4. Недостаточностью защиты самих технических средств защиты компьютерной техники. Например, сегодня для защиты портов персонального компьютера, через которые подключается периферийное оборудование, широко используются специальные электронные ключи [Электронные ключи — небольшие устройства, подключаемые к параллельному или последовательному порту компьютера, через которые происходит соединение с периферийным оборудованием. При этом ключ не влияет на работу порта, он совершенно “прозрачен” для подсоединенных через него устройств.[47] Их действие основано на том, что специальная программа периодически проверяет идентификационные (“ключевые”) признаки строго определенного оборудования, при совпадении которых с эталоном обращение к определенному устройству возможно, а при несовпадении устройство становится недоступным. Сегодня существуют методы взлома такой защиты путем эмуляции ключа (перехватываются операции обращения к периферийным устройствам и передаются управляющей программе те данные, которые она должна считать из контролируемого порта, либо дополнительное электронное устройство генерирует такие же выходные значения, как и электронный ключ) или путем взлома с использованием отладчиков, анализирующих логику механизмов защиты и позволяющих получать доступ к устройствам вне зависимости от ключа.
5. Возможностью выхода российских пользователей ЭВМ в мировые информационные сети для обмена информацией, заключения контрактов, осуществления платежей и др. Подобный обмен в настоящее время производится абонентами самостоятельно, без контроля со стороны государственных органов, минуя географические и государственные границы.
6. Использованием в преступной деятельности современных технических средств, в том числе и ЭВМ. Во-первых, организованная преступность включена в крупномасштабный бизнес, выходящий за рамки отдельных государств, где без компьютеров невозможно руководить и организовывать сферу незаконной деятельности. Во-вторых, из организаций, использующих ЭВМ, значительно удобнее “вытягивать” деньги с помощью такой же техники, дающей возможность повысить прибыль и сократить риск.
7. Недостаточной защитой средств электронной почты на пути к адресату сообщение проходит через многочисленные компьютеры, причем часто новым маршрутом [В сети Internet из пяти посланных одному адресату сообщений даже два не проходят одинаковым путем.], к тому же при пересылке почты остается большое число копий, сильно снижающих уровень защиты. Э. Таили пишет “Сначала отправляемая информация сохраняется на жестком диске (копия 1) . Если делается резервное копирование, то остается резервная копия (копия 2 и 3 — у владельца компьютера и администратора сети). По пути сообщение пройдет через любое число узлов, теоретически не делающих копий, пока не достигнет сетевого администратора адресата. Там копия помещается в его входной почтовый ящик (копия 4) . Его администратор также может сделать резервную копию на ленту (копия 5) . Когда адресат получает сообщение, оно записывается на его жесткий диск (копия 6) . Если лицо, которому направлена почта, архивирует ее, то сообщение попадет в конечном счете еще на одну или большее количество его лент (копия 7) . При таком количестве копий можно с уверенностью сказать, что документ практически не защищен”. [48]
8. Небрежностью в работе пользователей ЭВМ. Последние не всегда серьезно относятся к обеспечению конфиденциальности информации и часто пренебрегают элементарными требованиями по ее защите:
- не уничтожают секретные файлы с компьютеров общего пользования; наделяют нескольких лиц правом доступа к любым компонентам сети;
- устанавливают сетевые серверы в общедоступных местах [Их надо размещать в закрытом помещении, в которое не имеет доступа никто, кроме сетевого администратора.];
- небрежно хранят записи паролей;
- используют упрощенные пароли, устанавливаемые для защиты информации. К основным недостаткам выбираемых паролей относятся: использование в них своего или чужого имени, фамилии; использование личной информации (дата рождения, номер телефона, название улицы, прозвище и т. д.);
- использование профессиональных слов (сотрудники ОВД используют иногда в качестве пароля слова типа “ОРД”, “Криминал” и т. д.); использование повторяющихся символов (типа “888888” или “ЙИЙЙЙ”). Если компьютер подключен к сети или телефонной линии, то лучше не использовать и “реальные” слова, ибо можно подобрать пароль с помощью компьютера. Типичный словарь, используемый в программе проверки орфографии текстового процессора, содержит около 250 тыс. слов. Эти слова с помощью специальных программ можно перепробовать в качестве пароля за несколько минут;
- доверяют пароли доступа к информации другим гражданам, например, своим подчиненным, которые в отдельных случаях, обращаются к ней в противоправных целях. Имеет место также ряд упущений организационного характера, к которым можно отнести: неконтролируемый доступ сотрудников и обслуживающего персонала к клавиатуре компьютера; низкий профессионализм или отсутствие служб информационной безопасности, отсутствие должностного лица, отвечающего за режим секретности и конфиденциальность компьютерной информации; отсутствие категорийности допуска сотрудников к машинной информации; отсутствие договоров (контрактов) с сотрудниками на предмет неразглашения конфиденциальной информации; недостаточное финансирование мероприятий по защите информации.
9. Непродуманной кадровой политикой в вопросах приема на работу и увольнения. Здесь показателен пример, имевший место в августе 1983 г. на Волжском автомобильном заводе в г. Тольятти. Следственной бригадой Прокуратуры РСФСР был изобличен программист, который из мести руководству предприятия умышленно внес изменения в программу для ЭВМ, обеспечивающей заданное технологическое функционирование автоматической системы подачи механических узлов на главный сборочный конвейер завода. В результате произошел сбой в работе главного конвейера, и заводу был причинен существенный материальный вред: 200 легковых автомобилей марки “ВАЗ” не сошло с конвейера, пока программисты не выявили и не устранили источник сбоев. При этом материальные потери составили 1 млн. руб. в ценах 1983 г.[49] Мировой опыт развития компьютерной техники свидетельствует, что специалисты высокой квалификации, неудовлетворенные условиями или оплатой труда, нередко уходят из компаний для того, чтобы начать собственный бизнес. При этом они “прихватывают” с собой различную информацию, являющуюся собственностью владельцев покидаемой фирмы, включая технологию, список потребителей и т.д. Иными словами, все, что имело какую-либо интеллектуальную ценность, покидало ворота предприятия в дипломатах, нанося при этом многомиллионные убытки.[50]
10. Низким уровнем специальной подготовки должностных лиц правоохранительных органов, в том числе и органов внутренних дел, которые должны предупреждать, раскрывать и расследовать неправомерный доступ к компьютерной информации. В Академии ФБР (США) с 1976 г. читается специальный трехнедельный курс “Техника расследования преступлений, связанных с использованием ЭВМ”.[51] В России же учебные планы высших учебных заведений МВД подобных курсов не содержат.
11. Отсутствием скоординированности в работе государственных и общественных структур в сфере обеспечения информационной безопасности. Деятельность последних охватывает лишь отдельные стороны названной проблемы. Помимо правоохранительных органов (МВД, ФСБ, ФСНП и прокуратуры) вопросами информационной безопасности занимаются Комитет по политике информатизации при Президенте РФ, Палата по информационным спорам при Президенте РФ, Федеральное агентство правительственной связи и информации при Президенте РФ, Государственная техническая комиссия при Президенте РФ, министерство связи РФ, Международная академия информатизации.
12. Ограничением на импорт в Россию защищенных от электронного шпионажа компьютеров и сетевого оборудования.[52] Чувствительная радиоэлектронная аппаратура позволяет уловить побочные электромагнитные излучения, идущие от незащищенной компьютерной техники, и полностью восстановить обрабатываемую компьютерную информацию. Кроме того, незащищенная аппаратура создает низкочастотные магнитные и электрические поля, интенсивность которых убывает с расстоянием, но способна вызвать наводки в близко расположенных проводах (охранной или противопожарной сигнализации, телефонной линии, электросети, трубах отопления и пр.). Чтобы перехватить низкочастотные колебания незащищенной компьютерной техники, приемную аппаратуру подключают непосредственно к вышеперечисленным коммуникациям за пределами охраняемой территории.
В этих условиях заметно повышается степень риска потери данных, а также возможность их копирования, модификации, блокирования. Причем это не чисто российская, а общемировая тенденция. Не исключено, что в скором времени проблема информационной безопасности и защиты данных станет в один ряд с такими глобальными проблемами современности, как экологический кризис, организованная преступность, отсталость развивающихся стран и др. Согласно опросу, проведенному в США среди менеджеров информационных систем и ответственных за защиту информации[53] , на вопрос, как изменилась степень риска потери данных за последние 5 лет, 85% респондентов ответили, что она повысилась, 9% ответили, что она снизилась, 6% затруднились ответить. Безопасность работы в сети Internet 40% респондентов оценили как неудовлетворительную, 28% — как удовлетворительную, и затруднились ответить 32% опрошеных. На вопрос, насколько высока угроза компьютерных вирусов, 67% опрошенных заявили, что они пострадали от них в 1996 г., оставшиеся 33%— не пострадали.
Предупреждение неправомерного доступа к компьютерной информации представляет собой деятельность по совершенствованию общественных отношений в целях максимального затруднения, а в идеале — полного недопущения возможности неправомерного доступа к компьютерной информации, хранящейся на машинных носителях; атакже к устройствам ввода данных в персональный компьютер и их получения.
Задачами предупреждения неправомерного доступа к компьютерной информации в соответствии со ст. 21 Федерального закона “Об информации, информатизации и защите информации” являются:
- предотвращение утечки, хищения, утраты, искажения, подделки информации;
- предотвращение угроз безопасности личности, общества, государства;
- предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации;
- предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы, обеспечение правового режима документированной информации как объекта собственности;
- зашита конституционных прав граждан на сохранение личной тайны и конфиденциальности персональных данных, имеющихся в информационных системах;
- сохранение государственной тайны, конфиденциальности документированной информации в соответствии с законодательством;
- обеспечение прав субъектов в информационных процессах и при разработке, производстве и применении информационных систем, технологий и средств их обеспечения.
Для выполнения поставленных задач используются средства защиты информации — технические, криптографические, программные и другие средства, предназначенные для защиты сведений (носящих конфиденциальный характер), средства, в которых они реализованы, а также средства контроля эффективности защиты информации (Ст. 2 Закона “О государственной тайне”). Понятие защиты данных включает в себя как разработку и внедрение соответствующих способов защиты, так и их постоянное использование.
О способах и средствах защиты компьютерной информации уже говорилось в гл. 1 и 2 данного научно-практического пособия.
Поскольку разновидностью неправомерного доступа к компьютерной информации являются разного рода хищения с использованием поддельных электронных карточек, необходимо выделить специфические организационные и программно-технические средства их защиты. Организационная защита кредитных карт должна включать, прежде всего, проверку их обеспеченности. Последнее зачастую не делается из-за опасений поставить такой проверкой клиента в неловкое положение. Кроме того, необходимо:
-обеспечить секретность в отношении предельных сумм, свыше которых производится проверка обеспеченности карты;
-регистрировать все операции с карточками;
ужесточить условия выдачи банками кредитных карт.
Программно-техническая защита электронных карт основывается на нанесении на магнитную полоску набора идентификационных признаков, которые не могут быть скопированы, а также узора из полос, нанесенного магнитными чернилами и запрессованного в материал карточки; использовании радиоактивных изотопов; использовании современных материалов; отказе от видимой на карточке подписи ее владельца.
В соответствии со ст. 21 Закона “Об информации, информатизации и защите информации” контроль за соблюдением требований к защите информации и эксплуатацией специальных программно-технических средств зашиты, а также обеспечение организационных мер защиты информационных систем, обрабатывающих информацию с ограниченным доступом в негосударственных структурах, осуществляются органами государственной власти. Контроль проводится в порядке, определяемом Правительством Российской Федерации. Собственник информационных ресурсов или уполномоченные им лица имеют право осуществлять контроль за выполнением требований по защите информации и запрещать или приостанавливать обработку информации в случае невыполнения этих требований. Он также вправе обращаться в органы государственной власти для оценки правильности выполнения норм и требований по защите его информации в информационных системах. Соответствующие органы определяет Правительство Российской Федерации. Эти органы соблюдают условия конфиденциальности самой информации и результатов проверки.
Субъектами, осуществляющими профилактику неправомерного доступа к компьютерной информации, являются:
1. Правоохранительные органы, поскольку профилактическая деятельность составляет обязательную составнуючасть правоохранительной деятельности. К ним относятся:
суд, прокуратура, органы внутренних дел, налоговой полиции, федеральной службы безопасности.
2. Органы межведомственного контроля: Комитет по политике информатизации при Президенте РФ, Палата по информационным спорам при Президенте РФ, Государственная техническая комиссия при Президенте РФ.
3. Отраслевые органы управления: Федеральное агентство правительственной связи и информации при Президенте РФ, министерство связи РФ.
4. Международные органы и общественные организации: Международная академия информатизации; в настоящее время обсуждается вопрос о введении Уполномоченных по защите данных.
5. Непосредственные руководители предприятий и организаций, в которых обращается конфиденциальная компьютерная информация, ответственные сотрудники по информационной безопасности.
7. ЗАКЛЮЧЕНИЕ
Итак, мы раскрыли некоторые преступные действия, которые могут стать не только причиной хищения, модификации или копирования информации, но и в значительной мере дестабилизировать работу АСОИ. И главными действующими лицами при этом выступают люди, которые могут совершать подобные деяния в силу различных обстоятельств. Это могут быть как собственные сотрудники организации, на долю которых приходится большинство противоправных действий, так и посторонние лица, имеющие опосредованное отношение к работе системы.
Как же организовать работу АСОИ так, чтобы предостеречь себя от различных опасностей. Если Вы решите сами заняться этой проблемой, то мы остановимся на некоторых наиболее распространенных способах защиты и программно-аппаратных продуктах.
Одним из основных принципов построения системы защиты является правильное распределение прав доступа к информации и ресурсам сети. Используя возможности программного обеспечения, Вы можете для каждого сотрудника Вашей организации назначить права, соответствующие его статусу, т.е. дать ему право пользоваться только той информацией и только теми ресурсами сети, которые Вы посчитаете достаточными для выполнения своих служебных обязанностей. При этом доступ к остальной информации для него будет ограничен. Причем любые попытки обращения к недоступной для него информации автоматически будут регистрироваться в специальном системном журнале. Эти же программы предусматривают ограничение на совершение различных действий пользователя с данными. Другими словами, пользователь может иметь права на чтение, изменение, удаление, копирование данных. Для дополнительной защиты каждый пользователь имеет свой пароль, который он хранит в тайне от других пользователей и который служит ему пропуском для работы в АСОИ, таким образом, лицо, не имеющее пароля не будет опущено до работы в автоматизированной системе. Описанные программы могут применяться не только для защиты компьютерных сетей, но и для защиты отдельных компьютеров, если они работают в многопользовательском режиме. Для повышения надежности защиты рекомендуется шифровать защищаемую информацию, причем делать это как на стадии ее хранения, так и обработки и передачи. Ограничьте доступ сотрудников и посторонних лиц в те помещения, в которых ведется обработка конфиденциальной информации. В этих целях можно применять замки, вместо ключа использующие магнитные карты или таблетки Touch Memory, где хранятся не только данные о ее владельце, но и "зашита" информация о его правах. Таким образом, Вы можете создать у себя на предприятии систему разграничения доступа в помещения, разрешив каждому сотруднику посещать только те помещения, где его присутствие необходимо или связано с выполнением своих функций, причем подобные ограничения можно внести не только на право посещения тех или иных помещений, но также разрешить посещать их только в определенное время. Попытки нарушить установленный порядок будут автоматически регистрироваться в системном журнале. На рынке программно-аппаратного обеспечения существует ряд продуктов, с помощью которых Вы в той или иной степени можете организовать систему защиты информации. Напомним лишь об одном. Отдавайте предпочтение сертифицированным продуктам. Тем самым Вы оградите себя от различного рода подделок.
8. Использованная литература:
-Конституция Российской Федерации (принята 12 декабря 1993 года.)
-Закон Российской Федерации "О информации, информатизации и защите информации". (Собр. Законов РФ, N 8.)
-Закон Российской Федерации "О государственной тайне" (Российская газета, 1993 г. 21 сентября.)
-Собрание законодательства Российской Федерации , 1995, № 8. - Ст. 609.
-Актуальные проблемы права, управления и природопользования. Труды НОСиА МНЭПУ. Вып. 1. М.: ПОЛТЕКС 1999. 312с.
-Большой толковый словарь русского языка. Составитель – С.А. Кузнецов «НОРИТ» Санкт-Питербург. 1998 г.
-Гражданское право. Часть I. Учебник. Под ред. Ю.К. Толстого, А.П. Сергеева. - М.: "Издательство ТЕИС", 1996. С. 190.).
-Гражданский кодекс Российской Федерации , Москва 1995 г.
-Новое уголовное право России. Особенная часть : Учебное пособие. - М.: Зерцало, ТЕИС, С. 273-274.
-Основы защиты коммерческой информации и интеллектуальной собственности в предпринимательской деятельности . Под ред. А.В. Назарова. - М.: “Научно-информационная внедренческая фирма “ЮКИС””, 1991. С. 4.
-Основы защиты коммерческой информации и интеллектуальной собственности в предпринимательской деятельности . Под ред. А.В. Назарова. - М.: “Научно-информационная внедренческая фирма “ЮКИС””, 1991. С. 34.
-Правовая информатика и кибернетика: Учебник . Под ред. Н.С. Полевого. - М.: "Юридическая литература", 1993. С. 24 - 25.
-Российское уголовное право . Особенная часть. Под ред. Кудрявцева В.Н., Наумова А.В. – М.: “Юристъ”, 1997. С. 345.
-Советское уголовное право . Общая часть. Под ред. Н.А. Беляева и М.И. Ковалева. - М.: “Юридическая литература”, 1977. С. 117.
-Уголовное право . Общая часть. Под ред. Кузнецовой Н.Ф., Ткачевского Ю.М., Борзенкова Г.Н. - М.: “МГУ”, 1993. С. 110.
-Уголовное право . Общая часть. Учебник Под ред. М.П. Журавлева, А.И. Рарога. - М.: — М.: “ИМПиЭ”, 1996. С. 61.
-Уголовное право . Общая часть. Учебник Под ред. Б.В. Здравомыслова, Ю.А. Красикова, А.И. Рарога. - М.: “Юридическая литература”, 1994. С. 160.
-Основы борьбы с организованной преступностью . Монография. Под ред. В.С. Овчинского, В.Е. Эминова, М., 1996. С.206
-Основы защиты коммерческой информации и интеллектуальной собственности в предпринимательской деятельности . Под ред. А.В. Назарова. - М.: “Научно-информационная внедренческая фирма “ЮКИС””, 1991. С. 47 - 48.
-Собрание актов Президента и
29-04-2015, 04:40