Законодательный уровень
Общие принципы обеспечения защиты информации. Уровни информационной защиты
Меры обеспечения информационной безопасности
Определяющую роль при выборе моделей и методов информационной защиты играют характеристики субъектов информационных отношений. Тем не менее, для всего многообразия форм информационных отношений выделяют следующие уровни защиты:
1) законодательный (законы, нормативные акты, стандарты и т. п.);
2) административный (действия общего характера, предпринимаемые руководством организации);
3) процедурный (конкретные меры безопасности, имеющие дело с людьми);
4) программно-технический (конкретные технические меры).
Можно, в свою очередь, выделить два направления развития мер обеспечения информационной безопасности на законодательном уровне. Это меры, направленные на создание и поддержание в обществе негативного (в том числе карательного) отношения к нарушениям и нарушителям информационной безопасности, а также меры, способствующие повышению образованности общества в области информационной безопасности, помогающие в разработке и распространении средств обеспечения информационной безопасности.
К первой группе следует отнести в первую очередь главу 28 («Преступления в сфере компьютерной информации») раздела IX новой редакции Уголовного кодекса, а также Закон «Об информации, информатизации и защите информации».
К направляющим и координирующим законам и нормативным актам относится целая группа документов, регламентирующих процессы лицензирования и сертификации в области ин формационной безопасности. Главная роль здесь отведена Государственной технической комиссии (Гостехкомиссии) при Президенте Российской Федерации.
В области информационной безопасности законы реально работают через нормативные документы, подготовленные соответствующими ведомствами. В этой связи очень важны Руководящие документы Гостехкомиссии, определяющие требования к классам защищенности средств вычислительной техники и автоматизированных систем.
При обеспечении информационной безопасности существует два аспекта: формальный — определение критериев, которым должны соответствовать защищенные информационные технологии, и практический — определение конкретного комплекса мер безопасности применительно к рассматриваемой информационной технологии.
История развития стандартов, которым должны соответствовать защищенные информационные технологии, описана выше. В настоящее время ведущим в этой области считается международный стандарт «Общие критерии оценки безопасности информационных технологий».
Попытки стандартизации практических аспектов безопасности начались сравнительно недавно. Первой удачной попыткой в этой области стал британский стандарт BS 7799 «Практические правила управления информационной безопасностью», изданный в 1995 г., в котором обобщен опыт обеспечения режима информационной безопасности в информационных системах разного профиля. Впоследствии было опубликовано несколько аналогичных документов: стандарты различных организаций и ведомств, например немецкий стандарт BSI. Содержание этих документов в основном относится к этапу анализа рисков, на котором определяются угрозы безопасности и уязвимости информационныхресурсов, уточняются требования к режиму информационной безопасности.