Виды атак в IP-сетях Подслушивание (sniffing) – подключение к линиям связи Парольные атаки Изменение данных «Угаданный ключ» Подмена доверенного субъекта. - презентация

1 Виды атак в IP-сетях Подслушивание (sniffing) – подключение к линиям связи Парольные атаки Изменение данных «Угаданный ключ» Подмена доверенного субъекта – хакер выдает себя за санкционированного пользователя (подмена IP-адреса) Перехват сеанса – хакер переключает установленное соединение на новый хост Посредничество в обмене незашифрованными ключами «Отказ в обслуживании» Атаки на уровне приложений – использование слабостей системного ПО (HTTP, FTP) Злоупотребление доверием Вирусы и приложения типа «троянский конь» Сетевая разведка – сбор информации о сети

2 Причины уязвимости IP-сетей 1.Аутентификация отправителя осуществляется исключительно по его IP-адресу. 2. Процедура аутентификации выполняется только на стадии установления соединения в дальнейшем подлинность принимаемых пакетов не проверяется. 3. Важнейшие данные, имеющие отношение к системе, передаются по сети в незашифрованном виде. «Врожденные слабости» служб Интернет: - простой протокол передачи электронной почты SMTP; - программа электронной почты Sendmail; - служба сетевых имен DNS; - служба эмуляции удаленного терминала Telnet; - всемирная паутина WWW; - протокол передачи файлов FTP.

3 Основные причины уязвимости IP-сетей 1. Сеть Internet разрабатывалась как открытая и децентрализованная сеть с изначальным отсутствием политики безопасности. 2. Большая протяженность линий связи и уязвимость основных служб. 3. Модель «клиент сервер», на которой основана работа в Internet, не лишена слабостей и лазеек в продуктах отдельных производителей. 4. Информация о существующих и используемых средствах защиты доступна пользователям. 5. Существует возможность наблюдения за каналами передачи данных. 6. Средства управления доступом сложно конфигурировать, настраивать и контролировать. 7. Использование большого числа сервисов, информационных служб и сетевых протоколов, освоение которых одному человеку в лице администратора сети практически недоступно. 8. Недостаток в специалистах по защите информации в Internet. 9. Существует потенциальная возможность обойти средства обнаружения отправителя информации либо посетителя Web-узла с помощью использования виртуальных IP-адресов. В 1993 году создана рабочая группа IP Security Working Group, разработан набор протоколов IPSec, основанных на современных технологиях шифрования и электронной цифровой подписи данных.

4 1. Территориальная разнесенность компонентов системы и как следствие наличие обмена информацией между ними. 2. Широкий спектр способов представления, хранения и передачи информации. 3. Интеграция данных различного назначения в единых базах данных и наоборот, размещение данных в различных узлах сети. 4. Использование режимов распределенной обработки данных. 5. Одновременное участие в процессах обработки информации большого количества пользователей с разными правами доступа. 6. Использование разнородных программно-технических средств обработки и систем телекоммуникаций. Проблемы информационной безопасности существенно зависят от типа информационных систем и сферы их применения. Особенности информационных систем распределенного типа:

5 Модель информационной безопасности

6 Специфические виды угроз для компьютерных сетей - несанкционированный обмен информацией между пользователями; - несанкционированный межсетевой доступ к информационным и техническим ресурсам сети; - отказ от информации, т.е. непризнание получателем (отправителем) этой информации факта ее получения (отправления); - отказ в обслуживании, который может сопровождаться тяжелыми последствиями для пользователя, обратившегося с запросом на предоставление сетевых услуг; - распространение сетевых вирусов.

7 Модель информационной безопасности

8 Способы и средства защиты информации в сетях

9 Защита от компьютерных вирусов Компьютерный вирус - это специально написанная программа, которая может "приписывать" себя к другим программам и выполнять различные нежелательные для пользователя действия на компьютере. Черви – это независимые программы, размножающиеся путем копирования самих себя через компьютерную сеть. Троянские кони (троян) – это программы, которые запускаются на компьютере не зависимо от согласия пользователя. Смешанные коды – это сравнительно новый класс вредоносных программ, сочетающий в себе свойства вирусов, червей и троянов. Жизненный цикл вируса: 1. Внедрение 2. Инкубационный период 3. Репродуцирование (саморазмножение) 4. Деструкция (искажение и/или уничтожение информации).

10 Классификация компьютерных вирусов

11 Симптомы заражения вирусами: 1.Подозрительная активность диска. 2.Беспричинное замедление работы компьютера. 3. Подозрительно высокий трафик в сети. 4. Изменение размеров и имен файлов. Классические антивирусные средства основаны на анализе сигнатур вирусов. Перспективным считается принцип отслеживания отклонений поведения программ и процессов от эталонного (например система Cisco Security Agent, разработанная компанией Cisco System). В России наиболее распространенными средствами антивирусной защиты являются продукты и технологии компаний: «Доктор WEB» ( «Лаборатория Касперского» (

12 Методы защиты сетей Парольная защита Требования к паролю: - в качестве пароля не может использоваться слово из какого бы то ни было языка; - длина пароля не может быть менее 8 символов; - один и тот же пароль не может быть использован для доступа к разным ресурсам; - старый пароль не должен использоваться повторно; - пароль должен меняться как можно чаще. Идентификация - процедура распознавания пользователя (процесса) по его имени. Аутентификация - процедура проверки подлинности пользователя, аппаратуры или программы для получения доступа к определенной информации или ресурсу. Криптографические методы защиты Привязка программ и данных к конкретному компьютеру (сети или ключу)

13 Методы защиты сетей Разграничение прав доступа пользователей к ресурсам сети Использование заложенных в ОС возможностей защиты Архитектурные методы защиты - физическая изоляция закрытого сегмента внутренней сети, содержащего конфиденциальную информацию, от внешней сети; - функциональное разделение внутренней сети на подсети, при котором в каждой подсети работают пользователи, объединенные по профессиональным интересам; - сеансовое (кратковременное) подключение внутренней сети к сегменту сети, подключенному к Internet, с помощью коммутатора или моста

14 Методы защиты сетей Межсетевой экран (брандмауэр, firewall) - это программная или программно-аппаратная система межсетевой защиты, позволяющая разделить две (или более) взаимодействующие сети и реализовать набор правил, определяющих условия прохождения пакетов из одной сети в другую.

15 Методы защиты сетей

16 Построение защищенных виртуальных частных сетей VPN (Virtual Private Networks). Защищенной виртуальной сетью VPN называют соединение локальных сетей и отдельных компьютеров через открытую внешнюю среду передачи информации в единую виртуальную корпоративную сеть, обеспечивающую безопасность данных.

17 Безопасность беспроводных сетей Виды рисков: 1. Хищение услуг. Злоумышленник может получить доступ к Интернету. 2. Отказ в услугах. Хакер может стать источником большого количества запросов на подключение к сети, в результате чего затруднить подключение законных пользователей. 3. Хищение или разрушение данных. Злоумышленник, подключившись к сети, может получить доступ к файлам и папкам, а следовательно получить возможность копирования, модификации и удаления. 4. Перехват контроля над сетью. Злоумышленник, используя слабые места в системе безопасности, может внедрить троянского коня или назначить такие права доступа, которые могут привести к незащищенности компьютера от атак из сети Интернет. Спецификации беспроводных сетей: группа х института IEEE. Web-сайты группы: Протокол безопасности уровня передачи данных WEP (Wired Equivalent Privacy секретность, эквивалентная проводным сетям)

18 «На сегодняшний день не предложено ни одного действенного метода защиты для обеспечения полного управления рисками, связанными с беспроводными сетями» Э. Мэйволд, «Безопасность сетей» Беспроводные сети. Проблемы с защитой информации Угрозы безопасности 1. Несанкционированный доступ к ресурсам корпоративной сети 2. Внедрение вредоносных программ 3. Использование сети для атак на другие сети (2 уголовных дела в СамГУ)

19 Безопасность беспроводных сетей Дополнительные меры безопасности: 1. Избегать соединения беспроводной сети с проводной ЛВС. Беспроводная точка доступа подключается к маршрутизатору или к интерфейсу брандмауэра. 2. Для реализации беспроводных соединений использовать виртуальные частные сети (VPN). 3. Использовать инструментальные средства сканирования для проверки сети на предмет наличия уязвимых мест в системе безопасности. 4. Регулярно проверять журнал регистрации подключений для контроля всех сетевых подключений.

20 Нормативная база Принятые во второй половине 90-х годов законодательные акты уже не отвечают современному состоянию общественных отношений и реалиям использования информационных технологий и информационно-телекоммуникационных сетей, по отдельным вопросам вступают в противоречие с более поздними актами, тормозят развитие информационного общества. Информационная сфера - одна из наиболее динамичных и быстро развивающихся сфер общественных отношений, нуждающихся в адекватном правовом регулировании.

21 Нормативная база Статья 15 Конституции РФ: «Общепризнанные принципы и нормы международного права и международные договоры РФ являются составной частью ее правовой системы. Если международным договором РФ установлены иные правила, чем предусмотренные законом, то применяются правила международного договора».

22 Международный уровень 1. «Конвенция, учреждающая Всемирную организацию интеллектуальной собственности» (Стокгольм, Вступила в силу для СССР ). 2. «Всемирная конвенция об авторском праве» (Женева, Пересмотрена в Париже Вступила в силу для СССР ). 3. «Бернская конвенция об охране литературных и художественных произведений в редакции 1971 года». РФ присоединилась «Конвенция Совета Европы о защите физических лиц при автоматизи- рованной обработке персональных данных». Страсбург, Ратифицирована Законом РФ от ФЗ. 5. «Окинавская Хартия глобального информационного общества» Окинава. 22 июля 2000 года. 6. Декларация принципов. «Построение информационного общества – глобальная задача в новом тысячелетии». Всемирная встреча на высшем уровне по вопросам информационного общества. Женева «Международная конвенция об охране прав исполнителей, изготовителей фонограмм и вещательных организаций» (Рим, Вступила в силу для Российской Федерации ). 8. «Конвенция об охране интересов производителей фонограмм от незаконного воспроизводства их фонограмм» (Женева, Вступила в силу для Российской Федерации ).

23 Нормативная база Конвенция Совета Европы о компьютерных преступлениях. СДСЕ 185. (Будапешт. Открыта для подписания , вступила в силу Не подписана Российской Федерацией). ЗАРУБЕЖНЫЕ НОРМАТИВЫ: Оранжевая книга" – гос. стандарт США "Критерии оценивания безопасности надежных вычислительных систем" (1984г.); Европейские критерии безопасности информационных технологий; Федеральные критерии безопасности информационных технологий США; Канадские критерии безопасности компьютерных систем; Единые критерии оценивания безопасности информационных технологий. Единый международный стандарт оценивания безопасности информационных технологий (ISO 15408: 1999)

24 Нормативная база Концептуальные документы РФ 1. «Конституция Российской Федерации» от «Доктрина информационной безопасности Российской Федерации». Утверждена Указом Президента РФ от Пр «Концепция национальной безопасности Российской Федерации» Утверждена Указом Президента РФ от «Концепция использования информационных технологий в деятель- ности федеральных органов государственной власти до 2010 года». Распоряжение Правительства РФ от р. 5. «Концепции создания системы персонального учета населения Российской Федерации». Утверждена Распоряжением Правительства РФ от р. 6. «Концепция региональной информатизации до 2010 года». Одобрена распоряжением Правительства РФ от р. 7. «Руководящий документ. Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации». Утвержден решением Гостехкомиссии от Стратегия развития информационного общества в России. Утверждена Советом Безопасности Российской Федерации г.

25 Нормативная база Федеральные Законы 1. «О средствах массовой информации» от ( с последними изменениями от ). 2. «Об оперативно-розыскной деятельности» от (с последними изменениями от ). 3. «Уголовный кодекс Российской Федерации» от (с последними изменениями и дополнениями от ) 4. «О лицензировании отдельных видов деятельности» от (с последними изменениями и дополнениями от ). 5. «Кодекс РФ об административных правонарушениях» от (с последними изменениями от ). 6. «Трудовой Кодекс Российской Федерации» от (с последними изменениями от ). 7. «Об электронной цифровой подписи» от «О техническом регулировании» от (с изм. от ). 9. «О персональных данных» от ФЗ. 10. «О рекламе» от (с изменениями от ).

26 Нормативная база Федеральные Законы 11. «Гражданский кодекс Российской Федерации» от (ч. 4 вступила в силу с 1 января 2008 года) Утратили силу законы: от "О товарных знаках, знаках обслуживания и наименованиях мест происхождения товаров" от "О правовой охране программ для электронных вычислительных машин и баз данных" от "О правовой охране топологий интегральных микросхем" от Об авторском праве и смежных правах от «Патентный закон» 12. «Об информации, информационных технологиях и о защите информации» от ФЗ. Утратили силу законы: «Об информации, информатизации и защите информации» от «Об участии в международном информационном обмене» от

27 Составляющие авторского права Права ЛичныеИмущественные Право авторства. Право на имя. Право на целостность. Выпуск в свет. Воспроизведение. Распространение. Иное использование. Все действия без согласия правообладателя незаконны!

28 Компьютерное пиратство Экземпляры программ для ЭВМ или базы данных, изготовленные (введенные в хозяйственный оборот) с нарушением авторских прав, называются контрафактными. Незаконное копирование Незаконная установка программ на компьютеры Изготовление подделок Нарушение ограничений лицензии Интернет-пиратство

29 Ответственность, предусмотренная законом Уголовная ответственность 1. непосредственный нарушитель 2. должностное лицо (руководитель) Уголовный Кодекс РФ Административная ответственность 1. непосредственный нарушитель 2. должностное лицо (руководитель) 3. юридическое лицо Кодекс РФ об административных правонарушениях Гражданско-правовая ответственность 1. непосредственный нарушитель (суд общей юрисдикции) 2. юридическое лицо (арбитражный суд) Гражданский Кодекс РФ

30 Нормативная база «Окинавская Хартия глобального информационного общества» г. Информационно-коммуникационные технологии являются одним из наиболее важных факторов, влияющих на формирование общества двадцать первого века. Основные принципы: защита прав интеллектуальной собственности на ИТ; обязательство правительств использовать только лицензированное программное обеспечение; защиты частной жизни при обработке личных данных. Усилия международного сообщества, направленные на развитие глобального информационного общества, должны сопровождаться согласованными действия- ми по созданию безопасного и свободного от преступности киберпространства. Содействовать использованию бесплатного, общедоступного информационного наполнения и открытых для всех пользователей программных средств, соблюдая при этом права на интеллектуальную собственность. Содействие подготовке специалистов в сфере ИТ, а также в нормативной сфере.

31 Нормативная база «Всемирная конвенция об авторском праве» Постановление Правительства РФ от 3 ноября 1994 г. N 1224 «О присоединении Российской Федерации к Бернской конвенции об охране литературных и художественных произведений от 9 сентября 1886 г., пересмотренной в Париже 24 июля 1971 г. и измененной 2 октября 1979 г., Всемирной конвенции об авторском праве, пересмотренной в г. Париже 24 июля 1971 г., и дополнительным Протоколам 1 и 2, Конвенции от 29 октября 1971 г. об охране интересов производителей фонограмм от незаконного воспроизводства их фонограмм». Каждое Договаривающееся Государство обязуется принять все меры по обеспечению соответствующей и эффективной охраны прав авторов и других лиц, обладающих авторским правом, на литературные, научные и художественные произведения. Срок охраны произведений, предоставляемой в соответствии с Конвенцией, не может быть короче периода, охватывающего время жизни автора и двадцать пять лет после его смерти.

32 Нормативная база Конституция Российской Федерации определяет базовые принципы общественных отношений в информационной сфере. Статья 15. Любые нормативные правовые акты, затрагивающие права, свободы и обязанности человека и гражданина, не могут применяться, если они не опубликованы официально для всеобщего сведения. Статья 23. Каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени. Статья 24. Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются. Статья 29. Каждый имеет право свободно искать, получать, передавать, производить и распространять информацию любым законным способом. Гарантируется свобода массовой информации. Цензура запрещается. Статья 44. Интеллектуальная собственность охраняется законом.

33 Органы обеспечения ИБ Сайт органов государственной власти РФ:

34 Президент РФ ( в пределах своих полномочий создает, реорганизует и руководит органами по обеспечению информационной безопасности (ИБ), определяет приоритетные направления государственной политики в данной области. Совет Безопасности РФ ( проводит работу по выявлению и оценке угроз ИБ РФ; разрабатывает важнейшие концептуальные документы в области национальной безопасности; координирует деятельность органов по обеспечению ИБ; контролирует реализацию органами исполнительной власти решений Президента в этой области. Указом Президента от утверждена Межведомственная комиссия Совета Безопасности по ИБ. Указом Президента создана Межведомственная комиссия по защите государственной тайны. (Указ от переопределены функции)

35 Нормативная база Указ Президента Российской Федерации 9 от г. "О создании Государственной технической комиссии при Президенте Российской Федерации" - государственный орган, курирующий вопросы защиты информации. Руководящие документы Гостехкомиссии: 1. «Концепция защиты средств вычислительной техники от несанкционированного доступа к информации», 1992 г.; 2. «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации», 1992 г.; 3. «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации», 1992 г. 4. Критерии оценки безопасности информационных технологий. Введен в действие Приказом Гостехкомиссии от г. 187 (Часть 1, 2, 3). Соответствует ГОСТ Р ИСО/МЭК

36 Нормативная база - ГОСТ Р Средства вычислительной техники. Защита от несанкционированного доступа к информации. Общие технические требования"; - ГОСТ Р Защита информации. Основные термины и определения. - ГОСТ Р Защита информации. Объект информации.Факторы, воздействующие на информацию.Общие положения. - ГОСТ Р Защита информации. Порядок создания систем в защищенном исполнении. ЗАРУБЕЖНЫЕ НОРМАТИВЫ: Оранжевая книга" – гос. стандарт США "Критерии оценивания безопасности надежных вычислительных систем" (1984г.); Европейские критерии безопасности информационных технологий; Федеральные критерии безопасности информационных технологий США; Канадские критерии безопасности компьютерных систем; Единые критерии оценивания безопасности информационных технологий. Единый международный стандарт оценивания безопасности информационных технологий (ISO 15408: 1999)

37 Нормативная база Государственный стандарт ГОСТ Р ИСО/МЭК «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий» («Общие критерии») – призваны заменить прежние руководящие документы путем интеграции с мировым сообществом. Указом Президента РФ 1085 от г. создана Федеральная служба по техническому и экспортному Контролю (ФСТЭК), которая является преемником Государственной технической комиссии. Выполняет специальные и контрольные функции в области государственной безопасности по вопросам: 1). Обеспечения безопасности информации в системах информационной и телекоммуникационной инфраструктуры; 2). Обеспечения защиты (не криптографическими методами) информации, содержащей сведения, составляющие государственную тайну. 3). Противодействия иностранным техническим разведкам

38 Нормативная база Полномочия ФСТЭК: 1.Разрабатывает стратегию по обеспечению безопасности информации. 2. Проводит лицензирование деятельности по оказанию услуг в области технической защиты государственной тайны, по созданию средств защиты информации. 3. Организует проведение сертификации средств технической защиты информации, обеспечения безопасности информационных технологий. 4. Организует разработку программ стандартизации, технических регламентов и национальных стандартов в области обеспечения безопасности информации.

39 Федеральная служба безопасности (ФСБ) 1. Обеспечение защиты сведений, составляющих государственную тайну. 2. Формирование и реализация государственной и научно- технической политики в области обеспечения ИБ. 3. Организация обеспечения криптографической безопасности информационно-телекоммуникационных систем. 4. Разработка и утверждение нормативных и методических документов по вопросам обеспечения ИБ информационно- телекоммуникационных систем и сетей критически важных объектов. 5. Осуществляет и организует сертификацию средств защиты информации 6. Лицензирование деятельности по: - разработке, производству, техническому обслуживанию шифровальных (криптографических) средств; - предоставлению услуг в области шифрования информации.

40 Федеральная служба по интеллектуальной собственности, патентам и товарным знакам создана Постановлением Правительства РФ от в ведении Министерства образования и науки Российской Федерации. ( Министерство информационных технологий и связи ( Федеральное агентство по информационным технологиям (Указ Президента от ). Федеральная служба по надзору в сфере массовых коммуни- каций, связи и охраны культурного наследия (Указ Президента РФ от ) образована слиянием Россвязьнадзора и Росохранкультуры.

41 Федеральная служба по интеллектуальной собственности, патентам и товарным знакам создана Постановлением Правительства РФ от в ведении Министерства образования и науки Российской Федерации. ( Министерство информационных технологий и связи ( Федеральное агентство по информационным технологиям (Указ Президента от ). Федеральная служба по надзору в сфере массовых коммуни- каций, связи и охраны культурного наследия (Указ Президента РФ от ) образована слиянием Россвязьнадзора и Росохранкультуры. Очередная реформа: Указ Президента РФ от : Министерство связи и массовых коммуникаций

42 Федеральная служба по интеллектуальной собственности, патентам и товарным знакам создана Постановлением Правительства РФ от в ведении Министерства образования и науки Российской Федерации. ( Министерство информационных технологий и связи ( Федеральное агентство по информационным технологиям (Указ Президента от ). Федеральная служба по надзору в сфере массовых коммуни- каций, связи и охраны культурного наследия (Указ Президента РФ от ) образована слиянием Россвязьнадзора и Росохранкультуры. Очередная реформа: Указ Президента РФ от : Министерство связи и массовых коммуникаций Федеральная служба по надзору в сфере связи и массовых коммуникаций.

43 Федеральная служба по интеллектуальной собственности, патентам и товарным знакам создана Постановлением Правительства РФ от в ведении Министерства образования и науки Российской Федерации. ( Министерство информационных технологий и связи ( Федеральное агентство по информационным технологиям (Указ Президента от ). Федеральная служба по надзору в сфере массовых коммуни- каций, связи и охраны культурного наследия (Указ Президента РФ от ) образована слиянием Россвязьнадзора и Росохранкультуры. Очередная реформа: Указ Президента РФ от : Министерство связи и массовых коммуникаций Федеральная служба по надзору в сфере связи и массовых коммуникаций. Упразднено Указом Президента РФ 1060 от

44 – Об авторском праве и смежных правах – Патентный закон 152-ФЗ – О персональных данных – Об основах законодательства РФ об охране здоровья граждан – О банках и банковской деятельности Виды информации

45 Новый базовый Закон «Об информатизации, информационных технологиях и о защите информации» 149-ФЗ от Утратили силу: «Об информации, информатизации и защите информации» 24-ФЗ от «Об участии в международном информационном обмене» 85-ФЗ от Определяет принципы правового регулирования отношений в сфере информации, информационных технологий и защиты информации возникающие при: 1)осуществлении права на поиск, получение, передачу, производство и распространение информации; 2) применении информационных технологий; 3) обеспечении защиты информации. Не распространяется на отношения, возникающие при правовой охране результатов интеллектуальной деятельности.

46 149-ФЗ О сновные понятия: Информация - сведения (сообщения, данные) независимо от формы их представления; Информационные технологии - процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов; Информационная система - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств; Информационно-телекоммуникационная сеть - технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники; Обладатель информации - лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам; Доступ к информации - возможность получения информации и ее использования; Конфиденциальность информации - обязательное для выполнения лицом, получившим доступ к определенной информации, требование не передавать такую информацию третьим лицам без согласия ее обладателя;

47 149-ФЗ О сновные понятия: Предоставление информации - действия, направленные на получение информации определенным кругом лиц или передачу информации определен- ному кругу лиц; Распространение информации - действия, направленные на получение информации неопределенным кругом лиц или передачу информации неопределенному кругу лиц; Электронное сообщение - информация, переданная или полученная пользователем информационно-телекоммуникационной сети; Документированная информация - зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или в установленных законодательством Российской Федерации случаях ее материальный носитель; Оператор информационной системы - гражданин или юридическое лицо, осуществляющие деятельность по эксплуатации информационной системы, в том числе по обработке информации, содержащейся в ее базах данных.

48 Федеральный закон «Об информации, информационных технологиях и о защите информации» 149-ФЗ от г. Защита информации представляет собой принятие правовых, организационных и технических мер, направленных на: 1) обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации; 2) соблюдение конфиденциальности информации ограниченного доступа; 3) реализацию права на доступ к информации.

49 Федеральный закон «Об информации, информационных технологиях и о защите информации» 149-ФЗ от г. Обладатель информации, оператор ИС обязаны обеспечить: 1)предотвращение несанкционированного доступа к информации и (или) передачи ее лицам, не имеющим права на доступ к информации; 2) своевременное обнаружение фактов несанкционированного доступа к информации; 3) предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации; 4) недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование; 5) возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней; 6) постоянный контроль за обеспечением уровня защищенности информации.

50 Федеральный закон от 19 декабря 2005 года N 160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных» Федеральный Закон от 27 июля 2006 года N 152-ФЗ «О персональных данных» Целью закона является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну. Операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных Информационные системы персональных данных, созданные до дня вступления в силу закона, должны быть приведены в соответствие с требованиями настоящего Федерального закона не позднее 1 января 2010 года.

51 N 152-ФЗ Основные понятия: Персональные данные (ПД) - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имуществен- ное положение, образование, профессия, доходы, другая информация; Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку ПД, а также определяющие цели и содержание обработки ПД; Обработка ПД - действия (операции) с ПД, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных; Распространение ПД - действия, направленные на передачу ПД определенному кругу лиц (передача ПД) или на ознакомление с ПД неограниченного круга лиц, в том числе обнародование ПД в средствах массовой информации, разме- щение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом; Использование ПД - действия (операции) с ПД, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта ПД или других лиц либо иным образом затрагивающих права и свободы субъекта ПД или других лиц;

52 N 152-ФЗ Основные понятия: Блокирование ПД - временное прекращение сбора, систематизации, накопления, использования, распространения ПД, в том числе их передачи; Уничтожение ПД - действия, в результате которых невозможно восстановить содержание ПД в информационной системе ПД или в результате которых уничтожаются материальные носители персональных данных; Обезличивание ПД - действия, в результате которых невозможно определить принадлежность ПД конкретному субъекту персональных данных; Информационная система ПД-информационная система, представляющая собой совокупность ПД, содержащихся в базе данных, а также информационных техно- логий и технических средств, позволяющих осуществлять обработку таких ПД с использованием средств автоматизации или без использования таких средств; Конфиденциальность ПД - обязательное для соблюдения оператором или иным получившим доступ к ПД лицом требование не допускать их распространения без согласия субъекта ПД или наличия иного законного основания; Трансграничная передача ПД - передача ПД оператором через Государственную границу Российской Федерации органу власти иностранного государства, физическому или юридическому лицу иностранного государства; Общедоступные ПД - ПД, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта ПД или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.

53 Постановление Правительства от 17 ноября 2007 г. N 781 «ОБ УТВЕРЖДЕНИИ ПОЛОЖЕНИЯ ОБ ОБЕСПЕЧЕНИИ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ» Работы по обеспечению безопасности персональных данных при их обработке в информационных системах являются неотъемлемой частью работ по созданию информационных систем. Методы и способы защиты информации в информационных системах устанавливаются ФСТЭК и ФСБ. ФСБ и ФСТЭК утвердить в 3-месячный срок нормативные правовые акты и методические документы, необходимые для выполнения требований, предусмотренных Положением.

54 Приказ ФСТЭК, ФСБ, Мининформсвязи от /86/20 «ПОРЯДОК ПРОВЕДЕНИЯ КЛАССИФИКАЦИИ ИНФОРМАЦИОННЫХ СИСТЕМ ПЕРСОНАЛЬНЫХ ДАННЫХ» ФСТЭК февраль 2008 г. документы «ДСП»: Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных. Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных. Основные мероприятия по организации и техническому обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных. Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных.

55 Трудовой кодекс Российской Федерации от ФЗ Пост. Правительства РФ от «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» Пост. Правительства РФ от «Об утверждении требований к ма- териальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных» «Об утверждении образца формы уведомления об обработке персональных данных» (Россвязькомнадзор от , от ) Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использования средств автоматизации (ФСБ России, /54-144) Типовые требования по организации и обеспечению функционирования шифровальных средств, предназначенных для защиты информации, не содержащей сведений, составляющих гос. тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных (ФСБ России от /6/6-622)

56 КЛАССИФИКАЦИЯ ИНФОРМАЦИОННЫХ СИСТЕМ ПД ИСХОДНЫЕ ДАННЫЕ ДЛЯ КЛАССИФИКАЦИИ: категория 1 - персональные данные, касающиеся расовой, национальной при- надлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни; категория 2 - персональные данные, позволяющие идентифицировать субъекта и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1; категория 3 - персональные данные, позволяющие идентифицировать субъекта; категория 4 - обезличенные и (или) общедоступные персональные данные. Объем персональных данных (О): 1 - более чем субъектов или персональные данные субъектов в пределах субъекта Российской Федерации или Российской Федерации в целом; 2 - от 1000 до субъектов или субъектов, работающих в отрасли экономики РФ, в органе гос. власти, проживающих в пределах муниципального образования; 3 - менее чем 1000 субъектов или субъектов в пределах конкретной организации.

57 КЛАССИФИКАЦИЯ ИНФОРМАЦИОННЫХ СИСТЕМ ПД ИСХОДНЫЕ ДАННЫЕ ДЛЯ КЛАССИФИКАЦИИ: заданные оператором характеристики безопасности персональных данных; (типовые-только конфиденциальность, специальные-защищенность от несанкци- онированных действий) структура информационной системы; (автономные, объединенные в единую информационную систему) наличие подключений информационной системы к сетям связи общего пользования и (или) сетям международного информационного обмена; режим обработки персональных данных; (однопользовательские, многопользовательские) режим разграничения прав доступа пользователей информационной системы; (с разграничением, без разграничения прав доступа) местонахождение технических средств информационной системы. (в пределах Российской Федерации, полностью или частично за пределами)

58 КЛАССИФИКАЦИЯ ИНФОРМАЦИОННЫХ СИСТЕМ ПД Информационные системы, для которых нарушение заданной характеристики безопасности персональных данных: класс 1 (К1) - может привести к значительным негативным последствиям для субъектов ПД; класс 2 (К2) - может привести к негативным последствиям для субъектов ПД; класс 3 (К3) – может привести к незначительным негативным последствиям; класс 4 (К4) - не приводит к негативным последствиям для субъектов ПД. Кат \ О Категория 4 К4 Категория 3 К3 К2 Категория 2 К3 К2 К1 Категория 1 К1 Результаты классификации информационных систем оформляются соответствующим актом оператора.

59 КЛАССИФИКАЦИЯ ИНФОРМАЦИОННЫХ СИСТЕМ ПД Класс информационной системы может быть пересмотрен: - по решению оператора на основе проведенных им анализа и оценки угроз безопасности с учетом особенностей и (или) изменений ИСПДн; - по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности персональных данных. Порядок оценки соответствия степени защищенности информационных систем требованиям безопасности: -для информационных систем 1 и 2 класса соответствие степени защищенности устанавливается путем обязательной сертификации (аттестации); -для информационных систем 3 класса соответствие требованиям безопасности подтверждается путем сертификации (аттестации) или (по выбору оператора) декларированием соответствия, проводимым оператором персональных данных; -для информационных систем 4 класса оценка соответствия не регламентируется и осуществляется по решению оператора персональных данных. «Положение о методах и способах защиты информации в информационных системах персональных данных» Приказ ФСТЭК России от

60 Федеральный закон «О связи» 126-ФЗ от С поправкой от ФЗ Он заменил собой ранее действовавший Закон «О связи» от N 15-ФЗ. Одной из целей закона является создание условий для развития российской инфраструктуры связи, обеспечение ее интеграции с международными сетями связи

61 Гражданский Кодекс. Часть 4. Принята федеральным законом 230-ФЗ от В соответствии с законом 231-ФЗ от Часть 4 ГК вступила в силу с 1 января 2008 года. Утратили силу: «О товарных знаках, знаках обслуживания и наименованиях мест происхождения товаров» от «О правовой охране программ для электронных вычислительных машин и баз данных» от «О правовой охране топологий интегральных микросхем» от года «Об авторском праве и смежных правах» от «Патентный закон» от

62 Гражданский Кодекс. Часть 4. ПРАВА НА РЕЗУЛЬТАТЫ ИНТЕЛЛЕКТУАЛЬНОЙ ДЕЯТЕЛЬНОСТИ И СРЕДСТВА ИНДИВИДУАЛИЗАЦИИ Статья 1225 «Результатами интеллектуальной деятельности, которым предоставляется правовая охрана (интеллектуальной собственностью), являются: произведения науки, литературы и искусства; программы для ЭВМ; базы данных; фонограммы...» Статья Правообладатель может предоставить другому лицу права использования результата интеллектуальной деятельности в установленных договором пределах (лицензионный договор). Статья Авторские права на произведение науки, литературы или искусства, созданное в пределах установленных для работника (автора) трудовых обязанностей (служебное произведение), принадлежат автору. Исключительное право на служебное произведение принадлежит работодателю, если трудовым или иным договором между работодателем и автором не предусмотрено иное. Если работодатель начнет использование служебного произведения автор имеет право на вознаграждение.

63 Гражданский Кодекс. Часть 4. ПРАВА НА РЕЗУЛЬТАТЫ ИНТЕЛЛЕКТУАЛЬНОЙ ДЕЯТЕЛЬНОСТИ И СРЕДСТВА ИНДИВИДУАЛИЗАЦИИ Статья В случае, когда программа для ЭВМ или база данных создана по договору, предметом которого было ее создание, исключительное право на такую программу или такую базу данных принадлежит заказчику, если договором не предусмотрено иное. Автор созданных по заказу программы для ЭВМ или базы данных, которому не принадлежит исключительное право, имеет право на вознаграждение. Статья В случаях нарушения исключительного права на произведение автор или иной правообладатель вправе требовать от нарушителя выплаты компенсации: в размере от 10 тыс. до 5 млн. рублей, определяемом по усмотрению суда; в двукратном размере стоимости экземпляров произведения.

64 Гражданский Кодекс. Часть 4. ПРАВА НА РЕЗУЛЬТАТЫ ИНТЕЛЛЕКТУАЛЬНОЙ ДЕЯТЕЛЬНОСТИ И СРЕДСТВА ИНДИВИДУАЛИЗАЦИИ Статья Изготовителем базы данных признается лицо, организовавшее создание базы данных и работу по сбору, обработке и расположению составляющих ее материалов. Статья Никто не вправе извлекать из базы данных материалы и осуществлять их последующее использование без разрешения правообладателя. При этом под извлечением материалов понимается перенос всего содержания базы данных или существенной части составляющих ее материалов на другой информационный носитель с использованием любых технических средств и в любой форме. Статья Свободное использование произведения в информационных, научных, учебных или культурных целях. Выраженные в цифровой форме экземпляры произведений, предоставляемые библиотеками во временное безвозмездное пользование, могут предоставляться только в помещениях библиотек при условии исключения возможности создать копии этих произведений в цифровой форме.

65 Модель отношений субъектов информационных отношений

66 Модель отношений субъектов информационных отношений в сети Интернет

67 Правовое регулирование Интернет Указ Президента РФ от «О мерах по обеспечению информационной безопасности Российской Федерации в сфере международного информационного обмена» (с изм. от , от ). Постановление Правительства РФ от «Об утверждении Положения о лицензировании деятельности по международному информационному обмену» (в ред. от ) На сайте опубликован проект Федерального закона О правовом регулировании оказания Интернет-услуг» г. 538 «Об утверждении правил взаимодействия операторов связи с уполномоченными государственными органами, осуществляющими оперативно-розыскную деятельность»; г. 32 «Об утверждении правил оказания услуг связи по передаче данных»

68 Правовое регулирование Интернет Совет Безопасности Российской Федерации принял «Стратегия развития информационного общества в России». В Стратегии отмечена необходимость обеспечения безопасности функционирования российских информационных и коммуникационных систем в составе глобальной информационной инфраструктуры, Выработке международных норм и механизмов, регулирующих отношения в области использования глобальной информационной инфраструктуры, включая вопросы управления использованием Интернета.

69 Система обеспечения безопасности сети (СОБ) Основные функциональные требования: Многоуровневость Распределенность средств защиты по разным элементам сети Разнородность или разнотипность применяемых средств Уникальность защиты Непрерывность развития Распределение полномочий Прозрачность и простота Физическое разделение серверов и рабочих станций Обеспечение предотвращения несанкционированного доступа Организация централизованной службы административного управления сети Организация централизованной службы управления безопасностью сети.

70 Принципы построения СОБ сети Две концепции построения защищенной корпоративной сети: 1. Создание СОБ корпоративной сети, построенной на базе каналов связи и средств коммутации общего пользования, в которой применяются открытые протоколы Internet. 2. Отказ от средств Internet, создание корпоративной сети на базе специализированной или выделенной сети связи с использованием конкретной сетевой технологии, в частности ATM, FR, ISDN. Принцип максимальной дружественности Принцип прозрачности Принцип превентивности Принцип оптимальности Принцип адекватности Принцип системного подхода Принцип адаптивности Принцип доказательности

71 Принципы построения СОБ сети УРОВНИ СОБ: 1.Защита рабочих станций сети. 2.Средства защиты локальной сети. 3.Уровень корпоративной сети (объединение ЛВС). ЭТАПЫ ПОСТРОЕНИЯ СОБ: 1. Экспертиза защищенности корпоративной информационной системы. 2. Разработка концепции и политики информационной безопасности компании. 3. Проектирование корпоративной системы в защищенном исполнении. 4. Поставка и ввод в опытную эксплуатацию средств защиты. 5. Сопровождение систем информационной безопасности. 6. Модернизация и развитие систем информационной безопасности.

72 Принципы построения СОБ сети Общие принципы проектирования СОБ: Экономическая эффективность Минимум привилегий Простота Постоянство работы Открытость проектирования и функционирования механизмов защиты Независимость системы защиты от субъектов защиты Отчетность и подконтрольность Личная ответственность лиц, занимающихся обеспечением безопасности Принцип враждебного окружения Отсутствие излишней информации