Системы защиты информации за рубежом
advertisement
ФЕДЕРАЛЬНОЕ АГЕНТСТВО ПО ОБРАЗОВАНИЮ Брянский государственный технический университет В.И. АВЕРЧЕНКОВ, М.Ю. РЫТОВ, Г.В. КОНДРАШИН, М.В. РУДАНОВСКИЙ Системы защиты информации в ведущих зарубежных странах Утверждено редакционно-издательским советом в качестве учебного пособия Брянск Издательство БГТУ 2007 2 УДК 347.775 ББК 32.973 Аверченков, В.И. Системы защиты информации в ведущих зарубежных странах: учеб. пособие для вузов / В.И. Аверченков, М.Ю. Рытов, Г.В. Кондрашин, М.В. Рудановский. – Брянск: БГТУ, 2007. – 225 с. ISBN 5-89838-254-2 Рассматриваются вопросы становления и развития проблем защиты информации в мировой практике, особенности современных систем защиты информации в ведущих зарубежных странах, таких как США, страны Евросоюза, КНР. Помимо того, особое внимание уделено рассмотрению проблем информационного противоборства в системе политических отношений современного информационного общества. Приведены методические рекомендации по проведению практических занятий по дисциплине специализации “Системы защиты информации в ведущих зарубежных странах”. Предназначена для студентов вузов специальностей 090103 – Организация и технология защиты информации и 090104 – Комплексная защита объектов информатизации, слушателей курсов повышения квалификации по проблемам защиты информации, а также может быть полезна специалистам, занимающимся решением задач обеспечения информационной безопасности. Рецензенты: кафедра «Информационные системы и технологии» Орел ГТУ, доктор военных наук, профессор В.А. Иванов Научный редактор В.И. Аверченков Редактор издательства Т.Н. Королёва Компьютерный набор Г.В. Кондрашин, М.В. Рудановский Ил. 25. Темплан 2007 г., п. 7 Подписано в печать Формат 60х84 1/16. Бумага офсетная. Офсетная печать. Усл. печ.л. . Уч.-изд.л. . Тираж экз. Заказ . Бесплатно. Брянский государственный технический университет. 241035, Брянск, бульвар 50-летия Октября, 7, БГТУ. 58-82-49. Лаборатория оперативной полиграфии БГТУ, ул. Институтская, 16. ISBN 5-89838-254-2 Брянский государственный технический университет, 2007 В.И. Аверченков, М.Ю. Рытов, Г.В. Кондрашин, М.В. Рудановский, 2006 3 ОГЛАВЛЕНИЕ Предисловие……………………………………………………………...... Введение…………………………………………………………………...... Глава 1. История развития систем защиты информации в зарубежных странах………................................................................. 1.1. Развитие средств и методов защиты информации ……………... 1.2. Этапы развития системы защиты информации в настоящее время………………………………………………………………………….. 1.3. Структура систем защиты информации, применяемых в общемировой практике обеспечения информационной безопасности………………………………………………………………… Контрольные вопросы……………………………………………………… Глава 2. Информационное противоборство в системе международных отношений современного общества……………………………………………………………………. 2.1. Современная картина международных отношений в мире……. 2.2. Основы информационно-психологического воздействия………. 2.3. Типы информационного оружия………………...………….............. Контрольные вопросы……………………………………………………… Глава 3. Системы защиты информации в США…………………………………………………………………………… 3.1. Современная концепция информационной войны в США………………………………………………………….………………… 3.2. . Правовое регулирование информационной безопасности в США ………………………………………………………………………….. 3.3. Государственные органы обеспечения национальной безопасности США ……………………………………………................. 3.4. Особенности подготовки кадров в области информационной безопасности в США……………………................................................. Контрольные вопросы……………………………………………………… Глава 4. Системы защиты информации в странах Евросоюза……..................................................................................... 4.1. Состояние проблемы информационной безопасности в странах Евросоюза…………………………………………………………. 6 8 10 10 13 16 19 20 20 24 32 37 38 38 54 58 72 76 78 78 4 4.1.1. Системы защиты информации в Соединённом королевстве Великобритании и Северной Ирландии……………………………….. 4.1.2. Системы защиты информации в Федеративной республике Германия …………………………………………………………………….. 4.1.3. Системы защиты информации во Французской республике…………………………………………………………………… 4.1.4. Системы защиты информации в Швеции……………………….. Контрольные вопросы……………………………………………………… Глава 5. Системы защиты информации в Китайской народной республике………………………………………………………………….. 5.1. Представление об информационном противоборстве в Китае………………………………………………………………………….. 5.2. Законодательство в сфере информационной безопасности в Китае………………………………………………………………………….. 5.3. Организационная структура спецслужб Китая……………………. 5.4. «Великая стена» информационной безопасности Китае……….. Контрольные вопросы……………………………………………………… Глава 6. Международное сотрудничество в области обеспечения информационной безопасности…………………….. 6.1. Развитие международного сотрудничества в области информационной безопасности………………………………………….. 6.2. Международные организации в области информационной безопасности………………………………………………………………… 6.3. Правовое регулирование сети Интернет………………………….. Контрольные вопросы……………………………………………………… Глава 7. Стандарты информационной безопасности 7.1. Предпосылки создания стандартов информационной безопасности……………………………………..………………………….. 7.2. Стандарт «Критерии оценки надежности компьютерных систем» (Оранжевая книга)……………………………………………….. 7.3. Гармонизированные критерии европейских стран………………. 7.4. Германский стандарт BSI…………………………………………….. 7.5. Британский стандарт BS 7799………………………………………. 7.6. Международный стандарт ISO 17799……………………………… 7.7. Международный стандарт ISO 15408 «Общие критерий»……… 83 90 95 101 109 110 110 114 117 122 124 125 125 133 137 139 140 140 141 150 154 156 158 160 5 7.8. Стандарт COBIT……………………………………………………….. Контрольные вопросы……………………………………………………… Глава 8. Системы ЗИ в ведущих мировых компаниях………….. 8.1. Практика компании IBM в области защиты информации………. 8.2. Практика компании Cisco Systems в разработке сетевой политики безопасности…………………………………………………….. 8.3. Практика компании Microsoft в области информационной безопасности…………………………....…………………………………… Контрольные вопросы……………………………………………………… Заключение…………………………………………………………………. Список использованной и рекомендуемой литературы…………………………………………………………………. 163 173 174 174 178 186 190 191 192 Список использованных сокращений………………………………………………………………….. 194 Приложения…………………………………………………………………. 195 6 ПРЕДИСЛОВИЕ Целью курса “Системы защиты информации в ведущих зарубежных странах” является формирование у студентов основополагающих знаний о становлении, развитии и современном состоянии систем защиты ведущих зарубежных стран, о проблемах международного сотрудничества в области защиты информации. Учебное пособие “Системы защиты информации в ведущих зарубежных странах” разработано на основе требований образовательного стандарта и рабочей программы одноименного курса, читаемого студентам специальности 090103 – “Организация и технология” на кафедре “Компьютерные технологии и системы” Брянского государственного технического университета. При организации учебного процесса по специальности 090103 – “Организация и технология защиты информации” имеют место трудности, связанные с методическим обеспечение ряда учебных дисциплин. В первую очередь это относится к общепрофессиональным дисциплинам и дисциплинам специализации. Объясняется это тем, что до недавнего времени специалистов по защите информации готовили в специализированных военно-учебных заведениях, информация, как правило, хранилась под грифом “секретно” и была достоянием только спецслужб и силовых структур. Для изучения дисциплины специализации “Системы защиты информации в ведущих зарубежных странах” в настоящее время учебного пособия, охватывающего все многообразие изучаемых вопросов, пока еще нет. Разрозненная информации представлена в различных немногочисленных книгах, журналах, в электронных ресурсах. В предлагаемом учебном пособии “Системы защиты информации в ведущих зарубежных странах” рассмотрены общие вопросы развития, становления и современное состояние и особенности систем информационной безопасности в ведущих зарубежных странах, таких как США, Германия, Франция, Китай. Кроме того, особое внимание уделено исследованию проблем информационного противоборства в системе политических отношений современного информационного общества. Рассмотрены вопросы международного сотрудничества в 7 области обеспечения информационной безопасности, такие как деятельность международных ассоциаций, правовое регулирование глобальной сети Интернет, дана характеристика международных стандартов информационной безопасности. Учебное пособие “Системы защиты информации в ведущих зарубежных странах” по содержанию включает предисловие, введение восемь глав, заключение, список информационных источников и приложения, в которых представлены интересные, по мнению авторов, документы, касающиеся обеспечения информационной безопасности, кодекс поведения специалиста по безопасности, а также методические материалы, которые могут быть использованы при проведении практических работ по одноименной дисциплине. 8 ВВЕДЕНИЕ В настоящее время стало очевидным, что деятельность по защите информации и обеспечению информационной безопасности является одной из важнейших задач обеспечения суверенитета и обороноспособности Российской Федерации. В Концепции безопасности России говорится об усилении угрозы национальной безопасности Российской Федерации в информационной сфере. Серьезную обеспокоенность представляет собой стремление ряда мировых стран к доминированию в мировом информационном пространстве, к вытеснению России с внешнего и внутреннего информационного рынка, которое сочетается с разработкой концепции информационных войн, предусматривающей создание средств опасного воздействия на её информационные сферы, нарушение нормального функционирования информационных и телекоммуникационных систем, а также сохранности информационных ресурсов, получение несанкционированного доступа к ним. Для построения системы информационной безопасности нашей страны, способной адекватно противодействовать угрозам, определенным в Доктрине информационной безопасности Российской Федерации, необходимо иметь четкое представление о современных концепциях информационных войн развитых зарубежных стран, характерных особенностях, эффективности применения и видах информационного оружия, а также о том, каким образом в за рубежом решаются задачи обеспечения информационной безопасности. В курсе “Системы защиты информации в ведущих зарубежных странах” в соответствии с требованиями Государственного образовательного стандарта специальности 090103 – “Организация и технология защиты информации” рассматриваются вопросы эволюционного развития мировых систем защиты информации начиная с древности, заканчивая нынешним этапом развития. Помимо того, освещаются вопросы современного состояния систем защиты информации в развитых зарубежных странах, таких как США, Великобритания, Германия и ряде других стран. Структура современной системы защиты информации зарубежной страны, как правило, включает структуры обеспечения безопасности государственной тайны и 9 борьбы с внешними угрозами - службы контрразведки, а также специальные службы добывания информации о странах – противниках – различные разведывательные спецслужбы. Кроме того, необходимым атрибутом системы защиты информации в настоящее время является организационно-правовая составляющая, определяющая законы страны и нормативно-руководящие документы, характеризующие виды защищаемой информации, порядок организации режима секретности, лицензирования деятельности по защите информации, сертификации применяемых при этом средств. Рассматривается сущность информационно-психологического противоборства мировых стран, способы ведения информационной войны и виды применяемого оружия, а также вопросы международного сотрудничества в области информационной безопасности, мировой опыт в подготовке специалистов по защите информации. Выбор описанной структуры учебного пособия был сделан с целью максимальной ориентации студента на практическое использование рассматриваемого материала при изучении лекционного курса и при выполнении практических заданий. Учебное пособие “Системы защиты информации в ведущих зарубежных странах” предназначено для студентов вузов специальностей 090103 – “Организация и технология защиты информации” и 090104 – “Комплексная защита объектов информатизации”, слушателей курсов повышения квалификации по проблемам защиты информации, а также может быть полезна специалистам, занимающимся решением задач обеспечения информационной безопасности. 10 ГЛАВА 1 ИСТОРИЯ РАЗВИТИЯ СИСТЕМ ЗАЩИТЫ ИНФОРМАЦИИ В ЗАРУБЕЖНЫХ СТРАНАХ 1.1. Развитие средств и методов защиты информации 1.2. Этапы развития системы защиты информации в настоящее время 1.3. Структура систем защиты информации, применяемых в общемировой практике обеспечения информационной безопасности 1.1. Развитие средств и методов защиты информации Обеспечение защиты информации волновало человечество всегда. В процессе эволюции цивилизации менялись виды информации, для её защиты применялись различные методы и средства. Процесс развития средств и методов защиты информации можно разделить на три относительно самостоятельных периода (рис. 1.1). В основе такого деления лежит эволюция видов носителей информации [1]. 1 период (С древнейших времён до 40-х г. XIX века) Развитие методов шифрования и кодирования, связанное с появлением письменности 2 период (С 50-х г. XIX века до 60-х г. XX века) Развитие методов защиты информации от утечки по техническим каналам, связанное с появлением телефона, телеграфа, радио. 3 период (С 60-х г. XX века до наших дней) Становление проблемы информационной безопасности в период массовой информатизации общества Рис. 1.1. Процесс развития методов и средств защиты информации 11 Первый период определяется началом создания осмысленных и самостоятельных средств и методов защиты информации и связан с появлением возможности фиксации информационных сообщений на твердых носителях, то есть с изобретением письменности. Вместе с неоспоримым преимуществом сохранения и перемещения данных возникла проблема сохранения в тайне существующей уже отдельно от источника конфиденциальной информации, поэтому практически одновременно с рождением письменности возникли такие методы защиты информации, как шифрование и скрытие. Криптография (от греч. κρυπτός — скрытый и γράφω — пишу) — наука о математических методах обеспечения конфиденциальности (невозможности прочтения информации посторонним) и аутентичности (целостности и подлинности авторства, а также невозможности отказа от авторства) информации. Криптография — одна из старейших наук, ее история насчитывает несколько тысяч лет. В документах древних цивилизаций, таких как Индия, Египет, Месопотамия, есть сведения о системах и способах составления шифрованных писем. В древних религиозных книгах Индии указывается, что сам Будда знал несколько десятков способов письма, среди которых присутствовали шифры перестановки (по современной классификации). Один из самых старых шифрованных текстов из Месопотамии (2000 лет до н. э.) представляет собой глиняную табличку, содержащую рецепт изготовления глазури в гончарном производстве, в котором игнорировались некоторые гласные и согласные и употреблялись числа вместо имен. В начале XIX века криптография обогатилась замечательным изобретением. Его автор - государственный деятель, первый государственный секретарь, а затем и президент США Томас Джефферсон. Свою систему шифрования он назвал "дисковым шифром". Этот шифр реализовывался с помощью специального устройства, которое впоследствии назвали шифратором Джефферсона. Конструкция шифратора может быть вкратце описана следующим образом. Деревянный цилиндр разрезается на 36 дисков (в принципе, общее количество дисков может быть и иным). Эти диски насаживаются на одну общую ось таким образом, чтобы они могли независимо вращаться на ней. На боковых поверхностях каждого из дисков выписывались все буквы английского алфавита в произвольном порядке. Порядок следования букв на каждом диске - различный. На 12 поверхности цилиндра выделялась линия, параллельная его оси. При шифровании открытый текст разбивался на группы по 36 знаков, затем первая буква группы фиксировалась положением первого диска по выделенной линии, вторая - положением второго диска и т. д. Шифрованный текст образовывался путем считывания последовательности букв с любой линии параллельной выделенной. Обратный процесс осуществлялся на аналогичном шифраторе: полученный шифртекст выписывался путем поворота дисков по выделенной линии, а открытый текст отыскивался среди параллельных ей линий путем прочтения осмысленного возможного варианта. Шифратор Джефферсона (рис. 1.2) реализует ранее известный шифр многоалфавитной замены. Частями его ключа являются порядок расположения букв на каждом диске и порядок расположения этих дисков на общей оси. Рис. 1.2. Шифратор Джефферсона. Начало XIX века Второй период (примерно с середины XIX в.) характеризуется появлением технических средств обработки информации и передачи сообщений с помощью электрических сигналов и электромагнитных полей (например, телефон, телеграф, радио). В связи с этим возникли проблемы защиты от так называемых технических каналов утечки (побочных излучений, наводок и др.). Для обеспечения защиты информации в процессе передачи по телефонным и телеграфным каналам связи появились способы и технические средства, позволяющие шифровать сообщения в реальном времени. Также в этот период активно развиваются технические средства разведки, многократно увеличивающие возможности промышленного и государственного шпионажа. Огромные, все возрастающие убытки предприятий и фирм способствовали научно-техническому прогрессу в 13 создании новых и совершенствовании старых средств и методов защиты информации. Наиболее интенсивное развитие этих методов приходится на период массовой информатизации общества (третий период). Оно связано с внедрением автоматизированных систем обработки информации и измеряется периодом в более чем 40 лет. В 60-х гг. на Западе стало появляться большое количество открытых публикаций по различным аспектам защиты информации. Такое внимание к этой проблеме в первую очередь было вызвано возрастающими финансовыми потерями фирм и государственных организаций от преступлений в компьютерной сфере. В ежегодном докладе ФБР США было сказано, что за 1997 г. от противоправной деятельности иностранных спецслужб американские владельцы интеллектуальной собственности понесли ущерб, превышающий 300 млрд долларов. Согласно выводам западных экспертов, в сфере информационной безопасности, утечка 20% коммерческой информации в шестидесяти случаях из ста приводит к банкротству фирмы. Все большие финансовые потери приносят вирусные атаки на компьютерные сети. Так, запущенный через Интернет в мае 2000 г. вирус «I love you» вывел из строя свыше 5 млн компьютеров и нанес ущерб свыше 10 млрд долларов. 1.2. Этапы настоящее время развития системы защиты информации в За истекшее после возникновения необходимости в обеспечении защиты информации время существенно изменилось как представление о ее сущности, так и методологические подходы к решению. Указанные изменения происходили постепенно и непрерывно, поэтому всякая периодизация этого процесса в значительной мере будет носить искусственный характер. Тем не менее, весь период активных работ по рассматриваемой проблеме в зависимости от подходов к ее решению довольно четко делится на три этапа (рис. 1.3). Начальный этап защиты (60-е — начало 70-х гг.) характеризовался тем, что под защитой информации понималось пре- 14 дупреждение несанкционированного ее получения лицами, не имеющими на то полномочий. Для этого использовались формальные, функционирующие без участия человека средства. Наиболее распространенными в автоматизированных системах обработки данных (АСОД) в тот период были проверки по паролю прав на доступ к ЭВТ и разграничение доступа к массивам данных. Эти механизмы обеспечивали определенный уровень защиты, однако проблему в целом не решали, поскольку для опытных злоумышленников не составляло большого труда найти пути их преодоления. Для объектов обработки конфиденциальной информации задачи по ее защите решались в основном с помощью установления так называемого режима секретности, определяющего строгий пропускной режим и жесткие правила ведения секретного документооборота. 60 – нач. 70 гг. XX века Разграничение доступа и блокирование несанкционированного доступа к носителям защищаемой информации. 70 – нач. 80 гг. XX века Формирование комплексного подхода к обеспечению информационной безопасности. Появление развитого арсенала методов и технических средств защиты данных. Сер. 80 – нач. XXI века Возрастающий интерес к проблемам защиты информации, формирование научно-методического базиса информационной безопасности на основе теоретических исследований и практического опыта. Рис. 1.3. Этапы развития проблемы защиты информации в условиях массовой информатизации общества Этап развития (70-е — начало 80-х гг.) отличается интенсивными поисками, разработкой и реализацией способов и средств защиты и определяется следующими характеристиками: постепенным осознанием необходимости комплексирования целей защиты. Первым итогом на этом пути стало совместное решение задач обеспечения целостности информации и предупреждения несанкционированного ее получения; расширением арсенала используемых средств защиты, причем как по их количеству, так и по их разнообразию. Повсеместное 15 распространение получило комплексное применение технических, программных и организационных средств и методов. Широко стала практиковаться защита информации путем криптографического ее преобразования; целенаправленным объединением всех применяемых средств защиты в функциональные самостоятельные системы. Так, для опознавания лиц, имеющих право пользования конфиденциальной информацией, разрабатывались методы и средства, основанные на следующих признаках: традиционные пароли, но по усложненным процедурам; голос человека, обладающий индивидуальными характеристиками; отпечатки пальцев; геометрия руки, причем доказано, что по длине четырех пальцев руки человека можно опознать с высокой степенью надежности; рисунок сетчатки глаза; личная подпись человека, причем идентифицируемыми характеристиками служат графика написания букв, динамика подписи и давление пишущего инструмента; фотография человека. Однако нарастание количества средств защиты и принимаемых мер привело в конечном итоге к проблеме эффективности системы защиты информации, учитывающей соотношение затраченных на ее создание средств к вероятным потерям от возможной утечки защищаемой информации. Для проведения анализа эффективности системы защиты информации необходимо применять основные положения теории оценки сложных систем. Кроме того, к концу второго периода математически было доказано, что обеспечить полную безопасность информации в системах ее обработки невозможно. Максимально приблизиться к этому уровню можно, лишь используя системный подход к решению проблемы. Другими словами, успешное решение проблемы комплексной защиты информации требует не только научно обоснованных концепций комплексной защиты, но и эффективных методов и средств решения соответствующих задач. Их разработка, в свою очередь, может осуществляться только на основе достаточно развитых научно-методологических основ защиты информации. 16 Таким образом, характерной особенностью третьего, современного этапа (середина 80-х гг. – настоящее время) являются попытки аналитико-синтетической обработки данных всего имеющегося опыта теоретических исследований и практического решения задач защиты и формирования на этой основе научно-методологического базиса системы защиты информации. Основной задачей третьего этапа является перевод процесса защиты информации на строго научную основу, а также разработка целостной теории защиты информации [5]. К настоящему времени уже разработаны основы теории защиты информации. Формирование этих основ может быть принято за начало третьего этапа в развитии защиты информации. Принципиально важным является то, что российские специалисты и ученые на данном этапе внесли существенный вклад в развитие основ теории защиты информации, чему способствовал бурный рост интереса к этой проблеме в высшей школе. 1.3. Структура систем защиты информации, применяемых в общемировой практике обеспечения информационной безопасности Широкое использование в процессе информатизации мирового общества современных методов и средств обработки информации, в том числе вычислительной техники создало не только объективные предпосылки повышения эффективности всех видов деятельности личности, общества и государства, но и ряд проблем защиты информации, обеспечивающей требуемое ее качество. Сложность решения этой проблемы обусловлена необходимостью создания целостной системы комплексной защиты информации, базирующейся на стройной организации и регулярном управлении. Современное понятие защиты информации находится в центре внимания исследователей в различных странах уже несколько десятков лет и ассоциируется, как правило, с проблемами создания систем защиты информации на различных уровнях её использования. Несмотря на то, что существует еще большое количество неразрешенных и спорных вопросов в теории информационной безопасности, в настоящее время сложилась типовая структура системы защиты информации, используемая большинством развитых стран мира. 17 Под защитой информации в общем виде понимают соединение в единое целое отдельных элементов, механизмов, процессов, явлений, мероприятий, мер и программ их взаимосвязей, способствующих реализации целей защиты и обеспечению структурного построения системы защиты. Структурно-типовая система защиты информации (рис.1.4) представляет собой совокупность отдельных взаимосвязанных элементов, реализующих следующие её виды: Правовая защита информации – защита информации, базирующаяся на применении статей конституции и законов государства, положений гражданского и уголовного кодексов и других нормативно-правовых документов в области информатики, информационных отношений и защиты информации. Правовая защита информации регламентирует права и обязанности субъектов информационных отношений, правовой статус органов, технических средств и способов защиты информации и является основой для морально – этических норм в области защиты информации [2]. ТИПОВАЯ СИСТЕМА ЗАЩИТЫ ИНФОРМАЦИИ (СЗИ) Рис. 1.4. Типовая схема СЗИ Страховая ЗИ Морально – этические нормы ЗИ Психологическая ЗИ Криптографическая ЗИ С З И Программно-аппаратная ЗИ Инженерно-техническая ЗИ Организационная ЗИ Правовая ЗИ Э л е м е н т ы 18 Организационная защита информации – это комплекс направлений и методов управленческого, ограничительного и технологического характера, определяющих основы и содержание системы защиты, побуждающих персонал соблюдать правила защиты конфиденциальной информации. Организационные меры связаны с установлением режима конфиденциальности в организации. [1]. Техническая или инженерно-техническая защита, основывающаяся на использовании технических устройств, узлов, блоков, элементов, систем, как в виде отдельных средств, так и встроенных в процессе единого технологического цикла создания средств обработки информации, сооружений и т.д.; Программно-аппаратная защита, предполагающая использование программного обеспечения информационных систем, комплексов и систем, а также аппаратных устройств, встроенных в состав технических средств и систем обработки информации. В качестве отдельного вида наиболее эффективных средств защиты информации выделяются математические или криптографические методы, которые могут быть реализованы в виде технических устройств, программ и программно-аппаратных средств. Рассмотренные виды в основном обеспечивают надежную защиту информации в различных системах ее обработки и различных условиях их функционирования. Однако опыт практического обеспечения безопасности информации в России и за рубежом показывает, что для надежной защиты, в условиях обязательного участия человека, массовости решения задач защиты необходимо использовать психологические и морально-этические виды, а в ряде случаев и страховые. Под психологическими видами защиты понимаются допускаемые нормами права и морали методы и средства изучения психофизиологических особенностей и возможностей людей, а также психологического воздействия на людей с целью оценки соответствия их требованиям для допуска к обработке защищаемой информации. Под морально-этическими видами защиты понимаются нормы и правила, которые не имеют юридической силы, но их нарушение ведет к потере авторитета, возникновению дополнительных трудностей и другим негативным последствиям для человека и организации [3]. 19 Страховая защита информации – защита информации, предусматривающая возмещение убытков от её уничтожения или модификации путем получения страховых выплат. Очевидно, что в ряде стран при построении систем защиты в типовую модель вносят изменения. Так, во Франции элементы правовой и организационной защиты информации рассматривают в едином ракурсе, а в программно-аппаратной защите наоборот выделяют отдельно программные и аппаратные методы и средства защиты информации. Морально-этические и психологические элементы защиты информации практически во всех странах до настоящего времени рассматривались лишь в теории. Контрольные вопросы: 1. Назовите основные этапы развития методов и средств ЗИ в процессе эволюции человечества. 2. Назовите особенности второго периода развития методов и средств ЗИ. 3. Каковы основные виды носителей информации? 4. На какой период приходится наиболее интенсивное решение проблем информационной безопасности? 5. Охарактеризуйте современное состояние проблемы защиты информации в мире. 6. Что понимается под защитой информации? 7. Назовите основные элементы типовой системы защиты информации. 20 ГЛАВА 2 ИНФОРМАЦИОННОЕ ПРОТИВОБОРСТВО В СИСТЕМЕ МЕЖДУНАРОДНЫХ ОТНОШЕНИЙ СОВРЕМЕННОГО ОБЩЕСТВА 2.1. Современная картина политических отношений в мире 2.2. Основы информационно-психологического воздействия 2.3. Типы современного информационного оружия 2.1. Современная картина политических отношений в мире Кардинальные перемены, происшедшие в мировом развитии на рубеже XX – XXI веков, со всей остротой поставили как перед политиками, так и перед народами в целом вопрос о характере и закономерностях международных отношений. Падение Берлинской стены стало символом окончания «холодной войны». Однако, вопреки оптимистическим ожиданиям некоторых политиков и части научной общественности, за ним последовали не сближение Востока и Запада на основе универсальных ценностей и не становление общемирового сообщества, основанного на принципах взаимопомощи и сотрудничества всех со всеми, а совсем иные события, во многом неожиданные для всего мирового сообщества. Среди них распад СССР и возникновение на политической карте мира новых независимых государств, разрастание этнических конфликтов и усиление сепаратистских тенденций на фоне роста глобальной взаимозависимости, рост международного терроризма до угрожающих масштабов, наконец, подрыв всей прежней структуры международной безопасности. При подходе к анализу новой системы международных отношений, видимо, следовало бы исходить из того, что окончание холодной войны завершило процесс формирования единого мирового сообщества. Путь, пройденный человечеством от изолированности континентов, регионов, цивилизаций и народов через колониальное собирание мира, через катаклизмы двух мировых войн, массовый выход на мировую арену 21 освободившихся от колониализма государств, мобилизацию противоположными лагерями ресурсов всех уголков мира в противостоянии холодной войны, повышение компактности планеты в результате научно-технической революции, завершился крушением «железного занавеса» между Востоком и Западом и превращением мира в единый организм с определенным общим набором принципов и закономерностей развития его отдельных частей. Поэтому в последнее время повышенное внимание уделяется проблемам взаимозависимости и глобализации мира. По мнению ряда ученых и политических деятелей, исчезновение идеологического возбудителя мировой политики в виде противоборства «коммунизм - антикоммунизм» позволяет вернуться к традиционной структуре отношений между национальными государствами, характерной для более ранних этапов Вестфальской системы. В этом случае распад биполярности предполагает образование многополярного мира, полюсами которого должны стать наиболее могущественные державы, сбросившие с себя ограничения корпоративной дисциплины в результате дезинтеграции двух блоков, миров или содружеств. Так, идея многополярности стала одной из центральных в программных партийных и государственных документах КНР, хотя акцент в них делается, скорее, не на попытке адекватного отражения сути нового этапа международных отношений, а на задаче недопущения формирования однополярного мира во главе с Соединенными Штатами. В западной литературе, да и в некоторых заявлениях американских официальных лиц речь нередко идет о «единоличном лидерстве США», т.е. об однополярности. Действительно, в начале 90-х годов карта мира претерпела серьезные изменения. Дробление постсоветского пространства на пятнадцать суверенных государств изменило геополитическую ситуацию и для соседних стран, ранее взаимодействовавших с единым Советским Союзом, например Китая, Турции, стран Центральной и Восточной Европы, Скандинавии. Не только изменились локальные «балансы сил», но и резко возросла многовариантность отношений. Разумеется, Российская Федерация остается самым мощным государственным образованием на постсоветском, да и на евразийском пространстве. Но и ее новый, весьма ограниченный, по сравнению с бывшим Советским Союзом, потенциал, с точки зрения территории, населения, удельного 22 веса экономики и геополитического соседства, диктует новую модель поведения в международных делах, если их рассматривать под углом зрения многополярного баланса сил [2]. Динамика экономического усиления Китая и повышение его внешнеполитической активности, поиск Японией более самостоятельного, подобающего ее экономической мощи места в мировой политике вызывают подвижки в геополитической ситуации в Азиатско-Тихоокеанском регионе. Объективное возрастание удельного веса Соединенных Штатов в мировых делах после окончания «холодной войны» и распада Советского Союза в определенной степени нивелируется повышением самостоятельности других «полюсов» и определенным усилением изоляционистских настроений в американском обществе. В новых условиях с окончанием противостояния двух лагерей в «холодной войне» изменились координаты внешнеполитической деятельности и большой группы государств, входивших ранее в «третий мир». Потеряло свое прежнее содержание движение неприсоединения, ускорилось расслоение Юга и дифференциация отношений образующихся в результате этого групп и отдельных государств к Северу, который также не монолитен. Более материализованным является экономический регионализм в виде высокоинтегрированного Европейского союза, других региональных образований различной степени интеграции - АзиатскоТихоокеанского экономического сотрудничества, Содружества Независимых Государств, АСЕАН, Североамериканской зоны свободной торговли, аналогичных образований, зарождающихся в Латинской Америке и в Южной Азии. Хотя и в несколько измененном виде, но сохраняют свое значение региональные политические институты, например Организация латиноамериканских государств, Организация африканского единства и т.д. Они дополняются такими межрегиональными многофункциональными структурами, как североатлантическое партнерство, связка США - Япония, трехсторонняя структура Северная Америка - Западная Европа – Япония. Окончание «холодной войны» сопровождалось заметной активизацией локальных конфликтов. Большинство из них были, скорее, внутригосударственными, чем международными, в том плане, что вызвавшие их противоречия были связаны с сепаратизмом, борьбой за 23 власть или территорию в рамках одного государства. Часть конфликтов стала результатом распада Советского Союза, Югославии, обострения национально-этнических противоречий, проявление которых ранее сдерживалось авторитарными системами или блоковой дисциплиной «холодной войны». Другие конфликты, например в Африке, стали следствием ослабления государственности и экономической разрухи. Третья категория - это длительные «традиционные» конфликты на Ближнем Востоке, в Шри-Ланке, Афганистане, вокруг Кашмира, которые пережили завершение «холодной войны», или вспыхнули вновь, как это случилось в Камбодже. Таким образом, в 90-е годы происходит новая трансформация роли и функций военной силы в мировой политике. Помимо сокращения географических ареалов ее традиционного применения идет изменение соотношения отдельных ее компонентов. Последнее связано, прежде всего, с серьезной и весьма противоречивой трансформацией роли ядерного оружия. Известно, что со времени Карибского кризиса начала 60-х годов ядерное оружие утвердилось не как средство ведения войны, а как инструмент сдерживания агрессии, прежде всего осуществляемой с использованием ядерного же оружия. Особое значение эта функция ядерного оружия приобрела в биполярной системе, в основе которой лежало непримиримое противостояние двух несовместимых социальных систем. Но если угроза такой агрессии исчезает, а политикоидеологическое противостояние ушло в прошлое, то и эта «сверхзадача» ядерного оружия также теряет свое значение. В настоящее время большинство ядерных государств рассматривают ядерное оружие как некую гарантию безопасности на случай непредвиденного развития событий, которое сегодня предсказать трудно, если вообще возможно, но которое может содержать в себе угрозу. Одновременно растет понимание того, что ни одна внешнеполитическая задача, которая традиционно решалась - а подчас решается до сих пор - с помощью военной силы, будь то захват территорий или восстановление собственного контроля над ними, господство в зонах сосредоточения стратегически важных коммуникаций, обеспечение политического влияния в определенных регионах и т.п., по самой своей природе не может быть решена с помощью ядерного оружия, стратегического или тактического. Поэтому в современном мире основной формой обеспечения государственных 24 интересов, достижения политических и экономических целей является информационное воздействие на страны-противники - информационнопсихологическая война. 2.2. Основы информационно-психологического воздействия Одним из важнейших инструментов, определяющих достижение стратегических преимуществ в современном мире, является арсенал сил и средств информационного воздействия. Развитие мировой цивилизации создало ряд исторических предпосылок для формирования современного качества и роли этих сил и средств. Современные информационные и телекоммуникационные средства и технологии, возрастающая роль информации в современном постиндустриальном обществе, находящемся на этапе перехода к качественно новой форме организации - информационному обществу, объективно способствуют дальнейшему росту масштабов и степени эффективности информационно-психологического воздействия, оказываемого странами с наиболее развитой информационной инфраструктурой в глобальных (стратегических) интересах с использованием каналов распространения информации. Если изначально информационное воздействие являлось второстепенным по отношению к основным компонентам, определявшим влияние и возможности государства, таким как территория, население, экономический потенциал, вооруженные силы, финансы, то в условиях информационного общества информационнопсихологическое воздействие приобретает решающее значение. Информационное воздействие [3] - воздействие, которое осуществляется с применением информационного оружия, т. е. таких средств, которые позволяют осуществлять с передаваемой, обрабатываемой, создаваемой, уничтожаемой и воспринимаемой информацией задуманные действия. Информационно-психологическое воздействие представляет собой целенаправленное производство и распространение специальной информации, оказывающей непосредственное влияние (положительное или отрицательное) на функционирование и развитие информационно-психологической среды 25 общества, психику и поведение населения, руководство страны, военнослужащих. Развитие информационных технологий и телекоммуникационных систем создало современную триаду элементов информационного пространства: человек, информация, технические средства (средства доставки, обработки, преобразования и распределения информации). Информационное пространство вначале связало, а теперь начинает главенствовать над всеми сферами деятельности личности, общества и государства. В этих условиях методы и технологии информационнопсихологического воздействия в сочетании с современными информационными технологиями, информационными и телекоммуникационными системами обретают новые, беспрецедентные возможности и высокую эффективность применения. Тенденции общественного развития и противоборства в международной сфере развиваются в сторону существенного качественного повышения роли использования информационно-психологических факторов, в частности, при реализации комплекса мероприятий по подготовке к ведению так называемых «информационных войн». Термин «информационная война» появился приблизительно в середине 70-х гг. XX века. На Западе отцом термина «информационная война» называют ученого-физика Томаса Рона, который назвал информацию самым слабым звеном вооруженных сил и обороны. Быстрое совершенствование средств и методов целенаправленного информационно-психологического воздействия способно не только влиять на сложившийся баланс сил, но и изменять сами ныне существующие критерии оценки такого баланса на основе соотношения геополитических, экономических, военных и информационных факторов. В настоящее время в мире накоплен и систематизирован значительный опыт ведения информационно-психологической войны, проведения информационно-психологических операций, разработан и опробован на практике широкий спектр средств и методов оказания информационного (информационно-психологического) воздействия. Практически все стороны, осуществляющие информационнопсихологическое воздействие в своих интересах, формируют стратегию и тактику психологической войны, конкретное содержание 26 информационно-психологических операций в соответствии со своими интересами, целями, задачами и имеющимися возможностями. Опыт, средства и методы информационно-психологического воздействия используются не только в интересах военнополитического руководства иностранных государств, но и в практике деятельности СМИ, политической борьбы, экономической конкуренции, распространении политических, религиозных и иных взглядов и идей, групповых и межличностных отношений. В этих сферах зачастую они включены в долговременные и широкомасштабные операции с использованием разнообразных организационных форм и имеют комплексный характер. Кроме межгосударственных отношений и военной сферы, наиболее массированно и рельефно средства и методы (технологии) информационно-психологического воздействия и психологические операции применяются в политической борьбе и экономической конкуренции. В этих сферах, зачастую, они включены в долговременные и широкомасштабные операции с использованием разнообразных организационных форм и имеют комплексный характер. Причем, негативные последствия использования средств и методов информационно-психологического воздействия, в том числе в рамках психологических операций, в политической борьбе и экономической конкуренции хотя и могут затрагивать интересы значительных групп людей, но в малой степени зависят от воли и действий большинства из них, так как активными участниками, от деятельности которых зависит исход конкурентной борьбы, является ограниченный круг политической элиты, собственников и управленцев определенных финансовоэкономических структур и команд профессионалов, которые специализируются в сфере использования специальных технологий конкурентной борьбы. В то же время при политическом и экономическом выборе его последствия имеют массовый и долговременный характер и затрагивают интересы большинства населения, вовлекая их в эти процессы не только и не столько как активных и сознательных участников, но преимущественно как объект манипуляций, управляемый и используемый искусными манипуляторами в своих интересах. 27 В настоящее время ведущие страны мира находятся в состоянии переходного периода от индустриального этапа своего развития к индустриально-информационному, на котором главным стратегическим национальным ресурсом становятся информация, сетевая инфраструктура и информационные технологии. Завершение этого перехода ожидается во втором десятилетии XXI века, но уже сегодня информационная зависимость всех сфер жизнедеятельности личности, общества и государства чрезвычайно велика. Так, нарушение работы компьютерных и иных телекоммуникационных сетей, используемых в системах управления государственными и банковскими структурами США, путем вывода из строя вычислительных средств и средств связи или уничтожения хранящейся в сетях информации, способно нанести экономике страны, занимающей лидирующие позиции в сфере информационных технологий, настолько серьезный ущерб, что его можно сравнивать с ущербом от военного вторжения [4]. В военном ведомстве США разработана концепция развития сухопутных сил до 2010 года - Army Vision-2010, согласно которой основным смыслом боевой деятельности войск становится достижение информационного превосходства. По мнению американских экспертов, завоевание или достижение информационного превосходства позволяет собирать, обрабатывать и передавать непрерывный поток информации, одновременно лишив противника способности делать то же самое. По концепции Army Vision-2010, для достижения информационного господства проводятся информационные операции [5]. В конце 80-х годов XX века американские специалисты пришли к выводу, что бурное развитие информационных технологий, насыщение ими органов государственного управления, силовых структур и социальных институтов существенно расширяет возможности решения политических, экономических и военных задач за счет направленного информационного воздействия на эти структуры. Накопленный за годы «холодной войны» опыт межгосударственного взаимодействия в духе конфронтации, значительный прогресс в области кибернетики, психологии и информатики привели к вовлечению политических, экономических и специальных структур большинства промышленно развитых стран мира в новый вид противоборства - противоборство в ин- 28 формационно-технической и информационно-психологической сферах, получившее название «информационная война». Наряду с использованием вооруженными силами, специальными службами и различными национальными вооруженными формированиями государств, обладающих наиболее развитыми информационными технологиями и сетевой инфраструктурой, с целью проведения боевых операций на каналах открытых информационнотелекоммуникационных сетей или ином оказании содействия боевым действиям сухопутных сил, авиации и флота, открытые информационные сети и сетевые информационные технологии активно используются частными лицами и организациями (в том числе преступными группировками, сепаратистами и экстремистами всех категорий) для оказания воздействия на массовое и индивидуальное сознание граждан и общества в целом, реализации собственной политики, оказания давления на конкурентов и даже на структуры государственной власти. Открытые информационнотелекоммуникационные сети являются хорошим «инструментом» для обработки общественного мнения, инициирования и ведения «войны компроматов», внедрения и доведения до широких масс населения дезинформации (в том числе дезинформации, распространяемой для нагнетания социальной напряженности, создания атмосферы паники), запугивания и иного оказания психологического давления на население страны в мирное время в условиях отсутствия классического вооруженного конфликта. «Войны компроматов» также можно отнести к войнам информационным, так как основным оружием здесь является информация, информационная инфраструктура и информационные технологии. Таким образом, операции информационной войны не обязательно должны проводиться только вооруженными силами и быть направлены против военных объектов. Другие правительственные ведомства, агентства и организации, промышленные и коммерческие структуры должны принимать в них участие и самостоятельно проводить информационные операции, которые могут существенно влиять на ход и итог любого конфликта. Такие операции, проводимые не вооруженными силами, объединяются понятием «невоенная информационная война» или «информационная борьба». Это значит, 29 что любой взрослый (военный или гражданский) человек может участвовать в информационной войне (борьбе) в той или иной форме. В настоящем пособии будем придерживаться следующего определения: информационная война (англ. – Information Warfare, ИВ) это открытые и скрытые целенаправленные информационные воздействия социальных, политических, этнических и иных систем друг на друга с целью получения определенного выигрыша в материальной сфере [4]. Информационную войну также можно определить как комплекс мероприятий и операций, проводимых вооруженными силами государств и другими (как правительственными, так и частными) организациями, направленных на обеспечение информационного превосходства над противником и нанесения ему материального, идеологического или иного ущерба. В информационной войне информация является одновременно оружием, ресурсом и целью. Информационная война может включать в себя комплексное воздействие на систему государственного и военного управления противостоящей стороны, на ее военно-политическое руководство. Это воздействие должно заблаговременно приводить к принятию благоприятных для стороны-инициатора информационного воздействия решений, а в ходе конфликта полностью парализовать функционирование инфраструктуры управления противника. Одно из определений информационной войны, данное представителем Пентагона, гласит: «Информационная война состоит из действий, предпринимаемых для достижения информационного превосходства в обеспечении национальной военной стратегии путем воздействия на информацию и информационные системы противника с одновременным укреплением и защитой нашей собственной информации и информационных систем» [5]. Основными формами информационной войны являются (классификация предложена американским теоретиком информационного противоборства М. Либики): Командно-управленческая война – война, нацеленная на каналы связи между командованием и исполнителями. Перерезая «шею» (каналы связи), нападающий изолирует «голову» от «туловища». Кстати, Интернет родился как оборонный вариант этой войны («рассредоточенная шея»). 30 Разведывательная война – сбор важной в военном отношении информации (как нападение) и защита собственной. Электронная война – действия против средств электронных коммуникаций, радиосвязи, радаров, компьютерных сетей. Ее важный раздел – криптография (шифровка-расшифровка электронной информации). Сюда же входит и кибервойна (компьютерный терроризм), которая подразумевает диверсионные действия против гражданских объектов противника, такие, как тотальный паралич сетей, перебои связи, введение случайных ошибок в пересылку данных, тайный мониторинг сетей, несанкционированный доступ к закрытым данным. Оружием в этой войне являются компьютерные вирусы и др. программное обеспечение. Психологическая война – пропаганда, «промывание мозгов», информационная обработка населения. Эта форма войны имеет три составляющие — подрыв гражданского духа, деморализация вооруженных сил, дезориентация командования. Экономическая информационная война – нанесение ущерба экономической (производственной, финансовой, коммерческой и т.д.) сфере противника, создание предпосылок для кризисных ситуаций. С точки зрения Министерства обороны США, под информационной войной понимается ведение действий против технических информационных систем и современных информационных технологий, а также социальных систем путем информационного воздействия с помощью информационных систем и технологий, методов дезинформации и пропаганды (психологических операций) (рис. 2.1). Одной из основных целей информационной войны является воздействие на системы знаний и представлений противника. Причем под знаниями понимается объективная информация, общая для всех, а под представлениями - информация, носящая субъективный, индивидуальный характер. По некоторым прогнозам, быстрое совершенствование методов целенаправленного воздействия на информационные процессы в системах государственного управления «противника» способно не только повлиять на сложившийся в мире стратегический баланс сил, но 31 и изменить ныне существующие критерии оценки такого баланса на основе соотношения геополитических, экономических и военных факторов. Рис. 2.1. Составляющие информационного противоборства 32 2.3. Типы современного информационного оружия Одним из элементов подготовки и ведения информационных войн является понятие «информационное оружие». Известно, что этот термин впервые стал употребляться в американских военных кругах в 1991 году, после окончания войны в Персидском заливе. В широком смысле под информационным оружием понимаются способы целенаправленного информационного воздействия на противника, рефлексивного управления им с целью изменения его замысла на проведение стратегических или тактических действий в нужном направлении. В более узком смысле под информационным оружием понимается комплекс способов, методов, технических средств и технологий, предназначенных для получения контроля над информационными ресурсами потенциального противника и вмешательства в работу его информационных систем для выведения их из строя, нарушения процесса нормального функционирования, получения или модификации содержащихся в них данных, а также целенаправленного продвижения выгодной информации (или дезинформации) [4]. При этом сама информация, попадание которой к противнику может нанести ему заметный материальный или иной ущерб, также нередко совершенно справедливо и обоснованно рассматривается в качестве одного из видов информационного оружия. Особенность процесса информационной милитаризации заключается в том, что информационные технологии, при помощи которых могут осуществляться военные операции, первоначально появляются и главным образом задействованы в гражданском секторе и только потом (зачастую лишь временно) переходят в военный. К характерным чертам информационного оружия можно отнести его универсальность, радикальность воздействия, доступность. Для его приведения в действие не требуется больших затрат финансовых средств, что делает информационную войну экономичным и потому весьма опасным средством вооруженной борьбы. Его применение носит обезличенный характер и легко маскируется под мирную деятельность. Одновременно трудно определить его национальную принадлежность и государство, осуществившее информационную 33 атаку. Дело осложняется еще и тем, что агрессии зачастую осуществляются с территории третьих стран. Информационное оружие не знает географических расстояний, подрывает традиционное понятие государственных границ, делая их технологически проницаемыми. Использование этого оружия может происходить скрыто, без объявления войны, и не нуждается в большой и видимой подготовке. Подчас жертва может даже не осознавать, что находится под информационным воздействием. К тому же, в связи с отсутствием систем и методик, оценивающих угрозу и заранее предупреждающих о готовящемся нападении, не всегда имеется возможность противодействовать такой агрессии. Выработка критериев определения факта атаки на информационные инфраструктуры и создание «системы раннего оповещения», подобной созданной в годы «холодной войны» системы предупреждения о военном нападении, представляется затруднительной в связи с постоянной и быстрой эволюцией характера угроз в информационной сфере. Характеристики информационного оружия делают разработку, постановку на вооружение, применение и распространение информационного оружия и особенно его попадание в руки агрессивных режимов чрезвычайно опасным. Наиболее опасно применение информационного оружия против военных и гражданских объектов и структур, которые должны находиться в состоянии непрерывной работоспособности и функционировать в реальном масштабе времени. Результаты враждебного воздействия на их работу могут иметь катастрофический характер. Кроме того, необходимо отметить псевдогуманную сторону информационной войны. Ее ведение может непосредственно не приводить к кровопролитию, жертвам, видимым разрушениям, сопутствующим обычным военным действиям. Это способно породить в мире опасную беспечность и терпимость в отношении применения информационного оружия, большую снисходительность к их использованию при проведении односторонних санкций, если последние формально будут основываться на электронике, а не на убийстве. Гражданское общество, не осознавая того факта, что развитие военно-информационных возможностей, хотя и не будучи 34 связано с наращиванием вооруженных сил и даже, наоборот, приводя к их сокращению, приводит к наращиванию военного потенциала стран. Более того, по оценкам экспертов, применение информационного оружия должно постоянно сопровождаться ограниченным применением обычного оружия, особенно высокоточного, или угрозой его применения. Нельзя не упомянуть и о возможных угрозах правам и свободам граждан в связи с применением информационного оружия. Технологическими методами можно свести на нет величайшие завоевания демократии, такие как право на свободу распространения информации и доступа к ней, конфиденциальность информации о частной жизни и приватного информационного обмена между частными лицами. На рис. 2.2 представлена классификация видов информационного оружия, по мнению специалистов Министерства обороны США [4]. Информационное оружие Средства борьбы с системами управления противника Средства радиоэлектронной борьбы Средства программнотехнического воздействия на информационные системы Средства борьбы на основе разведывательных технологий Средства психологического воздействия на массовое и индивидуальное сознание Экономические средства информационной борьбы Рис.2.2. Виды информационного оружия Современное информационное оружие включает в себя следующие виды [3]: Средства борьбы с системами управления противника используются для решения двух основных задач: 35 • уничтожения или выведения из строя командных пунктов и штабов; • выведения из строя телекоммуникационных систем противника, по которым осуществляется управление войсками. Практически реализуется данный вид информационного оружия в виде систем наведения авиации и ракетных систем, систем уничтожения спутников, устройств электромагнитного излучения, вредоносных программ. Средства борьбы на основе разведывательных технологий (СРТ) предназначенны для сбора и распределения разведывательной информации. Структура сбора разведывательной информации будет включать четыре уровня: Сенсорные системы дистанционного действия космического базирования (например, на основе лазерного излучения с различной длиной волны), а также датчики, фиксирующие сейсмические и акустические воздействия; Приближенные к боевой зоне системы (например, беспилотные летательные аппараты, оснащенные аппаратурой спектрального обнаружения, спецрадарами электронной разведки, береговые и наземные радарные системы); Датчики, расположенные непосредственно на поле боя (биохимические, гравиметрические, акустические и оптические); Сенсорные системы, установленные непосредственно на различных видах вооружения (инфракрасные, фиксирующие световые аномалии и пр.). Средства радиоэлектронной борьбы (РЭБ). К ним относят два типа: аппаратные средства и средства подавления связи. Первый тип используется для атаки на системы противника, второй - для атаки с помощью средств борьбы типа СРТ и включает в себя оперативные технические средства. Все указанные формы не являются новыми, а взяты из арсенала войск РЭБ. Но в настоящее время при активном внедрении новых информационных технологий средства РЭБ поднимаются на новый качественный уровень и способны оказать серьезное воздействие на сети передачи и процессы обработки информации, поэтому их уверенно можно относить к классу информационного оружия. При массовом использовании они играют существенную роль в военных операциях. 36 Средства психологического воздействия на массовое и индивидуальное сознание относятся к области использования информации против человеческого интеллекта. По американской терминологии, выделяются четыре основных категории таких средств: 1. Операции против воли нации. 2. Операции против командования противника. 3. Операции против вражеских войск. 4. Операции на уровне национальных культур. Несмотря на то, что сами средства воздействия (дезинформация, пропаганда, агитация, шантаж и пр.) остаются прежними, принципиально новым элементом стали средства получения и доставки информации – телерадиовещание, Интернет, информационнопсихологические программы. Экономические средства информационной борьбы. Сочетание средств экономической и информационной борьбы может представлять собой две формы - информационную блокаду и «информационный империализм». При этом под информационным империализмом понимается монопольное владение значительной частью информационных ресурсов с элементами диктата на рынке информационных услуг. Средства программно-технического воздействия на информационные системы. Особую опасность в арсенале средств информационного оружия представляют формы его наступательных видов. В настоящее время наиболее технически оснащенной в этом смысле является особая группа специалистов в сфере информационных технологий, занимающихся проникновением в компьютерные сети, так называемые хакеры. Виды атак хакеров на вычислительные сети: от полного блокирования до периодического отключения системы объекта атак; внесение в случайном порядке ошибок или искажений; незаконное копирование (кража) информации; кража услуг (например, бесплатное использование канала связи); ввод ложных сообщений в каналы электронной почтовой связи (в частности, с целью проведения операций содействия); получение доступа к персональным данным для осуществления шантажа (возможно, с целью подготовки террористических актов). 37 Основные средства проведения хакерских атак – вирусы, логические бомбы, программы типа «троянский конь», программыразведчики. Наблюдаемые в последние годы тенденции в развитии информационных технологий могут уже в недалеком будущем привести к появлению качественно новых (информационных) форм борьбы, в том числе и на межгосударственном уровне, которые могут принимать форму информационной войны, а сама ИВ станет одним из основных инструментов внешней политики, включая защиту государственных интересов и реализацию любых форм агрессии. Контрольные вопросы: 1. Охарактеризуйте картину политических отношений в современном мире. 2. Назовите причины, вызвавшие появление информационных войн. 3. В чем состоит сущность информационного воздействия? 4. Назовите сферы деятельности человечества, в которых возможно применение технологии информационных войн для достижения поставленных задач. 5. Что такое информационное противоборство? 6. Дайте определение понятию «информационная война». 7. Назовите основные виды информационной войны. 8. В чем состоят цели информационной войны? 9. Дайте определение понятию «информационное оружие» и назовите основные виды информационного оружия. 38 ГЛАВА 3 СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ В США 3.1. Современная концепция информационной войны в США 3.2. Правовое регулирование информационной безопасности в США 3.3. Государственные органы обеспечения национальной безопасности США 3.4. Особенности подготовки кадров в области информационной безопасности в США 3.1. Современная концепция информационной войны в США В США в настоящее время четко просматриваются два основных уровня реализации концепции информационной войны (ИВ): государственный и военный (рис. 3.1) [16]. Целью ИВ на государственном уровне является доступ к закрытым информационным ресурсам государства-конкурента и принуждение его к принятию выгодных для Вашингтона решений, а также защита собственных ресурсов. Работы по проникновению в системы государственного управления вероятных противников США проводятся в строгой секретности. В системе государственного управления США организована и осуществляется единая программа защиты информации, в основу которой положен принцип централизованного руководства и контроля специальными государственными органами за потоком информации, прямо или косвенно затрагивающей интересы страны. В начале 90-х годов XX века после оценки результатов войны в районе Персидского залива американское военно-политическое руководство приняло решение дополнить программу защиты информации мероприятиями по проникновению в системы государственного управления потенциальных противников и экономических конкурентов США, что и было реализовано на практике в форме концепции ИВ. Основными формами реализации концепции ИВ на государственном уровне, как это отмечается в директиве МО США Т8 3600.1, являются [4]: • политические, дипломатические и экономические акции; 39 • информационные и психологические операции; • подрывные и деморализующие пропагандистские действия; • содействие оппозиционным и диссидентским движениям; • оказание всестороннего влияния на политическую и культурную жизнь с задачей развала национально-государственных устоев общества; • проникновение в систему государственного управления; • защита национальных информационных систем. Концепция информационной войны в США Государственный уровень Цели: • Доступ к закрытым информационным ресурсам государства-конкурента и принуждение его принять выгодные США решения. • защита собственных информационных ресурсов. Военный уровень Цели: • Достижение информационного господства над противником в вооруженном конфликте. • Защита собственных систем управления от ИО противника. Основные формы реализации: • политические, дипломатические и экономические акции и информационнопсихологические операции; • подрывные и деморализующие пропагандистские действия; • содействие оппозиционным и диссидентским движениям; • проникновение в систему государственного управления; • оказание всестороннего влияния на культурную и политическую жизнь с задачей развала национальногосударственных устоев общества; • защита национальных информационных систем. Основные формы ИВ: • радиоэлектронная борьба; • психологическая война; • война с использованием средств разведки; • война с использованием потенциала хакеров; • кибернетическая война. Рис. 3.1. Концепция ИВ в США 40 Военный уровень реализации концепции ИВ представляет комплекс мероприятий в министерстве обороны и военных штабах, направленных на достижение «информационного господства» над противником в вооруженном конфликте и защиту собственных систем управления от аналогичных действий противоборствующей стороны. В директиве Комитета начальников штабов (КНШ) «Борьба с системами управления», изданной в марте 1993 года, подчеркивается, что борьба с системами управления является самостоятельным видом оперативного обеспечения, включающим пять основных элементов: психологическую борьбу, введение противника в заблуждение, противодействие разведке противника, радиоэлектронную борьбу и физическое уничтожение пунктов управления противника и его систем связи. Каждый из этих элементов в отдельности достаточно полно проработан теоретически и освоен практически в деятельности войск. Смысл новой концепции заключается в комплексном, целенаправленном и скоординированном их использовании с целью воздействия на процессы оценки обстановки и принятия решений командованием противостоящей группировки в выгодном направлении для американских войск, а также снижения эффективности функционирования или уничтожения систем управления и связи противника для завоевания и удержания информационного превосходства. Совершенствуя формы и способы ИВ, американское военное командование ввело понятие «информационные операции», закрепленное в новом уставе армии США РМ 100-6. При их проведении ставится задача в полной мере использовать возможности всех имеющихся средств и всех видов оружия (информационного и другого — обычного и ядерного) для установления всеобъемлющего контроля над системами управления противника и, при необходимости, немедленного и полного их разрушения. При этом реализуются такие принципы ИВ, как «обезглавливание», «первоочередность», «оперативность», «упреждение противника» и «интенсивность действий». С выходом упомянутой директивы КНШ в вооруженных силах США началась активная реорганизация существующих и создание новых организационно-штатных структур, предназначенных для решения 41 задач планирования, моделирования и осуществления действий по борьбе с системами управления в стратегическом и оперативно-тактическом звеньях вооруженных сил. Решающим фактором успешного решения задач борьбы с системами управления является разведывательное и контрразведывательное обеспечение, которым американскими экспертами отводится особая роль в информационном противоборстве. Так, на случай возникновения конфликтных ситуаций в разведывательном управлении Министерства обороны США (http://www.dia.mil/) подготовлен план возможных действий по распространению среди населения враждебных Соединенным Штатам стран дезинформации и направленных сведений с целью провоцирования выгодных для США изменений. По оценкам его разработчиков, это первая попытка объединения прикладной психологии с возможностями, предоставляемыми современной компьютерной техникой, что знаменует собой наступление новой эры в осуществлении наступательных информационных операций. При этом признается, что разведка использует сеть Интернет в интересах выполнения программы управления человеческим восприятием. Следует отметить, что ИВ нельзя сводить только к «компьютерной войне», попыткам противника влиять на системы государственного и военного управления только средствами программно-математического воздействия. Она включает в себя значительно более широкий комплекс известных и нетрадиционных мероприятий по воздействию на противника. В программах Университета национальной обороны США выделяются следующие формы ИВ [4]: • радиоэлектронная борьба (РЭБ); • психологическая война; • воина с использованием средств разведки; • война с использованием потенциала хакеров; • кибернетическая война. Радиоэлектронная борьба в определенном смысле всегда была ИВ. Создание помех радиолокационным средствам противника лишало его информации о боевых действиях авиации и направлениях удара баллистических ракет. Задачей радиолокационной разведки и радиолокационных средств поддержки войсковых соединений и частей 42 было получение информации о местоположении радиолокационных систем и станций противника для нанесения ударов по ним. Создание помех системам связи противника нарушает их нормальное функционирование, понижает эффективность и надежность, а перехват передаваемой ими информации способствует раскрытию планов боевых действий противника. Но последние достижения в электронике и информационных технологиях (применение распределенных вычислительных сетей и систем, псевдослучайная перестройка несущей частоты в каналах связи, широкополосная модуляция, многостанционный доступ с кодовым разделением, методы корректив ошибок и сжатия информации) затрудняют как создание помех радиоэлектронным средствам противника, так и перехват его информации. Операциям РЭБ по нарушению работы систем и сетей противника путем создания активных помех или физического разрушения наиболее важных их компонентов должны предшествовать разведка и анализ их структуры и значения. Так, должны быть выявлены наиболее важные узлы сетей связи, воздействие на которые окажет решающее влияние на всю систему. Вместо физического разрушения таких узлов иногда оказывается более целесообразным только ухудшение качества их функционирования. Так, вывод из строя наиболее защищенных наземных линий проводной связи противника вынудит его перейти на радиосвязь, каналы которой легко контролировать, или вести передачу с пониженными скоростями, что увеличит время, необходимое для принятия решения об ответных действиях. Так было в период военных действий против Ирака в зоне Персидского залива. Этим действиям предшествовало длительное изучение противника с использованием информации об опыте, полученном Ираком в процессе длительной воины с Ираном, и особенностей советской военной доктрины, которой придерживался Ирак. Кроме того, использовались данные, получаемые от систем разведки источников электромагнитных сигналов ELINT, и полезный опыт проведения войсковых учений. В январе 1991 г. США и их союзники приняли план проведения военных операций с указанием целей для авиации на основании точных знаний о системах командования, управления и связи Ирака. 43 С самого начала войны против Ирака и боевых операций авиации союзники приступили к систематическому разрушению средств командования и оперативного управления вооруженных сил Ирака. Большинство узлов связи было выведено из строя, что часто нарушало связь высшего командования Ирака с подчиненными войсковыми соединениями и частями по обычным каналам. Поэтому оно было вынуждено искать обходные пути, где это возможно, включая использование систем радиосвязи нефтяных промыслов, сооруженные западными компаниями, ведущими добычу нефти по контрактам, и региональные телефонные сети (с линиями, проложенными в обход городов). По некоторым сообщениям, верховное командование вооруженных сил Ирака использовало для связи со своими войсковыми соединениями даже сеть Интернет. Вооруженные силы Ирака готовились и обучались ведению войны в стиле, близком к боевым действиям времен второй мировой войны, и не были готовы к ведению информационной войны. Психологическая война состоит из организации и проведения различных психологических операций, имеющих целью: искажение получаемой политическим руководством, командованием и личным составом вооруженных сил противника информации и навязывание им ложной им бессодержательной информации, лишающей их возможности правильно воспринимать события или текущую обстановку и принимать верные решения: психологическую обработку войск и населения; идеологические диверсии и дезинформацию: поддержание благоприятного общественного мнения: организацию массовых демонстраций под ложными лозунгами: пропаганду и распространение ложных слухов. Военные действия в зоне Персидского залива в 1991 г. были примером психологического воздействия на противника. Действовавшая против Ирака коалиция государств, ряд которых был представлен только символическими вооруженными силами, явилась примером психологической операции, которая должна была оказать давление на Саддама Хусейна и показать, что существует широкий международный консенсус против вторжения Ирака в Кувейт. Сыграла свою роль и дезинформация, распространяемая с самолетов и спутников союзников и СМИ. Эта дезинформация искажала информационные потоки Ирака и 44 вызывала чувство страха у его населения. Важное психологическое воздействие оказало проведение ВМС США обманных операций, имитирующих высадку морских пехотинцев. В результате этого менее 20000 военных моряков и морских пехотинцев союзников сдерживали около 120000 солдат Ирака, ожидавших в окопах наступления морской пехоты США, которое так и не состоялось. Министерство обороны (МО) США намерено также использовать в интересах психологической войны международную сеть Интернет. Эта сеть может быть использована как система раннего политического предупреждения, позволяющая правильно оценить ситуацию в том или ином регионе. Разведывательные органы США могут контролировать трафик этой сети для получения информации, которая может быть использована для проведения операций информационной войны в отдельных регионах. По сети Интернет можно передавать информацию сочувствующим группам в таких регионах, которые могут самостоятельно проводить те или иные операции. Это может исключить необходимость посылки специальных вооруженных сил США в эти регионы. В ИВ с использованием средств разведки широко применяются различные системы и датчики для наблюдения и контроля обстановки на поле боевых действий. Современные армии разрабатывают схемы использования информации от датчиков в реальном или близком к реальному времени для управления боевыми действиями и наведения оружия на цели. Операции ИВ, направленные против таких систем, могут вывести из строя огневые средства атакуемой цели, но большое разнообразие типов датчиков и широкий диапазон частот их сигналов существенно затрудняют проведение таких операций. Новые разработки расширяют возможности получения и использования информации от датчиков. Одни системы датчиков будут выдавать информацию обо всем, что они будут обнаруживать в зоне наблюдения, а другие, с повышенной чувствительностью и гибкостью, будут действовать по конкретным целям. Информация от систем слежения, установленных непосредственно в зоне боевых действий, может сопоставляться и совмещаться с видеоизображениями, получаемыми от разведывательных беспилотных летательных аппаратов и самолетов, и данными агентурной разведки для формирования полной картины боевой обстановки. Объединение возможно большего количества таких датчиков в единую сеть создаст 45 оптимальные возможности для взаимодействия родов войск и даже вооруженных сил различных стран. В информационно-психологической войне широко используется потенциал хакеров. Действия первой волны хакеров, которые были в основном любителями, можно считать относительно безвредными, хотя в прессе им приписывались события, к которым они не имели никакого отношения. Позднее появились квалифицированные и высококвалифицированные хакеры, действующие с преступными намерениями (поиск информации, которую можно продать, получение доступа к секретной военной информации и т. д.). Как правило, хакеры используют определенные слабые места в системе безопасности компьютерных сетей. Для определения уязвимости военных вычислительных систем и сетей управление информационных систем МО США провело в течение двух лет проверку 8932 военных систем с применением методов и средств проникновения в них, используемых хакерамилюбителями. Попытки проникновения в 7860 систем оказались успешными, и только в 390 случаях они были обнаружены законными пользователями. Но официально было сообщено только о 19 успешных проникновениях. Таким образом, 88% военных компьютерных систем оказались незащищенными от внешнего проникновения, 99% незаконных проникновений не были обнаружены и только о 5% вторжений было сообщено официально. Возрастающее число вторжений в корпоративные, финансовые и военные информационные системы США свидетельствует о том, что хакеры, преступные группировки и иностранные разведывательные службы считают эти системы важной целью. Хорошо спланированная и успешно проведенная атака хакеров может вызвать существенные кратковременные эффекты, такие, как нарушение работы телефонной сети и банковских систем и даже систем управления промышленностью или отключение систем энергоснабжения и блокирование систем управления воздушным движением, но в долгосрочном плане такие действия хакеров менее значимы. Однако следует учитывать, что в ближайшие годы активность хакеров и других преступных элементов по проникновению в гражданские и военные информационные и 46 компьютерные системы будет возрастать, так как появятся новые технологии, которые они смогут использовать, а также будут разработаны новые методы и стратегии взлома систем безопасности. Наибольшую опасность в действиях хакеров и других преступных элементов представляет возможность внедрения ими компьютерных вирусов в программные средства, управляющие жизненно важными системами. Такие вирусы могут начать действовать в заранее установленное время или при наступлении определенных событий, в таком случаи одним из вариантов дальнейшего развития ситуации может стать кибернетическая война. Кибернетическая война - это война в кибернетическом (виртуальном) пространстве с использованием кибернетических средств. Это специфическая, высшая форма информационной войны, включающая в себя все другие ее формы, но исключающая обычные военные действия. Поэтому неправильно называть кибернетической войной обычные военные действия с использованием операций, методов и средств ИВ. Кибернетическая война - это концепция ведения войны с использованием моделей и имитации происходящих в объективной реальности событий и процессов. Так как многие цели, против которых проводятся операции ИВ, не существуют физически, они могут быть представлены только моделями. Разработка таких высокоточных моделей является одной из функций кибернетической войны. Эти модели должны отражать все аспекты фактической войны в реальном времени. Близкое к реальной действительности кибернетическое моделирование боевой обстановки позволяет не только сэкономить средства на обучение и тренировку личного состава вооруженных сил, но и опробовать различные новые сценарии боевых действий и тактические приемы без людских и материальных потерь. Операции и средства ИВ будут все более широко применяться для имитационного моделирования, от индивидуального обучения личного состава до поддержки широкомасштабных учений и планирования военных операций. Теоретически с помощью моделирования и имитации боевых действий в кибернетическом пространстве можно доказать, что одна из участвующих в конфликте сторон потерпит неизбежное поражение. 47 Это означало бы, что отпадает необходимость ведения фактических боевых действий. Однако для этого необходимо согласие противостоящей стороны с такими результатами моделирования, что нереально. Поэтому чистая кибернетическая война останется предметом научной фантастики на несколько ближайших десятилетий. Наибольшую тревогу вызывает наращивание американцами усилий по созданию качественно нового вида оружия информационного, а также разработка новых форм ведения ИВ. К информационному оружию американские специалисты относят «комплекс программных и технических средств, предназначенных для контроля информационных ресурсов противостоящей стороны и вмешательства в работу его информационно-управляющих систем» [4]. Информационное оружие включает средства уничтожения, искажения, хищения и задержки информации, преодоления систем защиты информации, дезорганизации работы технических сегментов систем управления и другие возможности. Помимо наиболее часто упоминаемой в публикациях военной области применения информационного оружия (для нарушения работы систем командования и управления войсками и боевыми средствами), специалисты также выделяют экономическую, банковскую, социальную и иные сферы его потенциального использования с целью: • дезорганизации деятельности управленческих структур, транспортных потоков и средств коммуникации; • блокирования деятельности отдельных предприятии и банков, а также целых отраслей промышленности путем нарушения многозвенных технологических связей и системы взаиморасчетов, проведения валютно-финансовых махинаций и т. п.; • инициирования крупных техногенных катастроф на территории противника в результате нарушения штатного управления технологическими процессами и объектами, имеющими дело с большими количествами опасных веществ и высокими концентрациями энергии; • массового распространения и внедрения в сознание людей определенных представлений, привычек и поведенческих стереотипов; • вызова недовольства или паники среди населения, а также провоцирования деструктивных действий различных социальных групп. 48 В ИВ американские специалисты выделяют наступательные и оборонительные информационные операции, которые могут проводиться отдельными лицами, диверсионными и террористическими группами или специально подготовленными войсковыми формированиями. Важное место при этом отводится психологическим операциям, осуществляемым с целью воздействия на общественное мнение или конкретных людей. В качестве основных объектов применения информационного оружия как в мирное, так и в военное время выступают: • используемые государственными и правительственными организациями при выполнении своих управленческих функций компьютерные и телекоммуникационные системы; • военная информационная инфраструктура, решающая задачи управления войсками и боевыми средствами сбора и обработки информации в интересах вооруженных сил; • информационные и управленческие структуры банков, транспортных и промышленных предприятий; • средства массовой информации, и в первую очередь электронные (печать, радио, телевидение и т. д.). Такой подход отводит для разведывательного сообщества США одну из ключевых ролей в ИВ. Эта роль определяется не только чрезвычайно высоким техническим потенциалом сообщества, позволяющим добывать и обрабатывать огромные объемы разведывательной информации в глобальном масштабе, но и наличием у разведки агентурных возможностей по проведению информационных операций. Можно утверждать, что отдельные элементы информационной борьбы в последние годы не раз использовались США в различных международных конфликтах. Вместе с тем, только после окончания войны в Персидском заливе («Буря в пустыне») США впервые открыто заявили о широкомасштабном использовании информационного оружия в ходе боевых действий. Тогда массированное применение американцами средств радиоэлектронной разведки и борьбы, а также высокоточного оружия против иракских систем командования и управления привело к значительному снижению эффективности работы этих систем и существенно повлияло на исход войны. Кроме того, в отношении вооруженных сил и населения Ирака, а также населения 49 США и других стран применялись методы психологического воздействия, направленные, с одной стороны, на моральное подавление противника и, с другой стороны, на формирование положительного отношения в мире к действиям американских военных. Несмотря на то, что специалисты отмечали ряд серьезных просчетов в применении информационного оружия в ходе войны в Персидском заливе, в США как во время боевых действий, так и после их окончания была развернута пропагандистская кампания, не лишенная элементов блефа, которая преследовала несколько целей. Во-первых, содействовать усилиям американского руководства по созданию как внутри страны, так и за ее пределами впечатления о США как о «признанном мировом лидере», продемонстрировав американское преимущество в области военных информационных технологий, которое должно стать, наряду с ядерным оружием, одним из основных сдерживающих факторов. Во-вторых, убедить американских налогоплательщиков и законодателей в необходимости и целесообразности выделения бюджетных средств на совершенствование информационного оружия, которое, по мнению его сторонников, должно позволить США одерживать победы в любых военных конфликтах при минимальных потерях среди американских военнослужащих. Наряду с различными пропагандистскими кампаниями военнополитическим руководством США предпринимаются конкретные шаги по созданию материальной базы ИВ, а проблемы обеспечения информационной безопасности рассматриваются им в качестве одного из приоритетных направлений обеспечения национальной безопасности. Комитетом начальников штабов США разработана и утверждена объединенная доктрина по проведению информационных операций (joint Doctrine for information Operation - JDIO). В доктрине обобщается опыт по созданию концепции информационной войны и безопасности, закрепляются четкие понятия и определения с целью выработки единообразных подходов и координации усилий командования вооруженных сил всех уровней. JDIO содержит наступательный и оборонительный компоненты, которые состоят из следующих разделов: • операционная безопасность; • дезинформация; 50 • психологические операции; • электронное оружие; • физическое разрушение объектов: • специальные информационные операции. Особое место в доктрине уделяется проведению наступательной информационной операции, которая является неотъемлемой частью любой военной кампании и может быть применена как при осуществлении «акций по поддержанию мира», так и в период эскалации кризиса. Элементы наступательной информационной операции могут реализовываться в различных условиях и обстоятельствах самостоятельно или в совокупности с проведением военной операции на стратегическом и тактическом уровнях. При организации комплекса мер по нападению на компьютерные системы и сети большое значение придается человеческому фактору для оказания психологического воздействия на процесс принятия решения компетентными должностными лицами противника, позиции и мнений политических партий и поведения отдельных лидеров. При этом эксперты МО США подчеркивают, что при утверждении плана проведения каждой наступательной информационной операции будут учитываться нормы международного права, межправительственных договоров и соглашений, однако реальные события в Ираке и Югославии свидетельствуют об обратном. Оборонительные аспекты JDIO предусматривают расширенное финансирование программ в сфере информационной безопасности, а также осуществление комплекса организационных мероприятий. В частности, предполагается: Разработать основные направления политики в сфере обеспечения национальной безопасности с учетом новейших информационных технологий. Для этого намечено пересмотреть существующую систему зашиты от информационного оружия, конкретизировать с учетом политической ситуации цели и задачи использования наступательного информационного оружия, а также определить процедуру контроля его применения. Добиться стратегического информационного доминирования, которое определено в качестве одного из ключевых направлений государственной политики в области национальной 51 безопасности, и предполагает постоянное развитие и внедрение новых информационных технологий. Обеспечить надежное и устойчивое функционирование сетей и систем федерального и местных правительств в случае возможной информационной войны. Повысить эффективность взаимодействия государственных структур и частного сектора в плане подготовки к возможным информационным атакам. При этом частные компании и фирмы должны взять на себя долю ответственности за обеспечение собственной информационной безопасности. На решение этой задачи направлены ресурсы прежде всего министерства обороны и разведывательного сообщества США. В настоящее время в подразделениях министерства обороны вырабатывается стратегия и тактика применения информационного оружия, осуществляются соответствующие организационные мероприятия по подготовке к ИВ, проводятся НИОКР по совершенствованию наступательных и оборонительных систем информационного оружия. При этом американские эксперты исходят из того, что в начале XXI-го века в США возможно дополнение национальной доктрины «ядерного сдерживания» доктриной «направленной силы» (Force Projection), одним из элементов которой, как ожидается, будет информационное оружие. В основу разрабатываемой МО США концепции ИВ закладываются результаты анализа многочисленных командноштабных учений по отработке задач ИВ, проведенных в последние несколько лет. Согласно этой концепции, в обеспечении операций с применением информационного оружия будут задействованы все системы управления, связи и разведки космического, воздушного, морского и наземного базирования всех видов вооруженных сил. Для координации действий планируется создать автоматизированную систему управления боевыми операциями ИВ и разработать стратегический план ее ведения, подобный плану ведения ядерной войны SIOP (Strategic integrated Operation Plan). При этом, по словам директора ЦРУ, будет сделано все, чтобы военное командование США и американские вооруженные силы в целом были лучше, чем их противник, осведомлены о происходящем на земле, на воде и в воздухе. 52 В рамках подготовки к ИВ проведена реорганизация ряда подразделений МО США. В частности, определена ведущая роль, в этой области Управления информационных систем (Defense Information Systems Agency - DISA). В разных видах вооруженных сил США созданы специальные службы по ИВ: • в военно-воздушных силах - Центр информационной войны ВВС (AF Information Warfare Center - AF IWC) со штатом служащих более 1000 человек; • в военно-морских силах группа обеспечения безопасности электронных средств (Naval Security Group) преобразована в службу ВМС по информационному оружию (Navy Information Warfare Activity NIWA). Для улучшения способности активно защищать информационные системы и компьютеры в МО США была создана объединённая оперативная группа по защите компьютерной сети Министерства обороны (Joint Task Force for Computer Network Defense, JTF-CND). Персонал JTF должен быстро идентифицировать потенциальное повреждение и обеспечить своевременное уведомление подразделений служб и агентств министерства, что позволяет им эффективно отвечать на вторжение. С 2000 года Министерством обороны ведётся работа с союзниками по вопросу обеспечения информационной безопасности. В частности, Канада имеет официального представителя, работающего в JTF-CND. При этом развивается система разделения информации между Министерствами обороны в соответствии с основными положениями Меморандума о понимании и Концепции действий, подписанными американской и канадской сторонами. Проведены работы по созданию системы сигнализации при обнаружении уязвимости информационной безопасности (Information Assurance Vulnerability Alert - IAVA) для распределения информации об уязвимости всем подразделениям и службам Минобороны. Расширяется спектр исследований МО США в области критических (для создания информационного оружия) технологий. Организована широкомасштабная программа по разработке систем такого оружия, а ряд уже проводимых военных программ, например программа Copernicus, направленная на совершенствование военноморских систем командования, управления, связи и разведки, были переориентированы в интересах подготовки к информационной войне. 53 Разведывательными службами видов вооруженных сил совместно с Агентством Национальной Безопасности исследуются возможности создания принципиально новых вирусов и средств их внедрения в компьютерные системы противника. Разработаны технологии создания специальных электронных ловушек в микросхемах, которые в качестве элементной базы или в составе систем оружия поставляются американскими фирмами в другие страны. Эти микросхемы-ловушки при получении определенной команды могут контролировать использование систем оружия или нарушать их работу. Подобные же микросхемы могут устанавливаться и в системах гражданского назначения. Еще в 1994 году Объединенная комиссия по вопросам безопасности (The Joint Security Commission), образованная директором ЦРУ и Министром обороны, определила уязвимость США к средствам информационной борьбы как главную проблему текущего десятилетия, а возможно, и следующего столетия. По мнению американских экспертов, в США в настоящее время от несанкционированного проникновения надежно защищено только небольшое число компьютерных сетей, которые содержат наиболее важные (например, ядерные или разведывательные) секреты и потому изолированы от внешнего мира. В этой связи поставлена задача обеспечения безопасности США в ИВ. Ключевая роль в этом отведена управлению DISA МО США. Центром безопасности информационных систем (CISS) этого управления проводится крупная программа Info War по отработке информационной зашиты боевых систем. Создание многоуровневой системы, зашиты военной инфраструктуры в целом координируется Управлением перспективных исследований АКРА. В 1996 финансовом году на эти цели выделено около 1 млрд. долл. В целом же, по оценкам Ассоциации электронной промышленности США, только прямые затраты МО США на проведение работ в области подготовки к ИВ в ближайшее десятилетие будут находиться в пределах 1,7-2,1 млрд. долл. в год. В контексте подготовки к ИВ, по-видимому, следует рассматривать и инициативу США по созданию национальной информационной инфраструктуры (National Information Infrastructure) и глобальной информационной инфраструктуры (Global Information 54 infrastructure) на базе международной сети Интернет, которая в значительной степени находится под контролем США. Таким образом, для реализации концепции ИВ в США созданы все необходимые условия, в том числе: • разработана теоретическая база ИВ, которая прошла проверку практикой ведения войны в зоне Персидского залива (американские военные специалисты считают войну в Заливе «первой информационной войной»), в Панаме, Боснии, Югославии, теоретические положения закреплены в нормативных документах; • выполнен значительный объем работы по созданию организационных структур, на которые в вооруженных силах США возложена задача ведения ИВ. В 1995 г. факультет информационной войны Университета национальной обороны США сделал первый выпуск офицеров - специалистов в области ведения ИВ. В США также активно ведутся интенсивные и широкомасштабные работы в области психологической компоненты ИВ, объектом которой является индивидуальное, групповое и массовое сознание. Эти работы финансируются Управлением перспективных исследований США и идут под руководством ЦРУ и РУМО. В качестве одной из составляющих внешних угроз информационной безопасности России следует выделить деятельность спецслужб и организаций США как наиболее агрессивных в реализации задач приобретения информационного превосходства. Именно США первыми на правительственном уровне приняли доктрину информационной войны, назвав ее важнейшей составной частью общей военной стратегии. В настоящее время в США вопросами информационного противоборства в той или иной степени занято более 150 правительственных организаций, не считая частных компаний и образовательных учреждений, действия которых координируются на самом высоком уровне. 3.2. Правовое регулирование информационной безопасности в США Ключевую роль в правовом регулировании информационной безопасности США играет американский "Закон об информационной 55 безопасности" [20]. Его цель - реализация минимально достаточных действий по обеспечению безопасности информации в федеральных компьютерных системах, без ограничений всего спектра возможных действий. Характерно, что уже в первом разделе закона называется конкретный исполнитель - Национальный институт стандартов и технологий (НИСТ), отвечающий за выпуск стандартов и руководств, направленных на защиту от уничтожения и несанкционированного доступа к информации, а также от краж и подлогов, выполняемых с помощью компьютеров. Таким образом, имеется в виду, как регламентация действий специалистов, так и повышение информированности всего общества. Согласно закону, все операторы федеральных информационных систем, содержащих конфиденциальную информацию, должны сформировать планы обеспечения ИБ. Обязательным является и периодическое обучение всего персонала таких ИС. НИСТ, в свою очередь, обязан проводить исследования природы и масштаба уязвимых мест, вырабатывать экономически оправданные меры защиты. Результаты исследований рассчитаны на применение не только в государственных системах, но и в частном секторе. Закон обязывает НИСТ координировать свою деятельность с другими министерствами и ведомствами, включая Министерство обороны, Министерство энергетики, Агентство национальной безопасности (АНБ) и т.д., чтобы избежать дублирования и несовместимости. Помимо регламентации дополнительных функций НИСТ, Закон предписывает создать при Министерстве торговли комиссию по информационной безопасности, которая должна: выявлять перспективные управленческие, технические, административные и физические меры, способствующие повышению ИБ; выдавать рекомендации Национальному институту стандартов и технологий, доводить их до сведения всех заинтересованных ведомств. С практической точки зрения, важен раздел 6 закона, обязывающий все правительственные ведомства сформировать план обеспечения информационной безопасности, направленный на то, 56 чтобы компенсировать риски и предотвратить возможный ущерб от утери, неправильного использования, несанкционированного доступа или модификации информации в федеральных системах. Копии плана направляются в НИСТ и АНБ. В 1997 году появилось продолжение описанного закона законопроект "О совершенствовании информационной безопасности" (Computer Security Enhancement Act of 1997), направленный на усиление роли Национального института стандартов и технологий и упрощение операций с криптосредствами [20]. В законопроекте констатируется, что частный сектор готов предоставить криптосредства для обеспечения конфиденциальности и целостности (в том числе аутентичности) данных, что разработка и использование шифровальных технологий должны происходить на основании требований рынка, а не распоряжений правительства. Кроме того, здесь отмечается, что за пределами США имеются сопоставимые и общедоступные криптографические технологии, и это следует учитывать при выработке экспортных ограничений, чтобы не снижать конкурентоспособность американских производителей аппаратного и программного обеспечения. Для защиты федеральных информационных систем рекомендуется более широко применять технологические решения, основанные на разработках частного сектора. Кроме того, предлагается оценить возможности общедоступных зарубежных разработок. Очень важен раздел 3, в котором от НИСТ требуется по запросам частного сектора готовить добровольные стандарты, руководства, средства и методы для инфраструктуры открытых ключей, позволяющие сформировать негосударственную инфраструктуру, пригодную для взаимодействия с федеральными ИС. В разделе 4 особое внимание обращается на необходимость анализа средств и методов оценки уязвимых мест других продуктов частного сектора в области ИБ. Приветствуется разработка правил безопасности, нейтральных по отношению к конкретным техническим решениям, использование в федеральных ИС коммерческих продуктов, участие в реализации шифровальных технологий, позволяющее в конечном итоге сформировать инфраструктуру, которую можно рассматривать как резервную для федеральных ИС. 57 Важно, что в соответствии с разделами 10 и далее предусматривается выделение конкретных (и немалых) сумм, называются точные сроки реализации программ партнерства и проведения исследований инфраструктуры с открытыми ключами, национальной инфраструктуры цифровых подписей. В частности, предусматривается, что для удостоверяющих центров должны быть разработаны типовые правила и процедуры, порядок лицензирования, стандарты аудита. В 2001 году был одобрен Палатой представителей и передан в Сенат новый вариант рассмотренного законопроекта - Computer Security Enhancement Act of 2001. В этом варианте примечательно как то, что, по сравнению с предыдущей редакцией, было убрано, так и то, что добавилось. За четыре года (1997-2001 гг.) на законодательном и других уровнях информационной безопасности США было сделано многое. Смягчены экспортные ограничения на криптосредства, сформирована инфраструктура с открытыми ключами, разработано большое число стандартов (например, новый стандарт электронной цифровой подписи FIPS 186-2, январь 2000 г.). Все это позволило не заострять больше внимание на криптографии как таковой, а сосредоточиться на одном из ее важнейших приложений - аутентификации, рассматривая ее по отработанной на криптосредствах методике. На базе этих законов в США сформирована общенациональная инфраструктура электронной аутентификации. Программа безопасности, предусматривающая экономически оправданные защитные меры и синхронизированная с жизненным циклом ИС, упоминается в законодательстве США неоднократно. Согласно пункту 3534 ("Обязанности федеральных ведомств") подглавы II ("Информационная безопасность") главы 35 ("Координация федеральной информационной политики") рубрики 44 ("Общественные издания и документы"), такая программа должна включать: периодическую оценку рисков с рассмотрением внутренних и внешних угроз целостности, конфиденциальности и доступности систем, а также данных, ассоциированных с критически важными операциями и ресурсами; 58 правила и процедуры, позволяющие, опираясь на проведенный анализ рисков, экономически оправданным образом уменьшить риски до приемлемого уровня; обучение персонала с целью информирования о существующих рисках и об обязанностях, выполнение которых необходимо для их (рисков) нейтрализации; периодическую проверку и (пере)оценку эффективности правил и процедур; действия при внесении существенных изменений в систему; процедуры выявления нарушений информационной безопасности и реагирования на них; эти процедуры должны помочь уменьшить риски, избежать крупных потерь, организовать взаимодействие с правоохранительными органами. Помимо этого, в законодательстве США имеются в достаточном количестве и положения ограничительной направленности, и директивы, защищающие интересы таких ведомств, как Министерство обороны, АНБ, ФБР, ЦРУ. 3.3. Государственные органы обеспечения национальной безопасности США Структура системы обеспечения национальной безопасности схематично представлена на рис. 3.2 [17]. Далее будут рассмотрены основные государственные органы, обеспечивающие национальную информационную безопасность в США. Агентство национальной безопасности (АНБ) (http://www.nsa.gov/) - мировой лидер в области радиоэлектронного перехвата. Целью агентства является обеспечение национальной безопасности США с помощью технических средств. К основным задачам АНБ относятся: радиоперехват; электронная разведка; защита правительственной информации; обеспечение криптографической безопасности. 59 Совет по вопросам внутренней безопасности Комитет по вопросам безопасности кибернетического пространства Президент Институт проблем защиты информационной инфраструктуры Федеральный координационный совет по проблемам безопасности информационной инфраструктуры Администрация президента Национальный институт стандартов и технологий Федеральный центр защиты информационных ресурсов Национальный центр защиты Инфраструктуры ФБР Национальный центр безопасности и реагирования Центр анализа информации Правительства штатов НАСА Центр защиты информационных ресурсов федеральных агентств и министерств МЧС ЦРУ АНБ МО АВБ Рис. 3.2. Структура государственных органов обеспечения национальной информационной безопасности США (АВБ - Агентство внешней безопасности, МО – Министерство обороны, АНБ – Агентство национальной безопасности, ЦРУ – Центральное разведывательное управление, МЧС – Министерство по чрезвычайным ситуациям, НАСА - Национальное управление США по аэронавтике и исследованию космического пространства) Агентство национальной безопасности США имеет завод по производству интегральных микросхем для своих вычислительных систем. Исходя из открытой информации, на нем также изготавливаются микросхемы, которые по своим характеристикам, функциям и внешнему виду практически не отличаются от компонентов, используемых в электронных системах потенциального противника. Они предназначены для тайной установки в системах обработки данных и управления других государств, где выполняют роль электронных 60 закладок и могут передавать снятую информацию по радиоканалам или, реагируя на внешний сигнал, парализовать компьютеры стратегических систем, АНБ контролирует два узловых центра сети Интернет в штатах Мэриленд и Калифорния, а также проводит сканирование значительного числа узлов подключения пользователей этой сети в других регионах США и за границей. По мнению экспертов, такие операции осуществляются с ведома компаний Sprint, Ameritech Bell Communications и Pacific Bell, владеющих коммерческими системами телекоммуникаций. Объединенный технический центр информационной войны Министерства обороны и разведывательных служб (Joint Defense and Intelligence Community Information Warfare Technical Center) Центр технологий проведения информационных операций (Information Operations Technology Center, IOTC) координационная группа разведывательного сообщества (Community Coordination Group, CCG); группа анализа и оценок (Analysis and Assessment, A&A); группа высоких технологий (Advanced Technology Group, ATG) Рис. 3.3. Подразделения АНБ, занимающиеся созданием и внедрением закладных устройств [16] Проблемой ИВ и в первую очередь вопросами информационнотехнического воздействия занимаются и другие подразделения АНБ, наделенные не только исполнительными, но и координационными функциями как внутри США, так и среди аналогичных спецслужб стран НАТО. Центральному разведывательному управлению (ЦРУ) в обеспечении внешней безопасности США отводится одно из главных мест. Так, разработан и реализован план, направленный на расширение возможностей разведки по добыванию и обработке информации об угрозах национальной информационной инфраструктуре со стороны других государств. Кроме традиционных методов агентурной 61 работы, ЦРУ уделяет большое внимание анализу открытых источников и проникновению в закрытые базы данных техническим путем. Об этом свидетельствует тот факт, что в последнее время ЦРУ занято подбором специалистов в области информационных и компьютерных технологий, в том числе из среды хакеров. Структура ЦРУ Оперативный директорат. Решает задачи по добыванию информации силами агентурной разведки. Организует и осуществляет тайные операции, контрразведывательное обеспечение агентурнооперативных мероприятий. Структура директората: Управление внешней разведки. Осуществляет контроль за оперативной деятельностью региональных отделов. Оценивает надёжность источников информации. Разрабатывает практические рекомендации для оперативных подразделений. Управления внешней контрразведки. Обеспечивает безопасность разведывательной деятельности президентуры ЦРУ. Осуществляет агентурное проникновение в иностранные спецслужбы. Работает с перебежчиками. Управление тайных операций. Управление технических служб. Отвечает за техническое обеспечение тайных операций. Финансово-плановое управление. Центр по борьбе с терроризмом координирует деятельность подразделений ЦРУ, специализирующихся на борьбе с международным терроризмом. Центр по борьбе с наркотиками анализирует информацию по наркотикам, разрабатывает и проводит операции против объединений наркодельцов. Научно-технический директорат. Проводит исследования и разработки в области технических средств сбора информации. Обслуживает эту аппаратуру целевого назначения. Осуществляет обмен информацией с крупнейшими научными центрами США. В структуру директората входят: Управление исследований и разработок технических систем. Занимается фундаментальными и прикладными научно-техническими исследованиями и разработками в самых различных областях - связь, 62 датчиков систем, полупроводников, искусственного интеллекта, моделирования процессов и пр. Управление перехвата. Разрабатывает, эксплуатирует и обслуживает новейшую аппаратуру, необходимую для выполнения с максимальной эффективностью задач по сбору и анализу информации. Управление технического обеспечения. Осуществляет исследования, разработки и изготовления различной оперативной техники средств тайнописи, подслушивания, скрытого фотографирования, кодирования и расшифровки. Информационная служба по зарубежному радиовещанию. Руководит сетью радиопостов, прослушивающих и записывающих радио- и телепередачи. Национальный центр расшифровки материалов аэрокосмической разведки. Информационно – аналитический директорат. Главное подразделение по обработке и анализу разведывательной информации и подготовке ее для президента, Совета национальной безопасности и конгресса. Основными структурными подразделениями директората является пять региональных управлений: Управление анализа информации по странам СНГ. Управление анализа информации по европейским странам. Управление анализа информации по Ближнему Востоку и Южной Азии. Управление анализа информации по Восточной Азии. Управление анализа информации по странам Африки и Латинской Америки. Административный директорат. Занимается вопросами подбора, подготовки и переподготовки кадров, обеспечивает безопасность персонала и объектов ЦРУ, осуществляет шифросвязь с резидентурами. Состав директората: Управление кадров. Управление подготовки и переподготовки кадров. Управление безопасности. Финансовое управление. Управление хранения и поиска информации. 63 Управление компьютерной техники. Управление связи. Медицинское и Хозяйственное управление. Директорат планирования. Занимается планированием и координацией деятельности разведки, отслеживанием новых направлений в специализации разведывательной информации, а также обеспечивает тесную связь и сотрудничество разведки с основными потребителями ее информации. Кроме директората в структуре ЦРУ имеются: Отдел главного юрисконсульта. Сотрудники отдела следят за соблюдением работниками ведомства Конституции и законов, уголовного кодекса, а также действующих правил и инструкций. Отдел генерального инспектора. Начальник этого отдела назначается президентом США и утверждается сенатом. Он подотчётен президенту и конгрессу, но обязан полностью согласовывать свою деятельность с директором ЦРУ. Отдел имеет собственный бюджет и автономный (в рамках ЦРУ) кадровый аппарат. Проводит проверки и при необходимости служебные расследования деятельности подразделений ЦРУ. Отдел финансового ревизора. Контролирует всю финансовую деятельность ЦРУ. В структуру ЦРУ также входят: секретариат, финансово- плановый отдел, отдел истории ЦРУ, отдел шифропереписки и Совет по рассмотрению публикации о ЦРУ. В качестве одного из приоритетных направлений работы ЦРУ определено добывание сведений о потенциальных террористических киберугрозах США, исходящих из-за границы. Так, управление зафиксировало факт кибератаки против одной из государственных компьютерных сетевых систем Шри-Ланки. В результате электронная почта и серверы сети были заблокированы. Кибератаку провела малоизвестная экстремистская группа «Чат-тигры сети Интернет», действовавшая от имени движения «Тигры освобождения Тамил Илама». Эта организация квалифицируется в США как террористическая. ЦРУ составлен список примерно 30 стран, в настоящее время активно разрабатывающих технологии, предназначенные для ведения ИВ, которая может стать для США «кибернетическим Чернобылем», 64 учитывая высокую степень зависимости экономики и вооруженных сил государства от бесперебойной работы компьютерного парка. Сервер ЦРУ (http://www.odci.gov/cia/) содержит много информации, начиная от виртуальной экскурсии по зданию ЦРУ в Лэнгли и музею разведывательной техники и заканчивая электронными версиями таких информационных изданий, выпускаемых ЦРУ, как «CIA World Fact Book», в котором содержится информация о каждой стране мира. Федеральное бюро расследований (ФБР (http://www.fbi.gov/)) также участвует в реализации доктрины ИВ и прежде всего с позиций защиты инфраструктуры США. В целях борьбы с компьютерными преступлениями в Соединенных Штатах в 1996 году был принят федеральный закон «О мошенничестве и злоупотреблениях с использованием компьютеров» (Federal Computer and Abuse Act of 1996), который предусмотрел создание в ФБР подразделения по борьбе с данным видом преступлений. Федеральное бюро расследований занимается расследованием таких инцидентов, как шпионаж, разглашение секретных сведений, обман государственных инстанций, терроризм, махинации и мошенничество, реализованных через телекоммуникационные сети. В него входит семь подразделений по борьбе с компьютерной преступностью (Computer Crime Squards), штат которых составляет 300 человек. Министерство обороны (МО) США, являясь прародителем международной сети Интернет, первым осознало новую угрозу безопасности страны и силу информационного оружия и в настоящее время занимает ведущие позиции в реализации доктрины ИВ в военной сфере. Комиссия экспертов научного совета МО (Defence Scientist Board, DSB) подготовила доклад о необходимости принятия экстренных мер к обеспечению безопасности военных телекоммуникаций и компьютерных сетей на случай ИВ. Эксперты указывают, что если такие меры не будут своевременно приняты, Соединенным Штатам может быть нанесен катастрофический урон, сравнимый с последствиями японского нападения на Пёрл-Харбор. Пентагон принимает на работу хакеров для 65 проверки военных автоматизированных информационных систем (АИС) на уязвимость в так называемые «красные команды» (Red Team), которые занимаются обеспечением защиты военных компьютерных сетей. Непосредственную реализацию проекта осуществляет центр ИВ министерства армии США (Army Infowar Center). Стратегическое командование вооруженных сил США ввело систему оповещения об информационных нападениях Infocon [16]. В ней предусмотрено четыре уровня опасности: Alfa Bravo Charlie Delta. Каждому из них соответствует комплекс мер по усилению режима безопасности, в том числе отключение АИС от Интернета и круглосуточный мониторинг компьютерных сетей. Специальная группа (Training and Doctrine Command, TRADOC) при МО США разрабатывает концепцию ИВ, определяет правомерность применения информационного оружия (рис. 3.4.). Агентство (управление) по защите информационных сетей (DISA). Решает задачи связанные с обеспечением информационной безопасности в вооруженных силах США. В DISA также сформировано оперативное подразделение по противодействию информационным нападениям и восстановлению компьютерных систем (Attack Assessment, Emergency Response and Recovery Capability Unit) Управление перспективных исследовательских проектов (ARPA). Подотчетно Министерству обороны США. Проводит научные разработки в сфере ИВ с 1995 года Рис. 3.4. Подразделения МО США, занимающиеся вопросами стратегии и тактики ИВ [16] В МО США созданы силы быстрого реагирования в средствах массовой информации (Rapid Media Reaction Force - RMRF). Их задачи в свое время сформулировал бывший директор ЦРУ У. Студеманн. Он 66 заявил, что RMRF должны использовать все возможные пропагандистские приемы и средства для целевого информационнопсихологического воздействия на население тех стран и регионов, где вооруженные силы США планируют или осуществляют боевые операции. Основными структурами, обеспечивающими сбор разведывательной информации и защиту от несанкционированного доступа к информационным ресурсам военного и политического назначения являются: • министерство сухопутных войск. Заинтересовано главным образом в разработке методов защиты военных линий телекоммуникаций. Соответствующие исследования ведутся в ФортБульвуаре, где находится управление разведки и безопасности сухопутных сил (Army Intelligence and Security Command), под контролем которого действует центр наземной ИВ (Land Information Warfare Activity Center). В ведении министерства находится команда быстрого реагирования на возникающие инциденты с военными компьютерными системами (Army Computer Emergency Response Team); • министерство военно-морского флота. Учредило в Норфолке (штат Вирджиния) флотский центр ИВ (Fleet Information Warfare Center, FIWC), целью которого является разработка мер обеспечения безопасности систем военно-морских телекоммуникаций и ЭВМ на боевых кораблях в кризисных ситуациях. Стратегические и политические вопросы противодействия информационному нападению изучаются специалистами экспертной группы (Naval Information Warfare Activity), базирующейся в Форт-Миде (штат Мэриленд). Как заявил командующий ВМС США в Атлантике, приоритетной проблемой для этих органов является реализация концепции обеспечения информационного превосходства над противником в боевой обстановке и подавление его способности передавать, получать и использовать информацию, необходимую для руководства военными действиями. Группа стратегических исследований (Strategis Studies Group) создана в 1995 году в структуре министерства ВМС, занимается разработкой аппаратуры, способной посылать мощные направленные электромагнитные импульсы, с помощью которых можно управлять поведением человека. С 1994 года на базе ВВС Келли (штат Техас) действует центр ИВ ВВС (Air Force Information Warfare Center), которому поручена 67 разработка методов и средств ее ведения в воздушном, космическом и кибернетическом пространствах. Commando Solo - техническая группа в составе ВВС США, которая, например, с помощью установленной на самолете аппаратуры обеспечивала прямую трансляцию специально подготовленных пропагандистских материалов по телевидению Гаити во время вторжения американских войск в эту страну. Commando Solo также использовалась для глушения теле- и радиопередач боснийских сербов; • иные правительственные и межведомственные организации. Проблема информационной безопасности остается в поле пристального внимания правительства США. Действует целый ряд правительственных организаций, призванных обеспечивать координацию и решение указанной проблемы, осуществляющих исследования и имеющих непосредственное отношение к ведению ИВ; • комиссия по защите критической инфраструктуры при президенте США (Presidents Commission on Critical Infrastructure Protection, PCCIP). Создана в 1996 году. Ее задачей является своевременное информирование о состоянии информационной безопасности в государственных и частных учреждениях США. По предложению председателя комиссии, изучение вопросов информационной безопасности будет включено даже в школьные программы. В состав комиссии входят представители ЦРУ, АНБ, Министерств обороны, юстиции, финансов, торговли, энергетики, а также федерального агентства по управлению в кризисных ситуациях. Аналогичные задачи решают такие организации, как Центр по расширению информации и анализу (Information Sharing & Analysis Center), Национальная ассоциация компьютерной безопасности (National Computer Security Association), Центр информационной политики и стратегии, Двусторонняя группа управления проведением информационных операций (BIOSG), Центр технологий проведения информационных операций (IOTS), Национальный координационный консультативный совет по информационной безопасности, Национальный координационный центр по предотвращению компьютерных инцидентов. К решению задач по борьбе с компьютерными преступлениями и обеспечению информационной безопасности подключаются и правоохранительные органы. Так, работой по созданию методик и 68 программного обеспечения для расследования компьютерных преступлений занимаются уже 36 различных государственных и общественных организаций [16]. В их числе: Служба по чрезвычайным ситуациям в компьютерных сетях (Emergency News Service) (www.emergency.com). Региональные центры по разработке специальных технологий для правоохранительных органов (Regional National Law Enforcement and Correctiol Technology Centers) (http://www.nlectc.org/nlectcrm). Международный архив данных частных детективных бюро (Investigative Resources International Site) (http://www.factfind.com) и др. К проводимым работам по созданию средств информационного противоборства широко привлекаются частные фирмы. Так, компания Science Applications International Corp. (SAIC) имеет центр информационной политики и стратегии, который по заказам Пентагона исследует вопросы влияния информационных технологий на военные конфликты в XXI веке. Компания имеет в различных странах 450 своих филиалов (в том числе представительство в Москве). Фирма тесно связана с МО и разведывательными органами США (В совете директоров компании работают бывший директор АНБ Р. Инмэн, бывший министр обороны М. Лэйрд, а также Д. Хикс, который в недалеком прошлом руководил научными исследованиями в Пентагоне). Согласно решению правительства для учета лиц, пользующихся серверами доменов высокого уровня (домены высокого уровня принятая в Интернете одна из систем классификации зарегистрированных пользователей, в частности, военным, правительственным, образовательным, финансовым организациям), присвоены особые адреса (используются буквосочетания .go, .corn, .edu, .org, .net и т. п.) сети Интернет, был создан главный государственный регистр Inter-NIC. В дальнейшем он был передан в ведение частной компании Network Solutions, Inc. (NSI), штаб-квартира которой находится в г. Херндон (штат Виржиния). В настоящее время NS1 входит в структуру компании SAIC, что делает возможным использование монополии NSI для ведения ИВ. Корпорация Booz-Allen & Hamilton Inc. заключила контракт с Пентагоном на сумму 500 тыс. долл., в соответствии с которым она 69 обязалась разработать матрицу основных требований к информационным операциям и создать закрытую базу данных, необходимых для их проведения. В последней будут храниться сведения об информационных инфраструктурах в странах, которые рассматриваются в качестве потенциальных противников США, а также данные об их возможностях в проведении операций ИВ. Компания SRA International, специализирующаяся на выполнении заказов министерства обороны и спецслужб США, создала экспериментальный образец поисковой информационной системы Name Tag. С помощью программного обеспечения Net Owl система в автоматическом режиме контролирует потоки информации, циркулирующей по сети Интернет, отбирая из них данные, которые могут представлять интерес для экономической разведки. В последнее время SRA Internal открыла филиал во Франции и учредила представительство в Москве. Компания Autonomy Inc. разработала две системы программного обеспечения: Autonomy Web Resercher и Autonomy Press Agent, предназначенные для контроля за потоками информации, циркулирующей по Интернету. Системы позволяют по ключевым словам и фразам «отфильтровывать» из передаваемых сообщений сведения, представляющие разведывательный интерес. С их помощью можно также извлекать необходимую информацию из соединенных с Интернет локальных компьютерных сетей и баз данных отдельных ЭВМ. Обе системы могут работать в автоматическом режиме. Некоторые организации разведывательного сообщества США, прежде всего Разведывательное управление Министерства обороны, применяли разработанное компанией MNIS уникальное программное обеспечение DR-LINK для электронного сканирования большого числа патентов и других подобных документов в целях выявления тенденций и направлений научно-технического развития и подготовки материалов прогностического характера. Фирма Inslaw разработала программный пакет Promis (Prosecutors Management Information System), используемый американскими спецслужбами в электронной разведке. Благодаря применению сложных алгоритмов Promis осуществляет быстрый «сетевой розыск», подбирая данные из различных источников. Программа снабжена системой закрытого доступа Trap Doors, через которую АНБ может проникать во все банки данных, ориентированные на Promis. 70 Утверждается, что Promis использовалась также в вашингтонской штабквартире Международного банка реконструкции и развития, в частности, в компьютерах VAX. Внедрение в вычислительный центр банка явилось, по-видимому, началом проникновения и в другие банки данных финансового мира. Большое значение в разработке теории и прикладных средств ИВ придается гражданским и военным высшим учебным заведениям. Полным ходом идет подготовка необходимых кадров в вооруженных силах страны. Еще в августе 1994 года школа ИВ и стратегии при Университете национальной обороны США в Вашингтоне (U.S. National Defense University's School of Information Warfare and Strategy) приняла первых слушателей. Курс рассчитан на 10 месяцев. Национальный фонд знаний (National Knowlege Foundation) — организация, призванная внести существенный вклад в развитие новых форм сбора разведданных, в том числе с использованием компьютерных сетей. В локальной сети Гарвардского университета в Бостоне обрабатывается секретная информация: его сеть связана с секретными сетями МО США (в частности, ВМС), национального управления по аэронавтике и исследованиям космического пространства (NASA), национальной лаборатории в Лос-Аламосе и нескольких университетов Америки. В университете проводятся семинары по проблемам всемирной информационной инфраструктуры. Аризонский университет реализует программу “Информационные технологии и национальная безопасность», в рамках которой, в частности, изучается вопрос об использовании современных телекоммуникационных технологий террористическими организациями. В Сандийской национальной лаборатории (SNL) специалисты по заказу министерства энергетики проводят исследования, нацеленные на комплексный анализ как способов атак на информационные системы, так и способов их защиты. Группа быстрого реагирования на компьютерные инциденты (Computer Emergency Response Team, CERT) при университете им. К. Меллона в Питсбурге определяет количество несанкционированных вторжений в сети компаний через Интернет и противодействует попыткам «взломов». Ее эксперты по просьбам правоохранительных 71 органов США разыскивают в сети Интернет хакеров. Опыт CERT используется в интересах МО США. Национальная ассоциация компьютерной безопасности (National Computer Security Association, NCSA) проводила эксперимент по сбору данных из электронной почты о секретных работах американских фирм. Занимается исследованиями в частных компаниях США для отслеживания динамики распространения компьютерных «вирусов» и их изучения. Анализ роли организаций США в реализации доктрины информационного противоборства показывает, что этот процесс, несмотря на значительное количество его участников, пока находится в стадии формирования. Американские спецслужбы вынуждены набирать хакеров путем опубликования газетных объявлений, что свидетельствует о затруднениях, которые они испытывают в поиске специалистов подобной категории. Вместе с тем, в США происходит направленное изучение новых методов и способов информационного разрушения в военных целях в рамках программ по проблематике ИВ. По оценкам американских экспертов, ежегодные затраты МО США на реализацию программ исследований в области ИВ достигают 2 млрд долл. В период между 1996 и 2005 годами составили 16,7 млрд долл. Значительные усилия затрачиваются на обеспечение безопасности собственной информационной инфраструктуры США. Общей тенденцией в деятельности организаций США в настоящее время является разработка основных концептуальных и организационных принципов ведения ИВ, поиск новых методов работы с использованием информационных технологий. 3.4. Особенности подготовки кадров в области информационной безопасности в США В США уделяют серьезное внимание проблеме подготовки специалистов для защиты национальных информационных структур. В 1998 году был создан Национальный центр защиты инфраструктуры (NIPC), который объединяет представителей органов власти, военных и частного сектора, для защиты национальных инфраструктур. Международная ассоциация специалистов по компьютерным 72 исследованиям (IACIS), обеспечивает обучение в области компьютерных технологий. Для разработки подходов к проблеме безопасности в киберпространстве правительством США совместно с представителями промышленности создан Национальный союз кибербезопасности. Цель союза - разработка подходов к проблеме безопасности в киберпространстве, повышение уровня образования в сфере информационной безопасности, привлечение общественного внимания к проблеме кибертерроризма. Наиболее известными компаниями, проводящими обучение в области информационной безопасности в США являются [19]: Check Point Software Technologies, Cisco Systems, IBM Tivoli Systems Global Security Laboratory, Internet Security Systems, Microsoft, Network Associates, Prosoft Training. Com, Sun Microsystems, Symantec. Среди учебных центров, специализирующихся на подготовке специалистов по защите информации можно отметить CERT, GIAC, CSI, Cisco Systems . Помимо коммерческих компаний, подготовку специалистов в области информационной безопасности осуществляет ряд государственных структур: аспирантура NAVAL предлагает 12 различных курсов, Агентство по защите информационных систем (Defense Information Systems Agency, DISA) – 8 курсов, колледж управления информационными ресурсами (Information Resource Management College) – 1 курс. Для совершенствования методов обучения в Министерстве обороны создано специальное подразделение – Управление программ по информационной безопасности (Information Assurance Program Office). Агентство национальной безопасности (NSA) сформировало ещё в 1999 году ряд центров послевузовского образования, а в 2000 году подключило к ним 14 ведущих университетов США. Одновременно Белый Дом приступил к обучению правительственных чиновников (до 10 тыс. человек) в рамках федеральной программы обеспечения безопасности информационных технологий с бюджетом 25 млн долларов в год. После событий 11 сентября 2001 года во многих городах США начали регулярно проводиться семинары, конференции, симпозиумы по проблемам киберпреступности и кибертерроризма. Практически на каждой из встреч звучали призывы улучшить подготовку и обучение пользователей компьютеров по информационной безопасности. Так, в 73 2002 году проводился семинар "Компьютерные преступления и безопасность" городов Тампа и Сарасота (штат Флорида), в работе которого, наряду со специалистами по компьютерным технологиями, приняли участие и сотрудники правоохранительных органов. Обучение в США концентрируется, в основном, на подготовке и переподготовке специалистов по техническим аспектам защиты информации. Намечается отставание в подготовке юристов по расследованию компьютерных преступлений. Как видно, сеть подготовки специалистов достаточно развитая. Но даже при таких масштабах, по мнению экспертов, в США ощущается нехватка специалистов в области безопасности информационных систем. Серьёзное внимание в США уделяется процессу подготовки персонала, принимаемого на государственную службу. Одним из основных достижений признаётся то, что были сформированы и реализуются программы всестороннего обучения, тренировки и осведомления (Education, Training and Awareness, ETA) военнослужащих, гражданского персонала и служащих по контракту Министерства обороны. Для всех пользователей информационных систем установлен необходимый минимум базовых знаний в области информационной безопасности (знание криптографии, законов по ИБ, правил работы с информацией ограниченного доступа). Без овладения этим уровнем знаний они не могут быть допущены к работе, при этом весь персонал должен проходить ежегодную переподготовку. Дополнительно к этому для всех администраторов как засекреченных, так и несекретных систем требуется иметь сертификаты на допуск к работе. Чтобы повысить качество академического образования в области информационной безопасности, Агентство национальной безопасности сформировало центры послевузовского образования по информационной безопасности, а в 2000 году значительно расширило программу, включив в неё 14 ведущих университетов США. Университеты отбирались на основании глубины и зрелости их учебных программ в области информационной безопасности в соответствии со стандартами, предложенными Комитетом по безопасности телекоммуникационных и информационных систем национальной 74 безопасности (National Security Telecommunications and Information Systems Security Committee, NSTISSC) Одним из направлений совершенствования системы подготовки специалистов по защите информации в США считается создание международных консорциумов. Интернациональный характер проблемы государственного обеспечения защиты информации требует консолидации и координации усилий всех стран в плане подготовки специалистов по защите информации. США выступили инициаторами создания сети международных консорциумов по подготовке кадров в области защиты информации. Мировым лидером по сертификации специалистов по информационной безопасности является международный консорциум по сертификации в области безопасности информационных систем (International Information Systems Security Certification Consortium, Inc. – (ISC)2), который базируется в Вене и Виржинии, а также имеет офисы в Лондоне и Гонконге [18]. (ISC)2 выступает головной организацией в обеспечении профессионалов в области информационной безопасности и специалистов-практиков всего мира, являясь стандартом профессиональной сертификации, основанном на "Общепринятом объеме знаний" (ISC)2 для специалистов по информационной безопасности. Существуя более 15 лет, (ISC)2 уже сертифицировал тысячи профессионалов в области безопасности более чем 100 стран. К претендентам на получение сертификата Certified Information Systems Security Professional (CISSP) предъявляются достаточно высокие требования. Необходимо иметь опыт не менее 4 лет работы в качестве специалиста по информационной защите (или не менее 3 лет и степень бакалавра), сдать строгий экзамен, подписать Кодекс Этики (ISC)2 (приложение 3) и постоянно поддерживать свою квалификацию. Для подтверждения сертификации CISSP не требуется повторной сдачи экзамена, достаточно каждые три года проходить обучение на авторизованных курсах по информационной безопасности и принимать участие в конференциях по этой теме. Сдача официального экзамена требует от кандидатов детального и всестороннего знания теории и практики информационной безопасности. Вопросы экзамена охватывают широкий диапазон проблем безопасности, основанных на "Общепринятом объеме знаний" (Common Body of Knowledge, «CBK»). СВК состоит из 75 следующих областей: методы управления информационной безопасностью; архитектура и модели безопасности; методология и системы управления доступом; безопасность разработки приложений и систем; физическая безопасность; криптография; безопасность телекоммуникаций, сетей и Интернета; планирование непрерывности бизнеса и планирование восстановления систем после сбоев; законодательство; расследование правонарушений в сфере информационных технологий и этика специалиста по информационной безопасности. В ходе 6-часового экзамена участники должны письменно ответить на 250 индивидуальных вопросов, имеющих четыре варианта ответа. Важно отметить, что информация в СВК и соответственно вопросы экзамена постоянно изменяются, не отставая от изменений в информационных технологиях. С целью налаживания партнерских связей с учебными заведениями Европы, Ближнего Востока и Африки сотрудники Стэндфордского университета в 1984 году создали совместно с фирмой Cisco Systems образовательный проект «Сетевая академия Cisco», осуществляемый совместно образовательными учреждениями и компанией Cisco, мировым лидером в области сетевых Интернетрешений. В начале своей деятельности академия планировалась для подготовки квалифицированных кадров по обслуживанию сетей, однако в дальнейшем, по мере увеличения удельного веса дисциплин, связанных с информационной безопасностью, она приобрела известность как мощный центр подготовки специалистов по защите информации. В настоящее время сетевая академия Cisco является мировым лидером в сетевых технологиях для Интернет. Она обеспечивает фундаментальную подготовку специалистов по теории и практике проектирования, строительства и технического сопровождения локальных и глобальных сетей с использованием общепризнанных стандартов и решений в области информационной безопасности. Академии Cisco открыты в 152 странах (всего в мире более 10 000 академий), в которых обучается более 470 000 студентов [18]. Программа Сетевой академии Cisco рассчитана на 280 часов. Учебные планы разработаны в соответствии с образовательными стандартами США при участии лучших специалистов в области 76 образования и сетевых технологий. После прохождения учебного курса проводится экзамен на звание сертифицированного Cisco сетевого специалиста (ССNA) или сертифицированного Cisco сетевого профессионала (CCNP). В учебном процессе используются прогрессивные методики обучения и контроля уровня знаний. В частности, широко используются технологии дистанционного обучения. Функционирует «Глобальная лаборатория по электронному обучению», которая в режиме on-line ежедневно осуществляет около 35000 тестов. Обучение проводится на 9 языках. Учебный материал обновляется каждые 90 дней. Одним из подходов к совершенствованию подготовки специалистов в США является использование передовых технологий обучения, а именно – широкое использование дистанционного обучения (е-learning). Ознакомиться с программами дистанционного образования в Соединенных Штатах Америки можно на англоязычном ресурсе http://www.geteducated.com/vug/index.asp. Следует отметить, что более детальное изучение учебных программ показывает, что в них находят серьезное рассмотрение вопросы информационной безопасности, а также вопросы, связанные с изучением легальных методов получения информации о конкурентах (конкурентная разведка). 1. 2. 3. 4. 5. 6. 7. 8. Контрольные вопросы: Назовите уровни концепции ИВ США. В чём их основные отличия? Назовите основные цели и формы реализации концепции ИВ на государственном уровне. Что представляет собой военный уровень концепции ИВ США? Назовите основные принципы ИВ, реализуемые на военном уровне концепции ИВ США. Назовите основные формы ИВ. Кратко их охарактеризуйте. В чём состоит сущность кибернетической войны? Назовите основные документы, касающиеся аспектов ведения ИВ США. Каково их содержание? Какова основная цель Закона «Об информационной безопасности» в США? 77 9. Назовите нормативно-правовые акты, регулирующие правовое обеспечение ИБ в США. 10. Схематично представьте структуру государственных органов обеспечения национальной ИБ США. 11. Назовите структурные подразделения ЦРУ. Какие задачи решают данные подразделения? 12. Какова роль ФБР в решении задач обеспечения информационной безопасности США? 13. Для чего в структуре МО США созданы силы быстрого реагирования в СМИ? Каковы их задачи? 14. Каковы особенности подготовки кадров в области ИБ в США? 78 ГЛАВА 4 СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ В СТРАНАХ ЕВРОСОЮЗА 4.1. Состояние системы информационной безопасности в странах Евросоюза 4.1.1. Системы защиты информации в Соединённом королевстве Великобритании и Северной Ирландии 4.1. 2. Системы защиты информации в Федеративной Республике Германии 4.1.3. Системы защиты информации во Французской Республике 4.1.4. Системы защиты информации в Швеции 4.1. Состояние проблемы информационной безопасности в странах Евросоюза Широкое обсуждение, в том числе и в открытых изданиях, проблемы разработки информационного оружия в США может создать впечатление, что другие экономически развитые страны стоят в стороне от этой проблемы. Вместе с тем, например, в Японии к 2015 году планируется сформировать национальную информационную инфраструктуру более высокого, чем американская, технологического уровня. Эта инфраструктура будет интегрирована в мировую информационную структуру и сможет составить технологическую базу применения Японией информационного оружия [4]. Европейские специалисты в области информационных систем, безопасности и стратегического планирования активно обсуждают проблемы, возникающие перед странами Европейского союза в условиях возможности применения информационного оружия, т. е. средств направленного воздействия на информационные ресурсы вероятного противника в военное и мирное время. Эксперты особо выделяют такую особенность использования информационного оружия, как скрытность. Его применение в мирное время при отсутствии силового противостояния считается одной из главных угроз, поскольку позволяет незаметно для «противника» не только взять под контроль его информационные ресурсы, но и произвольно манипулировать связанными с ними сферами государства, особенно экономической сферой. Учитывая растущую зависимость управленческих решений на высшем уровне от обеспечивающего их 79 информационного потока, возможность полной дезорганизации экономики и финансов, по мнению ряда западных ученых, делает информационное оружие одним из наиболее эффективных и, вероятно, наиболее распространенных уже к концу нынешнего века. В настоящее время реализуются на практике планы организационного и технического обеспечения национальной информационной безопасности, создаются подразделения, предназначенные для отражения «информационной агрессии». Правительства берут на себя роль координатора межведомственных усилий в этой сфере. Разработка методов и средств обеспечения информационной безопасности ведется на Западе по следующим основным направлениям: выявление угрозы нападения, нейтрализация нападения, защита и восстановление собственных систем. Кроме изучения технических аспектов информационной безопасности, на Западе активизировалась работа по оценке влияния информации на личность и общество. При этом делается упор на определение методов и средств оказания «информационного противодействия», каналов воздействия на человека, влияния той или иной информации на боеспособность ВС, исследование взаимоотношений СМИ и общественного мнения. Эксперты ведущих западных стран пришли к выводу, что в связи с возрастанием значимости информационного фактора для принятия решений на правительственном, военном и промышленном уровнях необходима диверсификация источников получения данных, а также механизмов их обработки и способов доведения до потребителей. Подчеркивается важность наличия национальных информационных агентств с независимой сетью корреспондентов, что позволит выявлять дезинформацию, способную оказывать влияние на принятие государственных решений. Выдвигаются идеи создания баз данных по источникам информации (научные учреждения, СМИ, частные лица) для получения достоверных и оперативных сведений в кризисных ситуациях. Сейчас на Западе организуются закрытые межведомственные информационные инфраструктуры, призванные обеспечить защищенную связь. Такие системы строятся на выделенных каналах связи и не имеют выхода на глобальные сети, поскольку, как утверждается, именно от гражданских коммуникаций исходит основная угроза безопасности. 80 До последнего времени значение уязвимости единой объединенной инфраструктуры Европейского союза недооценивалось. Основными причинами явились преобладающее внимание к общеевропейским интеграционным процессам и общее ослабление силового противостояния на континенте. Однако за политической интеграцией последовало фактическое объединение в сфере информационных ресурсов, приводящее к формированию единого информационного пространства, что в свою очередь привело к зависимости отдельных государств от информационных потоков, охватывающих общество. Таким образом, воздействие на эти потоки с целью порчи, искажения находящейся в них информации, а также вывода из строя информационных инфраструктур перерастает в Европе из национальной проблемы в международную. В качестве примера можно привести ряд реализуемых проектов сбора и анализа информации о разных сферах в масштабах объединенной Европы. Зарубежные аналитики отмечают, что стремление ликвидировать границы во всех областях приводит к снижению внимания к вопросам защиты информационных ресурсов от предумышленного воздействия со стороны с целью манипулирования информацией или нарушения работоспособности. Также отмечаются трудности, возникающие при попытках идентификации такого воздействия, которое может быть как случайным, так и направленным вмешательством различных террористических организаций и спецслужб иностранных государств. Американские эксперты заостряют внимание на том, что в реальной коммерческой практике выгоднее не утаивать, а активно распространять и внедрять свои технологии. Ряд аналитиков, указывая на значительные расходы США по обеспечению своей информационной безопасности, отмечают устойчивое стремление создать впечатление открытости информационных сетей общего пользования и отсутствия контроля над ними. Лидерство в сфере передовых разработок позволяет Соединенным Штатам устанавливать стандарты в области систем связи и обработки данных и таким образом формировать зависимость иностранных государств от американских программных и аппаратных средств. Тем самым подавляются стимулы к организации другими государствами аналогичных конкурентоспособных разработок. Поэтому попытки США превратить свои национальные стандарты защиты 81 информации в международные вызывают неоднозначную реакцию. По мнению европейских специалистов, это создает американским фирмам-производителям средств защиты информации благоприятные условия для захвата европейского рынка, потенциально расширяет возможности контроля за защищаемой информацией и дает преимущества американским разведывательным службам. Соединенным Штатам, провозгласившим в качестве одной из стратегических инициатив образование «информационной супермагистрали», приходится призывать своих западноевропейских партнеров сделать их рынки телекоммуникаций открытыми для конкуренции извне. Политика, проводимая ведущими промышленно развитыми европейскими государствами, до последнего времени всячески препятствовала проникновению иностранных связных компаний на собственный рынок, осознавая «чувствительность» этого сектора экономики к проблеме обеспечения национальной безопасности. Однако при подготовке к подписанию глобального телекоммуникационного пакта (февраль 1997 г.) в рамках Всемирной торговой организации (ВТО) Франция, Бельгия, Испания и Португалия согласились отменить все еще существующие внутренние ограничения на допуск иностранного капитала в область национальных телекоммуникаций в обмен на встречные уступки США в вопросе о прокладке подводных кабелей связи. С учетом изложенного приобретает популярность идея создания системы коллективного контроля и обеспечения информационной безопасности. К трудностям в ее реализации эксперты относят: • неоднородность развития инфраструктур в разных странах; • различие подходов и законодательств; • трудности в технической реализации; • отсутствие единых стандартов. Европейским союзом было принято решение по скорейшему созданию единой трансевропейской сети информационной связи, вследствие чего утверждена программа INFO2000, реализуется ряд проектов по внедрению новых информационных технологий в административный сектор - IDA, EPHOS, APPLICAZIONI TELEMATICHE и другие. На рассмотрение Комиссии европейских сообществ представлена программа по преодолению языковых различий в единых 82 информационных системах. В ближайший период планируется ряд мероприятий по решению вопросов безопасного обмена информацией в сетях и внедрению единого стандарта для объединения локальных сетей различных стран и регионов. Изменения, происходящие в европейской информационной инфраструктуре, потребовали серьезных поправок законодательных и регулирующих актов. В этой связи 11 марта 1996 г. Европейским союзом принята совместная Директива о юридической защите баз данных (Приложение 4). Рост информационного рынка означает возможность обращения к национальным базам данных пользователей других стран, что требует приведения в соответствие внутригосударственных актов и принятия общего законодательства о защите авторских прав. Новая директива обеспечит согласование национальных и общеевропейских правил по защите авторских прав для баз данных (БД), представленных в электронной и неэлектронной формах, без ущерба для авторских работ, входящих в эти БД [4]. В этой связи 21 марта 1996 г. в Брюсселе прошел совет на уровне министров, ответственных за развитие телекоммуникаций в европейских странах, на котором были достигнуты политические согласия по новой директиве о взаимодействии в этой области. Директива затронула проблему организации универсальных услуг и взаимосвязи на основе применения принципов открытой сети (Open network provision - ONP). Совет также принял решение по основным направлениям развития трансевропейских телекоммуникационных сетей, установил процедуру отбора проектов. В Брюсселе обсуждались поправки к юридическим актам ONP Frame Work и Leased Lines Directives. Рассматривались предложения Комиссии европейских сообществ по координации подходов стран к введению единых требований к персональной спутниковой связи (SPCS) с целью избегания проблем несовместимости и отсутствия законодательных актов, особенно в тех случаях, когда услуги спутниковой связи будут предоставляться всем странам на территории Европы. Большинство стран, не обладающих мощными информационными ресурсами, склоняются к созданию международной договорно-правовой базы обеспечения безопасности в глобальном масштабе и налаживанию взаимодействия в указанной сфере. Европейцы уже 83 приступили к изучению вопроса о принятии нормативных документов по информационной безопасности в рамках ЮНЕСКО. По их мнению, это позволит придать контролю за глобальными сетями многополюсный характер, уменьшив тем самым влияние США в данной сфере. Некоторые европейские государства рассчитывают на более тесное взаимодействие в рамках НАТО и Евросоюза при выявлении рисков внедрения новых технологий, разработке критериев, методов и испытательных средств для оценки защищенности национальных коммуникационных систем, выдаче разрешений на внедрение информационных систем в важные объекты и осуществлении специальных мер безопасности в правительственных и военных структурах. Основываясь на оценках специалистов в области стратегических исследований, необходимо обратить внимание, во-первых, на особую угрозу использования информационного оружия с целью взятия под контроль информационной инфраструктуры государства, а вовторых, в связи с опасностью упомянутой угрозы, актуальность приобретает разработка международных соглашений по информационной безопасности и кодекса поведения в международном информационном пространстве. 4.1.1. Системы защиты информации в Соединённом Королевстве Великобритании и Северной Ирландии В Соединённом Королевстве Великобритании и Северной Ирландии (далее Великобритания) государственную систему обеспечения информационной безопасности строят, исходя из понимания информационной войны как действий, оказывающих влияние на информационные системы противника, при одновременной защите собственных систем. Структура государственной системы ИБ изображена на рис. 4.1 [16]. Парламентский Комитет по разведке и безопасности Великобритании (Intelligence and Security Committee /ISC/) Комитет по разведке и безопасности как орган контроля за британскими спецслужбами был образован в 1994 г. Комитет создан, согласно закону «О разведывательных службах» /Intelligence Services Act 1994/, для контроля за расходованием бюджетных средств, 84 Парламент Правительство Парламентский комитет по разведке и безопасности Координатор служб разведки и безопасности кабинета министров Спецслужбы Великобритании Разведсообщество Объединенный комитет спецслужб - Joint intelligence Committee (JIC) Зарубежный и совместный секретариат МИД – Foreign and Commonwealth Secretary Внешняя разведка MI-6 Secret Intelligence Service (SIS). Центр правительственной связи Government Communications Headquarters (GCHQ) Министерство обороны – Minister of Defense Штаб военной разведки – Defence Intelligence Staff [DIS] Специальная разведывательно-диверсионная воздушнодесантная служба (CAC) входит в структуру армии, но действует обычно в тесном контакте с SIS. Королевские ВВС – Royal Air Force Объединенный центр воздушной разведки ВВС – Joint Air Reconnaissance Intelligence Centre (JARIC) Ударная команда – Strike Command Внутренний секретариат – Home Secretary Секретная служба MI-5 – Security Service Национальная криминальная полиция – National Criminal Intelligence Service (NCIS) Скотланд Ярд – Metropolitan Police [Scotland Yard] Служба мониторинга Би Би Си – BBC Monitoring Service Служба цензуры "Комитет "Д" - "D" Notice Committee Специальная служба – Special Branch Отдел специальных расследований (Военная прокуратура) - Special Investigations Branch Рис. 4.1. Структура спецслужб Великобритании 85 управлением и политикой трех спецслужб: Секретной службы (MI5), разведки SIS и Центра правительственной связи GCHQ. Комитет состоит из 9 парламентариев (восемь из палаты общин и один из палаты лордов). Члены комитета не избираются коллегамипарламентариями, а назначаются премьер-министром. Работу этого органа должны обеспечивать сотрудники аппарата кабинета министров, главным образом из штата правительственного Объединенного комитета по разведке. Еженедельные заседания проводятся в специально отведенном помещении в канцелярии премьер-министра. В законе не содержалось четких указаний относительно полномочий и круга вопросов, которые призван решать комитет. В обязанности комитета входит представление премьер-министру, но не парламенту, ежегодного отчета, а также других докладов по своему усмотрению. Законом предусматривалось три положения, касающиеся предоставления комитету необходимой для его работы информации. Согласно этим положениям, руководитель национальной спецслужбы может: предоставить требуемую информацию "согласно договоренностям, утвержденным министром"; отказать в ее предоставлении на основании распоряжения министра, который при этом должен руководствоваться критериями национальной безопасности; уведомить комитет о том, что запрашиваемая им информация не может быть раскрыта в силу своей секретности и особой важности. При этом под секретной информацией особой важности подразумеваются сведения, которые способны раскрыть источники и оперативные методы, либо содержат подробные данные о таковых, касаются конкретных операций (прошлых, настоящих или будущих), или предоставлены третьей стороной, которая не желает их раскрытия. Secret Intelligence Service / MI6 Это основная разведывательная служба Великобритании (http://www.sis.gov.uk). Как королевская служба английская разведка начала складываться еще в период становления Британской империи. В марте 1909 г. премьер-министр Великобритании рекомендовал Комитету обороны империи обратить особое внимание на угрозу, исходящую от разведки Германии, и соответственно реорганизовать национальную 86 спецслужбу. На основании рекомендаций премьер-министра были подготовлены инструкции по созданию Бюро секретных служб при Иностранном департаменте Комитета обороны империи, датой основания которого стало 1 октября 1909 года. SIS включена в структуру Министерства иностранных дел, имеет 87 резидентур за рубежом и штаб-квартиру в Лондоне, на Воксхолл Бридж-роуд. Возглавляет SIS генеральный директор, который одновременно является постоянным заместителем министра иностранных дел. Таким образом, формально SIS находится под контролем МИДа Великобритании, однако, наряду с этим она имеет прямой выход на премьер-министра. В структуре SIS пять директоратов. В их число входят: Административно-кадровый директорат. Занимается вопросами административно-управленческого характера, а также вопросами подбора и расстановки кадров. Директорат подготовки разведывательной продукции и постановки заданий. Обрабатывает и анализирует получаемую разведывательную информацию, подготавливает и реализуют выходные документы разведки. Директорат региональных контролеров. Состоит из нескольких регионально-географических оперативных отделов. Директорат внешней контрразведки и безопасности. Осуществляет разработку спецслужб иностранных государств и обеспечивает безопасность работы английской разведки. Директорат специальной разведки. Снабжает подразделение разведки современными оперативно-техническими средствами ведения оперативной работы. Кроме того, имеются: Группа советника по вопросам международных отношений, Группа связи со спецслужбами США и других стран. Контрразведывательная служба MI-5 (Military Intelligence-5) Контрразведывательная служба называется Military Intelligence-5 (MI-5). Она была создана в 1909 году в качестве внутреннего департамента Бюро секретных служб, занимавшегося обеспечением внутренней безопасности. 87 В обязанности контрразведывательной службы входит обеспечение внутренней безопасности, контроль за деятельностью местных экстремистских политических групп, защита Великобритании от подрывных действий иностранных секретных служб, охрана государственных секретов страны. Возглавляет контрразведывательную службу генеральный директор, который подчинен министру внутренних дел, однако фактически он имеет прямой доступ к премьер-министру страны. Структура MI-5 представлена на рис. 4.2. Генеральный директор Зам. генерального директора по административным вопросам Зам. генерального директора по оперативным вопросам Финансы, ресурсы, управление, ревизия Кадры, учебная подготовка Вспомогательные службы Борьба с внутренним терроризмом Рекомендации по вопросам безопасности для правительственных учреждений и промышленных компаний Борьба с международным терроризмом Контрразведка и борьба с незаконной торговлей оружием Разведывательные источники и операции Борьба с подрывной деятельностью Рис 4.2. Структура Службы безопасности (МИ-5) Великобритании Центр правительственной связи (Government Communications Headquarters /GCHQ/) Центр отвечает за радиошпионаж в системе спецслужб Великобритании. Центр включен в структуру министерства иностранных дел. Руководитель центра является заместителем министра, но фактически это независимый орган, который подчиняется напрямую премьер-министру. Периферийные подразделения центра, которые 88 располагаются на территории английских военных баз, числятся в структуре министерства обороны. Центр, основанный в 1946 году, стал наследником правительственной школы кода и шифров, которая была создана для радиошпионажа еще в 1919 году. Штаб-квартира GCHQ располагается в Челтенхеме – неподалёку от Лондона. За рубежом и в Великобритании у Центра есть станции радиэлектронного перехвата. Пункты перехвата располагаются в Германии, Турции, Омане, на Кипре, на острове Вознесения. Число сотрудников Центра достигает 11 тыс. Источники информации внутри Великобритании утверждают, что Центр является крупнейшей организацией спецслужб страны по численности персонала и объему добываемой информации. Центр тесно сотрудничает с МИ-5 и МИ-6. Для координации их деятельности в 60-х годах был создан объединенный комитет трех служб. Среди важнейших спецслужб Великобритании выделяются следующие службы: Штаб военной разведки Военная разведка Великобритании входит в состав Министерства обороны. Спецслужба была создана в 1964 году как структура, обеспечивающая разведданными вооруженные силы Великобритании. В состав DIS также входят два агентства: Топографическое агентство Министерства обороны (Defence Geographic and Imagery Intelligence Agency) (DGIA), Центр разведки и безопасности Министерства обороны (Defence Intelligence and Security Centre) (DISC), Королевские военно-воздушные силы – Royal Air Force Объединенный центр воздушной разведки ВВС – Joint Air Reconnaissance Intelligence Centre (JARIC) Ударная команда – Strike Command Правовая база деятельности спецслужб Великобритании. Фактически до середины 90-х гг. британская разведка действовала, не имея государственного статуса, и была фактически неподотчетной парламенту. Закон "О разведывательных службах" был принят парламентом Великобритании в 1994 г. [23]. В нем впервые дано определение 89 разведывательной деятельности как "добывание и распространение информации о деятельности и намерениях иностранцев за пределами Великобритании, а также проведение специальных операций в интересах национальной безопасности". Этот документ подтвердил и без того существовавшее де-факто право спецслужб осуществлять свои операции, если они направлены на защиту национальной безопасности и экономического благополучия Великобритании, а также предупреждение и раскрытие серьезных уголовных преступлений. Кроме того, закон освободил от ответственности сотрудников спецслужб за действия, совершаемые ими за пределами страны при выполнении своих функций, даже в тех случаях, когда в самой Великобритании они бы расценивались как преступные. Министрам, в ведении которых находятся спецслужбы, предоставлены полномочия санкционировать по своему усмотрению операции, связанные с вмешательством в частную жизнь, прослушиванием и негласным проникновением в жилые и служебные помещения. Законом "О разведывательных службах" было предусмотрено создание парламентского комитета по вопросам разведки и безопасности. Указанному органу дано право осуществлять контроль за расходованием спецслужбами бюджетных средств, управлением и политикой в области решения основных задач по обеспечению внутренней и внешней безопасности государства. В законе не содержалось четких указаний относительно полномочий и круга вопросов, которые призван решать комитет. Отмечалось лишь, что он обязан представлять премьер-министру, но не парламенту, ежегодный отчет, а также другие доклады по своему усмотрению. Кроме того, Великобритания использует юридическую структуру, основанную на существующих законах, которая в значительной степени может применяться к действиям в киберпространстве – Regulation of Investigatory Powers Act (RIP), принятый в 2000 году. Он предлагает, что нападения на информационные системы может рассматриваться как обычное уголовное преступление. Данный акт позволяет правительству Великобритании перехватывать и читать электронную почту, а также требовать расшифровки личных файлов по требованию государственных чиновников. 90 Антитеррористическое законодательство Великобритании До событий 11 сентября 2001 года Великобритания уже имела хорошо разработанное и надежное антитеррористическое законодательство, сформулированное в Законе о терроризме от 2000 года. Он оказался жизненно важным инструментом в борьбе с терроризмом, предоставляющим полномочия для ареста финансовых средств террористов на границах страны и предотвращения конкретных правонарушений, способствующих совершению терактов и осуществлению мероприятий в террористических целях. 4.1.2. Системы защиты информации в Федеративной Республике Германия Немецкое представление об информационной войне объединяет наступательную и оборонительную составляющие в единое целое для достижения национальных интересов. При определении угроз и возможных ответных действий, иностранные государства рассматриваются отдельно от негосударственных объединений (политические партии, международные организации и средства массовой информации), преступных сообществ (организованные преступные группы, хакеры и т.д.), и индивидуумов (включая религиозных фанатиков и др.) [16]. Управление средствами массовой информации является особенностью немецкого представления об информационной войне. Кроме того, специалисты Федеративной Республики Германии (далее Германия) отдельно вводят понятие экономической информационной войны. Немецкие эксперты в связи с обострением интереса к проблеме ИВ считают в ближайшие годы вероятным возрастание уязвимости экономической и политической инфраструктуры индустриально развитых стран в результате нарушения нормального функционирования информационных систем под действием информационного оружия. Данное обстоятельство специалисты объясняют наблюдаемой тенденцией к переходу ведущих государств на новый тип организации общества - «информационное общество». Предполагается, что в результате развития информационных технологий произойдет глобализация не только мирового рынка товаров, 91 но и производственных услуг. Предприятия вынуждены будут перейти от специализации на виде продукции к специализации на конкретном технологическом процессе. Это приведет к резкому увеличению кооперационных связей и соответственно уязвимости сведений, составляющих коммерческую тайну при нарушении работы внешних коммуникационных цепей. В «информационном обществе» будет наблюдаться дальнейшая монополизация рынков, в том числе и информационнокоммуникационных услуг. Сосредоточение в рамках транснациональных компаний, различных компонентов информационных систем приведет к угрозе потери суверенитетов государств и сделает уязвимой всю инфраструктуру принятия политических решений и управления. Так, монопольные позиции фирм США в системах глобальной космической связи (проект Iridium), глобальной навигационной системы (GPS) в рамках сети Интернет уже сейчас рассматриваются некоторыми экспертами страны как угроза национальному суверенитету Германии. Различные вопросы обеспечения безопасности информационного обслуживания в таких областях, как промышленное производство, банковское дело, научные исследования, медицина, по оценкам немецких специалистов в области информационной безопасности, имеют важное значение и являются неотъемлемым условием сохранения лидирующих позиций Германии. Координирующим правительственным органом, ответственным за обеспечение безопасности информационных потоков, является образованная в 1991 году Федеральная служба безопасности в сфере информационной техники (BSI). Общая концепция деятельности BSI в настоящее время предусматривает выполнение в тесном взаимодействии с НАТО и ЕС следующих функций [4]: оценка риска внедрения информационных технологий; разработка критериев, методов и испытательных средств для оценки степени защищенности национальных коммуникационных систем; проверка степени защищенности информационных систем и выдача соответствующих сертификатов; выдача разрешений на внедрение информационных систем в важные государственные объекты; 92 осуществление специальных мер безопасности информационного обмена в государственных органах, полиции и т. д.; консультация представителей промышленности. Немецкие эксперты не исключают возможности активизации деятельности спецслужб по использованию современных информационнокоммуникационных технологий для сбора информации и осуществления активных мероприятий. По оценкам специалистов, в условиях монополизации фирмами США ряда рынков информационных технологий надежную защиту от вмешательств иностранных спецслужб может представлять лишь создание и развитие собственных, независимых от США информационных сетей, оснащенных программными средствами национальных производителей. Немецкими специалистами завершены оргтехнические мероприятия по подключению к международной компьютерной сети Интернет германского правительства. Немецкий Telecom, концерны Bertelsmann и Axel Springer стали соучредителями совместного предприятия America Online-Europe и намерены тем самым оказывать существенное влияние на действия американцев в информационном пространстве Европы. Таким образом, благодаря предпринимаемым Германией в последнее время энергичным и последовательным мерам по осваиванию нового информационного пространства, немцы, видимо, смогут составить определенную конкуренцию американцам в рамках европейского континента. Целесообразно рассмотреть подробно государственные органы обеспечения безопасности Германии. Федеральная разведывательная (Bundesnachrichtendienst /BND/) служба Германии BND (http://www.bnd.bund.de) как самостоятельное ведомство была создана в 1955 году. В системе государственных органов Германии BND является подразделением, подчиняющимся ведомству федерального канцлера. Штатный состав BND составляет более 7000 человек, из них около 2000 заняты непосредственно сбором разведданных за рубежом. Среди сотрудников 93 представители примерно 70 профессий: военнослужащие, юристы, историки, инженеры и технические специалисты. Штаб-квартира BND располагается в Пуллахе под Мюнхеном. Здесь трудятся более 3000 сотрудников центрального аппарата и руководство спецслужбы. Структура BND включает в себя руководителя, двух заместителей и 8 отделов, решающих различные задачи. Федеральное бюро защиты конституции (Verfassungsschutz /BfV/) (http://www.verfassungsschutz.de/) Федеральное бюро защиты Конституции (рис. 4.3.) является наряду с BND и BSI одной из трех основных спецслужб страны, которая подчиняется министру внутренних дел Германии. Во всех федеральных землях есть свои соответствующие службы, подчиненные местным министрам внутренних дел. Бюро было создано 50 лет назад. Перед спецслужбой изначально ставилась задача охраны демократического строя в Германии. На данный момент бюро занимается: сбором информации об экстремистских группировках и партиях, их деятельности, планах и намерениях, противоречащих основному закону страны; нейтрализацией разведывательной и подрывной деятельности секретных зарубежных служб на территории Германии; борьбой с промышленным шпионажем. Ежегодно на основе собранной информации представляется отчет правительству о положении дел в области соблюдения Конституции, в котором делаются выводы и рекомендации. Правительство, в свою очередь, принимает решение о необходимости осуществления конкретных мер. Более половины информации спецслужба собирает из открытых источников: публикации в средствах массовой информации, Интернете, посещения собраний и митингов. Часть информации поступает от частных лиц и из других ведомств. За деятельностью ведомства осуществляется достаточно жесткий парламентский контроль. Это связано, прежде всего, с тем, что в условиях такой демократии, как немецкая, сам факт существования службы внутренней безопасности расценивается как угроза гражданским свободам и свободе личности. Есть специальная комиссия парламента, которая осуществляет контроль за деятельностью всех трех секретных служб. Члены этой комиссии имеют доступ к самым секретным материалам ведомства по охране Конституции, имеют право вето, когда речь идет о 94 Федеральное бюро защиты конституции Президент бюро Вице-президент Отдел компьютеризации судебной системы Центральное подразделение наблюдения и отчётности в сфере защиты информации Подразделение по борьбе с экстремистскими и террористическими организациями левого толка Подразделение по борьбе со шпионажем и защите от саботажа Подразделение по борьбе с экстремистскими и террористическими организациями правого толка Подразделение по наблюдению за деятельностью иностранных граждан угрожающей безопасности Германии Рис. 4.3. Структура федерального бюро защиты конституции [BfV] прослушивании телефонных разговоров и других конспиративных операциях. Федеральный полномочный представитель следит за тем, чтобы собранная ведомством информация не передавалась в другие руки. Бюджет ведомства рассматривается и утверждается специальной комиссией в парламенте. Также к спецслужбам Германии относятся: Государственное бюро защиты конституции (LfV) Федеральное бюро информационно-технической безопасности (BSI) (http://www.bsi.de/) В штат Министерства обороны Германии входят следующие специализированные службы: Центр разведки федеральных вооруженных сил (ANBw) Центр радиомониторинга федеральных вооруженных сил (AFMBw) Военная служба безопасности (MAD) 95 4.1.3. Системы защиты информации во Французской Республике Правительство Французской Республики (далее Франция) рассматривает концепцию информационной войны, как совокупность двух главных элементов: военного и экономического. Военная концепция видит место информационным действиям в контексте конфликтов малой интенсивности или в миротворческих операциях, т.е. предполагает несколько ограниченный характер. В этом контексте союзники не рассматриваются противниками. Напротив, экономический элемент включает более широкий диапазон потенциального применения информационных операций. Французское представление конфликта в экономической сфере имеет более глубокое понимание в отличие от большинства других европейских стран. В этом случае французы не видят себя связанными рамками НАТО, ООН или согласием США. Их подход к экономическому конфликту учитывает тот факт, чтобы быть и союзником и противником одновременно. Франция активно формирует структуры по контролю ее граждан в киберпространстве. По аналогии с американской системой «Эшелон» французы создали собственную версию этой системы, которая направлена на перехват фактически всех частных глобальных коммуникаций. Французское военное руководство проявляет растущую озабоченность по поводу отставания национальных исследований в области ИВ от лидирующих в этой сфере США. В специальной записке, посвященной указанной проблеме, начальник штаба ВС Франции, констатируя появление новой разновидности войны - информационнойи пристальное внимание к ней со стороны США и ряда других стран, призвал ускорить и расширить соответствующие национальные НИОКР. Французские специалисты в области информационных технологий развернули обсуждение роли и значения ИВ в современных условиях. По их мнению, ход войны в Персидском заливе показал, что информационное оружие выходит на первое место среди применяемых в современной войне видов вооружений. Это явилось причиной ускорения ряда европейских программ в области средств коммуникаций. В то же время меры европейских государств по увеличению собственного потенциала информационного оружия, по 96 мнению аналитиков французского Центра исследований стратегических технологий (Centre de recherche et d'etudes sur les strategic tecnologiques), наталкиваются на серьезное противодействие США. Стремясь затормозить собственные разработки европейцев, США даже идут на продажу по демпинговым ценам космических систем слежения и контроля линий связи, предоставляют доступ к накопленным базам данных. Эксперты Института международных отношений и стратегических исследований (Institut de relations intemationales et strategiques) полагают, что сегодня союзники США по НАТО находятся в серьезной военной зависимости от них, поскольку в своих системах вооружений широко используют американское программное обеспечение (в частности, указывают на систему позиционирования французских ракет). Анализируя новые аспекты американской военной доктрины, направленные на достижение победы бескровными методами при минимуме потерь, французские специалисты обращают внимание на то, что главным средством является не контроль над территорией, а полное господство в «инфосфере», представляющей собой совокупность информационных систем и сетей связи на планете. При этом война приобретает виртуальный и невидимый характер, что позволяет добиться решающего преимущества, не разворачивая боевых действий. Указывая на эту особенность устремлений США, ряд не связанных с Министерством обороны Франции экспертов из Центра исследований в области социальных наук критикуют существующие программы военных инвестиций. По их мнению, французские военные находятся под впечатлением успехов США в области применения высокоточного оружия и систем радиоэлектронной борьбы (РЭБ) и упускают значительно большую составляющую ИВ - средства контроля за информацией. Французские вооруженные силы, в отличие от американских, не располагают высокими технологиями, позволяющими осуществлять открытое или неявное руководство операциями. Следовательно, они могут оказывать на поле боя лишь второстепенное значение, быть придатком американских высоких технологий и нести непосредственные потери. 97 В настоящее время во Франции создается информационно-аналитическая система поддержки принятия решений высшего руководства страны в любых кризисных ситуациях. Основная цель разрабатываемой системы - обеспечение высших органов государственного управления необходимой информацией, моделирование реальной обстановки в развитии, подготовка прогнозов и рекомендаций. По мнению руководителей Центра исследований стратегии и технологии, Франция должна изменить свою политику в области информационных разработок и финансирования военного производства, отдав приоритет информационным системам, в том числе разведывательным спутникам, телекоммуникационным сетям, средствам управления, и при этом активно использовать средства гражданской информатики. Кроме того, учитывая темпы развития электроники и информатики, представленных во всех системах вооружений, необходимо увеличить срок службы материальной части, осуществляя регулярную модернизацию за счет электронно-информационных компонентов. А также необходимо значительно увеличить долю расходов на системы, позволяющие осуществлять моделирование как на всех этапах создания систем вооружений, так и на этапе их боевого применения, что обеспечит высокий уровень технологических исследований. Франция уделяет особое внимание вопросу защиты своих информационных ресурсов от несанкционированного проникновения и манипулирования. Разработкой стратегических направлений политики по обеспечению национальной безопасности занимается объединение CLUSIF (Club de la securite informatique francaise), являющееся по своему статусу открытой ассоциацией юридических и физических лиц, работающих в области информатики. CLUSIF пользуется полной поддержкой государства и имеет тесный контакт со спецслужбами. Французские эксперты полагают, что наилучшую защиту информации в сетях обеспечивают только методы шифрации. В связи с этим ведется активное внедрение криптографического программного обеспечения и оборудования в наиболее важные системы. Работы по созданию соответствующих устройств осуществляются фирмами Thomson, Sagem, Matra. 98 Анализ оценок французских экспертов показывает, что угроза ИВ воспринимается как реальная, однако защитные действия по предотвращению или снижению вероятности угрозы наталкиваются на инерционность системы военных расходов и недостаточное осознание всех возможностей информационного оружия, которые далеко выходят за рамки традиционных средств защиты информации. Структура спецслужб Франции Общий штат разведсообщества Франции составляет около 12779 сотрудников, работающих в службах, подчиненных трем разным министерствам. Три службы действуют под эгидой Министерства обороны (http://www.defense.gouv.fr). Прежде всего, это Генеральная дирекция внешней безопасности (DGSE). Служба была создана согласно декрету от 2 апреля 1982 года и лишь формально подчиняется министру обороны. Министерству обороны подчиняются еще две спецслужбы. Вопервых, это созданное в 1992 году Управление военной разведки (DRM). Во-вторых, это Управление военной контрразведки (DPSD), которое было создано в 1981. Среди специальных служб необходимо также упомянуть и жандармерию (Gendarmerie), одной из задач которой является проведение разведдеятельности – каждое подразделение жандармерии имеет разведотдел. Две спецслужбы подчинены Министерству внутренних дел. Вопервых, это созданная после Второй мировой войны контрразведка (DST). Во-вторых, существует еще Служба генеральной разведки (RG), которая также отвечает за внутреннюю безопасность. В связи с небольшим объёмом информации об Управлении военной контрразведки, циркулирующим в открытых источниках, в рамках данной книги будут рассмотрены подробно только Генеральная дирекция внешней безопасности и Управление военной разведки. Генеральная дирекция внешней безопасности – главная военная разведка Франции (Direction Generalе de la Securite Exterieure /DGSE/ ) Штаб-квартира DGSE расположена в 20-м округе Парижа. DGSE была создана на основе нескольких различных спецслужб, действующих во время Второй мировой войны. С 99 целью освобождения Франции в 1942 году было создано Центральное бюро информации и действия (BCRA), штаб-квартира которого с ноября 1943 года действовала с территории Алжира, получив к тому времени название «Главный директорат спецсил» (DGSS). 6 ноября 1944 года разведывательные сети движения сопротивления были интегрированы в систему DGSS, который был переименован в «Директорат изучения и исследований» (DGER). В 1946 правительство Четвертой республики сформировало Службу внешней документации и контршпионажа (SDECE), которая напрямую подчинялась премьер-министру. Это ведомство принимало активное участие в проведении спецопераций на территории Камбоджи, Лаоса и Вьетнама. В 1962 году Президент Франции Шарль Де Голль переподчинил SDECE министру обороны, ограничив круг его задач только военными вопросами. В 1982 года SDECE была переименована в DGSE. Структура DGSE представлена на рис. 4.4. В компетенцию DGSE входит широкий спектр задач и обязанностей: сбор и анализ информации, относящейся к безопасности Франции; выявление и предупреждение подрывной деятельности против Франции за ее пределами; в необходимых случаях проведение в национальных интересах совершено секретных операций. Руководитель Директорат стратегического развития Директорат разведки Административный директорат Директорат специальных операций Директорат технического обеспечения Рис. 4.4. Структура DGSE 100 Несмотря на подчинение Министерству обороны, в штате управления большинство сотрудников – гражданские лица. Судя по информации, публикуемой в средствах массовой информации, в последнее время происходит интенсивный набор специалистов высокого класса в таких отраслях, как экономика, информатика, точные науки. Управление военной разведки (La Direction du Renseignement Militair /DRM/) Управление было создано 16 июня 1992 года для планирования, координации и руководства подразделениями военной разведки после войны в Персидском заливе. Служба DRM была сформирована на основе Центра эксплуатации военной разведки (CERM - Centre d'Exploitation du Renseignement Militaire), Центра информации электромагнетической радиации (CIREM - Centre d'Information sur les rayonnements Electrotmagnetiques), Центра аэрофотосъемки (Centre l'Interpretation Interarmees de l'Imagerie), армейского подразделения HELIOS (l'Unite Interarmees HELIOS) и второго бюро армии и ВВС. Морская разведка не вошла в структуру DRM и осталась в подчинении Бюро иностранных дел (BRE), входящего в состав штаба флота. Однако позднее из только военной разведки DRM стала превращаться в политическую и стратегическую разведку, войдя в сферу компетенции DGSE. Между тем DRM не является спецслужбой, она не занимается обеспечением внутренней безопасности – DRM не проводит «активных мероприятий». Сфера деятельности DRM ограничивается анализом информации со спутников-шпионов и другими данными радиошпионажа. Структура DRM показана на рис. 4.5. Директор Научноисследовательский директорат Эксплуатационный директорат Директорат технической поддержки Директорат обеспечения и вооружения Директорат по работе с кадрами Рис. 4.5. Структура DRM 101 Штаб-квартира DRM находится в Париже, а подразделения технической разведки в Крейле и Страсбурге. Они включают: Управление исследований - une sous-direction Recherche (SDR) Управление эксплуатации - une sous-direction Exploitation (SDE) Управление вооружений - une sous-direction ArmementsProlifération (SDA) Техническое управление - une sous-direction Technique (SDT) Управление кадров une sous-direction Ressources humaines – formation ( SDH) Также в число спецслужб Франции входят: Директорат защиты и безопасности обороны DPSD (военная контрразведка) Бригада электронной войны BRGE (аналитический центр) Центральное агентство безопасности систем информации SCSSI (криптография) Военно-воздушные силы: 54 эскадрон воздушной разведки (радиоперехват) Дирекция безопасности территории DST (контрразведка) 4.1.4. Системы защиты информации в Швеции Правительство Швеции придает большое значение проблемам предотвращения угроз применения средств ведения информационной войны (СВИВ) против национальной инфраструктуры. Для определения роли и места информационного оружия среди средств воздействия на противника или достижения внешнеполитических и иных целей специалистами Вооруженных сил Швеции проведен анализ его сущности и возможных стратегий применения. Под наступательными и оборонительными СВИВ шведские эксперты понимают совокупность средств электронной борьбы, осуществления психологических операций, обеспечения безопасности компьютерных сетей, а также операций по физическому уничтожению оборудования, работающего на базе электронных устройств. Целью использования данного оружия является нарушение функционирования 102 или полное разрушение системы государственного управления и контроля противника при одновременной защите собственных структур. Осознавая необходимость разработки в будущем наступательных СВИВ, Министерство обороны Швеции планирует в ближайшие годы отдать приоритет созданию средств защиты от подобного оружия. По оценкам шведских военных специалистов, для адекватной защиты страны в ходе ИВ, а также для осуществления в будущем акций с применением собственных наступательных СВИВ необходимо, прежде всего создать эффективную систему государственного управления и контроля. В основные задачи разрабатываемой системы контроля и управления входят: защита собственных систем наблюдения, ориентации, принятие решений; поддержка действий войск в соответствии с планами; реальная оценка ущерба в ходе войны; отражение атак СВИВ противника. При ее создании предусматривается необходимость выполнения ряда условий функционирования, главными из которых являются: свобода доступа пользователей всех уровней к любой информации; способность выполнения стоящих задач на всех стадиях развития конфликта; простота в освоении и легкость в использовании персоналом; автономность; способность к дальнейшему развитию и выполнению новых функций. Специалисты Министерства обороны Швеции допускают возможность применения ряда наступательных СВИВ, не представляющих угрозы человеческой жизни, при проведении миротворческих операций под руководством ООН. Под таким оружием понимаются компьютерные вирусы, генераторы мощного электромагнитного импульса и некоторые другие средства. При этом эксперты, отмечая вероятность использования данного оружия против Швеции, заявляют о необходимости обязательного тестирования новых и уже существующих национальных систем вооружений, военной техники на уязвимость при воздействии на них СВИВ. Согласно оценкам шведских военных аналитиков, информационное оружие станет основным средством ведения войны в XXII столетии, 103 учитывая усиливающуюся зависимость развитых государств от систем связи и информации. При этом использование СВИВ против стран с низким уровнем развития информационной инфраструктуры будет малоэффективно. В свою очередь, применение данными странами наступательных СВИВ даст им ощутимые преимущества. Военная разведка (MUST) Разведывательная служба безопасности MUST (http://www.hkv.mil.se) с 1994 года подчинена непосредственно верховному главнокомандующему Вооруженных сил Швеции. Структурно MUST делится на шесть подразделений: Отдел управления Отдел анализа и обработки информации Отдел оперативной деятельности Отдел сбора информации о вооруженных силах других стран Отдел разведки и безопасности Отдел сбора информации специальными средствами На разведку и контрразведку в Швеции работают несколько крупных аналитических центров. Военные атташе при посольствах Швеции подчинены MUST [17]. Радиоуправление национальной обороны (FRA) (http://www.fra.se/) Это гражданское ведомство, подчиняющееся Министерству обороны, занимается радиоразведкой. Состоит из семи управлений: сбора данных, обработки, формирования отчетов, системы электронной разведки, системного развития, системного сопровождения административного. В распоряжении FRA есть несколько центров радиоперехвата на территории Швеции, корабль "Орион" и два самолета-шпиона "Гольфстрим IV". 104 Функции контрразведки выполняет Шведская секретная полиция SAPO (http://www.sakerhetspolisen.se/), которая занимается обеспечением на территории страны безопасности конфиденциальной информации от её незаконного получения агентами иностранных разведок. Конкурентная разведка В Швеции конкурентная разведка частных компаний рассматривается как средство обеспечения государственной безопасности. Именно поэтому Швеция — единственная в мире страна, где выдается диплом о высшем образовании по специальности «конкурентная разведка». Такие курсы читаются во многих странах мира, есть колледжи, где обучают этой специальности. Но бизнес-школа при Лундском университете (пригород Стокгольма) — единственный колледж в мире, где присваивают степени мастера и доктора по этой специальности. Более чем вековой нейтралитет Швеции накладывает свой отпечаток на особенности частной конкурентной разведки и связи ее с государственными структурами. Экономика Швеции — одна из самых открытых в мире. Экспорт из Швеции на девять десятых осуществляется двенадцатью огромными компаниями: Volvo, Saab, Elektrolux, Ericsson, ABB, Gambro, Nobel Industries, Astra, Scandia Group, SCA, Nokia и Televerker. Эти компании только 20% своей продукции направляют на экспорт. У всех есть производственные филиалы или дочерние компании за пределами своей страны. Крупные компании Швеции обязаны обмениваться информацией ради успешного развития национальной экономики. Посольства Швеции по всему миру регулярно составляют отчеты об экономическом и политическом положении в странах, где они аккредитованы, в такой форме, чтобы они могли быть использованы шведскими компаниями в своей текущей деятельности и для принятия стратегических решений. Тесные контакты частных компаний и правительства в сфере конкурентной разведки не ограничиваются работой посольств. Еще в 70-е годы шведские банки сформировали компанию Upplsnigs Centralen для исследований по конкурентной разведке. Она ведет общие для шведских банков базы данных, в которые идет информация из-за 105 рубежа. На нее работают тысячи платных агентов по всему миру, поставляющие ей информацию разной ценности. Шведское правительство поддерживает деятельность этой организации постоянными заказами. Полученными за них средствами она и расплачивается со своей агентурой. Полностью государственная организация — Шведское национальное бюро технического развития — собирает и передает промышленным компаниям в основном общедоступную информацию о технических новинках и важных экономических событиях. Объединение Европы привело к тому, что конкурентная разведка Швеции перешла от сбора и анализа политической информации к работе с экономической (в том числе и закрытой) информацией. Крупные шведские компании-экспортеры сами имеют хорошо развитые разведывательные службы, по-разному входящие в организационные структуры. В Elektrolux и Scandia Group департаменты конкурентной разведки подчиняются руководителям компании. Компании Ericsson и Nobel Industries имеют отделы конкурентной разведки в отраслевых департаментах. Компании Volvo и Astra включили группы конкурентной разведки в отделы планирования и маркетинга. В отличие от фирм США, Японии и многих других стран, шведские компании не стыдятся сообщать об успехах их служб конкурентной разведки. Так, Scandia Group сообщила, что ее службы заблаговременно узнали о финансовых затруднениях, которые испытывает ее партнер — страховая компания Njord Insurance. Всем дочерним фирмам и филиалам корпорации секретным предписанием было приказано сворачивать дела с этим страховщиком [16]. Подготовка персонала В Швеции осуществляется программа специальной подготовки управленческого аппарата и персонала служб безопасности компаний для принятия профессиональных мер по борьбе с потенциальной угрозой иностранных разведок и криминальных структур. Сотрудников фирм, в первую очередь работающих за рубежом, обучают методам реагирования на контакты со стороны лиц, заинтересованных в секретной экономической и научно-технической информации. 106 Контрразведывательная служба Швеции (СЕПО) периодически организовывает курсы для сотрудников Таможенной службы и персонала транспортно-экспедиторских отделов частных компаний по вопросам противодействия иностранным разведкам. На занятиях слушателей: знакомят с методами иностранных спецслужб по изучению и привлечению к сотрудничеству местных граждан; инструктируют о необходимости информировать СЕПО, обо всех контактах местных фирм с иностранными представителями; раскрывают возможности поддержания дальнейшего контакта с иностранцем, но уже под контролем контрразведывательных органов. В Швеции контрразведывательную работу в отношении совместных со Швецией иностранных обществ и защиту государственных промышленных и коммерческих секретов осуществляет шведская полиция безопасности, которая стремится тесно взаимодействовать в этом вопросе с частными промышленными службами безопасности. Особенности работы промышленных служб безопасности В связи с относительной открытостью шведских фирм контактам с иностранными партнёрами особую актуальность приобретает обеспечение безопасности коммерческой тайны на предприятиях, которые вынуждены строить собственные системы защиты информации. Местные правоохранительные органы весьма активно действуют через влиятельные национальные союзы предпринимателей, а также самостоятельно в крупных фирмах. Уполномоченные сотрудники спецслужб на предприятиях совместно с кадровым аппаратом и службой промышленной безопасности обязаны: проводить квалифицированную спецпроверку лиц, допускаемых к работе с секретными документами и материалами; создавать агентурно-осведомительную сеть; распространять среди персонала служб промышленной безопасности опыт контрразведывательного обеспечения закрепленных за ними объектов В Швеции частными службами безопасности введен строгий контроль за технической и коммерческой документацией, передаваемой местными фирмами иностранным специалистам, которых разрешено 107 знакомить лишь с материалами, имеющими особую отметку. Сотрудникам ряда шведских фирм вменено в обязанность под угрозой увольнения после любых контактов с иностранными гражданами представлять в администрацию письменные отчеты о характере состоявшихся бесед. Выявлена тенденция к расширению функций государственных и ведомственных спецслужб по обеспечению безопасности коммерческой деятельности за рубежом частнопредпринимательских организаций и содействию в формировании в них собственных групп и служб безопасности. В одной из инструкций СЕПО об агентурно-оперативной работе и контактах со служащими шведских фирм за границей органам контрразведки прямо предписывается устанавливать агентурные отношения с представителями «восточных» отделов, регулярно выезжающими в Россию, страны СНГ и Прибалтику. Выполнение отдельных оперативных заданий поручается без разглашения существа всей операции сотрудникам служб промышленной безопасности крупных фирм. С целью проведения общепрофилактических мероприятий в частном секторе сотрудниками СЕПО подготовлен в начале 90-х годов и настойчиво распространялся в среде деловых кругов страны меморандум на тему: «Промышленный шпионаж – угроза национальной безопасности Швеции», в котором приводились факты о добывании в Швеции некоторыми иностранными спецорганами промышленных и экономических секретов. Во многих шведских фирмах, предприятиях, учреждениях, выполняющих государственные заказы, официально введены должности офицеров безопасности. Повышенное внимание уделяется упорядочению контактов государственных служащих и сотрудников частнопредпринимательских структур, связанных с секретными работами, иностранными представителями: введены дополнительные ограничения в передвижении, в том числе при выездах за рубеж; усилены режимные меры в работе с документами; разработаны и внедрены новые правила и инструкции поддержания контактов и отчетности о них. 108 Роль общественных организаций и союзов предпринимателей в предупреждении утечки из страны научно-технических секретов. Значительное место в воспитательно-профилактической работе, направленной на предупреждение несанкционированного разглашения важных для экономики страны научно-технических сведений, занимают некоторые шведские организации предпринимателей. Так, специалистами Союза шведских промышленников в начале 90-х годов подготовлены рекомендации по защите национальных научнотехнических секретов и обеспечению безопасности шведских предприятий в связи с резким расширением их деловых контактов со странами Восточной Европы. В качестве наиболее характерных методов работы иностранных государственных спецслужб и частных разведывательно-информационных органов шведские эксперты называют следующие: внедрение в исследовательские отделы шведских фирм через многочисленные совместные предприятия; получение информации методами выведывания, опроса, интервьюирования, анкетирования, собеседования, наблюдения; проведение прямых вербовочных бесед с предложением о сотрудничестве на материальной основе. В рекомендациях союза, подготовленных совместно со шведской контрразведкой и некоторыми военными контрразведывательными органами НАТО, отмечалось, что «разведывательная деятельность в сфере науки, техники и экономики осуществляется странами Восточной Европы в «децентрализованном варианте», но, тем не менее, достаточно смело и агрессивно» [6]. Это, по мнению шведских экспертов, объясняется, во-первых, потребностью данных стран в создании достаточно конкурентных производств, что весьма затруднительно без регулярного доступа к новинкам западной техники и технологии, во-вторых, массовым переходом кадровых офицеров разведки и контрразведки в частнопредпринимательский сектор. В результате активизировались вербовочные подходы к шведским коммерсантам с явно разведывательными целями со стороны бизнесменов из стран Восточной Европы. 109 Контрольные вопросы: 1. Какие основные проблемы решают специалисты стран Евросоюза в условиях возможности применения информационного оружия? 2. Какие цели преследует идея создания системы коллективного контроля и обеспечения ИБ европейских стран? 3. Охарактеризуйте государственную систему безопасности Великобритании. Приведите структуру спецслужб этой страны. 4. Назовите отличительные черты системы защиты информации Германии. 5. Перечислите основные спецслужбы Германии, обеспечивающие информационную безопасность. Назовите их основные функции. 6. Что представляет собой система защиты информации Франции? Назовите основные спецслужбы Франции. 7. Какую структуру имеет служба DGSE Франции, каковы её задачи? 8. Какие особенности имеет система ЗИ Швеции? 9. Назовите особенности деятельности служб безопасности шведских промышленных предприятий. 110 ГЛАВА 5 СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ В КИТАЙСКОЙ НАРОДНОЙ РЕСПУБЛИКЕ 5.1. 5.2. 5.3. 5.4. Представление об информационном противоборстве в Китае Законодательство в сфере информационной безопасности в Китае Организационная структура спецслужб Китае «Великая стена» информационной безопасности Китае В современном мире Китайская Народная Республика (далее Китай) является одной из наиболее активно развивающихся стран. В Азиатско-Тихоокеанском регионе Китай – признанный лидер по многим позициям, в том числе и в вопросах информационного противоборства и по наличию современной системы защиты национальных информационных ресурсов. 5.1. Представление об информационном противоборстве в Китае Военные специалисты Китая уже давно используют термин «информационная война». Сегодня страна неуклонно движется к формированию единой доктрины информационной войны. Фактически, если революция в военном деле определяется как существенное изменение в технологии, дающее преимущество в военном обучении, организации, стратегии и тактике военных действий, то, возможно, в Китае в настоящее время происходит революция в киберпространстве. Китайская концепция информационной войны включает уникальные китайские представления о войне вообще, основанные на трудах философа Сун Цзы («Искусство войны»), а также местных представлениях о том, как воевать на стратегическом, оперативном и тактическом уровне. Среди особенностей китайского подхода к ИВ можно выделить: акцент на обман, войну знаний и поиск асимметричных преимуществ над противником. Информационная война определена как «переход от механизированной войны индустриального возраста к... войне решений и стиля управления, войне за знания и войне интеллекта» [6]. 111 Китай развивает концепцию Сетевых сил (воинские подразделения численностью до батальона), которые состояли бы из высококлассных компьютерных экспертов, обученных в государственных университетах, академиях и учебных центрах. Основной акцент делается на привлечение активной молодежи. В настоящее время в Китае было проведено уже несколько крупномасштабных учений этих сил по отработке методов ведения информационной войны. Руководство Китая осуществляет комплекс мер, направленных на повышение информационной безопасности страны. Для решения этих задач: 1. Осуществляется реорганизация правительственных структур. 2. Проводится переоснащение вооруженных сил. 3. Разрабатываются принципы интеграции информационной инфраструктуры Китая в мировые системы. Китай расширяет международное сотрудничество с целью максимально ускорить процесс информатизации государства, развития телекоммуникационной инфраструктуры, всех видов связи, продолжения реализации космических проектов. При этом китайское руководство использует эффективный механизм привлечения передовых зарубежных технологий, созданный в ходе проведения политики реформ и открытости. В электронной промышленности Китая уже насчитывается 660 совместных предприятий, объем иностранных инвестиций в которые составляет 7 млрд долларов [7]. С 1996 года при госсовете Китая действует комиссия по вопросам информатизации в составе ведущих экспертов из 20 государственных органов Китая. Ее главной функцией является определение и поддержка наиболее важных направлений развития информационной техники. В рамках реорганизации государственных структур в марте 1998 г. принято решение об образовании Министерства информационной промышленности путем слияния министерств электроники и почтовой связи и коммуникаций. Одной из основных задач нового ведомства является решение проблем информационной безопасности страны. Командование Народно-освободительной армии Китая определяет подготовку к ведению ИВ в качестве главной тенденции в реформировании китайских вооруженных сил. Делая ставку на 112 переоснащение ВС современными видами вооружений, включая новейшие средства радиоэлектронной борьбы и информационного противодействия, а также системами командования, управления, связи и разведки, руководство Китая приняло решение в течение трех лет сократить численность ВС на 500 тысяч человек. На предполагаемых театрах военных действий будут оборудованы информационные сети с соответствующим набором баз данных. Экспериментальная модель подобной сети обсуждалась в 1996 году на третьем всекитайском совещании работников системы военной информации. Для информационной поддержки войсковых объединений созданы базы данных, содержащие более 1500 типовых документов. С 1996 года функционирует организованный правительством КНР Центр военных стратегических исследований, который рассматривает, в частности, вопросы ведения ИВ, оценивает эффективность средств информационного поражения и разрабатывает рекомендации по противодействию возможным угрозам. В 1997 году Центральный военный совет утвердил документ под названием «Расширение международного обмена в области военной электронной техники и технологий и наращивание военных ресурсов Китая». В соответствии с поставленными задачами планируется начать кампанию по сотрудничеству с иностранными фирмами с целью привлечения в Китай зарубежных технологий военного назначения для оснащения вооруженных сил страны. Проводя политику широкой интеграции в мировые информационные системы, правительство Китая при этом настаивает на необходимости пересмотра тенденций создания и совершенствования глобальных высокоскоростных сетей, способных, по его мнению, в настоящее время порождать конфликты в международных отношениях и нести угрозу подрыва национальных суверенитетов большой группы государств, в том числе Китая. В этой связи неотложной задачей является разработка международного механизма, норм и правил информационного обмена, исключающих проявление сетевого доминирования. При этом специалисты полагают, что Китаю необходимо возглавить борьбу большинства развивающихся стран, в том числе членов движения неприсоединения, за справедливый информационный порядок. 113 По оценкам местных экспертов, установление такого информационного обмена возможно лишь при условии соблюдения принципов равенства суверенитетов, соответствия интересам большинства стран мира, устранения диктата одной или ряда ведущих индустриальных держав, использующих для этого свои экономические и технологические преимущества [6]. Для развивающихся стран, указывают аналитики, неограниченная информационная свобода наряду с получением определенных дивидендов в сфере торговли несет угрозу оказания на них негативного социально-политического и культурного влияния. Отмечается, что принципы, на которых в настоящее время основывается создание глобальной высокоскоростной сети ведущими западными странами, не отвечают требованиям большинства государств мира. Быстрое увеличение в Китае числа пользователей глобальной сети Интернет ставит перед руководством страны проблему сохранения на прежнем уровне его контролирующих и регулирующих функций, поскольку по мере расширения в Китае телекоммуникационной инфраструктуры возрастающее число организаций и частных лиц, в том числе иностранных, получают возможность оказывать влияние на процесс формирования общественного мнения и предпринимать действия по изменению социально-политической обстановки в государстве. Среди основных задач, которые должны быть решены Китаем в процессе интегрирования в глобальные системы, специалисты выделяют защиту интеллектуальной собственности, а также блокирование доступа к зарубежной информации, навязывающей, по их мнению, неприемлемый для китайцев образ жизни, подрывающий национальные культурные традиции и морально-этические нормы. Кроме того, считается необходимым принять эффективные меры по ограничению распространения в компьютерных сетях сведений о деятельности правительственных структур, а также разработать жесткую систему правил, регламентирующих доступ различных организаций и ведомств к зарубежным источникам. В настоящее время Комиссия по делам информатизации при госсовете Китая формирует новое положение, которое будет регулировать деятельность национальных структур, подключенных к зарубежным компьютерным сетям, и осуществлять более жесткие меры государственного контроля за этими процессами. В частности, новыми правилами предусматривается обязательное 114 лицензирование данной деятельности с указанием каждым из китайских абонентов ее конкретных целей и содержания, а также системных адресов их зарубежных партнеров [8]. Создавая национальную систему информационной безопасности, Китай критически относится к американскому варианту, который взят за основу рядом других государств. Предпринимаемые Китаем меры по подготовке к ИВ отражают собственную стратегию, которая учитывает особенности функционирования китайского общества и необходимость противодействия информационной экспансии США. 5.2. Законодательство в сфере информационной безопасности в Китае Законотворчество в области компьютерных и информационных технологий в Китае начало развиваться параллельно с развитием современных информационных систем. В принятом в сентябре 2003 года законе «Об авторских правах» компьютерные программные продукты впервые приравнены к категории охраняемых авторскими правами. Принятое в 2001 году положение «Об охране компьютерных программ» является первым нормативным актом в области охраны безопасности компьютерных систем Китая. В 1994 году Госсоветом страны опубликованы положения «Об охране компьютерных и информационных систем». Законотворческий процесс в области регулирования Интернета начался в 1995 году, когда был принят ряд мер, предотвращающих незаконную онлайновую деятельность в Интернете. В положении «Об охране безопасности международной сети компьютерных и информационных систем», опубликованном Министерством государственной безопасности КНР, две статьи описывают категории информации, разработка, увеличение, поиск и распространение которой запрещаются, а также квалифицированы виды деятельности, которые относятся к посягательству на безопасность компьютерных и информационных систем. Законодательными органами Китая разработано и принято более 10 законов и подзаконных актов, например положение «О каналах компьютерных и информационных систем», положение «Об охране безопасности международной сети, компьютерных и информационных 115 сетей общего пользования», временное положение «О регистрации доменных имен китайской части сети Интернет» и другие. В Уголовном кодексе Китая, принятом в октябре 1997 года, несколькими статьями были установлены правонарушения в области компьютерных и информационных систем и уголовная ответственность за них. В течение последних десяти лет указанные законы и нормативные акты, разработанные и принятые соответствующими министерствами и ведомствами Китая, играют значительную роль в повышении эффективности управления со стороны правительства, способствуют развитию компьютерных и информационных систем. В настоящее время можно говорить о том, что полноценная правовая система в области охраны компьютерных и информационных сетей в Китае в основном сформирована [9]. В Китае выделяют следующие основные элементы правовой системы страны в области защиты информации: 1.Планирование и разработка компьютерных и информационных систем. Из-за масштаба работ, огромных затрат, охвата обширных территорий страны, продолжительности и сложности существует необходимость с помощью правовых инструментов урегулировать планирование и разработку данных систем, тем самым обеспечив их эффективность. 2.Управление компьютерными и информационными системами. С целью обеспечения безопасности и бесперебойной работы данных систем необходимо усилить управление ими. Расцвет преступности в Интернете, обилие опасной информации в сетях вызвано главным образом слабостью или отсутствием эффективного управления. Следовательно, разработка и принятие законов и иных нормативных актов, с помощью которых четко урегулируются права и обязанности лиц, занимающихся управлением и иной хозяйственной деятельностью в данной области, а также онлайновое поведение пользователей способствуют предотвращению, или уменьшению количества правонарушений в Интернете. 3.Обеспечение безопасности компьютерных и информационных систем. Хакерская атака, несанкционированный доступ к компьютерным системам, умышленное вредительство, разглашение государственной 116 тайны и личных данных гражданина — все это создает серьезную угрозу безопасности информационных систем. Следовательно, необходимо путем разработки и принятия законов обеспечить общность стандартов по безопасности и реализации мер безопасности в полном объеме. 4.Уголовная и иная ответственность за правонарушения в данной области. Как известно, компьютерная преступность становится одним из наиболее популярных видов правонарушений. Необходимо активизировать законодательную деятельность и четко регламентировать исполнение наказаний. Постановление «Об охране компьютерных сетей», принятое в Китае в 2004 году, устанавливает уголовную ответственность за следующие виды компьютерных преступлений: 1. Сетевая атака и повреждение компьютерной системы. В настоящее время к данному типу правонарушений в Китае отнесены следующие: хакерская атака с целью перехвата, уничтожения, изменения и подделки информации, хранящейся в компьютере, нарушения нормального функционирования компьютерной системы и сетей. разработка и распространение компьютерных вирусов. хищение информации, хранящейся в компьютере. 2. Сетевое мошенничество. 3. Хищение денежных средств из финансовых учреждений путем несанкционированного доступа к компьютерным системам. 4. Азартные игры в онлайновой среде и реклама услуг сексуального характера в Интернете. 5. Посягательства на авторские и смежные права, преступления против интеллектуальной собственности. 6. Хищение информации, составляющей государственную тайну, проникновение в информационные системы государственных служб. 7. Распространение порнографической продукции, информационных продуктов, вызывающих проявления расизма и разжигания межнациональной розни, иной информации, угрожающей государственной безопасности. 8. Посягательство на частную жизнь гражданина. К данному типу правонарушений в Китае относят: подделка, распространение информации, ущемляющей честь и 117 достоинство гражданина; откровенная клевета, ложь, распространение информации от чужого имени; разглашение информации о личной жизни человека без какоголибо на то разрешения. Для усиления контроля над сетью Интернет и определения её исполнительного аппарата в Китае прилагается много усилий. В стране орган общественной безопасности, то есть милиция, несет ответственность за обеспечение информационной защиты. Закон «О милиции» Китая и другие соответствующие законы и нормативные акты возлагают на милицию страны следующие функции контроля за информационной безопасностью в Интернете: 1. определение категорий степеней безопасности информационной системы и реальных методов их защиты; 2. доведение этих сведений до пользователей Интернета; 3. расследование дел, связанных с несанкционированным использованием компьютерной информации; 4. разработка систем предупреждения распространения компьютерных вирусов и другой опасной информации; 5. разработка реальных методов государственного регулирования продажи сетевых продуктов, информационных систем; 6. контроль деятельности по обеспечению информационной безопасности в Интернете; 7. отслеживание правонарушений в Интернете. В настоящее время китайский исполнительный аппарат безопасности сети Интернет достаточно успешно проводит работу по контролю информационного обмена и пресечению незаконной деятельности в китайском сегменте сети Интернет. 5.3. Организационная структура спецслужб Китая В китайской государственной машине огромная роль принадлежит силовым структурам - армии и спецслужбам. Следует также отметить, что в Китае влияние политических факторов и отдельных лидеров на динамику развития социально-экономической ситуации несравнимо выше, чем в странах "западной цивилизации". Из-за исторических традиций управляемость китайского общества значительно выше: 118 национальными чертами китайцев являются подчинение начальству, трудолюбие, неприхотливость и пренебрежение к конкретной человеческой жизни. Ведущие европейские страны, осознающие свои, отличные от американских, геополитические интересы, активно включились в работу с китайскими спецслужбами. Министерство государственной безопасности (МГБ) Китая и БНД (Федеральная разведывательная служба) Германии обменялись официально аккредитованными резидентами, успешно налаживают совместную деятельность, прежде всего в азиатском регионе. Резидентурам БНД разрешена совместная работа с резидентурами МГБ Китая в государствах Южной и Восточной Азии. Сотрудники китайской разведки проходят стажировки в центре БНД в Пуллахе. По аналогичному пути идет и французская разведка. Одним из важных направлений приложения совместных усилий спецслужб Китая и Германии является работа в странах Центральной Азии, в том числе в республиках бывшего СССР. Это связано с озабоченностью Китая ростом пантюркистских и фундаменталистских настроений, во многом инспирируемых спецслужбами Турции [16]. Актуальной геостратегической проблемой для Китая является рост влияния американской агентуры в России, так как страна рискует оказаться в недружественном окружении в момент, когда перед китайским руководством в полный рост встанут стратегические задачи по ликвидации американского присутствия в Азиатском регионе [7]. Китайские лидеры, планирующие распространение своего контроля на страны Юго-Восточной Азии, Тайвань, Корею и Японию, заинтересованы в наличии в России сильного лидера, способного противостоять американской экспансии. В то же время Китай не заинтересован в восстановлении военно-стратегического потенциала России, так как это смогло бы создать трудности в дальнейшей реализации глобальных планов КНР. Важнейшими спецслужбами в КНР являются разведотделение Народно-освободительной армии Китая (НОАК) и МГБ Китая. Сейчас происходит перевооружение НОАК, на что уже выделено 17 миллиардов долларов. Однако в реальности, по оценке экспертов, китайские оборонные траты превышают официальные цифры в 3-5 раз. Власти умалчивают о расходах на закупку вооружений, на финансирование научно-исследовательских работ. Не учитываются и коммерческие 119 доходы самой НОАК. Военным принадлежат 15 тысяч предприятий - в основном телекоммуникационных и фармацевтических - общим оборотом в 18 миллиардов долларов в год. НОАК владеет недвижимостью в большинстве крупных городов и свободных экономических зонах, в ее ведомстве 1500 гостиниц, от простых до пятизвездочных, включая знаменитый пекинский Palace Hotel. У Китая самая крупная в мире армия - 2,6 миллиона солдат. При том, что в 1997-2000 годах она была сокращена на 500 тысяч человек. Количественное превосходство над армиями других государств уже перестало устраивать Пекин. Ему потребовалось превосходство качественное. А вот с этим пока есть сложности. На модернизацию НОАК Китай денег не жалеет. Прирост ВВП в Китае сокращается, а расходы на оборону растут. На рис. 5.1 представлена организационная структура разведывательного управления НОАК [17]. Народно-освободительная армия Китая Армейская разведка Второй департамент Координация резидентур Агентурная разведка Третий департамент Радиоэлектронная разведка Контрразведка Рис. 5.1. Структура разведки НОАК Основные функции по обеспечению информационной безопасности в Китае выполняет Министерство государственной безопасности (рис. 5.2). МГБ Китая осуществляет функции политического и криминального сыска и обладает совокупностью как оперативных, так и силовых возможностей для удержания под контролем и уголовной, и политической преступности. 120 Министерство государственной безопасности Китая Первое бюро - агентурная разведка на территории Китая Второе бюро - зарубежные операции Третье бюро - операции в Гонконге, Макао, Тайване Четвертое бюро - оперативно-техническое обеспечение Пятое бюро - координация региональных отделов МГБ Шестое бюро - контрразведка Седьмое бюро - обработка и анализ поступающих разведданных Восьмое бюро - Институт современных международных отношений Девятое бюро - управление собственной безопасности, координация особых отделов в армии Десятое бюро - сбор научно-технической информации Одиннадцатое бюро - радиоэлектронная разведка и компьютерная безопасность Бюро иностранных дел - официальные контакты с иностранными спецслужбами Синьхуа - информационное агентство Рис. 5.2. Структура МГБ Китая 121 МГБ Китая весьма эффективно контролирует ситуацию внутри страны, организованная преступность в западном понимании практически отсутствует, созданная система тотального сыска позволяет держать под контролем как криминогенные слои общества, так и политически активную часть населения. Каждый иностранец, приезжающий в страну на относительно длительный срок, находится под постоянным агентурным, наружным и техническим наблюдением (практически во всех номерах гостиниц для иностранцев имеются скрытые видеокамеры, фиксирующие происходящее внутри) [6]. Значительная часть городского населения, занятого в различных сферах обслуживания, является платными агентами МГБ. В Китае широко развиты традиции доносительства. Служба в милиции считается престижной, её сотрудники действуют решительно, в том числе и по отношению к иностранцам. Таким образом, рациональная организация работы МГБ позволяет китайскому руководству поддерживать внутреннюю стабильность в период осуществления декларируемого Китаем "большого скачка" к мировому доминированию в XXI веке. Силовые структуры Китая сегодня переживают настоящую техническую революцию. Руководство Народно-освободительной армии Китая (НОАК) официально признало, что по обычным видам вооружения китайская армия не в состоянии достигнуть паритета с США, и в начале 2000 года главный штаб НОАК разработал программу модернизации средств информационной войны. Первым объектом для проверки китайскими военными информационных методов ведения войны стал Тайвань, никак не желающий превращаться во второй Гонконг. Тайваньцы забили тревогу еще в декабре, признавшись в том, что с августа 1999 года китайские хакеры взламывали сети госструктур острова 165 раз. Целями взломщиков были сайты вооруженных сил, министерств юстиции, экономики и других государственных организаций. В то же время нападениям китайских хакеров подверглись японские компьютерные сети. [7] Разумеется, переход на рельсы информационной войны не мог состояться без разведслужб Китая. И упор был сделан на радиоэлектронную разведку. Так, в мае 1999 года министры обороны Китая и Кубы подписали соглашение о создании на острове Свободы китайского центра радиоперехвата и слежения за американскими 122 спутниками. Не забыт и космос: в 1999 году Китай запустил четыре спутника фотосъемки и два спутника радиоперехвата над Азией, кроме того, принято решение о работе над программой "1-26" по созданию новых видов высокотехнологичного оружия, включая разведывательные спутники. 5.4. «Великая стена» информационной безопасности Китая В 2004 г. правительство Китая одобрило проект "S219", именуемый специалистами "Великой стеной", главной задачей которого является обеспечение стопроцентной безопасности китайских глобальных компьютерных сетей. Проект "S219" разработан Министерством науки и технологии Китая, разработка была начата в феврале 2000 года. Он должен обеспечить информационную безопасность правительственных, финансовых и медийных компьютерных сетей. Речь идет не только о борьбе с компьютерными вирусами, но и с распространением нежелательной, по мнению китайских властей, информации [6]. Для реализации проекта задействованы свыше 3000 специалистов. Уже на этапе разработки этот авторский коллектив запатентовал 45 новых технологий, применяемых для создания "великой стены". В Китае в 2004 г было закрыто 12 575 нелегальных интернеткафе. По мнению Министерства образования Китая, интернет-кафе мешают нормальной работе школ. МГБ КНР приступило к выплате денежных вознаграждений гражданам за информацию о порносайтах в Интернете. Размер вознаграждений составит до 2 тысяч юаней (около 330 долларов США). С июля 2004 года, когда в Китае развернулась массовая кампания по борьбе с порнографией в Интернете, благодаря информации осведомителей были закрыты 1 125 порносайтов и арестованы 445 человек [20]. В Китае поощряется использование Интернета для образования и бизнеса. Размещение информации сексуального характера на китайских сайтах запрещено, а доступ пользователей к зарубежным узлам, которые, по мнению властей, носят порнографический или подрывной характер, блокируется. МГБ Китая совместно с Министерством 123 образования и Министерством информационной индустрии объявили о начале совместной кампании, призванной положить конец спаму в стране, как рекламному, так и "реакционному" - направленному на дискредитацию существующего строя. Согласно заявлению МГБ, более половины сообщений электронной почты, получаемых китайскими пользователями интернета, являются спамом. Сейчас борьба со спамом в стране ограничивается тем, что специальная организация публикует "черный список" местных и зарубежных серверов, используемых для рассылки нежелательной почты, призывая провайдеров блокировать доступ к этим серверам. В МГБ собираются дополнить эту деятельность новыми мерами: от операторов серверов электронной почты будут требовать обязательного использования спам-фильтров, а спамеров планируется преследовать в уголовном порядке. Власти Китая намереваются в ближайшее время закрыть интернет-сайты, которые не прошли специальную процедуру регистрации в государственных органах. Это делается в рамках общего усиления контроля за ресурсами глобальной сети в этой стране, которая, как известно, на государственном уровне ограничивает доступ к иностранным сайтам и жестко регулирует внутренние. Официальный Пекин в 2005 г. объявил о том, что поддерживающие какие-либо интернет-сайты граждане Китая должны зарегистрироваться в органах власти и предоставить информацию об ответственных за содержание сайта лицах. Как известно, сайты в Китае не должны содержать сведения, противоречащие политике компартии, а также порнографию, азартные игры и другие аналогичные материалы. Власти дали владельцам сайтов на регистрацию срок до 30 июня 2005 года и пообещали ресурсы, не прошедшие процедуру, принудительно закрыть. В итоге, в стране регулярно проводятся рейды с целью пресечь деятельность нелегальных интернет-кафе, предоставляющих доступ к "неконтролируемому" Интернету. 124 Контрольные вопросы: 1. Что представляет собой концепция ИВ Китая? 2. Назовите основные мероприятия, осуществляемые руководством Китая, направленные на повышение ИБ страны. 3. Какие задачи решаются в Китае в рамках интеграции в мировые информационные системы? 4. Каковы основные мероприятия по обеспечению ИБ Китая, осуществляемые в процессе интеграции в глобальную сеть Интернет? 5. Охарактеризуйте нормативно-правовую базу Китая в сфере ИБ и ответственность за компьютерные преступления в Китае. 6. Каковы основные элементы правовой системы ИБ Китая? 7. Перечислите основные спецслужбы Китая, какие функции они выполняют? 8. Что такое «Великая стена» информационной безопасности Китая? Какие задачи ей присущи? 9. Каковы особенности поддержки Интернет-ресурсов частными лицами в Китае? 125 ГЛАВА 6 МЕЖДУНАРОДНОЕ СОТРУДНИЧЕСТВО В ОБЛАСТИ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ 6.1. Развитие международного сотрудничества в области обеспечения информационной безопасности 6.2 Международные организации в области информационной безопасности 6.3. Правовое регулирование сети Интернет. 6.1. Развитие международного сотрудничества обеспечения информационной безопасности в области В настоящее время достижения науки и техники в области информационно-телекоммуникационных технологий (ИТК) как никогда прежде начали определять динамику экономического развития, уровень благосостояния и конкурентоспособности государств в мировом сообществе, а также степень их национальной безопасности. Интенсивное развитие и широкое использование информационнокоммуникационных технологий, основанных на объединении традиционных средств массовой информации и компьютерных систем передачи массовой информации по телекоммуникационным сетям, привело к формированию серьезной зависимости критических национальных инфраструктур от этих технологий и обусловило возникновение принципиально новых угроз. Информатизация, несомненно, способствует более эффективному управлению государством. Однако информатизация не только ускоряет развитие общества, но и порождает новые угрозы национальной и глобальной безопасности, которые Всемирная федерация ученых назвала в числе первых в списке угроз человечеству в XXI веке. В связи с этим выделяется особая компонента безопасности – информационная безопасность, важность которой постоянно возрастает. Традиционно безопасность понимается как состояние, в котором жизненно важные интересы человека, общества, государства защищены от любой внутренней или внешней угрозы. Составляющими информационной безопасности являются [6]: 126 1) состояние безопасности информационного пространства, при котором обеспечивается его формирование и развитие в интересах личности и общества; 2) состояние безопасности информационной инфраструктуры, при котором информация используется строго по назначению и не оказывает негативного воздействия; 3) состояние безопасности самой информации, при котором исключается или существенно затрудняется нарушение её свойств, таких как конфиденциальность, целостность и доступность. Международная информационная безопасность сегодня определяется как “состояние международных отношений, исключающее нарушение мировой стабильности и создание угрозы безопасности государств и мирового сообщества в информационном пространстве” [Док. Генеральной Ассамблеи ООН А/55/40]. Таким образом, проблема обеспечения информационной безопасности не является сегодня узко государственной категорией, а переходит в область международных проблем, для решения которых требуется объединение ведущих мировых держав. Большое внимание проблемам обеспечения международной информационной безопасности в глобальных ИТК было уделено на саммите “Большой восьмерки”, проходившем в июле 2000 года в городе Окинава (Япония). Главы государств и правительств, подписавших Окинавскую хартию глобального информационного общества, признали, что ИТК являются одним из наиболее важных факторов, влияющих на формирование общества XXI века. В Окинавской хартии провозглашена приверженность тому, чтобы все члены общества повсеместно имели возможность пользоваться преимуществами глобального информационного общества. В Хартии обозначено, что пути обеспечения всеобщего доступа к ИТК включают создание благоприятных рыночных условий для предоставления информационных услуг, совершенствование сетевого доступа, особенно в отсталых и отдаленных районах, развитие удобных для использования технологий, включая мобильный доступ к сети Интернет, широкое использование бесплатного общедоступного информационного обеспечения и открытых для всех пользователей программных средств и предоставление всем гражданам возможности освоить и получить навыки работы. Особо отмечена необходимость разработки правил защиты прав интеллектуальной 127 собственности на информационные технологии, что важно для продвижений нововведений, связанных с ИТК, а также развития эффективного механизма защиты личной жизни при обработке личных данных, обеспечивая при этом свободный поток информации, а также дальнейшее развитие и эффективное функционирование электронной идентификации, электронной подписи, криптографии и других средств обеспечения безопасности и достоверности операций. Помимо этого, в восьмом параграфе Окинавской хартии указано, что усилия международного сообщества, направленные на развитие глобального информационного общества, должны сопровождаться согласованными действиями по созданию безопасного и свободного от преступности киберпространства [22]. Одна из главных проблем обеспечения международной информационной безопасности заключается в том, что оно не является объектом регулирования международного права [16]. Осознание этого факта побудили Россию взять на себя инициативу в рамках мирового сообщества об официальной постановке вопроса правового обеспечения международной информационной безопасности. Еще в 1998 году в адрес Генерального секретаря ООН было направлено специальное послание по проблеме международной информационной безопасности Министра иностранных дел Российской Федерации. Особый акцент в нем был сделан на необходимости предотвращения появления принципиально новой информационной сферы конфронтации и развязывания принципиально новых военных конфликтов. Практическим развитием этой российской инициативы стало внесение российской стороной в ходе 53-й сессии Генеральной Ассамблеи (ГА) ООН проекта резолюции под названием "Достижения в сфере информатизации и телекоммуникаций в контексте международной безопасности", принятой 4 декабря 1998 года в виде резолюции A/RES/53/70. Резолюция A/RES/53/70 предлагает государствам - членам ООН продолжить обсуждение вопросов информационной безопасности, дать конкретные определения угроз, предложить свои оценки проблемы, включая разработку международных принципов обеспечения безопасности глобальных информационных систем. О таких оценках страны-члены ООН должны информировать Генерального секретаря ООН, которому было поручено представить соответствующий доклад на 128 следующей сессии ГА ООН [2]. Доклад Генсекретаря был опубликован 10 августа 1999 года (А/54/213) и включил оценки Австралии, Белоруссии, Брунея, Кубы, Омана, Катара, России, Саудовской Аравии, Великобритании и США. Общим для этих оценок стало признание наличия проблемы обеспечения информационной безопасности, однако при этом выявились существенные различия как в расстановке акцентов (военная, правовая, гуманитарная или другие составляющие), так и в методике ее рассмотрения и решения. Резолюция 53/70 положила начало обсуждению создания совершенно нового международно-правового режима, субъектом которого в перспективе должны стать информация, информационная технология и методы ее использования. В соответствии с ее рекомендациями Институтом ООН по проблемам разоружения (ЮНИДИР) и Департаментом по вопросам разоружения Секретариата ООН в августе 1999 года в Женеве был организован международный семинар по вопросам международной информационной безопасности. В семинаре приняли участие представители более 50 стран, включая экспертов из наиболее развитых в информационно-технологическом плане государств. Задача семинара заключалась в выявлении подходов различных стран в связи с предстоящим продолжением дискуссии по этой теме на 54-й сессии ГА ООН. Основным итогом семинара стало подтверждение актуальности проблемы информационной безопасности и своевременности постановки этого вопроса в международном плане. Эта первая такого рода представительная встреча экспертов, несомненно, во многом способствовала выполнению рекомендации резолюции 53/70. Важным шагом в направлении международно-правового регулирования мировых процессов информационной безопасности явилась резолюция 54/90 “Достижения в сфере информатизации и телекоммуникаций в контексте международной безопасности“, принятая на 54-й сессии ГА ООН. В данном документе сформулирован вопрос о целесообразности разработки международных принципов, которые были бы направлены на укрепление безопасности глобальных информационных и телекоммуникационных систем и способствовали бы борьбе с терроризмом и криминалом. Мировое сообщество признало международную информационную безопасность как глобальную проблему, требующую неотложного решения. 129 В резолюции А/55/140 изложены принципы, касающиеся международной информационной безопасности. Принципы представляют собой своего рода рабочий вариант кодекса поведения государств в информационном пространстве, создавая для них моральные обязательства, и закладывают основу для широких международных переговоров под эгидой ООН и других международных организаций по этой проблематике. В них содержится необходимая понятийная база по предмету международной информационной безопасности, приводятся основные определения международной информационной безопасности, угроз информационной безопасности, информационного оружия, информационной войны, международного информационного терроризма и преступности. НА 55-й сессии ГА был одобрен проект резолюции A/RES/55/28, в котором отмечается, что целям ограничения угроз в сфере информбезопасности отвечало бы "изучение соответствующих международных концепций, направленных на укрепление безопасности глобальных информационных и телекоммуникационных систем" [6]. В соответствии с рекомендациями резолюции 55/28 Министерством иностранных дел России был подготовлен, представленный в ООН, проект документа "Общая оценка проблем информационной безопасности. Угрозы международной информационной безопасности". В данном документе выделены и описаны одиннадцать основных факторов, создающих опасность основным интересам личности, общества и государства в информационном пространстве и представляющих, таким образом, наибольшие угрозы с точки зрения обеспечения международной информационной безопасности. К таким факторам относятся: разработка и использование средств несанкционированного вмешательства в работу и неправомерного использования информационных ресурсов другого государства, а также нанесения им ущерба; целенаправленное информационное воздействие на критические инфраструктуры и население другого государства; действия, направленные на доминирование в информационном пространстве, поощрение терроризма и собственно ведение информационных войн. В резолюции A/RES/56/19 от 29 ноября 2001 года, принято решение о создании специальной Группы правительственных экспертов государств членов ООН (ГПЭ) для проведения всестороннего исследования проблемы международной информационной безопасности. Функции этой группы предусматривают рассмотрение существующих и потенциальных 130 угроз в сфере информационной безопасности и возможных совместных мер по их устранению, а также изучение международных концепций, которые были бы направлены на укрепление безопасности глобальных информационных и телекоммуникационных систем. Таким образом, международным сообществом было принято важное решение о необходимости широкого практического изучения вопросов международной информационной безопасности. Резолюция ГА ООН A/RES/57/53 по международной информационной безопасности развивает положения предыдущих резолюций и указывает на недопустимость использования информационно-телекоммуникационных технологий и средств в целях оказания негативного воздействия на инфраструктуру государств. В декабре 2003 года Генассамблея ООН приняла резолюцию по информационной безопасности A/RES/58/32. Это решение переводит общеполитическое обсуждение проблематики международной информационной безопасности в плоскость поиска практических решений и запускает механизм формирования Группы правительственных экспертов государств - членов ООН. В документе "Вопросы, связанные с работой Группы правительственных экспертов по проблеме информационной безопасности", представлено российское видение организационнопрактических аспектов работы этой группы. Так, по мнению России, Группа правительственных экспертов могла бы сконцентрировать обсуждение на следующих ключевых моментах [2]: согласование понятийного аппарата в сфере международной информационной безопасности; рассмотрение факторов, влияющих на состояние международной информационной безопасности с учетом наличия угроз как террористического или криминального, так и военного характера; определение взаимоприемлемых мер, предотвращающих использование информационных технологий и средств в террористических и других преступных целях, а также мер по ограничению применения информационного оружия, прежде всего в отношении критически важных структур государств; рассмотрение возможных путей международного взаимодействия правоохранительных органов по предотвращению и пресечению правонарушений в информационном пространстве, в частности, по 131 выявлению источников информационной агрессии; анализ проблемы соединения национальных законодательств отдельных стран в части, регулирующей вопросы информационной безопасности с тем, чтобы обеспечить унифицированную классификацию правонарушений в сфере информационной безопасности и ответственность, возникающую в связи с совершением действий, классифицируемых как преступные; оценка возможности оказания международной помощи странам, ставшим жертвами информационных атак, с целью смягчения последствий нарушения нормальной деятельности, прежде всего, объектов критических инфраструктур государств. Основной идеей создания универсального режима международной информационной безопасности, по мнению Российской Федерации, могло бы стать обязательство государств не прибегать к действиям в информационном пространстве, целью которых является нанесение ущерба информационным сетям, системам, ресурсам и процессам другого государства, его инфраструктуре, подрыв политической, экономической и социальной систем, массированная психологическая обработка населения, с целью дестабилизации общества и государства. В соответствии с резолюциями ГА ООН в декабре 2003 года в Женеве прошла Всемирная встреча на высшем уровне по вопросам информационного общества. Эта встреча явилась первым международным форумом, на котором обсуждение вопросов, связанных с глобальными процессами информатизации, было поднято на самый высший политический уровень и состоялось в столь широком геополитическом масштабе в диалоге с представителями деловых кругов и гражданского общества. В саммите участвовало свыше 11 тысяч человек из 176 стран мира, включая представителей международных организаций. В ходе встречи информационная безопасность находилась в центре международного внимания. Одним из основных вопросов, обсуждавшихся на Всемирной встрече, были вопросы доверия и безопасности при использовании информационно-телекоммуникационных технологий. Речь шла о том, что преимущества, которые может предоставить использование информационно-телекоммуникационных технологий, в полной мере могут быть реализованы лишь в случае надежности и безопасности соответствующих технологий и сетей и отказа 132 от их использования в целях, несовместимых с задачами обеспечения международной стабильности и безопасности. В этой связи участники Всемирной встречи выразили опасение относительно того, что информационно-телекоммуникационные технологии могут оказывать негативное воздействие на безопасность государств и признали необходимость предотвращения использования информационных ресурсов или технологий для преступных или террористических целей. В качестве одной из мер, которые можно было бы предложить для решения проблем международной безопасности, участники назвали рассмотрение существующих и потенциальных угроз для безопасности информационных и коммуникационных сетей. Страныучастники согласились внести вклад в реализацию усилий ООН, направленных на оценку состояния информационной безопасности, а также рассмотрение вопроса о разработке, в долгосрочной перспективе, международной конвенции. Итогом Всемирной встречи стало принятие двух документов – Декларации принципов и Плана действий. Они охватывают различные аспекты формирования глобального информационного общества и базовые направления межгосударственного взаимодействия в этой сфере, включая создание и развитие информационно-коммуникационной инфраструктуры, безопасность при использовании информационно-телекоммуникационных систем, обеспечение доступа к информации, инфраструктуре и услугам на их базе [5]. Одним из принципов информационного общества, зафиксированных в Бухарестской декларации Общеевропейской конференции, стал принцип укрепления доверия и безопасности при использовании информационнотелекоммуникационных технологий. Он подразумевает разработку "глобальной культуры кибербезопасности", которая должна обеспечиваться путем принятия упреждающих мер и поддерживаться всем обществом при сохранении свободы передачи информации. Государства, принявшие участие в конференции в Бухаресте, пришли к пониманию того, что "информационно- телекоммуникационные технологии могут использоваться в целях, несовместимых с задачами обеспечения международной стабильности и безопасности, а также негативно воздействовать на целостность инфраструктуры внутри отдельных государств, нарушая их безопасность". Было принято решение также о 133 том, что необходимо "предотвращать использование информационных ресурсов или технологий в преступных или террористических целях". В Токио в январе 2003 года прошла Азиатская конференция, результатом которой стала разработка Токийской декларации. В этом документе, который приняли представители 47 стран, 22 международных и 116 неправительственных организаций, а также представители 54 частных компаний, выделены "приоритетные области действий" в области информационно-телекоммуникационных технологий. Важное место в их числе занимает вопрос обеспечения безопасности информационных технологий и средств. Признавая принцип справедливого, равного и адекватного доступа к информационно-телекоммуникационным технологиям для всех стран, особое внимание стороны полагают необходимым уделить угрозе потенциального военного использования ИТК. Страны - участники также согласились с необходимостью усилить региональное и международное сотрудничество с целью укрепления безопасности инфосферы. Впервые было высказано мнение о том, что эффективное обеспечение информационной безопасности может быть достигнуто не только технологически, но и организационно, для этого потребуются усилия по правовому регулированию вопроса и выработке соответствующих национальных политик. В результате анализа проделанной работы в направлении обеспечения международной информационной безопасности уже можно говорить о формировании международного информационного законодательства. Таким образом, современная ситуация характеризуется появлением нового “измерения” системы международной безопасности. 6.2. Международные организации в области информационной безопасности Для координации усилий в области обеспечения информационной безопасности в разных государствах образованы десятки коммерческих и некоммерческих объединений и организаций. Далее приведены несколько известных и авторитетных организаций разного рода деятельности, активно развивающих международное сотрудничество в сфере защиты информации. 134 Ассоциация аудита и контроля информационных систем – ISACA «Ассоциация аудита и контроля информационных систем» (Information Systems Audit and Control Association, ISACA), к 2006 году объединяющая более 47 000 членов в 110 странах мира, является одним из признанных мировых лидеров в области управления, контроля и аудита информационных технологий. Учрежденная в 1969 году, ISACA выступает организатором международных конференций, присваивает международные квалификации «Сертифицированный аудитор информационных систем» (Certified Information Systems Auditor - CISA) и «Сертифицированный менеджер информационной безопасности» (Certified Information Security Manager - CISM). Обладателями этих квалификаций уже являются более чем 35 000 профессионалов во всем мире. [www.isaca.ru] Сегодня ISACA объединяет широкую международную сеть филиалов в более чем 60 странах мира. Входящий в состав ISACA фонд (ISACF) проводит фундаментальные исследования в области разработки стандартов аудита и контроля информационных систем. ISACF активно проводит исследования, результаты которых полезны профессионалам в области аудита, контроля и безопасности информационных систем. Фонд также популяризирует важность контроля за информационными системами предприятий и организаций среди работников информационных технологий и пользователей информационных систем. В настоящее время ISACF работает над следующими проектами: Электронный бизнес: Контроль, аудит, безопасность. Частные виртуальные сети. Целостность информации. Беспроводные сети. ERP (SAP). OS/390: безопасность и контроль. Oracle Database: безопасность и контроль. Управление взаимоотношениями с клиентами. Практика контроля ИТ. Средства фонда складываются из средств, выделяемых компаниями, правительствами, членами и подразделениями ISACA, так как все они имеют общие интересы в данной области. 135 Учрежденный ассоциацией и фондом в 1998 году «Институт управления информационных технологий» является «базой знаний» по методикам управления развитием функции информационных технологий в организациях. Институт организует выступления на проводимых ISACA и схожих по тематике конференциях, готовит печатные и электронные публикации для популяризации роли и взаимодействий между информационными технологиями и руководством организаций. Одним из результатов работы фонда является методика Control objectives for Information and related Technology – CobIT, которая рассмотрена далее. Центр интернет-безопасности – CIS Центр Интернет-безопасности (Center for Internet Security - CIS) некоммерческое предприятие, задача которого состоит в том, чтобы помочь организациям во всем мире уменьшить риски потерь в электронной коммерции, следующих из неадекватных технических и организационных средств управления безопасностью. CIS предлагает методы эффективного управления организационными рисками, связанными с информационной безопасностью, и предоставляет средства улучшения, измерения и контроля уровня безопасности организации, а также позволяет сравнить его с практикой обеспечения безопасности информационных систем деловых партнеров. Члены CIS развивают и пропагандируют широкое распространение и использование средств и методик обеспечения безопасности в государственном и частном секторах экономики. Практические рекомендации CIS совместимы с известными стандартами безопасности и детализируют то, как обеспечивать безопасность информационных систем, активно использующих возможности Интернета и включающих большое количество рабочих мест, серверов, сетевых устройств, программных продуктов. Разработанный CIS инструментарий позволяет анализировать степень соответствия информационной системы этим рекомендациям. CIS не привязан ни к какому коммерческому продукту и не оказывает платных услуг. Это способствует ясной формулировке угроз безопасности, непредвзятости рекомендаций и методологий оценки рисков. 136 Рекомендации и утилиты для работы с ними доступны для бесплатной загрузки на официальном веб-ресурсе организации http:// www.cisecurity.org. Деятельность CIS может представлять интерес для: Пользователей сетевых и информационных технологий – частных лиц, компаний, университетов, правительственных служб, некоммерческих организаций, эффективность работы которых зависит от безопасных и надежных информационных систем. Аудиторов и консультантов по информационной безопасности, которые нуждаются в конкретных технических рекомендациях и инструментах оценки надежности сетей, а также в обмене опытом в этой области. Администраторов безопасности сетей, администраторов межсетевых экранов, специалистов по безопасности информационных систем, заинтересованных в гарантированной конфиденциальности, доступности и целостности доверенных им информационных активов. Операторов электронной коммерции, стремящихся к снижению потерь от киберпреступности и отказов в обслуживании. Страховых компаний, связанных с оценкой рисков и затрат связанных с нарушениями безопасности информационных систем. Инвесторов и потребителей, нуждающихся в информации о компаниях, организациях и сетях, в которых приняты соответствующие меры по обеспечению их безопасности и надежности. Интернет-союз информационной безопасности – ISAlliance Интернет-союз информационной безопасности (Internet security alliance, ISAlliance) - коммерческая ассоциация, предлагающая своим членам набор услуг по защите их информационных активов и корпоративной марки, правовой защите интересов в области информационной безопасности. Эти услуги варьируют от технических рекомендаций по безопасности вычислительных систем и сетей до комплексного управления информационными рисками корпорации. Основная цель ISAlliance – обеспечить максимальную отдачу от инвестиций своих членов в информационную безопасность. Членами ISAlliance являются компании многих стран мира, представляющие такие секторы экономики, как промышленность, финансы, развлечения, 137 телекоммуникации, сфера услуг, образование, и других. [http://www.isalliance.org] Основной сервис, предоставляемый ISAlliance – консультации по работе с CERT (международный центр обработки компьютерных инцидентов), подразумевающее своевременное реагирование на возникающие угрозы и зарегистрированные CERT новые уязвимости. В результате члены ISAlliance имеют возможность принимать меры безопасности на основе предложенных им рекомендаций, например, в случае вирусных эпидемий в Интернете. 6.3. Правовое регулирование сети Интернет Существует мнение о том, что Интернет, являясь абсолютно свободной средой общения, не подлежит никакому регулированию, а любые попытки такого регулирования со стороны государств или отдельных организаций часто воспринимаются болезненно, как посягательство на последний оплот свободы. Это заблуждение. Тот факт, что в определенных ситуациях право как важнейший регулятор общественных отношений не дает желаемого результата, еще не говорит о полном отсутствии или невозможности регулирования. В настоящее время деятельность общества и институтов государства осуществляется с использованием информационных и коммуникационных технологий (ИКТ), включая Интернет. Вместе с тем, во всем мире происходит замена парадигм: от решения задач развития процессов информатизации и внедрения ИКТ мир переходит к решению задачи построения информационного общества. Работает глобальный закон: количество переходит в качество. Всемирная встреча на высшем уровне по вопросам информационного общества, состоявшаяся 10-12 декабря 2003г. в Женеве, определила приоритеты и вектор развития законодательства в данной сфере в контексте глобальных процессов становления информационного общества. План действий, принятый на Всемирной встрече, предусматривает, что к 2005 году все страны должны разработать всеобъемлющие, перспективные и устойчивые национальные электронные стратегии. Ведущая роль в этом процессе должна принадлежать органам государственного управления. Частный 138 сектор и гражданское общество в диалоге с органами государственного управления должны сыграть важную консультативную роль в формировании национальных электронных стратегий [«Программа межрегионального международного сотрудничества в области связи и информатизации на 2004-2006 гг», Женева, 2003]. Еще до Всемирной встречи после событий 11 сентября 2001 года США начали разработку, а в 2003 году приняли Национальную стратегию обеспечения безопасности киберпространства, в которой в качестве стратегических целей указаны: предупреждение кибернападений на критические инфраструктуры США; уменьшение национальных уязвимостей к кибернападениям; минимизация ущерба и времени восстановления после кибернападений, если таковые произошли [21]. В странах Европы подобные стратегии пока не разработаны, но принята Европейская Конвенция по борьбе с киберпреступностью и определены основные направления развития технологий. Так, во Франции среди таких направлений называются: создание электронного правительства, так называемый «административный Интернет», демократизация доступа к праву, включающая информатизацию судов и доступ к правовой информации. Одним из элементов благоприятной среды для формирования и существования информационного общества в документах Всемирной встречи названа главенствующая роль права. Правовое регулирование отношений при осуществлении деятельности с использованием Интернета представляет собой глобальную комплексную проблему, требующую согласованных на межгосударственном уровне решений. В связи с этим трудно переоценить сам факт встречи на высшем уровне и вектор действий, который она наметила. Большую роль в подготовке этой встречи и принятии итоговых документов сыграла ЮНЕСКО, которая в течение нескольких лет приняла ряд важнейших международных актов: «Хартия о сохранении цифрового наследия». «Рекомендации о развитии и использовании многоязычия и всеобщем доступе к киберпространству». 139 «Руководящие принципы политики совершенствования информации, являющейся общественным достоянием, создаваемой государственными органами». «Рекомендация о доступе к информации, находящейся в распоряжении государственных ведомств». Контрольные вопросы: 1. Охарактеризуйте современные тенденции международного сотрудничества в области ИБ. 2. Назовите основные международные соглашения и нормативные документы в области ИБ. 3. Приведите примеры международных ассоциаций и союзов в сфере защиты информации. 4. Для решения каких задач создан Центр Интернетбезопасности? 5. Охарактеризуйте деятельность Ассоциации аудита и контроля информационных систем. 6. Какие услуги предоставляет Интернет-союз информационной безопасности? 7. Назовите основные направления международной деятельности по правовому регулированию сети Интернет. 140 ГЛАВА 7 СТАНДАРТЫ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ 7.1. Предпосылки создания международных стандартов ИБ 7.2. Стандарт «Критерии оценки надежности компьютерных систем» (Оранжевая книга) 7.3. Гармонизированные критерии европейских стран 7.4. Германский стандарт BSI 7.5. Британский стандарт BS 7799 7.6. Международный стандарт ISO 17799 7.7. Международный стандарт ISO 15408 «Общий критерий» 7.8. Стандарт COBIT 7.1. Предпосылки создания международных стандартов ИБ Проведение аудита информационной безопасности основывается на использовании многочисленных рекомендаций, которые изложены преимущественно в международных стандартах ИБ. Использование стандартов способствует решению следующих пяти задач. Во-первых, строго определяются цели обеспечения информационной безопасности компьютерных систем. Во-вторых, создается эффективная система управления информационной безопасностью. В-третьих, обеспечивается расчет совокупности детализированных не только качественных, но и количественных показателей для оценки соответствия информационной безопасности заявленным целям. В-четвертых, создаются условия применения имеющегося инструментария (программных средств) обеспечения информационной безопасности и оценки ее текущего состояния. Впятых, открывается возможность использования методик управления безопасностью с обоснованной системой метрик и мер обеспечения разработчиков информационных систем. Начиная с начала 80-х годов, были созданы десятки международных и национальных стандартов в области информационной 141 безопасности, которые в определенной мере дополняют друг друга. Далее будут рассмотрены наиболее известные стандарты по хронологии их создания: 1) Критерий оценки надежности компьютерных систем «Оранжевая книга» (США); 2) Гармонизированные критерии европейских стран; 3) Рекомендации Х.800; 4) Германский стандарт BSI; 5) Британский стандарт BS 7799; 6) Стандарт ISO 17799; 7) Стандарт «Общие критерии» ISO 15408; 8) Стандарт COBIT Эти стандарты можно разделить на два вида: Оценочные стандарты, направленные на классификацию информационных систем и средств защиты по требованиям безопасности; Технические спецификации, регламентирующие различные аспекты реализации средств защиты. Важно отметить, что между этими видами нормативных документов существует логическая взаимосвязь. Оценочные стандарты выделяют важнейшие, с точки зрения ИБ, аспекты ИС, играя роль архитектурных спецификаций. Другие технические спецификации определяют, как строить ИС предписанной архитектуры. Далее рассмотрены особенности этих стандартов. 7.2. Стандарт «Критерии оценки надежности компьютерных систем» («Оранжевая книга») Исторически первым оценочным стандартом, получившим широкое распространение и оказавшим огромное влияние на базу стандартизации ИБ во многих странах, стал стандарт Министерства обороны США «Критерии оценки доверенных компьютерных систем». Данный труд, называемый чаще всего по цвету обложки «Оранжевой книгой», был впервые опубликован в августе 1983 года. Уже одно его название требует комментария. Речь идет не о безопасных, а о 142 доверенных системах, то есть системах, которым можно оказать определенную степень доверия. «Оранжевая книга» поясняет понятие безопасной системы, которая «управляет, с помощью соответствующих средств, доступом к информации, так что только должным образом авторизованные лица или процессы, действующие от их имени, получают право читать, записывать, создавать и удалять информацию». Очевидно, однако, что абсолютно безопасных систем не существует, это абстракция. Есть смысл оценивать лишь степень доверия, которое можно оказать той или иной системе. В «Оранжевой книге» доверенная система определяется как «система, использующая достаточные аппаратные и программные средства, чтобы обеспечить одновременную обработку информации разной степени секретности группой пользователей без нарушения прав доступа». Следует отметить, что в рассматриваемых критериях и безопасность и доверие оцениваются исключительно с точки зрения управления доступом к данным, что является одним из средств обеспечения конфиденциальности и целостности информации. При этом вопросы доступности «Оранжевая книга» не затрагивает. Степень доверия оценивается по двум основным критериям [1]. 1. Политика безопасности – набор законов, правил и норм поведения, определяющих, как организация обрабатывает, защищает и распространяет информацию. В частности, правила определяют, в каких случаях пользователь может оперировать конкретными наборами данных. Чем выше степень доверия системе, тем строже и многообразнее должна быть политика безопасности. В зависимости от сформулированной политики можно выбирать конкретные механизмы обеспечения безопасности. Политика безопасности — это активный аспект защиты, включающий в себя анализ возможных угроз и выбор мер противодействия. 2. Уровень гарантированности – мера доверия, которая может быть оказана архитектуре и реализации ИС. Доверие безопасности может проистекать как из анализа результатов тестирования, так и из проверки (формальной или нет) общего замысла и реализации системы в целом и отдельных ее компонентов. Уровень гарантированности 143 показывает, насколько корректны механизмы, отвечающие за реализацию политики безопасности. Это пассивный аспект защиты. Основным средством обеспечения безопасности определяется механизм подотчетности (протоколирования). Доверенная система должна фиксировать все события, касающиеся безопасности. Ведение протоколов должно дополняться аудитом, то есть анализом регистрационной информации. Концепция доверенной вычислительной базы является центральной при оценке степени доверия безопасности. Доверенная вычислительная база – это совокупность защитных механизмов ИС (включая аппаратное и программное обеспечение), отвечающих за проведение в жизнь политики безопасности. Качество вычислительной базы определяется исключительно ее реализацией и корректностью исходных данных, которые вводит системный администратор. Рассматриваемые компоненты вне вычислительной базы могут не быть доверенными, однако это не должно влиять на безопасность системы в целом. В результате, для оценки доверия безопасности ИС авторы стандарта рекомендуют рассматривать только ее вычислительную базу. Основное назначение доверенной вычислительной базы – выполнять функции монитора обращений, то есть контролировать допустимость выполнения субъектами (пользователями) определенных операций над объектами (пассивными сущностями). Монитор проверяет каждое обращение пользователя к программам или данным на предмет согласованности с набором действий, допустимых для пользователя. Монитор обращений должен обладать тремя качествами: Изолированность. Необходимо предупредить возможность отслеживания работы монитора. Полнота. Монитор должен вызываться при каждом обращении, не должно быть способов обойти его. Верифицируемость. Монитор должен быть компактным, чтобы его можно было проанализировать и протестировать, будучи уверенным в полноте тестирования. Реализация монитора обращений называется ядром безопасности. Ядро безопасности – это основа, на которой строятся 144 все защитные механизмы. Помимо перечисленных свойств монитора обращений, ядро должно гарантировать собственную неизменность. Границу доверенной вычислительной базы называют периметром безопасности. Как уже указывалось, компоненты, лежащие вне периметра безопасности, вообще говоря, могут не быть доверенными. С развитием распределенных систем понятию «периметр безопасности» все чаще придают другой смысл, имея в виду границу владений определенной организации. То, что находится внутри владений, считается доверенным, а то, что вне, – нет. Согласно «Оранжевой книге», политика безопасности должна обязательно включать в себя следующие элементы [1]: произвольное управление доступом; безопасность повторного использования объектов; метки безопасности; принудительное управление доступом. Произвольное управление доступом – это метод разграничения доступа к объектам, основанный на учете личности субъекта или группы, в которую субъект входит. Произвольность управления состоит в том, что некоторое лицо (обычно владелец объекта) может по своему усмотрению предоставлять другим субъектам или отбирать у них права доступа к объекту. Безопасность повторного использования объектов – важное дополнение средств управления доступом, предохраняющее от случайного или преднамеренного извлечения конфиденциальной информации из «мусора». Безопасность повторного использования должна гарантироваться для областей оперативной памяти (в частности, для буферов с образами экрана, расшифрованными паролями и т.п.), для дисковых блоков и магнитных носителей в целом. Для реализации принудительного управления доступом с субъектами и объектами ассоциируются метки безопасности. Метка субъекта описывает его благонадежность, метка объекта – степень конфиденциальности содержащейся в нем информации. Согласно «Оранжевой книге», метки безопасности состоят из двух частей – уровня секретности и списка категорий. Уровни секретности образуют упорядоченное множество, а списки категорий – 145 неупорядоченное. Назначение последних – описать предметную область, к которой относятся данные. Принудительное (или мандатное) управление доступом основано на сопоставлении меток безопасности субъекта и объекта. Субъект может читать информацию из объекта, если уровень секретности субъекта не ниже, чем у объекта, а все категории, перечисленные в метке безопасности объекта, присутствуют в метке субъекта. В таком случае говорят, что метка субъекта доминирует над меткой объекта. Смысл сформулированного правила понятен – читать можно только то, что положено. Субъект может записывать информацию в объект, если метка безопасности объекта доминирует над меткой субъекта. В частности, «конфиденциальный» субъект может записывать данные в секретные файлы, но не может – в несекретные (разумеется, должны также выполняться ограничения на набор категорий). Описанный способ управления доступом называется принудительным, поскольку он не зависит от воли субъектов (даже системных администраторов). После того, как зафиксированы метки безопасности субъектов объектов, оказываются зафиксированными и права доступа. Если понимать политику безопасности как правила разграничения доступа, то механизм подотчетности является дополнением подобной политики. Цель подотчетности - в каждый момент времени знать, кто работает в системе и что делает. Средства подотчетности делятся на три категории: идентификация и аутентификация; предоставление доверенного пути; анализ регистрационной информации. Обычный способ идентификации – ввод имени пользователя при входе в систему. Стандартное средство проверки подлинности (аутентификации) пользователя - пароль. Доверенный путь связывает пользователя непосредственно с доверенной вычислительной базой, минуя другие, потенциально опасные компоненты ИС. Цель предоставления доверенного пути – дать пользователю возможность убедиться в подлинности обслуживающей его системы. 146 Анализ регистрационной информации (аудит) взаимодействует с событиями, так или иначе затрагивающими безопасность системы. Если фиксировать все события, то объем регистрационной информации, скорее всего, будет расти слишком быстро, а ее эффективный анализ станет невозможным. «Оранжевая книга» предусматривает наличие средств выборочного протоколирования, как в отношении пользователей (внимательно следить только за подозрительными), так и в отношении событий. Переходя к пассивным аспектам защиты, укажем, что в «Оранжевой книге» рассматривается два вида гарантированности - операционная и технологическая. Гарантированность – это мера уверенности с которой можно утверждать, что для воплощения в жизнь сформулированной политики безопасности выбран подходящий набор средств, и что каждое из этих средств правильно исполняет отведенную ему роль. Операционная гарантированность относится к архитектурным и реализационным аспектам системы, в то время как технологическая – к методам построения и сопровождения. Операционная гарантированность включает в себя проверку следующих элементов: архитектура системы; целостность системы; проверка тайных каналов передачи информации; доверенное администрирование; доверенное восстановление после сбоев. Операционная гарантированность – это способ убедиться в том, что архитектура системы и ее реализация действительно реализуют избранную политику безопасности. Технологическая гарантированность охватывает весь жизненный цикл системы, то есть периоды проектирования, реализации, тестирования, продажи и сопровождения. Все перечисленные действия должны выполняться в соответствии с жесткими стандартами, чтобы исключить утечку информации и нелегальные «закладки». Оформление документации является необходимым условием для подтверждения гарантии надежности системы и одновременно – инструмент проведения политики безопасности. Без документации люди не будут знать, какой политике следовать и что для этого нужно делать. 147 Согласно "Оранжевой книге", в комплект документации надежной системы должны входить следующие тома: Руководство пользователя по средствам безопасности. Руководство администратора по средствам безопасности. Тестовая документация. Описание архитектуры. Разумеется, на практике требуется еще по крайней мере один том - Письменное изложение политики безопасности данной организации. Руководство пользователя по средствам безопасности предназначено для обычных, непривилегированных людей. Оно должно содержать сведения о механизмах безопасности и способах их использования. Руководство должно давать ответы по крайней мере на следующие вопросы: Как входить в систему? Как вводить имя и пароль? Как менять пароль? Как часто это нужно делать? Как выбирать новый пароль? Как защищать файлы и другую информацию? Как задавать права доступа к файлам? Из каких соображений это нужно делать? Как импортировать и экспортировать информацию, не нарушая правил безопасности? Как уживаться с системными ограничениями? Почему эти ограничения необходимы? Какой стиль работы сделает ограничения необременительными? Руководство администратора по средствам безопасности предназначено и для системного администратора, и для администратора безопасности. В Руководстве освещаются вопросы начального конфигурирования системы, перечисляются текущие обязанности администратора, анализируется соотношения между безопасностью и эффективностью функционирования. Типичное оглавление Руководства администратора включает в себя следующие пункты: Каковы основные защитные механизмы? Как администрировать средства идентификации и аутентификации? В частности, как заводить новых пользователей и удалять старых? Как администрировать средства произвольного управления доступом? Как защищать системную информацию? Как обнаруживать слабые места существующей системы защиты? Как администрировать средства протоколирования и аудита? Как выбирать регистрируемые события? Как анализировать результаты? Как администрировать средства принудительного управления 148 доступом? Какие уровни секретности и категории выбрать? Как назначать и менять метки безопасности? Как генерировать новую, переконфигурированную надежную вычислительную базу? Как безопасно запускать систему и восстанавливать ее после сбоев и отказов? Как организовать резервное копирование? Как разделить обязанности системного администратора и оператора? Тестовая документация содержит описания тестов и их результаты. По идее она проста, но зачастую весьма пространна. Кроме того, тестовая документация должна содержать план тестирования и условия, налагаемые на тестовое окружение. Описание архитектуры в данном контексте должно включать в себя сведения о внутреннем устройстве надежной вычислительной базы. Вообще говоря, это описание должно быть формальным, допускающим автоматическое сопоставление с политикой безопасности на предмет соответствия требованиям последней. Объем описания архитектуры может оказаться сопоставимым с объемом исходных текстов программной реализации системы. Классы безопасности. В рассматриваемом стандарте определены подходы к ранжированию информационных систем по степени надежности. В "Оранжевой книге" рассматривается четыре уровня безопасности (надежности) — D, С, В и А. [1] Эти классы безопасности обозначают следующее: D1 – неудовлетворительная безопасность; С1, С2 – произвольное управление доступом; В1, В2, В3 – принудительное управление доступом; А1 – верифицированная защита. По мере перехода от уровня С к А к надежности систем предъявляются все более жесткие требования. Уровни С и В подразделяются на классы (С1, С2, В1, В2, ВЗ) с постепенным возрастанием надежности. Таким образом, всего практически используются шесть классов безопасности – С1, С2, В1, В2, ВЗ, А1. Чтобы система в результате процедуры сертификации могла быть отнесена к некоторому классу, ее политика безопасности и гарантированность должны удовлетворять приводимым далее требованиям. Поскольку при переходе к каждому следующему классу 149 требования только добавляются, то дополнительно вписываются только новые, что присуще данному классу, группируя требования в согласии с предшествующим изложением. Каждый класс безопасности включает набор требований с учетом элементов политики безопасности и требований к гарантированности. Так, для класса С1 требования предусматривают следующее: – С учетом политики безопасности: Надежная вычислительная база должна управлять доступом именованных пользователей к именованным объектам. Механизм управления (права для владельца/группы/прочих, списки управления доступом) должен позволять пользователям специфицировать разделение файлов между индивидами и/или группами; Пользователи должны идентифицировать себя, прежде чем выполнять какие-либо иные действия, контролируемые надежной вычислительной базой. Для аутентификации должен использоваться какой-либо защитный механизм, например пароли. Аутентификационная информация должна быть защищена от несанкционированного доступа; – С учетом гарантированности: Надежная вычислительная база должна поддерживать область, защищенную от внешних воздействий (в частности, от изменения команд и/или данных) и от попыток слежения за ходом работы. Ресурсы, контролируемые базой, могут составлять определенное подмножество всех субъектов и объектов системы. Должны быть в наличии аппаратные и/или программные средства, позволяющие периодически проверять корректность функционирования аппаратных и микропрограммных компонентов надежной вычислительной базы. Защитные механизмы должны быть протестированы на предмет соответствия их поведения системной документации. Тестирование должно подтвердить, что у неавторизованного пользователя нет очевидных способов обойти или разрушить средства защиты надежной вычислительной базы. Отдельный фрагмент документации (глава, том) должен описывать защитные механизмы, предоставляемые надежной 150 вычислительной базой, и их взаимодействие между собой, содержать рекомендации по их использованию. Руководство должно содержать сведения привилегиях, которыми управляет системный посредством механизмов безопасности. о функциях и администратор Разработчик системы должен представить экспертному совету документ, содержащий план тестов, процедуры прогона тестов и результаты тестов. Должны быть описаны подход к безопасности, используемый производителем, и применение этого подхода при реализации надежной вычислительной базы. Если база состоит из нескольких модулей, то должен быть описан интерфейс между ними. Аналогично документируются требования к каждому классу, который определяет набор конкретных оценок надежности компьютерных систем. Однако следует отметить, что описанный подход был ориентирован на оценку отдельных программно-технических комплексов, поэтому в 1987 году Национальным центром компьютерной безопасности США была дополнительно опубликована интерпретация «Оранжевой книги» для сетевых конфигураций [1]. 7.3. Гармонизированные критерии европейских стран Следуя по пути интеграции, европейские страны приняли согласованные критерии оценки безопасности информационных технологий (Information Technology Security Evaluation Criteria, ITSEC), опубликованные в июне 1991 года от имени соответствующих органов четырех стран – Франции, Германии, Нидерландов и Великобритании. Выгода от использования согласованных критериев очевидна для всех – и для производителей, и для потребителей, и для самих органов сертификации. Европейские критерии включают следующие основные составляющие информационной безопасности: конфиденциальность, то есть защиту от несанкционированного получения информации; 151 целостность, то есть защиту от несанкционированного изменения информации; доступность, то есть защиту от несанкционированного удержания информации и ресурсов. В критериях проводится различие между системами и продуктами. Система – это конкретная аппаратно-программная конфигурация, построенная с вполне определенными целями и функционирующая в известном окружении. Продукт – это аппаратно-программный "пакет", который можно купить и по своему усмотрению встроить в ту или иную систему. Таким образом, с точки зрения информационной безопасности, основное отличие между системой и продуктом состоит в том, что система имеет конкретное окружение, которое можно определить и изучить сколь угодно детально, а продукт должен быть рассчитан на использование в различных условиях. Угрозы безопасности системы носят вполне конкретный и реальный характер. Относительно угроз продукту можно лишь строить предположения. Разработчик может специфицировать условия, пригодные для функционирования продукта; дело покупателя – обеспечить выполнение этих условий. Из практических соображений важно обеспечить единство критериев оценки продуктов и систем, например, чтобы облегчить и удешевить оценку системы, составленной из ранее сертифицированных продуктов. В этой связи для систем и продуктов вводится единый термин – объект оценки. В соответствующих местах делаются оговорки, какие требования относятся исключительно к системам, а какие – только к продуктам. Каждая система и/или продукт предъявляет свои требования к обеспечению конфиденциальности, целостности и доступности. Чтобы удовлетворить эти требования, необходимо предоставить соответствующий набор функций (сервисов) безопасности, таких как идентификация и аутентификация, управление доступом или восстановление после сбоев. Сервисы безопасности реализуются посредством конкретных механизмов. Чтобы объект оценки можно было признать надежным, необходима определенная степень уверенности в наборе функций и механизмов безопасности. Степень уверенности в предлагаемом стандарте называется гарантированностью. Гарантированность может быть 152 большей или меньшей в зависимости от тщательности проведения оценки. Гарантированность затрагивает два аспекта – эффективность и корректность средств безопасности. При проверке эффективности анализируется соответствие между целями, сформулированными для объекта оценки, и имеющимся набором функций безопасности. Точнее говоря, рассматриваются вопросы адекватности функциональности, взаимной согласованности функций, простоты их использования, а также возможные последствия эксплуатации известных слабых мест защиты. Кроме того, в понятие эффективности входит способность механизмов защиты противостоять прямым атакам (мощность механизма). Определяются три градации мощности – базовая, средняя и высокая. Они определяют следующее: Базовый – способность противостоять отдельным случайным атакам; Средний – способность противостоять злоумышленникам с ограниченными ресурсами и возможностями; Высокий – механизм может быть побежден только злоумышленником высокой квалификации с набором возможностей и ресурсов, выходящих за пределы практичности. В критериях вводят термин – корректность, под которой понимается правильность реализации функций и механизмов безопасности. Используется семь возможных уровней гарантированности корректности – от Е0 до Е6 (в порядке возрастания). Уровень Е0 обозначает гарантированное отсутствие (аналог уровня D "Оранжевой книги"). При проверке корректности анализируется весь жизненный цикл объекта оценки – от проектирования до эксплуатации и сопровождения. Общая оценка системы складывается из минимальной мощности механизмов безопасности и уровня гарантированности корректности. Теоретически эти два аспекта независимы, хотя на практике нет смысла проверять правильность реализации "по высшему разряду", если механизмы безопасности не обладают даже средней мощностью. В европейских критериях средства, имеющие отношение к информационной безопасности, рассматриваются на трех уровнях детализации. Наиболее абстрактный взгляд касается лишь целей 153 безопасности. На этом уровне получают ответ на вопрос, зачем нужны функции безопасности. Второй уровень содержит спецификации функций безопасности. Здесь определяется, какая функциональность на самом деле обеспечивается. Наконец, на третьем уровне содержится информация о механизмах безопасности. Таким образом, показывается декларированная функциональность анализируемой системы. Спецификации функций безопасности – важнейшая часть описания объекта оценки. Критерии рекомендуют выделить в этих спецификациях разделы со следующими заголовками [1]: Идентификация и аутентификация. Управление доступом. Точность информации. Надежность обслуживания. Обмен данными. Под идентификацией и аутентификацией понимается не только проверка подлинности пользователей в узком смысле, но и функции для регистрации новых пользователей и удаления старых, а также функции для генерации, изменения и проверки аутентификационной информации, в том числе средства контроля целостности. Сюда же относятся функции для ограничения числа повторных попыток аутентификации. Средства управления доступом также трактуются европейскими критериями достаточно широко. В этот раздел попадают, помимо прочих, функции, обеспечивающие временное ограничение доступа к совместно используемым объектам с целью поддержания целостности этих объектов – мера, типичная для систем управления базами данных. В этот же раздел попадают функции для управления распространением прав доступа и для контроля за получением информации путем логического вывода и агрегирования данных (что также типично для Систем управления базами данных (СУБД)). Под точностью в критериях понимается поддержание определенного соответствия между различными частями данных (точность связей) и обеспечение неизменности данных при передаче между процессами (точность коммуникаций). Точность выступает как один из аспектов целостности информации. 154 Функции надежности обслуживания должны гарантировать, что действия, критичные по времени, будут выполнены ровно тогда, когда нужно – не раньше и не позже, и что некритичные действия нельзя перевести в разряд критичных. Должна быть гарантия, что авторизованные пользователи за разумное время получат запрашиваемые ресурсы. Сюда же относятся функции для обнаружения и нейтрализации ошибок, необходимые для минимизации простоев, а также функции планирования, позволяющие гарантировать время реакции на внешние события. К области обмена данными относятся функции, обеспечивающие коммуникационную безопасность, то есть безопасность данных, передаваемых по каналам связи. 7.4. Германский стандарт BSI В 1998 году в Германии вышло "Руководство по защите информационных технологий для базового уровня". Руководство представляет собой гипертекст объемом около 4 МБ (в формате HTML). В дальнейшем оно было оформлено в виде германского стандарта BSI. В его основе лежит общая методология и компоненты управления информационной безопасностью [1]: Общий метод управления информационной безопасностью (организация менеджмента в области ИБ, методология использования руководства). Описания компонентов современных информационных технологий. Основные компоненты (организационный уровень ИБ, процедурный уровень, организация защиты данных, планирование действий в чрезвычайных ситуациях). Инфраструктура (здания, помещения, кабельные сети, организация удаленного доступа). Клиентские компоненты различных типов (DOS, Windows, UNIX, мобильные компоненты, прочие типы). Сети различных типов (соединения «точка-точка», сети Novell NetWare, сети с OC ONIX и Windows, разнородные сети). Элементы систем передачи данных (электронная почта, модемы, межсетевые экраны и т.д.). Телекоммуникации (факсы, автоответчики, интегрированные системы на базе ISDN, прочие телекоммуникационные системы). 155 Стандартное ПО. Базы данных. Описания основных компонентов организации режима информационной безопасности (организационный и технический уровни защиты данных, планирование действий в чрезвычайных ситуациях, поддержка непрерывности бизнеса). Характеристики объектов информатизации (здания, помещения, кабельные сети, контролируемые зоны). Характеристики основных информационных активов компании (в том числе аппаратное и программное обеспечение, например рабочие станции и сервера под управлением операционных систем семейства DOS, Windows и UNIX). Характеристики компьютерных сетей на основе различных сетевых технологий, например сети Novell NetWare, сети UNIX и Windows). Характеристика активного и пассивного телекоммуникационного оборудования ведущих вендоров, например Cisco Systems. Подробные каталоги угроз безопасности и мер контроля (более 600 наименований в каждом каталоге). Все виды угроз в стандарте BSI разделены на следующие классы: Форс-мажорные обстоятельства. Недостатки организационных мер. Ошибки человека. Технические неисправности. Преднамеренные действия. Аналогично классифицированы контрмеры: Улучшение инфраструктуры; Административные контрмеры; Процедурные контрмеры; Программно-технические контрмеры; Уменьшение уязвимости коммуникаций; планирование действий в чрезвычайных ситуациях. Все компоненты рассматриваются и описываются по следующему плану: 1) общее описание; 2) возможные сценарии угроз безопасности (перечисляются применимые к данной компоненте угрозы из каталога угроз безопасности); 156 3) возможные контрмеры (перечисляются применимые к данной компоненте угрозы из каталога угроз безопасности); 7.5. Британский стандарт BS 7799 Британский институт стандартов (BSI) при участии коммерческих организаций, таких как Shell, National Westminster Bank, Midland Bank, Unilever, British Telecommunications, Marks & Spencer, Logica и др. разработал стандарт информационной безопасности, который в 1995 г. был принят в качестве национального стандарта BS 7799 управления информационной безопасностью организации вне зависимости от сферы деятельности компании. В соответствии с этим стандартом любая служба безопасности, IT отдел, руководство компании должны начинать работать согласно общему регламенту. Неважно, идет речь о защите бумажного документооборота или электронных данных. В настоящее время Британский стандарт BS 7799 поддерживается в 27 странах мира, в числе которых страны Британского Содружества, а также Швеция и Нидерланды. В 2000 г. международный институт стандартов ISO на базе британского BS 7799 разработал и выпустил международный стандарт менеджмента безопасности ISO / IEC 17799. Сегодня можно утверждать, что BS 7799 и ISO 17799 это один и тот же стандарт, имеющий на сегодняшний день мировое признание и статус международного стандарта ISO. Вместе с тем, следует отметить первоначальное содержание стандарта BS 7799, который до настоящего времени используется в ряде стран. Он состоит из двух частей. В "Части 1: Практические рекомендации" (1995г.) определяются и рассматриваются следующие аспекты ИБ: Политика безопасности. Организация защиты. Классификация и управление информационными ресурсами. Управление персоналом. Физическая безопасность. Администрирование компьютерных систем и сетей. Управление доступом к системам. 157 Разработка и сопровождение систем. Планирование бесперебойной работы организации. Проверка системы на соответствие требованиям ИБ. "Часть 2: Спецификации системы" (1998г) рассматривает эти же аспекты с точки зрения сертификации информационной системы на соответствие требованиям стандарта. Она определяет возможные функциональные спецификации корпоративных систем управления информационной безопасностью с точки зрения их проверки на соответствие требованиям первой части данного стандарта. В соответствии с положениями этого стандарта также регламентируется процедура аудита информационных корпоративных систем. Дополнительные рекомендации для управления информационной безопасностью содержат руководства Британского института стандартов – British Standards Institution(BSI) http://www.bsi-giobal.com/, изданные в период 1995-2003 в виде следующей серии: Введение в проблему управления информационной безопасности – Information security managment: an introduction. Возможности сертификации на требования стандарта BS 7799 Preparing for BS 7799 sertification. Руководство BS 7799 по оценке и управлению рисками -Guide to BS 7799 risk assessment and risk management. Готовы ли вы к аудиту на требования стандарта BS 7799-Are you ready for a BS 7799 audit? Руководство для проведения аудита на требования стандарта -BS 7799Guide to BS 7799 auditing. Практические рекомендации по управлению безопасностью информационных технологий -Code of practice for IT management. Сегодня общими вопросами управления информационной безопасности компаний и организаций, а также развитием аудита безопасности на требования стандарта BS 7799 занимаются международный комитет Joint Technical Committee ISO/IEC JTC 1 совместно с Британским Институтом Стандартов- British Standards Institution(BSI) – (www.bsi-global.com), и в частности служба UKAS (United Kingdom Accredited Service). Названная служба производит аккредитацию организаций на право аудита информационной безопасностью в соответствии со стандартом BS ISO/IEC 7799:2000 (BS 158 7799-1:2000). Сертификаты, выданные этими органами, признаются во многих странах [1]. Отметим, что в случае сертификации компании по стандартам ISO 9001 или ISO 9002 стандарт BS ISO/IEC 7799:2000 (BS 7799-1:2000) разрешает совместить сертификацию системы информационной безопасности с сертификацией на соответствие стандартам ISO 9001 или 9002 как на первоначальном этапе, так и при контрольных проверках. Для этого необходимо выполнить условие участия в совмещенной сертификации зарегистрированного аудитора по стандарту BS ISO/IEC 7799:2000 (BS 7799-1:2000). При этом в планах совместного тестирования должны быть четко указаны процедуры проверки системы информационной безопасности, а сертифицирующие органы должны гарантировать тщательность проверки информационной безопасности. 7.6. Международный стандарт ISO 17799 Одним из наиболее развитых и широко используемых во всех странах мира стал международный стандарт ISO 17799. Code of Practice for Information Security Management (Практические рекомендации по управлению безопасностью информации). ISO 17799 был разработан на основе британского стандарта BS 7799 и принят в 2000 году. ISO 17799 может использоваться в качестве критериев для оценки механизмов безопасности организационного уровня, включая административные, процедурные и физические меры защиты. Практические правила разбиты на следующие 10 разделов: 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. Политика безопасности. Организация защиты. Классификация ресурсов и их контроль. Безопасность персонала. Физическая безопасность объекта. Администрирование компьютерных систем и вычислительных сетей. Управление доступом. Разработка и сопровождение информационных систем. Планирование бесперебойной работы организации. Контроль выполнения требований политики безопасности. 159 Десять средств контроля, предлагаемых в ISO 17799 (они обозначены как ключевые), считаются особенно важными. Под средствами контроля в данном контексте понимаются механизмы управления информационной безопасностью организации. При использовании некоторых из средств контроля, например шифрования данных, могут потребоваться советы специалистов по безопасности и оценка рисков, чтобы определить, нужны ли они и каким образом их следует реализовывать. Для обеспечения более высокого уровня защиты особенно ценных ресурсов или оказания противодействия особенно серьезным угрозам безопасности, в ряде случаев могут потребоваться более сильные средства контроля, которые выходят за рамки ISO 17799. Десять ключевых средств контроля, перечисленные далее, представляют собой либо обязательные требования, например требования действующего законодательства, либо считаются основными структурными элементами информационной безопасности, например обучение правилам безопасности. Эти средства контроля актуальны для всех организаций и сред функционирования АС и составляют основу системы управления информационной безопасностью. Ключевыми являются следующие средства контроля: документ о политике информационной безопасности; распределение обязанностей по обеспечению информационной безопасности; обучение и подготовка персонала к поддержанию режима информационной безопасности; уведомление о случаях нарушения защиты; средства защиты от вирусов; планирование бесперебойной работы организации; контроль над копированием программного обеспечения, защищенного законом об авторском праве; защита документации организации; защита данных; контроль соответствия политике безопасности. Процедура аудита безопасности ИС включает в себя проверку наличия перечисленных ключевых средств контроля, оценку полноты и правильности их реализации, а также анализ их адекватности рискам, 160 существующим в данной среде функционирования. Составной частью работ по аудиту безопасности ИС также является анализ и управление рисками. 7.7. Международный стандарт ISO 15408 – «Общие критерии» Международный стандарт ИСО/МЭК 15408-99 (исторически сложившееся название – «Общие критерии») представляет собой наиболее удачный результат обобщения опыта различных государств по разработке и практическому использованию критериев оценки безопасности информационных технологий (ИТ). Базовые документы, которые легли в основу «Общих критериев», и связи между ними представлены на рис 3.1. Анализ развития нормативной базы оценки безопасности ИТ позволяет понять те мотивационные посылки, которые привели к созданию «Общих критериев». Базовые документы «ОРАНЖЕВАЯ КНИГА» (TCSEC),1985 Великобритания. «Уровни уверенности»,1989 «Германские критерии» «Французские критерии» «Кандидатские критерии», 1993 «Федеральные критерии». Рабочая версия, 1993 ITSEC, 1991 «Общие критерии». Версия 1.0, 1996. Версия 2.0, 1998. Версия 2.1, 1999. Рис. 7.1. Предыстория «Общих критериев» 161 Общие критерии оценки безопасности информационных технологий (далее «Общие критерии») определяют функциональные требования безопасности (security functional requirements) и требования к адекватности реализации функций безопасности (security assurance requirements). При проведении работ по анализу защищенности ИС, «Общие критерии» целесообразно использовать в качестве основных критериев, позволяющих оценить уровень защищенности ИС с точки зрения полноты реализованных в ней функций безопасности и надежности реализации этих функций. Хотя применимость «Общих критериев» ограничивается механизмами безопасности программно-технического уровня, в них содержится также определенный набор требований к механизмам безопасности организационного уровня и требований по физической защите, которые непосредственно связаны с описываемыми функциями безопасности. Разработка этого стандарта преследовала следующие основные цели: унификация национальных стандартов в области оценки безопасности ИТ; повышение уровня доверия к оценке безопасности ИТ; сокращение затрат на оценку безопасности ИТ на основе взаимного признания сертификатов. Новые критерии были призваны обеспечить взаимное признание результатов стандартизованной оценки безопасности на мировом рынке ИТ. Первая часть «Общих критериев» содержит определение общих понятий, концепции, описание модели и методики проведения оценки безопасности ИТ. В ней вводится понятийный аппарат и определяются принципы формализации предметной области. Требования к функциональности средств защиты приводятся во второй части «Общих критериев» и могут быть непосредственно использованы при анализе защищенности для оценки полноты реализованных в ИС функций безопасности. Третья часть «Общих критериев», наряду с другими требованиями к адекватности реализации функций безопасности, содержит класс 162 требований по анализу уязвимостей средств и механизмов защиты под названием AVA: Vulnerability Assessment. Данный класс требований определяет методы, которые должны использоваться для предупреждения, выявления и ликвидации следующих типов уязвимостей: наличие побочных каналов утечки информации; ошибки в конфигурации, либо неправильное использование системы, приводящее к переходу системы в небезопасное состояние; недостаточная надежность (стойкость) механизмов безопасности, реализующих соответствующие функции безопасности; наличие уязвимостей («дыр») в средствах защиты информации, позволяющих пользователям получать НСД к информации в обход существующих механизмов защиты. При проведении работ по аудиту безопасности данные требования могут использоваться в качестве руководства и критериев для анализа уязвимостей ИС [1]. Основными отличительными чертами «Общих критериев» (ОК) являются: наличие определенной методологии и системы формирования требований и оценки безопасности ИТ. Системность прослеживается начиная от терминологии и уровней абстракции представления требований и кончая их использованием при оценке безопасности на всех этапах жизненного цикла изделий ИТ; общие критерии, которые характеризуются наиболее полной на сегодняшний день совокупностью требований безопасности ИТ; четкое разделение требований безопасности на функциональные требования и требования доверия к безопасности. Функциональные требования относятся к сервисам безопасности (идентификации, аутентификации, управлению доступом, аудиту и т.д.), а требования доверия – к технологии разработки, тестированию, анализу уязвимостей, эксплуатационной документации, поставке, сопровождению, то есть ко всем этапам жизненного цикла изделий ИТ; общие критерии, включающие шкалу доверия к безопасности (оценочные уровни доверия к безопасности), которая может использоваться для формирования различных уровней уверенности в безопасности продуктов ИТ; 163 систематизация и классификация требований по иерархии «класс – семейство – компонент – элемент» с уникальными идентификаторами требований, которые обеспечивают удобство их использования; компоненты требований в семействах и классах, которые ранжированы по степени полноты и жесткости, а также сгруппированы в пакеты требований; гибкость в подходе к формированию требований безопасности для различных типов изделий ИТ и условий их применения обеспечиваемые возможностью целенаправленного формирования необходимых наборов требований в виде определенных в ОК стандартизованных структурах (профиля защиты и заданий по безопасности); общие критерии обладают открытостью для последующего наращивания совокупности требований. По уровню систематизации, полноте и возможностям детализации требований, универсальности и гибкости в применении ОК представляют наиболее совершенный из существующих в настоящее время стандартов. Причем, что очень важно, в силу особенностей построения он имеет практически неограниченные возможности для развития, представляет собой не функциональный стандарт, а методологию задания, оценки и каталог требований безопасности ИТ, который может наращиваться и уточняться. В определенном смысле роль функциональных стандартов выполняют профили защиты, которые формируются с учетом рекомендаций и каталога требований ОК, но могут включать и любые другие требования, которые необходимы для обеспечения безопасности конкретного изделия или типа изделий ИТ. 7.8. Стандарт COBIT Аудит информационной безопасности представляет собой независимую экспертизу отдельных областей функционирования организации. Различают внешний и внутренний аудит. Внешний аудит – это, как правило, разовое мероприятие, проводимое по инициативе руководства организации или акционеров. Рекомендуется проводить внешний аудит регулярно, а для многих финансовых организаций и акционерных обществ это является обязательным требованием со 164 стороны их учредителей и акционеров. Внутренний аудит представляет собой непрерывную деятельность, которая осуществляется на основании «Положения о внутреннем аудите» и в соответствии с планом, подготовка которого осуществляется подразделениями службы безопасноти и утверждается руководством организации [1]. Целями проведения аудита безопасности являются: анализ рисков, связанных с возможностью осуществления угроз безопасности в отношении ресурсов; оценка текущего уровня защищенности ИС; локализация узких мест в системе защиты ИС; оценка соответствия ИС существующим стандартам в области информационной безопасности; выработка рекомендаций по внедрению новых и повышению эффективности существующих механизмов безопасности ИС. Вопросами аудита информационной безопасности в настоящее время занимаются различные аудиторные компании, фирмы организации, многие из которых входят в состав государственных и негосударственных ассоциаций. Наиболее известной международной организацией занимающейся аудитом информационных систем является ISACA, по инициативе которой была разработана концепция по управлению информационными технологиями в соответствии с требованиями ИБ. На основе этой концепции описываются элементы информационной технологии, даются рекомендации по организации управления и обеспечению режима информационной безопасности. Концепция изложена в документе под названием COBIT 3rd Edition (Control Objectives for Information and Related Technology - Контрольные объекты информационной технологии), который состоит из четырех частей часть 1 – краткое описание концепции (Executive Summary); часть 2 – определения и основные понятия (Framework). Помимо требований и основных понятий, в этой части сформулированы требования к ним; часть 3 – спецификации управляющих процессов и возможный инструментарий (Control Objectives); часть 4 – рекомендации по выполнению аудита компьютерных информационных систем (Audit Guidelines). 165 Третья часть этого документа в некотором смысле аналогична международному стандарту BS 7799. Примерно так же подробно приведены практические рекомендации по управлению информационной безопасностью, но модели систем управления в сравниваемых стандартах сильно различаются. Стандарт COBIT - пакет открытых документов, первое издание которого было опубликовано в 1996 году. COBIT описывает универсальную модель управления информационной технологией, представленную на рис. 7.2. Кратко основная идея стандарта COBIT выражается следующим образом: все ресурсы информационной системы должны управляться набором естественно сгруппированных процессов для обеспечения компании необходимой и надежной информацией. В модели COBIT присутствуют ресурсы информационных технологий (IT), являющиеся источником информации, которая используется в бизнес-процессе. Информационная технология должна удовлетворять требованиям бизнеспроцесса. Эти требования сгруппированы следующим образом. Во-первых, требования к качеству технологии составляют показатели качества и стоимости обработки информации, характеристики ее доставки получателю. Показатели качества подробно описывают возможные негативные аспекты, которые в обобщенном виде входят в понятия целостности и доступности. Кроме того, в эту группу включаются показатели, относящиеся к субъективным аспектам обработки информации, например стиль, удобство интерфейсов. Характеристики доставки информации получателю – показатели, в обобщенном виде входящие в показатели доступности и частично – конфиденциальности и целостности. Рассмотренная система показателей, во-первых, используется при управлении рисками и оценке эффективности информационной технологии, во-вторых, доверие к технологии – группа показателей, описывающих соответствие компьютерной информационной системы принятым стандартам и требованиям, достоверность обрабатываемой в системе информации, ее действенность. В-третьих, показатели информационной безопасности – конфиденциальность, целостность и доступность обрабатываемой в системе информации. 166 М1 Мониторинг происходящих процессов М2 Адекватность управления М3 Контроль независимого оборудования М4 Обеспечение независимого аудита Бизнес задачи COBIT РО1 Стратегический план развития ИС РО2 Архитектура ИС РО3 Определение технологического направления РО4 Определение организационной структуры ИС РО5 Управление инвестициями РО6 Цели и задачи руководства РО7 Пользователи и обслуживающий персонал РО8 Законодательные и нормативные акты РО9 Учет и анализ рисков РО10 Управление проектами РО11 Управление качеством Критерии оценки Мониторинг Управление Контроль Эффективность Технический уровень Безопасность Целостность Пригодность Согласованность Надежность Планирование и организация Ресурсы ИС Людские ресурсы Приложения Технологии Оборудование Данные Функционирование и обслуживание DS1 Уровни обслуживания DS2 Услуги организаций DS3 Управление исполнением DS4 Непрерывность обслуживания DS5 Безопасность информации в ИС DS6 Определение и учет затрат DS7 Обучение пользователей DS8 Помощь обслуживающему персоналу DS9 Конфигурация элементов ИС DS10 Разрешение проблем и инцидентов DS11 Работа, передача, хранение и защита данных DS12 Безопасность работы DS13 Проведение и документирование работ Комплектация и внедрение А1 Технологические решения А2 Прикладное ПО А3 Инфраструктура А4 Процедуры А5 Установка и аккредитация ИС А6 Оценка эффективности Рис. 7.2. Структура стандарта COBIT 167 В стандарте COBIT выделены следующие этапы проведения аудита. Подписание договорной и исходно-разрешительной документации. На этом этапе определяются ответственные лица со стороны заказчика и аудиторской компании, устанавливаются рамки проведения аудита, указываются контролируемые элементы информационной системы, составляется и согласовывается необходимая документация. По результатам предварительного аудита всей информационной системы проводится углубленная проверка подозрительных с точки зрения проводимых аудитом компонентов системы. Сбор информации с применением стандарта COBIT, который в данном случае регламентирует состав объектов контроля исследуемой системы. Степень детализации описания объектов контроля определяется на этапе разработки исходно-разрешительной документации. При этом стараются добиться оптимального соотношения между временными, стоимостными и прочими затратами на получение исходных данных и их важностью для целей исследования. Диапазон представления исходных данных изменяется от бинарных ответов типа ДА/НЕТ до развернутых отчетов. Основное требование, предъявляемое к информации, – это ее полезность, то есть информация должна быть понятной, уместной (относящейся к делу) и достоверной (надежной). Анализ исходных данных проводится только с учетом достоверных исходных данных. Требования к проведению анализа определяются на этапе сбора исходных данных. Стандарт COBIT рекомендует применять описанные в стандарте методики анализа данных, но при необходимости допускается использование разрешенных ISACA разработок других членов ассоциации. На этапе анализа возможен возврат к этапу сбора информации для получения недостающих исходных данных. Выработка рекомендаций. Полученные в результате проведенного анализа рекомендации после предварительного согласования с заказчиком обязательно должны быть проверены на выполнимость и актуальность с учетом рисков внедрения. Стандарт COBIT рекомендует оформлять рекомендации отчетом о текущем состоянии информационных систем, техническом задании на внесение изменений, отчетом о проведенном аудите. Результаты проведения аудита можно разделить на три условные группы: организационные, технические и методологические. Каждая из названных групп направлена на 168 улучшение организационного, технического или методологического обеспечения информационной системы. К организационной группе относятся оценки стратегического планирования, общего управления и инвестиций в информационную систему, рекомендации, способствующие повышению конкурентоспособности компании, снижению затрат на обслуживание информационной системы, результаты проверки соответствия информационной системы решаемым бизнес-задачам, снижение стоимости эксплуатации информационной системы, управление рисками, проектами, выполняемыми в рамках информационных систем и некоторые другие. Техническая группа результатов позволяет лучше понять проблемы информационных систем и разработать пути их решения с минимальными затратами, оценить технологические решения, реализовать весь потенциал новых технологий, системно решить вопросы безопасности, осуществить профессиональный прогноз функционирования и необходимости модернизации информационных систем, повысить эффективность функционирования информационной системы, определить уровень обслуживания информационных систем. Методологические результаты позволяют предоставить апробированные подходы к стратегическому планированию и прогнозированию, оптимизации документооборота, повышению трудовой дисциплины, обучению администраторов и пользователей информационных систем, получению своевременной и объективной информации о текущем состоянии информационной системы компании. Контроль за выполнением рекомендаций подразумевает постоянное отслеживание аудиторской компанией выполнения заказчиком рекомендацией. Подписание отчетных актов приемки работы с планом-графиком проведения последующих проверок, разработкой такой дополнительной документации, как долгосрочные и краткосрочные планы развития ИС, план восстановления информационной системы в чрезвычайных ситуациях, порядок действий при нарушении защиты, концепция политики безопасности. Постоянное проведение аудита гарантирует работоспособность системы, поэтому создание плана-графика проведения последующих проверок является одним из условий проведения профессионального аудита. Любая работающая информационная технология в модели COBIT проходит следующие стадии жизненного цикла: 169 Планирование и организация работы. На этой стадии определяется стратегия и тактика развития информационных технологий в интересах достижения основных целей бизнеса, а затем решаются вопросы реализации: построение архитектуры системы, решение технологических и организационных задач, обеспечение финансирования и т.д. Всего на этой стадии выделяется 11 основных задач[1]. Приобретение и ввод в действие. Выбранные на этой стадии решения должны быть документально оформлены и спланированы. Выделяется 6 основных задач, решаемых на данной стадии. Поставка и поддержка. Выделяется 13 основных задач данной стадии, предназначенных обеспечить эксплуатацию информационной технологии [10]. Мониторинг. За процессами информационной технологии необходимо наблюдать и контролировать соответствие их параметров выдвинутым требованиям. Выделяется 4 основные задачи, решаемые на данной стадии. Всего в стандарте COBIT выделяется 34 задачи верхнего уровня обработки информации (рис. 7.2). Кроме традиционных свойств информации – конфиденциальности, целостности и доступности, – в модели дополнительно используются еще 4 свойства – действенность, эффективность, соответствие формальным требованиям и достоверность. Эти свойства не являются независимыми, поскольку частично связаны с первыми тремя. Но их использование объясняется соображениями удобства интерпретации результатов. Применение стандарта COBIT возможно как для проведения аудита ИС организации, так и для изначального проектирования ИС. Обычный вариант прямой и обратной задач. Если в первом случае – это соответствие текущего состояния ИС лучшей практике аналогичных организаций и предприятий, то в другом – изначально верный проект и, как следствие, по окончании проектирования – ИС, стремящаяся к идеалу. На базовой блок-схеме COBIT (рис. 7.2.) отражена последовательность, состав и взаимосвязь базовых групп. Бизнеспроцессы (в верхней части схемы) предъявляют свои требования к 170 ресурсам ИС, которые анализируются с использованием критериев оценки COBIT на всех этапах построения и проведения аудита. Четыре базовые группы (домена) содержат в себе тридцать четыре подгруппы, которые, в свою очередь, состоят из трехсот двух объектов контроля (в данной работе не рассматриваются). Объекты контроля предоставляют аудитору всю достоверную и актуальную информацию о текущем состоянии ИС. Отличительные черты COBIT: 1. Большая зона охвата (все задачи от стратегического планирования и основополагающих документов до анализа работы отдельных элементов ИС). 2. Перекрестный аудит (перекрывающиеся зоны проверки критически важных элементов). 3. Адаптируемый, наращиваемый стандарт. Основными преимуществами COBIT перед другими аналогичными стандартами является то, что он позволяет использовать любые разработки производителей аппаратно-программного обеспечения и анализировать полученные данные, не изменяя общие подходы и собственную структуру. Представленная на рис 7.3 блок-схема отражает, хотя и не в деталях, ключевые точки проведения аудита ИС с использованием стандарта COBIT. Рассмотрим их подробнее. На этапе подготовки и подписания исходно-разрешительной документации определяются границы проведения аудита ИБ: Границы аудита ИБ определяются критическими точками ИС (элементами ИС), в которых наиболее часто возникают проблемные ситуации. На основании результатов предварительного аудита всей ИС (в первом приближении) проводится углубленный аудит выявленных проблем. В это же время создается команда проведения аудита, определяются ответственные лица со стороны заказчика. Создается и согласовывается необходимая документация. ЛВС WAN Объекты контроля (302) Подгруппы (34) COBIT Сбор информации Детальный уровень Г руппы (4) Контроль за выполнением рекомендаций Отчет о текущем состоянии ИС Техническое задание на внесение изменений Отчет о проведенном аудите Рекомендации COBIT Форма отчета COBIT Глобальный уровень Анализ COBIT Объекты контроля COBIT Анализ Выработка рекомендаций План- график проведения последующих проверок Долгосрочный план развития ИС Краткосрочные планы План– график Методология цикла работы и доездка ИС План восстановления ИС в ЧС Порядок действия в случае нарушения защиты Концепция построения политики безопасности Разработка дополнительной документации Подписание отчета, актов приемки работ Определение сроков последующих проверок Рис. 7.3. Общая последовательность проведения аудита ИБ Собеседование, бланки, шаблоны и т.д. СКС Договор Техническое задание (определяющее границы проведения аудита) Ответственные лица и контакты Подписание договорной и исходно -разрешительной документации Получение дополнительных данных Проверка выполнимости рекомендаций Плановое проведение аудита 171 172 Далее проводится сбор информации о текущем состоянии ИС с применением стандарта COBIT, объекты контроля которого получают информацию обо всех нюансах функционирования ИС как в двоичной форме (Да/Нет), так и форме развернутых отчетов. Детальность информации определяется на этапе разработки исходноразрешительной документации. Существует определенный оптимум между затратами (временными, стоимостными и т.д.) на получение информации и ее важностью и актуальностью. Проведение анализа – наиболее ответственная часть проведения аудита ИС. Использование при анализе недостоверных, устаревших данных недопустимо, поэтому необходимо уточнение данных, углубленный сбор информации. Требования к проведению анализа определяются на этапе сбора информации. Методики анализа информации существуют в стандарте COBIT, но если их не хватает не возбраняется использовать разрешенные ISACA разработки других компаний. Результаты проведенного анализа являются базой для выработки рекомендаций, которые после предварительного согласования с заказчиком должны быть проверены на выполнимость и актуальность с учетом рисков внедрения. Контроль выполнения рекомендаций – немаловажный этап, требующий непрерывного отслеживания представителями консалтинговой компании хода выполнения рекомендаций. На этапе разработки дополнительной документации проводится работа, направленная на создание документов, отсутствие или недочеты в которых могут вызвать сбои в работе ИС, например отдельное углубленное рассмотрение вопросов обеспечения безопасности ИС. Постоянное проведение аудита гарантирует стабильность функционирования ИС, поэтому создание плана-графика проведения последующих проверок является одним из результатов профессионального аудита. 173 Контрольные вопросы: 1. С какой целью разрабатывались международные стандарты ИБ? 2. Назовите основные международные стандарты ИБ. 3. Какие критерии определяют степень доверия в стандарте «Оранжевая книга»? 4. Определите назначения и виды классов безопасности в «Оранжевой книге». 5. Как определяются составляющие ИБ в гармозированных критериях Европейских стран. 6. Назовите составляющие германского стандарта BSI. 7. Почему Британский стандарт BS 7799 используется наиболее часто? 8. В чем отличие применения международных стандартов ISO 15408 и ISO 17799? 9. Назовите основные этапы проведения аудита ИБ при использовании стандарта CoBiT. 174 ГЛАВА 8 СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ В ВЕДУЩИХ МИРОВЫХ КОМПАНИЯХ 8.1. Практика компании IBM в области защиты информации 8.2. Практика компании Cisco Systems в разработке сетевой политики безопасности 8.3. Практика компании Microsoft в области информационной безопасности 8.1. Практика компании IBM в области защиты информации В компании IBM считается что, разработка корпоративных руководящих документов в области безопасности должна начинаться с создания политики информационной безопасности компании. При этом рекомендуется использовать международный стандарт ISO 17799:2005 и рассматривать политику безопасности компании как составную часть процесса управления информационными рисками (рис. 8.1). Считается, что разработка политики безопасности относится к стратегическим задачам ТОР-менеджмента компании, который способен адекватно оценить стоимость информационных активов компании и принять обоснованные решения по защите информации с учетом целей и задач бизнеса [12]. Предотвращение Анализ рисков Защита Политика безопасности Минимизация последствий План действий в чрезвычайных ситуациях Риск Остаточные риски Рис. 8.1. Процесс разработки политики безопасности компании Компания IBM выделяет следующие основные этапы разработки политики безопасности: 175 1. Определение информационных рисков компании, способных нанести максимальный ущерб для разработки в дальнейшем процедур и мер по предупреждению их возникновения, 2. Разработка политики безопасности, которая описывает меры защиты информационных актинов, адекватных целям и задачам бизнеса. 3. Выработка планов действий в чрезвычайных ситуациях и в случаях, когда выбранные меры защиты не смогли предотвратить инциденты в области безопасности. 4. Оценка остаточных информационных рисков и принятие решения о дополнительных инвестициях в средства и меры безопасности. Решение принимает руководство на основе анализа остаточных рисков. Структура документов безопасности По мнению специалистов IBM, политика безопасности компании должна содержать явный ответ на вопрос: «Что требуется защитить?». Только после этого можно приступать к созданию эффективной политики информационной безопасности. При этом политика безопасности является первым стратегическим документом, который необходимо создать, и содержит минимум технических деталей, являясь настолько статичным (неизменяемым) актом, насколько это возможно. Предполагается, что политика безопасности компании будет содержать: определение информационной безопасности с описанием позиции и намерений руководства компании по ее обеспечению; описание требований по безопасности, которые включают: соответствие требованиям законодательства и контрактных обязательств; обучение вопросам информационной безопасности; предупреждение и обнаружение вирусных атак; планирование непрерывности бизнеса; определение ролей и обязанностей по различным аспектам общей программы информационной безопасности; описание требований и процесса отчетности по инцидентам, связанным с информационной безопасностью; описание процесса поддержки политики безопасности, 176 Стандарты Процедуры Стандарты Процедуры Стандарты Процедуры Процедуры Статичность Корпоративная политика безопасности Технические детали Специалисты по информационной безопасности компании IBM выделяют следующие основные этапы разработки политики безопасности компании: анализ бизнес-стратегии компании и связанные с этим требования по информационной безопасности; анализ ИТ-стратегии, текущие проблемы информационной безопасности и требования по информационной безопасности, которые появятся в будущем; создание политики безопасности, взаимно увязанной с бизнес - и ИТ-стратегиями. Рекомендуемая структура руководящих документов по обеспечению информационной безопасности компании представлена на рис. 8.2. Рис. 8.2. Структура руководящих документов безопасности После корпоративной политики создаётся серия стандартов, под которыми в компании IBM понимают документы, описывающие порядок применения корпоративной политики безопасности в терминах аутентификации, авторизации, идентификации, контроля доступа и т. д. Стандарты могут быть часто изменяющимися документами, так как на них оказывают влияние текущие угрозы и уязвимости информационных технологий. В представлении IВМ, политики и стандарты безопасности служат для: создания правил и норм безопасности уровня компании; анализа информационных рисков и способов их уменьшения; 177 формализации способов защиты, которые должны быть реализованы; определения ожиданий со стороны компании и сотрудников; четкого определения процедур безопасности, которым нужно следовать; обеспечения юридической поддержки в случае возникновения проблем в области безопасности. Стандарты реализуются с помощью практик и/или процедур. Первые являются практической реализацией стандартов в операционных системах, приложениях и информационных системах. В них детализируются сервисы, устанавливаемые на операционных системах, порядок создания учетных записей и т. д. Вторые документируют процессы запроса и подтверждения доступа к определенным сервисам, например VPN. Рассмотрим особенности предлагаемого подхода к построению системы безопасности в компании IВМ на конкретном примере. 1. Проблемная ситуация: сотрудники загружают программное обеспечение из Интернета, что приводит к заражению вирусами, а в конечном счете к уменьшению производительности их работы. 2. В политику безопасности добавляется строка «информационные ресурсы компании могут быть использованы только для выполнения служебных обязанностей». Политика безопасности доступна для ознакомления всем сотрудникам компании. 3. Создается стандарт безопасности, в котором описывается, какие сервисы и программное обеспечение разрешены для использования сотрудниками. 4. Практика безопасности описывает способы настройки операционной системы в соответствии с требованиями стандарта безопасности. 5. Процедура безопасности описывает процесс запроса и получения разрешения на использование дополнительных сервисов или установку дополнительного программного обеспечения сотрудниками. 6. Устанавливаются дополнительные сервисы для контроля выполнения требований политики безопасности. 178 8.2. Практика компании Cisco Systems в разработке сетевой политики безопасности По мнению специалистов по информационной безопасности компании Cisco, отсутствие сетевой политики безопасности может привести к серьезным инцидентам. Ее разработку рекомендуется начинать с оценки рисков сети и создания рабочей группы по реагированию на инциденты. В компании Cisco рекомендуют создавать политики использования, которые описывают роли и обязанности сотрудников компании для надлежащей защиты корпоративной конфиденциальной информации. Начать можно с разработки главной политики безопасности, в которой четко нужно прописать общие цели и задачи организации режима информационной безопасности компании. Следующий шаг - создание политики допустимого использования для партнеров, чтобы проинформировать их о доступной им информации. При этом следует четко изложить любые действия, которые будут восприниматься как враждебные, а также описать возможные способы реагирования при обнаружении таких действий. В заключение необходимо создать политику допустимого использования для администраторов, где будут описаны процедуры администрирования учетных записей сотрудников, внедрения политики и проверки привилегий. Также, если в компании существуют определенные политики использования паролей или категорирования информации, они должны быть здесь упомянуты. Далее необходимо проверить названные политики на непротиворечивость и полноту, а также убедиться в том, что сформулированные требования к администраторам нашли свое отображение в планах по обучению. Проведение анализа рисков информационной безопасности. Назначение анализа рисков состоит в том, чтобы категорировать информационные активы компании, определить наиболее значимые угрозы и уязвимости активов и обоснованно выбрать соответствующие контрмеры безопасности. Подразумевается, что это позволит найти и поддерживать приемлемый баланс между безопасностью и требуемым уровнем доступа к сети. Различают следующие уровни информационных рисков [12]: Низкий уровень риска. Скомпрометированные информационные 179 системы и данные (доступные для изучения неавторизованными лицами, поврежденные или утерянные) не приведут к серьезному ущербу, финансовым проблемам или к проблемам с правоохранительными органами. Средний уровень риска. Скомпрометированные информационные системы и данные приведут к умеренному ущербу или к небольшим проблемам с правоохранительными органами, или к умеренным финансовым проблемам, а также к получению дальнейшего доступа к другим системам. Затронутые системы и информация требуют умеренных усилий по восстановлению. Высокий уровень риска. Скомпрометированные информационные системы и данные приведут к значительному ущербу или к серьезным проблемам с правоохранительными органами, или к финансовым проблемам, нанесению ущерба здоровью и безопасности сотрудников. Затронутые системы и информация требуют существенных усилий по восстановлению. Рекомендуется определить уровень риска для каждого из перечисленных устройств: сетевых устройств, устройств мониторинга сети, серверов аутентификации, почтовых серверов, файловых серверов, серверов сетевых приложений (DNS и DHCP), сервера баз данных (Oracle, MS SQL Server), персональных компьютеров и других устройств. При этом считается, что сетевое оборудование, такое как коммутаторы, маршрутизаторы, DNS- и DHCP-серверы в случае компрометации могут быть использованы для дальнейшего проникновения в сеть и поэтому должны относиться к группе среднего или высокого уровней рисков. Возможное повреждение этих устройств может привести к прекращению работы всей сети. Такие инциденты могут нанести серьезный ущерб компании. После определения уровней риска необходимо определить роли пользователей этих систем. Рекомендуется выделять пять наиболее общих типов пользователей. Администраторы. Внутренние пользователи, отвечающие за сетевые ресурсы. Привилегированные пользователи. Внутренние пользователи с необходимостью высокого уровня доступа. Рядовые пользователи. Внутренние пользователи с обычным уровнем доступа. 180 Партнеры. Внешние пользователи с необходимостью доступа к некоторым ресурсам. Другие. Внешние пользователи или клиенты. Определение уровней рисков и типов доступа, требуемых для каждой сети, позволяет сформировать некоторую матрицу безопасности (рис 8.3). Эта матрица безопасности является стартовой точкой для дальнейших шагов по обеспечению безопасности, например таких, как создание соответствующей стратегии по ограничению доступа к сетевым ресурсам. Система Описание Уровень риска Типы пользователей ATM-коммутаторы Основные сетевые устройства Высокий Администраторы для конфигурирования (только персонал поддержки]; все другие для использования в качестве транспорта Сетевые маршрутизаторы Сетевые устройства распределения Высокий Администраторы для конфигурирования (только персонал поддержки); все другие для использования в качестве транспорта Коммутаторы доступа Сетевые устройства доступа Средний Администраторы для конфигурирования (только персонал поддержки); все другие для использования в качестве транспорта ISDN или dial up сервера Сетевые устройства доступа Средний Администраторы для конфигурирования (только персонал поддержки); партнеры и привилегированные пользователи для специального доступа Межсетевые экраны Сетевые устройства доступа Высокий Администраторы для конфигурирования (только персонал поддержки]; все другие для использования а качестве транспорта Серверы DNS и DHCP Сетевые приложения Средний Администраторы для конфигурирования; пользователи для повседневного использования Внешние почтовые серверы Сетевое приложение Низкий Администраторы для конфигурирования; все другие как транспорт для передачи почты между Интернетом и внутренним почтовым сервером Внутренний почтовый сервер Сетевое приложение Средний Администраторы для конфигурирования; все другие для повседневного использования Сетевое приложение Средний или высокий Сервер базы данных Oracle Администраторы для конфигурирования; привилегированные пользователи для обновления информации; сотрудники компании для доступа к информации; все остальные имеют частичный доступ к информации Рис. 8.3. Матрица безопасности Cisco Определение состава и структуры группы сетевой безопасности. Специалистами по защите информации компании Cisco Systems рекомендуется создать группу сетевой безопасности под руководством менеджера по безопасности с представителями из каждой значимой бизнес-единицы компании (минимум - из представителей бизнес-единиц развития, исполнения и производства и/или продаж). Члены группы должны хорошо знать политику' безопасности и технические аспекты защищаемых систем и сетей. Часто это требует дополнительного 181 обучения сотрудников названной группы. Группа безопасности должна принимать участие в разработке политики безопасности, организации режима информационной безопасности, а также своевременно реагировать на инциденты в области информационной безопасности компании. Процесс сопровождения политик безопасности заключается в контроле и при необходимости пересмотре политик безопасности компании. Как минимум, необходим ежегодный пересмотр политики безопасности и проведение анализа рисков. На практике группа сетевой безопасности должна проводить анализ рисков, подтверждать запросы на проведение изменений в системе безопасности, проводить мониторинг оповещений о появлении новых уязвимостей с использованием списков рассылок вендоров и независимых аналитических центров, например CERT или SANS, и поддерживать соответствие требованиям политики безопасности с помощью определенных технических и организационных мер. Так как нарушения безопасности часто обнаруживаются во время проведения мониторинга сети, члены группы сетевой безопасности должны участвовать в расследовании инцидентов и предупреждению подобных нарушений в дальнейшем. Каждый член группы безопасности должен обладать хорошими знаниями в области прикладного, системного и сетевого программного и аппаратного обеспечения систем безопасности. При этом рекомендуется определить индивидуальные роли и обязанности каждого члена группы сетевой безопасности. Предупреждение нарушений политики безопасности компании. Под предупреждением нарушений компания Cisco понимает подтверждение изменений в системах безопасности и мониторинг безопасности сети. Изменения в системах безопасности могут быть определены как изменения в сетевом оборудовании, которые могут иметь потенциальное воздействие на состояние безопасности сети. Политика безопасности компании должна определять специфические требования конфигурации безопасности, описанные не техническими терминами. Другими словами, вместо формулировки «Не разрешены внешние ftpсоединения во внутреннюю сеть» лучше воспользоваться определением «Внешние соединения не должны быть способны получать файлы из внутренней сети». При этом желательно стремиться к 182 определению уникальных требований компании. Использование стандартных шаблонов обеспечения безопасности и настроек по умолчанию в подходе компании Cisco настоятельно не рекомендуется. Группа сетевой безопасности просматривает описанные общедоступным языком требования и определяет соответствие технического дизайна и настроек элементов сети этим требованиям. Если выявляются несоответствия, группа безопасности вносит необходимые изменения в сетевую конфигурацию для выполнения требований политики безопасности, при этом группой сетевой безопасности могут контролироваться не все изменения. Важно просмотреть те из них, которые наиболее значимы и существенны для сети компании в плане безопасности, например: любые изменения в конфигурации межсетевых экранов; любые изменения в списках контроля доступа; любые изменения в конфигурации SNMP; любые изменения или обновления программного обеспечения, версии которого отличаются от разрешенного списка версий программного обеспечения. Компания Cisco рекомендует следовать следующим правилам: регулярно изменять пароли на сетевых устройствах; ограничить доступ к сетевым устройствам согласно утвержденному списку сотрудников; гарантировать, что текущая версия программного обеспечения сетевого и серверного оборудования соответствует требованиям безопасности. В добавление к этим правилам необходимо включить представителя группы сетевой безопасности в постоянно действующую комиссию компании по утверждению изменений для отслеживания всех изменений, происходящих в сети компании. Представитель группы безопасности может запретить реализацию любого изменения, связанного с безопасностью, до тех пор, пока это изменение не будет разрешено руководителем группы сетевой безопасности. Мониторинг сетевой безопасности фокусируется на обнаружении изменений в сети, позволяющих определить нарушение безопасности. Отправной точкой мониторинга безопасности является определение понятия нарушения безопасности. Анализ угроз и информационных рисков позволяет сделать выводы о требуемом уровне полноты 183 мониторинга безопасности сети компании. В дальнейшем при проведении процесса утверждения изменений безопасности каждый раз проверяется значимость выявленных угроз сети. Оценивание этих угроз определяет объекты и частоту мониторинга. Так, в матрице анализа рисков межсетевой экран определен как устройство с высоким уровнем риска. Это означает, что мониторинг межсетевого экрана выполняется постоянно в режиме реального времени. Из раздела подтверждения изменений безопасности следует, что необходимо отслеживать все изменения в настройках конфигурации межсетевого экрана, то есть SNMP-агент должен отслеживать такие события, как отвергнутые попытки регистрации, необычный трафик, изменения на межсетевом экране, предоставление доступа к межсетевому экрану и установление соединений через межсетевой экран. Следуя этому примеру, можно создать политику мониторинга для каждого компонента сети, определенного при проведении анализа рисков. Рекомендуется проводить мониторинг компонентов сети с низким уровнем риска еженедельно, со средним уровнем риска ежедневно, с высоким уровнем риска раз в час. При этом, если требуется более быстрое время реагирования, необходимо уменьшить названные промежутки времени. Важно также определить в политике безопасности порядок уведомления членов группы сетевой безопасности о нарушениях. Как правило, средства мониторинга безопасности сети будут первыми автономно обнаруживать нарушения. Должна быть предусмотрена возможность отправки по любым доступным каналам связи уведомлений в центр реагирования на инциденты в области безопасности для оперативного оповещения членов группы сетевой безопасности. Реагирование на нарушения политики безопасности. Под реагированием на нарушения безопасности здесь понимается определение нарушений безопасности, порядка восстановления и пересмотра правил безопасности. При обнаружении нарушения безопасности важно своевременно отреагировать и оперативно восстановить нормальное функционирование сервисов сети. Главное правило - своевременное оповещение группы сетевой безопасности после обнаружения нарушения. Если оно не выполняется, реагирование будет замедлено, а, следовательно, последствия вторжения окажутся более тяжелыми, поэтому необходимо раз- 184 работать соответствующую процедуру реагирования и оповещения действенную 24 часа в день, 7 дней в неделю. Далее необходимо четко определить уровень привилегий по внесению изменений, а также порядок внесения изменений. Здесь возможны следующие корректирующие действия: реализация изменений для предупреждения дальнейшего распространения нарушения; изолирование поврежденных систем; взаимодействие с провайдером для отслеживания источника атаки; использование записывающих устройств для сбора доказательств; отключение поврежденных систем или источников атаки; обращение в правоохранительные органы или федеральные агентства; выключение поврежденных систем; восстановление систем в соответствии со списком приоритетности; уведомление руководства и юристов компании. Необходимо детализировать любые изменения в политике безопасности, которые могут быть произведены без необходимости получения разрешения от руководства. Отметим, что существует две основных причины сбора и хранения информации об атаках: для определения последствий реализации атаки и для расследования и преследования злоумышленников. Тип информации и способ ее сбора зависит от этих целей. Для определения последствий нарушения безопасности рекомендуется проделать следующие шаги: зафиксировать инцидент с помощью записи сетевою трафика, снятия копий файлов журналов, активных учетных записей и сетевых подключений; ограничить дальнейшие нарушения путем отключения учетных записей, отсоединения сетевого оборудования от локальной сети и от Интернета; провести резервное копирование скомпрометированных систем для проведения детального анализа повреждений и метода атаки; попытаться найти другие подтверждения компрометации (часто при компрометации системы оказываются затронутыми другие системы и учетные записи); хранить и просматривать файлы журналов устройств безопасности 185 и сетевого мониторинга, так как они часто являются ключом к определению метода атаки. В случае необходимости проведения юридических действий, следует уведомить руководство компании и привлечь обслуживающих компанию юристов для сбора соответствующих доказательств. Если нарушение было внутренним, потребуется привлечь сотрудников отдела кадров. Восстановление работоспособности сервисов сети компании является конечной целью процедуры реагирования на нарушения в области безопасности. Здесь необходимо определить порядок восстановления доступности сервисов, например с помощью процедур резервного копирования. При этом надо учитывать, что каждая система имеет для этого собственные механизмы, поэтому политика безопасности, являясь общей для всех элементов сети, при необходимости должна позволять детализировать условия восстановления конкретного элемента. Если требуется получить разрешение на восстановление, необходимо описать порядок получения разрешения в политике безопасности. Пересмотр политики безопасности является заключительным этапом ее жизненного цикла. Здесь важно обратить внимание на следующие аспекты. Политика безопасности должна быть «жизнеспособным» документом, адаптированным к изменяющимся условиям. Сравнение существующей политики безопасности с лучшими практиками в этой области и последующий пересмотр политики должны поддерживать в состоянии защищенность активов сети. Необходимо регулярно обращаться на сайты различных независимых аналитических центров, например CERT или SANS, за полезными советами и рекомендациями по обеспечению безопасности и учитывать их в поддерживаемой политике безопасности компании. Также рекомендуется проводить аудит безопасности сети силами консалтинговых компаний, обладающих опытом таких работ. Для сетей с высокими требованиями к доступности информационных ресурсов рекомендуется проведение, как минимум, ежегодного независимого аудита безопасности. Кроме того, достаточно эффективны и внутренние тренировки, направленные на отработку действий в чрезвычайных ситуациях. 186 8.3. Практика компании Microsoft в области информационной безопасности Компания Microsoft обладает сложной корпоративной инфраструктурой, которая состоит из 5 тысяч серверов Windows Server 2003 (из них 800 серверов приложений). В штате компании работает более 55 тысяч сотрудников. Сотрудники очень хорошо подготовлены технически, и 95% из них обладают администраторскими полномочиями на своих компьютерах. Более 300 тысяч компьютеров компании, на которых используется более 1600 приложений, расположены в 400 представительствах по всему миру. В сеть компании ежедневно поступает приблизительно 8 миллионов почтовых сообщений извне, и приблизительно 6,5 миллионов почтовых сообщений циркулирует ежедневно в сети самой компании, доступ к которой имеют 30 тысяч партнеров. Уникальная инфраструктура по разработке продуктов, тестированию и поддержке, исходный код продуктов требуют особой защиты. Ежемесячно осуществляется свыше 100 тысяч попыток вторжения в сеть компании. В почтовую систему ежемесячно поступает свыше 125 тысяч почтовых сообщений, зараженных вирусами (примерно 800 новых вирусов в день) и 2,4 миллиона почтовых сообщений со спамом ежедневно. Обязанность по обеспечению информационной безопасности в Microsoft возложена на две группы: Corporate Security Group и Operations and Technology Group. Компания Microsoft разработала стратегию безопасности, состоящую из четырех основных компонентов: миссии корпоративной безопасности; принципов операционной безопасности: модели принятия решений, основанной на анализе рисков; тактической приоритезации деятельности по уменьшению рисков. Фундаментом для дизайна, разработки и работы защищенных систем являются принципы безопасности, разделенные на несколько категорий (рис.8.4). 187 Категория Принцип безопасности Организационная Направлена на получение поддержки со стороны руководства по управлению рисками и на ознакомление с вопросами безопасности Управление рисками в соответствии с задачами бизнеса Определение ролей и обязанностей Инвестиции в дизайн защищенности Обеспечение безопасности операций Пользователи и данные Включает аутентификацию, защиту данных пользователей, авторизацию Управление принципом наименьших привилегий Классификация данных и их использование Внедрение защиты данных и идентичности пользователя Защита информации Гарантия целостности данных Мониторинг гарантии идентичности Доступность Разработка приложений и систем Выделена для дизайна и разработки защищенных систем Встраивание безопасности в жизненный цикл Дизайн «многоуровневой защиты» Уменьшение поверхности атаки Сохранение простоты использования План по поддержке систем Операции и сопровождение Внедрение защищенных конфигураций Объединение людей, процессов и Мониторинг и журналирование технологий для построения, поддержки и Практика реагирования на инциденты использования защищенных систем Проверка процедур восстановления в случае аварии Рис. 8.4. Классификация принципов ИБ Для обеспечения информационной безопасности Corporate Security Group использует управление информационными рисками, под которым здесь понимается процесс определения, оценки и уменьшения рисков на постоянной основе. Управление рисками безопасности позволяет найти разумный баланс между стоимостью средств/мер защиты и требованиями бизнеса. Модель управления рисками Corporate Security Group представляет собой комбинацию различных подходов, таких как количественный анализ рисков, анализ возврата инвестиций в безопасность, качественный анализ рисков, а также подходы лучших практик. Для реализации этого подхода Corporate Security Group разработала структуру, которая основана на традиционной модели управления информационными рисками. Инвестирование в процесс управления риском с цельной структурой и определенными ролями и обязанностями готовит организацию к определению приоритетов, планированию уменьшения 188 угрозы и переход к следующей угрозе или уязвимости. Для наилучшего управления рисками Corporate Security Group следует традиционному подходу по управлению рисками, состоящему из четырех этапов: • оценки информационных рисков (выполнение методологии оценки рисков для определения величины риска); • политики безопасности (разработка политики безопасности по уменьшению, уклонению и предупреждению рисков); • внедрения средств защиты (объединение сотрудников, процессов и технологий для уменьшения рисков, основанных на анализе соотношения цена/качество); • аудита безопасности и измерения текущей защищенности (мониторинг, аудит безопасности и измерение защищенности информационных систем компании). Как видно из рис. 8.5, разработка политики безопасности является одним из этапов по управлению информационными рисками. Разработка политики безопасности Оценка рисков Этапы управления рисками Аудит безопасности Внедрение средств защиты Рис. 8.5. Этапы управления рисками Методология, используемая при разработке политики, базируется на Стандарте ISO 17799:2002 (BS 7799). Рекомендуемая Microsoft политика безопасности включает в себя: 189 определение целей безопасности; важность обеспечения безопасности; определение требуемого уровня безопасности; стандарты безопасности, включая стратегии их мониторинга и аудита; роли и ответственность по обеспечению безопасности; цели и задачи офицера по безопасности; определение процессов по защите индивидуальных компонентов архитектуры; определение требуемого обучения вопросам безопасности. Примерами декларируемых целей безопасности являются: достижение максимально возможного уровня качества, надежности и конфиденциальности информации; сохранение репутации компании; недопущение повреждения или утери информации, процессов, собственности компании и обеспечение, таким образом, непрерывности работы компании; сохранение ценности информации, интеллектуальной собственности и технологических ресурсов. Для разработки целей безопасности создается комитет по информационной безопасности, состоящий из сотрудников с опытом работы в области безопасности, технических сотрудников и представителей других подразделений под руководством офицера по безопасности. Комитет решает следующие задачи: разработку и управление жизненным циклом политики безопасности; создание процессов, обеспечивающих достижение целей безопасности; создание процессов и планов по реализации стандартов, описанных в политике; помощь и организации программ ознакомления с вопросами безопасности; консультирование персонала по вопросам безопасности; определение бюджета и требуемых ресурсов по обеспечению безопасности. 190 Контрольные вопросы: 1. Охарактеризуйте подход компании IBM к построению корпоративных политик безопасности. 2. В чем заключаются особенности оценки информационных рисков компанией CISCO? 3. Что представляет собой «матрица безопасности» CISCO? 4. Назовите этапы реагирования на события безопасности в компании CISCO. 5. Охарактеризуйте основные принципы обеспечения информационной безопасности в компании Microsoft 6. На чем базируются политики безопасности компании Microsoft? 191 ЗАКЛЮЧЕНИЕ Рассмотренный учебный курс по дисциплине “Системы защиты информации в ведущих зарубежных странах” является одним из важнейших в специальной подготовке специалистов по защите информации. Успешное освоение данного курса позволяет подробно изучить мировой опыт становления и современное состояние защиты информации с учётом национальных особенностей развитых зарубежных стран. Такой опыт необходимо учитывать при разработке планов систем защиты информации в Российской Федерации на различных уровнях обеспечения информационной безопасности Содержание предлагаемого учебного пособия не претендует на обобщение всего многообразия вопросов становления и функционирования систем защиты информации в зарубежных странах, но авторы надеются, что их работа будет с благодарностью оценена всеми, кому приходится сталкиваться с решением задач информационной безопасности в рамках профессиональной деятельности. Построение систем защиты информации в нашей стране становится все более актуальным в условиях активизации внешних угроз, таких как приближение НАТО вплотную к границам России, проведение широкомасштабных операций информационно-психологической войны, агрессивная политика ряда стран СНГ по отношению к РФ и т.д. 192 Список использованной и рекомендуемой литературы 1. Аверченков, В.И. Аудит информационной безопасности: учеб. пособие/В.И. Аверченков. – Брянск: БГТУ, 2005 – 269 с. 2. Семкин, С.И. Основы организационного обеспечения информационной безопасности объектов информатизации: учеб. пособие. / С.И. Семкин, Э.В. Беляков, С.В. Гребнев, В.И. Козичок – М: Гелиос АРВ, 2005 – 192 с. 3. Современные международные отношения: учебник / Под. ред. А.В. Торкунова. — М.: «Российская политическая энциклопедия» (РОССПЭН), 1999. — 584 с. 4. Вепринцев, В.Б. Операции информационно-психологической войны: методы, средства, технологии, краткий энциклопедический словарь. / Вепринцев В.Б., Манойло А.В., Петренко А.И., Фролов Д.Б. М.: Горячая линия - Телеком, 2003 – 312 с. 5. Манойло, А.В. Государственная информационная политика в условиях информационно-психологической войны/ А.В. Манойло, А.И. Петренко, Д.Б. Фролов — М.: Горячая линия-Телеком, 2003 г. — 541 с. 6. Панарин, И.Н. Информационная война и дипломатия. / И.Н. Панарин – М.: "Городец-издат", 2004г. – 527 с. 7. Панарин, И.Н. Информационная война и мир / И.Н. Панарин, Л.А. Панарина – М.: Олма-Пресс, 2003г. – 384 с. 8. Панарин, И.Н. Технология информационной войны / И.Н. Панарин – М.: КСП+, 2003г. – 320 стр. 9. Ганн, Шувэй. Некоторые вопросы о законотворчестве в области компьютерных систем // Вестник Государственного института работников прокуратуры. 2002. № 3. 10. Домарев, В.В. Безопасность информационных технологий. Системный подход / В.В. Домарев – К: ООО «ТиД», 2004. – 914с. 11. Расторгуев, С.П. Информационная война. Проблемы и модели. Экзистенциальная математика: учебное пособие / С.П. Расторгуев – М.: Гелиос АРВ, 2006. – 240 с. 193 12. Петренко, С.А. Лучшие практики создания корпоративных нормативных документов по безопасности. Информационнометодический журнал «Защита информации. Инсайд», - 2005 - №№ 5,6. 13. Мухин, В.И. Информационно-психологическое оружие / В.И. Мухин, В.К. Новиков – М., 1999. – 100 с. 14. Аверченков, В.И. Организационная защита информации: учеб. пособие для вузов/ - В.И. Аверченков, М.Ю. Рытов. - Брянск: БГТУ, 2005.-184 с. 15. Скрыль С.В. Основы информационной безопасности: Учебник / В.А. Минаев, С.В. Скрыль, А.П. Фисун, В.Е. Потанин, С.В. Дворянкин. – Воронеж: Воронежский институт МВД России, 2001. – 464 с. 16. Исследовательский центр Агентура.ru [Электронный ресурс] – досье: http://www.agentura.ru/dossier/ 17. Информационный бюллетень Jet Info. № 6 2002 [Электронный ресурс]. А. Леваков, Анатомия информационной безопасности, статья. http://www.jetinfo.ru/ 18. Центр исследования компьютерной преступности [Электронный ресурс]. Г. Маклаков, Научно-методологические аспекты подготовки специалистов в области информационной безопасности, статья http://www.crime-research.ru/ 19. Обзор зарубежного законодательства в области информационной безопасности [Электронный ресурс], статья http://www.intuit.ru/department/security/secbasics/4/4.html 20. Информационный портал Центразия [Электронный ресурс] М.Сергеев, Китайский арсенал. Гегемония посредством... Интернета, статья - http://www.centrasia.ru/newsA.php4?st=1118909280 21. Журнал «Информационное право» [Электронный ресурс]. Е.К. Волчинская, Интернет и право: состояние и перспективы правового регулирования, статья - http://www.infolaw.ru/lib/2005-1-internet-and-law 22. Окинавская Хартия глобального информационного общества [Электронный ресурс] - http://www.ifap.ru/ofdocs/okinhar.htm 23. Закон о Разведывательных Службах Великобритании, 1994 г. [Электронный ресурс] - http://ord-ua.com/categ_1/article_45938.html 194 Список использованных сокращений АНБ - Агентство национальной безопасности АСОД - автоматизированная система обработки данных БД – база данных ВС – вооружённые силы ЗИ – защита информации ИБ – информационная безопасность ИВ – информационная война КНШ – Комитет начальников штабов МГБ – Министерство государственной безопасности МО – Министерство обороны НАСА - Национальное управление США по аэронавтике и исследованию космического пространства НАТО - Организация Северо-Атлантического договора НИСТ - Национальный институт стандартов и технологий ООН – Организация Объединённых Наций РУМО – разведывательное управление Министерства обороны РЭБ – радиоэлектронная борьба СВИВ – средства ведения информационной войны СЗИ - система защиты информации СМИ – средства массовой информации СРТ – средства борьбы на основе разведывательных технологий СУБД – система управления базами данных ФБР – Федеральное бюро расследований ЦРУ – Центральное разведывательное управление ЭВТ – электронно-вычислительная техника 195 ПРИЛОЖЕНИЕ 1 Методические рекомендации по проведению практических занятий по дисциплине “Системы защиты информации в ведущих зарубежных странах” ПРАКТИЧЕСКОЕ ЗАНЯТИЕ №1 Изучение зарубежных технических средств защиты информации Цель работы: изучение зарубежных аналогов российских технических средств, сертифицированных для защиты информации в государственных учреждениях РФ. Продолжительность работы – 6 часов. 1. Порядок выполнения работы В ходе практических занятий пользуясь электронными и бумажными каталогами технических средств защиты информации, студенту необходимо выбрать наиболее полные аналоги следующих устройств: 1. Средства выявления каналов утечки информации: Многофункциональный поисковый прибор ST-031 «Пиранья». Нелинейный локатор SEL SP-61 «Катран». 2. Средства активной защиты от утечки по техническим каналам: Универсальный шумогенератор ГРОМ-ЗИ-4. Комплекс виброакустической защиты «Барон». 3. Средства аппаратной криптографии: Электронный замок «Соболь-PCI». Межсетевой экран и шифратор IP-потоков «ФПСУ-IP». 4. Досмотровая техника, устройства радиоподавления: Подавитель сотовых телефонов «Завеса». Досмотровые металлоискатели ВМ-311, ВМ-611(ПРО). 196 Следует провести сравнительный анализ технических характеристик, функциональных возможностей и стоимости российских и зарубежных устройств. 2. Форма и содержание отчета Отчет должен содержать: 1. Титульный лист установленного образца. 2. Технические описания российских и зарубежных средств, представленные в табличном виде. 3. Сравнительный анализ рассмотренных средств. 4. Перечень использованных информационных источников. Отчет выполняется на листах формата А4 рукописным или печатным способом. При рукописном оформлении отчета текст следует излагать четким почерком чернилами черного цвета. ПРАКТИЧЕСКОЕ ЗАНЯТИЕ № 2 Изучение зарубежной практики применения алгоритмов криптографической защиты данных Цель работы: ознакомление с практикой применения и реализации современных криптографических алгоритмов в ведущих зарубежных странах. Продолжительность работы - 6 часов. 1. Порядок выполнения работы В ходе выполнения задания следует оценить уровень обеспечения и реализации современных криптографических алгоритмов в национальных системах защиты информации стран Евросоюза, США, Китая, Ближнего Востока и сравнить с российской практикой. Необходимо рассмотреть: 1) алгоритмы симметричного шифрования; 197 2) алгоритмы ассиметричного шифрования; 3) алгоритмы электронно-цифровой подписи и хэширования. 2. Форма и содержание отчета Отчет должен содержать: 1. Титульный лист установленного образца. 2. Характеристику нормативного обеспечения (законов, стандартов) криптографической защиты в зарубежных странах. 3. Описание наиболее широко используемых криптографических алгоритмов и их программных реализаций в зарубежных странах. 4. Характеристику практики применения криптографических средств в зарубежных странах. 5. Перечень использованных информационных источников. Отчет выполняется на листах формата А4 рукописным или печатным способом. При рукописном оформлении отчета текст следует излагать четким почерком чернилами черного цвета. ПРАКТИЧЕСКОЕ ЗАНЯТИЕ №3 Изучение государственных органов обеспечения информационной безопасности зарубежных стран Цель работы: ознакомление со структурой и функциями государственного аппарата обеспечения информационной безопасности США, Израиля, Китая, Великобритании. Продолжительность работы - 6 часов. 1. Порядок выполнения работы В ходе занятий следует проанализировать сведения о службах обеспечения информационной безопасности иностранных государств, аналогичных следующим российским службам и структурам: 1. Контрразведывательные службы: Федеральная служба безопасности (ФСБ). 198 Федеральная служба по техническому и экспортному контролю (ФСТЭК). Федеральная служба охраны (ФСО). 2. Разведывательные службы: Служба внешней разведки (СВР). Главное разведывательное управление Генерального штаба ВС (ГРУ). Военно-топографическое управление Генерального штаба ВС (ВТУ). 2. Форма и содержание отчета Отчет должен содержать: 1. Титульный лист установленного образца. 2. Характеристики иностранных спецслужб, охватывающие основные аспекты их деятельности: актуальные цели и задачи службы; структура и функции службы; реализуемые сейчас и в ближайшем прошлом проекты и достигнутые результаты; взаимодействие с другими спецслужбами и организациями. 3. Перечень использованных информационных источников Отчет выполняется на листах формата А4 рукописным или печатным способом. При рукописном оформлении отчета текст следует излагать четким почерком чернилами черного цвета. ПРАКТИЧЕСКОЕ ЗАНЯТИЕ № 4 Изучение информационно-психологической войны и типов информационного оружия Цель работы: ознакомление с современной картиной политических отношений в информационном обществе и сущности информационно-психологической войны как средства достижения политических целей. 199 Продолжительность работы - 6 часов. 1. Порядок выполнения работы В ходе выполнения задания следует осмыслить сущность информационно-психологической войны в процессе изучения следующих средств поражения информационной инфраструктуры и массовой психологии: 1. Информационное оружие, предназначенное для негативного воздействия на человека: средства массовой информации; психотронные генераторы; психотропные препараты. 2. Информационное оружие, предназначенное для вывода из строя средств электронных коммуникаций противника: средства радиоэлектронной борьбы (РЭБ); средства специального программно-технического воздействия (СПТВ). 2. Форма и содержание отчета Отчет должен содержать: 1. Титульный лист установленного образца. 2. Описание механизмов действия средств ведения информационно-психологической войны. 3. Историю развития и применения типов информационного оружия, в частности в локальных вооруженных конфликтах второй половины 20 века. 4. Современный уровень развития типов информационного оружия в России и ведущих зарубежных странах. 5. Перечень использованных информационных источников. Отчет выполняется на листах формата А4 рукописным или печатным способом. При рукописном оформлении отчета текст следует излагать четким почерком чернилами черного цвета. 200 ПРАКТИЧЕСКОЕ ЗАНЯТИЕ №5 Изучение системы международных стандартов информационной безопасности Цель работы: ознакомление с основными международными стандартами, регламентирующими обеспечение защиты конфиденциальной информации. Продолжительность работы - 6 часов. 1. Порядок выполнения работы При выполнении задания следует проанализировать содержание следующих документов: 1. Международный стандарт управления информационной безопасностью ISO 17799. 2. Общие критерии безопасности информационных технологий ГОСТ ИСО\МЭК 15408. 3. Критерии оценки надежности компьютерных систем («Оранжевая книга»). 4. Стандарт COBIT («Контрольные объекты для информационных и смежных технологий»). Необходимо сопоставить эти стандарты с российской нормативной базой в области информационной безопасности и оценить их применимость в России. 2. Форма и содержание отчета Отчет должен содержать: 1. Титульный лист установленного образца. 2. Историю создания и развития стандартов и их связь со смежными документами. 3. Назначение и описание стандартов. 4. Практику применения стандартов за рубежом и в России. 5. Перечень использованных информационных источников. 201 Отчет выполняется на листах формата А4 рукописным или печатным способом. При рукописном оформлении отчета текст следует излагать четким почерком чернилами черного цвета. 202 ПРИЛОЖЕНИЕ 2 ОКИНАВСКАЯ ХАРТИЯ ГЛОБАЛЬНОГО ИНФОРМАЦИОННОГО ОБЩЕСТВА Принята 22 июля 2000 года лидерами стран "Большой Восьмерки" 1. являются Информационно-коммуникационные одним из наиболее важных технологии факторов, (ИКТ) влияющих на формирование общества двадцать первого века. Их революционное воздействие касается образа жизни людей, их образования и работы, а также взаимодействия правительства и гражданского общества. ИКТ быстро становятся жизненно важным стимулом развития мировой экономики. Они также дают возможность всем частным лицам, фирмам и сообществам, занимающимся предпринимательской деятельностью, более эффективно и творчески решать экономические и социальные проблемы. Перед всеми нами открываются огромные возможности. 2. Суть стимулируемой ИКТ экономической и социальной трансформации заключается в ее способности содействовать людям и обществу в использовании знаний и идей. Информационное общество, как мы его представляем, позволяет людям шире использовать свой потенциал и реализовывать свои устремления. Для этого мы должны сделать так, чтобы ИКТ служили достижению взаимодополняющих целей обеспечения устойчивого экономического роста, повышения общественного благосостояния, стимулирования социального согласия и полной реализации их потенциала в области укрепления демократии, транспарентного и ответственного управления международного мира и стабильности. Достижение этих целей и решение возникающих проблем потребует разработки эффективных национальных и международных стратегий. 203 Стремясь к достижению этих целей, мы вновь подтверждаем 3. нашу приверженность принципу участия в этом процессе: все люди повсеместно, без исключения должны иметь возможность пользоваться преимуществами глобального информационного общества. Устойчивость глобального информационного общества основывается на стимулирующих развитие человека демократических ценностях, таких как, свободный обмен информацией и знаниями, взаимная терпимость и уважение к особенностям других людей. Мы будем осуществлять руководство в продвижении усилий 4. правительств по укреплению соответствующей политики и нормативной базы, стимулирующих конкуренцию экономической и финансовой сотрудничеству по оптимизации злоупотреблениями, которые и новаторство, стабильности, глобальных подрывают обеспечения содействующих сетей, целостность борьбе со сети, по сокращению разрыва в цифровых технологиях, инвестированию в людей и обеспечению глобального доступа и участия в этом процессе. 5. Настоящая Хартия является прежде всего призывом ко всем как в государственном, так и в частном секторах, ликвидировать международный разрыв в области информации знаний. Солидная основа политики и действий в сфере ИКТ может изменить методы нашего взаимодействия по продвижению социального и экономического прогресса во всем мире. Эффективное партнерство среди участников, включая совместное политическое сотрудничество, также является ключевым общества. элементом рационального развития информационного 204 ИСПОЛЬЗОВАНИЕ ВОЗМОЖНОСТЕЙ ЦИФРОВЫХ ТЕХНОЛОГИЙ 6. Потенциальные преимущества ИКТ, стимулирующие конкуренцию, способствующие расширению производства, создающие и поддерживающие экономический рост и занятость, имеют значительные перспективы. Наша задача заключается не только в стимулировании и содействии переходу к информационному обществу, но также и в реализации его полных экономических, социальных и культурных преимуществ. Для достижения этих целей важно строить работу на следующих ключевых направлениях: проведение экономических и структурных реформ с целью создания обстановки открытости, эффективности, конкуренции и использования нововведений, которые дополнялись бы мерами по адаптации на рынках труда, развитию людских ресурсов и обеспечению социального согласия; рациональное управление макроэкономикой, способствующее более точному планированию со стороны деловых кругов и потребителей и использование преимуществ новых информационных технологий; разработка информационных сетей, обеспечивающих быстрый, надежный, безопасный и экономичный доступ с помощью конкурентных рыночных условий и соответствующих нововведений к сетевым технологиям, их обслуживанию и применению; развитие людских ресурсов, способных отвечать требованиям века информации, посредством образования и пожизненного обучения и удовлетворения растущего спроса на специалистов в области ИКТ во многих секторах нашей экономики; активное использование ИКТ в государственном секторе и содействие предоставлению в режиме реального времени услуг, 205 необходимых для повышения уровня доступности власти для всех граждан. 7. Частный сектор играет жизненно важную роль в разработке информационных и коммуникационных сетей в информационном обществе. Однако задача создания предсказуемой, транспарентной и недискриминационной политики и нормативной базы, необходимой для информационного общества, лежит на правительствах. Нам необходимо позаботиться о том, чтобы правила процедуры, имеющие отношение к ИКТ , соответствовали коренным изменениям в экономических сделках с учетом принципов эффективного партнерства между государственным и частным сектором, а также транспарентности и технологической нейтральности. Такие правила должны быть предсказуемыми и способствовать укреплению делового и потребительского доверия. С целью максимизации социальной и экономической выгоды информационного общества мы согласны со следующими основными принципами и подходами и рекомендуем их: продолжение содействия развитию конкуренции и открытию рынков для информационной телекоммуникационной продукции недискриминационное и технологии и услуг, основанное на и включая затратах подключение к основным телекоммуникациям; защита прав интеллектуальной собственности на информационные технологии имеет важное значение для продвижения нововведений, связанных с ИКТ , развития конкуренции и широкого внедрения новых технологий; мы приветствуем совместную работу представителей органов власти по поручаем защите нашим интеллектуальной экспертам направления работы в этой сфере; собственности обсудить и дальнейшие 206 важно также вновь подтвердить обязательство правительств использовать только лицензированное программное обеспечение; ряд услуг, включая телекоммуникации, транспорт, доставку посылок, имеют важное значение для информационного общества и экономик; повышение их эффективности и конкурентоспособности позволит расширить преимущества информационного общества; таможенные и экспедиторские процедуры также важны для развития информационных структур; развитие трансграничной электронной торговли путем содействия дальнейшей либерализации, улучшения сетей и соответствующих услуг и процедур в контексте жестких рамок Всемирной торговой организации (ВТО), продолжение работы в области электронной торговли в ВТО и на других международных форумах и применение существующих торговых правил ВТО к электронной торговле; последовательные подходы к налогообложению электронной торговли, основанные на обычных принципах, включая недискриминацию, равноправие, упрощенность и прочие ключевые элементы, согласованные в контексте работы Организации экономического сотрудничества и развития (ОЭСР); продолжение практики освобождения электронных переводов от таможенных пошлин до тех пор, пока она не будет рассмотрена вновь на следующей министерской конференции ВТО; продвижение рыночных стандартов, включая, например, технические стандарты функциональной совместимости; 207 повышение доверия потребителя к электронным рынкам в соответствии с руководящими принципами ОЭСР, в том числе посредством эффективных саморегулирующих инициатив, таких как кодексы поведения, маркировка и другие программы подтверждения надежности, и изучение вариантов устранения сложностей, которые испытывают потребители в ходе трансграничных споров, включая развитие эффективного и значимого механизма защиты личной жизни потребителя, а также защиты личной жизни при обработке личных данных, обеспечивая при этом свободный поток информации; дальнейшее развитие и эффективное функционирование электронной идентификации, электронной подписи, криптографии и других средств обеспечения безопасности и достоверности операций. 8. развитие Усилия международного глобального сообщества, информационного направленные общества, на должны сопровождаться согласованными действиями по созданию безопасного и свободного от преступности киберпространства. Мы должны обеспечить осуществление эффективных мер - как это указано в Руководящих принципах по безопасности информационных систем ОЭСР - в борьбе с преступностью в компьютерной сфере. Будет расширено сотрудничество стран "Группы восьми" в рамках Лионской группы по транснациональной организованной преступности. Мы будем и далее содействовать установлению диалога с представителями промышленности, развивая, таким образом, успех, достигнутый на недавно прошедшей Парижской конференции "Группы восьми" "Диалог между правительством и промышленностью о безопасности и доверии в киберпространстве". Необходимо также найти эффективные 208 политические решения актуальных проблем, как, например, попытки несанкционированного доступа и компьютерные вирусы. Мы будем и далее привлекать представителей промышленности и других посредников для защиты важных информационных инфраструктур. ПРЕОДОЛЕНИЕ ЭЛЕКТРОННО-ЦИФРОВОГО РАЗРЫВА 9. Вопрос о преодолении электронно-цифрового разрыва внутри государств и между ними занял важное место в наших национальных дискуссиях. Каждый человек должен иметь возможность доступа к информационным и коммуникационным сетям. Мы подтверждаем нашу приверженность предпринимаемым в настоящее время усилиям по разработке и осуществлению последовательной стратегии, направленной на решение данного вопроса. Мы также приветствуем то, что и промышленность, и гражданское общество все более склоняются к признанию необходимости преодоления этого разрыва. Мобилизация наших знаний и ресурсов в этой области является необходимым условием для урегулирования данной проблемы. Мы будем и далее стремиться к эффективному сотрудничеству между правительствами и гражданским обществом, чутко реагирующим на высокие темпы развития технологий и рынка. 10. Ключевой составляющей нашей стратегии должно стать непрерывное движение в направлении всеобщего доступа для всех. Мы будем и далее: содействовать установлению благоприятных рыночных условий, необходимых для предоставления населению услуг в области коммуникаций; изыскивать дополнительные возможности, включая доступ через учреждения, открытые для широкой публики; 209 уделять приоритетное внимание совершенствованию сетевого доступа, в особенности в отсталых городских, сельских и отдаленных районах; уделять особое внимание нуждам и возможностям людей, пользующимся меньшей социальной защищенностью, людей с ограниченной трудоспособностью, а также пожилых граждан, и активно осуществлять меры, направленные на предоставление им более легкого доступа; содействовать дальнейшему развитию "удобных для пользования", "беспрепятственных" технологий, включая мобильный доступ к сети Интернет, а также более широкое использование бесплатного, общедоступного информационного наполнения и открытых для всех пользователей программных средств, соблюдая при этом права на интеллектуальную собственность. 11. Стратегия развития информационного общества должна сопровождаться развитием людских ресурсов, возможности которых соответствовали бы требованиям информационного века. Мы обязуемся предоставить всем гражданам возможность освоить и получить навыки работы с ИКТ посредством образования, пожизненного обучения и подготовки. Мы будем и далее стремиться к осуществлению этой масштабной цели, предоставляя школам, классам и библиотекам компьютерное оборудование, способное работать в режиме реального времени, а также направлять туда преподавателей, имеющих навыки работы с ИКТ и мультимедийными средствами. Кроме того, мы будем осуществлять меры по поддержке и стимулированию малых и средних предприятий, а также людей, работающих не по найму, предоставляя им возможность подключаться к сети Интернет и эффективно ею пользоваться. Мы также будем поощрять использование ИКТ с целью предоставления гражданам возможности пожизненного обучения с 210 применением передовых методик, в особенности тем категориям граждан, которые в противном случае не имели бы доступа к образованию и профессиональной подготовке. СОДЕЙСТВИЕ ВСЕОБЩЕМУ УЧАСТИЮ 12. ИКТ открывает перед развивающимися странами великолепные возможности. Страны, которым удалось направить свой потенциал в препятствий, нужное русло, традиционно могут надеяться возникающих в на преодоление процессе развития инфраструктуры, более эффективное решение своих насущных задач в области развития, таких как сокращение бедности, здравоохранение, улучшение санитарных условий и образование, а также использование преимуществ быстрого роста глобальной электронной торговли. Некоторые развивающиеся страны уже достигли значительных успехов в этих областях. 13. Тем не менее не стоит недооценивать проблему мирового масштаба, связанную с преодолением существующих различий в области информации и знаний. Мы отдаем должное тому вниманию, которое уделяют этой проблеме многие развивающиеся страны. В действительности, все те развивающиеся страны, которые не успевают за более высокими темпами развития ИКТ , оказываются лишены возможности в полной мере участвовать в жизни информационного общества и экономике. Этот вопрос особенно остро стоит в тех странах, где распространению ИКТ препятствует отставание в развитии основных экономических и социальных инфраструктур, в частности энергетического сектора, телекоммуникаций и образования. 14. Мы признаем, что при решении этой проблемы следует учитывать разнообразие условий и потребностей, которое сложилось в развивающих странах. Здесь не может быть "уравнительного" решения. 211 И это в свою очередь говорит о той важной роли, которую должны сыграть развивающиеся страны, выдвигая собственные инициативы о принятии последовательных национальных программ с целью осуществления политических мер, направленных на поддержку развития ИКТ и конкуренции в этой сфере, а также создания нормативной базы, использование ИКТ в интересах решения задач в области развития и в социальной сфере, развитие людских ресурсов, имеющих навыки работы с ИКТ, также с целью поощрения выдвигаемых на локальном уровне инициатив и местного предпринимательства. ДАЛЬНЕЙШЕЕ РАЗВИТИЕ 15. Усилия по преодолению международной разобщенности в решающей степени зависят от эффективного сотрудничества между всеми участниками. Для создания рамочных условий для развития ИКТ важную роль многостороннее и в дальнейшем сотрудничество. будет играть двустороннее Международные и финансовые институты, включая многосторонние банки развития (МДБ), особенно Всемирный банк, весьма пригодны для этой цели и могут разрабатывать и осуществлять программы, которые будут способствовать росту и борьбе с бедностью, а также расширять связи, доступ и обучение. Международная сеть телекоммуникаций, ЮНКТАД и ЮНДП и другие соответствующие международные фонды также могут сыграть важную роль. Центральной остается роль частного сектора в продвижении ИКТ в развивающихся странах. Он может также существенно способствовать международным усилиям по преодолению цифрового разрыва. НПО, обладающие уникальными возможностями донести идеи до общественности, также могут способствовать развитию человеческих и общественных ресурсов. ИКТ глобальна по своей сути и требует глобального подхода. 212 Мы 16. приветствуем преодолению уже международного предпринимаемые усилия электронно-цифрового по разрыва посредством двусторонней помощи в области развития и по линии международных организаций и частных групп. Мы также приветствуем вклад частного сектора в лице таких организаций, как Глобальная инициатива по ликвидации электронно-цифрового разрыва Всемирного экономического форума (ВЭФ) и Глобальный Диалог Бизнеса по вопросам электронной торговли (ГДБ), а также глобальный форум. Как отмечается в декларации о роли информационных 17. технологий в контексте основанной на знаниях глобальной экономики, которая была принята Экономическим и Социальным Советом ООН (ЭКОСОС) на уровне министров, существует необходимость расширения международного диалога и сотрудничества с целью повышения эффективности программ и проектов в области информационных технологий совместно с развивающимися странами и сведения воедино "наилучшего опыта", а также мобилизации ресурсов всех участников для электронно-цифрового содействовать того, чтобы разрыва. укреплению способствовать "Восьмерка" партнерства ликвидации будет между и далее развитыми и развивающимися странами, гражданским обществом, включая местные фирмы и НПО, фонды и учебные заведения, а также международные организации. Мы будем также работать над тем, чтобы развивающиеся страны в партнерстве финансовое, техническое с другими и участниками политическое могли обеспечение получать с целью создания благоприятного климата для использования информационных технологий. 18. Мы согласились об учреждении Группы по возможностям информационной технологии (Группа ДОТ), чтобы объединить наши усилия с целью формирования широкого международного подхода. 213 Группа ДОТ будет созвана в кратчайшие сроки для изучения наилучших возможностей подключения к работе всех участников. Эта группа высокого уровня в режиме тесных консультаций с другими партнерами и воспринимая потребности развивающихся стран будет: активно содействовать диалогу с развивающимися странами, o международными организациями и другими участниками для продвижения международного сотрудничества с целью формирования политического, нормативного и сетевого обеспечения, а также улучшения технической совместимости, расширения доступа, снижения затрат, укрепления человеческого потенциала, а также поощрения участия в глобальных сетях электронной торговли; поощрять собственные сотрудничества в усилия "восьмерки" осуществлении с целью экспериментальных программ и проектов в области ИКТ ; содействовать более тесному политическому диалогу между партнерами и работать над тем, чтобы мировая общественность больше знала о стоящих перед ней вызовах и имеющихся возможностях; изучить вопрос о том, какой вклад вносит частный сектор и другие заинтересованные группы, например, Глобальная инициатива по ликвидации электронно-цифрового разрыва; представить доклад по итогам работы нашим личным представителям до следующей встречи в Генуе. 19. Для выполнения этих задач группа будет изыскивать пути к принятию конкретных мер в указанных ниже приоритетных областях: o формирование политического, нормативного и сетевого обеспечения: поддержка укрепление политического местного консультирования потенциала, с тем и чтобы 214 способствовать проведению направленной на создание конкуренции, гибкой и учитывающей социальные аспекты политики, а также нормативному обеспечению; содействие обмену опытом между развивающимися странами и другими партнерами; содействие более эффективному и широкому использованию ИКТ в области развития, включая такие широкие направления, как сокращение бедности, образование, здравоохранение и культура; совершенствование изучение новых системы методов управления, комплексной включая разработки политики; поддержка усилий МБР и других международных организаций с целью объединения интеллектуальных и финансовых ресурсов в контексте программ сотрудничества, таких как программа "InfoDev"; o улучшение технической совместимости, расширение доступа и снижение затрат: мобилизация ресурсов с целью улучшения информационной и коммуникационной инфраструктуры, уделение особого внимания "партнерскому" подходу со стороны правительств, международных организаций, частного сектора и НПО; поиск путей снижения затрат для развивающихся стран в обеспечении технической совместимости; поддержка программ доступа на местном уровне; поощрение технологических исследований и прикладных разработок в соответствии с конкретными потребностями развивающихся стран; 215 улучшения взаимодействия между сетями, службами и прикладными системами; поощрение производства современной информационносодержательной продукции, включая расширение объема информации на родных языках. o укрепление человеческого потенциала: уделение повышенного образованию, а также внимания расширению базовому возможностей пожизненного обучения с упором на развитие навыков использования ИКТ ; содействие подготовке специалистов в сфере ИКТ и других актуальных областях, а также в нормативной сфере; разработка инновационных расширения традиционной подходов с технической целью помощи, включая дистанционное обучение и подготовку на местном уровне; создание сети государственных учреждений и институтов, включая школы, научно-исследовательские центры и университеты. o поощрение участия в работе глобальных сетей электронной торговли: оценка и расширение возможностей использования электронной торговли посредством консультирования при открытии бизнеса в развивающихся странах, а также путем мобилизации ресурсов с целью содействия предпринимателям повышения в использовании эффективности их расширения доступа к новым рынкам; ИКТ деятельности для и 216 обеспечение соответствия возникающих "правил игры" усилиям в сфере развития и укрепление способности развивающихся стран играть конструктивную роль в определении этих правил. 217 ПРИЛОЖЕНИЕ 3 КОДЕКС ЭТИКИ ISC (Перевод Кодекса этики с английского языка сделан авторским коллективом.) Все профессионалы в области защиты информации, сертифицированные по ISC, должны понимать, что сертификация – это преимущество (привилегия), которая должна быть заработана и подтверждена. Для поддержания этого принципа всем членам ISC необходимо соблюдать данный Кодекс этики (далее «Кодекс»). Сотрудники, которые умышленно (преднамеренно) нарушают любые позиции данного Кодекса, будут подвергнуты воздействию членской группы, которая может аннулировать сертификат. В кодексе есть только четыре обязательных канона, но данные высокие требования не должны противоречить этическим суждениям профессионалов в области информационной безопасности. Дополнительно для каждого канона даны указания. Руководство представлено, в виде совета директоров, но оно является консультативным, а не обязательным. Оно предназначено, для того чтобы помочь профессионалам разрешать неизбежные этические вопросы, которые будут возникать в течение их карьеры. Введение: Безопасность нации (народа, государства), в соответствии с нашими принципами, требует, чтобы мы придерживались самых высоких этических стандартов поведения, поэтому строгая приверженность этому Кодексу – одно из условий сертификации Каноны Кодекса этики: Защищать общество, государство и инфраструктуру. Служить с честью, справедливо, ответственно и законно. Обеспечивать прилежное и компетентное подчинение руководству. Улучшать личные профессиональные качества. Следующие дополнительные указания даются относительно указанных канонов. 218 Цели: Для достижения поставленных целей комитет несёт ответственность за: Указания для решения проблем. Поощрение оправданных действий, таких как: Исследование Обучение Идентификация и помощь кандидатам Оценка сертификатов Препятствование таким действиям, как: Необоснованная тревога, страх, неуверенность, сомнение Неисполнение обещаний Отрицательная практика Приложение слабых систем к общественной сети Взаимодействие подготовленных с профессиональной точки зрения сотрудников с непрофессионалами Сотрудничество и попытки сотрудничества с преступниками или непосредственно преступное поведение Профессионалы должны иметь в виду, что эти указания являются лишь советом. Согласие с ними не необходимо для выполнения данного кодекса. Согласие с введением и канонами обязательно. Также можно выделить следующие пункты кодекса: Улучшать и сохранять общественное доверие к информации и системам. Улучшать понимание и принятие обоснованных мер информационной безопасности. Улучшать и усиливать целостность общественной инфраструктуры. Препятствовать опасному поведению. Говорить правду. Наблюдать за всеми контрактами и соглашениями. Рассматривать коллег объективно. При решении конфликтов, рассматривать общественную ответственность и безопасность в порядке – руководство -> индивидуальная -> профессиональная. Давать продуманные ответы, избегать возникновений необоснованной тревоги и страха, не нарушать обещания. 219 Заботиться о том, чтобы быть правдивым, объективным, осторожным, и действовать в пределах своей компетентности. Решая проблемы с разными правовыми юрисдикциями, отдавать предпочтения той, в подчинении которой находитесь. Сохранять в целости информационные системы и их содержимое. Уважать их доверие и привилегии, которые они предоставляют Вам. Избегать злоупотреблений служебным положением. Оказывать только те услуги, в которых вы являетесь полностью компетентными и квалифицированными. Помогать профессиональному росту. Избегать поступков, которые могли бы дискредитировать профессию. Заботиться о том, чтобы не повредить репутации других профессионалов путем преступных намерений или бездействия. Сохранять знания и навыки, передавать их другим. 220 ПРИЛОЖЕНИЕ 4 ДИРЕКТИВА 96/9/EC ЕВРОПЕЙСКОГО ПАРЛАМЕНТА И СОВЕТА ОТ 11 МАРТА 1996 ПО ЮРИДИЧЕСКОЙ ЗАЩИТЕ БАЗ ДАННЫХ (основные статьи) ГЛАВА I. ВОЗМОЖНОСТИ Статья 1. Возможности 1. Эта Директива касается юридической защиты баз данных представленных в любой форме. 2. В Директиве под «базой данных» (БД) понимается собрание независимых работ, данных или других материалов, структурированных систематическим или методическим способом и доступных с помощью электронных или других средств. 3. Защита согласно этой Директиве не должна быть нацелена на компьютерные программы, используемые при создании или работе с базами данных, доступными электронными средствами. Статья 2. Ограничения по возможностям Эта Директива должна применятся без ущерба ЕС в области: юридической защиты компьютерных программ; предоставления определенных прав, для обеспечения авторского права в области интеллектуальной собственности; срока защиты авторского права и смежных прав. ГЛАВА II. АВТОРСКОЕ ПРАВО Статья 3. Объект защиты 1. В соответствии с этой Директивой, базы данных, которые составляют интеллектуальную собственность автора, должны быть защищены авторским правом. Никакие другие критерии не должны быть применены, чтобы определить их преемственность относительно такой защиты. 221 2. Защита авторского права баз данных, предусмотренных в соответствии с этой Директивой, не должна распространятся на их содержание и должна работать без ущерба другим правам. Статья 4. Авторство базы данных 1. Автором базы данных может быть физическое лицо или группа физических лиц, которые создали БД, а также человек, определяемый как держатель прав на базу данных в соответствии с законодательством. 2. В тех государствах ЕС, где коллективные работы признаны в соответствии с законодательством, экономические права должны принадлежать человеку, обладающему авторским правом. 3. Относительно базы данных, созданной группой физических лиц совместно, исключительные права должны быть признаны также совместно. Статья 5. Ограниченные действия Автор базы данных, которая является защищенной авторским правом, должен иметь исключительное право выполнять или разрешать следующие операции с ней: временное или постоянное воспроизводство базы данных каким-либо образом и в любой форме, полностью или частично; перевод, адаптация, договоренность и любое другое изменение; любая форма публичного распространения базы данных или её копий. Первая продажа в ЕС копии базы данных правообладателем или с его согласия должна исчерпать право управлять перепродажей этой копии в пределах ЕС; рекламирование, или демонстрация работы на публике; Статья 6. Исключения к ограниченным действиям 1. Действия, перечисленные в Статье 5, осуществляемые законным пользователем базы данных, которые являются необходимыми для осуществления доступа к содержанию баз данных и нормального их использования, не должны требовать разрешения от автора базы данных. Там, где законный пользователь уполномочен использовать только часть базы данных, это условие должно примениться только к данной части. 222 2. В соответствии с законодательством, государства - члены ЕС должны иметь возможность наложения ограничений на права, изложенные в Статье 5 в следующих случаях: в случае воспроизведения в частных целях неэлектронной базы данных; использования в виде иллюстрации для обучения или научного исследования, если указан источник, а также в некоммерческих целях. использование в целях общественной безопасности, в рамках административной или судебной процедуры; если противоречит местному законодательству ГЛАВА III. СВОЕОБРАЗНЫЕ ПРАВОВЫЕ ВОПРОСЫ Статья 7. Объект защиты 1. Государства – члены ЕС должны предусмотреть право изготовителя базы данных, которое определяет, что при её создании были затрачены качественные и/или количественные инвестиции, чтобы предотвратить извлечение и/или переиспользование всей или части БД. 2. В целях этой главы: «извлечение» должно означать постоянную или временную передачу всех или существенной части содержания базы данных в другую среду каким-либо образом или в любой форме; «переиспользование» должно означать любую форму действия, которое дает пользователям доступ ко всей или существенной части содержания базы данных путем копирования или другими формами онлайн передачи. Общественное предоставление – это не акт извлечения или переиспользования. 3. Право, упомянутое в параграфе 1 может быть передано, назначено или предоставлено согласно договорной лицензии. 4. Повторное и систематическое извлечение и/или переиспользование частей БД, подразумевающее действия, которые находятся в противоречии с нормальной эксплуатацией БД или которые необоснованно наносят ущерб законным интересам изготовителя базы данных, не должны разрешаться. 223 Статья 8. Права и обязательства законных пользователей 1. Изготовитель базы данных, который сделал ее доступной для публики в любом виде, не препятствует законному пользователю базы данных извлекать и/или повторно использовать части ее содержания, в любых целях. Если законный пользователь уполномочен извлечь и/или повторно использовать только часть БД, этот параграф должен примениться только к этой части. 2. Законный пользователь базы данных, который сделал ее доступной для публики в любой форме, не должен выполнять действия, которые находятся в противоречии с нормальной эксплуатацией базы данных или необоснованно наносят ущерб законным интересам изготовителя базы данных. 3. Законный пользователь базы данных, который сделал ее доступной для публики в любой форме, не должен наносить ущерб содержанию БД. Статья 9. Исключения по правовым вопросам Государства – члены ЕС должны предусмотреть, что законные пользователи базы данных, которые сделали ее доступной для публики в любой форме, без разрешения ее изготовителя, могут извлечь или повторно использовать часть ее содержания: в случае воспроизводства в частных целях неэлектронной базы данных; в случае использования в виде иллюстрации для обучения или научного исследования, если указан источник и в некоммерческих целях. в случае использования в целях общественной безопасности, в целях административной или судебной процедуры; Статья 10. Срок защиты 1. Право, предусмотренное в Статье 7 должно вступать в силу с момента завершения создания базы данных и истекать через пятнадцать лет после даты завершения - 1 января. 2. Для свободно распространяемых баз данных срок считается с момента первого предоставления. 224 3. Любое существенное изменение содержания или структуры БД может рассматриваться как создание новой БД, соответственно на нее распространяются все перечисленные правила. Статья 11. Защита прав создателя БД 1. Право, предусмотренное в Статье 7, должно распространяться на базы данных, изготовители или правообладатели которых подданные государства – члена ЕС, или постоянно проживающие на территории ЕС. 2. Параграф 1 должен также распространятся на компании и фирмы, сформированные в соответствии с законами государства члена ЕС при наличии зарегистрированного офиса, администрации или основного места деятельности в пределах ЕС; однако ее работа должна быть нацелена на развитие экономики государства – члена ЕС. ГЛАВА IV. ОБЩИЕ УСЛОВИЯ Статья 12. Средства Государства – члены ЕС должны обеспечить соответствующие средства защиты от нарушений прав, предусмотренных в этой Директиве. Статья 13. Применение других юридических условий Директива не должны наносить ущерб правам, предусмотренным в действующем законодательстве.
