектов коммерческой деятельности.

Производители являются первичными источниками товарной информации, а производственную информацию может дополнять продавец.

По назначению товарную информацию подразделяю на виды:

· Основополагающая, располагает основными сведениями о товаре, которые имеют решающее значение для идентификации и предназначенные для всех субъектов рыночных отношений. К основополагающей товарной информации относят: вид и наименование товара, массу нетто, дату выпуска, сорт товара, наименование предприятия – изготовителя, срок хранения или годности.

· Коммерческая, располагает сведениями о товаре, дополняющими основную товарную информацию. Предназначена для изготовителей, поставщиков и продавцов. Она мало доступна потребителю. Коммерческая информация содержит данные о предприятиях – посредниках, нормативных документах, о качестве товаров, штриховом кодировании.

· Потребительская, располагает сведениями о товаре, предназначенными для создания потребительских предложений. Она предназначена непосредственно для потребителей, содержит сведения о привлекательных потребительских свойствах, пищевой ценности, составе, назначении, способах использования, гарантии и т.д.

Средства товарной информации : маркировка, технические документы, нормативные документы, справочная, учебная и научная литература, реклама и пропаганда.

Маркировка – текст, условные обозначения или рисунок, нанесенные на упаковку или товар, предназначенные для доведения покупателей сведений о качественных характеристиках товара. Маркировка должна соответствовать требований стандартов, других нормативных документов.

Маркировка делится на два вида: производственная и торговая.

Производственная маркировка – текст, условные обозначения, нанесенные производителем на товар и упаковку. Носители производственной маркировки: этикетки, вкладыши, ярлыки, бирки, контрольные ленты, штампы.

Торговая маркировка – текст, условные обозначения или рисунок, нанесенные изготовителем не на товар, а на носители.

Носители торговой марки – это ценники, товарные и кассовые чеки.

Структура маркировки

Маркировка может включать в себя три элемента:

· Текст 50-100% (удельный вес);

· Рисунок 0-50%;

· Условные обозначения – информационные знаки 0-30%.

Информационные знаки – условные обозначения, предназначенные для идентификации отдельных или совокупных характеристик товара. Информационным знакам свойственны краткость, выразительность, наглядность и быстрая узнаваемость.

Есть 4 формы товарной информации:

1. Словесная информация, размещается на упаковке или на самом товаре. Самая доступная информация для покупателя.

2. Цифровая информация – содержит количественные сведения о товаре, такие как объём, длина, масса нетто и масса брутто, дату изготовления и срок хранения. Дополняет словесную информацию.

3. Изобразительная информация – это художественные или графические изображения самого товара или репродукция с других изображений. Дополняет словесную и цифровую информацию.

4. Символическая информация, содержит сведения о товаре, передаваемые с помощью информационных знаков. Информационные знаки – условные обозначения, предназначенные для идентификации отдельных или совокупных характеристик товара, характерны для производственной маркировки.

Существует большое количество способов получения информации, в том числе и не совсем законных:

1. сбор информации, содержащейся в средствах массовой информации, включая официальные документы, например, судебные отчеты;

2. использование сведений, распространяемых служащими конкурирующих фирм;

3. биржевые документы и отчеты консультантов; финансовые отчеты и документы, находящиеся в распоряжении маклеров; выставочные экспонаты и проспекты, брошюры конкурирующих фирм; отчеты коммивояжеров своей фирмы;

4. изучение продукции конкурирующих фирм; использование данных, полученных во время бесед со служащими конкурирующих фирм (без нарушения законов);

5. замаскированные опросы и “выуживание” информации у служащих конкурирующих фирм на научно-технических конгрессах (конференциях, симпозиумах);

6. непосредственное наблюдение, осуществляемое скрытно;

7. беседы о найме на работу со служащими конкурирующих фирм (хотя опрашивающий вовсе не намерен принимать данного человека в свою фирму);

8. так называемые “ложные” переговоры с фирмой-конкурентом относительно приобретения лицензии;

9. наем на работу служащего конкурирующей фирмы для получения требуемой информации;

10. подкуп служащего конкурирующей фирмы или лица, занимающегося ее снабжением;

11. использование агента для получения информации на основе платежной ведомости фирмы-конкурента;

12. подслушивание переговоров, ведущихся в фирмах-конкурентах;

13. перехват телеграфных сообщений;

14. подслушивание телефонных разговоров;

15. кража чертежей, образцов, документации;

16. шантаж и вымогательство.

2. Коммерческая информация и её защита в ООО «Мустанг - Джинс»

ООО «Мустанг - Джинс» находится в городе Новосибирске, в торговом центре «Сибирский Молл», по адресу ул. Фрунзе 238.

ООО «Мустанг - Джинс» является розничной торговой сетью, занимающейся реализацией джинсовой одежды. По мимо отдела в «Сибирском Молле» так же есть отдел в торговом центре «Мега», в г. Кемерово и в др. городах России. «Мустанг» является концептуальным магазином, предназначенным для продажи джинсовой одежды, а так же трикотажа и сопутствующим аксессуарам. В торговом зале работают продавцы – консультанты и кассир, которые помогают покупателям с выбором товара, размером, расчетом и др.

Здание торгового центра «Сибирский Молл», в котором расположен данный магазин, отвечает всем требованиям, предъявляемым к торговым зданиям:

· технологические: обеспечение рациональной организации торгово – технологического процесса;

· архитектурно – строительные: у здания торгового центра эстетический внешний вид, удобная конструкция, имеется большая автопарковка;

· санитарно – технические: соблюдена система пожарной безопасности, водоснабжения, освещения и др.

Приёмку товаров в ООО «Мустанг - Джинс» осуществляет материально ответственное лицо, которое проверяет качество товаров, их количество, заполняет документы и принимает товар для последующей реализации.

Транспортным документом в ООО «Мустанг - Джинс» является товарно – транспортная накладная. Сопроводительными документами являются: товарная накладная (оформляется в 2х экземплярах, служит для приходывания товара); счет – фактура (для расчета за товары).

В ООО «Мустанг - Джинс» соблюдаются правила и техники пожарной безопасности.

Порядок работы ООО «Мустанг - Джинс» соответствует графику работы торгового центра. Кассу снимают в конце рабочего дня. ООО «Мустанг - Джинс» несет ответственность за качество реализуемых товаров, в соответствии с гражданским кодексом РФ «О защите прав потребителей». В соответствии с законодательством РФ денежные расчеты с покупателями производятся через ККМ «Миника».

В ООО «Мустанг - Джинс» следующие виды коммерческой информации:

1. информация о покупателях и мотивах покупок – основа для принятия коммерческих решений, сюда входит численность обслуживающего населения, его состав, уровень доходов и др. Такая информация используется для более целенаправленной работы с покупателями, для увеличения объёмов продаж и получения высокой прибыли.

2. информация о требованиях рынка к товару необходима для правильного выбора товаров, которые будут предложены покупателям. При исследовании этапов жизненного цикла каждого вида товаров учитываются изменения в спросе покупателей, сезонности и моде на протяжении всего периода.

3. информация о конъюнктуре рынка – это сведения о спросе и предложении на рынке. Этим определяют товарное предложение с помощью информации об объёмах, структуре, динамике производства и товарных запасах.

4. информация о конкурентной среде – это данные о данные о конкурентах – поставщиках товаров. Такая информация позволяет объективно оценивать сложившуюся ситуацию на рынке.

5. информация о потенциальных возможностях торгового предприятия и его конкурентоспособности. Она необходима для оценки сильных и слабых сторон его деятельности, правильного определения направлений в развитии.

При оценке конкурентоспособности ООО «Мустанг - Джинс» учитывает использование передовых технологий, новой техники, наличие конкурентоспособного товара, финансовую устойчивость и свой имидж. Это позволяет определить потенциальные возможности ООО «Мустанг - Джинс» и спланировать мероприятия по укреплению его конкурентных позиций на рынке.

Виды закрытых документов и сведений.

Деловая информация ООО «Мустанг - Джинс»:

1. сводные отчеты по финансовой деятельности (бухгалтерский баланс, отчет о прибыли и убытках, налоговые отчисления);

2. крупные договоры с банками (на обслуживание расчетного счета);

3. договоры купли – продажи, контракты на поставку товаров;

4. данные о цене (стоимости) товаров;

5. деловые планы и планы производства новых товаров (бизнес план, стратегический план);

6. списки персонала, информация о сотрудниках.

Товарная информация

В ООО «Мустанг - Джинс» следующие виды товарной информации:

· основополагающая товарная информация, содержит основные сведения о товаре, предназначенные для всех субъектов рыночных отношений:

Наименование товара;

Наименование предприятия – изготовителя;

Дата выпуска, срок гарантии;

Розничная цена.

· Коммерческая товарная информация, содержит сведения о товаре, дополняющие основную информацию и предназначены для изготовителей и продавцов.

· Потребительская товарная информация, содержит сведения о товаре, предназначенные для создания потребительских предложений. Они показывают выгоды вследствие покупки конкретного товара.

Формы товарной информации в ООО «Мустанг - Джинс»

1. словесная – размещается на ценнике или на этикетке товара. Она наиболее доступна для населения.

2. цифровая – количественная характеристика сведений о товаре (размеры, даты и сроки).

3. символическая – содержит сведения о товаре, передаваемые с помощью информационных знаков (сведения по уходу за товаром).

В ООО «Мустанг - Джинс» используют как производственную маркировку (ярлыки на джинсах и трикотаже, лейблы, этикетки), так и торговую (товарные ценники содержат информацию о товаре). Так же маркировка содержит информационные знаки.

Проходя коммерческую практику в ООО «Мустанг - Джинс» я пришла к выводу, что для более эффективной работы предприятия нужно сделать следующее:

Расширить площадь торгового зала;

Поставить аппарат по безналичному расчету;

Расширить ассортимент товаров в соответствии со спросом покупателей;

Список литературы

· Каплина С.А.: Организация коммерческой деятельности. Учебное пособие. – Ростов – на – Дону: Феникс, 2002 – 416с.

· Памбухчиянц О.В. Организация и технология коммерческой деятельности: Учебник, 2-е изд., перераб. и доп. – М.: Издательско – торговая корпорация «Дашков и Ко», 2006 – 648с.

· Казакевич О.Ю., Конев Н.В., Максименко В.Г. и др. Способы защиты коммерческой информации. Практическое руководство. - М.: Издательство ПРИОР, 1992 - 146.

3.1. Понятие коммерческой информации

и источники ее получения

Информация (лат. - information) - сообщение о чем-

Коммерческая информация - это сведения о сложившейся ситуации на рынке различных товаров и услуг. Сюда относят количественные и качественные показатели торговой деятельности фирмы (коммерческой структуры, торгового предприятия и т. п.), различные сведения и данные о коммерческой деятельности (цены, поставщики, конкуренты, условия поставок, расчеты, ассортимент товаров и др.).

Назначение коммерческой информации состоит в том, что она позволяет торговым организациям (предприятиям) проводить анализ своей коммерческой деятельности, планировать ее, осуществлять контроль за результатами этой деятельности (эффективностью работы).

Коммерсанту для успешной работы необходима как воздух коммерческая информация. Ему нужна постоянная информация о клиентах, конкурентах, дилерах (дельцах-по- средниках). Оперативные данные для анализа, планирования, контроля. Рыночная ситуация постоянно меняется или может измениться в любую минуту. И если не налажено непрерывное поступление (обновление) информационных данных, фирма может вовремя не отреагировать на те или иные изменения (перемены), а значит, не избежать самых неприятных последствий. Тот, кто владеет информацией, действу-

предлагается база данных под названием “Партнер-2”, содержащая 3,5 тыс. наиболее крупных экспортеров и импортеров с указанием их адресов, факсов, телефонов, полной номенклатуры товаров, которыми торгует та или иная фирма.

3.2. Коммерческая тайна и ее содержание

Что такое коммерческая тайна? Видимо, всем известно понятие государственной (военной) тайны. Во всем мире под государственной тайной понимают сведения, относящиеся к внешней политике, обороне, национальной безопасности.

В советский период содержание государственной тайны было очень расширено - от здоровья руководителей партии и государства до рецептуры хлеба и вареной колбасы. На многих ведомственных документах существовал гриф “Для служебного пользования”.

Сейчас в условиях рыночной экономики такого грифа в большинстве случаев нет, однако появилось понятие - коммерческая тайна, что означает ограничение прав на определенную информацию для юридических и физических лиц, являющихся конкурентами.

Коммерческая тайна - явление, присущее только рыночной, капиталистической экономике. Не случайно один из первых декретов В. И. Ленина был декрет об отмене коммерческой тайны. В условиях конкурентной борьбы коммерческая тайна - эффективное средство повышения конкурентоспособности продукции и услуг.

Итак, что такое коммерческая тайна? Исходя из вышеизложенного, ей можно дать следующее определение: “Преднамеренно скрываемые по коммерческим соображениям экономические, технические, организационные и прочие данные и сведения о различных сторонах и сферах хозяйственной деятельности фирмы, охрана которых обусловлена интересами конкуренции и возможной угрозой экономической безопасности фирмы (предприятия)”.

Коммерческая тайна возникает тогда, когда она представляет интерес для конкурентов. В отличие от государственной тайны коммерческая тайна не определена конкретным перечнем, поскольку она всегда разная применительно к разным предприятиям или фирмам.

В законодательстве России понятие коммерческой тайны появилось в 1990 г. в тексте Закона о предприятиях и предпринимательской деятельности. Позднее в 1994 г. в п. 1 ст. 139 Гражданского кодекса РФ (далее - ГК РФ) “Служебная и коммерческая тайна” было дано определение информации, составляющей служебную или коммерческую тайну.

Наиболее полно и развернуто в правовом отношении коммерческая тайна получила изложение в Федеральном законе от 29 июля 2004 г. № 98-ФЗ “О коммерческой тайне”. Положения настоящего Федерального закона распространяются на информацию, составляющую коммерческую тайну, независимо от вида носителя, на котором она зафиксирована.

Дальнейшее развитие положение о коммерческой тайне получили в IV части ГК РФ. Этому посвящена гл. 75 “Право на секрет производства (ноу-хау)”.

Секретом производства (ноу-хау) признаются сведения любого характера (производственные, технические, экономические, организационные и другие), в том числе о результатах интеллектуальной деятельности в научно-техни- ческой сфере, а также сведения о способах осуществления профессиональной деятельности, которые имеют действительную или потенциальную коммерческую ценность в силу неизвестности их третьим лицам, к которым у третьих лиц нет свободного доступа на законном основании и в отношении которых обладателем таких сведений введен режим коммерческой тайны.

Обладателю секрета производства принадлежит исключительное право использования его в соответствии со ст. 1229

срока после расторжения договора о найме. Кроме того, во время действия подобного ограничения этому лицу должно выплачиваться вознаграждение. В российской практике такие соглашения пока неизвестны.

3. Информация о рационализаторском предложении, изобретении и т. п., находящихся на стадии разработки, несомненно, относится к коммерческой тайне.

Рационализаторское предложение даже после его оформления и выдачи авторского свидетельства может оставаться коммерческой тайной, поскольку представляет собой техническое решение задачи, новое для данной фирмы.

Изобретение после выдачи на него патента имеет специальную правовую охрану и поэтому не нуждается в защите путем отнесения к коммерческой тайне. Другое дело, если по соглашению с автором изобретения фирма примет решение не подавать заявку в Роспатент России. Тогда охрана информации полностью возлагается на фирму. Следует под-

правилу, если работодатель в течение трех месяцев с момента уведомления его автором о сделанном изобретении не подаст заявку на него, автор вправе сам подать заявку и получить патент.

4. Особое внимание следует уделить охране договоров, заключаемых предприятием. Большая их часть, безуслов-

но, относится к коммерческой тайне. Причем в определенных случаях охране подлежит не только текст договора, но и сам факт его заключения.

Руководитель фирмы должен установить строгий порядок хранения первых экземпляров договоров и работы с ними. Их следует хранить в определенном месте у ответственного лица и выдавать только под расписку с письменного разрешения руководителя фирмы. На лица, ответственные за хранение договоров и работу с ними, возлагается персональная ответ-

ственность за утерю договоров или утечку информации из них. Все это необходимо потому, что деятельность коммерческих структур строится в большей степени на договорных началах и конкурент или партнер по переговорам, обладая информацией в этой сфере, может составить довольно полную картину производственного и финансового положения фирмы. Пропажа (похищение) первых экземпляров договоров ведет к значительным затруднениям и даже невозможности доказать те или иные положения при возникновении спора и его разрешении в судебном порядке. При подписании договора рекомендуется, чтобы представители сторон ставили подписи не только в конце договора, но и на каждом листе во избежание замены одного текста другим.

Итак, что же относится к коммерческой тайне и требует защиты от утечки информации и ее похищения?

Деловая информация:

финансовые сведения;

данные о цене (стоимости) продукции и услуг, технологии;

деловые планы и планы производства новой продук-

списки клиентов и продавцов, контракты, преференции и планы;

информация о маркетинге;

соглашения, предложения, квоты;

списки персонала, организационные схемы и информация о сотрудниках (их характеристики).

Техническая информация:

научно-исследовательские проекты;

конструкторские разработки по производству какойлибо продукции и ее технические параметры;

заявки на патенты;

дизайн, эффективность и возможности производственных методов, оборудования и систем;

информационный процесс;

программное обеспечение ЭВМ.

К сведениям, которые не могут составлять коммерческую тайну, относятся следующие:

1) содержащиеся в учредительных документах юридического лица, документах, подтверждающих факт внесения записей о юридических лицах и об индивидуальных предпринимателях в соответствующие государственные ресурсы;

2) содержащиеся в документах, дающих право на осуществление предпринимательской деятельности;

3) о составе имущества государственного или муниципального унитарного предприятия, государственного учреждения и об использовании ими средств соответствующих бюджетов;

4) о загрязнении окружающей среды, состоянии противопожарной безопасности, санитарно-эпидемиологической и

радиационной обстановке, безопасности пищевых продуктов и других факторах, оказывающих негативное воздействие на обеспечение безопасного функционирования производственных объектов, безопасности каждого гражданина и безопасности населения в целом;

5) о численности, о составе работников, о системе оплаты труда, об условиях труда, в том числе об охране труда, о показателях производственного травматизма и профессиональной заболеваемости и о наличии свободных рабочих мест;

6) о задолженности работодателей по выплате заработной платы и по иным социальным выплатам;

7) о нарушениях законодательства Российской Федерации и фактах привлечения к ответственности за совершение этих нарушений;

8) об условиях конкурсов или аукционов по приватизации объектов государственной или муниципальной собственности;

9) об условиях и структуре доходов некоммерческих организаций, о размерах и составе их имущества, об их расхо-

Современные методы обработки, передачи и накопления информации способствовали появлению угроз, связанных с возможностью потери, искажения и раскрытия данных, адресованных или принадлежащих конечным пользователям. Поэтому обеспечение информационной безопасности компьютерных систем и сетей является одним из ведущих направлений развития ИТ.

Рассмотрим основные понятия защиты информации и информационной безопасности компьютерных систем и сетей с учетом определений ГОСТ Р 50922-96 .

Защита информации - это деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.

Объект защиты - информация, носитель информации или информационный процесс, в отношении которых необходимо обеспечивать защиту в соответствии с поставленной целью защиты информации.

Цель защиты информации - это желаемый результат защиты информации. Целью защиты информации может быть предотвращение ущерба собственнику, владельцу, пользователю информации в результате возможной утечки информации и/или несанкционированного и непреднамеренного воздействия на информацию.

Эффективность защиты информации - степень соответствия результатов защиты информации поставленной цели.

Защита информации от утечки - деятельность по предотвращению неконтролируемого распространения защищаемой информации от ее разглашения, несанкционированного доступа (НСД) к защищаемой информации и получения защищаемой информации злоумышленниками.

Защита информации от разглашения - деятельность по предотвращению несанкционированного доведения защищаемой информации до неконтролируемого количества получателей информации.

Защита информации от НСД - деятельность по предотвращению получения защищаемой информации заинтересованным субъектом с нарушением установленных правовыми документами или собственником либо владельцем информации прав или правил доступа к защищаемой информации. Заинтересованным субъектом, осуществляющим НСД к защищаемой информации, может выступать государство, юридическое лицо, группа физических лиц, в т. ч. общественная организация, отдельное физическое лицо.

Система защиты информации - совокупность органов и/или исполнителей, используемая ими техника защиты информации, а также объекты защиты, организованные и функционирующие по правилам, установленным соответствующими правовыми, организационно-распорядительными и нормативными документами по защите информации.

Под информационной безопасностью понимают защищенность информации от незаконного ознакомления, преобразования и уничтожения, а также защищенность информационных ресурсов от воздействий, направленных на нарушение их работоспособности. Природа этих воздействий может быть самой разнообразной.

Это и попытки проникновения злоумышленников, и ошибки персонала, и выход из строя аппаратных и программных средств, и стихийные бедствия (землетрясение, ураган, пожар) и т. п.

Современная автоматизированная система (АС) обработки информации представляет собой сложную систему, состоящую из большого числа компонентов различной степени автономности, которые связаны между собой и обмениваются данными. Практически каждый компонент может подвергнуться внешнему воздействию или выйти из строя. Компоненты АС можно разбить на следующие группы:

• аппаратные средства - компьютеры и их составные части (процессоры, мониторы, терминалы, периферийные устройства - дисководы, принтеры, контроллеры, кабели, линии связи и т. д.);
• программное обеспечение - приобретенные программы, исходные, объектные, загрузочные модули; ОС и системные программы (компиляторы, компоновщики и др.), утилиты, диагностические программы и т. д.;
• данные - хранимые временно и постоянно, на магнитных носителях, печатные, архивы, системные журналы и т. д.;
• персонал - обслуживающий персонал и пользователи.

Одной из особенностей обеспечения информационной безопасности в АС является то, что таким абстрактным понятиям, как информация, объекты и субъекты системы, соответствуют физические представления в компьютерной среде:

• для представления информации - машинные носители информации в виде внешних устройств компьютерных систем (терминалов, печатающих устройств, различных накопителей, линий и каналов связи), оперативной памяти, файлов, записей и т. д.;
• объектам системы - пассивные компоненты системы, хранящие, принимающие или передающие информацию. Доступ к объекту означает доступ к содержащейся в нем информации;
• субъектам системы - активные компоненты системы, которые могут стать причиной потока информации от объекта к субъекту или изменения состояния системы. В качестве субъектов могут выступать пользователи, активные программы и процессы.

Информационная безопасность компьютерных систем достигается обеспечением конфиденциальности, целостности И ДОСтоверности обрабатываемых данных, а также доступности и целостности информационных компонентов и ресурсов системы. Перечисленные выше базовые свойства информации нуждаются в более полном толковании.

Конфиденциальность данных - это статус, предоставленный данным и определяющий требуемую степень их защиты. К конфиденциальным данным можно отнести, например, следующие: личную информацию пользователей; учетные записи (имена и пароли); данные о кредитных картах; данные о разработках и различные внутренние документы; бухгалтерские сведения. Конфиденциальная информация должна быть известна только допущенным и прошедшим проверку (авторизованным) субъектам системы (пользователям, процессам, программам). Для остальных субъектов системы эта информация должна быть неизвестной.

Установление градаций важности защиты защищаемой информации (объекта защиты) называют категорированием защищаемой информации.

Под целостностью информации понимается свойство информации сохранять свою структуру и/или содержание в процессе передачи и хранения. Целостность информации обеспечивается в том случае, если данные в системе не отличаются в семантическом отношении от данных в исходных документах, т. е. если не произошло их случайного или преднамеренного искажения или разрушения. Обеспечение целостности данных является одной из сложных задач защиты информации.

Достоверность информации - свойство информации, выражающееся в строгой принадлежности субъекту, который является ее источником, либо тому субъекту, от которого эта информация принята.

Юридическая значимость информации означает, что документ, являющийся носителем информации, обладает юридической силой.

Доступность данных. Работа пользователя с данными возможна только в том случае, если он имеет к ним доступ.

Доступ к информации - получение субъектом возможности ознакомления с информацией, в том числе при помощи технических средств. Субъект доступа к информации - участник правоотношений в информационных процессах.

Оперативность доступа к информации - это способность информации или некоторого информационного ресурса быть доступными для конечного пользователя в соответствии с его оперативными потребностями.

Собственник информации - субъект, в полном объеме реализующий полномочия владения, пользования, распоряжения информацией в соответствии с законодательными актами.

Владелец информации - субъект, осуществляющий владение и пользование информацией и реализующий полномочия распоряжения в пределах прав, установленных законом и/или собственником информации.

Пользователь (потребитель) информации - субъект, пользующийся информацией, полученной от ее собственника, владельца или посредника в соответствии с установленными правами и правилами доступа к информации либо с их нарушением.

Право доступа к информации - совокупность правил доступа к информации, установленных правовыми документами или собственником либо владельцем информации.

Правило доступа к информации - совокупность правил, регламентирующих порядок и условия доступа субъекта к информации и ее носителям.

Различают санкционированный и несанкционированный доступ к информации.

Санкционированный доступ к информации - это доступ к информации, не нарушающий установленные правила разграничения доступа. Правила разграничения доступа служат для регламентации права доступа к компонентам системы.

Несанкционированный доступ к информации - нарушение установленных правил разграничения доступа. Лицо или процесс, осуществляющие НСД к информации, являются нарушителями правил разграничения доступа. НСД является наиболее распространенным видом компьютерных нарушений.

Ответственным за защиту компьютерной системы от НСД к информации является администратор защиты.

Доступность информации подразумевает также доступность компонента или ресурса компьютерной системы, т. е. свойство компонента или ресурса быть доступным для законных субъектов системы. Примерный перечень ресурсов, которые могут быть доступны, включает: принтеры, серверы, рабочие станции, данные пользователей, любые критические данные, необходимые для работы.

Целостность ресурса или компонента системы - это свойство ресурса или компонента быть неизменным в семантическом смысле при функционировании системы в условиях случайных или преднамеренных искажений или разрушающих воздействий.

С допуском к информации и ресурсам системы связана группа таких важных понятий, как идентификация, аутентификация, авторизация. С каждым субъектом системы (сети) связывают некоторую информацию (число, строку символов), идентифицирующую субъект. Эта информация является идентификатором субъекта системы (сети). Субъект, имеющий зарегистрированный идентификатор, является законным (легальным) субъектом. Идентификация субъекта - это процедура распознавания субъекта по его идентификатору. Идентификация выполняется при попытке субъекта войти в систему (сеть). Следующим шагом взаимодействия системы с субъектом является аутентификация субъекта. Аутентификация субъекта - это проверка подлинности субъекта с данным идентификатором. Процедура аутентификации устанавливает, является ли субъект именно тем, кем он себя объявил. После идентификации и аутентификации субъекта выполняют процедуру авторизации. Авторизация субъекта - это процедура предоставления законному субъекту, успешно прошедшему идентификацию и аутентификацию, соответствующих полномочий и доступных ресурсов системы (сети).

Под угрозой безопасности АС понимаются возможные действия, способные прямо или косвенно нанести ущерб ее безопасности. Ущерб безопасности подразумевает нарушение состояния защищенности информации, содержащейся и обрабатывающейся в системе (сети). С понятием угрозы безопасности тесно связано понятие уязвимости компьютерной системы (сети). Уязвимость компьютерной системы - это присущее системе неудачное свойство, которое может привести к реализации угрозы. Атака на компьютерную систему - это поиск и/или использование злоумышленником той или иной уязвимости системы. Иными словами, атака - это реализация угрозы безопасности.

Противодействие угрозам безопасности является целью средств защиты компьютерных систем и сетей.

Защищенная система - это система со средствами защиты, которые успешно и эффективно противостоят угрозам безопасности.

Способ защиты информации - порядок и правила применения определенных принципов и средств защиты информации.

Средство защиты информации - техническое, программное средство, вещество и/или материал, предназначенные или используемые для защиты информации

Комплекс средств защиты (КСЗ) - совокупность программных и технических средств, создаваемых и поддерживаемых для обеспечения информационной безопасности системы (сети). КСЗ создается и поддерживается в соответствии с принятой в данной организации политикой безопасности.

Техника защиты информации - средства защиты информации, средства контроля эффективности защиты информации, средства и системы управления, предназначенные для обеспечения защиты информации.

Корпоративные сети относятся к распределенным автоматизированным системам (АС), осуществляющим обработку информации. Обеспечение безопасности АС предполагает организацию противодействия любому несанкционированному вторжению в процесс функционирования АС, а также попыткам модификации, хищения, выведения из строя или разрушения ее компонентов, т. е. защиту всех компонентов АС - аппаратных средств, программного обеспечения (ПО), данных и персонала. Конкретный подход к проблеме обеспечения безопасности основан на разработанной для АС политике безопасности .

Политика безопасности - это совокупность норм, правил и практических рекомендаций, регламентирующих работу средств защиты компьютерной системы от заданного множества угроз. Более подробные сведения о видах политики безопасности и процессе ее разработки приводятся в гл. 3.

Свойства информации

Предметом защиты

Объект защиты информации.

Угроза информации. Разновидности угроз.

Источниками внутренних угроз являются:

1. Сотрудники организации;

2. Программное обеспечение;

3. Аппаратные средства.

Внутренние угрозы могут проявляться в следующих формах:

Ошибки пользователей и системных администраторов;

Нарушения сотрудниками фирмы установленных регламентов сбора, обработки, передачи и уничтожения информации;

Ошибки в работе программного обеспечения;

Отказы и сбои в работе компьютерного оборудования.

К внешним источникам угроз относятся:

1. Kомпьютерные вирусы и вредоносные программы;

2. Организации и отдельные лица;

3. Стихийные бедствия.

Формами проявления внешних угроз являются:

Заражение компьютеров вирусами или вредоносными программами;

Несанкционированный доступ (НСД) к корпоративной информации;

Информационный мониторинг со стороны конкурирующих структур, разведывательных и специальных служб;

Действия государственных структур и служб, сопровождающиеся сбором, модификацией, изъятием и уничтожением информации;

Аварии, пожары, техногенные катастрофы.

Все перечисленные нами виды угроз (формы проявления) можно разделить на умышленные и неумышленные.

Угроза информации. Варианты классификации угроз.

Существуют различные способы классификации угроз безопасности: по объекту воздействия, по источнику угрозы, способам ее осуществления, возможным последствиям и видам ущерба. Одновременно могут использоваться несколько критериев классификации, например, угрозы, классифицированные по объекту воздействия, дополнительно, внутри каждого класса, могут классифицироваться по видам ущерба и источникам угрозы.

По способам воздействия на объекты информационной безопасности угрозы подлежат следующей классификации: информационные, программные, физические, радиоэлектронные и организационно-правовые .

К информационным угрозам относятся:

Несанкционированный доступ к информационным ресурсам;

Незаконное копирование данных в информационных системах;

Хищение информации из библиотек, архивов, банков и баз данных;

Нарушение технологии обработки информации;

Противозаконный сбор и использование информации;

Использование информационного оружия.

К программным угрозам относятся:

Использование ошибок и "дыр" в ПО;

Компьютерные вирусы и вредоносные программы;

Установка "закладных" устройств;

К физическим угрозам относятся:

Уничтожение или разрушение средств обработки информации и связи;

Хищение носителей информации;

Хищение программных или аппаратных ключей и средств криптографической защиты данных;

Воздействие на персонал;

К радиоэлектронным угрозам относятся:

Внедрение электронных устройств перехвата информации в технические средства и помещения;

Перехват, расшифровка, подмена и уничтожение информации в каналах связи.

К организационно-правовым угрозам относятся:

Закупки несовершенных или устаревших информационных технологий и средств информатизации;

Нарушение требований законодательства и задержка в принятии необходимых нормативно-правовых решений в информационной сфере.

Каналы утечки информации.

Косвенные каналы не требуют непосредственного доступа к техническим средствам информационной системы:

Кража или утеря носителей информации, исследование не уничтоженного мусора;

Дистанционное фотографирование, прослушивание;

Перехват электромагнитных излучений.

Прямые каналы требуют доступа к аппаратному обеспечению и данным информационной системы.

Инсайдеры (человеческий фактор). Утечка информации вследствие несоблюдения коммерческой тайны;

Прямое копирование.

Каналы утечки информации можно также разделить по физическим свойствам и принципам функционирования:

Акустические - запись звука, подслушивание и прослушивание;

Акустоэлектрические - получение информации через звуковые волны с дальнейшей передачей ее через сети электропитания;

Виброакустические - сигналы, возникающие посредством преобразования информативного акустического сигнала при воздействии его на строительные конструкции и инженерно-технические коммуникации защищаемых помещений;

Оптические - визуальные методы, фотографирование, видео съемка, наблюдение;

Электромагнитные - копирование полей путем снятия индуктивных наводок;

Радиоизлучения или электрические сигналы от внедренных в технические средства и защищаемые помещения специальных электронных устройств съема речевой информации “закладочных устройств”, модулированные информативным сигналом;

Материальные - информация на бумаге или других физических носителях информации

Криптография. Основные понятия.

Криптогра­фия занимается разработкой методов преобразования (шифрования) информации с целью ее защиты от незаконных пользователей. Такие методы и способы преобразования информации называются шифрами .

Шифрование (зашифрование) - процесс применения шифра к защи­щаемой информации, т.е. преобразование защищаемой информации (от­крытого текста) в шифрованное сообщение (шифртекст, криптограмму) с помощью определенных правил, содержащихся в шифре.

Дешифрование - процесс, обратный шифрованию, т.е. преобразова­ние шифрованного сообщения в защищаемую информацию с помощью определенных правил, содержащихся в шифре (на основе ключа шифрованный текст преобразуется в исходный).

Ключ - сменный элемент шифра, ко­торый применяется для шифрования конкретного сообщения. Например, ключом может быть величина сдвига букв шифртекста отно­сительно букв открытого текста.

Вскрытие (взламывание) шифра ― процесс получения защищаемой информации из шифрованного сообщения без знания примененного ши­фра.

Стойкость шифра - способность шифра противостоять всевозможным атакам на него называют.

Атака на шифр - попытка вскрытия этого шифра.

Криптоанализ - наука (и практика ее применения) о методах и способах вскрытия шифров.

Шифр замены осуществляет преобразование замены букв или других «частей» открытого текста на аналогичные «части» шифрованно­го текста.

Алфавит - конечное множество используемых для кодирования информации знаков.

Текст - упорядоченный набор из элементов алфавита.

Ключ - ин­фор­ма­ция, не­об­хо­ди­мая для бес­пре­пят­ст­вен­но­го шиф­ро­ва­ния и де­шиф­ро­ва­ния тек­стов.

Стенография. Основные понятия

Стеганография - это метод организации связи, который собственно скрывает само наличие связи. В отличие от криптографии, где неприятель точно может определить является ли передаваемое сообщение зашифрованным текстом, методы стеганографии позволяют встраивать секретные сообщения в безобидные послания так, чтобы невозможно было заподозрить существование встроенного тайного послания

В качестве данных может использоваться любая информация: текст, сообщение, изображение и т. п. По аналогии с криптографией, по типу стегоключа стегосистемы можно подразделить на два типа:

• с секретным ключом;
• с открытым ключом.

В стегосистеме с секретным ключом используется один ключ, который должен быть определен либо до начала обмена секретными сообщениями, либо передан по защищенному каналу.В стегосистеме с открытым ключом для встраивания и извлечения сообщения используются разные ключи, которые различаются таким образом, что с помощью вычислений невозможно вывести один ключ из другого. Поэтому один ключ (открытый) может передаваться свободно по незащищенному каналу связи. Кроме того, данная схема хорошо работает и при взаимном недоверии отправителя и получателя.

Любая стегосистема должна отвечать следующим требованиям:

• Свойства контейнера должны быть модифицированы, чтобы изменение невозможно было выявить при визуальном контроле. Это требование определяет качество сокрытия внедряемого сообщения: для обеспечения беспрепятственного прохождения стегосообщения по каналу связи оно никоим образом не должно привлечь внимание атакующего.
• Стегосообщение должно быть устойчиво к искажениям, в том числе и злонамеренным. В процессе передачи изображение (звук или другой контейнер) может претерпевать различные трансформации: уменьшаться или увеличиваться, преобразовываться в другой формат и т. д. Кроме того, оно может быть сжато, в том числе и с использованием алгоритмов сжатия с потерей данных.
• Для сохранения целостности встраиваемого сообщения необходимо использование кода с исправле нием ошибки.

Политики безопасности. Основные понятия

Политика безопасности (информации в организации) (англ. Organizational security policy ) - совокупность документированных правил, процедур, практических приёмов или руководящих принципов в области безопасности информации, которыми руководствуется организация в своей деятельности.

Для построения Политики информационной безопасности рекомендуется отдельно рассматривать следующие направления защиты информационной системы :

§ Защита объектов информационной системы;

§ Защита процессов, процедур и программ обработки информации;

§ Защита каналов связи (акустические, инфракрасные, проводные, радиоканалы и др.);

§ Подавление побочных электромагнитных излучений;

§ Управление системой защиты.

При этом по каждому из перечисленных выше направлений Политика информационной безопасности должна описывать следующие этапы создания средств защиты информации:

1. Определение информационных и технических ресурсов, подлежащих защите;

2. Выявление полного множества потенциально возможных угроз и каналов утечки информации;

3. Проведение оценки уязвимости и рисков информации при имеющемся множестве угроз и каналов утечки;

4. Определение требований к системе защиты;

5. Осуществление выбора средств защиты информации и их характеристик;

6. Внедрение и организация использования выбранных мер, способов и средств защиты;

7. Осуществление контроля целостности и управление системой защиты.

17 .Основумандатной (полномочной) политики безопасности составляет мандатное управление доступом (Mandatory Access Control – МАС), которое подразумевает, что: все субъекты и объекты системы должны быть однозначно идентифицированы;

уровнем доступа .Основная цель мандатной политики безопасности – предотвращение утечки информации от объектов с высоким уровнем доступа к объектам с низким уровнем доступа, т.е. противодействие возникновению в АС информационных каналов сверху вниз.
Чаще всего мандатную политику безопасности описывают в терминах, понятиях и определениях свойств модели Белла-Лапалуда, которая будет рассмотрена позже. В рамках данной модели доказывается важное утверждение, указывающее на принципиальное отличие систем, реализующих мандатную защиту, от систем с дискреционной защитой: если начальное состояние системы безопасно, и все переходы системы из состояния в состояние не нарушают ограничений, сформулированных политикой безопасности, то любое состояние системы безопасно .
Кроме того, по сравнению с АС, построенными на основе дискреционной политики безопасности, для систем, реализующих мандатную политику, характерна более высокая степень надежности. Это связано с тем, что МБО такой системы должен отслеживать, не только правила доступа субъектов системы к объектам, но и состояния самой АС. Т.о. каналы утечки в системах данного типа не заложены в нее непосредственно, а могут появиться только при практической реализации системы.

15. Интегральной характеристикой защищаемой системы является политика безопасности – качественное (или количественно–качественное) выражение свойств защищенности в терминах, представляющих систему.
Наиболее часто рассматриваются политики безопасности, связанные с понятием «доступ». Доступ – категория субъективно–объективной политики, описывающая процесс выполнения операций субъектов над объектами.
Политика безопасности включает:

o множество операций субъектов над объектами;

o для каждой пары «субъект – объект» (Si,Oi) множество разрешенных операций, из множества возможных операций.

Существуют следующие типы политик безопасности: дискреционная, мандатная и ролевая.
Основой дискреционной (дискретной) noлumuкu бeзonacнocmu является дискреционное управление доступом (Discretionary Access Control – DAC), которое определяется двумя свойствами:

o все субъекты и объекты должны быть идентифицированы;

o права доступа субъекта к объекту системы определяются на основании некоторого внешнего по отношению к системе правила.

В качестве примера реализаций дискреционной политики безопасности в AC можно привести матрицу доступов, строки которой соответствуют субъектам системы, а столбцы – объектам; элементы матрицы характеризуют права доступа. К недостаткам относится статичность модели (данная политика безопасности не учитывает динамику изменений состояния AC, не накладывает ограничений на состояния системы.Мандатное управление доступом (Mandatory Access Control – МАС), которое подразумевает, что:

o все субъекты и объекты системы должны быть однозначно идентифицированы;

o задан линейно упорядоченный набор меток секретности;

o каждому объекту системы присвоена метка секретности, определяющая ценность содержащейся в нем информации – его уровень секретности в AC;

o каждому субъекту системы присвоена метка секретности, определяющая уровень доверия к нему в AC – максимальное значение метки секретности объектов, к которым субъект имеет доступ; метка секретности субъекта называется его уровнем доступа .

Ролевое управление доступом.
При большом количестве пользователей традиционные подсистемы управления доступом становятся крайне сложными для администрирования. Число связей в них пропорционально произведению количества пользователей на количество объектов. Необходимы решения в объектно-ориентированном стиле, способные эту сложность понизить.
Таким решением является ролевое управление доступом (РУД). Суть его в том, что между пользователями и их привилегиями появляются промежуточные сущности – роли. Для каждого пользователя одновременно могут быть активными несколько ролей, каждая из которых дает ему определенные права.

Факторы аутентификации

Ещё до появления компьютеров использовались различные отличительные черты субъекта, его характеристики. Сейчас использование той или иной характеристики в системе зависит от требуемой надёжности, защищенности и стоимости внедрения. Выделяют 3 фактора аутентификации:

Что-то, что мы знаем - пароль. Это секретная информация, которой должен обладать только авторизованный субъект. Паролем может быть речевое слово, текстовое слово, комбинация для замка или персональный идентификационный номер (PIN). Парольный механизм может быть довольно легко реализован и имеет низкую стоимость. Но имеет существенные минусы: сохранить пароль в секрете зачастую бывает проблематично, злоумышленники постоянно придумывают новые методы кражи, взлома и подбора пароля (см. бандитский криптоанализ). Это делает парольный механизм слабозащищенным.

Что-то, что мы имеем - устройство аутентификации. Здесь важен факт обладания субъектом каким-то уникальным предметом. Это может быть личная печать, ключ от замка, для компьютера это файл данных, содержащих характеристику. Характеристика часто встраивается в специальное устройство аутентификации, например, пластиковая карта, смарт-карта. Для злоумышленника заполучить такое устройство становится более проблематично, чем взломать пароль, а субъект может сразу же сообщить в случае кражи устройства. Это делает данный метод более защищенным, чем парольный механизм, однако, стоимость такой системы более высокая.

Что-то, что является частью нас - биометрика. Характеристикой является физическая особенность субъекта. Это может быть портрет, отпечаток пальца или ладони, голос или особенность глаза. С точки зрения субъекта, данный метод является наиболее простым: не надо ни запоминать пароль, ни переносить с собой устройство аутентификации. Однако, биометрическая система должна обладать высокой чувствительностью, чтобы подтверждать авторизованного пользователя, но отвергать злоумышленника со схожими биометрическими параметрами. Также стоимость такой системы довольно велика. Но несмотря на свои минусы, биометрика остается довольно перспективным фактором.

Протоколы аутентификации

Аутентификация относится к проверке подлинности пользователя или компьютера. Когда пользователь входит в сеть, будь то в локальной сети или через подключение удаленного доступа, она должна будет указать имя пользователя и пароль, смарт-карты, сертификаты или другие средства доказывания того, что она, кто она утверждает, что она есть. Несколько протоколов аутентификации разработана для безопасного обмена информацией аутентификации сетевых соединений и описаны в следующих пунктах.

Аутентификации протокола CHAP (CHAP) представляет собой протокол аутентификации, который используется в основном для подключений удаленного доступа PPP. CHAP является преемником Plain Authentication Protocol (PAP), которая передает имя пользователя и пароль в незашифрованном виде по сети информации. CHAP использует более безопасный метод, когда клиент входит в систему, то сервер посылает вызов запроса клиента, клиент ответов с вызовом, ответ, который хэшированного (в одну сторону зашифрованный) значение, основанное на имя пользователя / пароль, комбинации и случайное число. Сервер выполняет ту же шифрование и если полученное значение соответствует ответа от клиента, клиент проходит аутентификацию. Фактически пароль не передается по сети.

Аутентификации протокола CHAP (CHAP), позволяет избежать отправки паролей в незашифрованном виде по любому каналу связи. Под CHAP, во время переговоров пароль NAD создает проблемы (случайная последовательность) и отправляет его пользователю. PPP клиент пользователя создается дайджест (пароль объединяется с задачей), шифрует дайджест помощью одностороннего шифрования, и посылает дайджест к NAD.

NAD посылает этот дайджест, как пароль в Access-Request.

Потому что шифрование является односторонним, Steel-Belted Radius перевозчик не может восстановить пароль из дайджеста. Вместо этого, он выполняет идентичные операции, используя задачу значение NAD (при условии в Access-Request пакет) и свою собственную копию пароля пользователя для создания своего собственного дайджеста. Если два матча дайджесты, пароль тот же.

Steel-Belted Carrier Радиус должен быть в состоянии выполнять операции дайджест для поддержки CHAP. Следовательно, он должен иметь доступ к своей собственной копией пароля пользователя. Родные пароли пользователей хранятся в Steel-Belted базе данных перевозчика Radius. SQL или LDAP аутентификации BindName получает пароль с помощью запроса к базе данных, получить пароль можно использовать для создания дайджеста если он находится в открытом тексте формы.

Информация и её свойства. Предмет защиты информации.

Информация - это сведения о лицах, фактах, предметах, явлениях, событиях и процессах.

Свойства информации

Объективность информации. Понятие объективности информации относительно. Более объективной является та информация, в которую методы обработки вносят меньше субъективности. Например, в результате наблюдения фотоснимка природного объекта образуется более объективная информация, чем при наблюдении рисунка того же объекта. В ходе информационного процесса объективность информации всегда понижается.

Полнота информации. Полнота информации характеризует достаточность данных для принятия решения. Чем полнее данные, тем шире диапазон используемых методов их обработки и тем проще подобрать метод, вносящий минимум погрешности в информационный процесс.

Адекватность информации. Это степень её соответствия реальному состоянию дел. Неадекватная информация может образовываться при создании новой информации на основе неполных или недостоверных данных. Однако полные и достоверные данные могут приводить к созданию неадекватной информации в случае применения к ним неадекватных методов.

Доступность информации. Это мера возможности получить информацию. Отсутствие доступа к данным или отсутствие адекватных методов их обработки приводят к тому, что информация оказывается недоступной.

Актуальность информации. Это степень соответствия информации текущему моменту времени. Поскольку информационные процессы растянуты во времени, то достоверная и адекватная, но устаревшая информация может приводить к ошибочным решениям. Необходимость поиска или разработки адекватного метода обработки данных может приводить к такой задержке в получении информации, что она становится ненужной.

Предметом защиты является информация, хранящаяся, обрабатываемая и передаваемая в компьютерных (информационных) системах. Особенностями данного вида информации являются:

Двоичное представление информации внутри системы, независимо от физической сущности носителей исходной информации;

Высокая степень автоматизации обработки и передачи информации;

Концентрация большого количества информации в КС.

Объект защиты информации.

Объекты защиты информации – это информация, носитель информации или информационный процесс, которые нуждаются в защите от несанкционированного доступа, изменения и копирования третьими лицами.

Основные объекты защиты информации

Информационные ресурсы, содержащие конфиденциальную информацию;

Системы и средства, обрабатывающие конфиденциальную информацию (технические средства приема, обработки, хранения и передачи информации (ТСПИ);

ТСПИ размещенные в помещениях обработки секретной и конфиденциальной информации. Общепринятая аббревиатура - ВТСС (вспомогательные технические средства и системы). К ВТСС относятся технические средства открытой телефонной связи, системы сигнализации, радиотрансляции и т.д., а также помещения, которые предназначены для обработки информации с ограниченного использования.