Безопасность информации проблемы и пути их решения

"ВМ"-02-04

ИНФОРМАТИЗАЦИЯ ВООРУЖЕННЫХ СИЛ

Безопасность информации: проблемы и пути их решения

Полковник В.А. КИРИЛЛОВ, доктор военных наук

Полковник В. В. КИСЕЛЕВ,

кандидат военных наук

СЕГОДНЯ значительно возросло количество и качество автоматизированных систем и средств обработки информации, применяемых в войсках, объемы и значение информации, а также количество угроз, способных существенно повлиять на защищенность военных информационных систем и, как следствие, на характер и результаты действий войсковых формирований. При этом последствия реализации некоторых угроз могут носить катастрофический характер как в ходе повседневной деятельности войск, так и в военное время. Все это обусловливает актуальность уяснения основных противоречий между современным состоянием компьютерных систем (сетей) и возможностями по обеспечению их информационной безопасности.

Чтобы обеспечить гарантированную защиту информации в таких системах, необходимо сформулировать цели защиты информации и определить перечень необходимых мер, обеспечивающих эту защиту. А для этого нужно прежде всего рассмотреть и систематизировать все возможные причины (угрозы), которые могут привести к утере, хищению, утрате, искажению, подделке информации, несанкционированным действиям по ее уничтожению, модификации, искажению, копированию и блокированию.

При существующем уровне развития компьютерных систем (сетей) опасность для военных автоматизированных систем представляют две группы угроз (их можно определить как внешние и внутренние). К первой группе относятся угрозы со стороны противника (кражи и подлоги, внедрение вредоносного программного обеспечения; преднамеренные несанкционированные действия; терроризм и др.) и природные явления (пожар, затопление, природные катаклизмы). Ко второй группе угроз можно отнести: неисправность самих технических средств передачи и обработки информации; сбои программного обеспечения; несанкционированный доступ к базам данных; ошибки обслуживающего персонала при маршрутизации потоков информации в вычислительных сетях; неисправность электропитания; ошибки самих пользователей и другие.

Объем статьи не позволяет рассмотреть все возможные угрозы безопасности информации. Поэтому, не умаляя значения каждой из них, остановимся только на некоторых.

Одной из наиболее значимых, на наш взгляд, является угроза утечки информации через различные телекоммуникационные средства и побочные излучения (последние получили в руководящих документах название технические каналы утечки информации). Вопросы обеспечения защиты информации от утечки по техническим каналам достаточно подробно изложены в ряде законов, руководящих документов Министерства обороны РФ и методических рекомендаций. В целом они достаточно детально определяют содержание и характер мероприятий, проводимых при вводе в эксплуатацию и непосредственном использовании объектов электронно-вычислительной техники в войсках. Вместе с тем сложившаяся политико-экономическая ситуация, стремительная компьютеризация всех сторон военной деятельности, миниатюризация, широкое внедрение компьютерных сетей различного назначения, огромная номенклатура и динамика обновления компьютерных систем значительно усложнили задачу обеспечения безопасности информации.

Изначально система мероприятий по защите информации ориентировалась на изготовление подавляющего большинства компьютерных систем и средств отечественными производителями из произведенных в стране электронных компонентов. Предполагалось, что количество объектов электронно-вычислительной техники будет ограниченным, а использовать их станут в основном централизованно, в составе вычислительных центров. При этом считалось, что основная масса электронно-вычислительной техники получит предписание на эксплуатацию, а дополнительные специальные исследования будут проводиться в ограниченных объемах.

Однако к середине 90-х годов ситуация кардинально изменилась. Отечественные производители уже не могли в достаточном количестве обеспечивать войска сертифицированной электронно-вычислительной техникой с требуемыми возможностями по обработке информации.

Массовая компьютеризация в стране пошла по пути внедрения оборудования иностранного производства. Одновременно стремительно возросли номенклатура и сложность электронных компонентов. Это привело к возрастанию объема и удорожанию работ, связанных с проведением специальных проверок и специальных исследований всех электронно-вычислительных средств.

Возникли предпосылки нарушения требований руководящих документов по вводу в эксплуатацию объектов ЭВТ, предназначенных для обработки сведений, составляющих государственную тайну. Так, чтобы частично удовлетворить органы управления требуемым количеством аттестованных объектов ЭВТ, чтобы ускорить процесс ввода таких объектов в эксплуатацию, соответствующие специальные исследования стали проводиться по упрощенной схеме. Допускаются случаи обработки служебной информации с использованием электронно-вычислительной техники иностранного производства, не прошедшей соответствующей сертификации. При этом малые габариты современных компьютеров, возможность их скрытия во время проверки значительно усложнили работу соответствующих органов контроля по выявлению и исключению таких нарушений.

Сложившаяся ситуация существенно повлияла и на сам порядок ввода в эксплуатацию объектов ЭВТ. Темпы поступления различного рода вычислительных систем и средств или их обновления значительно увеличили ежегодные потребности войсковых структур в проведении подобных мероприятий. Ежегодно в воинских частях, штабах, военных учреждениях Министерства обороны РФ вводятся в эксплуатацию десятки, а иногда и сотни объектов ЭВТ, предназначенных для обработки закрытой информации. Причем объем работ по вводу в эксплуатацию, перечень и содержание документов, необходимых для этого, в ряде случаев стали не соответствовать объективным возможностям как контрольных органов, дающих разрешение на ввод в эксплуатацию, так и органов, обеспечивающих эксплуатацию соответствующей техники. Например, требования по содержанию, порядку оформления и ведения «Формуляра по защите информации...» сложно реализовывать как на объекте ЭВТ, состоящем из одной персональной ЭВМ, так и на объекте, где находятся десятки (сотни) автоматизированных рабочих мест, объединенных в локальную сеть.

В первом случае у каждого пользователя (а их может быть десятки и сотни в одной военной организации) должен вестись достаточно объемный документ. Он включает около десятка различных схем, таблиц и подробных сведений о расположении объекта, взаимном удалении его элементов, инженерных коммуникациях, электропитании, заземлении и так далее. Подготовка всех необходимых документов осуществляется, как правило, лицами, ответственными за эксплуатацию объекта ЭВТ. Безусловно, «обычный пользователь» (не специалист) просто не в состоянии разработать и вести подобный документ. Чаще для этого привлекаются должностные лица, обеспечивающие защиту информации на объектах. Возрастание объемов трудозатрат при этом ведет к увеличению их штата или к формальному подходу при разработке и ведении «Формуляра...» и другой документации по защите информации.

Достаточно проблемным является вопрос обеспечения выполнения всего объема специальных требований применительно к объектам ЭВТ, состоящим из одной электронно-вычислительной машины. Например, требования по обеспечению заземления достаточно сложно реализуются для современных ПЭВМ иностранного производства с корпусами из пластмассы, а для ПЭВМ типа «Ноутбук» подключение заземления медным проводом сечением не менее 4 мм2 выглядит явно не соответствующим объективным условиям.

В случае со сложным объектом, имеющим в своем составе значительное количество ЭВМ, возникает другая проблема. При наличии десятков и сотен ЭВМ (обычно персональных), средств ввода-вывода, отображения и хранения информации появляется необходимость систематического обновления как ЭВМ, так и сопутствующих элементов, их модернизации, доработки, замены, реконструкции или ремонта помещения, где они размещаются. Однако после каждой реконструкции или доработки должны быть внесены соответствующие изменения в «Формуляр...», уточнены схемы, а в ряде случаев проведена переаттестация объекта.

Учитывая то, что такие изменения происходят достаточно часто (один раз в год и чаще), а порядок и объем аттестационных мероприятий достаточно велики, вновь появляются условия, когда возникающее противоречие между возможностями органов контроля эксплуатации и количеством вводимых объектов ЭВТ разрешается в ущерб информационной безопасности. Кроме того, переаттестация объектов ЭВТ Предусмотрена и в плановом порядке с определенной периодичностью. Вполне очевидно, что обеспечить, например, переаттестацию даже 100-200 объектов в год окружные подразделения комплексного технического контроля при существующем штате не могут.

Не менее важным вопросом является обеспечение устойчивой работы и сопряжения различных программных продуктов, применяемых на объектах ЭВТ. Руководящими документами определено, что в войсках могут использоваться только сертифицированные программные продукты. Сам процесс сертификации является достаточно сложным и требует значительных трудозатрат и исходных кодов сертифицируемых программ. В середине 80-х годов была проделана значительная работа по сертификации основных программных продуктов (дисковых операционных систем) для ПЭВМ, созданию их отечественных аналогов. Однако в последующем, с появлением и широким распространением операционных систем типа «Windows», процесс замедлился. Более того, наметилось явное отставание с сертификацией современных программных продуктов. Это обусловлено отсутствием исходных кодов на некоторые из них, достаточно быстрым обновлением (практически каждые два-три года), лавинообразным нарастанием вспомогательных программных продуктов, обеспечивающих поддержку периферийных устройств, и реализацией самых различных дополнительных функций.

Сложность ситуации заключается в том, что существующие в Вооруженных Силах РФ сертифицированные операционные системы сегодня устарели. Они не обеспечивают поддержку современных оконечных устройств. Разрабатываемые другие программные продукты, ориентированные на эти сертифицированные системы, не соответствуют современным требованиям в еще большей степени, так как затрачиваются годы на их разработку и ввод в эксплуатацию. За это время появляются качественно новые средства вычислительной техники и программные продукты.

Обеспечение устойчивого функционирования даже качественного отечественного программного продукта часто становится проблематичным из-за его несовместимости с программами и устройствами, которые появились за два-три года разработки программы.

Следующим важным вопросом обеспечения безопасности информации, циркулирующей в компьютерных системах и средствах, является устранение угрозы умышленного или непреднамеренного изъятия или уничтожения служебной (секретной) информации. Здесь особую роль приобретает «человеческий» фактор. Дело в том, что психологически человеку свойственно «привыкать» к сложившимся стереотипным ситуациям, адаптироваться и иногда упрощать устоявшийся порядок и содержание действий.

Так, если пользователь привыкает, что он работает с секретной информацией на ПЭВМ, прошедшей аттестацию и введенной в эксплуатацию приказом командира части, возникает сложная ситуация. Суть ее заключается в том, что в программном обеспечении любой ПЭВМ используется множество программ, массивов информации, документов, не являющихся секретными. При обращении (копировании, размножении) к любому документу и программе пользователь постоянно должен принимать решение относительно назначения грифа секретности данному документу или программе. В этом случае может возникнуть желание упростить для себя задачу и снизить соответствующий гриф.

Кроме того, различные по степени важности документы могут находиться в одних каталогах (папках), перемещаться в ходе работы. Это может привести к неоправданному завышению или занижению грифа секретности, копированию на засекреченные носители несекретной информации, а иногда и наоборот. Опыт показывает, что ситуация может обостриться при объединении компьютерных средств в локальные сети. Передаваемые в таких системах информационные массивы и документы имеют различную степень важности, и получатель в большинстве случаев решает задачу о порядке использования полученного документа без учета назначения грифа секретности предыдущим пользователем.

Введение приоритетов и ограничений в локальной сети на получение и размножение используемой информации часто осуществляется без единого системного подхода, например, за счет физического отключения дисководов для гибких магнитных дисков; назначения ответственного лица, контролирующего работу сетевого принтера; определения права доступа к отдельным папкам и файлам. Практика показывает, что гарантировать высокое качество защиты такие меры в полной мере не могут.

«Человеческий» фактор приобретает особое значение и при обеспечении информационной безопасности войск в связи с современной тенденцией развития коммуникационных технологий. Телевидение, радио и Интернет оказывают все большее влияние не только на общественное мнение и направленность политических взглядов во всем

мире или отдельном государстве, но и на психологическое состояние и образ мыслей военнослужащих. При этом воздействие через средства массовой информации становится все более изощренным, агрессивным и оперативным. В ближайшем будущем роль данной угрозы будет только возрастать, а последствия подобных воздействий могут быть достаточно серьезными.

Наличие компактных, индивидуальных средств связи у военнослужащих (сотовые, спутниковые телефоны, доступ к глобальной компьютерной сети Интернет) создает предпосылки к утечке информации, осуществлению информационного воздействия на военнослужащих и информационные ресурсы. Кроме того, возрастает опасность непреднамеренной передачи важной информации по каналам коммуникационных систем и средств нового поколения. Данная угроза становится все более актуальной. Кажущаяся простота обеспечения передачи информации создает иллюзию бесконтрольности и может явиться причиной серьезных нарушений информационной безопасности. Этому способствуют некоторые положения существующих сегодня в Вооруженных Силах РФ руководящих документов, особенно в части ответственности должностных лиц за разглашение сведений в военной области. Военные суды достаточно сложно устанавливают характер и степень важности разрушенной, утерянной или переданной третьим лицам служебной информации.

Таким образом, современное состояние и тенденции компьютеризации, развития коммуникационных технологий в обществе и в войсковых формированиях, органах военного управления и военных организациях чрезвычайно обострили проблему обеспечения безопасности информации. Чтобы решить эту проблему в организациях Министерства обороны РФ, необходимо сосредоточить усилия на трех основных направлениях - правовом, организационном и программно-техническом. К числу первоочередных мероприятий, по нашему мнению, здесь следует отнести следующие.

В правовом отношении - требуется переиздать приказы министра обороны РФ, вышедшие в первой половине 90-х годов, касающиеся вопросов организации работы по обеспечению безопасности информации. Указанные в них положения не совсем соответствуют современным условиям повседневной деятельности войск. Было бы целесообразным определить в них отдельно положения для переносных и стационарных ПЭВМ, локальных вычислительных сетей и ЭВМ вычислительных центров.

В организационном отношении - в воинских частях, учреждениях и организациях, имеющих ПЭВМ в количестве более 10-15 штук, должна быть, на наш взгляд, введена в штат служба обеспечения безопасности информации в составе трех-четырех человек. Они будут заниматься получением и установкой техники, оборудованием помещений и их аттестацией, ремонтом, техническим обслуживанием и рекламацией, текущей проверкой соответствующих объектов и организацией спецпроверок. Там, где количество ПЭВМ меньше, необходимо создавать гарнизонные лаборатории обеспечения безопасности информации.

В программно-техническом отношении - необходимо сертифицировать и законодательно утвердить перечень операционных систем и других программных продуктов, которые могут быть использованы в воинских частях, а также определить поставщиков, в том числе антивирусных программ, которые обновляются чаще всего.


Для комментирования необходимо зарегистрироваться на сайте

  • <a href="http://www.instaforex.com/ru/?x=NKX" data-mce-href="http://www.instaforex.com/ru/?x=NKX">InstaForex</a>
  • share4you сервис для новичков и профессионалов
  • Animation
  • На развитие сайта

    нам необходимо оплачивать отдельные сервера для хранения такого объема информации